Informativa sulla privacy

In sintesi

• Raccogliamo ciò che ci serve per gestire eventi sicuri e verificati, e il meno possibile di tutto il resto.
• La verifica dell’identità è effettuata dal nostro fornitore, Didit. Conserviamo solo il risultato (per esempio «verificato» e «maggiorenne») e un hash con chiave usato per far rispettare i ban, mai il tuo documento d’identità o il tuo selfie.
• Non registriamo mai né audio né video.
• I messaggi vengono cancellati dopo 30 giorni (1 anno se fanno parte di una segnalazione). I log del server vengono conservati per 14 giorni.
• I messaggi diretti e le chiamate tra Contatti sono disponibili solo quando entrambe le persone hanno accettato il controllo di sicurezza automatizzato dei messaggi diretti.
• Non vendiamo i tuoi dati. Nell’app non ci sono tracker pubblicitari.
• Puoi esportare o eliminare i tuoi dati nell’app, e contattarci a privacy@spareachair.com.

Chi è responsabile dei tuoi dati

Il titolare del trattamento dei tuoi dati personali è SUPPORT BULGARIA OOD, Hipodruma, bl. 133, ingr. B, piano 4, int. 82, Sofia, Bulgaria, numero di iscrizione 200232189 (UIC, Registro di commercio dell’Agenzia bulgara per le iscrizioni), telefono +359 888 886 008 («spareachair», «noi»).

Contatto per tutte le domande e le richieste sulla privacy: privacy@spareachair.com.

Non abbiamo nominato un responsabile della protezione dei dati; scrivi a privacy@spareachair.com.

La presente informativa riguarda l’app mobile spareachair e il relativo backend (il «Servizio»), il sito web spareachair.com e la lista d’attesa precedente al lancio.

Cosa raccogliamo

Account

Indirizzo email, password (memorizzata solo come hash sicuro), stato di verifica dell’email, sessioni di accesso (con lo user agent del tuo dispositivo e, per sicurezza, solo il prefisso di rete del tuo indirizzo IP, IPv4 /24 o IPv6 /48, mai l’indirizzo completo), la lingua della tua app (per inviarti email e notifiche in quella lingua), preferenze di notifica e una registrazione di quale versione dei nostri documenti legali hai accettato e quando (con un indirizzo IP sottoposto a hash, non in chiaro, e lo user agent del tuo dispositivo).

Risultato della verifica dell’identità

Quando verifichi la tua identità, il fornitore di verifica (Didit) controlla il tuo documento d’identità o di soggiorno (compreso l’indirizzo riportato, se il documento ne contiene uno) e lo confronta con un selfie, con un breve video di verifica della presenza reale (liveness) che mostra che c’è davvero una persona. Didit tratta le immagini del documento e i dati che vi compaiono (compreso quell’indirizzo), il selfie, il video di verifica della presenza reale e i dati biometrici necessari per il confronto in qualità di nostro responsabile del trattamento, per nostro conto, secondo le nostre istruzioni e solo per questo controllo, e li cancella 30 giorni dopo la decisione di verifica. Noi riceviamo e conserviamo solo:

• lo stato della verifica (per esempio approvata, rifiutata, scaduta) e un riferimento alla sessione di verifica;
• se hai più di 18 anni e il Paese la cui autorità ha rilasciato il tuo documento (per confermare che è stato rilasciato da un’autorità dell’UE/SEE);
• un hash con chiave (HMAC) calcolato a partire dal numero del documento, dal Paese di rilascio e dalla data di nascita, usando una chiave segreta in possesso solo nostro. Dall’hash non è possibile risalire a tali dati. Lo usiamo per impedire che una persona abbia più account e che le persone bannate si iscrivano di nuovo.

Eliminiamo la tua data di nascita, il numero del documento e tutti gli altri dati del documento subito dopo aver calcolato il risultato e l’hash.

Profilo

Nome visualizzato, avatar generato (non puoi caricare foto), breve bio, categoria professionale, fascia d’età (per esempio 25–34) e le tue risposte alle «domande sui punti di vista» (per esempio città o campagna) usate per la composizione dei tavoli. La tua bio viene controllata dalla moderazione automatica (vedi Messaggi); il tuo nome visualizzato viene controllato solo con le nostre regole.

Lingue parlate (facoltative e private): puoi aggiungere al tuo profilo le lingue che parli. Le usiamo solo per far sedere allo stesso tavolo persone con una lingua in comune negli eventi in più lingue e per mostrarti prima, nell’elenco degli eventi, quelli nelle tue lingue. Non vengono mai mostrate agli altri utenti. Se non ne aggiungi nessuna, usiamo invece la lingua della tua app.

Partecipazione e contatti

Gli eventi a cui ti iscrivi e partecipi, i tavoli a cui sei stato fatto sedere, le scelte «Restiamo in contatto», i tuoi Contatti e le persone che hai bloccato.

Messaggi

Il testo dei messaggi che invii ai tavoli e nei messaggi diretti, e gli eventuali contrassegni aggiunti dalla moderazione automatica. Audio e video vengono trasmessi in diretta tramite il nostro media server e non vengono mai registrati né memorizzati.

La chat al tavolo viene controllata dalla moderazione automatica come parte del Servizio. I messaggi diretti e le chiamate individuali tra Contatti sono disponibili solo quando entrambe le persone hanno accettato il controllo di sicurezza automatizzato dei messaggi diretti; i loro messaggi vengono allora controllati allo stesso modo prima della consegna. Ti chiediamo questo consenso separatamente, nell’app.

Come funziona la moderazione automatica. Per prima cosa controlliamo il testo con le nostre regole. Inviamo inoltre il testo dei messaggi ai tavoli e delle bio — e, solo quando entrambe le persone hanno accettato il controllo di sicurezza automatizzato dei messaggi diretti, il testo dei messaggi diretti — a un modello di IA (Claude) di Anthropic PBC negli USA, che lo classifica per individuare contenuti dannosi. Il fornitore riceve solo il testo — mai il tuo nome, il tuo ID utente o altri dati dell’account — e lo tratta come nostro responsabile del trattamento. Il fornitore non usa il testo per addestrare i propri modelli di IA e lo conserva solo per un periodo limitato secondo le proprie condizioni, ad esempio per individuare abusi del proprio servizio. Per le garanzie sul trasferimento vedi Trasferimenti internazionali.

Segnalazioni e provvedimenti

Le segnalazioni che fai o che vengono fatte su di te, compresa una copia degli ultimi 50 messaggi della conversazione segnalata; le decisioni di moderazione, le motivazioni e i ricorsi.

Dati del dispositivo e dati tecnici

Token per le notifiche push (consegnato ad Apple o a Google, vedi Con chi condividiamo i dati), tipo di dispositivo, sistema operativo e versione dell’app; indirizzi IP e log delle richieste sui nostri server; segnalazioni di errori e arresti anomali.

Sito web e lista d’attesa

Se ti iscrivi alla lista d’attesa: il tuo indirizzo email e la registrazione della conferma (double opt-in). Sul sito web: cookie e tecnologie simili, ma solo quelli a cui acconsenti; vedi la Cookie policy.

Non raccogliamo la tua posizione precisa, i tuoi contatti della rubrica né le tue foto.

Perché usiamo i tuoi dati e su quale base giuridica

Finalità	Base giuridica (GDPR)
Creare il tuo account, gestire gli eventi, assegnarti ai tavoli (negli eventi in più lingue, con persone che hanno una lingua in comune con te), messaggi, chiamate, Contatti, email e notifiche di servizio nella lingua della tua app	Esecuzione del contratto con te — art. 6(1)(b)
Verificare che tu abbia almeno 18 anni e un documento rilasciato da un’autorità dell’UE/SEE prima di partecipare	Esecuzione del contratto (requisiti di accesso) — art. 6(1)(b); legittimo interesse a mantenere il Servizio riservato agli adulti e sicuro — art. 6(1)(f)
Il confronto biometrico con il selfie effettuato da Didit	Il tuo consenso esplicito — art. 9(2)(a) in combinato disposto con l’art. 6(1)(a). Te lo chiediamo separatamente, nell’app, prima che inizi la verifica
Moderazione automatica della chat al tavolo e delle bio, gestione delle segnalazioni, applicazione dei nostri Termini e prevenzione dell’elusione dei ban tramite l’hash con chiave	Legittimo interesse a proteggere gli utenti e il Servizio — art. 6(1)(f); adempimento del regolamento sui servizi digitali (DSA), ove applicabile — art. 6(1)(c)
Controllo di sicurezza automatizzato dei messaggi diretti tra Contatti	Il tuo consenso — art. 6(1)(a) e norme ePrivacy sulla riservatezza delle comunicazioni. Devono acconsentire entrambe le persone della conversazione
Informazioni sensibili che scegli di inserire nella tua bio o nei tuoi messaggi	Il tuo consenso esplicito, se lo dai — art. 9(2)(a). Facoltativo
Motivazioni, gestione delle segnalazioni di contenuti illegali e dei ricorsi, risposta a richieste legittime delle autorità	Obbligo legale — art. 6(1)(c)
Registrare quali documenti legali hai accettato e in quale lingua	Legittimo interesse a poter dimostrare cosa hai accettato — art. 6(1)(f)
Sicurezza, compreso il prefisso di rete dell’indirizzo IP delle tue sessioni di accesso, log del server e monitoraggio degli errori	Legittimo interesse a mantenere il Servizio sicuro e funzionante — art. 6(1)(f)
Email della lista d’attesa	Consenso — art. 6(1)(a)
Statistiche del sito web e misurazione della pubblicità	Consenso — art. 6(1)(a) e norme ePrivacy sui cookie
Accertare, esercitare o difendere un diritto in sede giudiziaria	Legittimo interesse — art. 6(1)(f)

Il tuo consenso al controllo biometrico può essere revocato in qualsiasi momento scrivendo a privacy@spareachair.com. La revoca ha effetto solo per il futuro: il controllo che hai già completato resta valido, e conserviamo il suo risultato (stato della verifica, maggiore età, Paese di rilascio, fascia d’età) e l’hash con chiave, che non sono dati biometrici, sulla base del nostro contratto con te e del nostro legittimo interesse. Chiederemo a Didit di cancellare tutto ciò che conserva ancora. Se in futuro dovessi verificarti di nuovo, ti verrà chiesto di nuovo il consenso; senza di esso non possiamo verificarti con mezzi biometrici.

La composizione dei tavoli usa le tue risposte alle domande, la tua categoria professionale e la tua fascia d’età per far sedere insieme persone con punti di vista diversi. Si tratta di una forma di profilazione, ma non produce effetti giuridici né effetti analogamente significativi su di te. Negli eventi in più lingue, la composizione dei tavoli fa anche in modo che tutte le persone a un tavolo abbiano una lingua in comune, usando le lingue che parli (o, se non ne hai aggiunta nessuna, la lingua della tua app): solo come questa condizione, mai per valutare i tuoi punti di vista.

Decisioni automatizzate. La moderazione automatica può bloccare un singolo messaggio. Non prendiamo decisioni che producono effetti giuridici o analogamente significativi su di te, come sospendere o bannare il tuo account, basandoci unicamente su mezzi automatizzati, e puoi sempre chiedere che una decisione venga riesaminata da una persona.

Informazioni sensibili. A parte il controllo biometrico, non chiediamo categorie particolari di dati (come salute, religione od opinioni politiche) e non le usiamo mai per la composizione dei tavoli. Le lingue che parli sono facoltative; poiché le lingue possono far intuire la provenienza di una persona, le usiamo solo come descritto in Profilo e non le mostriamo mai a nessun altro. Informazioni di questo tipo possono comunque comparire in ciò che scegli di scrivere. Durante l’iscrizione ti chiediamo se acconsenti al trattamento delle informazioni sensibili che scegli di inserire nella tua bio o nei tuoi messaggi. È facoltativo: se non acconsenti, l’app ti ricorda di non condividere informazioni di questo tipo dove scrivi. Puoi revocare questo consenso in qualsiasi momento scrivendo a privacy@spareachair.com; smetti poi di condividere tali informazioni e modifica la tua bio: i messaggi restanti vengono cancellati dopo 30 giorni. In ogni caso, rifletti bene prima di condividere informazioni di questo tipo.

Controllo dei messaggi diretti. Puoi revocare in qualsiasi momento il tuo consenso al controllo di sicurezza automatizzato dei messaggi diretti scrivendo a privacy@spareachair.com. Senza di esso puoi continuare a partecipare agli eventi e alla chat al tavolo, ma non puoi inviare o ricevere messaggi diretti né chiamate.

Quando ci basiamo sul legittimo interesse, lo abbiamo bilanciato con i tuoi diritti, e puoi opporti (vedi I tuoi diritti).

Per quanto tempo conserviamo i tuoi dati

Dati	Per quanto tempo
Messaggi ai tavoli e messaggi diretti	30 giorni, poi cancellati automaticamente
Messaggi copiati in una segnalazione	1 anno
Segnalazioni e contrassegni di moderazione	1 anno dalla chiusura della segnalazione
Decisioni di moderazione (registri dei provvedimenti)	Finché il tuo account esiste; dopo l’eliminazione, 1 anno, oppure 3 anni se l’account è stato bannato in modo permanente
Registro delle azioni dei moderatori (registro di audit)	3 anni
Hash dell’identità con chiave	Finché il tuo account esiste. Se il tuo account è stato bannato in modo permanente, conservato dopo l’eliminazione per 5 anni, oppure per tutta la durata del ban, senza una scadenza fissa, per i ban dovuti ad abusi sessuali su minori, minacce credibili o elusione di un ban
Risultato della verifica dell’identità	Finché il tuo account esiste
Immagini e dati del documento d’identità, selfie e video di verifica della presenza reale (conservati da Didit, non da noi)	30 giorni dopo la decisione di verifica
Account, profilo, partecipazione e Contatti	Finché non elimini il tuo account; un Contatto rimosso e i relativi messaggi 30 giorni dopo la rimozione
Sessioni di accesso (dati del dispositivo e dell’app, prefisso di rete del tuo indirizzo IP)	Finché non esci dall’account, o 30 giorni dopo l’ultimo utilizzo dell’app
Registro delle chiamate (chi ha chiamato chi e quando, senza contenuti)	1 anno
Account che non completano mai l’iscrizione	Eliminati 7 giorni dopo l’iscrizione se l’email non è verificata, 30 giorni dopo l’iscrizione se l’identità non è verificata
Registrazioni delle accettazioni dei documenti legali	Finché il tuo account esiste; se dopo l’eliminazione viene conservato un registro dei provvedimenti o l’hash con chiave, per lo stesso periodo (senza il tuo indirizzo email)
Log del server e segnalazioni di errori	14 giorni
File di esportazione dei dati	7 giorni
Backup crittografati del database	Fino a 11 giorni; i dati che elimini scompaiono dai backup entro tale periodo
Lista d’attesa	Finché non annulli l’iscrizione o finché non lanciamo il Servizio; le iscrizioni non confermate vengono cancellate dopo 14 giorni

Quando elimini il tuo account cancelliamo definitivamente i tuoi dati, ad eccezione degli elementi indicati sopra che dobbiamo o possiamo conservare dopo l’eliminazione (l’hash con chiave di un account bannato, e le segnalazioni e i registri dei provvedimenti necessari per gestire questioni di sicurezza o contenziosi). Le conversazioni dei messaggi diretti vengono cancellate per intero: se tu o un tuo Contatto eliminate l’account, viene eliminata l’intera conversazione, compresi i messaggi dell’altra persona.

Se dobbiamo conservare dei dati per un procedimento giudiziario (un vincolo di conservazione legale), non possiamo cancellarli finché il vincolo non cessa. Se ci chiedi di cancellarli, ti diremo che siamo tenuti a conservarli per un procedimento giudiziario, a meno che un’autorità non ci abbia ordinato di non farlo.

Con chi condividiamo i dati

• Gli altri utenti vedono il tuo nome visualizzato, il tuo avatar, la tua bio, la tua categoria professionale e la tua fascia d’età, e i messaggi che invii nelle conversazioni di cui fanno parte. Non vedono mai il tuo indirizzo email, le lingue che parli né i dettagli della tua verifica.
• Fornitori di servizi (responsabili del trattamento) che ospitano e gestiscono il Servizio per nostro conto in base ad accordi sul trattamento dei dati, per esempio per l’hosting (DigitalOcean), le email (Resend), la verifica dell’identità (Didit), il monitoraggio degli errori (Sentry), gli aggiornamenti dell’app (Expo), le notifiche push su Android (Google Firebase Cloud Messaging) e la moderazione automatica (Anthropic PBC). L’elenco completo e aggiornato si trova nella nostra pagina Sub-responsabili del trattamento.
• Apple e Google consegnano le notifiche push al tuo dispositivo: i nostri server le inviano direttamente all’Apple Push Notification service (iPhone) o a Google Firebase Cloud Messaging (Android). Ricevono il token push del tuo dispositivo e la notifica (per esempio il nome visualizzato di un Contatto che ti ha scritto, mai il testo del messaggio). Apple li riceve come destinatario autonomo in base alle proprie condizioni.
• Le autorità, quando siamo obbligati per legge, per esempio in risposta a un ordine valido o per segnalare una minaccia alla vita o alla sicurezza di qualcuno.

Non vendiamo i tuoi dati personali e non li condividiamo con inserzionisti.

Trasferimenti internazionali

Ospitiamo il Servizio nell’UE. Alcuni dei nostri fornitori si trovano negli USA. Ci basiamo sull’EU–US Data Privacy Framework quando il fornitore è certificato e, altrimenti, sulle clausole contrattuali tipo della Commissione europea, con garanzie supplementari ove necessario. Tra questi c’è il nostro fornitore di moderazione, Anthropic PBC, che riceve solo il testo dei messaggi e delle bio (vedi Messaggi). Puoi chiederci una copia delle garanzie pertinenti a privacy@spareachair.com.

I tuoi diritti

Ai sensi del GDPR hai il diritto di:

• accesso ai tuoi dati e di ottenerne una copia;
• rettifica, cioè di far correggere i dati inesatti;
• cancellazione, cioè di far eliminare i tuoi dati;
• limitazione, cioè di chiederci di limitare l’uso che facciamo dei tuoi dati;
• portabilità dei dati, cioè di ricevere i dati che ci hai fornito in un formato leggibile da dispositivo automatico (JSON);
• opposizione al trattamento basato sul legittimo interesse;
• revocare il consenso in qualsiasi momento, quando ci basiamo sul consenso, senza pregiudicare il trattamento precedente;
• proporre reclamo a un’autorità di controllo: la nostra autorità capofila è la Commissione bulgara per la protezione dei dati personali (https://www.cpdp.bg), e puoi presentare reclamo anche all’autorità del Paese dell’UE/SEE in cui vivi o lavori.

Puoi esportare i tuoi dati ed eliminare il tuo account direttamente dalle impostazioni dell’app. L’esportazione è un file leggibile da dispositivo automatico (JSON) con i dati che conserviamo su di te, insieme a informazioni su finalità, destinatari, periodi di conservazione, i tuoi diritti e l’origine dei dati. Non include i messaggi né i dati personali degli altri partecipanti.

Per qualsiasi altra cosa, scrivi a privacy@spareachair.com. Ti risponderemo entro un mese (prorogabile di due mesi per le richieste complesse, nel qual caso te lo comunicheremo). Potremmo chiederti di confermare la tua identità prima di dare seguito a una richiesta, con un link inviato al tuo indirizzo email registrato o una conferma nell’app. Non ti chiediamo mai una copia del tuo documento d’identità.

Quando ci chiedi una copia dei tuoi dati, omettiamo le informazioni la cui comunicazione lederebbe i diritti e le libertà altrui (art. 15(4) GDPR). Per esempio, non riveliamo chi ti ha segnalato e possiamo non fornire dettagli di una segnalazione finché il suo esame è in corso.

Sicurezza

Proteggiamo i tuoi dati con la crittografia in transito, controlli di accesso, il principio del privilegio minimo, identificativi pseudonimizzati ove possibile e backup regolari. Nessun sistema è perfettamente sicuro; se una violazione dei dati personali può presentare un rischio elevato per te, te lo comunicheremo.

Minori

spareachair è solo per adulti. Non raccogliamo consapevolmente dati di persone di età inferiore ai 18 anni. Se veniamo a sapere che un utente ha meno di 18 anni, chiuderemo l’account e cancelleremo i suoi dati, tranne i registri di sicurezza che dobbiamo conservare (segnalazioni, registri dei provvedimenti e, se l’account è stato bannato, l’hash con chiave che impedisce una nuova iscrizione) per i periodi indicati in Per quanto tempo conserviamo i tuoi dati. Se un minore può essere a rischio, informiamo le autorità competenti. Se pensi che un minore stia usando il Servizio, segnalalo nell’app o scrivi a privacy@spareachair.com.

Modifiche alla presente informativa

Aggiorneremo la presente informativa quando cambiano i nostri trattamenti. Ogni versione ha un numero di versione e una data di entrata in vigore indicati in cima a questa pagina. Ti comunicheremo le modifiche sostanziali nell’app o via email prima che entrino in vigore.

Contatti

SUPPORT BULGARIA OOD, Hipodruma, bl. 133, ingr. B, piano 4, int. 82, Sofia, Bulgaria, telefono +359 888 886 008 — privacy@spareachair.com.