Informativa Privacy

Sezione 01

1. Titolare del Trattamento

Il Titolare del trattamento dei dati personali relativi all'applicazione mobile "Rook" e all'infrastruttura di supporto è:

Dati del Titolare

Titolare del Progetto: Rook (progetto sviluppato originariamente come CosaFare)
Application ID Ufficiale: it.rookapp.eventi
Sviluppatore / Referente: TFDLab
Sede / Ubicazione: Cascina, Pisa, Toscana, Italia
Email per l'esercizio dei diritti e supporto privacy: tfdlab.info@gmail.com

Ove nel prosieguo del presente documento si utilizzi il termine «Titolare», «noi», o «Rook», ci si riferisce al soggetto sopra indicato quale responsabile delle determinazioni in ordine alle finalità e ai mezzi del trattamento dei dati personali.

Sezione 02

2. Ambito di Applicazione e Destinatari

La presente Privacy Policy si applica a chiunque utilizzi i servizi di Rook, e specificamente a:

1

Utenti Ospiti (Visitatori non autenticati)

Coloro che consultano liberamente l'App in modalità anonima (Guest Mode) per visualizzare il catalogo eventi senza creare o associare un profilo utente.

2

Utenti Registrati

Coloro che accedono all'App autenticandosi tramite Google Sign-In o con Email e Password per salvare e sincronizzare preferiti, personalizzare gli alert delle notifiche, rilasciare recensioni o chattare con gli organizzatori.

3

Organizzatori e Referenti di Enti

Persone fisiche o incaricati di enti pubblici, Pro Loco, comitati e associazioni territoriali che pubblicano eventi, gestiscono collaborazioni tra organizzatori, rispondono alle chat dei visitatori o attivano promozioni di visibilità (Booster).

L'applicazione è progettata e orientata al territorio della Regione Toscana ed è distribuita ufficialmente tramite Google Play Store (Package: it.rookapp.eventi):

Arezzo Firenze Grosseto Livorno Lucca Massa-Carrara Pisa Pistoia Prato Siena

Sezione 03

3. Categorie di Dati Personali Trattati

A seconda della modalità di interazione dell'utente con l'App, Rook può raccogliere e trattare le seguenti tipologie di dati personali:

3.1. Dati di autenticazione e di account (Utenti Registrati)

L'applicazione consente l'accesso sicuro mediante l'infrastruttura certificata di Firebase Authentication secondo due opzioni:

Accesso tramite Google Sign-In (Credential Manager): vengono acquisiti l'identificativo univoco alfanumerico (Firebase UID), l'indirizzo di posta elettronica associato all'account Google, il nome/cognome e l'URL dell'immagine avatar pubblica;
Accesso con Email e Password: vengono acquisiti l'indirizzo email e la password, quest'ultima protetta da hashing crittografico asimmetrico gestito direttamente da Firebase Authentication. Il Titolare non visualizza né memorizza mai le password in chiaro;
Profilo e Dati Visualizzati: nome anagrafico o nickname pubblico, eventuale denominazione dell'ente e stato di verifica del profilo;
Associazione Staff-Ente: inserimento del codice staff alfanumerico univoco per collegare l'account personale dell'utente al profilo organizzativo dell'ente, convalidato tramite Cloud Functions di sicurezza.

3.2. Preferenze, Interessi e Avvisi su Misura (Keyword Alert)

Elenco Eventi nei "Preferiti": identificativi degli eventi salvati nel proprio account;
Organizzatori Seguiti: elenco degli enti e associazioni seguiti per visualizzarne gli aggiornamenti;
Categorie di Notifica Selezionate: preferenze espresse dall'utente (es. Sagre, Concerti, Arte, Folklore);
Filtri per Caratteristiche e Inclusività: preferenze per opzioni alimentari speciali (vegetariane/vegane) o accessibilità motoria per disabili;
Parole Chiave Personalizzate (Keyword Alert): termini arbitrari inseriti direttamente dall'utente (es. nomi di artisti, sagre specifiche, prodotti tipici come tartufo o castagna, opzioni gluten-free) per ricevere notifiche push automatiche appena un evento corrispondente viene pubblicato;
Stato del Consenso e Impostazioni: configurazioni salvate localmente e su cloud nel profilo utente.

3.3. Dati di geolocalizzazione (Posizione GPS)

Rook può rilevare la posizione geografica in tempo reale (coordinate di latitudine e longitudine del dispositivo mobile).

Modalità di acquisizione e massima trasparenza:
L'acquisizione della posizione avviene ESCLUSIVAMENTE previo consenso esplicito richiesto dal sistema operativo del dispositivo dell'utente (finestra autorizzativa di sistema: "Mentre l'app è in uso" o "Solo questa volta").

I dati di localizzazione vengono utilizzati al solo fine di:

Calcolare la distanza chilometrica (in linea d'aria o stradale) rispetto alla sede degli Eventi presenti in catalogo;
Ordinare l'elenco degli Eventi in base alla prossimità geografica rispetto alla posizione attuale dell'utente;
Visualizzare la posizione dell'utente sulla mappa interattiva integrata con Google Maps SDK.

⚠️

GARANZIA DI RISERVATEZZA SUL GPS — ZERO STORICO:
I dati GPS NON vengono salvati in modo permanente sui server del Titolare, NON sono utilizzati per profilare o creare uno storico degli spostamenti dell'utente e NON vengono tracciati in background a schermata chiusa o con app inattiva.
In caso di rifiuto del permesso GPS, l'Utente può comunque utilizzare l'applicazione selezionando manualmente la provincia o il comune toscano di proprio interesse.

3.4. Contenuti Generati dall'Utente (Recensioni, Chat e Segnalazioni)

Recensioni ed Esperienze Pubbliche: voto in stelle (da 1 a 5), testo del commento, timestamp di pubblicazione e nome o nickname dell'utente associato al proprio UID. Ciascun utente ha il pieno controllo per modificare o eliminare in ogni momento la propria recensione direttamente dalla scheda dell'evento;
Messaggi di Chat In-App: comunicazioni testuali scambiate in tempo reale tra visitatori e organizzatori di eventi tramite canali Firebase Realtime Database dedicati, necessari per richiedere informazioni sullo svolgimento delle manifestazioni;
Segnalazioni di Eventi: indirizzo email fornito dal segnalatore, motivazione, note descrittive, stato di elaborazione del ticket di moderazione e storico di risoluzione da parte dell'organizzatore competente.

3.5. Dati per le Notifiche Push (Firebase Cloud Messaging - FCM)

Qualora l'utente autorizzi l'invio delle notifiche push (permesso di sistema operativo Android 13+ POST_NOTIFICATIONS), viene generato un Token di registrazione univoco del dispositivo (FCM Token).
Tale token consente ai server Firebase Cloud Functions di recapitare notifiche push relative ai topic scelti (categorie di eventi) o alle parole chiave monitorate, senza tracciare la navigazione web esterna dell'utente.

3.6. Dati degli Organizzatori, Eventi e Booster di Visibilità

Per gli Organizzatori e referenti che caricano contenuti sulle manifestazioni:

Dati identificativi: denominazione dell'ente organizzatore, associazione, Pro Loco o comitato promotore;
Recapiti pubblici di contatto: indirizzo email di riferimento per il pubblico, recapiti telefonici per informazioni/prenotazioni, link ai siti web ufficiali o canali social;
Materiale descrittivo e multimediale: fotografie di copertina, locandine promozionali, date, orari, programmi di svolgimento, menù gastronomici e listini prezzi;
Booster di Visibilità: richiesta di piani promozionali (24h, 48h, 7 giorni) con memorizzazione della data di scadenza del boost per l'ordinamento in evidenza;
Collaborazioni tra Enti: dati di cooperazione tra co-organizzatori per la gestione congiunta dell'evento (richieste inviate, ricevute, stato di approvazione) e punteggio di reputazione con badge attribuiti all'ente.

3.7. Dati tecnici, di log e di diagnostica

Indirizzo IP: acquisito transitoriamente per l'istradamento delle richieste di rete via HTTPS;
Informazioni sul dispositivo: marca, modello di dispositivo, versione del sistema operativo Android;
Timestamp e log di rete: registrazioni temporali delle chiamate verso i database cloud Firebase;
Log di diagnostica ed errori: tracciamento di crash o anomalie tecniche in forma aggregata al solo fine di mantenere l'app stabile e sicura.

Sezione 04

4. Finalità del Trattamento e Basi Giuridiche

I dati personali degli utenti vengono trattati esclusivamente per finalità determinate, esplicite e legittime, in conformità all'art. 6 del Regolamento (UE) 2016/679 («GDPR»):

01

Erogazione dei Servizi dell'App e Funzionalità Principali

Consentire la consultazione del catalogo eventi in Toscana, la ricerca per categorie e filtri temporali, la sincronizzazione dei Preferiti, la pubblicazione di recensioni e valutazioni, la chat con gli organizzatori, l'esplorazione del calendario e la visualizzazione su mappa.

Art. 6, par. 1, lett. b, GDPR — Esecuzione del Contratto

02

Geolocalizzazione in Tempo Reale e Calcolo Distanze

Rilevare la posizione GPS istantanea per ordinare automaticamente gli eventi in base alla prossimità, mostrare la distanza chilometrica residua e posizionare l'icona dell'utente sulla mappa interattiva.

Art. 6, par. 1, lett. a, GDPR — Consenso Espresso

Il consenso viene prestato tramite la finestra di sistema operativo ed è revocabile in ogni momento dalle impostazioni dello smartphone.

03

Notifiche Push e Avvisi su Misura (Categorie & Keyword Alert)

Inviare notifiche push automatiche sui nuovi eventi pubblicati conformi alle categorie selezionate o contenenti le parole chiave personalizzate indicate dall'utente.

Art. 6, par. 1, lett. a, GDPR — Consenso Espresso

L'utente può abilitare o disabilitare le notifiche e personalizzare le keyword in qualsiasi momento dalla sezione Notifiche nel Profilo.

04

Sicurezza Informatica, Moderazione e Prevenzione Abusi

Proteggere l'integrità delle API e dei database Firebase, prevenire accessi non autorizzati o fraudolenti, mitigare tentativi di spam o condotte scorrette e verificare le segnalazioni ricevute su eventi non conformi.

Art. 6, par. 1, lett. f, GDPR — Legittimo Interesse

05

Adempimento di Obblighi Legali e Difesa dei Diritti

Adempiere a obblighi prescritti da leggi statali, regolamenti europei o ordini vincolanti dell'Autorità Giudiziaria o delle Forze di Polizia, nonché far valere o difendere un diritto del Titolare in sede stragiudiziale o contenziosa.

Art. 6, par. 1, lett. c, GDPR — Obbligo di Legge

Sezione 05

5. Natura del Conferimento dei Dati

Il conferimento dei dati personali assume natura differente a seconda delle funzioni utilizzate:

Obbligatorio Tecnico

Dati essenziali di sessione e navigazione: il conferimento è implicito e tecnicamente indispensabile per la connessione dell'App su rete Internet. Il mancato conferimento rende tecnicamente impossibile erogare i contenuti del catalogo.

Facoltativo / Account

Autenticazione con Google o Email/Password: l'accesso è del tutto facoltativo. L'utente può navigare liberamente come «Ospite». La mancata registrazione preclude unicamente la sincronizzazione dei Preferiti, l'uso della chat, la pubblicazione di recensioni e gli alert personalizzati.

Facoltativo / GPS

Permesso di geolocalizzazione (GPS): l'accesso alla posizione geografica è facoltativo. L'eventuale rifiuto impedisce unicamente il calcolo automatico della distanza e l'ordinamento dinamico per vicinanza, ma non impedisce la normale consultazione manuale di tutte le province toscane e la visione degli eventi sulla mappa.

Facoltativo / Notifiche

Permesso Notifiche Push & Keyword Alert: facoltativo. Il diniego del permesso impedisce unicamente la ricezione degli avvisi su nuovi eventi in tempo reale, lasciando inalterate tutte le restanti funzionalità dell'app.

Sezione 06

6. Modalità di Trattamento e Misure di Sicurezza

Il trattamento dei dati personali è effettuato mediante strumenti elettronici, telematici e automatizzati nel rispetto dei principi di correttezza, liceità, trasparenza, limitazione delle finalità e minimizzazione dei dati sanciti dall'art. 5 del GDPR.

In conformità all'art. 32 del GDPR, il Titolare ha implementato adeguate misure di sicurezza tecniche e organizzative al fine di prevenire la perdita dei dati, usi illeciti, accessi non autorizzati o alterazioni accidentali:

🔒 Crittografia in Transito (HTTPS/TLS)

Tutte le comunicazioni tra l'applicazione client, le API e i server cloud Firebase avvengono attraverso canali cifrati con protocolli di sicurezza avanzati TLS/HTTPS.

🛡️ Firebase Security Rules

Regole di sicurezza server-side granulari che garantiscono la segregazione dei dati: ciascun utente autenticato può accedere ed alterare unicamente i propri preferiti, recensioni e impostazioni associate al proprio UID.

🤖 Traduzioni On-Device (Google ML Kit)

Le traduzioni in tempo reale (Italiano, Inglese, Tedesco) vengono eseguite tramite modelli locali on-device scaricati sullo smartphone, garantendo che i testi consultati non vengano inviati a server di profilazione terzi.

🔑 Autenticazione a Due Fattori (2FA)

Gli accessi amministrativi alla console di gestione Firebase, agli archivi storage e ai repository di codice sono presidiati da autenticazione a più fattori riservata al Titolare.

Sezione 07

7. Periodo di Conservazione dei Dati (Data Retention)

I dati personali vengono conservati per il tempo strettamente necessario a conseguire le finalità per le quali sono stati raccolti, e nello specifico:

👤

Account Utente, Preferiti e Keyword

I dati del profilo, la lista dei preferiti e le keyword salvate sono conservati per l'intera durata di attività dell'account, o fino alla cancellazione autonoma eseguita dall'utente. In caso di inattività continuativa per oltre 24 mesi, l'account potrà essere eliminato.

⭐

Recensioni e Valutazioni

Le recensioni rimangono visibili nella scheda dell'evento fino alla cancellazione o modifica autonoma da parte dell'autore dall'app, o fino all'eliminazione dell'account o dell'evento stesso.

💬

Messaggi di Chat In-App

I messaggi scambiati tra utenti e organizzatori sono conservati per la durata della manifestazione e del riscontro informativo, e possono essere rimossi su richiesta delle parti o a conclusione del ciclo dell'evento.

📍

Geolocalizzazione GPS

I dati di localizzazione vengono elaborati esclusivamente in tempo reale nella memoria volatile del dispositivo. Nessun dato di posizione viene salvato o storicizzato sui server del Titolare.

🔔

Token Notifiche Push (FCM)

Il token del dispositivo è conservato fino alla disattivazione delle notifiche, revoca del permesso di sistema o disinstallazione dell'applicazione.

📋

Log Tecnici e di Diagnostica

I log tecnici di connessione e gli indirizzi IP sono conservati per una durata massima di 12 mesi a fini di sicurezza informatica.

Sezione 08

8. Destinatari dei Dati e Fornitori di Servizi Terzi

I dati personali raccolti possono essere comunicati o resi accessibili a fornitori terzi di servizi tecnologici che operano in qualità di Responsabili del Trattamento ai sensi dell'art. 28 GDPR o come autonomi titolari:

1. Google Firebase (Google Ireland Ltd / Google LLC)

Finalità: Backend as a Service, autenticazione federata (Firebase Auth), Realtime Database, Cloud Storage per immagini, Cloud Functions e invio notifiche push (FCM).
Sede: Dublino, Irlanda / Mountain View, USA.
Informativa: firebase.google.com/support/privacy ↗

2. Google Maps SDK (Google Ireland Ltd / Google LLC)

Finalità: Rendering della cartografia vettoriale interattiva e visualizzazione dei punti di interesse all'interno dell'app.
Dati trattati: Coordinate geografiche istantanee e dati tecnici di connessione.
Informativa: policies.google.com/privacy ↗

3. Google ML Kit Translate (Google LLC)

Finalità: Traduzione dinamica multilingua on-device dei contenuti (i modelli linguistici operano in locale senza inviare il testo dei visitatori a server esterni).

4. Navigatori di Sistema (via Intent Esterno)

Finalità: Quando l'utente preme sul pulsante "Portami Qui", l'app inoltra le coordinate della manifestazione all'app di navigazione installata sullo smartphone (Google Maps, Waze, Apple Maps). Da tale momento il trattamento è regolato dalle policy del navigatore terzo prescelto.

✨

DIVIETO ASSOLUTO DI COMMERCIALIZZAZIONE DEI DATI:
Nessun dato personale raccolto da Rook viene venduto, ceduto, concesso in licenza o commercializzato a intermediari terzi per finalità pubblicitarie, di direct marketing o di profilazione commerciale.

Sezione 09

9. Trasferimento dei Dati Verso Paesi Extra-SEE

L'infrastruttura Google Cloud / Firebase impiegata da Rook alloca i propri database prioritariamente all'interno dell'Unione Europea (Spazio Economico Europeo - SEE). Tuttavia, la natura globale dei servizi cloud forniti da Google LLC può comportare il transito o l'accesso a dati da server situati negli Stati Uniti d'America o in altri Paesi terzi.

Tali trasferimenti avvengono nel rigoroso rispetto del Capo V del GDPR e sono legittimati da:

Decisione di Adeguatezza della Commissione Europea: applicabile ai trasferimenti verso gli Stati Uniti nell'ambito del Data Privacy Framework (EU-U.S. DPF), cui Google LLC ha formalmente aderito;
Clausole Contrattuali Standard (Standard Contractual Clauses - SCC): approvate dalla Commissione Europea ai sensi dell'art. 46 GDPR, integrate da misure supplementari di cifratura end-to-end e segregazione degli accessi.

Sezione 10

10. Diritti dell'Interessato (Articoli 15-22 GDPR)

In ogni momento, l'utente ha il pieno diritto di esercitare i diritti riconosciuti dagli articoli 15-22 del Regolamento (UE) 2016/679:

Diritto di Accesso (Art. 15)

Ottenere conferma che sia o meno in corso un trattamento di dati che lo riguardano e riceverne copia intelligibile.

Diritto di Rettifica (Art. 16)

Ottenere senza ingiustificato ritardo l'aggiornamento, la correzione o l'integrazione dei dati inesatti o incompleti.

Diritto all'Oblio (Art. 17)

Ottenere la cancellazione tempestiva e definitiva dei propri dati personali dai database e dai sistemi di backup.

Limitazione del Trattamento (Art. 18)

Richiedere la sospensione temporanea del trattamento al verificarsi delle ipotesi previste dalla normativa.

Diritto alla Portabilità (Art. 20)

Ricevere i propri dati in formato strutturato, interoperabile e leggibile da dispositivo automatico (JSON).

Diritto di Opposizione (Art. 21)

Opporsi in qualunque momento, per motivi connessi alla propria situazione particolare, al trattamento basato sul legittimo interesse.

Revoca del Consenso

Revocare in qualsiasi momento il consenso accordato (es. posizione GPS o notifiche) senza pregiudicare la liceità del trattamento pregresso.

10.1. Eliminazione dell'Account e dei Dati Associati (Policy Google Play & Art. 17 GDPR)

10.2. Gestione e Rimozione Autonoma di Recensioni e Notifiche

L'Utente ha il pieno controllo autonomo sui propri contenuti:
- Recensioni: possono essere modificate o cancellate direttamente dalla scheda dell'evento in cui sono state inserite;
- Notifiche e Keyword Alert: possono essere attivate, disattivate o personalizzate in ogni momento dalla card dedicata alle Notifiche nel Profilo.

10.3. Esercizio dei Diritti via Email

Per qualsiasi altra istanza relativa ai propri dati personali, l'interessato può indirizzare una richiesta scritta al Titolare:

Email: tfdlab.info@gmail.com
Il Titolare risponderà senza ingiustificato ritardo e comunque entro 30 giorni dalla ricezione della comunicazione.

10.4. Diritto di Reclamo all'Autorità di Controllo

🏛️

Fatto salvo ogni altro ricorso amministrativo o giurisdizionale, qualora l'Utente ritenga che il trattamento violi il GDPR, ha il diritto di proporre reclamo all'Autorità Garante per la Protezione dei Dati Personali:

Piazza Venezia 11, 00187 Roma • Sito web: www.garanteprivacy.it ↗

Sezione 11

11. Tutela dei Minori

L'applicazione non è diretta né destinata all'utilizzo da parte di minori di anni 14. Non raccogliamo intenzionalmente dati personali di individui che non abbiano raggiunto la soglia di età stabilita dalla legge italiana per il consenso digitale autonomo (art. 2-quinquies D.Lgs. 196/2003).

🧒

Avviso per Genitori ed Esercenti la Responsabilità Genitoriale:
Nel caso in cui un genitore o tutore legale apprenda che un minore di anni 14 ha fornito propri dati personali attraverso l'App senza opportuna autorizzazione, è pregato di segnalarlo prontamente all'indirizzo tfdlab.info@gmail.com. Il Titolare procederà all'immediata eliminazione dei relativi dati.

Sezione 12

12. Processi Decisionali Automatizzati e Profilazione

Il Titolare NON adotta processi decisionali basati interamente su trattamenti automatizzati né attività di profilazione commerciale che producano effetti giuridici sull'interessato o che incidano in modo analogo significativamente sulla sua persona ai sensi dell'art. 22 del GDPR.

ℹ️

Filtri di Ordinamento Tecnico:
I filtri geografici di vicinanza chilometrica e le notifiche su keyword operano come meri filtri tecnici basati sui parametri esplicitamente selezionati dall'utente, a puro vantaggio informativo e senza valutazioni predittive di abitudini commerciali.

Sezione 13

13. Aggiornamenti della Presente Privacy Policy

Il Titolare si riserva il diritto di modificare o aggiornare la presente Informativa sulla Privacy, anche in conseguenza di mutamenti nel quadro normativo applicabile in materia di protezione dei dati personali o del rilascio di nuove funzionalità nell'applicazione Rook.

Le eventuali versioni aggiornate saranno pubblicate con indicazione puntuale della data di ultimo aggiornamento e del numero di versione. In presenza di variazioni sostanziali nei trattamenti, gli utenti potranno essere informati tramite opportuno avviso all'interno dell'applicazione o con richiesta di presa visione aggiornata.

Sezione 14

14. Contatti del Titolare

Per qualunque domanda, chiarimento o per l'esercizio dei diritti garantiti dal GDPR, è possibile contattare il Titolare attraverso i seguenti canali:

✉️

Email Supporto Privacy

Canale prioritario per esercizio diritti e richieste di informazioni.

tfdlab.info@gmail.com

📍

Sede Territoriale

Ubicazione del referente di progetto per comunicazioni formali.

Cascina, Pisa, Italia

📱

Canale Diretto In-App

Funzione di cancellazione autonoma account e gestione preferenze.

Sezione Profilo / Notifiche in Rook