Privacy Policy

Questa informativa descrive come Choof, applicazione mobile pubblicata con il marchio MRK SOFTWARE, tratta i dati personali dei propri utenti, ai sensi del Regolamento (UE) 2016/679 (GDPR).

1. Titolare del trattamento

Il Titolare del trattamento è Mirko Bellabarba, sviluppatore indipendente di applicazioni mobile operante con il marchio MRK SOFTWARE (attività non esercitata in forma di impresa con partita IVA). Per qualsiasi richiesta relativa ai dati personali è possibile scrivere a mrk.devapps@gmail.com, che è anche il canale di contatto per l'esercizio dei diritti descritti al punto 11.

2. Nessun account, nessuna registrazione

Choof non richiede la creazione di un accounte non prevede alcuna forma di registrazione o login. Non raccogliamo nome, cognome, numero di telefono, rubrica dei contatti né credenziali di accesso. Le preferenze e i contenuti salvati dall'utente (ad esempio i viaggi preferiti) restano memorizzati localmente sul dispositivo.

3. Tipologie di dati raccolti e finalità

• Dati di utilizzo statistici (schermate visitate, eventi di interazione, durata delle sessioni, numero di avvii, versione dell'app, modello di dispositivo, sistema operativo, area geografica approssimativa a livello di paese/regione), tramite Google Analytics for Firebase, per capire in forma aggregata come l'app viene utilizzata e migliorarla. La raccolta viene attivata solo dopo il consenso unificato per i dati di utilizzo e di diagnostica.
• Dati diagnostici e di stabilità (report di crash, stack trace, stato del dispositivo al momento dell'errore e identificativi tecnici pseudonimi), tramite Firebase Crashlytics, per individuare e correggere i malfunzionamenti. La raccolta viene attivata solo dopo il consenso unificato per i dati di utilizzo e di diagnostica.
• Posizione geografica precisa (coordinate GPS), previa tua autorizzazione, per mostrarti la stazione più vicina sulla mappa e per suggerirti in automatico la tratta abituale (ad esempio casa → lavoro) nelle funzionalità di pendolarismo. Questi dati sono elaborati esclusivamente sul dispositivo e non vengono mai trasmessi ai nostri server né a terzi.
• Identificativo tecnico dell'installazione: un codice casuale generato sul dispositivo, non collegato alla tua identità né all'hardware, che l'app invia ai nostri server insieme al sistema operativo (iOS o Android) e alla versione dell'app la prima volta che usa i nostri servizi online. Serve a rilasciare all'installazione le credenziali tecniche (token) per accedere alle nostre API e a proteggerle da abusi.
• Token push, quando concedi l'autorizzazione del sistema operativo e l'app si registra per poter ricevere notifiche; è necessario per recapitare l'avviso al tuo dispositivo. Se attivi una sottoscrizione, trattiamo inoltre i dati relativi ai treni monitorati (numero del treno, stazioni di partenza/arrivo, giorni e fasce orarie delle eventuali tratte abituali salvate) sui nostri server.
• Dati delle ricerche e dei percorsi (ad esempio stazioni di partenza e arrivo, data e ora, numero di passeggeri, filtri, treni e itinerari richiesti), trasmessi ai nostri servizi backend e, quando necessario, ai fornitori di dati ferroviari per restituire risultati, orari e informazioni sul servizio. Questi dati non sono associati a un account utente.
• Dati tecnici funzionali strettamente necessari al funzionamento del servizio, incluse le preferenze e i dati di cache salvati localmente.
• Log tecnici del servergenerati dalla nostra infrastruttura quando l'app richiama i nostri servizi: data e ora della richiesta, endpoint richiamato ed esito. La nostra applicazione non registra l'indirizzo IP dell'utente né altre informazioni personali in log propri. L'indirizzo IP viene usato solo temporaneamente, in memoria e per non più di un'ora, per limitare il numero di nuove registrazioni di installazioni e prevenire abusi, senza essere salvato. Il traffico verso i nostri server transita attraverso la rete di Cloudflare, che tratta l'indirizzo IP per finalità di sicurezza come la prevenzione di attacchi DDoS e altri abusi, secondo la propria informativa.
• Indirizzo IPvisibile ai fornitori delle mappe (OpenStreetMap Foundation e CARTO) quando l'app carica le piastrelle (tile) cartografiche, secondo le rispettive informative.

4. Basi giuridiche del trattamento

• Consenso(art. 6.1.a GDPR) per i dati di utilizzo e diagnostica raccolti tramite Firebase Analytics e Crashlytics, con un unico consenso opzionale, nonché per la pubblicità personalizzata qualora venga introdotta in futuro. Il consenso è revocabile in qualsiasi momento dal Profilo, senza conseguenze sull'uso delle funzioni principali dell'app.
• Esecuzione del servizio(art. 6.1.b GDPR) per i dati tecnici indispensabili a far funzionare l'applicazione.
• Legittimo interesse(art. 6.1.f GDPR) per la sicurezza dell'infrastruttura, i log di sistema, la prevenzione degli abusi e la diagnosi dei malfunzionamenti.
• Obbligo legale (art. 6.1.c GDPR) quando la conservazione o la comunicazione dei dati sia imposta dalla normativa vigente.

5. Responsabili del trattamento

I dati possono essere trattati dai seguenti fornitori, che agiscono in qualità di responsabili del trattamento (o di titolari autonomi, per quanto riguarda i negozi applicativi) sulla base di appositi accordi:

Non vendiamo né cediamo dati personali a terzi per finalità diverse da quelle qui indicate.

6. Pubblicità e tracciamento

Allo stato attuale Choof non mostra pubblicitàe non effettua alcuna forma di tracciamento pubblicitario. Se in futuro dovesse essere introdotta pubblicità (ad esempio tramite Google AdMob), questa informativa verrà aggiornata di conseguenza e ti verrà richiesto il consenso necessario (tramite un messaggio conforme al Transparency and Consent Framework di IAB Europe e, su iOS, l'autorizzazione App Tracking Transparency di Apple) prima che qualunque annuncio personalizzato venga mostrato.

7. Elaborazioni tramite intelligenza artificiale

Choof può includere due tipi distinti di funzionalità basate su intelligenza artificiale:

• Suggerimenti generati sul dispositivo(ad esempio le funzionalità "Choof AI"): l'elaborazione avviene interamente in locale sul telefono dell'utente, senza alcun appoggio a un server remoto. Nessun dato viene inviato all'esterno del dispositivo per generare questi suggerimenti.
• Elaborazioni tramite servizi di intelligenza artificiale eseguite esclusivamente lato server tramite OpenRouter, usate per interpretare e riassumere contenuti pubblici, come i comunicati ufficiali relativi a circolazione ferroviaria, scioperi e lavori in corso pubblicati da ViaggiaTreno (Trenitalia). Questa elaborazione non riguarda dati personali degli utenti: nessun dato che ti riguarda viene inviato al modello, l'elaborazione non avviene sul tuo dispositivo e i contenuti che salvi nell'app non vengono mai utilizzati per addestrare o interrogare sistemi di intelligenza artificiale.

Le funzionalità sperimentali di segnalazione di problemi a bordo treno sono attualmente disattivate e non sono disponibili né visibili nell'interfaccia. In questa fase non raccolgono dati.

8. Notifiche push

Choofoffre notifiche push facoltative, ad esempio per avvisarti su un treno specifico o su una tratta abituale. Solo dopo che hai concesso l'autorizzazione alle notifiche del sistema operativo e hai attivato l'app si registra per poterle ricevere, vengono memorizzati sui nostri server i dati tecnici necessari a inviare la notifica: l'identificativo tecnico dell'installazione descritto al punto 3, il token di notifica assegnato dal servizio Expo Push Notification (che a sua volta si appoggia a Firebase Cloud Messaging su Android e Apple Push Notification service su iOS) e l'informazione che stai seguendo (ad esempio numero del treno, stazioni di partenza/arrivo e, per le tratte abituali, giorni e fasce orarie). Non viene associato alcun dato identificativo della tua persona. Disattivando l'ultima sottoscrizione nell'app, vengono eliminati immediatamente il token e i dati delle sottoscrizioni non più necessari; l'identificativo dell'installazione segue il periodo di conservazione indicato al punto 11. Se revochi l'autorizzazione dalle impostazioni del sistema operativo, l'app esegue questa cancellazione al successivo avvio o rientro in primo piano, quando rileva la revoca. I token che risultano non più raggiungibili vengono disattivati e cancellati automaticamente dopo sette giorni.

9. Acquisti in-app

Choofpuò offrire acquisti in-app, gestiti interamente da Apple App Store e Google Play Store secondo i rispettivi termini. Non riceviamo né trattiamo dati relativi a carte di credito o altri strumenti di pagamento: riceviamo dai negozi applicativi solo l'informazione che un acquisto è stato completato, in forma aggregata o pseudonimizzata.

10. Luogo del trattamento e trasferimenti extra-UE

I nostri server e il relativo database sono ospitati su Oracle Cloud Infrastructure nella regione di Milano, in Italia. Gli altri dati sono trattati presso i sistemi dei fornitori indicati al punto 5. Alcuni di essi, in particolare Google LLC, Apple Inc. e Cloudflare, Inc., possono trattare dati al di fuori dello Spazio Economico Europeo, tipicamente negli Stati Uniti.

Tali trasferimenti avvengono sulla base delle garanzie previste dal Capo V del GDPR, e in particolare: la decisione di adeguatezza dell'EU-US Data Privacy Framework per i fornitori che vi aderiscono, e le Clausole Contrattuali Standard approvate dalla Commissione europea negli altri casi, accompagnate dove necessario da misure supplementari.

11. Periodo di conservazione

• Dati statistici di utilizzo (Google Analytics for Firebase): conservati per un massimo di 14 mesi, poi cancellati automaticamente.
• Report di crash (Crashlytics): conservati per un massimo di 90 giorni.
• Log di sistema: conservati per un massimo di 30 giorni, salvo necessità di accertamento di abusi o incidenti di sicurezza.
• Identificativo tecnico dell'installazione: conservato finché usi l'app e cancellato automaticamente dopo 12 mesi senza alcun accesso ai nostri servizi.
• Token di notifica: conservato finché la registrazione push resta attiva. I dati sui treni monitoratisono conservati finché la relativa sottoscrizione resta attiva. Alla cancellazione dell'ultima sottoscrizione vengono eliminati subito i dati non più necessari. In caso di revoca del permesso del sistema operativo, la cancellazione avviene al successivo avvio o rientro nell'app; un token rilevato come non raggiungibile viene cancellato entro sette giorni dalla sua disattivazione.
• Posizione GPS: non conservata, elaborata solo localmente sul dispositivo al momento dell'uso.
• Preferenze locali: restano sul dispositivo e vengono eliminate disinstallando l'applicazione.

12. Diritti dell'utente

In qualità di interessato puoi esercitare in qualsiasi momento, e senza costi, i diritti previsti dagli articoli 15-22 del GDPR: accesso, rettifica, cancellazione, limitazione del trattamento, portabilità, opposizione al trattamento e revoca del consenso. Le richieste vanno inviate a mrk.devapps@gmail.com e riceveranno risposta entro un mese.

Hai inoltre il diritto di proporre reclamo all'autorità di controllo competente. In Italia si tratta del Garante per la protezione dei dati personali, oppure dell'autorità dello Stato membro in cui risiedi.

13. Cancellazione dei dati

Poiché non esistono account utente, le preferenze locali si cancellano disinstallando l'applicazione. La disinstallazione non consente all'app di eseguire immediatamente una chiamata al server: un token che non risulta più raggiungibile viene disattivato e cancellato dalla procedura automatica entro sette giorni dalla disattivazione, mentre l'identificativo tecnico dell'installazione viene cancellato automaticamente dopo 12 mesi senza accessi ai nostri servizi. Per richiedere prima la cancellazione dei dati eventualmente presenti sui nostri sistemi scrivi a mrk.devapps@gmail.com indicando la piattaforma utilizzata; la richiesta viene evasa entro 30 giorni. Per i dati detenuti dai fornitori terzi puoi inoltre agire direttamente tramite i loro strumenti.

14. Minori

Choof è destinata a un pubblico generale e non è rivolta a minori di 14 anni in Italia, età del consenso digitale prevista dalla normativa italiana, né a minori al di sotto dell'eventuale età minima prevista dalla legge applicabile nel loro Paese. Non raccogliamo consapevolmente dati di minori di tale età. Qualora un genitore o tutore ritenga che ciò sia avvenuto, può segnalarlo a mrk.devapps@gmail.com e i dati verranno prontamente cancellati.

15. Sicurezza

Adottiamo misure tecniche e organizzative adeguate a proteggere i dati da accessi non autorizzati, perdita, alterazione o divulgazione: traffico cifrato in transito (HTTPS/TLS), accesso ai sistemi limitato al Titolare e autenticato, e conservazione dei segreti applicativi in appositi archivi protetti.

16. Modifiche alla presente informativa

Questa informativa può essere aggiornata nel tempo, ad esempio in caso di nuove funzionalità o nuovi fornitori. La data di ultimo aggiornamento è indicata in cima alla pagina; le modifiche sostanziali verranno segnalate all'interno dell'applicazione e, ove necessario, verrà raccolto un nuovo consenso.

Nota: questo documento è predisposto per soddisfare i requisiti di Google Play Console e Apple App Store Connect. Le dichiarazioni rese nel modulo Sicurezza dei dati di Play Console e nelle etichette privacy di App Store devono corrispondere a quanto qui descritto. Si raccomanda una verifica da parte di un consulente legale prima della pubblicazione.