Informativa sul trattamento dei dati personali (privacy policy)

1. Titolare del trattamento

Il titolare del trattamento dei dati personali relativi al servizio Treby è Leonardo Stamati, C.F. STMLRD90T18L353A, con sede in Via Prima Piana 16, 87075 Trebisacce (CS).

Recapiti: PEC leonardo.stamati@pec.it, email info@exobyte.it.

Per esercitare i diritti previsti dagli artt. 15–22 GDPR e per richieste in materia di protezione dei dati personali, rivolgersi ai recapiti sopra indicati.

2. Ambito di applicazione

L’informativa riguarda:

• l’app Treby per dispositivi iOS e Android (distribuzione tramite App Store e Google Play);
• le API e i servizi di backend necessari al funzionamento dell’app (inclusi servizi per le notifiche push, ove attivi), esposti tramite treby.it e sottodomini;
• le pagine informative e gli ambienti tecnici di test/collaudo eventualmente raggiungibili via browser sugli stessi domini (es. HTTPS su app.treby.it): finalità di documentazione, prova e manutenzione, non sostituzione dell’app presso l’utente finale.

I servizi pubblicati sotto altri domini rispetto a treby.it (ad esempio siti istituzionali del Comune su nomi diversi) possono essere disciplinati da informative distinte: verificare sempre il dominio e il documento applicabile.

3. Categorie di dati trattati

In relazione alle funzionalità effettivamente disponibili nell’app Treby possono essere trattati, a seconda dei casi:

• Dati di account e autenticazione: identificativi di profilo, indirizzo email o altro identificativo scelto per l’accesso, credenziali o chiavi di accesso tramite passkey / WebAuthn (ove abilitato), token di sessione o equivalenti per mantenere il login.
• Identificatore dispositivo anonimo (UUID): l’app può generare sul dispositivo un identificativo tecnico univoco (generazione lato client), privo di contenuto personale intrinseco e distinto da identificatori pubblicitari di sistema (es. IDFA). Il valore viene associato sul backend all’account dell’utente al fine di identificare il dispositivo collegato al profilo. Per le etichette di trasparenza previste dalle piattaforme (in particolare le linee guida Apple per la scheda App Privacy), tale dato rientra nella categoria «Data linked to you», in quanto collegato all’identità dell’account. È utilizzato esclusivamente per sicurezza e gestione delle sessioni (inclusa la prevenzione di abusi e l’invalidazione o il controllo coerente degli accessi ove previsto dall’implementazione). Non è condiviso con terze parti per finalità autonome di tali soggetti (analytics, marketing, profilazione esterna al servizio Treby); il trattamento resta nei sistemi del titolare e nei limiti indicati nella sezione sui destinatari per l’infrastruttura strettamente necessaria. L’associazione può essere rimossa con la cancellazione dell’account, secondo le modalità previste dall’app, salvo obblighi di legge diversi.
• Numero di telefono (ove richiesto): utilizzato per la verifica mediante SMS dell’identità dell’utente e per limitare account falsi; può essere utilizzato, nei casi previsti dalla legge, per accertamenti connessi a comportamenti illeciti (es. scherzi, truffe, abusi) che arrecano pregiudizio al titolare, agli utenti o agli esercenti che offrono servizi tramite l’app, inclusa la collaborazione con le autorità competenti ove necessario.
• Follow, interessi e preferenze di contenuto che l’utente imposta in app: memorizzati nel database per personalizzare i feed di notizie e le notifiche push in linea con tali scelte. Tali dati non sono utilizzati per altri servizi di analisi o marketing esterni né per finalità diverse dall’erogazione del servizio Treby.
• Notifiche push: token o identificativi tecnici del dispositivo necessari alla consegna delle notifiche tramite Apple Push Notification service (APNs) su iOS e Firebase Cloud Messaging (FCM) su Android (il trasporto delle notifiche può comportare il trattamento di dati anche da parte di Apple e Google secondo le rispettive policy).
• Dati di posizione (geolocalizzazione): ove l’utente attiva le funzioni che lo richiedono (ad esempio notizie e guide guidate contestualizzate sul territorio), possono essere trattati dati relativi alla posizione del dispositivo (coordinate o area approssimativa, secondo sistema operativo, accuratezza scelta e permessi concessi). Tali dati possono essere inviati alle API del servizio per finalità strettamente funzionali, tra cui: gestione degli ordini in app; guide audio con GPS; individuazione di ristoranti ed eventi o altri contenuti pertinenti in base alla prossimità geografica (“vicino a te”). La conservazione è limitata al tempo necessario a tali finalità e alla sicurezza del servizio, secondo i criteri documentati lato infrastruttura.
• Dati di utilizzo del servizio: ad esempio preferenze di lingua o tema, cronologia di navigazione nell’app limitata ai contenuti consultati, ricerche effettuate nell’app, interazioni con moduli di ordini o prenotazioni ove presenti.
• Dati relativi agli ordini: informazioni necessarie a evadere e gestire gli ordini effettuati tramite l’app; sono conservati nel database per permettere lo storico del servizio e la gestione del rapporto con l’utente, fino a cancellazione richiesta dall’utente ovvero, ove compatibile con obblighi di legge, a iniziativa del titolare.
• Contenuti informativi: notizie, schede servizio, cataloghi e informazioni comunali rese disponibili tramite l’app (in genere non costituiscono dati personali dell’utente, salvo correlazione con account o log).
• Enti, organizzazioni e redazione collaborativa delle notizie: per pubblicare articoli riconducibili a un ente o organizzazione (es. istituzioni o soggetti presenti sull’app) possono essere trattati dati identificativi e descrittivi dell’ente (denominazione, slug, logo, elementi di presentazione grafica) e le associazioni tra account degli utenti abilitati alla redazione e l’ente per conto del quale si pubblica, inclusi log di sicurezza e di audit relativi alle operazioni di pubblicazione. La finalità è l’erogazione del servizio editoriale, l’attribuzione corretta delle notizie all’ente di riferimento e la gestione dei permessi di pubblicazione. In coerenza con le schede trasparenza degli store, tali trattamenti possono risultare collegati all’account del redattore (categorie del tipo «Data linked to you», ove applicabile). Il trattamento resta nei sistemi del titolare e dei responsabili necessari; non è ceduto a terze parti per finalità autonome oltre quanto strettamente necessario all’infrastruttura del servizio descritta nella sezione sui destinatari.
• Dati meteorologici o di servizio visualizzati nell’app (tipicamente non riferiti a singoli utenti).
• Log tecnici e di sicurezza: indirizzi IP, timestamp, identificativi di richieste, registri di errore, informazioni sul dispositivo/browser strettamente necessarie a sicurezza, anti-abuso e diagnostica.
• Funzioni assistite da intelligenza artificiale (es. assistente per la ricerca di informazioni in app): i contenuti delle chat non vengono tracciati né conservati per finalità di profilazione o analisi. Il modello è reso disponibile tramite infrastruttura Scaleway (API); il fornitore del modello linguistico è Mistral. L’unico tracciamento sistematico collegato alle funzioni IA è quello legato all’account per registrare solo dati quantitativi su costi e consumi delle API (es. importi o volumi di utilizzo), al fine di monitorare le spese, verificare eventuali abusi o usi anomali e gestire i consumi. Non si salvano conversazioni, testi degli utenti o altri contenuti oltre quanto strettamente necessario a tale monitoraggio economico/tecnico.
• Statistiche e indicatori aggregati sull’uso dell’app (ove elaborati): possono essere prodotti indicatori quantitativi non identificativi o aggregati per migliorare il servizio o fornire sintesi al territorio di riferimento o agli esercenti presenti nell’app. Non si effettua profilazione comportamentale con condivisione di dati personali con terze parti a fini di tracciamento; i follow e gli interessi indicati dall’utente restano confinati alle finalità di feed e notifiche descritte sopra.

Natura facoltativa e revoca: l’uso della posizione per le funzioni sopra indicate è facoltativo e subordinato al consenso dell’utente e/o ai permessi del sistema operativo (es. “Posizione” / “Durante l’uso dell’app”), secondo quanto previsto dalle piattaforme. L’utente può in ogni momento revocare il consenso o disattivare i permessi dalle impostazioni del dispositivo e/o dall’app, restando disponibili le altre funzioni che non richiedono la localizzazione.

Profilazione pubblicitaria, IDFA e “tracking” tra app di terze parti: il servizio non è finalizzato alla vendita di spazi pubblicitari né alla misurazione comportamentale cross-app tramite identificatori pubblicitari. Non si utilizza l’IDFA per finalità di tracciamento pubblicitario. Ove si utilizzano strumenti di prima parte, non si impiegano cookie o SDK di analytics di terze parti per seguire l’utente sul web; il tracciamento legato alle IA è limitato ai dati di consumo/costo API per account, come sopra, non al contenuto delle conversazioni.

4. Finalità e basi giuridiche

I dati sono trattati per le seguenti finalità, in base alle basi giuridiche indicate:

• Erogazione del servizio Treby (consultazione contenuti, account, funzioni collegate): base giuridica esecuzione di misure precontrattuali / contratto (art. 6(1)(b) GDPR) e, ove ricorra, consenso (art. 6(1)(a) GDPR) per le funzioni opzionali attivate dall’utente.
• Sicurezza delle reti e dei sistemi, prevenzione abusi, verifica identità e accertamento di illeciti: legittimo interesse (art. 6(1)(f) GDPR) per la sicurezza del servizio, la verifica tramite SMS e la gestione di comportamenti lesivi; obbligo legale ove ricorre; esecuzione del contratto per l’uso del numero ai fini di verifica account.
• Adempimenti di legge (conservazione documentale, risposte ad autorità): obbligo legale (art. 6(1)(c) GDPR).
• Notifiche push: invio tramite canale push di avvisi, notizie o segnalazioni su avvenimenti nel proprio paese o ambito di interesse impostato dall’utente; base giuridica tipicamente consenso (art. 6(1)(a) GDPR) ove richiesto dalle piattaforme e dalle impostazioni del dispositivo, ovvero esecuzione del servizio per notifiche strettamente necessarie al funzionamento scelto dall’utente.
• Notizie e guide guidate in base alla posizione: finalità di erogazione di contenuti e percorsi legati al contesto territoriale; base giuridica tipicamente il consenso dell’interessato (art. 6(1)(a) GDPR) per il trattamento dei dati di localizzazione ove richiesto dalla normativa applicabile (inclusi orientamenti su permessi delle piattaforme). La revoca del consenso o la disattivazione dei permessi comporta l’impossibilità di utilizzare tali funzioni specifiche, senza pregiudicare il resto del servizio.
• Cookie e tecnologie simili sul web (ove presenti): disciplinati nell’informativa cookie; per cookie non strettamente necessari il consenso ove previsto.

5. Modalità del trattamento

Il trattamento avviene con strumenti elettronici, con logiche strettamente correlate alle finalità indicate e con adozione di misure di sicurezza adeguate. L’accesso ai dati è consentito al personale autorizzato e, ove previsto, a responsabili esterni designati.

6. Conservazione

I dati sono conservati per il tempo necessario alle finalità per le quali sono stati raccolti e, comunque, nei limiti imposti dalla legge. Criteri indicativi: durata del rapporto con l’utente (account attivo) e ulteriori periodi richiesti per obblighi legali, controversie o esercizio del diritto in sede giudiziaria. I log tecnici possono essere conservati per periodi più brevi, salvo esigenze di sicurezza.

In particolare: i dati relativi agli ordini possono restare nel database per tutta la durata del rapporto e oltre, fino a richiesta esplicita di cancellazione da parte dell’utente, salvo obblighi legali di conservazione; il titolare può in ogni caso procedere alla cancellazione quando ciò sia lecito e compatibile con la gestione del servizio. I dati di consumo/costo delle API IA sono conservati per il tempo necessario alla contabilità dei costi e al contrasto agli abusi. I tempi massimi per categoria sono definiti nel registro dei trattamenti del titolare, nel rispetto della minimizzazione.

L’associazione tra account e identificatore dispositivo anonimo (UUID) è conservata per la durata del rapporto contrattuale legato all’account e può essere eliminata alla cancellazione dell’account, nei limiti di quanto previsto dal flusso applicativo e da eventuali obblighi legali.

7. Destinatari e trasferimenti

I dati possono essere comunicati a:

• Hosting e infrastruttura: OVH (trattamenti in Italia / Unione europea); infrastruttura su VPS gestita dal referente tecnico del progetto. Per le sole funzioni di IA tramite API: Scaleway quale fornitore dell’infrastruttura di elaborazione collegata al modello linguistico (sempre nell’ambito UE, coerentemente con la configurazione adottata).
• Apple Inc. e Google LLC (e società del gruppo) per distribuzione tramite App Store e Google Play, nonché per servizi connessi (es. consegna notifiche, aggiornamenti, misure di sicurezza della piattaforma), secondo le loro condizioni d’uso e privacy.
• Google per l’uso di FCM nella consegna delle notifiche su Android, nei limiti necessari al servizio.
• Professionisti o società di supporto (manutenzione sistemi, consulenza) nominati responsabili del trattamento ove applicabile.

Trasferimenti extra-UE: non sono previsti trasferimenti intenzionali di dati personali verso paesi terzi extra-UE nell’ambito del servizio Treby così come configurato; i trattamenti si svolgono su infrastrutture in Italia / UE, salvo future modifiche documentate e comunicate.

8. Diritti degli interessati

L’interessato può esercitare i diritti di:

• accesso (art. 15 GDPR);
• rettifica (art. 16 GDPR);
• cancellazione (art. 17 GDPR);
• limitazione (art. 18 GDPR);
• portabilità, ove applicabile (art. 20 GDPR);
• opposizione, ove applicabile (art. 21 GDPR);
• revoca del consenso, ove il trattamento si basi sul consenso, senza pregiudicare la liceità del trattamento precedente.

Le richieste vanno indirizzate al titolare ai recapiti indicati nella sezione 1. È inoltre possibile proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

9. Minori

Il servizio è rivolto a utenti che hanno compiuto almeno 16 anni di età, in coerenza con le impostazioni degli store e con la normativa applicabile; l’eventuale uso da parte di minori in età inferiore dovrebbe avvenire con la supervisione di un adulto responsabile, ove consentito dalla legge, fatti salvi obblighi specifici per il titolare. Non è prevista la raccolta intenzionale di dati per finalità di marketing diretto verso minori.

10. Sicurezza

Sono adottate misure tecniche e organizzative proporzionate, inclusa la comunicazione su canale HTTPS, gestione sicura delle sessioni, protezione delle credenziali e, ove attive, delle passkey, segregazione degli accessi e monitoraggio degli incidenti, nel rispetto delle buone pratiche applicabili al titolare del trattamento. Per i dati di posizione si applica il principio di minimizzazione (trattamento limitato a quanto necessario alle funzioni attivate).

11. Modifiche all’informativa

Il titolare può aggiornare la presente informativa. La versione applicabile è quella pubblicata su questo URL con indicazione della data di ultimo aggiornamento. Si consiglia di consultare periodicamente il documento.