Privacy Policy

1. Titolare del trattamento

BudgetBase è un progetto personale, senza scopo di lucro, gestito da Lorenzo Filipetta, persona fisica residente in Italia («il Titolare»). Per qualsiasi questione relativa ai dati personali è possibile contattare il Titolare all’indirizzo lollofilipetta@gmail.com.

L’app è pubblicata sugli store digitali tramite l’account sviluppatore intestato a Alessio Filipetta, che compare come distributore sulla scheda dello store. L’intestatario dell’account non è Titolare del trattamento, non accede ai dati degli utenti e non ne determina finalità o mezzi: ogni richiesta relativa ai dati personali va rivolta al Titolare indicato sopra.

2. Tipologie di dati trattati

• Dati di registrazione: indirizzo email e password. La password è conservata in forma cifrata («hashed») dal sistema di autenticazione; il Titolare non vi ha mai accesso in chiaro.
• Dati inseriti dall’utente nell’app: conti, categorie, fornitori, movimenti (importi, date, descrizioni e note), budget pianificati ed eventuali immagini di scontrini caricate o scansionate.
• Dati di condivisione (funzione «Condivisione»): se l’utente crea o si unisce a un gruppo, i dati dei conti che sceglie espressamente di condividere diventano visibili agli altri membri del gruppo (vedi § 8).
• Dati tecnici e di navigazione: indirizzo IP, data e ora di accesso, tipo di dispositivo e sistema operativo, e log tecnici generati automaticamente dall’infrastruttura, per finalità di sicurezza e funzionamento del servizio.
• Cookie tecnici e archiviazione locale: come descritto nella Cookie Policy.

Scansione scontrini (OCR): il riconoscimento ottico del testo avviene interamente sul dispositivo dell’utente — tramite Apple Vision su iPhone e iPad e ML Kit di Google su Android, che funzionano sul dispositivo; se non sono disponibili (come nell’app per computer), tramite un motore OCR incluso nell’app, i cui modelli sono scaricati da CDN pubbliche come file statici. L’immagine dello scontrino non viene trasmessa a server di terzi per l’elaborazione del testo. Sugli iPhone con Apple Intelligence, il nome del negozio e il tipo di spesa si ricavano anche con il modello linguistico di Apple che funziona sul dispositivo: anche il testo dello scontrino resta sul telefono. Si può disattivare in Impostazioni › Scansione scontrini. Per pre-compilare le scansioni successive, l’app può memorizzare l’associazione tra l’identità dell’esercente (partita IVA o nome) e la categoria/conto scelti al salvataggio: questi dati restano nel tuo account e sono sincronizzati come gli altri movimenti, e non includono l’immagine dello scontrino.

Sblocco biometrico (Face ID / Touch ID): se attivato, la verifica biometrica è gestita dal sistema operativo del dispositivo. L’app riceve unicamente l’esito (riuscito/non riuscito) e non tratta né conserva alcun dato biometrico.

Widget e scorciatoia Siri (iOS): se aggiungi un widget alla schermata Home o di blocco, l’app deposita sul solo dispositivo, in un’area condivisa con il widget, una piccola sintesi già calcolata di ciò che il widget mostra: spesa e budget del mese, saldo dei conti e gli ultimi movimenti. Contiene soltanto importi e nomi visibili nel widget — nessun identificativo, nessuna nota, nessun documento — e non viene trasmessa a nessun server. Si aggiorna all’apertura dell’app e viene cancellata all’uscita dall’account. Se scegli un widget della schermata di blocco, i dati che mostra sono per loro natura visibili senza sbloccare il telefono. La scorciatoia Siri «aggiungi una spesa» non registra nulla da sola: apre l’app con il modulo precompilato. Il riconoscimento vocale è gestito dal sistema operativo secondo le regole di Apple.

Nome utente e foto profilo (facoltativi): puoi scegliere un nome utente e una foto profilo per farti riconoscere dagli altri membri di un gruppo condiviso. Sono entrambi facoltativi: senza, agli altri membri continua a essere mostrato il tuo indirizzo email, come avviene oggi. Le due informazioni sono trattate in modo diverso, ed è bene saperlo prima di sceglierle. Il nome utente è conservato in chiaro sui server del responsabile (Supabase) e il Titolare può quindi leggerlo: è l’unico modo di verificare che nessun altro utente stia già usando lo stesso nome, che è la garanzia di unicità richiesta dalla funzione. Può essere letto anche da altri utenti autenticati che ne conoscano esattamente il testo; non esiste invece alcuna funzione che permetta di ottenere l’elenco dei nomi utente registrati. La foto profilo è cifrata end-to-end sul tuo dispositivo prima di essere trasmessa: possono aprirla soltanto i membri dei gruppi di cui fai parte, e né il Titolare né il responsabile dell’hosting sono in grado di visualizzarla. Puoi rimuovere in qualunque momento nome e foto dalle impostazioni del profilo.

Password e gestore password di sistema: nell’app nativa le credenziali di accesso possono essere salvate — previa conferma dell’utente — nel gestore password del sistema operativo (app Password / Portachiavi iCloud), associate al dominio dell’app, esattamente come per qualunque sito o app. La gestione, la sincronizzazione e la protezione di tali credenziali sono interamente a carico del sistema operativo e dell’account Apple dell’utente; il Titolare non vi ha accesso.

3. Finalità del trattamento e basi giuridiche

I dati sono trattati esclusivamente per le finalità di seguito indicate, ai sensi dell’art. 6 del GDPR:

• Erogazione del servizio (creazione account, salvataggio e visualizzazione dei dati, sincronizzazione tra i dispositivi dell’utente, condivisione con un gruppo quando richiesta dall’utente): esecuzione del servizio richiesto / misure precontrattuali (art. 6, par. 1, lett. b GDPR).
• Sicurezza, prevenzione di abusi e frodi e corretto funzionamento tecnico (log di sistema): legittimo interesse del Titolare (art. 6, par. 1, lett. f GDPR).
• Adempimento di obblighi di legge eventualmente applicabili: art. 6, par. 1, lett. c GDPR.

Nessun dato viene trattato per finalità di marketing, pubblicità o profilazione commerciale.

4. Modalità del trattamento e sicurezza

I dati sono trattati con strumenti informatici, adottando misure di sicurezza adeguate al rischio, tra cui: connessione cifrata (HTTPS/TLS), isolamento dei dati per singolo utente tramite regole a livello di database (Row Level Security — RLS), protezione delle password tramite hashing crittografico, intestazioni di sicurezza HTTP (security headers) e accessi limitati ai soli sistemi necessari. L’app nativa consente inoltre un blocco biometrico opzionale come ulteriore protezione locale dell’accesso.

Cifratura end-to-end. Con un account, i contenuti vengono cifrati sul dispositivo prima di essere trasmessi, con chiavi legate alla password dell’utente che il Titolare non possiede: nomi di conti, categorie e fornitori, descrizioni e note, tutti gli importi e i saldi, i budget, i movimenti ricorrenti, la foto profilo e la foto dei gruppi. Restano invece leggibili sui server, perché servono al funzionamento del servizio: l’indirizzo email e il nome utente, la data e il tipo (entrata o uscita) dei movimenti, i collegamenti fra i dati (a quale conto, categoria e fornitore appartiene un movimento), il nome dei gruppi, l’appartenenza ai gruppi con i relativi permessi e i log tecnici.

5. Luogo del trattamento e responsabili del trattamento

I dati sono trattati tramite i seguenti fornitori, che agiscono in qualità di responsabili o destinatari ai sensi dell’art. 28 GDPR:

• Supabase — database, autenticazione, archiviazione e sincronizzazione in tempo reale dei dati dell’app, con server ubicati nell’Unione Europea.
• Vercel — hosting del sito pubblico e delle funzioni server usate dall’app (eliminazione dell’account), eseguite nell’Unione Europea (Francoforte); può trattare dati tecnici quali l’indirizzo IP e i log di accesso.

6. Trasferimenti di dati extra-UE

I dati dell’app risiedono nell’Unione Europea (Supabase). Alcuni fornitori, come Vercel, possono avere sede negli Stati Uniti d’America: in tali casi il trasferimento avviene nel rispetto di garanzie adeguate previste dal GDPR, in particolare mediante le Clausole Contrattuali Standard (SCC) adottate dalla Commissione europea. Chi usa l’app da fuori dall’Unione Europea sappia che i suoi dati sono trasmessi e conservati nell’Unione Europea.

7. Periodo di conservazione

I dati sono conservati per il tempo in cui l’account risulta attivo. In caso di cancellazione dell’account, i dati associati vengono eliminati, fatto salvo il breve periodo tecnico di conservazione nei backup automatici e il rispetto di eventuali obblighi di legge.

8. Condivisione tra utenti (funzione «Condivisione»)

L’utente può creare un gruppo o unirsi a uno tramite un codice di invito e decidere, in autonomia, quali conti rendere visibili agli altri membri, con permesso di sola lettura o di modifica, potendo inoltre escludere singole categorie e singoli fornitori (insieme ai relativi movimenti). Solo i dati espressamente condivisi diventano visibili agli altri membri; tutto il resto rimane privato. Con il permesso di modifica gli altri membri vedono anche i nomi delle categorie e dei fornitori che possono assegnare ai movimenti di quel conto, tranne quelli esclusi; possono aggiungere, modificare ed eliminare movimenti e movimenti ricorrenti di quel conto, e creare nuove categorie e nuovi fornitori, che entrano nei dati del titolare del conto. Le occorrenze dei movimenti ricorrenti di un conto condiviso possono essere registrate dall’app di qualunque membro con permesso di modifica, anche quando il titolare non la apre. La condivisione è revocabile in qualsiasi momento e ciascun utente resta titolare dei propri dati. Invitando altre persone in un gruppo, l’utente è responsabile di farlo nel rispetto della loro riservatezza.

Il nome del gruppo non è cifrato: lo vedono tutti i membri ed è leggibile sui server. Si consiglia di non inserirvi informazioni personali o delicate.

9. App nativa, archiviazione locale e sincronizzazione

Modalità «solo su questo dispositivo». All’avvio l’app nativa permette di scegliere di usarla senza creare un account. In questa modalità nessun dato lascia il dispositivo: non viene raccolto alcun indirizzo email, non viene creato alcun account e il Titolare non riceve, non conserva e non può vedere nulla di ciò che l’utente inserisce. Non essendoci alcun trattamento di dati personali da parte del Titolare, in questa modalità le sezioni precedenti relative ai dati dell’app non trovano applicazione. Restano validi soltanto i paragrafi su OCR e sblocco biometrico.

La contropartita è che i dati esistono in una sola copia: non si sincronizzano fra dispositivi, non sono condivisibili e non sono recuperabili se l’app viene disinstallata o il dispositivo viene perso. Si raccomanda l’esportazione periodica.

Modalità con account. I dati sono salvati localmente sul dispositivo (per il funzionamento offline) e sincronizzati con il cloud (Supabase) quando il dispositivo è online, con aggiornamento in tempo reale tra i dispositivi dell’utente. Alcune preferenze operative (ad es. conto attivo, lingua, impostazioni dell’interfaccia e stato del tutorial) sono salvate sul dispositivo. Disinstallando l’app o cancellando i dati dell’applicazione, la copia locale viene rimossa dal dispositivo.

Immagini degli scontrini: restano sempre sul dispositivo. Anche usando un account, le fotografie degli scontrini non vengono caricate sui nostri server — né in modalità locale né in modalità sincronizzata. Sono la categoria di dati più rivelatrice trattata dall’app e non sono necessarie al funzionamento dei report: il Titolare ha scelto di non riceverle affatto. Ne consegue che una fotografia scattata su un dispositivo non compare sugli altri e si perde reinstallando l’app; il movimento a cui è associata, invece, si sincronizza normalmente.

Backup del dispositivo. Su iPhone e iPad ciò che l’app conserva sul dispositivo — le fotografie degli scontrini, le chiavi che aprono i dati cifrati e, nella modalità senza account, tutti i dati inseriti — può essere incluso nei backup del sistema (iCloud o computer), secondo le impostazioni che l’utente sceglie sul proprio dispositivo. Questi backup sono gestiti da Apple e dall’account dell’utente; il Titolare non vi ha accesso. Su Android l’app è esclusa dal backup del sistema. Nell’app per computer (Windows e Mac) questi dati restano nella cartella dell’utente sul computer e le chiavi nella Gestione credenziali di Windows o nel Portachiavi del Mac, e possono finire nei backup che l’utente configura sul computer. L’app per Mac scaricata dal sito, all’avvio, chiede al sito di BudgetBase se esiste una versione nuova: la richiesta non contiene dati dell’utente, solo, come ogni collegamento, l’indirizzo IP.

10. Diritti dell’interessato

Ai sensi degli artt. 15–22 del GDPR, l’utente ha il diritto di:

• Accesso — ottenere conferma del trattamento e una copia dei dati che lo riguardano.
• Rettifica — richiedere la correzione di dati inesatti o incompleti.
• Cancellazione («diritto all’oblio») — richiedere l’eliminazione dei dati al verificarsi di determinate condizioni.
• Limitazione e Opposizione — nei casi previsti, anche rispetto ai trattamenti basati sul legittimo interesse.
• Portabilità — ricevere i propri dati in formato strutturato e machine-readable.
• Revoca del consenso — ove il trattamento si fondi sul consenso, revocarlo in qualsiasi momento senza pregiudizio per la liceità del trattamento precedente.

Molti di questi diritti sono esercitabili direttamente nell’app: è possibile modificare ed eliminare i propri dati, esportarli in formato Excel e cancellare l’account dalle impostazioni. Per qualsiasi altra richiesta scrivere a lollofilipetta@gmail.com.

Utenti fuori dall’Unione Europea. Il GDPR si applica a tutti gli utenti, ovunque risiedano, perché il Titolare è stabilito in Italia. Se la legge del tuo Paese ti riconosce diritti ulteriori sui tuoi dati, puoi esercitarli allo stesso indirizzo.

11. Reclamo all’Autorità di controllo

L’interessato ha il diritto di proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma), senza pregiudizio per altri ricorsi giurisdizionali o amministrativi.

12. Minori

Per scaricare e usare l’app occorre avere almeno 14 anni, età del consenso digitale in Italia ai sensi dell’art. 2‑quinquies del Codice Privacy (d.lgs. 196/2003, come modificato dal d.lgs. 101/2018); negli Stati Uniti d’America e in India, almeno 18. Accettando i Termini l’utente dichiara di avere l’età richiesta nel Paese in cui si trova. Il Titolare non raccoglie consapevolmente dati di minori di tale età; qualora ne venisse a conoscenza, procederà alla tempestiva cancellazione.

Verifica dell’età tramite Apple. Negli Stati degli USA in cui la legge obbliga le app a verificare l’età, l’app chiede ad Apple la fascia d’età dell’utente (per esempio «18 anni o più»), che Apple condivide solo con il consenso dell’utente. La fascia arriva al telefono, serve solo a non aprire l’app a chi ha meno di 18 anni e non viene inviata al Titolare né conservata. Altrove questa richiesta non avviene.

13. Modifiche alla presente informativa

Il Titolare si riserva di aggiornare la presente informativa per adeguarla a modifiche normative o tecniche. Le modifiche saranno pubblicate con indicazione della nuova data di aggiornamento, in cima al documento.

14. Contatti

Per qualsiasi richiesta relativa al trattamento dei dati personali: lollofilipetta@gmail.com.

15. Lingua

La presente informativa è pubblicata in italiano e in inglese; in caso di discrepanza tra le due versioni, prevale la versione italiana.