Informativa privacy

Questa informativa spiega quali dati personali raccogliamo quando usi l'applicazione Flagy e il sito www.cbhub.tech/flagy, perché li raccogliamo, per quanto tempo li conserviamo e quali diritti hai. È resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR).

1. Chi tratta i tuoi dati

Il titolare del trattamento è:

Alberto Belligoli
Codice Fiscale: BLLLRT01T04L781K
Domicilio: Villafranca di Verona (VR)
Email per le questioni privacy: privacy@cbhub.tech
Email di assistenza: support@cbhub.tech

Non è stato nominato un Responsabile della protezione dei dati (DPO): per un'app di queste dimensioni la nomina non è obbligatoria, essendo dovuta solo nei casi dell'art. 37 GDPR. Per qualsiasi questione di privacy puoi scrivere direttamente al titolare all'indirizzo sopra.

2. Quali dati raccogliamo

2.1 Dati che ci dai tu registrandoti

Dato	Obbligatorio	Perché lo chiediamo
Nome e cognome	Sì	Identificarti nel tuo profilo e nel Travel CV
Nome utente	Sì	Ti identifica verso gli altri utenti nelle classifiche e fra gli amici
Email	Sì	Accesso all'account, recupero password, comunicazioni di servizio
Password	Sì	Conservata solo come impronta cifrata (bcrypt): non la conosciamo e non possiamo recuperarla
Data di nascita	Sì	Verificare che tu abbia almeno 14 anni, come richiede la legge
Nazione di nascita	Sì	Compare nel tuo profilo e nel Travel CV; è anche il punto di partenza usato per generare l'animazione delle tratte di viaggio
Genere	No	Se lo indichi, compare nel tuo profilo
Bio	No	Testo libero che decidi tu di mostrare nel profilo

Il genere è facoltativo: puoi lasciarlo vuoto e l'app funziona esattamente allo stesso modo. La nazione di nascita è invece obbligatoria, perché senza di essa l'animazione delle tratte di viaggio non avrebbe un punto da cui partire. Al di fuori di questo, chiediamo il minimo indispensabile, come richiede il principio di minimizzazione (art. 5.1.c).

2.2 Dati che generi usando l'app

Viaggi: paese o regione visitata, mezzo di trasporto, date di partenza e ritorno, valutazione in stelle, note che scrivi tu.
Meraviglie visitate e obiettivi raggiunti.
Minigioco delle bandiere: punteggio complessivo e numero di partite.
Amicizie: a chi hai inviato richieste di amicizia, da chi le hai ricevute e quali hai accettato.
Spese condivise (funzione Premium): nome del gruppo, partecipanti, descrizione e importo delle spese, come sono state divise, chi ha pagato, chi ha inserito la spesa e i pagamenti di pareggio registrati.

Le spese condivise sono visibili a tutti i partecipanti del gruppo: è il senso della funzione. Non condividere in un gruppo spese che non vuoi far vedere agli altri membri.

2.3 Dati tecnici

Data di iscrizione e data delle modifiche al profilo.
Indirizzo IP e tipo di dispositivo al momento in cui presti o revochi un consenso: serve a poter dimostrare quel consenso, come richiede l'art. 7.1 GDPR.
Token di accesso con una descrizione del dispositivo, per tenerti collegato senza chiederti la password a ogni apertura.

2.4 Posizione

Solo se attivi la funzione Premium "rilevamento automatico della posizione" e concedi il permesso, l'app chiede al sistema operativo la tua posizione approssimativa (ACCESS_COARSE_LOCATION) per proporti il paese in cui ti trovi.

Le coordinate non arrivano ai nostri server. La conversione da coordinate a nome del paese la fa il servizio di geocodifica del sistema Android sul dispositivo; ai nostri server arriva soltanto il paese che tu decidi di registrare come viaggio. Puoi revocare il permesso in qualsiasi momento dalle impostazioni di Android.

2.5 Cosa NON facciamo

Non usiamo strumenti di analisi o di tracciamento di terze parti: nell'app non c'è nessun SDK di analytics, pubblicità o profilazione esterna.
Non vendiamo e non cediamo i tuoi dati a nessuno per finalità commerciali.
Non trattiamo categorie particolari di dati (art. 9): salute, opinioni politiche, convinzioni religiose, orientamento sessuale. Se le scrivi tu nella bio o nelle note di un viaggio, lo fai per tua scelta.

3. Perché trattiamo i dati e su quale base giuridica

Finalità	Base giuridica (art. 6 GDPR)
Creare e gestire il tuo account, farti registrare viaggi, mostrare mappe, obiettivi, classifiche, amici e spese condivise	Esecuzione del contratto (art. 6.1.b). Senza questi dati il servizio non può funzionare, quindi non ti chiediamo un consenso: ti informiamo.
Sicurezza dell'account, prevenzione degli abusi, registro dei consensi	Obbligo legale (art. 6.1.c) e legittimo interesse (art. 6.1.f) a mantenere il servizio sicuro

Non chiediamo consensi facoltativi in registrazione. In una versione precedente di questa informativa erano previste due caselle facoltative (email promozionali e uso dei dati di viaggio per suggerimenti personalizzati): sono state tolte dai moduli di registrazione, sia sul sito che nell'app, perché quelle funzioni non esistono ancora in Flagy. Il giorno in cui le introdurremo, il consenso verrà richiesto in quel momento — a chi vuole attivarle, non a tutti in blocco al momento dell'iscrizione — e questa sezione verrà aggiornata di conseguenza.

4. Per quanto tempo conserviamo i dati

Dato	Conservazione
Account e contenuti (viaggi, obiettivi, punteggi, amicizie)	Finché l'account resta attivo. Puoi cancellarlo quando vuoi, in autonomia, da Account → Sicurezza → Elimina account: viaggi, punteggi, meraviglie, obiettivi e amicizie vengono cancellati subito, e il profilo resta come "Utente eliminato", svuotato di nome, email, data di nascita e ogni altro dato che ti riguardi. Le copie di backup del fornitore di hosting che contenevano i tuoi dati vengono sovrascritte entro 90 giorni dalla normale rotazione automatica.
Spese condivise	Restano finché il gruppo a cui appartengono non viene eliminato da chi lo ha creato: riguardano anche gli altri partecipanti, quindi anche se cancelli l'account restano visibili con l'importo, ma senza più il tuo nome.
Registro dei consensi (con IP e dispositivo)	10 anni dalla revoca o dalla chiusura dell'account, per poter dimostrare il consenso prestato in caso di contestazione.
Token di accesso	Fino alla scadenza o al logout

Il valore di 10 anni è lo standard usato di solito per il registro dei consensi.

5. A chi comunichiamo i dati

Altri utenti di Flagy, limitatamente a quello che la funzione comporta: nome utente, paesi visitati e punteggio compaiono nelle classifiche; nei gruppi di spesa i partecipanti vedono le spese del gruppo.
Fornitore di hosting: Aruba S.p.A., Via San Clemente 53, 24036 Ponte San Pietro (BG) — P. IVA 01573850516, che agisce come responsabile del trattamento ai sensi dell'art. 28.
Fornitore del servizio email per le email di servizio (recupero password, conferma dell'indirizzo): lo stesso Aruba S.p.A., tramite il cui server SMTP partono tutte le email automatiche di Flagy.
Google Play Services, per la comunicazione con lo smartwatch e per la geocodifica di sistema quando usi il rilevamento della posizione.
Autorità, solo se e nella misura in cui la legge lo imponga.

Trasferimenti fuori dall'Unione europea: i tuoi dati sono conservati su server ubicati in Italia/Unione Europea. Aruba dichiara nella propria informativa che i dati sono conservati in archivi situati in paesi dell'Unione Europea, con la sola eventualità — non la prassi — di trasferimenti extra-UE assistiti dalle garanzie previste dalla legge (decisioni di adeguatezza o clausole contrattuali standard della Commissione europea). Non effettuiamo trasferimenti extra-UE per iniziativa nostra.

Nomina di Aruba a responsabile del trattamento: trovata. Non serve un DPA separato da recuperare a parte: le "Condizioni di fornitura dei servizi Hosting e Domini Aruba.it" (v. 4.7, in vigore dal 7 luglio 2026) — che avete già accettato sottoscrivendo il servizio — contengono all'articolo 23 "Nomina a Responsabile del Trattamento" la nomina esplicita di Aruba come responsabile ai sensi dell'art. 28 GDPR, con gli obblighi di sicurezza (art. 32, misure ISO 27001), riservatezza del personale e assistenza per l'esercizio dei diritti degli interessati. Basta conservare una copia di quel documento agli atti; non serve firmare nient'altro. Il link precedente (quello su pec.it) resta scartato: era il DPA del servizio PEC, con i ruoli invertiti — non pertinente qui. Il testo integrale è pubblicato da Aruba qui: Condizioni di fornitura dei servizi Hosting e Domini Aruba.it (PDF).

6. I tuoi diritti

In qualsiasi momento puoi:

accedere ai tuoi dati e ottenerne una copia (art. 15);
correggerli se sono sbagliati (art. 16) — per molti campi puoi farlo da solo in Account → Modifica account;
cancellarli (art. 17) — puoi farlo tu stesso in ogni momento da Account → Sicurezza → Elimina account, senza bisogno di scriverci;
limitarne il trattamento (art. 18);
riceverli in un formato leggibile per portarli altrove (art. 20);
opporti ai trattamenti basati sul legittimo interesse (art. 21);
revocare i consensi — quelli facoltativi (marketing, profilazione) in ogni momento e senza conseguenze (art. 7.3); anche quelli a Termini di servizio e Informativa privacy, da Account → Sicurezza → Revoca consensi, con l'effetto descritto qui sotto. In entrambi i casi la revoca non pregiudica la liceità di quanto fatto prima.

Revocare i consensi a Termini di servizio e Informativa privacy non cancella nulla da solo: ti disconnette subito e, al prossimo accesso, ti chiede di accettarli di nuovo per continuare a usare Flagy. Se preferisci non riaccettarli puoi chiudere l'account da lì (vedi sopra), oppure non scegliere subito: finché non decidi, l'account e i tuoi dati restano intatti, semplicemente non potrai accedere ai contenuti finché non riaccetti o non chiudi l'account.

Per la cancellazione dell'account non serve scriverci: la trovi direttamente in Account → Sicurezza. Per esercitare gli altri diritti scrivi a privacy@cbhub.tech. Rispondiamo entro un mese, come previsto dall'art. 12.3.

Se ritieni che il trattamento violi il GDPR puoi proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it) o rivolgerti all'autorità giudiziaria.

7. Minori

Flagy non è destinata a chi ha meno di 14 anni: è la soglia fissata dalla legge italiana (art. 2-quinquies del d.lgs. 196/2003) per i servizi della società dell'informazione. La registrazione viene rifiutata se la data di nascita indicata corrisponde a un'età inferiore. Se ti accorgi che un minore di 14 anni ha creato un account, scrivici e lo rimuoveremo.

8. Modifiche a questa informativa

Se cambiamo qualcosa di sostanziale pubblichiamo una versione nuova e te la facciamo accettare al primo accesso successivo: l'app sa quale versione hai letto e riconosce quando non è più quella in vigore. Le versioni precedenti restano disponibili su richiesta.