Informativa sulla privacy

1

Titolare del trattamento

Il titolare del trattamento è Martin Leo, che gestisce il progetto sbarUp. Per esercitare i tuoi diritti o per qualsiasi domanda sulla privacy puoi scrivere a privacy@sbarup.it.

Questa informativa riguarda l'app e il sito sbarup.it.

2

Quali dati trattiamo

Dati dell'account: Indirizzo email, nome e metodo di accesso (email o Google). Se ti registri con email, la password è conservata solo come impronta crittografica (hash) e non è leggibile da nessuno. Se usi Google, riceviamo email, nome e identificativo univoco del tuo account Google, mai la password. In fase di registrazione salviamo anche la versione dei documenti legali accettata e la relativa data. Per mantenere la sessione attiva senza dover accedere ogni volta conserviamo un gettone di accesso con data, tipo di dispositivo (user agent) e impronta dell'indirizzo IP, usati solo per mantenere e proteggere la sessione; il gettone dura fino a 180 giorni e viene revocato quando esci.
Segnalazioni sullo stato dei passaggi a livello: Stato indicato (aperto o chiuso), coordinate GPS e loro precisione, distanza dal passaggio, data e ora. Registriamo anche un'impronta crittografica non reversibile dell'indirizzo IP (HMAC con chiave segreta conservata sul server) per prevenire abusi.
Posizione: Con il tuo consenso, la posizione del dispositivo serve a mostrarti i passaggi vicini, centrare la mappa e verificare che le segnalazioni siano fatte sul posto (entro circa 100 metri). La posizione resta sul dispositivo finché non invii una segnalazione: solo in quel momento le coordinate vengono trasmesse ai nostri server.
Preferiti: I passaggi a livello che salvi nel tuo account.
Recensioni: La valutazione da 1 a 5 stelle che assegni a un passaggio a livello e la data. Puoi inviare una recensione per passaggio ogni 7 giorni; la media è visibile a tutti, mentre la singola recensione resta collegata al tuo account.
Recensioni dell'app: Il voto da 1 a 5 stelle, il testo della recensione, il nome visualizzato scelto da te e il consenso alla pubblicazione. La recensione viene pubblicata su /recensioni dopo la moderazione; la tua email non viene pubblicata. Puoi chiedere in ogni momento la modifica o la rimozione.
Foto e proposte: Le foto che carichi e i dati della proposta (nome, posizione, precisione, eventuale nota) per aggiungere o aggiornare un passaggio a livello. Evita di caricare foto con persone riconoscibili, targhe o altri dati personali non necessari.
Preferenze sul dispositivo: Tema, notifiche (compresa la distanza degli avvisi), posizione in background, ricarica automatica e una copia locale dei dati di accesso (compreso il gettone di «resta collegato») e dei preferiti, salvati nella memoria locale del browser (localStorage). Restano sul tuo dispositivo.
Dati tecnici: Log del server (indirizzo IP, data e ora, richieste) generati dal fornitore di hosting per sicurezza e diagnostica, e cookie tecnici di sessione. Registriamo inoltre, con un'impronta dell'indirizzo IP, i tentativi di accesso e di invio foto per prevenire abusi: vengono cancellati dopo circa 24 ore.

3

Finalità e basi giuridiche

Gestire l'account ed erogare il Servizio (segnalazioni, preferiti, ricerca): esecuzione del contratto (art. 6.1.b GDPR).
Geolocalizzazione per la mappa e per verificare le segnalazioni: consenso (art. 6.1.a) e, per la parte indispensabile alla segnalazione, esecuzione del contratto (art. 6.1.b).
Sicurezza e prevenzione di abusi o frodi (impronta dell'IP, limiti di frequenza): interesse legittimo (art. 6.1.f).
Notifiche, se le attivi: consenso, revocabile in ogni momento dalle impostazioni del dispositivo.
Pubblicazione delle recensioni dell'app: consenso (art. 6.1.a), revocabile chiedendo la rimozione della recensione.
Obblighi di legge: adempimento di obblighi legali (art. 6.1.c).

I dati necessari all'account (email e metodo di accesso) sono richiesti per erogare il Servizio: senza di essi non è possibile registrarsi e usare l'app. Gli altri conferimenti (posizione, notifiche, foto) sono facoltativi e puoi revocare il consenso in ogni momento.

Notifiche push. Se attivi le notifiche push, il browser genera un indirizzo tecnico (endpoint) e due chiavi di cifratura. Questi dati vengono salvati sul nostro server per inviarti la notifica e non contengono il testo del messaggio. Puoi revocarli in ogni momento dalle impostazioni del dispositivo o disattivando la funzione nell'app; l'endpoint viene rimosso anche quando elimini l'account. In questa fase la funzione è attiva solo per un account di test e non viene usata per inviare comunicazioni agli altri utenti.

Non usiamo i dati per pubblicità o profilazione e non li vendiamo.

4

Cookie e memoria locale

Non usiamo cookie di profilazione, di tracciamento o pubblicitari e non usiamo strumenti di analytics.

Usiamo solo:

un cookie tecnico di sessione, necessario per riconoscerti dopo l'accesso (ad esempio PHPSESSID). È HttpOnly, protetto da SameSite=Lax e, quando la connessione è cifrata, inviato solo via HTTPS. Dura fino a 30 giorni dall'ultimo utilizzo o finché non esci dall'app;
un cookie tecnico di accesso persistente (sbarup_remember), che mantiene la sessione attiva sul tuo dispositivo fino a 180 giorni per evitarti di accedere ogni volta; lo revochiamo quando esci dall'app e puoi eliminarlo dalle impostazioni del browser;
la memoria locale del browser (localStorage) per le preferenze e per una copia locale dei dati di accesso, così l'app si apre più velocemente. Sono dati che restano sul tuo dispositivo.

Puoi eliminare cookie e localStorage in qualsiasi momento dalle impostazioni del browser; uscendo dall'app scolleghi la sessione.

5

Con chi condividiamo i dati

Hosting e database — Aruba S.p.A.: infrastruttura del Servizio, con server nell'Unione Europea.
Google: se scegli l'accesso con Google, trattiamo email, nome e identificativo del tuo account; gli script di Google vengono caricati solo se scegli l'accesso con Google. Eventuali trasferimenti fuori dall'UE avvengono sulla base delle garanzie previste da Google (clausole contrattuali standard e, dove applicabile, EU-US Data Privacy Framework).
OpenFreeMap: per mostrare la mappa, il tuo dispositivo richiede i riquadri della mappa ai suoi server, che ricevono quindi indirizzo IP e richiesta.
Trenitalia / ViaggiaTreno: i dati sugli orari dei treni sono richiesti dai nostri server per calcolare le stime; non trasmettiamo dati degli utenti a questo servizio.
Open data regionali (GTFS/NeTEx): gli orari programmati dei treni sono scaricati dai portali open data delle Regioni (ad esempio Regione Toscana e Regione Liguria), con le rispettive licenze aperte; anche in questo caso sono i nostri server a scaricarli, senza trasmissione di dati degli utenti.
OpenStreetMap: la posizione dei passaggi a livello deriva dai dati aperti © OpenStreetMap contributors (licenza ODbL).
Autorità: se obbligati per legge.

Non vendiamo i tuoi dati personali.

6

Per quanto tempo conserviamo i dati

Account: finché non lo elimini o non ne chiedi la cancellazione.
Segnalazioni di stato (posizione e impronta dell'IP incluse): circa 24 ore, poi vengono eliminate automaticamente.
Statistiche aggregate delle segnalazioni: solo conteggi e tempi medi per passaggio a livello (senza utente né posizione), usati per migliorare le stime di apertura/chiusura.
Accessi all'app e notifiche inviate: data e conteggio, usati per non ripetere gli stessi inviti; restano finché l'account è attivo.
Foto e proposte: fino alla loro gestione; le foto pubblicate restano visibili finché non ne chiedi la rimozione.
Link di accesso via email: il token è monouso e scade dopo 60 minuti; nel database resta solo l'impronta crittografica.
Log del server: per il tempo tecnico necessario, secondo le policy del fornitore di hosting.
Preferenze locali: finché non le cancelli dal browser.

7

I tuoi diritti

Puoi esercitare i diritti previsti dagli articoli 15-22 del GDPR: accesso, rettifica, cancellazione, limitazione, opposizione, portabilità e revoca del consenso.

Scrivi a privacy@sbarup.it: risponderemo entro un mese. Se ritieni che il trattamento violi la legge, puoi rivolgerti al Garante per la protezione dei dati personali (garanteprivacy.it).

8

Minori

sbarUp non è destinato a bambini e ragazzi di età inferiore a 14 anni. Se hai meno di 14 anni, non creare un account. Se veniamo a conoscenza di un account di un minore di 14 anni, lo elimineremo.

9

Sicurezza

Adottiamo misure tecniche e organizzative ragionevoli per proteggere i dati: password salvate solo come hash, sessioni con cookie protetti e accesso alle aree di gestione limitato. Nessun sistema è sicuro al 100%: se noti una vulnerabilità, scrivici in modo responsabile all'indirizzo privacy@sbarup.it.

10

Modifiche all'informativa

Possiamo aggiornare questa informativa. La data in cima alla pagina indica la versione più recente; le modifiche sostanziali saranno comunicate nell'app o via email.

11

Contatti

Per domande sui tuoi dati o per esercitare i tuoi diritti scrivi a privacy@sbarup.it.