1. Titolare del trattamento

Il titolare del trattamento dei dati personali è:

• DOS AMIGOS DI PADOVAN MATTEO
• Via Frassenelle 1, 35045 Ospedaletto Euganeo (PD)
• P.IVA: 05761050284
• Email: info@dosamigos.it

Ai sensi dell'Art. 37 del GDPR, il Titolare non è tenuto alla designazione di un Responsabile della Protezione dei Dati (DPO). Per ogni richiesta relativa al trattamento dei dati personali, è possibile contattare direttamente il Titolare all'indirizzo email sopra indicato.

2. Dati raccolti

Nell'ambito dell'erogazione del servizio, raccogliamo le seguenti categorie di dati personali:

• Indirizzo email — fornito tramite il provider di autenticazione (Google, Apple o Magic Link)
• Nome visualizzato — opzionale, inserito dall'utente nelle impostazioni del profilo
• Provider di autenticazione — il metodo utilizzato per accedere (Google, Apple, Magic Link)
• Posizione geografica — coordinate GPS, arrotondate a 2 decimali per minimizzazione dei dati (~1,1 km di precisione)
• Nome della città — ottenuto tramite reverse geocoding dalle coordinate
• Preferenze di notifica — soglia AQI, frequenza di invio e orari preferiti
• Sottoscrizione push — endpoint e chiavi di cifratura per l'invio di notifiche push
• Dati di abbonamento — gestiti interamente da Stripe; non conserviamo direttamente dati di pagamento (numeri di carta, CVV, ecc.)

3. Trattamento dei dati sanitari

CleAir tratta alcune categorie di dati qualificabili come “categorie particolari di dati personali” ai sensi dell'Art. 9 del GDPR (dati relativi alla salute). La presente sezione descrive in dettaglio tale trattamento.

3.1 Categorie di dati sanitari trattati

• Profilo salute — condizione medica auto-dichiarata dall'utente, selezionata tra: patologie respiratorie, patologie cardiache, gravidanza, età pediatrica, età avanzata, attività sportiva intensa
• Allergeni ai pollini — allergeni specifici selezionati dall'utente (ad es. graminacee, betulla, olivo, ambrosia, cipresso, parietaria e altri)

3.2 Finalità specifiche del trattamento dei dati sanitari

• Personalizzazione dei consigli salute basati sulla qualità dell'aria rilevata
• Adattamento delle soglie di notifica per soggetti sensibili (riduzione della soglia AQI per utenti con condizioni dichiarate)
• Invio di notifiche relative ai pollini per gli allergeni specifici selezionati dall'utente
• Filtraggio e prioritizzazione dei suggerimenti in base alla condizione di salute dichiarata

3.3 Base giuridica

Il trattamento dei dati sanitari si fonda sull'Art. 9, par. 2, lett. a) del GDPR: consenso esplicito dell'interessato. Il consenso viene raccolto tramite una schermata dedicata con checkbox esplicita, presentata all'utente prima dell'attivazione di qualsiasi funzionalità che comporti il trattamento di dati sanitari. Le funzionalità sanitarie non vengono attivate fino alla prestazione del consenso.

3.4 Periodo di conservazione

I dati sanitari vengono conservati per tutta la durata dell'account dell'utente. In caso di revoca del consenso, tutti i dati sanitari (profilo salute e allergeni selezionati) vengono cancellati immediatamente e in modo irreversibile.

3.5 Diritto di revoca del consenso

• Il consenso al trattamento dei dati sanitari può essere revocato in qualsiasi momento dalla sezione Impostazioni > Privacydell'applicazione
• La revoca è esercitabile con la stessa facilità con cui è stato prestato il consenso, ai sensi dell'Art. 7, par. 3 del GDPR
• La revoca comporta la cancellazione immediata di tutti i dati sanitari associati all'utente (profilo salute e allergeni selezionati)
• La revoca non pregiudica la liceità del trattamento basato sul consenso prestato prima della revoca stessa

3.6 Nota bene

I dati sanitari trattati da CleAir sono esclusivamente auto-dichiarazioni dell'utente e non costituiscono dati clinici verificati. Non vengono raccolti dati medici, referti, diagnosi o dati biometrici. Le informazioni fornite dall'applicazione hanno carattere puramente informativo e non sostituiscono il parere medico.

4. Dati relativi ai Community Sensors

CleAir consente agli utenti di partecipare a collette di quartiere per l'acquisto e l'installazione di sensori di qualità dell'aria. La presente sezione descrive il trattamento dei dati connessi a questa funzionalità.

4.1 Categorie di dati trattati

• Coordinate di interesse — posizione geografica (arrotondata a 2 decimali) dove l'utente ha segnalato interesse per un sensore
• Contribuzioni finanziarie — importo della contribuzione, data, identificativo della campagna. I dati di pagamento (carta, CVV) sono gestiti interamente da Stripe e non conservati da CleAir
• Nome del contributor — visibile nella pagina campagna SOLO con consenso esplicito dell'utente (checkbox opt-in, default: anonimo). Il nome viene mostrato nel formato “Nome I.” (nome + iniziale cognome)
• Disponibilità come host — dichiarazione volontaria di disponibilità a ospitare il sensore presso la propria abitazione
• Posizione del sensore — coordinate del sensore installato, associate alla campagna che lo ha finanziato

4.2 Dati ambientali

I dati rilevati dai sensori Community (PM2.5, PM10, temperatura, umidità) sono dati ambientali e NON costituiscono dati personali ai sensi del GDPR. Questi dati sono pubblicamente accessibili tramite la rete Sensor.Community e non sono riconducibili a persone fisiche identificate o identificabili.

4.3 Finalità del trattamento

• Gestione delle collette per l'acquisto di sensori di quartiere
• Elaborazione dei pagamenti tramite Stripe (PaymentIntent)
• Invio di notifiche push relative al ciclo di vita della campagna (finanziamento, installazione, rimborso)
• Visualizzazione dei nomi dei contributor nella pagina campagna (solo previo consenso esplicito)
• Rilevamento della qualità dell'aria iperlocale nella zona dell'utente

4.4 Base giuridica

• Esecuzione del contratto (Art. 6.1.b) — per la gestione delle contribuzioni e il completamento della colletta
• Consenso (Art. 6.1.a) — per la visibilità del nome del contributor (checkbox opt-in esplicita)
• Interesse legittimo (Art. 6.1.f) — per l'invio di notifiche relative al ciclo di vita della campagna a cui l'utente ha contribuito

4.5 Periodo di conservazione

I dati relativi alle contribuzioni e alle campagne sono conservati per la durata dell'account dell'utente e comunque per il periodo necessario agli adempimenti fiscali e contabili (10 anni ai sensi dell'Art. 2220 c.c.). In caso di cancellazione dell'account, i dati finanziari vengono anonimizzati ma mantenuti per gli obblighi di legge.

4.6 Visibilità del nome

La visibilità del nome del contributor è regolata da un meccanismo di consenso esplicito (opt-in):

• Al momento della segnalazione di interesse e della contribuzione, l'utente può scegliere di rendere visibile il proprio nome tramite una checkbox
• Il default è anonimo: se l'utente non attiva la checkbox, il suo contributo appare come “Anonimo”
• La scelta è modificabile in qualsiasi momento

5. Finalità del trattamento

I dati personali sono trattati per le seguenti finalità:

• Erogazione del servizio — monitoraggio della qualità dell'aria nella posizione dell'utente
• Invio di notifiche push personalizzate — avvisi basati sulla soglia AQI e sulle preferenze dell'utente
• Gestione dell'abbonamento Pro — attivazione e gestione delle funzionalità premium tramite Stripe
• Miglioramento del servizio — analisi aggregate e anonimizzate per migliorare l'esperienza utente

6. Base giuridica del trattamento

Il trattamento dei dati personali si fonda sulle seguenti basi giuridiche ai sensi dell'Art. 6 del GDPR:

• Consenso (Art. 6.1.a) — per la raccolta della posizione geografica, richiesto esplicitamente durante la procedura di onboarding
• Esecuzione del contratto (Art. 6.1.b) — per l'erogazione del servizio di monitoraggio della qualità dell'aria e la gestione dell'abbonamento Pro
• Interesse legittimo (Art. 6.1.f) — per la sicurezza dell'applicazione e la prevenzione di abusi

7. Periodo di conservazione dei dati

I dati personali vengono conservati per tutta la durata dell'account dell'utente. La cancellazione dell'account, disponibile nella sezione Impostazioni dell'app, comporta l'eliminazione completa e irreversibile di tutti i dati associati, inclusi: profilo utente, preferenze, registri sulla qualità dell'aria, notifiche e sottoscrizioni push. I dati di fatturazione sono conservati da Stripe per il periodo richiesto dalla normativa fiscale italiana (10 anni ai sensi del DPR 633/1972).

8. Condivisione con terze parti

Per l'erogazione del servizio, i dati possono essere condivisi con i seguenti fornitori terzi (responsabili del trattamento ai sensi dell'Art. 28 GDPR):

• Supabase Inc. — database e autenticazione (server ubicati nell'Unione Europea). Riceve: email, coordinate, preferenze utente.
• Stripe Inc. — elaborazione dei pagamenti (certificato PCI DSS Level 1, sede USA). Riceve: email, dati di pagamento.
• Google LLC — API Air Quality, Pollen e Geocoding (sede USA). Riceve: solo coordinate geografiche anonimizzate.
• OpenWeatherMap (OpenWeather Ltd) — provider dati qualità dell'aria di fallback (sede UK). Riceve: solo coordinate geografiche anonimizzate.
• Upstash Inc. — servizio di caching Redis (sede USA). Riceve: coordinate geografiche come chiavi di cache, dati AQI in forma anonima.
• Vercel Inc. — hosting dell'applicazione e esecuzione delle serverless functions (sede USA).

Con ciascuno dei fornitori sopra elencati sono stati sottoscritti accordi sul trattamento dei dati (Data Processing Agreement) ai sensi dell'Art. 28 del GDPR, che garantiscono il rispetto degli standard di protezione dei dati personali previsti dalla normativa europea.

9. Trasferimento dei dati verso paesi terzi

Alcuni dei fornitori sopra indicati hanno sede al di fuori dell'Unione Europea (Stati Uniti, Regno Unito). Il trasferimento dei dati verso tali paesi avviene sulla base delle seguenti garanzie ai sensi degli Artt. 44-49 del GDPR:

• Regno Unito — decisione di adeguatezza della Commissione Europea (Decisione di esecuzione (UE) 2021/1772)
• Stati Uniti — EU-U.S. Data Privacy Framework (DPF) per i fornitori certificati (Google, Stripe, Vercel), oppure Clausole Contrattuali Standard (SCC) ai sensi della Decisione di esecuzione (UE) 2021/914 per gli altri fornitori

Verso tutti i fornitori vengono trasmesse esclusivamente coordinate geografiche arrotondate e prive di identificativi personali diretti, ad eccezione di Supabase (che conserva il database completo in UE) e Stripe (per la gestione dei pagamenti).

10. Diritti dell'interessato

Ai sensi degli Artt. 15-22 del GDPR, l'utente ha diritto di:

• Accesso ai propri dati (Art. 15) — ottenere conferma del trattamento e copia dei dati personali
• Rettifica (Art. 16) — correggere dati inesatti o incompleti tramite le Impostazioni dell'app
• Cancellazione / diritto all'oblio (Art. 17) — richiedere la cancellazione dei propri dati, implementata tramite la funzione "Elimina account" nelle Impostazioni
• Limitazione del trattamento (Art. 18) — richiedere la limitazione del trattamento in determinate circostanze
• Portabilità dei dati (Art. 20) — ricevere i propri dati in formato strutturato e leggibile da dispositivo automatico tramite la funzione "Esporta i miei dati" nelle Impostazioni
• Opposizione (Art. 21) — opporsi al trattamento dei propri dati personali
• Revoca del consenso (Art. 7.3) — revocare il consenso al trattamento della posizione in qualsiasi momento dalle Impostazioni dell'app, con la stessa facilità con cui è stato prestato
• Reclamo — presentare reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it)

Per esercitare i propri diritti, scrivere a info@dosamigos.it. Risponderemo entro 30 giorni dalla ricezione della richiesta.

11. Cookie e tecnologie di tracciamento

CleAir utilizza esclusivamente cookie di sessione tecnici, strettamente necessari per il funzionamento del servizio. Non vengono utilizzati cookie di tracciamento, cookie analitici o cookie pubblicitari di terze parti.

Ai sensi dell'Art. 122 del D.Lgs. 196/2003 e delle Linee guida del Garante del 10 giugno 2021, i cookie strettamente tecnici non richiedono il consenso preventivo dell'utente.

12. Processi decisionali automatizzati

Ai sensi dell'Art. 13(2)(f) del GDPR, informiamo che CleAir non effettua alcuna profilazione né processo decisionale automatizzato ai sensi dell'Art. 22 del GDPR. I suggerimenti relativi alla salute mostrati nell'applicazione sono messaggi generici basati esclusivamente sulla fascia di indice AQI rilevata e non tengono conto di caratteristiche personali dell'utente.

13. Modifiche all'informativa

Eventuali modifiche alla presente informativa saranno comunicate tramite un avviso di aggiornamento all'interno dell'applicazione. L'utilizzo continuato del servizio dopo la pubblicazione delle modifiche costituisce accettazione delle stesse.

14. Contatti

Per esercitare i propri diritti o per qualsiasi domanda relativa al trattamento dei dati personali:

• DOS AMIGOS DI PADOVAN MATTEO
• Via Frassenelle 1, 35045 Ospedaletto Euganeo (PD)
• P.IVA: 05761050284
• Email: info@dosamigos.it