Informativa privacy dell'app

Titolare e contatti

Titolare del trattamento è Luca Borghi, persona fisica, che cura il progetto SempreAvanti. Per qualsiasi richiesta sulla privacy scrivi a info.sempreavanti@gmail.com.

Quali dati trattiamo

• Account: Firebase Authentication tratta l'identificativo dell'account (UID), l'indirizzo email, lo stato di verifica dell'email e i dati del metodo di accesso scelto (email e password, Google o Apple). La password è gestita da Firebase Authentication: non la vediamo e non la salviamo nei nostri database. Se accedi con Google o Apple, il fornitore ci comunica il tuo indirizzo email e, se disponibile, il tuo nome, che resta salvato nell'account e usiamo solo per proporti il nome del profilo. Con Apple puoi scegliere “Nascondi la mia email”: in quel caso riceviamo un indirizzo di inoltro creato da Apple al posto di quello reale.
• Dati tecnici: secondo la documentazione di Firebase, Authentication tratta in automatico l'indirizzo IP e lo user agent del dispositivo, anche per proteggere l'accesso da abusi, e Cloud Messaging usa un identificativo di installazione dell'app (Firebase installation ID). Firebase App Check verifica, con Play Integrity su Android e App Attest su iOS, che le richieste arrivino dall'app originale, per proteggere i servizi da abusi. Non li usiamo per altri scopi.
• Limiti di frequenza: per evitare abusi registriamo l'ora della tua ultima azione di alcuni tipi (messaggio, segnalazione, richiesta di contatto, partecipazione, registrazione del dispositivo) e, per le funzioni server, quante chiamate fa il tuo identificativo in ogni ora.
• Accettazione dei Termini: versione accettata, dichiarazione di avere l'età minima (14 anni dalla versione 2 dei Termini, 18 nella versione 1) e data registrata dal server.
• Profilo: nome, città (il comune in cui abiti), username Instagram, artisti preferiti, bio e, solo se la funzione è attiva, foto profilo. La città si sceglie da un elenco dei comuni italiani: l'app non usa la posizione del dispositivo. Gli indicatori di account verificato, amministratore o sospeso non sono modificabili da te: li gestiscono l'amministratore e il server.
• Concerti e community: concerti a cui dichiari di partecipare, preferenze pratiche per il concerto (compagnia, mezzo di trasporto, provincia di partenza, fascia di arrivo, tipo e dettagli del biglietto, breve messaggio), messaggi nella discussione, richieste di contatto e loro esito, utenti che blocchi e indicatori di lettura della discussione.
• Segnalazioni e moderazione: per le segnalazioni che invii, motivo, dettagli facoltativi, concerto e messaggio interessati; per la gestione, stato del caso, eventuale nota interna e registro delle azioni amministrative.
• Notifiche: se consenti le notifiche, il token del dispositivo per Firebase Cloud Messaging e le iscrizioni ai temi “nuovi post” e “nuove date” degli artisti che segui, secondo le preferenze che scegli. Se tra queste sono attive le notifiche sulle richieste di contatto, salviamo nel nostro database anche il token con il tuo identificativo, la piattaforma (Android o iOS) e la data di aggiornamento; se le disattivi nell'app o revochi il permesso delle notifiche nelle impostazioni del telefono, questa registrazione viene cancellata. Le preferenze delle notifiche e i promemoria dei concerti restano sul dispositivo. Per evitare doppi invii il server registra una chiave per ogni notifica inviata; per le richieste di contatto la chiave contiene gli identificativi delle due persone e del concerto.
• Richieste privacy: le email che ci invii e l'esito delle richieste di esercizio dei diritti, compresa l'eliminazione dell'account.

Non usiamo SDK pubblicitari o di analytics, non profiliamo gli utenti per pubblicità e non vendiamo dati.

Perché li trattiamo e su quale base

• Fornirti l'app (account, profilo, concerti, community, scambio del contatto Instagram con consenso reciproco, notifiche che scegli, eliminazione dell'account): esecuzione del contratto, cioè dei Termini di utilizzo che accetti (art. 6, par. 1, lett. b GDPR).
• Sicurezza e moderazione (registrare l'accettazione dei Termini e la dichiarazione dell'età minima, esaminare segnalazioni, rimuovere contenuti, sospendere account, tenere il registro delle azioni amministrative, evitare notifiche duplicate, limitare la frequenza delle azioni e verificare che le richieste arrivino dall'app): legittimo interesse del titolare e degli utenti a un servizio sicuro e a poter dimostrare le decisioni prese (art. 6, par. 1, lett. f GDPR). Puoi opporti per motivi legati alla tua situazione particolare.
• Obblighi di legge (rispondere alle richieste sui tuoi diritti e conservarne l'esito, comunicazioni alle autorità quando la legge lo richiede): obbligo legale (art. 6, par. 1, lett. c GDPR).

Per usare l'app servono i dati dell'account e un profilo completato con nome, città, username Instagram e almeno 3 artisti preferiti; foto, bio e preferenze per i concerti sono facoltativi o li scegli tu. Non prendiamo decisioni basate unicamente su trattamenti automatizzati: il filtro dei messaggi blocca solo alcuni termini e le segnalazioni sono esaminate da una persona.

Chi può vedere i dati

Il tuo profilo completo e le tue segnalazioni sono visibili a te e all'amministratore. Nome, città, bio, artisti preferiti, foto (se attiva), eventuale badge Verified e preferenze per un concerto sono visibili solo agli altri partecipanti confermati dello stesso concerto. Se lasci il concerto, gli altri non vedono più queste informazioni e tu perdi l'accesso alle loro. I messaggi della discussione sono visibili ai partecipanti confermati di quel concerto. Il tuo username Instagram è mostrato a un'altra persona solo dopo un match con consenso reciproco, e smette di esserlo se il contatto viene revocato. Chi blocchi, o chi ti blocca, non vede più i tuoi contenuti nei concerti condivisi. L'amministratore può vedere profili, segnalazioni e messaggi segnalati per la moderazione. Comunichiamo dati alle autorità solo quando la legge lo richiede.

Fornitori e luogo dei dati

• Google (Firebase): Authentication, Cloud Firestore e Cloud Messaging, come responsabile del trattamento secondo i termini sul trattamento dei dati di Firebase e Google Cloud. Il database Firestore si trova nella regione europe-west8 (Milano). Authentication e Cloud Messaging sono servizi globali: i dati possono essere trattati anche fuori dall'Unione europea, con le garanzie previste dal GDPR (Data Privacy Framework UE-USA, a cui Google LLC aderisce, e clausole contrattuali tipo).
• Supabase: archivio privato delle foto profilo e funzioni server per foto, moderazione, notifiche ed eliminazione dell'account, nella regione eu-west-1 (Irlanda), come responsabile del trattamento secondo il suo accordo sul trattamento dei dati, che prevede le clausole contrattuali tipo per eventuali accessi da fuori dell'Unione europea.
• Accesso con Google o Apple: se lo scegli, il fornitore dell'accesso tratta i dati secondo la propria informativa. All'eliminazione dell'account l'app tenta di revocare l'autorizzazione concessa a SempreAvanti.
• Instagram: i post del profilo ufficiale SempreAvanti sono copiati dal server; i link verso Instagram si aprono solo quando li tocchi. L'app non usa un SDK di Instagram.

Per quanto tempo

• Dati dell'account, del profilo, dei concerti e della community: finché li rimuovi tu (ad esempio lasciando un concerto o eliminando un messaggio) o finché elimini l'account.
• Registrazione di un dispositivo per le notifiche: fino a quando disattivi nell'app le notifiche sulle richieste di contatto, revochi il permesso delle notifiche, esci dall'account o lo elimini; se non si aggiorna da più di 60 giorni viene rimossa al successivo tentativo di inviarti una notifica. All'uscita e all'eliminazione l'app chiede anche a Cloud Messaging di invalidare il token. L'identificativo di installazione di Firebase non viene eliminato dall'app: lo conserva Google secondo la documentazione di Firebase. Le iscrizioni ai temi restano legate al token del dispositivo finché esci dall'account o lo elimini.
• Chiavi delle notifiche sulle richieste di contatto: 7 giorni, poi vengono cancellate automaticamente. Le chiavi delle notifiche su concerti e post non contengono dati personali.
• Segnalazioni, casi di moderazione e registro delle azioni amministrative: 12 mesi dall'ultimo aggiornamento del caso o dall'azione. Più a lungo solo se servono alle autorità o per difendere un diritto in giudizio, per il tempo necessario.
• Limiti di frequenza: l'ora dell'ultima azione resta nel tuo account finché lo elimini; i conteggi delle chiamate alle funzioni server più vecchi di un giorno vengono cancellati periodicamente, anche dopo l'eliminazione dell'account.
• Blocchi che altri utenti hanno impostato verso di te: restano nell'account di chi li ha impostati finché li rimuove o elimina il suo account.
• Richieste sui tuoi diritti ed eliminazioni: le email e il registro dell'esito per 12 mesi dalla chiusura della richiesta.

Non sono attivi backup del database Firestore né il ripristino point-in-time; il database mantiene per un'ora le versioni precedenti dei documenti. Il progetto Supabase non ha backup automatici del database e le foto non sono incluse nei backup del database. Secondo Google, dopo l'eliminazione di un utente di Firebase Authentication i dati vengono rimossi dai sistemi attivi e di backup entro 180 giorni, e gli indirizzi IP dei login sono conservati per alcune settimane.

Eliminazione dell'account

Puoi eliminare l'account dall'app (Profilo → Impostazioni → Elimina account) o chiederlo seguendo la pagina dedicata. L'eliminazione rimuove foto profilo, profilo, consenso ai Termini, partecipazioni con preferenze, messaggi, profili nei concerti, richieste e contatti (compreso lo username Instagram condiviso), blocchi che hai impostato, segnalazioni che hai inviato, indicatori di lettura e registrazioni dei dispositivi, poi l'account Firebase Authentication. Se un passaggio non è confermato l'app te lo dice e puoi riprovare.

Dopo l'eliminazione restano, per i tempi indicati sopra, le segnalazioni inviate da altri utenti che ti riguardano, i casi di moderazione con la loro nota interna, il registro delle azioni amministrative, i blocchi impostati da altri, le chiavi delle notifiche e i conteggi recenti delle chiamate alle funzioni server. Contengono il tuo identificativo; i dettagli scritti da chi segnala e le note interne possono riferirsi a te. I tuoi messaggi e il tuo profilo vengono eliminati.

I tuoi diritti

Puoi chiedere accesso, rettifica, cancellazione, limitazione, opposizione e, ove applicabile, portabilità dei dati (artt. 15–22 GDPR) scrivendo a info.sempreavanti@gmail.com. Puoi correggere in ogni momento nome, città, bio, artisti e username Instagram dall'app. Per verificare che la richiesta venga da te ti scriviamo all'indirizzo email associato all'account con un codice da rimandarci: non ti chiederemo mai password, codici di accesso o documenti d'identità. Rispondiamo senza ingiustificato ritardo e comunque entro un mese dalla richiesta; nei casi complessi il termine può essere prorogato di due mesi, e in quel caso ti avvisiamo entro il primo mese (art. 12 GDPR). Puoi proporre reclamo al Garante per la protezione dei dati personali.

Età

L'app è riservata a persone di almeno 14 anni, età dalla quale in Italia si può acconsentire da soli al trattamento dei propri dati per questi servizi (art. 2-quinquies del Codice privacy). Se ritieni che una persona con meno di 14 anni usi l'app, segnalacelo come indicato negli standard di sicurezza per i minori.

Torna al sito