Informativa sulla privacy
In breve
Se usi A/R senza famiglia, capi, foto e nomi restano sul tuo telefono e a noi non arrivano. Arriva soltanto, una volta a settimana, un conteggio anonimo e aggregato che serve a capire quanto si usa l'app e che puoi disattivare quando vuoi (vedi Statistiche anonime d'uso). Se attivi la condivisione in famiglia, capi e foto vengono caricati su un server in forma cifrata, e solo i telefoni della tua famiglia possono leggerli. Nessuna profilazione, nessuno strumento di analisi di terzi, nessuna pubblicità.
Uso gratuito: tutto sul dispositivo
Schede, capi, foto, categorie e preferenze sono salvati nella memoria del browser del tuo telefono (IndexedDB). Non c'è nessun account e questi dati non vengono inviati a nessuno. Il sito si limita a consegnarti i file dell'app; l'unica cosa che parte dal telefono è il conteggio anonimo descritto qui sotto, se lo lasci attivo. I backup .zip li crei e li conservi tu.
Statistiche anonime d'uso
Per capire quante persone usano A/R senza famiglia e come lo usano, l'app invia al massimo una volta a settimana un messaggio con tre soli valori, tutti a fasce larghe:
- la versione dell'app, senza l'ultima cifra (per esempio 3.2);
- quanti capi ci sono: 0, da 1 a 5, da 6 a 20, più di 20;
- quanti capi hai spostato negli ultimi sette giorni, con le stesse fasce.
Nient'altro: nessun identificativo del telefono o dell'installazione, nessun contenuto, nessun nome, nessuna foto, nessuna data oltre alla settimana. Il server non conserva il messaggio: aggiunge uno ad alcuni contatori della settimana (per esempio "settimana 45, da 6 a 20 capi: +1"). Quei contatori non permettono di distinguere un telefono da un altro né di risalire a te. L'indirizzo IP serve solo, nel momento della richiesta, a limitare gli abusi e non viene salvato.
Le statistiche hanno uno scopo puramente conoscitivo: capire quanto e come si usa A/R, per decidere cosa migliorare. Sul sito mostriamo al massimo il totale settimanale, arrotondato per difetto alla decina e nascosto sotto dieci. Non vengono mai unite ad altri dati, vendute o usate per pubblicità.
Sono attive di default, ma prima di inviare qualunque cosa l'app te lo dice con un avviso: puoi disattivarle subito da lì, o in ogni momento da Menu → Statistiche anonime. Sul telefono restano solo la tua scelta e la settimana dell'ultimo invio. I telefoni in una famiglia non inviano questo conteggio: il loro uso è già visibile, in forma aggregata, dal server della condivisione.
Condivisione in famiglia (a pagamento)
Solo se crei una famiglia, accetti un invito o ripristini una famiglia con il kit, i dati vengono sincronizzati tra i telefoni tramite Cloudflare (database D1 e archivio R2). Prima di partire dal telefono, capi, schede, categorie, foto, nome della famiglia e nomi dei telefoni sono cifrati (AES-GCM 256 bit) con una chiave generata sul tuo telefono. Quella chiave e il segreto del kit di recupero non vengono mai inviati al server in chiaro: chi gestisce il servizio non può leggere i tuoi dati.
Il server vede invece questi metadati: identificatori casuali (famiglia, telefono, record, foto), numeri di sequenza, dimensioni, orari di caricamento delle foto, numero di telefoni collegati e, per ogni telefono, quando è stato aggiunto e quando è stato attivo l'ultima volta. Conserva inoltre solo l'impronta (hash) dei codici e dei token di accesso, non i valori.
La sede fisica dei dati è decisa da Cloudflare (UE o USA, secondo la sua infrastruttura).
Attenzione: se perdi tutti i telefoni e anche il kit di recupero, la copia sul server non si può più leggere, nemmeno da noi. Per questo conserva il kit e fai ogni tanto un backup. I backup fatti mentre sei in una famiglia contengono il kit di recupero e non sono cifrati: tienili al sicuro.
Pagamento e indirizzo email
- Il pagamento passa da Stripe Managed Payments: il venditore verso di te è Link (Link, LLC, società del gruppo Stripe), che incassa, emette ricevuta e fattura e versa l'IVA. Dati di carta e di pagamento li trattano Stripe e Link secondo la propria informativa; A/R non li riceve.
- L'indirizzo email indicato al pagamento serve a due cose: spedirti il codice di sblocco e, conservato solo come hash con chiave segreta (HMAC), riconoscere la tua licenza se devi recuperarla. Non conserviamo l'indirizzo in chiaro e non lo usiamo per altro (niente newsletter, niente marketing).
- Resend spedisce le email (codice di sblocco e link di recupero licenza) dall'indirizzo noreply@ar.gxware.org e vede quindi l'indirizzo del destinatario e il testo del messaggio.
- I codici che ti diamo a mano (senza pagamento online) non hanno nessun indirizzo email associato.
Chi tratta i dati
- Cloudflare: hosting del sito, database D1 e archivio R2. Come ogni fornitore di rete può trattare dati tecnici di connessione (come l'indirizzo IP) per far funzionare e proteggere il servizio; usiamo l'indirizzo IP solo per limitare gli abusi.
- Stripe e Link: pagamenti, come sopra.
- Resend: invio delle email, come sopra.
Non vendiamo né cediamo dati a nessun altro.
Per quanto tempo
- Quando l'ultimo telefono esce dalla famiglia, o quando riparti da zero con il recupero della licenza, i dati cifrati e le foto di quella famiglia vengono cancellati dal server.
- Le foto non più usate da nessun capo vengono cancellate dal server dopo 30 giorni.
- Il record della licenza (tipo, numero di telefoni, hash del codice, hash dell'email e, per i codici acquistati online, l'identificativo della sessione di pagamento Stripe come riferimento del pagamento) resta, per poter onorare l'acquisto anche se cambi telefono.
- Uscire dalla famiglia o usare "Elimina tutti i dati" non cancella i dati degli altri telefoni. I dati sul tuo telefono li cancelli tu, dal menu.
Titolare, basi giuridiche e trasferimenti
- Titolare del trattamento: Giovanni Solone (Gioxx), Italia, hello@ar.gxware.org.
- A/R è un progetto indipendente dal blog gioxx.org, che resta un diario online personale senza scopi commerciali: A/R vive su un dominio a sé (gxware.org) e i dati di A/R non vengono mai condivisi con il blog né usati per esso.
- Sincronizzazione, codici, licenza ed email del codice: servono a fornirti il servizio che hai chiesto (esecuzione del contratto, art. 6.1.b GDPR). Indirizzo IP e limiti di frequenza: legittimo interesse a proteggere il servizio dagli abusi (art. 6.1.f).
- Per far funzionare il servizio guardiamo solo numeri aggregati (quante famiglie, telefoni, record e byte di foto ci sono), mai il contenuto, che resta cifrato.
- Statistiche anonime d'uso: i contatori settimanali non sono dati personali, perché non si possono ricondurre a nessuno. Per l'invio dal telefono la base è il legittimo interesse a capire come si usa il servizio (art. 6.1.f GDPR): puoi opporti in ogni momento disattivandole dal menu, senza alcuna conseguenza sull'uso dell'app.
- Cloudflare, Stripe, Link e Resend possono trattare dati anche fuori dall'UE (per esempio negli USA), con le garanzie previste dal GDPR (clausole contrattuali standard o EU-US Data Privacy Framework).
I tuoi diritti
Puoi chiedere accesso, rettifica o cancellazione dei dati che ti riguardano (in pratica: il record della licenza e l'hash dell'email) e puoi proporre reclamo al Garante per la protezione dei dati personali. I dati cifrati della famiglia li cancelli tu, uscendo dalla famiglia con l'ultimo telefono. Per ogni richiesta scrivi a hello@ar.gxware.org.
Cookie e tracciamento
Nessun cookie, nessuno strumento di analisi di terzi, nessuna profilazione, nessuna pubblicità, nessun contenuto di terzi incorporato. L'unica statistica è il conteggio anonimo descritto sopra, gestito da noi e disattivabile. Il codice dell'app è pubblico (licenza AGPL-3.0) su GitHub, quindi quanto scritto qui è verificabile.
Torna ad A/RPrivacy policy
In short
If you use A/R on its own, items, photos and names stay on your phone and never reach us. The only thing that does, once a week, is an anonymous, aggregate count that helps us understand how much the app is used, and you can turn it off whenever you like (see Anonymous usage statistics). If you turn on family sharing, items and photos are uploaded to a server in encrypted form, and only your family's phones can read them. No profiling, no third-party analytics, no ads.
Free use: everything on the device
Tabs, items, photos, categories and preferences are saved in your phone's browser storage (IndexedDB). There is no account, and this data is not sent to anyone. The site only delivers the app's files; the only thing that leaves the phone is the anonymous count described below, if you leave it on. You create and keep the .zip backups yourself.
Anonymous usage statistics
To understand how many people use A/R without a family and how they use it, the app sends at most once a week a message with three values only, all in broad ranges:
- the app version, without the last digit (for example 3.2);
- how many items there are: 0, 1 to 5, 6 to 20, more than 20;
- how many items you moved in the last seven days, in the same ranges.
Nothing else: no phone or installation identifier, no content, no names, no photos, no date beyond the week. The server does not keep the message: it adds one to a few counters for that week (for example "week 45, 6 to 20 items: +1"). Those counters cannot tell one phone from another or lead back to you. The IP address is used only while the request is handled, to limit abuse, and is not stored.
The statistics serve one purpose only: understanding how much and how A/R is used, to decide what to improve. On the website we show at most the weekly total, rounded down to the nearest ten and hidden below ten. They are never combined with other data, sold or used for advertising.
They are on by default, but before anything is sent the app tells you with a notice: you can turn them off right there, or at any time from Menu → Anonymous statistics. All that stays on the phone is your choice and the week of the last send. Phones in a family do not send this count: their use is already visible, in aggregate, from the sharing server.
Family sharing (paid)
Only if you create a family, accept an invite or restore a family with the kit is data synced between phones, through Cloudflare (D1 database and R2 storage). Before it leaves the phone, items, tabs, categories, photos, the family name and the phone names are encrypted (AES-GCM, 256-bit) with a key generated on your phone. That key and the recovery kit secret are never sent to the server in plaintext: whoever runs the service cannot read your data.
The server does see this metadata: random identifiers (family, phone, record, photo), sequence numbers, sizes, photo upload times, how many phones are connected and, for each phone, when it was added and when it was last active. It also keeps only hashes of codes and access tokens, never the values themselves.
Where the data physically sits is decided by Cloudflare (EU or US, depending on its infrastructure).
Note: if you lose every phone and the recovery kit too, the server copy can no longer be read, not even by us. Keep the kit safe and make a backup now and then. Backups made while you are in a family contain the recovery kit and are not encrypted: store them safely.
Payment and email address
- Payments go through Stripe Managed Payments: the seller towards you is Link (Link, LLC, a Stripe company), which takes the payment, issues receipt and invoice and pays the VAT. Stripe and Link handle card and payment data under their own privacy policies; A/R never receives it.
- The email address given at checkout is used for two things: sending you the unlock code and, kept only as a keyed hash (HMAC), recognising your licence if you need to recover it. We do not store the address in plaintext and do not use it for anything else (no newsletters, no marketing).
- Resend sends the emails (unlock code and licence-recovery link) from noreply@ar.gxware.org, so it sees the recipient's address and the message text.
- Codes we hand out manually (no online payment) have no email address attached.
Who processes the data
- Cloudflare: hosting of the site, D1 database and R2 storage. Like any network provider it may process technical connection data (such as the IP address) to run and protect the service; we use the IP address only to limit abuse.
- Stripe and Link: payments, as above.
- Resend: email delivery, as above.
We do not sell or share data with anyone else.
How long we keep it
- When the last phone leaves the family, or when you start over through licence recovery, that family's encrypted data and photos are deleted from the server.
- Photos no longer used by any item are deleted from the server after 30 days.
- The licence record (kind, number of phones, code hash, email hash and, for codes bought online, the Stripe Checkout session id as the payment reference) is kept so the purchase is honoured if you change phone.
- Leaving the family or using "Delete all data" does not delete the other phones' data. Data on your own phone is deleted by you, from the menu.
Controller, legal bases and transfers
- Data controller: Giovanni Solone (Gioxx), Italy, hello@ar.gxware.org.
- A/R is a project independent of the gioxx.org blog, which remains a personal online diary with no commercial purpose: A/R lives on a domain of its own (gxware.org), and A/R data is never shared with the blog or used for it.
- Sync, codes, licence and the code email are needed to provide the service you asked for (performance of a contract, art. 6(1)(b) GDPR). IP addresses and rate limits: legitimate interest in protecting the service from abuse (art. 6(1)(f)).
- To run the service we only look at aggregate numbers (how many families, phones, records and photo bytes there are), never the content, which stays encrypted.
- Anonymous usage statistics: the weekly counters are not personal data, because they cannot be traced back to anyone. For sending them from the phone the basis is legitimate interest in understanding how the service is used (art. 6(1)(f) GDPR): you can object at any time by turning them off in the menu, with no effect on how the app works.
- Cloudflare, Stripe, Link and Resend may process data outside the EU too (for example in the US), with the safeguards the GDPR requires (standard contractual clauses or the EU-US Data Privacy Framework).
Your rights
You can ask for access, correction or deletion of the data we hold about you (in practice: the licence record and the email hash), and you may lodge a complaint with your data protection authority. You delete the family's encrypted data yourself by leaving the family with the last phone. For any request write to hello@ar.gxware.org.
Cookies and tracking
No cookies, no third-party analytics, no profiling, no ads, no embedded third-party content. The only statistic is the anonymous count described above, run by us and easy to turn off. The app's code is public (AGPL-3.0 licence) on GitHub, so what is written here can be checked.
Back to A/R