Informativa sulla privacy

1. Titolare del trattamento

Il titolare del trattamento dei dati personali è l'editore di Spuma, contattabile all'indirizzo [email protected].

2. Dati raccolti

2.1 Dati dell'account (utenti registrati)

2.2 Dati tecnici (tutti i visitatori)

• Indirizzo IP (anonimizzato da Cloudflare): protezione contro gli abusi, statistiche di traffico.
• Tipo di browser, OS, lingua: adattamento della visualizzazione.
• Dati di connessione Supabase: timestamp, ID di sessione (sicurezza).

2.3 Dati memorizzati in locale (localStorage)

• Lingua scelta: per conservare la Sua scelta tra una visita e l'altra.
• Ricetta in corso: per non perdere il Suo lavoro se chiude la scheda.
• Ricette salvate (Utente anonimo): memorizzazione 100 % locale nel Suo browser.

2.4 Rapporti sugli errori tecnici (tutti i visitatori)

Quando si verifica un errore tecnico nell'applicazione (una schermata che non viene visualizzata, un'operazione che non riesce), viene inviato automaticamente un rapporto alla nostra banca dati, affinché possiamo correggere il difetto. Il rapporto contiene soltanto:

• il messaggio dell'errore e il punto del codice in cui si è verificato, troncati, con gli indirizzi web tagliati prima dei loro parametri e con ogni indirizzo e-mail o token di accesso mascherato;
• la versione dell'applicazione, la schermata aperta, la famiglia del browser (ad esempio Firefox), la lingua dell'interfaccia e il percorso della pagina.

Il rapporto non contiene né identificativo dell'account, né indirizzo e-mail, né indirizzo IP, e viene inviato senza il token della Sua sessione, anche quando il Suo account è connesso. Non viene installato alcun cookie. Vengono inviati al massimo tre rapporti per scheda, mai due volte per lo stesso errore: per la durata della scheda, il Suo browser conserva brevi hash degli errori già segnalati (si veda l'Informativa sui cookie). I rapporti vengono cancellati dopo 30 giorni. Base giuridica: il nostro legittimo interesse a garantire il corretto funzionamento del Servizio (art. 6, par. 1, lett. f). Come ogni richiesta, l'invio passa attraverso l'infrastruttura di Supabase, che registra nei propri log l'indirizzo IP della richiesta e lo conserva per il periodo di conservazione che le è proprio (riga «Log di connessione (Supabase)» della sezione 4).

2.5 Questionario di uscita (eliminazione dell'account)

Quando elimina il Suo account, un questionario Le chiede perché se ne va. Rispondere è facoltativo: può eliminare il Suo account senza spuntare nulla e, in tal caso, non viene registrato nulla. Se risponde, registriamo i motivi spuntati e, se presente, il Suo testo libero, insieme al piano, alla lingua, al paese (se indicato) e all'anzianità del Suo account al momento dell'eliminazione, senza identificativo dell'account né indirizzo e-mail. Queste risposte ci aiutano a capire gli abbandoni e a migliorare il Servizio. Non scriva nel testo libero alcuna informazione che possa identificarLa. I motivi spuntati sono conservati senza limiti di tempo; il testo libero viene cancellato automaticamente dopo 12 mesi. Base giuridica: il nostro legittimo interesse a migliorare il Servizio (art. 6, par. 1, lett. f).

3. Basi giuridiche del trattamento (art. 6 GDPR)

• Consenso (art. 6, par. 1, lett. a): registrazione al Servizio, iscrizione alla lista d'attesa dei piani Pro e Premium.
• Esecuzione del contratto (art. 6, par. 1, lett. b): autenticazione, fornitura del Servizio.
• Legittimo interesse (art. 6, par. 1, lett. f): miglioramento del Servizio, sicurezza, rapporti sugli errori tecnici, statistiche aggregate e anonimizzate.

4. Periodo di conservazione

5. Responsabili del trattamento e destinatari

Spuma si avvale dei seguenti responsabili del trattamento, tutti conformi al GDPR:

• Supabase Pte. Ltd. (Singapore, hosting nell'Unione europea, in Irlanda; clausole contrattuali tipo della Commissione europea) — banca dati, autenticazione.
• Cloudflare Inc. (USA, clausole contrattuali tipo della Commissione europea) — hosting del front-end, CDN, DNS, protezione contro gli abusi e Cloudflare Web Analytics (misurazione dell'audience senza cookie, anonimizzata, senza creazione di profili individuali — dettagli nell'Informativa sui cookie).
• Resend (USA, clausole contrattuali tipo della Commissione europea) — servizio di invio delle e-mail relative al Suo account (conferma della registrazione, link di accesso, reimpostazione della password, modifica dell'indirizzo e-mail, codice per modificare la password, conferma dell'eliminazione dell'account); conserva le e-mail inviate e i relativi log per 30 giorni e poi per altri 7 giorni nei suoi backup.
• Google Cloud (USA, clausole contrattuali tipo della Commissione europea) — fornitore OAuth per l'accesso con Google (se scelto dall'utente).

Nessun dato viene venduto a terzi commerciali. Nessun dato viene utilizzato a fini pubblicitari.

6. I Suoi diritti (GDPR UE, CCPA USA, UK GDPR, LGPD Brasile)

Lei dispone dei seguenti diritti riguardo ai Suoi dati personali:

• Diritto di accesso: ottenere una copia di tutti i Suoi dati.
• Diritto di rettifica: correggere dati inesatti (modificabili direttamente in «Il Mio Account»).
• Diritto alla cancellazione («diritto all'oblio»): eliminazione completa del Suo account e dei relativi dati.
• Diritto alla portabilità: esportazione delle Sue ricette in formato standard (CSV/JSON).
• Diritto di opposizione: rifiutare il trattamento a fini di analytics o di comunicazione.
• Diritto di limitazione di trattamento: limitare temporaneamente l'uso di determinati dati.
• Diritto di revocare il Suo consenso: in qualsiasi momento, per i trattamenti basati sul Suo consenso, senza pregiudicare la liceità di tali trattamenti prima della revoca (GDPR, art. 7, par. 3).
• Per le persone residenti in California (CCPA): diritto di sapere, diritto all'eliminazione, diritto a non subire discriminazioni.
• Per le persone che si trovano in Brasile (LGPD): diritti equivalenti a quelli del GDPR, contatto tramite lo stesso indirizzo e-mail.

Per esercitare i Suoi diritti: invii un'e-mail a [email protected] precisando l'oggetto della Sua richiesta. Le sarà fornita una risposta senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della Sua richiesta. Tale termine può essere prorogato di due mesi, se necessario, tenuto conto della complessità e del numero delle richieste. In tal caso, La informeremo della proroga e dei motivi del ritardo entro un mese dal ricevimento della Sua richiesta (GDPR, art. 12, par. 3).

In caso di controversia o di risposta insoddisfacente, può proporre reclamo all'autorità di controllo competente:

• Francia: CNIL (autorità francese per la protezione dei dati)
• UE: autorità nazionale per la protezione dei dati del Suo Paese
• Regno Unito: ICO
• USA / California: California Attorney General
• Brasile: ANPD

7. Sicurezza

Spuma adotta misure tecniche e organizzative adeguate per proteggere i Suoi dati:

• Connessione cifrata HTTPS (TLS 1.3) sull'intero Servizio.
• Hashing delle password (bcrypt tramite Supabase Auth).
• Row-Level Security (RLS) Postgres: ogni utente può accedere soltanto ai propri dati.
• Autenticazione OAuth 2.0 standard per Google (nessuna memorizzazione della password Google).
• Backup automatici giornalieri Supabase (ripristino possibile in caso di incidente).

8. Dati dei minori

Spuma si rivolge alle persone maggiorenni: la saponificazione a freddo comporta la manipolazione di soda caustica, un prodotto corrosivo. Non raccogliamo consapevolmente dati relativi a minori. Se ritiene che un minore abbia creato un account, ci scriva: lo elimineremo.

9. Modifiche della presente informativa

Spuma si riserva il diritto di modificare la presente informativa. Le modifiche sostanziali saranno notificate via e-mail agli Utenti registrati. La data di aggiornamento è indicata nell'intestazione.

10. Contatti

Per qualsiasi domanda: [email protected]