Informativa sulla privacy

Fenzly si basa su una promessa semplice: le persone con cui condividi la tua posizione dovrebbero essere le uniche a poterla vedere. La presente informativa spiega i pochi dati che trattiamo, ciò che deliberatamente non possiamo vedere e i diritti di cui disponi.

1. Chi è responsabile

Il titolare del trattamento per Fenzly è Logil Sàrl («noi»), Chemin de l’Eglise 4, 1233 Bernex, Svizzera (n. IDI CHE-435.741.642).

Per qualsiasi domanda sulla privacy, contattaci all’indirizzo [email protected].

2. Il nostro principio fondamentale: crittografia end-to-end e un server «cieco»

Fenzly cifra le tue posizioni, i tuoi luoghi e i tuoi messaggi sul tuo dispositivo con il protocollo Double Ratchet (Olm), singolarmente per ogni destinatario. I nostri server si limitano sempre a inoltrare dati cifrati opachi. Di conseguenza, non possiamo leggere:

le tue coordinate GPS o i tuoi spostamenti;
i nomi, le coordinate o il raggio dei tuoi luoghi;
il contenuto dei tuoi messaggi;
chi fa parte delle tue cerchie, né la tua rubrica.

Ciò deriva dalla progettazione, non da una politica interna: anche se vi fossimo obbligati, non potremmo fornire dati che non siamo tecnicamente in grado di leggere.

3. Dati che trattiamo

Dati dell’account. Per creare un account fornisci un indirizzo e-mail oppure un numero di telefono (ne basta uno). Fenzly non usa password: ogni accesso viene verificato con un codice monouso inviato via e-mail o SMS, quindi non abbiamo alcuna password da conservare, né alcuna da perdere. Conserviamo inoltre un nome visualizzato e la tua preferenza di lingua (utilizzata per localizzare le e-mail e gli SMS che ti inviamo). I numeri di telefono sono conservati in formato internazionale e verificati tramite un codice monouso. Per la ricerca facoltativa dei contatti, conserviamo hash SHA-256 unidirezionali di indirizzi e-mail/numeri di telefono, mai i valori in chiaro.

Ultima connessione. Registriamo il momento in cui il tuo dispositivo ha contattato per l’ultima volta i nostri server, sotto forma di un’unica marca temporale che ogni nuovo contatto sostituisce. Le persone che conoscono già l’identificativo tecnico del tuo account, in pratica i tuoi contatti e i membri delle tue cerchie, possono leggerla: la loro app la usa per avvisarle quando il tuo telefono è rimasto senza connessione per diverse ore. È un segnale di sicurezza: nascondere il tuo stato online nelle chat non la nasconde.

Dati di connessione e dati tecnici. Come ogni servizio online, i nostri server vedono l’indirizzo IP di ogni connessione. Lo utilizziamo, insieme all’identificativo del tuo account, per limitare gli abusi (ad esempio il numero di codici che si possono richiedere in un’ora). I log dei nostri server registrano eventi tecnici (ora, percorso della richiesta, stato della risposta, errori, identificativi di account, indirizzi IP) per mantenere il servizio funzionante e sicuro; le richieste vi sono registrate senza i loro parametri, e i log non contengono mai una posizione, un luogo, una ricerca di indirizzo né il contenuto di un messaggio. L’app comunica inoltre ai nostri server la sua piattaforma e il suo numero di versione, affinché possiamo segnalarti quando un aggiornamento è necessario; contiamo solo quanti utenti usano ciascuna versione, mai quale versione è la tua.

Dati del dispositivo. Un token per le notifiche push (Firebase Cloud Messaging) e informazioni di base sul dispositivo, utilizzati esclusivamente per recapitare le notifiche. Le notifiche arrivano al tuo telefono tramite Google Firebase Cloud Messaging e, su iPhone, tramite il servizio di notifiche push di Apple: una notifica di messaggio contiene il nome visualizzato del mittente e un testo generico, una notifica SOS il nome visualizzato di chi ha inviato l’allerta; le posizioni e il contenuto dei messaggi non viaggiano mai in chiaro in una notifica. Se attivi le notifiche di arrivo/partenza per un luogo condiviso, conserviamo inoltre una preferenza di notifica generica (quale luogo, e se desideri gli arrivi o le partenze) per poter riattivare il tuo dispositivo, mai quale membro segui; quel filtro resta sul tuo dispositivo.

Materiale crittografico. Le tue chiavi di cifratura pubbliche (chiave d’identità Curve25519, chiave di firma Ed25519, chiavi firmate e chiavi monouso), necessarie affinché altre persone possano avviare con te una sessione cifrata. Sono pubbliche per natura e non rivelano nulla della tua attività.

Contenuti cifrati che inoltriamo (ma non possiamo leggere). Aggiornamenti di posizione, definizioni dei luoghi, eventi di entrata e uscita dai luoghi e messaggi cifrati transitano temporaneamente sui nostri server (ad es. tramite code di breve durata) per poter essere recapitati quando un destinatario torna online. Sono conservati in forma cifrata e scadono automaticamente (vedi Conservazione). Le immagini del profilo (di utenti, cerchie e luoghi), le foto inviate in una chat e i dettagli di un tragitto condiviso (percorso, velocità, altitudine) sono conservati come blob cifrati opachi: la chiave di decifratura viaggia crittografata end-to-end tra i tuoi dispositivi e i tuoi contatti, quindi non possiamo vederli. Quando inviti qualcuno con un codice di cerchia, conserviamo il codice, chi lo ha creato, la sua data di scadenza e quante volte è stato usato, mai quale cerchia apre.

Backup. Se attivi i backup, i tuoi dati vengono cifrati sul tuo dispositivo prima di lasciarlo, in uno di due modi:

Nel tuo cloud (Google Drive o Apple iCloud): utilizziamo uno schema a chiave divisa. Deteniamo solo una parte casuale della chiave; il tuo cloud detiene il backup cifrato e l’altra parte: nessuna delle due parti, da sola, può decifrare alcunché. Se il salvataggio nel tuo cloud non riesce più volte di seguito, una piccola copia cifrata della parte essenziale viene conservata anche nel nostro archivio, che la nostra parte di chiave da sola non può comunque aprire.
Nell’archivio di Fenzly, in Svizzera: la chiave deriva da un codice di recupero generato sul tuo dispositivo e mostrato solo a te. Conserviamo solo dati cifrati e non riceviamo mai il codice. Se lo consenti, l’app conserva anche il codice nel tuo account Apple iCloud o Google, affinché un nuovo telefono possa ritrovarlo.

Dati di licenza. Se sottoscrivi un piano, conserviamo ricevute minime: il piano, il suo stato e il periodo di validità, e a chi hai assegnato licenze (identificativi tecnici). Gli abbonamenti si acquistano tramite l’App Store o Google Play, che gestiscono il pagamento: non vediamo mai i dati della tua carta o del tuo conto. Per attivare il tuo piano verifichiamo l’acquisto presso Apple o Google e conserviamo gli identificativi che ci forniscono (identificativi della transazione e del prodotto, date, stato del rinnovo), collegati al tuo account affinché l’abbonamento ti segua da un telefono all’altro. Queste ricevute non sono mai collegate a posizioni o cerchie. Per un account bambino conserviamo una ricevuta del consenso genitoriale (identificativi del tutore e del bambino, metodo, data), la prova legale del consenso, nient’altro.

Allerte SOS. Quando invii un’allerta SOS, i membri che raggiunge ricevono la tua posizione e poi la seguono in diretta, crittografata end-to-end come ogni posizione. Questa condivisione in diretta scavalca le tue impostazioni di condivisione («Condivisione della posizione» disattivata, una cerchia impostata su «Niente», «Geolocalizzazione» disattivata) e disattiva la modalità offline, che resta disattivata anche dopo. Si interrompe quando annulli l’allerta, 30 minuti dopo che qualcuno se n’è fatto carico, oppure 4 ore dopo l’allerta se nessuno se ne fa carico; a parte l’annullamento dell’allerta, nessuno può interromperla prima. Affinché l’allerta continui a suonare finché qualcuno non se ne fa carico, il nostro server conserva una sessione SOS per al massimo 30 minuti: l’identificativo dell’allerta, il tuo identificativo e quelli dei membri avvisati, gli orari, e chi l’ha vista, se n’è fatto carico o l’ha annullata; mai la posizione. Se un membro avvisato non ha ancora visto l’allerta dopo circa due minuti e ha un numero di telefono verificato, gli inviamo un SMS tramite il nostro fornitore di SMS (vedi sezione 6): contiene il tuo nome visualizzato e indica che la tua posizione si trova nell’app, mai la posizione stessa.

Dati diagnostici. Segnalazioni di arresti anomali e log tecnici (tramite Firebase Crashlytics) per individuare e correggere i bug. Non contengono la tua posizione né il contenuto dei tuoi messaggi.

Richieste di assistenza. Quando ci scrivi tramite il modulo di contatto di help.fenzly.app o tramite «Segnala un problema» nell’app, riceviamo ciò che scrivi e il tuo indirizzo e-mail. Una segnalazione dall’app aggiunge l’identificativo del tuo account se hai effettuato l’accesso, una descrizione tecnica del tuo dispositivo (modello, versioni del sistema e dell’app, lingua, connettività, stato delle autorizzazioni), il log recente dell’app se lasci attiva questa opzione, dopo che l’app ha mascherato indirizzi e-mail e numeri di telefono, sostituito i nomi di luoghi e membri e rimosso le coordinate, e gli screenshot che scegli di allegare (uno screenshot può mostrare la tua mappa). I nostri server inoltrano il tutto come un’unica e-mail alla nostra casella di assistenza e non ne conservano alcuna copia. Questa e-mail, allegati compresi, resta nella casella di assistenza per 12 mesi dopo la chiusura della tua richiesta, poi viene eliminata.

4. Dati che non abbiamo

Non riceviamo mai la tua rubrica, le tue coordinate o i nomi dei tuoi luoghi: restano sul tuo dispositivo o sono crittografati end-to-end. Non conosciamo la composizione delle tue cerchie: per recapitare un messaggio, i nostri server vedono solo gli identificativi del mittente e dei destinatari, per il tempo della consegna.

5. Basi giuridiche

Laddove si applica il GDPR, ci basiamo su: esecuzione di un contratto (art. 6 par. 1 lett. b) per fornire il servizio; il tuo consenso (art. 6 par. 1 lett. a) per funzioni facoltative come la ricerca dei contatti o la reperibilità tramite numero di telefono; la salvaguardia degli interessi vitali (art. 6 par. 1 lett. d) della persona che invia un’allerta SOS, per la condivisione in diretta e l’SMS che la seguono; e il nostro legittimo interesse (art. 6 par. 1 lett. f) a mantenere il servizio sicuro e funzionante. Laddove si applica il diritto svizzero, il trattamento è effettuato in conformità con la legge federale sulla protezione dei dati (nLPD).

6. Fornitori di servizi (responsabili del trattamento)

Ci affidiamo a un numero ridotto di fornitori, scelti tenendo conto della privacy:

Infomaniak (Svizzera): hosting dei nostri server, dei database, dell’archiviazione dei contenuti multimediali e dei backup cifrati, e delle loro copie di sicurezza tecniche; invio delle nostre e-mail (codici di accesso e di verifica, avvisi relativi all’account); la nostra casella di assistenza. Dati ospitati in Svizzera.
mailomat (mailXpert GmbH, Zurigo, Svizzera): invio di riserva delle e-mail, utilizzato solo quando l’invio tramite Infomaniak non riesce; riceve allora l’indirizzo del destinatario e il contenuto dell’e-mail.
ASPSMS (Svizzera) e Twilio (Stati Uniti): invio degli SMS. Ricevono il numero di telefono e il testo: un codice di accesso o di verifica, oppure l’SMS di allerta SOS descritto nella sezione 3. ASPSMS invia ai numeri in Svizzera e nella maggior parte dei Paesi europei, Twilio al resto del mondo; ciascuno subentra quando l’altro non riesce a recapitare un messaggio.
Google Firebase (Cloud Messaging e Crashlytics) e, su iPhone, il servizio di notifiche push di Apple: notifiche push e segnalazione degli arresti anomali.
MapTiler (Svizzera): mappe e ricerca di indirizzi. Il tuo dispositivo carica i riquadri della mappa direttamente dalla rete di distribuzione di MapTiler, che vede quindi il tuo indirizzo IP e la zona visualizzata; MapTiler ci ha confermato per iscritto che l’indirizzo IP resta al massimo 20 minuti nella memoria di questa rete e non viene trasmesso ai suoi server. Le ricerche di indirizzi passano tramite i nostri server: MapTiler riceve il testo o le coordinate da cercare, mai il tuo indirizzo IP o il tuo account, e né noi né MapTiler le conserviamo.
Grafana Labs (Grafana Cloud, dati conservati in Svizzera): log tecnici e metriche dei nostri server (vedi «Dati di connessione e dati tecnici» nella sezione 3).
Apple (App Store) e Google (Google Play): vendita e fatturazione degli abbonamenti; trattano il tuo pagamento secondo le proprie condizioni.
Google Drive / Apple iCloud: solo se attivi i backup; il tuo backup cifrato, o il codice di recupero se l’hai consentito, è conservato nel tuo account cloud personale.
Cloudflare (Stati Uniti): hosting dei nostri siti fenzly.app e help.fenzly.app e del dominio fenzly.app; vede l’indirizzo IP di chi visita i siti. I nostri siti non impostano cookie e non usano strumenti di misurazione dell’audience.

7. Trasferimenti internazionali

La nostra infrastruttura principale (server, database, archiviazione, log tecnici) è ospitata in Svizzera. Alcuni fornitori trattano dati limitati al di fuori della Svizzera e dell’UE, principalmente negli Stati Uniti: Twilio (SMS verso numeri al di fuori dell’Europa, o di riserva), Google (notifiche, segnalazioni di arresti anomali, Google Drive, Google Play), Apple (notifiche, iCloud, App Store) e Cloudflare (siti web); Grafana Labs, società statunitense, conserva i nostri log in Svizzera. Tali trasferimenti sono soggetti a garanzie adeguate (ad es. le clausole contrattuali tipo dell’UE).

8. Conservazione

Messaggi cifrati in attesa di consegna offline: fino a 30 giorni, poi eliminati automaticamente. Eventi di entrata e uscita dai luoghi e conferme di consegna/lettura cifrati: fino a 7 giorni.
Aggiornamenti di posizione cifrati, compresa la posizione in diretta di un’allerta SOS: conservati solo per la durata della condivisione, poi scadono.
Sessione SOS: al massimo 30 minuti.
Ricerche di indirizzi: non conservate, né da noi né da MapTiler.
Foto cifrate inviate in una chat: 90 giorni sui nostri server. Dettagli cifrati di un tragitto condiviso: 30 giorni. Le copie già ricevute restano sui dispositivi dei destinatari.
Immagini del profilo cifrate: conservate finché non le sostituisci o rimuovi, o finché non elimini il tuo account.
Codici d’invito a una cerchia: eliminati al più tardi 30 giorni dopo la loro scadenza.
Backup: vengono conservate le versioni più recenti; le versioni precedenti vengono eliminate automaticamente.
Log tecnici e metriche dei nostri server: 14 giorni.
Richieste di assistenza (modulo di contatto e segnalazioni dall’app, con i loro allegati: log, descrizione del dispositivo, screenshot): conservate nella nostra casella di assistenza per 12 mesi dopo la chiusura della richiesta, poi eliminate.
Dati dell’account: conservati finché non elimini il tuo account: l’eliminazione è immediata e definitiva, e le copie presenti nelle nostre copie di sicurezza tecniche scompaiono entro 30 giorni. Conserviamo poi, per 12 mesi, una registrazione minima dell’eliminazione (identificativo tecnico + data, nient’altro): permette ai tuoi dispositivi di rilevare l’eliminazione e di ripulirsi, e viene poi a sua volta eliminata.

9. I tuoi diritti

Hai il diritto di accedere ai tuoi dati personali, di rettificarli, di cancellarli, di limitarne il trattamento o di opporti al trattamento, nonché il diritto alla portabilità dei dati. Questi diritti si esercitano direttamente nell’app, senza alcun intervento umano e con effetto immediato:

Esporta i tuoi dati (Impostazioni → Dati personali → Scarica i miei dati): una copia leggibile dei tuoi dati locali (profilo, luoghi, tragitti, cronologia, impostazioni, solo i tuoi dati, mai quelli dei membri delle tue cerchie) più la parte lato server, quasi vuota per progettazione, a dimostrazione della nostra architettura.
Elimina il tuo account (Impostazioni → Dati personali): l’eliminazione viene verificata con un codice monouso e cancella immediatamente e definitivamente i tuoi dati dai nostri server e dal tuo dispositivo; gli altri tuoi dispositivi si ripuliscono alla successiva apertura di Fenzly. Puoi anche eliminare il tuo account senza l’app, su fenzly.app/it/delete-account. L’eliminazione di un account bambino richiede l’approvazione di un tutore (il codice viene inviato al suo canale verificato).

Nota: i dati che hai già condiviso con i tuoi contatti (ad es. le tue posizioni passate nella loro app) si trovano sui loro dispositivi, fuori dalla nostra portata, una caratteristica intrinseca della crittografia end-to-end, come un messaggio già recapitato. Puoi revocare in qualsiasi momento il consenso alle funzioni facoltative. Hai inoltre il diritto di presentare un reclamo a un’autorità di controllo: in Svizzera, l’Incaricato federale della protezione dei dati e della trasparenza (IFPDT); nell’UE, l’autorità nazionale di protezione dei dati del tuo Paese.

Per esercitare i tuoi diritti, contatta [email protected].

10. Sicurezza

Proteggiamo i tuoi dati con la crittografia end-to-end (Double Ratchet, Olm), l’archiviazione delle chiavi legata al dispositivo (Keychain/Keystore), TLS durante la trasmissione e l’hosting in Svizzera. Nessun sistema è perfettamente sicuro, ma la nostra architettura è progettata affinché i dati più sensibili non siano mai leggibili da parte nostra, fin dall’origine.

11. Bambini

Fenzly non è rivolta ai bambini di età inferiore a 13 anni al di fuori della modalità famiglia. Ove previsto dalla legge, ai sensi del GDPR per le persone al di sotto dell’età del consenso digitale nel loro Paese (che varia tra 13 e 16 anni), e ai sensi della legge statunitense COPPA per i bambini di età inferiore a 13 anni, il trattamento dei dati personali di una persona minorenne richiede un consenso genitoriale verificabile. Fenzly offre una modalità famiglia gestita dai tutori: un membro può essere designato come bambino solo dopo un consenso genitoriale verificabile (un codice inviato via SMS al numero verificato del tutore), di cui conserviamo una ricevuta minima (identificativi, metodo, data). I tutori possono consultare e revocare questo consenso in qualsiasi momento nell’app, e l’eliminazione di un account bambino richiede la loro approvazione. Se ritieni che un bambino ci abbia fornito dati personali senza il consenso richiesto, contattaci all’indirizzo [email protected] e li elimineremo.

12. Modifiche alla presente informativa

Possiamo aggiornare di tanto in tanto la presente informativa. Le modifiche sostanziali saranno comunicate nell’app o via e-mail. La data di «ultimo aggiornamento» indicata sopra corrisponde sempre alla versione in vigore.

La presente informativa è disponibile in più lingue. In caso di divergenza tra le versioni, fa fede la versione francese.

13. Contatto

Logil Sàrl · Svizzera · [email protected]