Informativa sulla privacy

1. Titolare del trattamento

Il titolare del trattamento è [CEIDG_LEGAL_NAME], con indirizzo di attività [CEIDG_ADDRESS], NIP [CEIDG_NIP].

Contatto privacy: hello@flshcrds.app.

2. Ambito

La presente Informativa si applica all’app flshcrds (iOS/Android) e al sito di marketing flshcrds.app, comprese queste pagine di Privacy e Termini.

Non si applica a siti web, app store, sistemi operativi o servizi di terzi a cui colleghiamo (Apple, Google, Facebook, Instagram, RevenueCat e simili agiscono secondo le proprie informative quando trattano dati come titolari indipendenti). Un link non è un endorsement.

Se manteniamo una presenza su una piattaforma social, quanto pubblichi lì è soggetto ai termini di quella piattaforma. Non possiamo controllare gli altri utenti né la piattaforma stessa.

3. Requisito di età

Il Servizio è un prodotto di apprendimento per un pubblico generale. Non è rivolto ai minori.

Devi avere almeno 16 anni per creare un account o usare il Servizio. Se veniamo a sapere di detenere un account di qualcuno sotto i 16 anni, lo elimineremo.

4. Dati che trattiamo

Account e identità: indirizzo e-mail e identificatori di autenticazione all’accesso (OAuth Google e/o Facebook tramite il nostro provider di auth), e i campi profilo che imposti (ad es. un nome visualizzato).

Biblioteca di apprendimento: mazzi, note, carte, tipi di note, stato di pianificazione e cronologia delle ripetizioni che crei o importi — incluso il contenuto che digiti o importi (CSV, pacchetti Anki o mazzi condivisi).

Dispositivo e sync: preferenze dell’app memorizzate sul dispositivo; sincronizzazione della tua biblioteca sui nostri server affinché il Servizio funzioni; il tuo fuso orario IANA e un token push quando consenti le notifiche, usati per il badge dell’icona dell’app (coda di studio di oggi), non per spam di marketing.

Acquisti: stato di abbonamento / acquisto in-app tramite gli app store e RevenueCat (entitlements). Non riceviamo il numero completo della tua carta di pagamento.

Supporto e corrispondenza: se scrivi a hello@flshcrds.app o ci contatti in altro modo, trattiamo l’indirizzo che usi e il contenuto di quello scambio (incluse schermate o log che alleghi).

Informazioni da altre fonti: quando scegli di accedere con Google o Facebook, quei provider ci inviano identificatori di autenticazione e in genere la tua e-mail perché glielo hai chiesto. Non riceviamo la password di quegli account.

Diagnostica: se abilitiamo uno strumento di segnalazione crash, log tecnici su crash e stabilità (versione dispositivo/app, stack traces). Indicheremo il fornitore in questa Informativa prima che la funzione entri in produzione.

Sito web: il sito pubblico è una pagina di marketing. In questa versione non eseguiamo analytics di prodotto, pixel pubblicitari né un banner per cookie non essenziali sul landing. Possono comunque esistere log essenziali di hosting/sicurezza a livello di infrastruttura (ad es. indirizzo IP, orario e URL richiesto).

5. Finalità e basi giuridiche (GDPR)

Fornire il Servizio (account, sync, studio, import/export, badge): esecuzione di un contratto (art. 6(1)(b) GDPR).

Acquisti e entitlements: contratto e, ove necessario, interessi legittimi a prevenire frodi / ripristinare acquisti (art. 6(1)(b) e (f)).

Comunicare con te sul Servizio (risposte alle tue richieste, avvisi di sicurezza o disponibilità, e modifiche sostanziali del prodotto o dell’Informativa): contratto (art. 6(1)(b)) e/o interessi legittimi nell’amministrare il Servizio (art. 6(1)(f)). Non inviamo marketing non sollecitato.

Sicurezza, prevenzione degli abusi e diagnostica dei crash: interessi legittimi a gestire un Servizio stabile e sicuro (art. 6(1)(f)), bilanciati con i tuoi diritti.

Obblighi di legge (ad es. contabilità legata alle funzioni a pagamento, risposta a richieste valide di autorità pubbliche): art. 6(1)(c).

Statistiche aggregate o anonimizzate che non ti identificano più, per operare e migliorare il Servizio: interessi legittimi (art. 6(1)(f)). In questa versione non usiamo pixel pubblicitari, annunci basati sugli interessi né strumenti di segmentazione del pubblico.

Ove sia richiesto il consenso (ad esempio certe notifiche opzionali o un futuro SDK non essenziale), chiederemo prima di abilitarlo (art. 6(1)(a)). Puoi revocare il consenso in qualsiasi momento; la revoca non pregiudica il trattamento lecito precedente.

6. Deck Share e contenuti dell’utente

Le tue note e carte sono private al tuo account finché non le condividi.

Deck Share funziona tramite un link stabile che include l’id del mazzo. Conoscere quel link è l’invito — nel prodotto attuale non c’è un token di condivisione separato, un interruttore di revoca né una scadenza.

Prima dell’import, i destinatari vedono solo i metadati (nome del mazzo e numero di carte). Dopo aver confermato Deck Import, ricevono una copia indipendente del contenuto condiviso nel proprio account.

Non condividere mazzi che contengono informazioni sensibili o riservate. Non garantiamo la riservatezza di un mazzo una volta noto il suo link di condivisione. Eliminare il tuo account non elimina le copie già importate da altri utenti.

7. Destinatari e responsabili del trattamento

Non vendiamo i tuoi dati personali. Utilizziamo fornitori di servizi che trattano dati secondo le nostre istruzioni o nei ruoli descritti:

Supabase — autenticazione e hosting del database per account e la tua biblioteca di apprendimento.

Google e Facebook — accesso (OAuth). Trattano i dati secondo i propri termini quando usi il loro login.

Apple e Google Play — distribuzione dell’app e acquisti in-app.

RevenueCat — gestione di abbonamenti / entitlements per gli acquisti in-app.

Expo e infrastruttura push Apple/Google — consegna del token push relativo al badge dell’icona.

Fornitore di diagnostica crash — da indicare prima del go-live di quella funzione.

Oltre a questi fornitori, possiamo comunicare dati: (a) a un’autorità pubblica competente, un tribunale o un organismo analogo quando riteniamo che la comunicazione sia richiesta dalla legge, necessaria per esercitare o difendere diritti, o per proteggere interessi vitali; (b) a un acquirente e ai suoi consulenti in caso di vendita, fusione o transazione simile — l’acquirente deve onorare la presente Informativa, o ti informeremo del cambiamento; (c) a qualsiasi altra persona con il tuo consenso.

Ove un fornitore tratti dati personali per noi, adottiamo misure contrattuali e organizzative conformi alla legge applicabile, incluso un accordo di trattamento dei dati ove richiesto.

Alcuni fornitori possono trattare dati fuori dallo SEE. Ove richiesto, ci basiamo su garanzie appropriate (come le clausole contrattuali tipo) offerte da tali fornitori.

8. Conservazione

Non conserviamo i dati personali più a lungo di quanto necessario per le finalità per cui sono stati raccolti. La durata dipende da un’esigenza legale o contrattuale, dalla necessità dei dati per fornire il Servizio, e dal fatto che ragionevolmente ti aspetti che la biblioteca resti finché non la elimini o chiudi l’account.

Conserviamo il tuo account e la biblioteca finché l’account è attivo.

Quando elimini l’account nell’app, eliminiamo il tuo account e i dati del Servizio dai sistemi di produzione senza indebito ritardo. Le copie di backup possono rimanere fino a 30 giorni, isolate da ulteriore uso, e poi vengono rimosse o sovrascritte nel normale ciclo di backup.

Gli app store e RevenueCat possono conservare i registri di acquisto secondo le proprie regole. Le copie di contenuti già importate da altri utenti tramite Deck Share restano negli account di quei utenti.

9. I tuoi diritti

Ai sensi del GDPR puoi avere diritto di: accesso (sapere quali dati personali trattiamo); rettifica dei dati inesatti; cancellazione («diritto all’oblio»); limitazione del trattamento; opposizione al trattamento basato su interessi legittimi; ricevere i tuoi dati in un formato strutturato, di uso comune e leggibile da dispositivo automatico (portabilità); e revocare il consenso ove il trattamento si basi sul consenso.

Puoi eliminare l’account nell’app mobile (Impostazioni). Per altre richieste, scrivi a hello@flshcrds.app. Possiamo chiederti di verificare l’identità per rispondere in modo lecito ed efficiente.

Questi diritti sono soggetti a eccezioni e limiti di legge — ad esempio possiamo conservare dati che siamo legalmente tenuti a tenere, o rifiutare una richiesta che pregiudicherebbe i diritti di altri.

Puoi presentare un reclamo alla tua autorità di controllo locale. In Polonia è il Presidente dell’Ufficio per la protezione dei dati personali (UODO). I recapiti delle autorità UE/SEE sono pubblicati dal Comitato europeo per la protezione dei dati.

10. Sicurezza

Utilizziamo misure tecniche e organizzative appropriate a una piccola app di apprendimento consumer (controlli di accesso, trasporto crittografato, funzioni di sicurezza dei fornitori). Nessun metodo di trasmissione o archiviazione è perfettamente sicuro.

Devi tenere al sicuro le credenziali di accesso e non condividerle. Non riceviamo né memorizziamo la tua password Google o Facebook.

11. Modifiche

Possiamo aggiornare la presente Informativa. La versione pubblicata su https://flshcrds.app/it/privacy è quella corrente. Per modifiche sostanziali adotteremo misure ragionevoli per informarti (ad esempio in-app o via e-mail) quando richiesto.

12. Legge applicabile

La presente Informativa è pensata per il GDPR e la legge polacca sulla protezione dei dati. Il titolare è stabilito in Polonia.

13. Contatti

[CEIDG_LEGAL_NAME], [CEIDG_ADDRESS], NIP [CEIDG_NIP].

E-mail: hello@flshcrds.app.