Privacy Policy – Roccaraso Go

Italiano

1. Titolare del trattamento

Marco Fucito – marco@fucito.it

2. Dati raccolti

L'app raccoglie dati personali quando l'utente si registra tramite Apple Sign-In o Google Sign-In. I dati raccolti includono:

L'app memorizza inoltre in locale (sul dispositivo) una cache dei dati della stazione sciistica e del profilo utente per consentire la consultazione offline.

Per eliminare l'account dal sito, l'indirizzo email e il codice monouso vengono verificati tramite Supabase Auth. L'invio del codice non crea un nuovo account e non avvia da solo la cancellazione: occorre una conferma esplicita. Questa pagina non usa servizi di analisi e non conserva una sessione di accesso nel browser.

Le email di verifica sono inviate da Supabase tramite Amazon Simple Email Service (AWS), che tratta l'indirizzo del destinatario e il contenuto per la consegna. Informazioni privacy AWS.

3. Servizi di terze parti

Per account e notifiche l’app usa i seguenti fornitori. Le immagini, i bollettini, i link alle fonti e gli avatar possono richiedere connessioni ai rispettivi siti: tali destinatari vedono i dati tecnici della richiesta, come l’IP.

4. Finalità del trattamento

• Fornitura del servizio: mostrare informazioni aggiornate sullo stato del comprensorio sciistico di Roccaraso/Rivisondoli.
• Autenticazione: consentire l'accesso alle funzionalità riservate agli utenti registrati.
• Gestione profilo: consentire all'utente di aggiornare nome, cognome, telefono e lingua dalla sezione Profilo.
• Collegamento provider: consentire all'utente di collegare o scollegare provider di autenticazione aggiuntivi (Apple/Google) al proprio account dalla sezione Profilo.
• Notifiche push: inviare aggiornamenti in tempo reale su impianti e piste secondo le preferenze dell'utente.
• Miglioramento facoltativo: comprendere l’uso delle funzionalità e individuare problemi di stabilità e prestazioni tramite Firebase, soltanto dopo consenso.
• Funzionamento offline: memorizzare in cache locale i dati per consentire la consultazione senza connessione.

5. Base giuridica

Per account, gestione del profilo e notifiche espressamente richieste, il trattamento necessario all’erogazione del servizio si basa sull’art. 6.1.b GDPR quando applicabile. Non inviamo pubblicità tramite le notifiche. I dati facoltativi del profilo possono essere rimossi dall’utente.

Per proteggere account e infrastruttura perseguiamo il legittimo interesse alla sicurezza del servizio (art. 6.1.f GDPR). Firebase Analytics, Crashlytics e Performance si basano invece sul consenso facoltativo (art. 6.1.a GDPR), prestato per l’unica finalità di miglioramento dell’app e della qualità del servizio. Il rifiuto o la revoca non limita le funzionalità. Per gli utenti minorenni si applicano le cautele della sezione 11.

6. Condivisione e trasferimenti

Non vendiamo dati e non li usiamo per pubblicità personalizzata. Il database Supabase del progetto è nella regione UE eu-west-1; la localizzazione del database non esclude trasferimenti per servizi di supporto o altri fornitori. Supabase gestisce il backend; Google Firebase Cloud Messaging gestisce la consegna delle notifiche, con il servizio Apple APNs sui dispositivi Apple. Amazon SES consegna le email di verifica. Apple e Google trattano inoltre i dati dell’accesso secondo le proprie condizioni e possono operare come titolari autonomi per i propri servizi.

Per i trasferimenti fuori dal SEE valgono i meccanismi applicabili dei fornitori, comprese clausole contrattuali standard o decisioni di adeguatezza. Puoi chiedere informazioni e copia delle garanzie al titolare.

7. Conservazione

I dati dell’account restano fino alla sua cancellazione tramite Profilo → Elimina account o la procedura automatica sul sito. Account, profilo, regole e preferenze delle notifiche e token push vengono rimossi dai dati attivi. Le nuove build eliminano la cache personale al logout sul dispositivo; copie su dispositivi offline o versioni precedenti possono richiedere logout o disinstallazione.

Il token Apple è cifrato e usato soltanto per revocare l’autorizzazione: viene rimosso dopo la revoca o, in caso di indisponibilità del provider, entro 7 giorni dalla cancellazione o dallo scollegamento. Per account precedenti senza token disponibile la procedura indica il passaggio manuale nelle impostazioni Apple.

I dati Firebase seguono le politiche del fornitore: Crashlytics conserva crash e identificativi associati per 90 giorni prima di avviarne la rimozione; Performance conserva eventi associati all’IP per 30 giorni e dati associati all’installazione o de-identificati per 60 giorni prima di avviarne la rimozione. La conservazione Analytics dipende dalla configurazione della proprietà; puoi chiedere al titolare informazioni sulla configurazione applicata. La revoca blocca i successivi invii gestiti dall’app e non equivale alla cancellazione automatica dei dati già inviati. Log infrastrutturali di sicurezza e copie di backup seguono la rotazione prevista dal piano e dalla configurazione dei fornitori; non sono riutilizzati per marketing. Se fosse necessario ripristinare una copia di backup, le cancellazioni devono essere riapplicate prima di tornare in servizio.

8. Diritti dell'utente

Puoi chiedere accesso, rettifica, cancellazione, limitazione del trattamento e, quando applicabile, portabilità dei dati; puoi opporti ai trattamenti basati sul legittimo interesse. Puoi revocare un eventuale consenso senza pregiudicare i trattamenti precedenti. Non effettuiamo decisioni automatizzate con effetti giuridici o analogamente significativi.

Scrivi a marco@fucito.it; normalmente rispondiamo entro un mese, fatte salve le proroghe previste dal GDPR. Puoi anche proporre reclamo al Garante per la protezione dei dati personali. Rettifica e cancellazione dell’account sono disponibili nell’app.

9. Tracciamento e analitiche

Firebase Analytics, Crashlytics e Performance sono facoltativi e vengono attivati soltanto con la scelta “Sì, ti aiuto”. Servono a comprendere l’uso dell’app e a individuare problemi tecnici. Analytics misura schermate e interazioni generiche; Crashlytics tratta segnalazioni di errore; Performance misura tempi e prestazioni. Google tratta anche dati tecnici del dispositivo, identificativi dell’installazione e, per Performance, l’IP e il paese derivato: questi dati non vengono descritti come anonimi.

L’app non invia a questi servizi nome, email o ID dell’account Supabase, testo delle ricerche o dati inseriti nel profilo. Gli errori segnalati dal codice Flutter usano categorie generiche al posto del messaggio originale; i crash nativi possono contenere informazioni diagnostiche del sistema. I consensi per pubblicità, personalizzazione pubblicitaria e condivisione dei dati pubblicitari sono negati.

Puoi rifiutare la richiesta o disattivare in seguito questi servizi da Profilo → Miglioramento app. La scelta viene registrata sul dispositivo con data e versione dell’informativa. Il consenso per questi servizi è distinto dal permesso di ricevere notifiche: Firebase Cloud Messaging continua a essere usato per le notifiche richieste, con token che identificano l’installazione destinataria.

10. Sicurezza

Tutte le comunicazioni avvengono tramite protocollo HTTPS. L'autenticazione è gestita tramite protocollo OAuth 2.0 con token JWT. Le password non vengono mai gestite direttamente dall'app.

11. Età di utilizzo

Puoi consultare piste, meteo e webcam senza account. L’account serve alle funzionalità personali e alle notifiche richieste; l’app non offre funzioni social.

La soglia italiana dei 14 anni riguarda il consenso privacy per i servizi online, non un divieto generale di usare un’app. Se un trattamento si basa sul consenso, per chi ha meno di 14 anni deve prestarlo chi esercita la responsabilità genitoriale. Le altre basi giuridiche richiedono una valutazione specifica che tenga conto dell’interesse del minore; restano ferme le norme sulla capacità contrattuale.

Il login Apple o Google non costituisce una verifica dell’età o del consenso genitoriale per RoccarasoGo: non riceviamo una data di nascita verificata dal provider. La scelta facoltativa per Firebase è disponibile solo a chi dichiara di avere almeno 14 anni; per gli under 14 resta disattivata, perché non è implementato un percorso di consenso del genitore per questa finalità. Genitori e tutori possono contattarci per esercitare i diritti relativi ai dati del minore.

12. Modifiche

Eventuali aggiornamenti della presente informativa verranno pubblicati su questa pagina con nuova data di aggiornamento.

13. Contatti

Per domande sulla privacy: marco@fucito.it

English

1. Data Controller

Marco Fucito – marco@fucito.it

2. Data Collected

The app collects personal data when users register via Apple Sign-In or Google Sign-In. Collected data includes:

The app also stores locally (on-device) a cache of ski resort data and user profile to enable offline access.

To delete an account on the website, the email address and one-time code are verified through Supabase Auth. Requesting a code does not create an account or initiate deletion: explicit confirmation is required. This page does not use analytics services or store a login session in the browser.

Supabase sends verification emails through Amazon Simple Email Service (AWS), which processes the recipient address and message content for delivery. AWS privacy information.

3. Third-Party Services

For accounts and notifications the app uses the following providers. Images, bulletins, source links and avatars may require connections to their respective websites, which receive request metadata such as the IP address.

4. Purpose of Processing

• Service delivery: display up-to-date information on the Roccaraso/Rivisondoli ski resort status.
• Authentication: enable access to features reserved for registered users.
• Profile management: allow users to update first name, last name, phone and language from the Profile section.
• Provider linking: allow users to link or unlink additional authentication providers (Apple/Google) to their account from the Profile section.
• Push notifications: send real-time updates about lifts and slopes according to user preferences.
• Optional app improvement: understand feature use and stability/performance problems through Firebase, only after consent.
• Offline access: locally cache data to allow browsing without an internet connection.

5. Legal Basis

Necessary processing for accounts, profile management and notifications expressly requested by the user relies on Art. 6.1.b GDPR where applicable. Notifications are not used for advertising. Users can remove optional profile data.

Account and infrastructure security rely on the legitimate interest in protecting the service (Art. 6.1.f GDPR). Firebase Analytics, Crashlytics and Performance instead rely on optional consent (Art. 6.1.a GDPR), for the single purpose of improving the app and service quality. Refusal or withdrawal does not limit features. For minors, the safeguards in section 11 apply.

6. Sharing and Transfers

We do not sell data or use it for personalized advertising. The Supabase project database is in the EU eu-west-1 region; this does not exclude transfers for support services or other providers. Supabase runs the backend; Google Firebase Cloud Messaging delivers notifications, together with Apple APNs on Apple devices. Amazon SES delivers verification emails. Apple and Google also process sign-in data under their own terms and may act as independent controllers for their own services.

Transfers outside the EEA rely on the providers’ applicable mechanisms, including Standard Contractual Clauses or adequacy decisions. Contact the controller for information and copies of the safeguards.

7. Retention

Account data remains until deletion through Profile → Delete account or the automatic website procedure. The account, profile, notification rules and preferences and push token are removed from active data. New builds clear personal caches when signing out on that device; offline devices or older versions may require signing out or uninstalling.

The encrypted Apple token is used solely to revoke authorization. It is removed after revocation or, during a provider outage, within 7 days of deletion or unlinking. For older accounts without a captured token, the procedure explains the manual Apple settings step.

Firebase data follows vendor policies: Crashlytics retains crashes and associated identifiers for 90 days before beginning removal; Performance retains IP-associated events for 30 days and installation-associated or de-identified data for 60 days before beginning removal. Analytics retention depends on property configuration; contact the controller for information on the applied configuration. Withdrawal stops subsequent app-controlled sending and does not automatically erase previously sent data. Infrastructure security logs and backups follow the rotation provided by the vendors’ service plan and configuration and are not reused for marketing. If a backup is restored, deletions must be reapplied before resuming service.

8. User Rights

You may request access, rectification, erasure, restriction and, where applicable, data portability; you may object to processing based on legitimate interests. Any consent can be withdrawn without affecting prior lawful processing. We do not make automated decisions producing legal or similarly significant effects.

Contact marco@fucito.it. We normally respond within one month, subject to GDPR extensions. You may lodge a complaint with the Italian data protection authority. Profile editing and account deletion are also available in the app.

9. Tracking and Analytics

Firebase Analytics, Crashlytics and Performance are optional and activated only through the explicit “Yes, I’ll help” choice. They support understanding app use and technical problems. Analytics measures screens and generic interactions; Crashlytics processes error reports; Performance measures timing and performance. Google also processes technical device information, installation identifiers and, for Performance, IP addresses and derived country information: this data is not described as anonymous.

The app does not send names, emails, Supabase account IDs, raw search text or profile input to these services. Flutter-reported errors replace the original message with generic categories; native crashes may contain system diagnostics. Advertising, ad personalization and ad-user-data consents remain denied.

Decline the prompt or disable the services later under Profile → App improvement. The choice, date and policy version are saved on your device. This consent is distinct from notification permission: Firebase Cloud Messaging remains in use for requested notifications, with tokens identifying the recipient installation.

10. Security

All communications use HTTPS. Authentication is handled via the OAuth 2.0 protocol with JWT tokens. Passwords are never directly managed by the app.

11. Age Requirements

Slopes, weather and webcams can be browsed without an account. Accounts support personal features and requested notifications; the app has no social features.

The Italian age threshold of 14 concerns privacy consent for online services, rather than a general ban on app use. Where processing relies on consent, a parent or guardian must provide it for children under 14. Other legal bases require a specific assessment of the child’s interests; national rules on contractual capacity still apply.

Apple or Google sign-in does not verify age or parental consent for RoccarasoGo: we do not receive a verified date of birth. Optional Firebase consent is available only after confirming an age of at least 14. It stays disabled for younger children because no parental consent flow is implemented for this purpose. Parents and guardians can contact us to exercise rights concerning their child’s data.

12. Changes

Any updates to this policy will be published on this page with a new update date.

13. Contact

For privacy questions: marco@fucito.it