Informativa sulla privacy di Insieme

BOZZA — da rivedere con un legale. Questo testo descrive quello che l'app fa oggi, ricavato dal codice. Non è ancora un'informativa valida: ogni punto con [DA VERIFICARE] non si può controllare nel codice e va deciso o confermato dal fondatore o dal legale prima della beta. I segnaposto tra parentesi quadre vanno riempiti.

Versione: 2026-10-bozza-4

Ultimo aggiornamento: 26 ottobre 2026

1. Chi siamo

Il titolare del trattamento è [TITOLARE: nome o ragione sociale, indirizzo, partita IVA — da decidere con il commercialista, decisione D12]. Il nome «Insieme» è provvisorio (decisione D1) e può cambiare prima della pubblicazione.

Per qualsiasi richiesta sui tuoi dati scrivi a [EMAIL DI CONTATTO PRIVACY — da creare]. Non abbiamo nominato un responsabile della protezione dei dati (DPO): [DA VERIFICARE con il legale se serve].

2. Che cos'è Insieme

Insieme è un'app per organizzare la famiglia: scrivi o mandi un messaggio, una foto o un PDF, l'assistente propone una cosa da ricordare con una data e una persona responsabile, tu confermi, e la famiglia riceve i promemoria. Nulla diventa un promemoria finché una persona non lo conferma.

L'app è pensata per adulti (18 anni o più). I bambini non hanno un account: i loro nomi li inseriscono i genitori. [DA VERIFICARE con il legale: età minima e responsabilità dei genitori.]

Ragazzi dai 14 anni. Un genitore (admin della famiglia) può dare a un figlio o a una figlia che ha già compiuto 14 anni, l'età del consenso digitale in Italia (articolo 8 del GDPR e articolo 2-quinquies del Codice privacy, D.Lgs. 101/2018), un suo account da «ragazzo o ragazza». Lo fa dalla scheda del figlio: scegliere «Ragazzo o ragazza (14+)» è la dichiarazione del genitore che l'età è raggiunta; non chiediamo la data di nascita. Sotto i 14 anni non c'è un account: il figlio resta una scheda che gestiscono i genitori. Per un ragazzo trattiamo gli stessi dati dell'account di un adulto (email, nome se lo inserisce, accettazione di questa informativa) e il collegamento tra il suo account e la sua scheda. Un ragazzo vede solo le sue cose: quelle che aggiunge lui, quelle che gli vengono affidate e quelle che lo riguardano (la sua scheda), con i loro promemoria; non vede le cose degli altri, le spese, le bollette, gli abbonamenti, gli importi, le schede emergenza (nemmeno la sua), le liste, i numeri utili, i messaggi inoltrati e i file, il piano e i pagamenti, i giri con altre famiglie. Non invita e non toglie nessuno e non cambia la famiglia. Quello che aggiunge lo vedono anche i genitori. Le notifiche che riceve sono solo i promemoria delle sue cose e le cose che qualcuno gli passa, con il solo titolo (punto 6); non riceve riepiloghi della famiglia. Un ragazzo non usa la lettura automatica (punto 5): niente di suo passa all'assistente. Niente pubblicità e nessun uso dei suoi dati per addestrare modelli di intelligenza artificiale, come per tutti. Sul piano Gratuito un ragazzo vede le sue cose ma non le modifica; le modifica con Insieme Famiglia. Il ragazzo può scaricare i suoi dati e cancellare il suo account da «I tuoi dati»: il suo archivio contiene solo quello che vede nell'app. [DA VERIFICARE con il legale: l'età del consenso digitale, la dichiarazione del genitore al posto della verifica dell'età, l'informativa da dare al ragazzo in una forma adatta alla sua età, e la base giuridica per i dati di un ragazzo inseriti dai genitori.]

3. Quali dati trattiamo

Dati dell'account

La tua email, che usiamo per mandarti il codice di accesso a 6 cifre. Non c'è password.
Il tuo nome, se lo inserisci, che le altre persone della famiglia vedono.
Il momento in cui hai accettato questa informativa e i termini, e la versione accettata.

Dati della famiglia, che inserisci tu o chi è nella tua famiglia

Il nome della famiglia e il suo fuso orario.
Le persone della famiglia che aggiungi: figli, adulti, nonni, animali. Di ognuna conserviamo solo il nome e il tipo. Ti consigliamo di usare solo il nome di battesimo, senza cognome. [DA VERIFICARE: l'app oggi non lo chiede in modo esplicito.]
Le cose da fare: titolo, note, data e ora, importo, categoria, chi è responsabile, stato (da fare, in attesa, fatto, scartato), chi l'ha confermata e chi l'ha fatta e quando (la famiglia lo vede: «Fatto da Marco · oggi 18:42»).
Chi ha passato una cosa da fare a chi, e quando: se l'ha passata, se l'ha presa da sé, se l'ha ridata con «Non riesco, lo fai tu?» insieme al motivo scelto tra tre fissi («Non oggi», «Non sono in zona», «Altro», mai un testo libero), e quando chi l'ha ricevuta ha detto «Ci penso io». Lo vedono i membri della famiglia; resta finché esiste la cosa da fare e si cancella con lei.
I «Grazie» per una cosa fatta: chi lo dice, a chi, per quale cosa e quando. Li vedono solo le persone della famiglia, non li contiamo e non facciamo classifiche; non mandano notifiche. Si cancellano con la cosa da fare, con la famiglia o con l'account di chi l'ha detto o ricevuto.
I turni di casa (spazzatura, bagno, il cane...): il nome del turno, ogni quanto si ripete, chi è nella rotazione e in che ordine, a quale adulto arriva il promemoria di chi non ha l'app, i giorni saltati e gli scambi chiesti. Ogni turno è una cosa da fare come le altre. In «Chi fa cosa» gli adulti della famiglia vedono quanti turni ha fatto ognuno nel mese: non facciamo classifiche. Si cancellano quando elimini il turno o la famiglia; chi lascia la famiglia esce dalle rotazioni.
I promemoria generati dalle date.
I giri con altre famiglie (turni in macchina per un'attività dei bambini, e i passaggi una volta sola), solo se la tua famiglia ne crea uno o entra in uno con un invito: il nome dell'attività, i giorni, gli orari di andata e ritorno, il luogo d'incontro, quale famiglia guida ogni tratta, le richieste di scambio e le risposte, e per ogni famiglia del giro il cognome con cui la vedono le altre (ricavato dal nome della famiglia, per esempio «Bianchi» da «Casa Bianchi»), i posti liberi in auto e il nome di battesimo dei bambini che vengono (solo il primo nome: mai il cognome, mai una foto). Questi dati li vedono anche le famiglie del giro, vedi il punto 5. Quale adulto della vostra famiglia guida resta dentro la vostra famiglia: per voi il turno è una cosa da fare come le altre. Quando la vostra famiglia esce dal giro, le altre famiglie non vedono più i nomi dei vostri bambini né i vostri posti, e le vostre tratte future restano senza nessuno; le tratte passate restano nel giro senza il vostro nome. L'ultima famiglia che esce cancella il giro.
«Regala un mese»: il codice della tua famiglia e quando è stato creato; per ogni invito, la famiglia che ha invitato, la nuova famiglia, quale account della nuova famiglia ha usato il codice, il codice e quando; quando si è qualificato, oppure che è stato bloccato dai controlli anti-abuso (stesso account, famiglia propria o reciproca, stesso telefono); per ogni famiglia e invito, il premio (0 o 1 mese; dato, oltre il tetto o saltato; la data). Per i controlli anti-abuso teniamo anche la storia dei telefoni: per ogni account, l'impronta (SHA-256) di ogni codice per le notifiche (token) che ha registrato, mai il codice in chiaro (l'impronta è calcolata senza una chiave segreta), con l'ultima volta che l'abbiamo visto. La teniamo 400 giorni dall'ultima volta che abbiamo visto il codice (la cancella ogni giorno un processo automatico), e la cancelliamo subito quando l'account viene eliminato. La usiamo solo per impedire a una famiglia di premiare se stessa con un secondo account sullo stesso telefono. Non è nell'archivio di «Scarica i tuoi dati» (un'impronta non dice nulla alla persona e rivelerebbe il controllo). Questi dati stanno in tabelle private, senza accesso dall'app. Per il premio la base giuridica è darti il servizio (articolo 6, paragrafo 1, lettera b); per la storia dei telefoni e i controlli anti-abuso è il nostro interesse legittimo a prevenire gli abusi (lettera f). [DA VERIFICARE con il legale: il bilanciamento dell'interesse legittimo per una storia dei telefoni di 400 giorni e se l'impronta senza chiave segreta di un codice per le notifiche è un dato pseudonimo.]
I numeri utili della famiglia (pediatra, scuola, babysitter...): nome, ruolo, telefono e, se li scrivi, email e una nota. Sono dati di altre persone: inserisci solo quelli che servono alla famiglia. Puoi scriverli a mano o sceglierne uno dalla rubrica del telefono: leggiamo solo il contatto che scegli (nome, un numero, l'email), mai la rubrica intera. Su Android per questo il telefono chiede il permesso ai contatti; su iPhone no. Si cancellano quando li elimini o quando viene eliminata la famiglia.
«Persone a cui tengo», solo se la usi: le persone che vuoi sentire più spesso (il nome che scrivi o che prendi dalla famiglia o dai numeri utili, e il telefono solo se lo scrivi o se scegli di copiarlo), ogni quanto vuoi sentirle, l'ultima volta che le hai sentite, il testo del promemoria, e le volte che segni di averle sentite (la data e, se lo scegli, telefonata, messaggio o di persona). Questa lista è solo tua: non la vede nessun altro, nemmeno gli altri adulti della tua famiglia, e il promemoria che ne nasce è una cosa da fare «Solo io» la cui notifica dice solo il suo titolo (punto 6). Insieme non legge le chiamate, gli SMS, WhatsApp o la rubrica del telefono: «Chiama» apre il telefono e sappiamo che vi siete sentiti solo se lo segni tu. Sul piano Gratuito ne vedi le ultime 12 per persona; le altre restano salvate (non cancelliamo niente) e sono nell'archivio. Contiamo solo numeri complessivi (quante persone, quanti contatti segnati), mai nomi. Si cancella quando togli la persona («Smetti di ricordarmelo»), lasci la famiglia o elimini l'account; è nell'archivio di «Scarica i tuoi dati». [DA VERIFICARE con il legale: sono dati di terzi inseriti per uso personale; la base giuridica e se serve un'informativa specifica.]
Gli abbonamenti e le spese che si ripetono (telefono, luce, assicurazioni...): il nome della ditta, l'importo, ogni quanto si paga, la data di rinnovo, il preavviso per disdire, chi se ne occupa e, se lo scrivi, il numero di contratto o di polizza, che serve solo a compilare la lettera di disdetta. Quando segni una disdetta teniamo quanto risparmi all'anno. La lettera la prepara l'app sul telefono e la mandi tu: Insieme non la invia e non contatta la ditta. Nelle notifiche c'è solo il nome dell'abbonamento e la data, mai importi o numeri di contratto. Si cancellano quando li elimini o quando viene eliminata la famiglia.
Le persone della famiglia che non usano l'app (lo zio, la nonna, un'amica, la babysitter): nome e, se lo scrivi, il telefono, e le cose che fanno per voi. Il telefono serve solo ad aprire WhatsApp o gli SMS dal tuo telefono: Insieme non scrive mai a queste persone, il messaggio lo mandi tu. Si cancellano quando le togli dalla famiglia o quando viene eliminata la famiglia.
Le scadenze di casa (cosa c'è in frigo, nel freezer, in dispensa e tra i medicinali, con la data di scadenza), i nomi che la famiglia ricorda per un codice a barre e il conteggio delle scansioni del mese in corso (quale voce ha usato una scansione, quando e chi). Per i medicinali non c'è nessuna ricerca per codice a barre e nessun nome ricordato.
I messaggi che invii per farli leggere all'assistente: il testo, oppure la foto o il PDF. Per la foto o il PDF teniamo il file; il mittente di un messaggio inoltrato, se c’è, viene conservato con il messaggio. Finché non confermi, il messaggio che invii (testo, file e mittente) e le proposte che ne nascono sono solo tuoi: gli altri adulti non li vedono nell'app, nei riepiloghi, negli aggiornamenti in diretta o nelle notifiche. Quando confermi scegli «Chi lo vede?»: «Tutta la famiglia» (predefinito) o «Solo io». Il messaggio che hai inviato diventa visibile agli altri adulti solo quando una proposta nata da lui è confermata per loro e niente di quello che ne deriva resta privato o viene scartato.
La posta in arrivo, solo se la tua famiglia la usa: ogni famiglia può avere un indirizzo email di Insieme a cui inoltrare i messaggi. Di un'email che arriva teniamo l'oggetto, il testo e fino a 3 allegati, come un messaggio inviato dall'app. Se chi la manda non è nella famiglia e non è tra i mittenti approvati, l'email resta da parte, con l'indirizzo di chi l'ha mandata, finché chi è admin non la approva o la scarta, e comunque non più di 30 giorni; nel frattempo l'assistente non la legge. Teniamo anche gli indirizzi dei mittenti che chi è admin ha approvato per sempre, con chi li ha approvati e quando. Un'email che arriva all'indirizzo della famiglia da un mittente approvato, o che chi è admin ha lasciato passare, e ciò che l'assistente ne legge, lo vedono gli adulti della famiglia. Un'email che mandi tu dall'indirizzo con cui accedi a Insieme è come un messaggio inviato dall'app: finché non confermi è solo tua.
Gli inviti: un codice monouso che vale 7 giorni e il ruolo (solo «membro»: nella versione attuale non esistono inviti per osservatori o babysitter).
Il piano della famiglia (gratuito o a pagamento, fino a quando), l'eventuale periodo di prova e, solo se qualcuno della famiglia acquista il piano «Famiglia fondatrice» con Stripe, i pagamenti e i rimborsi: tipo, esito, importo, valuta e data, un codice d'acquisto monouso che collega il pagamento alla famiglia e i codici con cui Stripe identifica l'avviso, la sessione di pagamento e il pagamento (con questi codici Stripe può risalire a chi ha pagato; non contengono la carta, il nome o l'email). I dati della carta e di chi ha pagato li tratta Stripe (punto 5): noi non li conserviamo. Se un adulto della famiglia compra Insieme Famiglia sul sito (insieme.day, abbonamento mensile o annuale con Stripe): lo stato dell'abbonamento (attivo, in prova, pagamento in sospeso, disdetto), mensile o annuale, il prezzo, le date del periodo pagato, della prova, della disdetta e di un eventuale rimborso, chi della famiglia l'ha attivato, e i codici con cui Stripe identifica il cliente, l'abbonamento e i suoi avvisi. Le ricevute le vede solo chi paga, sul sito, e le tiene Stripe.

Dati tecnici

Per le notifiche: il codice del tuo telefono per le notifiche (token) e il sistema (iOS o Android). Ne teniamo anche l'impronta per il controllo anti-abuso di «Regala un mese» (vedi sopra).
Un registro delle notifiche inviate a te (quale promemoria o riepilogo, se è stata consegnata), per 60 giorni (punto 7).
Per ogni chiamata all'assistente: quale fornitore e quale modello l'hanno ricevuta (quando ha risposto il fornitore di riserva, il suo nome), quanti token ha usato, quanto è costata (compreso il tentativo non riuscito con il fornitore principale), l'esito. Non contiene il testo.
«Chiedi a Insieme» (la domanda a parole, in «Cerca»): per ogni domanda, solo il conteggio della famiglia (quante ne ha fatte questo mese e oggi), quale fornitore e quale modello l'hanno ricevuta, i token, il costo e l'esito. La domanda e la risposta non vengono conservate da noi; se il fornitore le conservi o le usi per addestrare i modelli è ancora da verificare (punto 5).
«Proponi pranzo o cena» (le idee per il prossimo pasto): per ogni richiesta, solo il conteggio della famiglia (quante ne ha fatte questo mese e oggi), quale fornitore e quale modello l'hanno ricevuta, i token, il costo e l'esito, e per 15 minuti l'ultimo risultato (i nomi dei piatti proposti), per non chiamare di nuovo il fornitore con la stessa richiesta; poi non resta niente. Gli ingredienti che scrivi in «Cosa ho oggi» valgono solo per quella richiesta; gli «Ingredienti da evitare» restano salvati per la famiglia, in chiaro, finché non li cambi.
I registri tecnici dei nostri servizi: contengono conteggi ed errori, non titoli, testi o codici. [DA VERIFICARE: i registri del servizio di accesso di Supabase contengono l'indirizzo IP e l'agente utente; vengono cancellati quando elimini l'account.]
Le segnalazioni di problemi, se ne invii una da «Segnala un problema»: il testo che scrivi, la categoria che scegli (facoltativa) e dati tecnici dell'app e del telefono (versione e numero di build dell'app, iOS o Android e versione del sistema, canale di installazione, la schermata da cui arrivi come nome tecnico senza titoli né nomi, la lingua, l'ora di invio). La segnalazione è collegata al tuo account, così possiamo risponderti; non contiene la famiglia, né titoli, note, nomi, allegati o dati delle tue liste. La usiamo solo per risolvere il problema e risponderti. Massimo 10 segnalazioni al giorno per persona.
«Scansiona» (le scadenze): la data di scadenza e il codice a barre si leggono sul telefono, con una libreria che funziona dentro l'app (Google ML Kit, punto 5). L'immagine non viene mandata a nessun servizio di intelligenza artificiale, né nostro né di altri, e non arriva ai nostri server. La foto della data non viene salvata e non esce dal telefono: si cancella appena letta. Del codice a barre di un alimento va su Open Food Facts (punto 5) solo il numero, per trovare il nome; il nome trovato resta in memoria sul telefono.
«Scansiona» sui documenti (Scadenze di famiglia): la data di scadenza si legge sul telefono, con la stessa libreria di «Scansiona» (Google ML Kit, punto 5), anche senza rete. Sul documento leggiamo solo la data di scadenza, sul telefono: dal codice MRZ del passaporto o della carta d'identità (solo il campo della scadenza, con la sua cifra di controllo; la data di nascita si controlla solo per il codice, ma non viene mai conservata) o dalla data stampata (Scadenza / Expiry / Date of expiry / 4b / Data di scadenza / Prossima revisione). La foto viene cancellata subito dopo la lettura e il testo riconosciuto viene buttato dalla memoria appena la data è estratta; non salviamo, non registriamo e non inviamo nulla (numero del documento, data di nascita, cognome, foto, indirizzo, testo MRZ): l'immagine non arriva ai nostri server né a servizi di intelligenza artificiale. Solo la data e, se il nome letto corrisponde a quello di una persona della famiglia, la persona suggerita escono dal lettore; la scansione non entra nel conteggio mensile.
Nella sezione «Calendario del telefono» (se la attivi): niente viene mandato ai nostri server. Vedi il punto 6.
Rapporti sugli errori (punto 5, Sentry), se l'app si blocca o una funzione del server fallisce: il tipo di errore e il punto del codice in cui è avvenuto, la versione e il numero di build dell'app, il canale di installazione, iOS o Android e la versione del sistema, il modello del telefono (non il nome che gli hai dato), le schermate visitate prima dell'errore come nomi tecnici senza titoli né nomi, e un codice casuale di questa installazione, che non è collegato al tuo account né alla famiglia. Mai il testo dell'errore, i titoli, le note, i nomi, le date, le foto, la tua email o l'indirizzo IP (Sentry è impostato per non conservarlo). Niente registrazioni dello schermo né screenshot. Se a bloccarsi è il sistema del telefono sotto l'app (un arresto «nativo» o l'app che non risponde), il rapporto lo prepara la libreria di Sentry con i suoi dati tecnici standard: oltre a quelli sopra, lo stato dei processi dell'app al momento del blocco, la memoria, la lingua e il fuso orario del telefono, e gli eventi tecnici dell'app (per esempio «l'app è passata in primo piano»); non contiene i tuoi testi. Puoi spegnerli in «I tuoi dati» → «Invia rapporti sugli errori»: da quel momento il telefono non manda più nulla e il codice casuale viene cancellato.
Alexa (solo se la colleghi tu da «I tuoi dati», Collegamenti; solo con il piano Insieme Famiglia): conserviamo il collegamento (la famiglia, la persona, la data in cui l’hai fatto e l’ultimo uso) e, di ogni autorizzazione, soltanto un’impronta cifrata (SHA-256): nessuna chiave in chiaro. Quello che dici ad Alexa («Alexa, chiedi a Insieme di ricordare…») lo elabora Amazon secondo le sue condizioni: a noi arriva solo il testo, che diventa una proposta in «Da confermare» come un messaggio scritto, e non diventa mai un promemoria da solo. Per rispondere a «cosa c’è oggi» o «chi accompagna…» Alexa legge a voce solo titoli, orari e chi se ne occupa, mai note, importi o allegati; con «Notifiche salute discrete» attivo (se non lo spegni) una cosa sulla salute la dice e la mostra solo come «Promemoria salute», senza titolo, così il titolo non arriva ad Amazon. Il collegamento è tuo e di nessun altro della famiglia; lo togli quando vuoi da «I tuoi dati»: si cancellano il collegamento e le autorizzazioni, le cose già aggiunte restano. Non teniamo né la frase né la risposta.

Dati particolari (dati sulla salute). Insieme può tenere le date di visite, esami, vaccini e medicinali delle persone della famiglia, anche dei figli, come cose da fare con una data e una persona che se ne occupa. Sono dati relativi alla salute (articolo 9 del GDPR). Trattiamo solo quello che scrivi tu o che confermi da un messaggio: il titolo (per esempio «Visita pediatra», «Richiamo vaccino»), la data o l'ora, la persona e chi se ne occupa. Non chiediamo e non calcoliamo dosi, sintomi o diagnosi, e non proponiamo vaccini o calendari. Ci sono due consensi espliciti, separati da tutto il resto (articolo 9, paragrafo 2, lettera a):

alla prima apertura, per i dati di questo tipo che possono esserci nei messaggi che decidi tu di inviare all'assistente (per esempio un avviso della scuola sul vaccino); se non lo dai non puoi usare l'app;
la prima volta che segni tu qualcosa come salute (la categoria «Salute», le schermate della salute o la conferma di una proposta dell'assistente sulla salute), un consenso a parte, solo tuo: senza, non puoi aggiungere cose sulla salute, neanche confermando una proposta (puoi solo scartarla). Registriamo quando l'hai dato, la versione del testo che hai visto e la sua lingua. Puoi ritirarlo quando vuoi da «I tuoi dati»: da quel momento non puoi aggiungere nuove cose sulla salute, neanche confermando una proposta; quelle già salvate restano finché tu o la tua famiglia non le eliminate, e sono nel file di «Scarica i tuoi dati». Il ritiro non rende illecito il trattamento già fatto.

Le cose sulla salute le vedono solo le persone della tua famiglia su Insieme, come tutte le altre: niente link pubblici, niente persone esterne. Nelle notifiche, con «Notifiche salute discrete» (attivo se non lo spegni) una cosa sulla salute compare come «Promemoria salute», senza titolo (punto 6). [DA VERIFICARE con il legale: basi giuridiche dell'articolo 9 per i dati dei figli (il genitore che li inserisce), per i dati degli altri adulti della famiglia inseriti da un familiare, e se la valutazione d'impatto sui dati sulla salute è sufficiente.]

La scheda emergenza. Per ogni persona della famiglia (adulti, figli, nonni) potete tenere una scheda da usare in un'emergenza: chi chiamare (fino a 3 contatti con il telefono), data di nascita e lingue, e, se volete, gruppo sanguigno, allergie con la gravità, condizioni, medicine abituali, dispositivi (per esempio un pacemaker), la scelta sulla donazione di organi, il medico o il pediatra con il telefono, il numero della tessera sanitaria, una nota per chi aiuta, per un figlio la scuola e chi può fare il ritiro da scuola, per un anziano chi presta assistenza e i bisogni. Sono le parole della famiglia: Insieme non le controlla e non dà consigli. Le parti sulla salute (gruppo, allergie, condizioni, medicine, dispositivi, donazione, medico, tessera sanitaria, bisogni, nota per chi aiuta) le può salvare solo chi ha dato il consenso alla salute del punto qui sopra; i contatti da chiamare no. Chi la vede e chi la modifica: la scheda di un adulto con un account la crea e la modifica solo lui o lei; gli altri adulti della famiglia la vedono su Insieme in sola lettura (è lo scopo di una scheda emergenza), a meno che chi la possiede non scelga «Solo io e i miei contatti di emergenza»: da quel momento gli altri adulti non la vedono più nell'app e sanno solo che la compila da sé, e la sua scheda non manda più a un altro adulto il promemoria sulle medicine o le allergie cambiate. Le schede dei figli, dei ragazzi e delle persone senza account le vedono e le modificano gli adulti della famiglia. Un ragazzo non vede nessuna scheda (vedi sopra). Per aprirla anche senza rete, una copia sta sul telefono, cifrata come la sessione (la chiave resta nel portachiavi del telefono, non nelle copie di sicurezza); la togliamo dal telefono quando esci dall'account, lo elimini o lasci la famiglia. La scheda esce da Insieme solo se lo fai tu: «Manda la scheda» crea sul tuo telefono un'immagine o un PDF con la scadenza scritta sopra e lo passi tu con la condivisione del telefono (nessun link, niente sui nostri server); il numero della tessera sanitaria resta fuori se non scegli di includerlo; chi lo riceve ne tiene una copia che non possiamo più togliere. Ogni sei mesi, e quando cambiano medicine o allergie, Insieme aggiunge alla famiglia la cosa da fare «Controlla la scheda di <nome>»: la notifica contiene solo questo titolo, mai i dati della scheda (punto 6). Per la Cartella clinica di iPhone o le Informazioni di emergenza di Android, Insieme non può scriverci: ti mostra i dati da copiare e li copi tu; quello che metti lì lo gestisce il sistema del telefono, non Insieme. Sul telefono bloccato scegli tu dato per dato cosa mostrare (di base niente è visibile), con l'avviso esplicito che chiunque abbia il telefono in mano potrà leggere i dati scelti; puoi generare uno sfondo per la schermata di blocco con i soli dati scelti posizionati nell'area sicura tra l'orologio e i pulsanti di sistema. [DA VERIFICARE con il legale: la base dell'articolo 9 per i dati sulla salute di un altro adulto o di un figlio inseriti da un familiare nella scheda, e l'interesse vitale (articolo 9, paragrafo 2, lettera c) per chi la legge in un'emergenza.]

Cosa Insieme non fa: nessun consiglio medico, nessuna dose, nessun controllo di interazioni, nessun calendario vaccinale. Per dosi e terapie chiedi al medico.

Se chiedi di provare la beta dal sito (insieme.day, modulo «Provami tra i primi»), anche senza un account: la tua email; le risposte facoltative che scegli (con chi vivi: da solo/a, in coppia, con figli, con un genitore da seguire; il telefono: iPhone, Android o entrambi; come ci hai conosciuto, una riga di testo); la lingua della pagina; il momento in cui hai dato il consenso e la versione di questa informativa che la pagina mostrava; un codice casuale che serve solo al link per cancellare la richiesta. Una seconda richiesta con la stessa email non ne crea un'altra e non cambia le risposte della prima. Per limitare gli abusi contiamo per 24 ore le richieste che arrivano da uno stesso indirizzo IP e per una stessa email: teniamo un'impronta cifrata con una chiave segreta, mai l'indirizzo IP o l'email in chiaro. Il modulo non usa cookie né script di altri. Usiamo questi dati solo per invitarti alla beta e scegliere le famiglie (per esempio iPhone e Android, case diverse); non li usiamo per newsletter o pubblicità. [DA VERIFICARE con il legale: questo paragrafo, la base giuridica e il periodo di conservazione delle richieste per la beta.]

Non raccogliamo la posizione né gli identificativi pubblicitari. Il microfono si usa solo se tocchi «Parla» o se dici una frase a Siri, a Gemini o all’Assistente (punto 5): il riconoscimento vocale è del telefono, e a noi arriva il testo, mai la voce. Della rubrica del telefono leggiamo solo il contatto che scegli tu per i numeri utili (vedi «I numeri utili» al punto 3), mai la rubrica intera. Non usiamo strumenti di statistica o di tracciamento nell'app: l'unica libreria di diagnostica è quella dei rapporti sugli errori (Sentry, qui sopra), che non conta come usi l'app e che puoi spegnere. [DA VERIFICARE prima di ogni build: nessun SDK di analisi è stato aggiunto. A parte vanno valutati i dati di utilizzo e di diagnostica che la libreria Google ML Kit può mandare a Google, punto 5.]

4. Perché li trattiamo e con quale base giuridica

Darti il servizio (articolo 6, paragrafo 1, lettera b): account, famiglia, cose da fare, promemoria, notifiche, lettura dei messaggi con l'assistente, le segnalazioni di problemi che ci invii e la risposta che ti diamo. Senza questi dati l'app non funziona.
Il tuo consenso (lettera a): le notifiche (le attivi tu nelle impostazioni del telefono), il calendario del telefono (lo attivi tu), il consenso per i dati particolari del punto 3, e il consenso della famiglia a tenere i messaggi originali per migliorare la lettura (punto 7). Puoi ritirare il consenso quando vuoi, senza che il trattamento già fatto diventi illecito.
Il tuo consenso esplicito per i dati sulla salute (articolo 9, paragrafo 2, lettera a): i dati sulla salute nei messaggi che invii e le cose sulla salute che segni tu (visite, vaccini, medicinali), con i due consensi separati del punto 3. Li usiamo solo per ricordarti le date e mostrarli alla tua famiglia: mai per consigli, statistiche sulla salute, pubblicità o per addestrare modelli.
Il nostro interesse legittimo (lettera f): sicurezza, prevenzione degli abusi, limiti di utilizzo dell'assistente e controllo dei costi; capire se Insieme aiuta davvero le famiglie, contando in forma aggregata quello che l'app già registra (per esempio quante cose fatte in una settimana da un adulto diverso da chi le aveva aggiunte, come sono divise tra gli adulti, o la conversione dal periodo di prova al piano a pagamento): ne ricaviamo solo numeri e percentuali su tutte le famiglie insieme, mai nomi, titoli o dati di una singola famiglia, e senza strumenti di tracciamento nell'app; i rapporti sugli errori (punto 3), per trovare e correggere i blocchi dell'app e dei nostri servizi. Ai rapporti sugli errori puoi opporti in ogni momento spegnendoli in «I tuoi dati». [DA VERIFICARE con il legale.]
Richiesta di provare la beta (punto 3): il tuo consenso (lettera a), che dai spuntando la casella del modulo; lo ritiri cancellando la richiesta con il link (punto 8). Il conteggio delle richieste per indirizzo IP ed email si basa sul nostro interesse legittimo a prevenire gli abusi (lettera f). [DA VERIFICARE con il legale: consenso (lettera a) o misure precontrattuali su tua richiesta (lettera b).]
Obblighi di legge (lettera c): contabilità e fisco, per i pagamenti, se ce ne sono. [DA VERIFICARE con il commercialista: quali dati dei pagamenti vanno tenuti e per quanto.]

Non vendiamo i tuoi dati. Non li usiamo per fare pubblicità. Non li usiamo per addestrare modelli di intelligenza artificiale. Che anche il fornitore dell'assistente non li usi per addestrare i modelli non è ancora confermato per iscritto (punto 5): [DA VERIFICARE]. Non prendiamo decisioni automatizzate che producano effetti giuridici su di te: l'assistente propone, una persona conferma.

5. Con chi li condividiamo

Le persone della tua famiglia vedono le cose da fare, le persone e i nomi dei membri. Un ragazzo dai 14 anni vede solo le sue cose (punto 2). Nessuno vede quelle di un'altra famiglia: lo impone il database, con una regola per ogni riga e con test automatici, anche per quello che un ragazzo vede.

Le altre famiglie di un giro. Un giro con altre famiglie (punto 3) e «Regala un mese» (paragrafo successivo) sono le uniche cose che Insieme condivide fuori dalla tua famiglia. Un giro lo condividiamo solo con le famiglie di quel giro, ognuna entrata con il proprio account (non esistono accessi da ospite né una pagina web del giro). Vedono: il giro (attività, giorni, orari, luogo), quale famiglia guida ogni tratta, le richieste di scambio, il vostro cognome, i vostri posti in auto e il nome di battesimo dei vostri bambini nel giro. Non vedono nient'altro della vostra famiglia: né le cose da fare, né le persone, né i membri o i loro nomi, né i documenti, e nemmeno quale adulto di voi guida. Un passaggio una volta sola lo vedono solo le famiglie a cui viene proposto, che già sono in un giro con voi. Anche questo lo impone il database, con test automatici. Il messaggio «Condividi i turni» lo mandi tu, dal tuo telefono, nella chat che scegli (per esempio WhatsApp): contiene le prossime date con il cognome di chi guida, l'invito e, nell'immagine, anche il nome di battesimo dei bambini e i posti in auto; chi lo riceve lo legge nella sua chat, fuori da Insieme.

«Regala un mese». Se la tua famiglia entra in Insieme con il link di un'altra famiglia, gli adulti di quella famiglia (non i ragazzi) vedono, per ogni famiglia entrata con il loro link, solo «Un’altra famiglia», quante delle prime 3 cose da fare della nuova famiglia risultano confermate (0-3), se il mese è stato dato e se il loro premio ha raggiunto il tetto annuale (12 mesi in 365 giorni). Il nome della vostra famiglia non lo vedono mai e non lo conserviamo. Non vedono nient'altro di voi: né le cose da fare, né le persone, né i membri o i loro nomi. Lo impone il database, con test automatici. Voi non vedete nulla della famiglia che vi ha invitato, oltre a quello che vi ha detto chi vi ha mandato il link; se inviti tu, vale lo stesso al contrario.

Per far funzionare Insieme ci serviamo di fornitori (responsabili del trattamento). Con ciascuno serve un accordo sul trattamento dei dati (DPA). [DA VERIFICARE: nessun DPA risulta ancora firmato.]

Supabase — database, accesso, archiviazione dei file, funzioni del server. Progetto ospitato in un'area dell'Unione europea. [DA VERIFICARE: la regione del progetto vero.]
I fornitori dell'assistente (intelligenza artificiale) — il fornitore riceve il testo del messaggio o la foto/il PDF (per una foto, se il testo che il telefono ci ha letto sopra basta, riceve solo quel testo e non la foto), un elenco con i nomi dei membri e delle persone della famiglia (solo il primo nome, cioè la prima parola del nome, mai il cognome, l'email o il telefono; se due hanno lo stesso primo nome, anche l'iniziale della seconda parola) e la data di oggi, per proporre le cose da ricordare. Per «Chiedi a Insieme» riceve solo la domanda scritta, la data di oggi e solo il primo nome dei membri e delle persone della famiglia, mai le cose della famiglia (titoli, note, importi): il fornitore sceglie soltanto che cosa cercare, e la ricerca, le somme e le date le calcola il nostro server tra le cose della famiglia, con i permessi di chi ha fatto la domanda, quindi mai quelle di un'altra famiglia. La risposta è composta dall'app dalle cose trovate; per la salute resta ciò che c'è già, date e persone, senza consigli. Lo spegnimento della lettura automatica ferma anche le domande. Per «Proponi pranzo o cena» riceve gli ingredienti che scrivi o scegli tra le scadenze, gli ingredienti da evitare, il tempo a disposizione, la stagione, i titoli dei pasti degli ultimi giorni e i nomi dei piatti preferiti della famiglia, mai nomi di persone, note o importi; propone solo nomi di piatti e ingredienti, e quello che hai già e quello che ti manca lo calcola il nostro server. Niente calorie, niente consigli di salute. Anche questo si ferma con la lettura automatica. Oggi il fornitore è Google (Gemini), per tutto quello che è descritto qui; il nostro server parla solo con gli indirizzi dei fornitori elencati nel nostro codice e rifiuta tutti gli altri; per Google, oltre all'API Gemini usata oggi, solo le regioni di Vertex AI dentro l'Unione europea. L'elaborazione può avvenire anche fuori dall'Unione europea (punto 10). [DA VERIFICARE: la regione effettiva, il contratto di trattamento dei dati con Google, che con il piano a pagamento Google non usi i dati per addestrare i modelli, e per quanto tempo conserva le richieste, anche per il controllo degli abusi.] Mistral AI (Francia) è il fornitore che potremmo usare in alternativa o di riserva quando Google non risponde (non è raggiungibile, è sovraccarico o è in errore); prima di usarlo lo indichiamo qui. [DA VERIFICARE: per Mistral AI la regione, il DPA, che non si addestri sui nostri dati e per quanto tempo conserva le richieste; e se un fornitore di riserva riceve anche le foto.] Cerchiamo fornitori che non si addestrano sui nostri dati e firmano un contratto di trattamento dei dati (decisione D5); dove un fornitore elabora i dati fuori da UE/SEE ci appoggiamo a una decisione di adeguatezza o a clausole contrattuali standard (punto 10). I fornitori ricevono qualcosa solo se la lettura automatica è attiva: chi è admin della famiglia può spegnerla in «I tuoi dati», e da quel momento niente di quello che la famiglia invia (testo, foto, PDF) arriva a nessun fornitore; si aggiunge tutto a mano. L'unica eccezione, che non si può evitare: un messaggio che in quell'istante è già in lettura finisce di essere letto (pochi secondi). Il controllo avviene sul nostro server, non solo nell'app, e registriamo chi ha cambiato la scelta e quando.
Open Food Facts (openfoodfacts.org, database libero e aperto) — se scansioni il codice a barre di un alimento, riceve solo il numero del codice, per restituire il nome del prodotto, e vede l'indirizzo IP del telefono come ogni sito che si visita. Non riceve nessun dato tuo né della famiglia, nessuna foto, e non viene mai interrogato per i medicinali. [DA VERIFICARE: chi gestisce Open Food Facts e dove stanno i server; serve un accordo sul trattamento dei dati o basta che il numero di un prodotto non sia un dato personale?]
Apple e Google (riconoscimento vocale del telefono) — solo se usi «Parla» nell’app, o dici una frase a Siri, ai Comandi Rapidi, al Tasto Azione, a Gemini o all’Assistente Google (funzioni di Insieme Famiglia). La voce la trasforma in testo il sistema del telefono, secondo le condizioni di Apple o di Google; noi non registriamo, non riceviamo e non conserviamo l’audio. Riceviamo e salviamo solo il testo, che trattiamo come uno scritto a mano: diventa una proposta da confermare e usa una lettura dell’assistente. [DA VERIFICARE con le informative di Apple (Siri e Dettatura) e di Google (Assistente, Gemini): dove avviene il riconoscimento, se il testo passa dai loro server, le impostazioni che la persona può cambiare.]
Amazon (Alexa) — solo se colleghi Alexa: riceve la tua voce dall’Echo, la elabora e ci manda il testo; riceve da noi le parole che Alexa dice ad alta voce (titoli, orari e chi se ne occupa di quel giorno) e, se apri l’app Alexa, le stesse righe in una scheda. È un titolare autonomo, con le sue condizioni. [DA VERIFICARE: Amazon può trattare i dati fuori dall’UE/SEE; verificare trasferimento e basi con il legale prima della pubblicazione della skill.]
Google (ML Kit) — la libreria che, dentro l'app, legge il testo della data in «Scansiona» e il testo delle foto che mandi all'assistente (su iPhone e su Android) e, su Android, anche il codice a barre (su iPhone il codice a barre lo legge la fotocamera di Apple, sul telefono). Le immagini e il testo letto non li mandiamo a Google. In «Scansiona» restano sul telefono. Per una foto mandata all'assistente, il testo letto va al nostro server insieme alla foto e, se basta, al fornitore dell'assistente al posto della foto; non lo conserviamo. La libreria però può mandare a Google dati di utilizzo e di diagnostica (per esempio quale funzione è stata usata, quanto ci ha messo, gli errori, il modello e il sistema del telefono, la versione dell'app). [DA VERIFICARE con la scheda di Google sui dati raccolti da ML Kit: quali dati esattamente, se si possono spegnere, la base giuridica e il trasferimento fuori dall'UE.]
Sentry (Functional Software, Inc.) — riceve i rapporti sugli errori del punto 3, dall'app e dalle funzioni del nostro server, nella regione dati dell'Unione europea (Francoforte, Germania). Prima di partire ogni rapporto di un errore dell'app o del server passa da un filtro che tiene solo i campi tecnici elencati al punto 3 e toglie tutto il resto; i rapporti dei blocchi «nativi» del telefono non passano da questo filtro e contengono i dati tecnici standard descritti al punto 3, e su Sentry sono attivi i filtri automatici dei dati personali. Sentry non riceve nulla se spegni l'interruttore, e nulla finché il servizio non è configurato. [DA VERIFICARE: DPA con Sentry da firmare (#305); Sentry ha sede negli Stati Uniti, vedi il punto 10.]
Expo (Expo Push Service) — riceve il codice del telefono e il testo della notifica per consegnarla a Apple (APNs) o Google (FCM). [DA VERIFICARE: Expo ha sede negli Stati Uniti; trasferimento extra-UE, serve una base come le clausole contrattuali standard o il Data Privacy Framework.] Apple e Google consegnano la notifica sul tuo telefono.
Il fornitore dell'invio email (SMTP) — manda il codice di accesso alla tua email. [FORNITORE: da decidere.]
Il tuo calendario, solo se lo attivi o se scegli di importarne gli impegni: vedi il punto 6.

Il fornitore della posta in arrivo, solo se la tua famiglia usa l'indirizzo email di Insieme — riceve le email inoltrate a quell'indirizzo e ce le consegna. Sarà un fornitore che elabora i dati nell'Unione europea (decisione D4). [FORNITORE: da decidere; l'integrazione pronta è per Mailgun, regione UE.]
Stripe, solo se acquisti il piano «Famiglia fondatrice» o l'abbonamento sul sito — gestisce il pagamento e riceve i dati che inserisci nella sua pagina (per esempio email e carta); per l'abbonamento sul sito gli mandiamo anche l'email con cui entri, per le ricevute, e il codice della famiglia, e Stripe ci dice lo stato dell'abbonamento. Quando elimini l'account, togliamo da Stripe la tua email, il tuo nome, il tuo indirizzo e i nostri codici; Stripe tiene le ricevute e i pagamenti già fatti, per la legge fiscale (punto 8). Ci avvisa del pagamento, e dell'avviso teniamo il tipo, l'esito, l'importo, la valuta, la data, il codice d'acquisto che collega il pagamento alla famiglia e i codici con cui Stripe identifica l'avviso, la sessione di pagamento e il pagamento. Questi codici non contengono la carta, il nome o l'email di chi ha pagato, ma Stripe, che li ha, può collegarli a quei dati. [DA VERIFICARE con il legale: se Stripe è responsabile del trattamento o titolare autonomo, e il trasferimento fuori dall'UE.]

In programma, non ancora attivo: RevenueCat (per l'abbonamento tramite App Store e Google Play, decisione D13). Prima di attivarlo aggiorniamo questa informativa e ti chiediamo di accettare di nuovo.

Possiamo comunicare i dati se la legge o un'autorità lo impongono.

6. Cosa va nelle notifiche e nel calendario del telefono

Notifiche push: Insieme non aggiunge mai il nome di una persona a una notifica: i nomi li vedi solo nell'app, dopo averla aperta. Il titolo di una cosa invece compare come è scritto: se contiene un nome, il nome si vede (vedi sotto). Ogni tipo di notifica contiene solo:
Promemoria: il titolo della cosa da fare e quando è: «Pediatra · oggi alle 17:15».
Cosa passata a te / tornata a te: il titolo e, se sono più cose, un numero: «Per te: Pagare la mensa», «Per te: 3 cose», «Torna a te: Pagare la mensa», «Tornano a te: 3 cose»; per un turno di scuola (uno scambio) il turno e il giorno, mai il titolo: «Per te: il ritiro di gio 22 ott»: mai chi te l'ha passata, mai il motivo.
Riepilogo serale: numeri e conteggi, mai un nome: «Domani: 3 cose (2 per te) · 1 scaduta · 2 da confermare · 2 fatte da altri»; se è una sola persona: «2 fatte da un'altra persona».
Riepilogo del mattino: numeri e conteggi, mai un titolo: «1 accompagnamento senza nessuno · Oggi: 3 cose (1 per te) · 2 scadute · 2 cose scadono oggi».
Riepilogo della settimana: numeri e conteggi: «La settimana: 9 cose in arrivo · 14 fatte insieme».
Turno di scuola (ritiro o accompagnamento): il tipo di turno e l'ora, mai il nome del bambino o dell'aiutante: «Oggi alle 16:30 tocca a te il ritiro», «Oggi alle 08:00 tocca a te l’accompagnamento»; se lo fa un aiutante e sei il referente: «Oggi alle 16:30 il ritiro lo fa qualcun altro: sei il referente»; se non è di nessuno: «Oggi alle 16:30 ritiro senza nessuno»; se è di un'altra persona: «Oggi alle 16:30 c’è il ritiro».
Domanda del calendario scolastico: i giorni, mai i nomi dei bambini: «Scuole chiuse lunedì 8 e martedì 9 febbraio: chi tiene i bambini?».
Avanzamento sulla schermata di blocco (Insieme Famiglia): il tipo di turno e l'ora, o il titolo dell'attività, mai un nome, note, importi, luogo o posizione: «Il ritiro è partito» · «Ritiro alle 16:30», «Tocca a te: ritiro alle 16:30», «Fatto · 16:34» · «Ritiro fatto», «Ritiro delle 16:30 senza “Fatto”», «In corso: Nuoto».
Giro con altre famiglie: il nome del giro, un giorno, la tratta e un numero: «Calcio: potete fare l’andata di gio 15 ott?», «Calcio: 2 tratte senza nessuno»: mai il nome di un'altra famiglia, di un adulto o di un bambino.
Scadenza per disdire un abbonamento: il nome dell'abbonamento e la data: «Per disdire Allianz devi mandare la PEC entro il 3 novembre»: mai l'importo o il numero di contratto.
Sovrapposizioni (Insieme Famiglia): i titoli delle cose: «Si sovrappongono: Dentista e Calcio»; per la salute «Promemoria salute»; per una cosa privata di un'altra persona «occupato»; un turno di scuola «un turno di scuola», mai il suo titolo: «Nessun adulto libero per un turno di scuola».
Documento che scade prima di un viaggio (Insieme Famiglia): solo il titolo della scadenza, come l'avete scritto: «Passaporto di Leo»; mai il viaggio, la meta, le date o un numero del documento. Arriva una volta sola, tre mesi prima della partenza, a chi se ne occupa e vede sia il viaggio sia il documento.
Avviso dopo «Ci penso io» (sul telefono, quando qualcuno è arrivato prima): «Se ne occupa già un’altra persona», mai il nome.

Mai le note o gli importi. Il titolo lo scrive la famiglia, o lo propone l'app quando crei una cosa partendo da una persona («Festa di Leo», «Regalo per Leo», «Controlla la scheda di Leo»): in quel caso il nome è nel titolo e compare nel promemoria. Evitate dati sensibili nei titoli (anche i nomi). Per le cose sulla salute, «Notifiche salute discrete» (nelle impostazioni delle notifiche, attivo se non lo spegni, una scelta di ogni persona) mostra solo «Promemoria salute · oggi alle 17:15», anche quando qualcuno te la passa («Per te: Promemoria salute»), così sullo schermo bloccato non si legge il titolo; vale anche per il fornitore delle notifiche (Expo, Apple, Google), che allora non riceve il titolo.

Calendario del telefono e cose sulla salute: se attivi il calendario del telefono, le cose sulla salute ci finiscono come «Promemoria salute», con giorno e ora ma senza il titolo, qualunque sia la scelta sulle notifiche discrete. Nelle impostazioni del calendario del telefono, chi lo ha attivato su quel telefono può scegliere di mostrare il titolo per tipo (visite, vaccini, medicine, altro di salute); sono tutti spenti finché non li accendi tu. Se ne spegni uno, gli eventi già scritti tornano «Promemoria salute» al prossimo aggiornamento.
Calendario del telefono (facoltativo, lo attivi tu): Insieme crea sul tuo telefono un calendario «Insieme» e ci mette le cose confermate. Nell'evento ci sono solo titolo, giorno e ora. Se scegli il tuo account Google o Apple, i titoli finiscono in quell'account (e li vedono anche le persone con cui condividi quel calendario). È una copia a senso unico e vale solo per quel telefono. Quando lo disattivi, o elimini l'account o la famiglia, togliamo gli eventi dal telefono.
Importare dal calendario del telefono (facoltativo, lo scegli tu ogni volta): se tocchi «Importa dal calendario», l'app chiede il permesso e legge, solo dai calendari che scegli e solo sul tuo telefono, gli impegni delle prossime 8 settimane. Vedi un'anteprima e scegli quali importare: soltanto quelli che lasci selezionati (titolo, giorno e ora) arrivano ai nostri server e diventano cose della famiglia, visibili a tutti i suoi membri; il resto non lascia il telefono. Sono dati personali che decidi tu di condividere con la famiglia. Gli impegni che Insieme stessa ha scritto sul tuo telefono non vengono riletti, e importare due volte non crea doppioni. Le cose importate si eliminano come tutte le altre.
Importare le tue liste da Google Tasks (facoltativo, lo scegli tu ogni volta): se tocchi «Collega Google Tasks», entri con il tuo account Google sul telefono e Google ci dà, solo per questa operazione, il permesso di leggere le tue liste (ambito di sola lettura tasks.readonly). Le liste si leggono una volta sola, sul tuo telefono: il permesso non lo teniamo (non lo salviamo, non lo mandiamo ai nostri server e lo revochiamo subito dopo la lettura), non chiediamo un permesso duraturo, e la volta dopo te lo richiediamo. Vedi un'anteprima e scegli: soltanto le cose che lasci selezionate (titolo, note, data) arrivano ai nostri server e diventano cose della famiglia, visibili a tutti i suoi membri; il resto non lascia il telefono. Limited Use wording: l'uso e il trasferimento a qualsiasi altra app delle informazioni ricevute dalle API di Google rispetteranno la Google API Services User Data Policy, compresi i requisiti di Uso limitato (Limited Use): usiamo i dati di Google Tasks solo per mostrarti l'anteprima e creare le cose che scegli; non li trasferiamo ad altri, non li usiamo per pubblicità e nessuna persona li legge, salvo che tu lo chieda per assistenza, per sicurezza o per obbligo di legge; non li usiamo per addestrare modelli di intelligenza artificiale, e nessun modello li legge (le liste importate non passano dall'assistente). Importare due volte non crea doppioni, nemmeno se prima hai usato il file di Google (Takeout). Le cose importate si eliminano come tutte le altre.

7. Per quanto tempo li teniamo

Messaggi originali (testo e file inviati all'assistente): li cancelliamo 30 giorni dopo la lettura. Le cose da fare nate dal messaggio restano. L'eccezione è la scelta facoltativa «Aiuta a migliorare la lettura», che solo chi è admin della famiglia può attivare: i messaggi restano più a lungo per verificare che Insieme legga bene date e importi, e prima di usarli togliamo nomi e dati personali. La puoi spegnere quando vuoi: i messaggi con più di 30 giorni vengono allora cancellati. Ogni cambiamento della scelta è registrato con la versione del testo mostrato.
Cose da fare, promemoria, persone, famiglia: finché la famiglia esiste o finché non le elimini. Una cosa da fare eliminata resta per 30 giorni in «Eliminati di recente», con il nome di chi l'ha eliminata, e chiunque sia admin o membro della famiglia può ripristinarla; poi la cancelliamo per sempre (i suoi promemoria non partono più dal momento dell'eliminazione). Se non vuoi aspettare 30 giorni, chi è admin o membro può usare «Elimina definitivamente» negli «Eliminati di recente»: la cancelliamo subito, con i suoi promemoria e, se dal messaggio originale non resta nessun'altra cosa da fare (nemmeno negli «Eliminati di recente»), anche con il messaggio, i suoi allegati e le proposte dell'assistente che avevate scartato. Quando una cosa da fare viene cancellata per sempre, per le statistiche interne del servizio teniamo per 180 giorni solo quando è stata confermata o completata, da chi (un identificativo, non il nome), la categoria e se l'assistente l'aveva letta bene: mai il titolo, le note, l'importo o la data. Dopo 180 giorni cancelliamo anche questi dati. Spariscono subito quando elimini la famiglia, e il tuo identificativo quando elimini l'account; fino ad allora li trovi nel file di «Scarica i tuoi dati». Se elimini la famiglia o l'account, la cancellazione è immediata, compresi gli «Eliminati di recente».
Segnalazioni di problemi: 12 mesi dall'invio, poi le cancelliamo automaticamente; le cancelliamo prima se elimini l'account. Se il telefono non riesce a inviarne una, resta sul telefono, collegata al tuo account, finché non esce; si cancella eliminando l'account.
Scansioni e nomi dei codici a barre («Scansiona»): il conteggio delle scansioni (quale voce ha usato una scansione, quando e chi) serve solo per il mese in corso: ogni giorno cancelliamo in automatico quello dei mesi passati, secondo il fuso orario della famiglia. I nomi che la famiglia ricorda per un codice a barre restano finché la famiglia esiste: si possono cambiare ma non eliminare uno per uno, e si cancellano tutti quando viene eliminata la famiglia. Se elimini il tuo account, da entrambi sparisce chi ha fatto la scansione o scritto il nome.
Schede emergenza: finché c'è la persona nella famiglia (la scheda di chi lascia la famiglia o elimina l'account si cancella in quel momento) o finché c'è la famiglia; i campi si svuotano quando volete. La copia sul telefono si cancella quando esci dall'account, lo elimini o lasci la famiglia. Sono nel file di «Scarica i tuoi dati».
Cose sulla salute: come tutte le cose da fare (sopra): finché la famiglia esiste o finché non le eliminate; ritirare il consenso non le cancella, le elimini tu. Lo storico del consenso alla salute (dato, ritirato, quando, versione e lingua del testo) resta finché non elimini l'account, come prova del consenso.
Richieste per la beta (punto 3): 12 mesi dalla richiesta, poi le cancelliamo automaticamente; prima, se usi il link per cancellarla. Il conteggio cifrato delle richieste per indirizzo IP ed email: 24 ore. [DA VERIFICARE con il legale: 12 mesi, o fino alla fine della beta.]
Giri con altre famiglie (punto 3): finché la tua famiglia è nel giro; quando esce, il vostro cognome, i posti e i nomi dei vostri bambini spariscono dal giro, e l'ultima famiglia che esce lo cancella. Le tratte passate di un giro (chi guidava, le richieste di scambio) le cancelliamo 4 settimane dopo il loro giorno; un passaggio una volta sola, con i nomi dei bambini, una settimana dopo il suo giorno. I vostri turni restano tra le vostre cose da fare. Un invito a un giro vale 14 giorni; scaduto, ne teniamo il codice altri 30 giorni solo per dire «Invito non più valido» a chi apre il link, poi lo cancelliamo.
«Regala un mese» (punto 3): le righe degli inviti restano finché esiste la famiglia che ha invitato (sono il suo registro dei premi e impediscono allo stesso account di riscattare due volte); se la nuova famiglia viene eliminata, la riga resta senza collegamento a quella famiglia; se l'account che ha usato il codice viene eliminato, la riga perde quel collegamento; le righe dei premi vengono cancellate con la loro famiglia. Eliminare la famiglia che ha invitato cancella i suoi inviti. La storia dei telefoni per i controlli anti-abuso (stesso telefono): 400 giorni dall'ultima volta che abbiamo visto il codice per le notifiche, poi la cancelliamo in automatico; subito, quando elimini l'account.
Account: finché non lo elimini.
Mittenti email approvati: finché chi è admin non li toglie o non viene eliminata la famiglia. Se elimini il tuo account, da quelli che avevi approvato sparisce chi li ha approvati.
Abbonamento sul sito (punto 3): lo stato e le date restano finché c'è la famiglia e si cancellano con lei; gli avvisi di Stripe seguono la regola dei pagamenti qui sotto.
Pagamenti e rimborsi del piano «Famiglia fondatrice» e dell'abbonamento sul sito (punto 3): restano anche dopo che la famiglia viene eliminata, perché servono per la contabilità e il fisco; da quel momento non sono più collegati alla famiglia, ma conservano il codice d'acquisto e i codici di Stripe. [DA VERIFICARE con il commercialista: per quanto tempo vanno tenuti, poi la cancellazione automatica.]
Periodo di prova: per ogni account teniamo che ha già usato un periodo di prova (tipo e data), per concederne uno solo; resta se la famiglia viene eliminata, si cancella quando elimini l'account.
File di esportazione: 24 ore.
Rapporti sugli errori (Sentry): [DA VERIFICARE: 30 giorni nel piano gratuito di Sentry; confermare con il piano scelto], poi Sentry li cancella.
Registro delle notifiche: 60 giorni. Le notifiche consegnate, o che non siamo riusciti a consegnare dopo tutti i tentativi, le cancelliamo automaticamente 60 giorni dopo; prima contiamo per le statistiche interne quante notifiche di ciascun tipo sono partite o non sono riuscite in quella settimana, senza persone, famiglie o titoli. Una notifica ancora da inviare resta finché non è consegnata o abbandonata. Le cancelliamo prima se elimini la famiglia o l'account; fino ad allora le trovi nel file di «Scarica i tuoi dati».
Registro delle chiamate all'assistente: [DA VERIFICARE: non esiste ancora una scadenza automatica; vanno cancellati con la famiglia o l'account. Decidere un periodo massimo.]
Copie di sicurezza (backup) del fornitore: [DA VERIFICARE: durata nei backup di Supabase; i dati cancellati possono restare in copia per un periodo limitato.]

8. I tuoi diritti

Hai diritto di accedere ai tuoi dati, correggerli, cancellarli, limitarne il trattamento, riceverli in un formato leggibile (portabilità), opporti e ritirare il consenso (articoli da 15 a 21 del GDPR). In Insieme:

Scarica i tuoi dati: in «I tuoi dati» prepari un file .zip con tutto quello che vedi: la famiglia, i membri, le persone, le cose da fare, chi ha passato una cosa a chi, chi ha detto grazie a chi, i promemoria, le cose eliminate negli ultimi 30 giorni (segnate come tali), i dati statistici delle cose cancellate per sempre in cui compari tu (solo i tuoi, senza testo), i messaggi inviati e gli allegati (fino a 50 MiB), le notifiche che ti abbiamo inviato, le segnalazioni di problemi che hai inviato, l'elenco delle chiamate all'assistente con fornitore e modello, la cronologia dei consensi, il piano della famiglia con il periodo di prova e i pagamenti, i turni della scuola, i turni di casa (chi è nella rotazione e i giorni saltati), le cose che si ripetono, le liste, i piatti e il menu, le scadenze di casa, i numeri utili, gli abbonamenti e i mittenti email approvati (se sei admin). Nel file c'è un LEGGIMI che spiega ogni sezione. Il link vale 15 minuti.
Elimina il tuo account: in «I tuoi dati», scrivendo ELIMINA. Cancelliamo il tuo account, la tua email, il tuo nome e le segnalazioni che hai inviato. Le cose da fare che hai aggiunto restano alla famiglia, senza il tuo nome. Se eri l'unica persona admin, lo diventa un altro adulto della famiglia (chi c'è da più tempo). Una famiglia non viene mai eliminata senza che tu lo scelga: se saresti l'ultimo adulto (in famiglia restano solo ragazzi con un loro account o schede di bambini) o la sola persona della famiglia, eliminare solo l'account non è possibile. Puoi invitare prima un altro adulto, che prende il tuo posto, oppure scegliere «Elimina anche la famiglia»: prima ti mostriamo cosa verrà eliminato (la famiglia, le cose da fare e le liste, gli allegati, lo spazio di famiglia dei ragazzi, le schede dei bambini) e ti proponiamo di scaricare i tuoi dati. I ragazzi conservano il loro account, senza famiglia. Se paghi l'abbonamento sul sito, prima di eliminare l'account fermiamo il rinnovo e togliamo dal tuo cliente Stripe l'email, il nome, il telefono, l'indirizzo, la partita IVA o il codice fiscale inseriti al pagamento e i nostri codici (della famiglia e dell'account): il cliente non viene eliminato, perché eliminarlo chiuderebbe subito il periodo già pagato dalla famiglia. Stripe conserva le ricevute e le fatture già emesse e i pagamenti già fatti, con i dati che riportavano in quel momento (per esempio email, nome e indirizzo), perché la legge fiscale chiede di tenerli. [DA VERIFICARE con il commercialista: per quanto tempo Stripe li conserva.]
Elimina la famiglia: lo possono fare gli admin, scrivendo il nome della famiglia. Elimina per tutti cose da fare, promemoria, messaggi e allegati. Restano i pagamenti, per gli obblighi fiscali, e, per ogni adulto, il fatto di aver già usato un periodo di prova, non più collegato alla famiglia, che si cancella quando quella persona elimina il proprio account (punto 7).
Spegni la lettura automatica: in «I tuoi dati» chi è admin la spegne (e la riaccende) per tutta la famiglia. Da spenta, nessun messaggio viene letto dall'assistente; le cose aggiunte a mano funzionano come sempre. Tutti i membri vedono se è attiva.
Spegni i rapporti sugli errori: in «I tuoi dati» → «Invia rapporti sugli errori», per il tuo telefono, in qualsiasi momento. Da spento non mandiamo nulla.
Ritira il consenso all'uso dei messaggi per migliorare la lettura (solo admin), alle notifiche e al calendario, dalle impostazioni.
Cancella la richiesta per la beta: quando invii il modulo ricevi un link personale (indirizzo del nostro server con beta-signup?remove= e il tuo codice); aprirlo cancella subito la richiesta, senza account. Se l'hai perso, invia di nuovo il modulo con la stessa email: ricevi lo stesso link. La risposta è la stessa sia che la richiesta ci fosse sia che non ci fosse, così nessuno può scoprire se un'email è nella lista.
Per tutto il resto (rettifica, limitazione, opposizione) scrivi a [EMAIL DI CONTATTO PRIVACY]. Rispondiamo entro un mese.

Se pensi che il trattamento violi la legge, puoi presentare reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it), oppure all'autorità del tuo paese.

9. Sicurezza

I dati viaggiano cifrati. Il database è protetto da regole per riga: una famiglia non può leggere i dati di un'altra. I file stanno in un archivio privato. Il codice di accesso è usa e getta. Sul telefono la sessione è cifrata. L'assistente non può modificare nulla da solo: le sue risposte sono controllate da uno schema e confermate da una persona. L'uso dell'assistente ha limiti mensili per famiglia e un tetto di spesa globale. Nessuna misura è perfetta: se ci accorgiamo di una violazione dei dati personali lo comunichiamo come previsto dalla legge. Abbiamo una bozza di valutazione d'impatto (DPIA) per i dati sulla salute. [DA VERIFICARE: procedura di notifica delle violazioni; revisione della DPIA con il legale prima della beta.]

10. Trasferimenti fuori dall'Unione europea

Preferiamo fornitori che elaborano i dati nell'Unione europea. Sentry conserva i rapporti sugli errori nella sua regione UE (Francoforte), ma ha sede negli Stati Uniti. Dove un fornitore (per esempio Expo, Apple, Google, Sentry) è fuori dall'UE o ha sede fuori dall'UE, il trasferimento si appoggia a una decisione di adeguatezza o a clausole contrattuali standard. [DA VERIFICARE caso per caso.] Vale anche per Google come fornitore dell'assistente (punto 5): le richieste possono essere elaborate fuori dall'Unione europea. [DA VERIFICARE: quale società di Google firma il contratto, dove vengono elaborate le richieste e quale garanzia per il trasferimento si applica.]

11. Modifiche

Se cambiamo questa informativa in modo importante, ti chiediamo di accettarla di nuovo alla prossima apertura dell'app. La versione accettata e la data restano registrate.