Informativa sulla privacy

• Email, nome e foto profilo. Arrivano dal modo in cui scegli di entrare (email e password, Google o Apple) e servono a creare e riconoscere il tuo profilo. Apple non ci passa la foto.
• Accesso con Apple. Apple ci comunica un identificativo, l'email e il nome che scegli di condividere. Se scegli Nascondi la mia email riceviamo l'indirizzo di inoltro creato da Apple, non il tuo indirizzo vero. Se più avanti colleghi email e password all'account, quell'indirizzo prende il posto di quello di inoltro.
• Nome utente. L'app lo crea da sola e tu puoi cambiarlo. Serve a farti trovare e invitare nei gruppi.
• Lingua e preferenze dell'app (tema, valuta, notifiche, altre impostazioni), salvate sui nostri server per ritrovarle quando reinstalli l'app.
• Mail di conferma dell'indirizzo e di recupero della password. Quando crei l'account con email e password, colleghi una password all'account o chiedi un nuovo link, ti mandiamo all'indirizzo dell'account una mail con un link per confermarlo. Se hai dimenticato la password e lo chiedi dall'app, ti mandiamo un link per sceglierne una nuova. I link li crea Firebase Authentication, valgono per un tempo limitato e si aprono su una pagina del nostro sito. Con le versioni dell'app precedenti alla 1.6.5, o se il nostro invio non riesce, queste mail le spedisce direttamente Firebase Authentication.
• Limiti di frequenza. Perché nessuno possa far arrivare queste mail a ripetizione, contiamo quante ne vengono chieste: quelle di conferma per l'account (con il suo identificativo), quelle di recupero della password per un'impronta dell'indirizzo email e per un'impronta dell'indirizzo IP da cui arriva la richiesta. Un'impronta è un codice calcolato da quei dati, che non li mostra in chiaro. Oltre il limite la mail non parte. I contatori si cancellano da soli dopo 2 giorni.
• Mail di benvenuto. Quando crei un account ti mandiamo una sola mail di benvenuto, all'indirizzo dell'account: se ti registri con email e password, dopo che l'hai confermato (se non lo confermi entro 7 giorni, non parte). Spiega che cosa puoi fare con l'app e, se la prova gratuita di Pro ti spetta ancora, come attivarla: per saperlo facciamo gli stessi controlli dell'attivazione, descritti più sotto. È una comunicazione di servizio sull'account appena creato, non pubblicità: non contiene prezzi né offerte, è l'unica mail di benvenuto e non la mandiamo a chi era già iscritto. La spediamo dalla stessa coda della mail all'avvio della prova.

• Liste, carrelli e conti. Liste della spesa, carrelli, prodotti, prezzi, categorie, limiti di spesa, luoghi, entrate e spese ricorrenti, gruppi, il tuo catalogo dei prodotti con la cronologia dei prezzi, e le fonti di pagamento. Le fonti sono etichette che scegli tu: l'app non chiede numeri di carta né IBAN.
• Lavagna. I post-it che attacchi (nome, appunto, quantità, etichetta, eventuale codice a barre) sono salvati sui nostri server. Se li condividi con un gruppo, i membri li vedono, possono modificarli e ricevono un avviso riassuntivo con il tuo nome. Per preparare questo avviso il server tiene per pochi minuti l'elenco dei post-it appena attaccati. Puoi spegnere questi avvisi dalle Impostazioni. Quando qualcuno cambia il nome o l'appunto di un post-it, sul post-it salviamo anche l'identificativo del suo account, per sapere a chi si riferisce una segnalazione.
• Scadenze degli alimenti (piano Pro). Salviamo nome, quantità, data di scadenza, eventuale codice a barre e se il prodotto è stato consumato o buttato. Salviamo anche con quanti giorni di anticipo vuoi essere avvisato. Se condividi le scadenze con un gruppo, i membri le vedono e ricevono con te l'avviso prima della scadenza.
• Fonti condivise. Puoi mostrare una tua fonte di pagamento a singole persone che scegli. Vedono il nome della fonte e, per ogni movimento, data, importo e titolo: non i prodotti e non le coordinate del luogo. Se dai il permesso di scrittura possono aggiungere movimenti. Puoi togliere la condivisione quando vuoi.
• Spesa collettiva. In una lista condivisa i membri del gruppo vedono quanto ha speso ciascuno e chi deve quanto a chi.

• Foto di prodotti, cartellini e scontrini. Il testo e i prodotti vengono riconosciuti sul telefono (con Google ML Kit) e nessuna immagine viene caricata sui nostri server. Le foto dei prodotti che salvi restano nella memoria dell'app sul telefono e si cancellano disinstallando l'app.
• Dettatura vocale. SmartBuy riceve solo il testo trascritto, non l'audio (vedi più sotto il servizio vocale del telefono).
• Face ID, Touch ID o impronta. Il controllo lo fa il telefono: l'app riceve solo l'esito, non i dati biometrici.
• Avvisi sui limiti di spesa. Li crea il telefono e non passano dai nostri server.
• Controllo delle parole offensive. Prima di salvare il nome che mostri agli altri, il nome utente, il nome di un gruppo o il testo che scrivi o correggi su un post-it, il telefono controlla che non contengano parole offensive. Il controllo avviene sul telefono: un testo rifiutato non viene salvato e non ci arriva. Vale anche per il nome e il nome utente che l'app ti assegna al primo accesso: se il nome del tuo account Google o Apple, o la parte della tua email prima della @, contiene una parola offensiva, l'app usa al suo posto un nome generico.

• Con il tuo permesso l'app usa la posizione per collegare i carrelli ai negozi («Luoghi»): nel carrello salviamo la posizione in cui lo avvii e il nome del luogo salvato più vicino. La usa anche per centrare la mappa dei Luoghi e per mostrarti il meteo della tua zona nel cruscotto.
• Suggerimenti offerte (piano Pro) è una funzione spenta finché non la accendi tu dalle Impostazioni. Se è accesa, i prezzi dei carrelli che hanno una posizione diventano «osservazioni di prezzo». Non contengono il tuo identificativo, ma sul server restano collegate al carrello da cui vengono, per poterle aggiornare o cancellare. Contengono prodotto (con l'eventuale codice a barre), categoria, prezzo (anche al chilo o al litro), nome del luogo, data e ora del carrello e coordinate arrotondate a circa 110 m. Il nome del luogo è quello che hai scelto tu: evita nomi che ti identificano.
• Agli altri utenti mostriamo solo prodotto, prezzo, nome del negozio, distanza e giorno: non le coordinate e non l'ora esatta.
• Sempre e solo se la funzione è accesa, il nome, la categoria e l'eventuale codice a barre dei prodotti di quei carrelli (non il tuo nome) entrano anche in un catalogo comune dei prodotti, che serve a riconoscerli meglio e che gli utenti registrati possono consultare. Evita di scrivere nomi di prodotto che ti identificano.
• Per gli avvisi giornalieri sulle offerte teniamo nel tuo profilo l'ultima posizione, anch'essa arrotondata a circa 110 m. Quando spegni la funzione la cancelliamo e i tuoi carrelli smettono di creare osservazioni. Quelle già create vengono tolte alla prossima modifica del carrello o, in ogni caso, quando il carrello viene eliminato, anche con la cancellazione dell'account.

• Gli abbonamenti (Plus e Pro) si comprano tramite Google Play su Android o tramite App Store su iPhone. Il pagamento lo gestisce lo store: non riceviamo e non conserviamo i dati della tua carta.
• Gli acquisti dei due store vengono verificati tramite RevenueCat, che riceve la ricevuta d'acquisto dello store e l'identificativo del tuo account SmartBuy (non il nome e non l'email). Da RevenueCat riceviamo e conserviamo lo stato dell'abbonamento, il prodotto, lo store, il prezzo e la valuta della transazione: servono a darti il servizio e a tenere la contabilità.
• Prova gratuita. Quando la attivi controlliamo che la tua email sia verificata e che la prova non sia già stata usata con la stessa email o sullo stesso dispositivo. Per questo conserviamo l'identificativo dell'account e un'impronta dell'email e del dispositivo: un codice calcolato da quei dati, che non li mostra in chiaro.
• Mail all'avvio della prova. Quando attivi la prova, se la tua email è verificata, ti mandiamo una mail di servizio all'indirizzo del tuo account, con la data di fine della prova. Se la prova non è già di 30 giorni, la mail contiene un link personale che vale una volta sola e solo fino alla fine dei 14 giorni, per inserire sul nostro sito il codice di un creator. Del link conserviamo un'impronta (un codice che non permette di ricostruirlo), l'account a cui è legato, la data di creazione, la scadenza, se è stato usato e quanti codici sbagliati sono stati provati con quel link, con la data dell'ultimo: dopo 10 il link non vale più. Per spedire questa mail e quella di benvenuto teniamo una coda con l'identificativo dell'account, il tipo di mail, lo stato dell'invio e gli eventuali errori: l'indirizzo lo leggiamo dall'account al momento dell'invio e non lo copiamo nella coda. Ogni voce della coda si cancella da sola dopo 90 giorni. Se sei entrato con Apple scegliendo Nascondi la mia email, le mail di servizio passano dal servizio di inoltro di Apple.
• Codici creator. I codici dei creator (chi fa conoscere l'app) valgono su Android e su iPhone e si inseriscono sul nostro sito, durante la prova: dal link personale della mail oppure entrando con il tuo account. Nelle versioni per Android precedenti alla 1.6.5 c'è anche un campo per il codice all'attivazione della prova. Con il codice la prova arriva a 30 giorni. Colleghiamo al tuo account il codice e il creator, con la data e il modo in cui l'hai inserito (sito o app): il collegamento è definitivo, non si cambia e non si toglie, se non cancellando l'account. Il codice resta sul tuo profilo e sui tuoi pagamenti, per calcolare il compenso del creator. Il creator riceve solo numeri complessivi, non i tuoi dati. Per impedire che i codici si indovinino per tentativi, contiamo i codici sbagliati provati per il tuo account, dal link della mail o entrando sul sito, con la data dell'ultimo: dopo 10 i tentativi si fermano, e il conteggio si azzera 24 ore dopo l'ultimo errore.
• Codici promozionali (solo su Android). Se inserisci un codice promozionale lo colleghiamo al tuo account, con il piano e la data, per applicare il vantaggio.
• Contatori d'uso. Contiamo quante liste, carrelli e prodotti hai, per applicare i limiti del piano e tenere sotto controllo i costi del servizio.

• Accesso dal sito. Sulla pagina in cui si inserisce il codice di un creator si entra con l'account SmartBuy, con email e password oppure con Google (l'accesso con Apple sul sito non c'è). L'accesso funziona come nell'app, con Firebase Authentication, e il browser lo ricorda solo finché la scheda resta aperta. Serve solo a sapere a quale account applicare il codice.
• Codice salvato nel browser. La pagina di un creator salva il suo codice nella memoria del tuo browser, per ritrovarlo già scritto quando lo inserisci, e chiede al server se il codice è attivo e il nome pubblico che il creator ha scelto di mostrare, se c'è: con quella richiesta parte solo il codice. Se arrivi dal link della mail, la pagina lo toglie dalla barra degli indirizzi e lo tiene nella scheda finché non lo usi.
• Pagina dell'account. I link delle mail di conferma dell'indirizzo e di recupero della password aprono una pagina del sito che li passa a Firebase Authentication, per confermare l'indirizzo, scegliere la nuova password o ripristinare l'indirizzo di prima. Su questa pagina non si entra nell'account: la pagina toglie il link dalla barra degli indirizzi e lo tiene nella scheda solo finché non lo usi.
• Le pagine del sito non hanno statistiche né pubblicità.

• Solo se scegli di segnalarci uno scontrino che l'app non legge bene, inviamo il testo riconosciuto, non la foto. Prima dell'invio il telefono oscura codici fiscali, partite IVA, numeri di carta e di tessera, righe di pagamento, email, numeri di cellulare e numeri lunghi, e ti mostra il testo esatto che parte. Prodotti, prezzi e date restano, perché servono a capire come è fatto lo scontrino. Il server ripete il controllo sui codici fiscali.
• Con il testo inviamo il nome della catena, la nota facoltativa e la versione dell'app. Puoi allegare fino a 5 scontrini per richiesta. Puoi anche chiederci di aggiungere una catena senza allegare testo: in quel caso inviamo solo nome della catena, nota e versione dell'app.
• La segnalazione è collegata al tuo account (identificativo ed email) per poterla gestire e risponderti.

• Segnalazioni. Se segnali un invito, un membro, un gruppo, un post-it o un'offerta vicina, salviamo il tipo e il motivo, i dettagli che scrivi tu (facoltativi), una copia del testo segnalato (per esempio il nome del gruppo, il nome mostrato, il testo del post-it, il prodotto e il negozio dell'offerta), l'identificativo del tuo account e quelli della persona, del gruppo e del contenuto segnalati, la piattaforma, la versione dell'app e la data.
• Le segnalazioni le leggono solo gli amministratori, che ricevono una notifica con il tipo, il motivo e un pezzo del testo segnalato, per decidere se intervenire. Con la segnalazione salviamo anche la decisione presa, chi l'ha presa e quando. La persona segnalata non vede la segnalazione né chi l'ha fatta.
• Persone bloccate. Quando blocchi qualcuno salviamo nel tuo profilo il suo identificativo, il nome e il nome utente che aveva in quel momento e la data. Servono a mostrarti l'elenco e a impedire a quella persona di invitarti e di trovarti cercando la tua email. Fra gli utenti l'elenco lo vedi solo tu; quando sblocchi la persona la voce viene cancellata.

Se ci dai un voto dentro l'app, salviamo le stelle, il commento facoltativo, la piattaforma, la versione dell'app e la data, collegati al tuo account. Salviamo anche se ti abbiamo già invitato a lasciare una recensione sullo store e se hai chiesto di non ricordartelo più. Serve a capire che cosa migliorare. La recensione che lasci sullo store resta invece allo store.

• Codice per le notifiche (token). Lo fornisce Firebase Cloud Messaging di Google, che su iPhone si appoggia al servizio di notifiche di Apple. Serve a recapitarti le notifiche di liste e carrelli condivisi, inviti ai gruppi, post-it della lavagna, scadenze degli alimenti, offerte vicine, avvisi di aggiornamento dell'app e comunicazioni di servizio.
• Comunicazioni di servizio. Possiamo inviarti notifiche informative sull'app, per esempio un problema risolto o una modifica importante. Non sono pubblicità. Misuriamo quante notifiche vengono consegnate e aperte, in forma complessiva. Una prossima versione dell'app potrà registrare anche che il tuo account ha aperto una certa comunicazione. Le spegni dalle Impostazioni dell'app o del telefono.

• Dispositivi collegati all'account. Identificativo creato dall'app, piattaforma (Android o iPhone), versione dell'app, ultimo utilizzo e codice per le notifiche. Servono a recapitare le notifiche su ogni dispositivo e ad avvisare chi usa una versione dell'app che non funziona più.
• Controllo dell'app autentica (Firebase App Check, tramite Play Integrity su Android e DeviceCheck di Apple su iPhone). Verifica che le richieste arrivino dall'app vera.
• Registro di sicurezza. Annotiamo gli eventi importanti dell'account: attivazione della prova, estensione della prova con un codice creator, codici riscattati, accessi negati a funzioni a pagamento, cancellazione dell'account, operazioni degli amministratori. Ogni voce ha l'identificativo dell'account e l'email; per gli accessi negati anche l'indirizzo IP e l'identificativo del dispositivo. Serve a prevenire abusi e a poter dimostrare che cosa è stato fatto.
• Registri tecnici del server. I server annotano per un tempo limitato informazioni di funzionamento, che possono contenere l'identificativo dell'account e, in pochi casi, l'email.

• Firebase Analytics. Registra eventi d'uso: quelli raccolti in automatico da Firebase e quelli del percorso degli inviti (invito inviato, aperto, accettato, prima azione nel gruppo), che portano anche il codice d'invito e l'identificativo del gruppo. Con gli eventi arrivano un identificativo dell'installazione, modello e sistema operativo del dispositivo, versione dell'app e paese approssimativo. Servono a capire come viene usata l'app e a migliorarla. Non ci mettiamo né il tuo nome né la tua email. Restano per il periodo di conservazione impostato nel servizio di Google; dopo, i dati dei singoli eventi vengono cancellati in automatico.
• Nessun identificativo pubblicitario e nessun tracciamento. Su iPhone l'app è costruita senza il supporto all'identificativo pubblicitario (IDFA) e non chiede il permesso di tracciamento. Su Android il permesso per l'ID pubblicità è rimosso. Non usiamo componenti pubblicitari.
• Google ML Kit legge testi, codici e prodotti sul telefono. Come previsto da Google, può inviare a Google dati tecnici sul proprio funzionamento (per esempio modello del dispositivo, versione del sistema e dell'app, prestazioni ed errori), senza le immagini e senza il testo letto.
• Se nelle impostazioni del telefono hai scelto di condividere i dati di analisi con gli sviluppatori, Apple o Google possono metterci a disposizione rapporti sugli arresti anomali dell'app.

• Google Firebase (Authentication, Cloud Firestore, Cloud Functions, Cloud Messaging, Analytics, App Check, Hosting): account, contenuti, notifiche, statistiche e sicurezza. Con le versioni dell'app precedenti alla 1.6.5, o se il nostro invio non riesce, Firebase Authentication spedisce anche le mail di conferma dell'indirizzo e di recupero della password.
• RevenueCat, Inc.: verifica degli acquisti fatti su Google Play e App Store e stato dell'abbonamento.
• Aruba S.p.A.: invio delle email di servizio (conferma dell'indirizzo, recupero della password, benvenuto, avvio della prova) dalla casella info@koodi.it. Riceve l'indirizzo del destinatario e il testo della mail.

• Google Play e App Store: pagamento, rinnovo, disdetta e rimborsi degli abbonamenti.
• Accedi con Google (nell'app e sulla pagina del sito per il codice creator) e Accedi con Apple (solo nell'app): accesso e dati del profilo descritti sopra.
• Notifiche: Firebase Cloud Messaging e, su iPhone, il servizio di notifiche di Apple.
• Riconoscimento vocale: la dettatura usa il servizio vocale del telefono (Apple su iPhone; su Android quello predefinito, di norma Google), che può elaborare l'audio sui propri server. SmartBuy riceve solo il testo.

• Open Food Facts: il codice a barre che inquadri, per trovare nome, marca, valori nutrizionali e immagine del prodotto.
• OpenStreetMap, OpenTopoMap ed Esri (vista dal satellite): i pezzi di mappa della zona che stai guardando nei Luoghi.
• Nominatim (OpenStreetMap): l'indirizzo che cerchi sulla mappa dei Luoghi e, per il meteo, le coordinate della tua posizione, per ricavare il nome della località.
• Open-Meteo: le coordinate della tua posizione, per il meteo nel cruscotto.
• Google Fonts: lo scaricamento dei caratteri usati dall'app.