Informativa sulla privacy

Il titolare del trattamento è il soggetto che gestisce Animiyo, la piattaforma disponibile come applicazione web ospitata su Google Cloud Run e come applicazione iOS nativa, entrambe appoggiate allo stesso backend Firebase nel progetto Google Cloud petdiary-10327. Il titolare decide le finalità e i mezzi del trattamento per tutto ciò che riguarda gli account dei proprietari di animali: registrazione, autenticazione, profili degli animali, promemoria, budget, passeggiate, documenti caricati e preferenze di interfaccia.

Per qualsiasi richiesta relativa ai dati personali puoi usare la pagina Contatti del sito, raggiungibile al percorso /contatti. Le richieste che riguardano l'esercizio dei diritti seguono la procedura descritta in /diritti-privacy, che indica anche gli strumenti disponibili direttamente in applicazione per esportare o cancellare i dati senza attendere una nostra risposta.

Non è stato designato un responsabile della protezione dei dati perché non ricorrono le condizioni previste dall'articolo 37 del regolamento: il trattamento non è svolto da un'autorità o da un organismo pubblico, non consiste in un monitoraggio regolare e sistematico degli interessati su larga scala e non ha come attività principale il trattamento su larga scala di categorie particolari di dati. La valutazione viene ripetuta a ogni ampliamento del servizio e, se l'esito dovesse cambiare, la designazione sarà pubblicata in questa sezione.

Animiyo è una piattaforma multi-tenant: cliniche veterinarie, negozi e servizi lavorano in spazi separati, con i propri operatori e i propri clienti. Per questo il ruolo di Animiyo non è sempre lo stesso. Sui dati dell'account di un proprietario Animiyo è titolare del trattamento e risponde direttamente. Sui dati che una clinica o un negozio inserisce sui propri clienti tramite la piattaforma Animiyo è invece responsabile del trattamento: il titolare è il tenant e il rapporto è regolato dall'accordo pubblicato in /dpa.

La distinzione non è formale. Quando Animiyo agisce come responsabile non decide quali dati raccogliere né per quanto tempo conservarli, ma esegue le istruzioni documentate del tenant. Se vuoi esercitare un diritto su dati inseriti da una clinica o da un negozio, la richiesta va rivolta a quel soggetto; se la ricevi tu da noi o la invii a noi, forniamo l'assistenza tecnica necessaria e la inoltriamo al titolare competente, informandoti di averlo fatto.

L'elenco che segue non è una formula generica: riporta le categorie effettivamente presenti nel sistema, con esempi ricavati dalle strutture dati dell'applicazione. La colonna Origine indica da dove arriva l'informazione, perché cambia sia la base giuridica sia il modo in cui puoi intervenire su di essa.

Sul piano tecnico i dati sono organizzati nelle collezioni Firestore users, usernames, pets, petContacts, petShares, petSightings, petMemberships, petConditions, petActivity, petMemories, foundTags, vaccinations, medications, dewormingRecords, weightRecords, labResults, soapNotes, vetAppointments, appointmentTypes, hospitalized, consentForms, signedConsents, estimates, invoices, orders, subscriptions, rewards, reviews, resources, walks, routes, routeShares, groupWalks, conversations, budgetItems, budgetGoals, budgetConfigurations, tenants e auditLog. Le fotografie, i documenti caricati e le firme dei consensi sono conservati su Cloud Storage. Pubblichiamo l'elenco perché rende verificabile la corrispondenza fra quanto è dichiarato qui e quanto esiste davvero nel sistema.

Questa è la sezione centrale del documento. Le due tabelle collegano ogni finalità alle categorie di dati usate, alla base giuridica, al periodo di conservazione e ai destinatari. La prima raccoglie i trattamenti necessari a fornirti il servizio che hai richiesto; la seconda quelli fondati sul consenso, sul legittimo interesse o su un obbligo di legge.

Il consenso è sempre revocabile e la revoca non pregiudica la liceità del trattamento svolto prima. Puoi togliere il permesso alle notifiche e alla posizione dalle impostazioni del dispositivo, disattivare le statistiche dal pannello descritto in /cookie e spegnere la pagina pubblica del tag di smarrimento dalla scheda dell'animale. Quando il trattamento si fonda sul legittimo interesse abbiamo verificato che l'interesse a mantenere il servizio sicuro e funzionante non prevalga sui tuoi diritti, perché i dati usati sono limitati a quelli tecnici, la conservazione è breve e non ne deriva alcuna decisione sulla tua persona; puoi comunque opporti ai sensi dell'articolo 21 del regolamento.

I dati sanitari di un animale non sono dati relativi alla salute ai sensi dell'articolo 9 del regolamento, perché l'animale non è una persona fisica e quindi non è un interessato. Questo però non li rende dati anonimi: una vaccinazione, una terapia o un ricovero sono riferibili al proprietario identificato dall'account che li ha inseriti, quindi restano dati personali del proprietario e come tali sono trattati.

La conseguenza pratica è che la base giuridica del libretto sanitario è l'esecuzione del contratto e non il consenso esplicito dell'articolo 9. Sul piano tecnico, tuttavia, applichiamo a queste informazioni le stesse cautele previste per le categorie particolari, perché la sensibilità percepita e il danno potenziale in caso di accesso non autorizzato sono comparabili.

• Accesso limitato al proprietario e ai soggetti che ha esplicitamente autorizzato.
• Regole di sicurezza Firestore e Cloud Storage che verificano la proprietà del documento a ogni lettura e a ogni scrittura.
• Separazione dei dati fra tenant, in modo che una clinica veda solo gli animali che le sono stati condivisi.
• Registrazione delle operazioni rilevanti nel registro di audit applicativo.
• Cifratura in transito con TLS e a riposo con AES-256.

L'articolo 9 può rilevare in via indiretta in un caso preciso: quando sei tu a inserire spontaneamente informazioni sulla tua salute, per esempio indicando che l'animale è un cane guida o un animale di assistenza. In quella situazione il dato riguarda una persona fisica e la base giuridica è il consenso esplicito previsto dall'articolo 9 paragrafo 2 lettera a, che presti scegliendo di scrivere quell'informazione in un campo libero. Puoi rimuoverla in qualsiasi momento modificando o cancellando il contenuto, e ti invitiamo a non inserire dati sulla tua salute quando non sono necessari alla cura dell'animale.

I tracciati delle passeggiate sono la categoria di dati più delicata trattata da Animiyo come titolare. Una sequenza di percorsi può rivelare molto più di un itinerario: orari di uscita, abitudini quotidiane, luoghi frequentati e, indirettamente, l'indirizzo di casa. Per questo li trattiamo come categoria a rischio elevato e non come un semplice contenuto dell'applicazione.

• La posizione precisa è richiesta solo all'avvio di una passeggiata e il permesso di sistema resta revocabile dalle impostazioni del dispositivo.
• I tracciati sono privati per impostazione predefinita: nessun altro utente li vede finché non scegli di condividerli.
• La condivisione di un percorso e la partecipazione a una passeggiata di gruppo sono atti volontari e revocabili; alla revoca il contenuto cessa di essere visibile agli altri.
• I tracciati non alimentano pubblicità, profilazione commerciale o inferenze sulle tue abitudini.
• La pagina pubblica del tag di smarrimento espone solo le informazioni necessarie a restituire l'animale e può essere disattivata in qualsiasi momento.
• La cancellazione di un tracciato è immediata e non richiede una richiesta formale.
• Ogni nuova funzione che tratti la posizione è preceduta da una valutazione d'impatto sulla protezione dei dati.

Nessun dato di localizzazione viene comunicato a terzi al di fuori delle condivisioni che scegli tu e del fornitore di infrastruttura che ospita il database. Le piastrelle cartografiche mostrate sotto il tracciato provengono da un servizio esterno interrogato dal tuo browser, come spiegato più avanti, e quel servizio riceve la porzione di mappa richiesta e l'indirizzo IP della connessione, non il tracciato completo né il tuo identificativo Animiyo.

Alcune funzioni servono proprio a mostrare qualcosa ad altri: ritrovare un animale smarrito, farsi riconoscere in una passeggiata di gruppo, lasciare una recensione a una clinica. In tutti questi casi la pubblicazione è una tua scelta esplicita, mai un'impostazione predefinita. La tabella riassume che cosa diventa visibile, a chi e come si torna indietro.

Tieni presente un limite tecnico che nessuna piattaforma può superare: quando un contenuto è stato pubblico, chi lo ha visto può averlo copiato, salvato o indicizzato altrove. La revoca interrompe la pubblicazione da parte nostra e rende il contenuto inaccessibile tramite Animiyo, ma non può cancellare copie già realizzate da terzi. Per questo consigliamo di pubblicare sul tag di smarrimento solo le informazioni davvero utili a restituire l'animale.

Animiyo non gestisce server propri: l'intera piattaforma si appoggia a servizi gestiti di Google Cloud e Firebase, che agiscono come sub-responsabili su nostra istruzione documentata. La tabella elenca i servizi effettivamente attivi, i dati che ciascuno tratta e la regione in cui opera.

L'elenco aggiornato, con le eventuali sostituzioni e i tempi di preavviso previsti per i tenant, è pubblicato in /sub-responsabili. Oltre ai fornitori di infrastruttura, i tuoi dati possono raggiungere altri destinatari, sempre in conseguenza di una tua scelta o di un obbligo.

• I tenant con cui scegli di condividere un animale o presso cui prendi un appuntamento, limitatamente ai dati necessari alla prestazione.
• Gli altri utenti con cui condividi un animale, un percorso o una passeggiata di gruppo.
• Chiunque acceda ai contenuti che rendi volontariamente pubblici, come una recensione o la pagina del tag di smarrimento.
• Le autorità competenti, quando la comunicazione è imposta da una norma o da un provvedimento vincolante.

Animiyo non vende dati personali, non li cede a reti pubblicitarie e non li usa per addestrare modelli di intelligenza artificiale, né propri né di terzi. Non ci sono cookie di profilazione di terze parti e non esistono accordi di scambio di dati a fini di marketing.

Le risorse principali della piattaforma, cioè Cloud Run, Cloud Functions, Cloud Firestore e Cloud Storage, sono ospitate nella regione us-central1, che si trova negli Stati Uniti. Questo significa che i tuoi dati personali, compresi i dati sanitari degli animali, le fotografie, i documenti caricati e i tracciati delle passeggiate, sono conservati e trattati su server situati negli Stati Uniti. Lo dichiariamo in modo esplicito perché è un elemento che devi conoscere prima di decidere se usare il servizio, e non una nota tecnica secondaria.

• Google Ireland Limited come controparte contrattuale, con i Google Cloud Data Processing Terms applicabili al progetto.
• Clausole contrattuali tipo adottate dalla Commissione europea con decisione di esecuzione 2021/914.
• Certificazione di Google LLC al Data Privacy Framework fra Unione europea e Stati Uniti.
• Cifratura dei dati in transito con TLS e a riposo con AES-256.
• Valutazione del trasferimento documentata dal titolare, che tiene conto delle leggi di accesso vigenti nel paese di destinazione.
• Politica pubblica di Google sulla gestione delle richieste di accesso provenienti dalle autorità pubbliche.

Nessuna di queste garanzie elimina del tutto il rischio: la normativa statunitense in materia di sorveglianza può in astratto consentire richieste di accesso da parte delle autorità, e su questo punto non è onesto promettere una protezione assoluta. Per ridurre il rischio alla radice è in corso una valutazione tecnica ed economica per migrare l'infrastruttura in una regione europea, nell'area europe-west. Finché la decisione non è presa e la migrazione non è completata, il trasferimento resta quello dichiarato qui; quando la collocazione cambierà, questa sezione sarà aggiornata e la modifica sarà annunciata in applicazione.

Alcune informazioni mostrate in applicazione provengono da banche dati pubbliche interrogate direttamente dal tuo browser, in sola lettura. Non inviamo a questi servizi il tuo identificativo, il tuo indirizzo email o i dati dei tuoi animali, ma il fornitore riceve comunque l'indirizzo IP della tua connessione e le normali informazioni della richiesta: è sufficiente perché il trattamento vada dichiarato.

Poiché non tutti questi fornitori dichiarano dove si trovano i server che rispondono alle richieste, trattiamo queste chiamate come possibili trasferimenti fuori dall'Unione europea e ti mettiamo in condizione di saperlo. Le piastrelle cartografiche, in particolare, rivelano al fornitore la zona che stai guardando, quindi indirettamente l'area della passeggiata. Il titolare ha in programma di spostare queste chiamate lato server, in modo che sia il backend di Animiyo a interrogare le fonti esterne e il tuo indirizzo IP non raggiunga più fornitori terzi.

Conserviamo ogni categoria di dati per il tempo necessario alla finalità per cui è stata raccolta, poi la cancelliamo. La tabella raccoglie tutti i termini applicati, con il criterio che li giustifica.

La cancellazione dai sistemi attivi è immediata quando la richiedi dall'applicazione e comunque completata entro trenta giorni. Le copie di backup e le repliche gestite da Google Cloud vengono superate dai cicli successivi e non sono usate per ripristinare dati cancellati su richiesta. Alla scadenza dei termini i dati sono eliminati oppure resi anonimi in modo irreversibile, cioè privati di ogni collegamento con il tuo account.

Le misure elencate qui sono quelle effettivamente implementate nella piattaforma, non un catalogo di buone intenzioni. Sono state scelte in funzione dei rischi concreti del servizio: accesso ai dati di un animale da parte di chi non ne ha titolo, confusione fra i dati di tenant diversi, uso automatizzato delle interfacce, perdita di dati.

• Autenticazione Firebase con verifica dell'indirizzo email.
• Controllo degli accessi per ruolo e per tenant tramite i custom claims del token.
• Regole di sicurezza Firestore e Cloud Storage scritte per collezione e per ruolo, con verifica della proprietà del documento a ogni lettura e a ogni scrittura.
• Separazione dei dati fra tenant diversi, senza percorsi di lettura trasversali.
• Firebase App Check con reCAPTCHA Enterprise, per respingere le richieste che non provengono da un'applicazione legittima.
• Registro di audit applicativo nella collezione auditLog.
• Cifratura dei dati in transito con TLS e a riposo con AES-256.
• Politica di sicurezza dei contenuti in modalità di applicazione sulle pagine web.
• Backup e replica gestiti da Google Cloud.
• Principio del minimo privilegio per gli account amministrativi.

Non dichiariamo certificazioni che non abbiamo ottenuto e non promettiamo una sicurezza assoluta, che nessun sistema connesso alla rete può offrire. Le misure sopra descritte sono riviste a ogni rilascio che tocchi l'autenticazione, le regole di accesso o la struttura dei dati. In caso di violazione dei dati personali che comporti un rischio per i tuoi diritti e le tue libertà, la notifica all'autorità di controllo e, quando il rischio è elevato, la comunicazione agli interessati avvengono nei termini previsti dagli articoli 33 e 34 del regolamento.

Il regolamento ti riconosce i diritti descritti dagli articoli 15 a 22, che puoi esercitare in qualsiasi momento e gratuitamente. La tabella li riassume nel modo in cui si applicano a Animiyo; la procedura operativa, con i tempi di riscontro e le verifiche di identità, è descritta in /diritti-privacy.

• Esportazione in applicazione: generi un archivio JSON con profilo utente, animali e relative sottocollezioni, contatti degli animali, configurazione del budget, voci di spesa e obiettivi.
• Cancellazione dell'account in applicazione: elimina profilo utente, animali e sottocollezioni, contatti, condivisioni, tag di smarrimento, avvistamenti, voci di budget e obiettivi.
• Richieste che gli strumenti in applicazione non coprono: procedura descritta in /diritti-privacy, con inoltro al tenant quando il titolare è una clinica o un negozio.

Se ritieni che il trattamento violi il regolamento puoi proporre reclamo al Garante per la protezione dei dati personali, piazza Venezia 11, 00187 Roma, oppure all'autorità di controllo dello Stato in cui risiedi abitualmente o lavori. Il reclamo è indipendente da ogni altro rimedio e non richiede di averci contattati prima, anche se una richiesta diretta è spesso la via più rapida per risolvere il problema.

Il servizio è riservato a chi ha compiuto diciotto anni, come previsto dalle condizioni d'uso pubblicate in /termini, e non trattiamo consapevolmente dati di minori di sedici anni. Non raccogliamo la data di nascita dell'utente, quindi non possiamo verificare l'età in modo automatico: il presidio si basa sul limite dichiarato nelle condizioni d'uso e sulle segnalazioni che riceviamo.

Se veniamo a conoscenza che un account è stato creato da un minore, sospendiamo l'accesso e cancelliamo i dati collegati nel tempo più breve possibile, salvo che la conservazione sia imposta da un obbligo di legge. Se sei un genitore o un tutore e ritieni che un minore abbia aperto un account, segnalalo dalla pagina Contatti al percorso /contatti indicando il nome utente o l'indirizzo email interessato: verifichiamo la segnalazione e ti confermiamo l'esito. Lo stesso vale se un minore compare in una fotografia o in un documento caricato da un altro utente.

Animiyo non adotta processi decisionali interamente automatizzati che producano effetti giuridici nei tuoi confronti o che incidano in modo analogamente significativo sulla tua persona ai sensi dell'articolo 22 del regolamento. Non assegniamo punteggi agli utenti, non costruiamo profili per finalità pubblicitarie e non facciamo dipendere da un calcolo automatico l'accesso al servizio o le condizioni economiche.

Allo stesso modo i promemoria, gli avvisi sulle scadenze vaccinali e le stime di budget sono calcoli deterministici basati sui dati che hai inserito, non profilazioni. Se una data è vicina ricevi un avviso; se una spesa supera la soglia che hai impostato lo vedi nel riepilogo. Nessuno di questi automatismi trae conclusioni sulle tue caratteristiche personali e nessuno viene comunicato a terzi.

I controlli antifrode di App Check operano sulla singola richiesta tecnica e non sul profilo dell'utente: quando un controllo non è superato viene respinta quella richiesta, non l'account. Se ritieni che un blocco sia errato puoi segnalarlo dalla pagina /contatti e la verifica è svolta da una persona.

Questa informativa è identificata da un numero di versione e da una data di entrata in vigore, indicati in testa al documento. La versione corrente è la 1.0, in vigore dal 2 agosto 2026. Ogni volta che il documento cambia, versione e data cambiano con lui.

Quando una modifica è sostanziale, per esempio l'introduzione di una nuova finalità, il cambio di una base giuridica, l'aggiunta di un sub-responsabile o lo spostamento dei dati in un'altra regione, pubblichiamo un avviso in applicazione prima che la modifica diventi efficace; se la modifica richiede il tuo consenso, te lo chiediamo di nuovo e il servizio continua a funzionare anche se non lo presti. Le correzioni di forma e i chiarimenti che non cambiano il trattamento sono pubblicati senza avviso, ma aggiornano comunque la data di revisione.

Le versioni precedenti restano tracciate nel controllo di versione del codice, che è la cronologia autorevole del documento: ogni modifica è associata a una data e alla ragione che l'ha originata. Se ti serve il testo in vigore in un momento passato, puoi chiederlo dalla pagina /contatti.