Informativa privacy

1. Titolare del trattamento

Il titolare del trattamento è Marco Scantamburlo, contattabile all’indirizzo email support@firstfinancefriend.com. Per qualsiasi richiesta relativa ai tuoi dati puoi scrivere a questo indirizzo.

2. Quali dati trattiamo

• Dati di account: email e password (custodita in forma cifrata dal nostro fornitore di autenticazione), nome visualizzato e, se la carichi, la foto del profilo. Se accedi con Google riceviamo da Google la tua email di accesso.
• Profilo della famiglia: nome della famiglia e, se li inserisci, numero di componenti, presenza di figli, area geografica e titolo di godimento dell’abitazione. Servono a contestualizzare i confronti e i suggerimenti di pianificazione.
• Dati finanziari che inserisci tu: transazioni, entrate, spese una tantum, obiettivi di risparmio e i file CSV che importi dal tuo home banking. Non accediamo mai direttamente al tuo conto bancario.
• Email della lista d’attesa: se lasci la tua email sulla pagina pubblica, la usiamo solo per ricontattarti riguardo al servizio.
• Dati d’uso: eventi di utilizzo del prodotto (per esempio il completamento di un passaggio della configurazione iniziale) associati a un identificativo tecnico, mai alla tua email. Non usiamo cookie di tracciamento né registriamo le tue sessioni.

3. Da dove arrivano i dati

Quasi tutto arriva da te: lo digiti nell’app o lo importi con un file CSV che scarichi dal tuo home banking. Da Google riceviamo solo l’email, e soltanto se scegli di accedere con quel metodo. Il resto lo produce l’applicazione mentre la usi, per esempio i calcoli di pianificazione, che derivano dai numeri che hai inserito.

Non compriamo elenchi di contatti, non raccogliamo informazioni su di te da altre fonti e non ci colleghiamo al tuo conto corrente.

4. Finalità e basi giuridiche

• Erogazione del servizio (registrazione, calcoli di pianificazione, condivisione con la tua famiglia): esecuzione del contratto, art. 6.1.b GDPR.
• Miglioramento del prodotto tramite statistiche d’uso senza cookie e senza profilazione: legittimo interesse, art. 6.1.f GDPR.
• Ricontatto della lista d’attesa: misure precontrattuali adottate su tua richiesta, art. 6.1.b GDPR.
• Sicurezza e prevenzione degli abusi: legittimo interesse, art. 6.1.f GDPR.

Nessuna di queste finalità comporta una decisione automatizzata che produca effetti giuridici su di te, e non facciamo profilazione ai sensi dell’art. 22 GDPR: i numeri che vedi sono calcoli sui dati che hai inserito, non giudizi sulla tua persona.

5. Chi tratta i dati per noi

Non vendiamo né cediamo i tuoi dati a terzi. Per far funzionare il servizio ci appoggiamo a fornitori che trattano i dati per nostro conto come responsabili del trattamento:

• Supabase: database, autenticazione e archiviazione file (incluse le email transazionali di conferma registrazione e recupero password).
• Vercel: hosting dell’applicazione.
• PostHog (server nell’Unione Europea): statistiche d’uso in forma pseudonimizzata, senza cookie.
• Google: solo se scegli di accedere con il tuo account Google.

Oltre a loro, i tuoi dati possono essere comunicati ad autorità pubbliche quando la legge ce lo impone. Fuori da questi casi non li vede nessun altro.

6. Se copi i tuoi dati in uno strumento di intelligenza artificiale esterno

L’applicazione può produrre un riepilogo testuale della tua situazione, che puoi copiare negli appunti o scaricare come file. Fino a quel punto il testo non esce dall’applicazione: non ci colleghiamo a nessun servizio di intelligenza artificiale e non inviamo quel testo a nessuno.

Se lo incolli in uno strumento esterno, per esempio ChatGPT, Gemini o Claude, sei tu a comunicare quei dati al fornitore di quello strumento, per tua iniziativa. Quel fornitore non tratta i dati per nostro conto e non è un nostro responsabile del trattamento ai sensi dell’art. 28 GDPR: rispetto a quello che gli consegni agisce come titolare autonomo, e da quel momento vale la sua informativa privacy, non questa.

Non abbiamo quindi visibilità né controllo su cosa quel fornitore fa del testo che gli incolli, su dove lo conserva, per quanto tempo e se lo usa per addestrare i propri modelli. Non possiamo garantirne la cancellazione: le richieste che riguardano quei dati vanno rivolte a lui, secondo le sue condizioni. Il riepilogo contiene informazioni sulla tua situazione economica, quindi prima di incollarlo ti conviene leggere le condizioni dello strumento che stai per usare e decidere che cosa vuoi trasmettergli.

7. Trasferimenti fuori dall’Unione Europea

Il database, l’autenticazione e i file che carichi sono ospitati su server situati nell’Unione Europea, e le statistiche d’uso girano sul cloud europeo di PostHog. Alcuni dei nostri fornitori sono però società statunitensi o hanno società del gruppo fuori dall’Unione, per esempio per il supporto tecnico. Quando questo comporta un trasferimento di dati, il trasferimento avviene sulla base delle clausole contrattuali standard approvate dalla Commissione Europea, integrate dagli accordi sul trattamento dei dati che abbiamo con ciascun fornitore. Se cambieremo fornitore o regione, lo scriveremo qui.

8. Sicurezza e chi può vedere i tuoi dati

I dati viaggiano cifrati (HTTPS) e sono conservati cifrati a riposo dal nostro fornitore. Le copie di sicurezza sono cifrate a loro volta e conservate in un archivio ad accesso limitato.

La separazione tra le famiglie non è affidata al codice dell’applicazione ma al database, che applica una regola di accesso a ogni singola lettura e scrittura: un account non può leggere i dati di una famiglia a cui non appartiene, nemmeno se l’applicazione avesse un difetto. Dentro la tua famiglia, invece, i dati sono condivisi: chi ne fa parte vede tutto quello che è stato inserito.

Per necessità tecnica il titolare ha accesso amministrativo al database che ospita il servizio. È l’accesso che serve a gestire un’infrastruttura, non una funzione del prodotto: non esiste nessuna schermata che mostri i dati di un utente a un altro. Ce ne serviamo solo per manutenzione, per rispondere a una tua richiesta di assistenza o per indagare un problema di sicurezza. Non usiamo i tuoi dati finanziari per finalità commerciali, non li leggiamo per curiosità e non li cediamo a nessuno. L’accesso amministrativo è protetto da autenticazione a più fattori ed è limitato al numero minimo di persone.

Se dovesse verificarsi una violazione dei dati con rischio per i tuoi diritti, lo notificheremo al Garante entro 72 ore e ne informeremo anche te, come previsto dagli artt. 33 e 34 GDPR.

9. Per quanto conserviamo i dati

Conserviamo i tuoi dati finché il tuo account è attivo. Se chiedi la cancellazione dell’account, i dati vengono eliminati entro 30 giorni, salvo gli obblighi di legge che ne impongano la conservazione. Le email della lista d’attesa vengono eliminate quando non sono più necessarie al ricontatto.

Quando cancelli una voce dall’app (una transazione, un obiettivo) questa sparisce subito dalla tua vista e viene rimossa definitivamente dal database dopo 90 giorni, così un’eliminazione fatta per sbaglio resta recuperabile. Le copie di sicurezza cifrate ruotano su circa 30 giorni: per quel periodo i dati eliminati possono sopravvivere lì dentro.

Se scrivi alla pagina Assistenza, conserviamo nome, email, messaggio e (se sei registrato) alcuni dati tecnici allegati automaticamente per aiutarti più in fretta, per 12 mesi dall’invio: la finalità è unicamente rispondere alla tua richiesta.

10. I tuoi diritti

Hai il diritto di ottenere l’accesso ai tuoi dati, la rettifica, la cancellazione, la limitazione del trattamento, la portabilità e di opporti al trattamento basato sul legittimo interesse. Se un trattamento si basa sul tuo consenso, puoi revocarlo quando vuoi: la revoca non tocca la liceità di quanto fatto prima.

Dall’app puoi già esportare in autonomia tutti i dati che hai inserito. Per ogni altra richiesta, inclusa la cancellazione dell’account, scrivi a support@firstfinancefriend.com. Rispondiamo entro un mese, come previsto dall’art. 12 GDPR; se la richiesta è particolarmente complessa possiamo prenderci altri due mesi, ma te lo diciamo prima. Non chiediamo nessun costo, a meno che le richieste non siano manifestamente eccessive o ripetitive.

Se pensi che i tuoi dati siano trattati male, puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o rivolgerti all’autorità giudiziaria.

11. Minori

Il Servizio è rivolto a persone maggiorenni e non lo indirizziamo a minori di 18 anni. Non raccogliamo consapevolmente i loro dati. Se ti accorgi che un minore ha creato un account, scrivi a support@firstfinancefriend.com: chiuderemo l’account ed elimineremo i dati.

12. Cookie

Usiamo esclusivamente cookie tecnici, necessari alla sessione di accesso e alla sicurezza. Non usiamo cookie di profilazione, pubblicitari o di terze parti: per questo non ti mostriamo un banner di consenso. Se in futuro dovessimo introdurre cookie non tecnici, aggiorneremo questa informativa e ti chiederemo il consenso.

13. Modifiche a questa informativa

Se questa informativa cambia in modo sostanziale, te lo comunicheremo tramite l’applicazione e, quando la modifica riguarda il modo in cui usiamo i tuoi dati, via email. La data in testa alla pagina indica la versione in vigore. Le versioni precedenti restano disponibili su richiesta scrivendo a support@firstfinancefriend.com.