Informativa sulla privacy

1. Chi siamo

DoLoop è gestito da BarnRecords SASU, una société par actions simplifiée unipersonnelle di diritto francese (società per azioni semplificata unipersonale), con capitale sociale di 100 €, iscritta al RCS di Évry con il numero 982 485 260, con sede legale in 24 rue de la Sablonnière, 91410 Les Granges-le-Roi, Francia («noi»). Siamo il titolare del trattamento dei dati personali descritti di seguito.

Per qualsiasi domanda su questa informativa o sui tuoi dati, scrivi a contact@getdoloop.com. Quell'indirizzo è letto da una persona. Non serve alcun modulo o modello particolare.

2. Ambito di applicazione

Questa informativa riguarda il sito web di DoLoop all'indirizzo getdoloop.com e l'applicazione web DoLoop. Non riguarda i siti di terzi a cui rimandiamo con un link.

3. Il nostro approccio, in un paragrafo

DoLoop è un organizzatore di attività. Ci serve un indirizzo email per crearti un account, e conserviamo le attività e i cicli che crei perché sono il prodotto stesso. Non vendiamo dati, non facciamo pubblicità, non creiamo profili e non usiamo il contenuto delle tue attività per addestrare modelli di machine learning. Raccogliamo il minimo indispensabile, e preferiamo poter rispondere «quel dato non lo abbiamo» piuttosto che spiegare perché lo abbiamo conservato.

4. Quali dati conserviamo

Dati dell'account — i dati che ci fornisci al momento della registrazione:

• indirizzo email (obbligatorio — è il tuo identificativo di accesso)
• una password, conservata unicamente come hash bcrypt con salt. Non vediamo né conserviamo mai la password in sé.
• nome visualizzato (facoltativo)
• lingua preferita dell'interfaccia
• data e ora di creazione dell'account
• se ti sei registrato da una delle nostre pagine di modelli di cicli, e da quale (ad esempio template_weekly-home-reset); vuoto altrimenti

Dati di contenuto — ciò che crei nell'applicazione:

• attività: nome, descrizione, tipo, pianificazione (espressione cron), durata, date
• cicli: nome, descrizione, ordine delle attività, stato di attività, pianificazione
• contatori di attività: quante volte ogni attività è stata completata, quante volte è stata abbandonata, e la data e l'ora dell'ultimo completamento, dell'ultimo abbandono e dell'ultimo armamento
• la data e l'ora del tuo ultimo passaggio di armamento
• la data e l'ora del tuo primo passaggio di armamento

Questo contenuto è visibile solo a te e a chi gestisce i server, al fine di far funzionare e mantenere il servizio. Non ci sono condivisione, profili pubblici né funzioni di team.

Usiamo due di questi dati solo in forma aggregata, per misurare se le persone che si registrano da una pagina di modello di ciclo iniziano a usare DoLoop: il modello da cui ti sei registrato e la data e l'ora del tuo primo passaggio di armamento. Entrambi sono inclusi nell'esportazione descritta al §10.

Chiavi API — solo se ne crei una:

• il nome che dai alla chiave, il suo livello di accesso (sola lettura, oppure lettura e scrittura) e le date di creazione, scadenza e revoca
• i primi caratteri della chiave (ad esempio dl_9zq27svr), così puoi distinguere le tue chiavi
• un hash SHA-256 della chiave. La chiave vera e propria ti viene mostrata una sola volta e non viene mai memorizzata: non possiamo mostrartela di nuovo.
• quando la chiave è stata usata l'ultima volta (dato aggiornato al massimo una volta al minuto)
• il numero di richieste effettuate con ciascuna chiave, al giorno. Le contiamo per fissare limiti di utilizzo equo; non vengono fatturate.

Quando affidi una chiave a uno strumento di tua scelta — uno script, un'integrazione, un assistente IA —, quello strumento può leggere (e, con una chiave di lettura e scrittura, modificare) le tue attività e i tuoi cicli secondo le tue istruzioni. Agisce per te, non per noi: non lo scegliamo né lo controlliamo, non è un nostro responsabile del trattamento, e ciò che fa con i tuoi dati è regolato dai suoi termini e dalla sua informativa sulla privacy. Revoca la chiave in qualsiasi momento per togliergli l'accesso.

App collegate (OAuth). Se colleghi un'app di terzi (ad esempio un assistente IA) a DoLoop, conserviamo quale app hai collegato, l'accesso che le hai concesso (lettura, oppure lettura e scrittura), quando è stata collegata e quando è stata usata l'ultima volta, e gli hash dei suoi token di accesso. L'app può accedere alle tue attività e ai tuoi cicli nei limiti di quell'accesso finché non la scolleghi dal tuo account, non cambi o reimposti la password o non elimini il tuo account. Ciò che l'app fa con i dati che legge è disciplinato dall'informativa sulla privacy di quell'app.

Dati tecnici — generati automaticamente quando usi il servizio:

• log del server del nostro fornitore di hosting, contenenti indirizzo IP, data e ora, URL richiesto, user-agent e codice di risposta. Esistono per finalità di sicurezza e di debug.
• statistiche aggregate di utilizzo delle nostre pagine pubbliche, descritte in dettaglio al §5. Comprendono il tuo indirizzo IP troncato e lo user-agent del tuo browser, dai quali viene derivata un'impronta di visita di breve durata — per questo sono pseudonimizzate e non completamente anonime.

Cosa non conserviamo: dati di pagamento o di carte (non esistono un sistema di fatturazione né un piano a pagamento), indirizzo postale, numero di telefono, data di nascita, dati di localizzazione, contatti, identificativi pubblicitari o di tracciamento tra siti, né alcuna categoria particolare di dati ai sensi dell'art. 9 del GDPR.

5. Statistiche di utilizzo

Misuriamo l'utilizzo delle pagine pubbliche del nostro sito web con Matomo, uno strumento di analisi open source. Lo eseguiamo su un server self-hosted nell'Unione europea che gestiamo insieme agli altri prodotti dello stesso team; non è un servizio commerciale di analisi e i tuoi dati non vengono inviati ad alcuna società di analisi.

Cosa significa in pratica, detto con precisione:

• Nessun cookie. Matomo è configurato in modalità senza cookie. Non memorizza nulla sul tuo dispositivo — nessun cookie, nessuna voce nello storage locale, nessun identificativo pubblicitario — e non ti traccia su altri siti né tra i tuoi dispositivi.
• Il tuo indirizzo IP viene troncato prima di essere memorizzato. Gli ultimi due byte vengono rimossi, così un indirizzo come 82.67.144.31 viene memorizzato come 82.67.0.0. Non memorizziamo mai il tuo indirizzo IP completo nelle statistiche.
• Viene usata un'impronta tecnica di breve durata. Per riconoscere che più pagine visualizzate appartengono alla stessa visita, Matomo ricava un identificativo temporaneo dal tuo indirizzo IP già troncato e dalla stringa user-agent del tuo browser. Non è memorizzato sul tuo dispositivo, cambia quando cambiano quei dati, non è collegato al tuo account e il riconoscimento tra siti è disattivato, quindi non può essere usato per seguirti su un altro sito. È un identificativo pseudonimo e non completamente anonimo, e preferiamo dirti che esiste piuttosto che lasciare che «senza cookie» faccia credere che non esista.
• Do Not Track viene rispettato. Se il tuo browser invia un segnale Do Not Track («non tracciare»), dalla tua visita non viene raccolto alcun dato statistico.
• Solo le pagine pubbliche, più la pagina di registrazione. La pagina di registrazione viene conteggiata come una pagina pubblica, senza la parte del suo indirizzo che segue il ?. Quando una registrazione viene completata, viene inviato un evento «registrazione completata». Non contiene alcun dato dell'account: nulla di ciò che digiti nel modulo, nessun indirizzo email, nome o ID utente. Come una pagina visualizzata, contiene l'indirizzo della pagina, il referrer e informazioni sul tuo dispositivo e sul tuo browser, e appartiene alla stessa visita delle tue pagine visualizzate. Se ti sei registrato da una delle nostre pagine di modelli di cicli, un secondo evento indica il nome di quel modello (ad esempio «plant-care»); anche questo non contiene alcun dato dell'account. L'applicazione con accesso effettuato non viene misurata: /dashboard e la pagina di accesso non inviano nulla. Non sappiamo su cosa clicchi all'interno di DoLoop.
• Cosa guardiamo effettivamente: numero di pagine visualizzate, referrer, paese approssimativo, tipo di dispositivo e browser — in forma aggregata. Non costruiamo alcun tuo profilo e non c'è pubblicità di alcun tipo.

Base giuridica: il nostro legittimo interesse a capire se il nostro sito web funziona (art. 6(1)(f)). Poiché nessun cookie né altra informazione viene memorizzato sul tuo dispositivo o letto da esso, ciò non richiede il consenso ai sensi delle norme ePrivacy, e per questo DoLoop non mostra alcun banner dei cookie.

6. Cookie e storage locale

DoLoop non imposta alcun cookie di tracciamento. L'API è progettata per funzionare senza cookie.

L'applicazione web memorizza due cose nello storage locale del tuo browser:

• un token di autenticazione, per mantenerti connesso. Strettamente necessario — senza di esso l'applicazione non può funzionare.
• la tua preferenza di lingua.

Entrambi vengono cancellati quando esci dall'account o cancelli i dati del browser.

7. Perché possiamo conservarli (base giuridica)

Non ci basiamo sul consenso per nulla, perché non facciamo nulla che lo richieda.

8. Chi altro li vede (responsabili del trattamento)

• Scaleway SAS (8 rue de la Ville-l'Évêque, 75008 Parigi, Francia) — ospita l'applicazione, il database, i log del server e i backup del database, su server e object storage situati in Francia (regione di Parigi), e invia le nostre e-mail (ad esempio quelle per reimpostare la password).
• Il nostro server di statistiche (Unione europea) — l'istanza Matomo descritta al §5. È gestita da noi, su un'infrastruttura condivisa con gli altri prodotti dello stesso team, e non riceve dati degli account né dati di contenuto. Non è una società di analisi esterna, e nessun dato statistico viene venduto, condiviso o inviato altrove.

Questo è l'elenco completo. Non abbiamo partner pubblicitari, data broker né strumenti di terzi per l'assistenza clienti, il CRM o la registrazione delle sessioni. Tutto il trattamento avviene nell'UE/SEE; non effettuiamo trasferimenti internazionali ai sensi del capo V del GDPR.

9. Per quanto tempo li conserviamo

• Dati dell'account e di contenuto: finché esiste il tuo account. Elimina il tuo account e spariscono.
• Chiavi API: finché esiste il tuo account, compresa la traccia delle chiavi revocate o scadute (non più utilizzabili), insieme al loro numero giornaliero di richieste. Tutto viene cancellato quando elimini il tuo account.
• Dopo l'eliminazione: il tuo account, le tue attività, i cicli e i contatori vengono cancellati immediatamente dal database in produzione. I backup del database possono conservarne una copia per un massimo di 30 giorni, dopodiché vengono eliminati a rotazione. I backup non vengono usati per nient'altro che il ripristino in caso di disastro.
• Log del server: 14 giorni.
• Statistiche: i report aggregati (pagine visualizzate, referrer, paesi) sono conservati a tempo indeterminato, poiché non contengono alcun identificativo. I dati grezzi delle visite descritti al §5 — IP troncato, user-agent e l'impronta di visita derivata — vengono cancellati automaticamente dopo 760 giorni.

10. I tuoi diritti

Ai sensi del GDPR hai il diritto di accedere ai tuoi dati, rettificarli, cancellarli, limitarne il trattamento od opporti a esso, e di riceverli in un formato portabile e leggibile da dispositivo automatico. Puoi anche proporre reclamo all'autorità per la protezione dei dati del tuo paese — in Francia è la CNIL (Commission nationale de l'informatique et des libertés, www.cnil.fr).

In pratica:

• Accesso / esportazione — esporta le tue attività e i tuoi cicli dall'applicazione, oppure scrivi a contact@getdoloop.com e ti invieremo in formato JSON tutto ciò che conserviamo.
• Rettifica — modifica il tuo nome e la tua lingua nell'applicazione; scrivici per il tuo indirizzo email.
• Cancellazione — elimina il tuo account, oppure chiedici di farlo. Eliminando l'account vengono eliminati anche le tue attività e i tuoi cicli (sono cancellati a cascata insieme al record dell'utente).
• Opposizione / limitazione — scrivici.

Risponderemo entro 30 giorni, e di norma molto prima. L'esercizio di questi diritti è gratuito, e non ti chiederemo di giustificarti.

11. Sicurezza

Le password sono conservate come hash bcrypt e non vengono mai registrate nei log né possono essere recuperate. Tutto il traffico verso getdoloop.com e api.getdoloop.com passa tramite HTTPS. L'accesso al database di produzione è limitato a chi gestisce il servizio.

DoLoop è un prodotto in fase iniziale realizzato da un team molto piccolo. Non pretenderemo un livello di sicurezza che non siamo in grado di dimostrare. Se trovi una vulnerabilità, segnalacela a contact@getdoloop.com prima di parlarne con chiunque altro, e ti citeremo se lo desideri.

Se si verifica una violazione dei dati personali che possa comportare un rischio per i tuoi diritti, la notificheremo all'autorità di controllo competente entro 72 ore e ne informeremo direttamente gli utenti interessati.

12. Minori

DoLoop non è rivolto ai minori di 16 anni. Non creiamo consapevolmente account per loro. Se ritieni che un minore abbia un account, scrivici e lo elimineremo.

13. Processi decisionali automatizzati

Nessuno. Niente in DoLoop ti profila né prende decisioni automatizzate che ti riguardano e che producono effetti giuridici o comunque significativi.

14. Modifiche a questa informativa

Se modifichiamo questa informativa in modo sostanziale — un nuovo responsabile del trattamento, una nuova finalità, una nuova categoria di dati — aggiorneremo la data in alto e avviseremo via email gli utenti registrati prima che la modifica entri in vigore. Le correzioni puramente formali possono essere apportate senza preavviso.

15. Contatti

BarnRecords SASU, 24 rue de la Sablonnière, 91410 Les Granges-le-Roi, Francia — contact@getdoloop.com

Tutti i dati dell'editore sono riportati nelle nostre note legali.