Informativa sulla privacy dell’applicazione

Di quale applicazione si tratta e chi siamo

Questa è l’informativa sulla privacy dell’applicazione Fair Assistant per Android. Il titolare dei dati qui descritti è Tehnokan d.o.o. Smederevo, Karadjordjeva 40, 11300 Smederevo, Serbia. Per questo sito esiste un’informativa sulla privacy separata, e le regole del servizio stanno nelle condizioni. Qui sotto conta dove si trova cosa: il vostro telefono, dove l’applicazione crea e custodisce il vostro lavoro; il nostro server, che sa se avete diritto a usare l’applicazione e, se la sincronizzazione è attiva, conserva i vostri record solo in forma cifrata che non possiamo leggere; e Google, che nel vostro Drive custodisce la chiave di cifratura e — solo quando attivate l’IA inclusa nel pacchetto — riceve attraverso il nostro server il contenuto che scegliete (vedi «Funzioni IA (facoltative)»).

Ciò che resta sul vostro telefono e ciò che conserviamo cifrato

Biglietti da visita scansionati, foto, note, valutazioni e promemoria nascono sul vostro telefono. Il riconoscimento del testo avviene sul dispositivo stesso, quindi un biglietto non viene mai inviato da nessuna parte per essere letto.

Attivate la sincronizzazione nella schermata dopo l’accesso (l’applicazione la propone) o più tardi nelle impostazioni, e potete disattivarla in qualsiasi momento. Finché è attiva, i vostri contatti, le note delle fiere e «Il mio biglietto da visita» vengono cifrati sul telefono (AES-256-GCM) prima dell’invio, quindi al nostro server arriva solo un record cifrato. La chiave nasce sul vostro telefono e viene custodita nel vostro Google Drive, in uno spazio nascosto che vede solo questa applicazione. Tehnokan non ha quella chiave e non può leggere cosa c’è nei record. Sul server conserviamo solo un’impronta della chiave, con cui un nuovo telefono verifica di aver trovato la chiave giusta (da essa non si può ricavare la chiave) e, se create una frase di recupero, la chiave bloccata con quella frase, che senza la frase non possiamo aprire. Google ha la chiave ma non i record, quindi nessuna delle due parti può aprirli da sola. Le foto dei biglietti per ora non vengono sincronizzate e restano solo sul telefono.

Di voi il server vede soltanto l’ID del vostro account, l’ID del team se ne avete uno, il tipo di record (contatto o nota), quanti sono e quanto sono grandi, e quando ciascuno è stato modificato l’ultima volta. Non vede nomi, aziende, numeri di telefono, indirizzi e-mail, note né valutazioni.

Chi accede al vostro account Google in questa applicazione ottiene anche i vostri contatti, come se avesse in mano il vostro telefono sbloccato. Proteggete il vostro account Google.

L’eccezione sono le azioni IA che avviate voi stessi (vedi «Funzioni IA (facoltative)»): il contenuto di quell’azione passa attraverso il server fino a Google in forma leggibile, e noi non lo conserviamo.

Usare l’applicazione senza accedere

Potete provare l’applicazione senza account. Perché la prova gratuita sia una per telefono, l’applicazione invia al server l’identificativo del dispositivo Android; il server lo trasforma in un’impronta a senso unico nel momento in cui arriva e conserva solo l’impronta, mai l’identificativo. Accanto a quell’impronta conserva quanti contatti di prova sono stati usati — al massimo cinque — un identificativo casuale che l’applicazione crea per ciascuno, il numero di versione dell’applicazione per l’assistenza, e i momenti in cui quel telefono ci ha contattati la prima e l’ultima volta. Dal biglietto non viene inviato nulla: l’identificativo casuale esiste solo perché lo stesso contatto non venga contato due volte. Se un telefono non ci contatta per un anno, il registro viene cancellato automaticamente.

Accedere con un account Google

Quando accedete, l’applicazione invia al server un gettone di accesso Google. Quel gettone contiene effettivamente il vostro indirizzo di posta, il vostro nome e la vostra immagine di profilo; il server lo verifica in memoria, ne ricava l’identificativo dell’account e non trattiene nient’altro — il gettone non viene mai scritto in un registro. L’identificativo è conservato come impronta a senso unico, quindi nemmeno esso resta in forma leggibile. In nessun punto della base di dati esiste una colonna per un indirizzo di posta, un nome o un’immagine. Accanto all’impronta conserviamo un numero interno di account, quando l’account è nato, quando è stato usato l’ultima volta e, se avete chiesto la cancellazione, il giorno in cui l’avete chiesta. Ogni telefono con accesso attivo riceve un registro di sessione: un’impronta del suo gettone di rinnovo (sostituita a ogni rinnovo), i momenti di creazione e di ultimo uso, e una breve etichetta facoltativa del dispositivo. Come etichetta l’applicazione invia solo il produttore e il modello del telefono — mai il nome che avete dato voi stessi al dispositivo, che non chiediamo e non conserviamo. Un registro di sessione resta fino alla cancellazione dell’account, anche dopo che avete chiuso l’accesso su quel telefono.

Accesso dal sito

Nella pagina “Il tuo account” del nostro sito puoi accedere con lo stesso account Google per vedere il tuo account ed eliminarlo. Il server tratta quell’accesso come un telefono: conserva una sessione del sito – un hash del suo token, quando è stata creata e usata l’ultima volta – per al massimo 30 giorni e la elimina al più tardi insieme all’account. Mentre un accesso è in corso conserva, per qualche minuto, un hash del valore di protezione e del codice monouso e l’indirizzo del sito a cui riportarti; questi vengono eliminati un’ora dopo l’uso. Da Google non conserva nulla: nessun identificativo, e-mail, nome o immagine – il token Google viene letto solo in memoria per trovare il tuo account esistente. I cookie del sito sono descritti nell’informativa sulla privacy del sito.

La prova gratuita

La prova gratuita dura 14 giorni e copre una fiera. Per un account con accesso conserviamo quando la prova è iniziata e quando finisce. Perché la prova non possa semplicemente ricominciare, un contrassegno resta anche dopo la cancellazione dell’account, e resta senza limite di tempo: la stessa impronta a senso unico dell’identificativo Google, le due date della prova e il giorno di calendario della cancellazione. Non contiene alcun numero di account né altro su di voi. Se un account viene cancellato prima che la prova sia mai iniziata, non viene scritto alcun contrassegno. Usiamo la stessa impronta a senso unico anche per l’identificativo del telefono, perché la prova gratuita valga una sola volta per telefono; la conserviamo per 365 giorni dall’ultima prova su quel telefono, senza alcun legame con il vostro account.

Acquisti

Il pagamento passa per Google Play. Un acquisto è un pagamento unico, non un abbonamento: nulla si rinnova da solo. Questo vale per il Fair Pass, l’Enterprise Fair Pass e il posto aggiuntivo nel team. La vostra carta non la vediamo mai e Google non ci consegna mai i vostri dati di pagamento. Prima che si apra la finestra di Play, il server scrive un’intenzione: il numero interno di account, il prodotto, la fiera o l’edizione a cui si riferisce, il suo stato e i momenti di creazione e di scadenza. Quel registro resta anche se chiudete la finestra e non viene pagato nulla. Di un acquisto concluso conserviamo il numero d’ordine Google, il prodotto, gli stati e i momenti che Play comunica — pagato, verificato, confermato, consumato, rimborsato — il prezzo e la valuta quando Play li comunica, il nostro breve codice quando qualcosa non è andato, e il gettone d’acquisto di Play: cifrato, accanto a un’impronta a senso unico con cui riconosciamo di nuovo lo stesso gettone. Perché Play possa collegare il pagamento all’account giusto, a Google vanno due nostri identificativi: il numero interno di account e l’identificativo di quell’intenzione. Nessuno dei due porta il vostro nome o il vostro indirizzo di posta. Quando un diritto viene ripristinato su un altro telefono da una licenza che l’applicazione ha già, il server scrive registri sostitutivi contrassegnati come ripristino, perché il diritto ripristinato abbia un registro come ogni altro.

I diritti da un acquisto e la licenza sul telefono

Accanto all’account conserviamo i diritti: quale fiera, quale edizione o quale fiera aggiunta da voi copre un diritto, il suo tipo e il suo stato, il periodo di validità e da quale acquisto proviene. Per poter contare quante fiere copre una prova o un Fair Pass, conserviamo anche un contrassegno per ogni fiera per cui viene usato: il suo nome dal nostro catalogo, oppure il nome che avete scritto voi stessi per una fiera che non vi compare, e quando è stata aggiunta. Se sostituite una fiera con un’altra, la precedente resta in quel registro. Tutto viene cancellato insieme all’account. La licenza stessa — il file firmato che l’applicazione verifica — non viene mai conservata. Nasce e viene firmata nel momento in cui è richiesta e va direttamente sul telefono. Nella base di dati sta solo la parte pubblica delle chiavi di firma e il nome della variabile d’ambiente in cui si trova la chiave privata, mai la chiave. Poiché l’applicazione verifica la licenza sul dispositivo, funziona anche senza connessione a internet; per la stessa ragione una licenza già presente su un telefono non può essere ritirata prima della scadenza. Un rimborso o una cancellazione impediscono che ne venga emessa una nuova.

Team

Un team viene acquistato da una sola persona, il responsabile. Gli altri entrano con un invito (un codice o un codice QR che il responsabile condivide) e non pagano nulla.

Il responsabile può attivare la condivisione dei contatti nel team. Il telefono del responsabile crea allora una chiave del team, che arriva ai membri nell’invito QR e viene custodita anche nel Google Drive del responsabile e di ogni membro, nello spazio nascosto dell’applicazione. La parte dell’invito che contiene la chiave non viene inviata al nostro server. I record del team sono cifrati con quella chiave, quindi il server li conserva ma non può leggerli. L’applicazione conserva la chiave del team anche come record cifrato con la chiave personale di ogni membro, quindi nemmeno questa il server può leggerla.

Tutti i membri vedono i contatti del team e possono modificarli. Un membro cancella solo i contatti che ha aggiunto lui stesso, e il responsabile può cancellare tutti i record del team. Un contatto di una fiera coperta dal team finisce automaticamente nello spazio del team; potete riportare qualsiasi contatto nel vostro spazio personale con l’interruttore «Condividi con il team».

Chi lascia il team o viene rimosso perde subito l’accesso ai record del team sul server, e l’applicazione cancella dal suo telefono i contatti del team che non ha aggiunto lui stesso. In questa versione la chiave del team non viene cambiata, quindi ciò che un membro ha già esportato o copiato fuori dall’applicazione non è sotto il nostro controllo.

Per un team il server conosce il numero interno di account di ogni membro (non il nome e non l’e-mail), chi è il responsabile, quando ciascuno è entrato e uscito, quanti posti ha il team e quanti sono occupati, quante sostituzioni sono state usate, quali fiere copre e fino a quando, da quale acquisto proviene il team e chi ha aggiunto quale record. L’invito lo conserviamo solo come impronta a senso unico, con una scadenza e un numero di utilizzi. L’appartenenza non dà al responsabile alcun accesso al vostro telefono né ai vostri contatti personali. Potete lasciare un team quando volete; se avevate un Fair Pass personale, entrare in un team non ve lo fa perdere.

Fiere che aggiungete voi stessi

Una fiera che non sia nel nostro elenco potete aggiungerla nell’applicazione. Conserviamo il nome e la città che scrivete, il paese come sigla di due lettere che scegliete da un elenco, le date se le indicate, un identificativo creato dall’applicazione, e i momenti in cui il registro è nato e — se è avvenuto — è stato trasmesso. Una fiera che aggiungete può essere trasmessa come proposta per l’elenco pubblico delle fiere di questo sito; quella copia vive fuori dalla base di dati dell’applicazione e la cancellazione del vostro account non la tocca. A una fiera così non viene mai allegato alcun contatto. Quando l’account viene cancellato, una fiera che avete aggiunto viene cancellata con esso; se un acquisto o un diritto vi si riferisce, il registro resta ma il nome e la città vengono sovrascritti, così che di quanto avete scritto non resta nulla.

Funzioni IA (facoltative)

L’IA inclusa nel pacchetto è facoltativa e disattivata per impostazione predefinita. La attivate voi stessi, nell’applicazione, dopo la spiegazione che vedete prima di attivarla, e potete disattivarla quando volete — la disattivazione ha effetto immediato. Finché è disattivata, per l’IA non viene inviato nulla e l’applicazione funziona come prima. È destinata a persone di almeno 18 anni.

Quando è attiva, l’IA si usa solo per azioni che avviate voi: (1) leggere un biglietto da visita — vengono inviati il testo che il telefono ha già letto dal biglietto, i codici QR letti e i nostri campi provvisori; se non basta, anche la foto di quell’unico biglietto; (2) preparare la bozza di un’e-mail di follow-up — vengono inviati il nome, l’azienda, la posizione, il paese e la lingua della persona, da «Il mio biglietto da visita» solo il vostro nome, azienda e posizione (non il vostro numero di telefono né il vostro indirizzo e-mail), e il nome della fiera; (3) riassumere le note — vengono inviati le note, la valutazione (per esempio «4/5») e lo stato del follow-up del contatto o della fiera che scegliete. Le note partono solo con la vostra conferma esplicita al momento dell’invio.

Non vengono inviati: altri contatti, l’intera base di dati, valutazioni al di fuori di un riassunto delle note, promemoria, foto diverse da quella di quell’unico biglietto, il vostro numero di account, il vostro indirizzo e-mail o il nome del vostro account Google, né l’identificativo del telefono. La richiesta a Google la fa il nostro server, non il vostro telefono.

Non conserviamo il contenuto: il server lo tiene in memoria durante l’elaborazione, vi restituisce il risultato e lo dimentica. Non viene scritto nella base di dati, nel diario di lavoro, nelle copie di riserva né nel registro di 24 ore delle richieste ripetute. Conserviamo solo un contatore — quante azioni IA avete usato in un giorno, di quale tipo e quanto è stato consumato — collegato al vostro account, per al massimo 90 giorni, per applicare i limiti giornalieri e seguire il costo. Se non c’è rete o l’IA non risponde, l’applicazione usa la propria lettura sul telefono o il modello di e-mail; nulla viene messo in coda per essere inviato più tardi.

Il contenuto viene trattato da Google (Gemini API, servizio a pagamento) secondo le condizioni di Google per quel servizio: in base ad esse, Google non lo usa per migliorare i propri prodotti né per addestrare modelli, e registra richieste e risposte per un tempo limitato, solo per individuare abusi e adempiere agli obblighi di legge. Maggiori dettagli in «Chi altro partecipa».

Vedete sempre il risultato e potete modificarlo prima che qualcosa venga salvato o inviato: un biglietto si apre come bozza, un’e-mail come testo in un editor, e viene inviata solo quando la inviate voi stessi dal vostro programma di posta. Nulla viene fatto automaticamente. L’IA può sbagliare, quindi controllate nomi, numeri e indirizzi.

Un biglietto da visita contiene dati di un’altra persona. Lo inviate per lo scopo per cui avete scansionato il biglietto; usate l’IA solo per biglietti che avete il diritto di trattare.

Registrazioni tecniche

Perché il servizio funzioni e si possa guardare dentro un problema, il server tiene un diario tecnico degli eventi: soltanto identificativi, stati prestabiliti, numeri e momenti. Non contiene testo libero — il nome di una fiera che avete aggiunto, per esempio, non vi viene scritto di proposito. Conserviamo quegli eventi finché ci servono per l’assistenza e la sicurezza; quando cancellate l’account, perdono il legame con esso. Per ogni scrittura che l’applicazione compie si conserva un breve registro per 24 ore, perché la stessa richiesta non venga eseguita due volte: il numero interno di account, la chiave che l’applicazione ha inviato, di quale operazione si trattava, un’impronta a senso unico della richiesta e la risposta che è stata data. Sparisce dopo un giorno, e subito quando un account viene cancellato. Il diario proprio del server annota la richiesta — metodo, percorso, risposta e ora — insieme all’indirizzo di rete (indirizzo IP) da cui è arrivata; il contenuto di una richiesta non viene mai annotato, e i gettoni di accesso e di rinnovo, le licenze e i gettoni d’acquisto vengono oscurati in ogni punto in cui potrebbero comparire. Quel diario si conserva al massimo 14 giorni, per sicurezza e contro l’abuso, e non usiamo l’indirizzo per stabilire dove vi trovate. Gli indirizzi di rete si tengono anche brevemente in memoria per limitare quanto spesso un solo indirizzo possa rivolgersi a noi. Nella base di dati non viene conservato nemmeno un indirizzo di rete, e non contiene alcuna registrazione pubblicitaria o analitica.

Chi altro partecipa

A questo funzionamento partecipano tre aziende e nessun’altra. Google compare in tre ruoli: accesso e pagamento, custodia della chiave e, solo se attivate l’IA inclusa nel pacchetto, elaborazione delle richieste IA.

Google (accesso e pagamento): verifica il vostro gettone di accesso e, attraverso il sistema di fatturazione di Google Play, riceve il pagamento, conferma l’acquisto e ci comunica il suo stato — per il che riceve i due identificativi interni descritti sopra.

Google (Drive, custodia della chiave): finché la sincronizzazione è attiva, nello spazio nascosto dell’applicazione nel vostro Google Drive viene scritto un piccolo file con la chiave di cifratura. Contatti e note non vanno in Drive. L’applicazione chiede solo il permesso per il proprio spazio nascosto (drive.appdata) e non vede gli altri vostri file; il permesso lo concedete su una schermata di Google e potete revocarlo nelle impostazioni dell’account Google. Google per questo riceve il file con la chiave, non i record.

Google (IA, Gemini API) — solo se attivate l’IA inclusa nel pacchetto. Finalità: leggere un biglietto da visita nei campi, preparare la bozza di un’e-mail o riassumere le note, quando lo avviate voi. Dati: il testo o la foto del biglietto, i codici QR letti, i campi provvisori che abbiamo già estratto; per un’e-mail anche il nome, l’azienda, la posizione e la lingua della persona, da «Il mio biglietto da visita» solo il vostro nome, azienda e posizione, e il nome della fiera; per un riassunto le note, la valutazione e lo stato del follow-up, solo con la vostra conferma esplicita. Non inviamo il vostro numero di account, il vostro indirizzo e-mail, il nome del vostro account Google né l’identificativo del telefono. Usiamo la versione a pagamento del servizio; secondo le condizioni di Google per essa, Google non usa i vostri contenuti per migliorare i propri prodotti né per addestrare modelli, e registra richieste e risposte per un tempo limitato, solo per individuare abusi e adempiere agli obblighi di legge. Luogo: Google tratta i dati nelle proprie strutture, che possono trovarsi al di fuori dell’Unione europea e della Serbia. Potete interrompere tutto questo in qualsiasi momento disattivando l’IA inclusa nel pacchetto.

Hostinger: il server su cui tutto questo funziona è una macchina virtuale nell’Unione europea, presso Hostinger. Vi sono conservati anche i record di sincronizzazione cifrati.

Cloudflare: presso di essa, nell’Unione europea, conserviamo copie di riserva cifrate della base di dati. Le copie di riserva contengono anche i record di sincronizzazione cifrati, che non possiamo leggere; il contenuto delle azioni IA non vi è mai, perché non viene scritto nella base di dati.

Non vendiamo dati e non li consegniamo a inserzionisti, e l’applicazione non porta pubblicità né software di analisi.

Cancellare l’account e ciò che gli sopravvive

La cancellazione potete chiederla nell’applicazione, oppure per e-mail come descritto nella pagina come cancellare il vostro account. Non avviene subito: l’account viene cancellato definitivamente 7 giorni dopo la richiesta, fino ad allora potete ripensarci nell’applicazione scegliendo «Mantieni il mio account», e l’applicazione vi mostra la data esatta in cui diventa definitiva. In quel giorno vengono cancellati l’account, le sessioni su tutti i vostri telefoni, i contrassegni delle fiere coperte dalla vostra prova o dai vostri Fair Pass (con l’eventuale nome che avete scritto), la vostra appartenenza a un team, i contatori dell’uso dell’IA e il legame tra voi e i vostri acquisti, e vengono cancellati anche i registri di 24 ore. In quel giorno vengono cancellati anche i vostri record sincronizzati personali e i dati della chiave.

Conserviamo i contatti sincronizzati, le note e «Il mio biglietto da visita» a tempo indeterminato, finché non li cancellate voi stessi. Perdere o cambiare il telefono, cancellare l’applicazione e reinstallarla non cancellano nulla: dopo l’accesso con lo stesso account Google tutto ritorna. La sincronizzazione personale continua a funzionare anche dopo la scadenza della prova o del Fair Pass. I record si cancellano in due modi. Con il pulsante «Elimina dal server» nell’applicazione vengono cancellati subito, e i contatti sul telefono restano. Con la cancellazione dell’account vengono cancellati 7 giorni dopo la richiesta e non si possono più ripristinare. Quando chiedete la cancellazione dall’applicazione, questa cancella anche il file con la chiave dal vostro Google Drive. Potete anche cancellare voi stessi il file con la chiave in Google Drive (Google Drive, impostazioni, gestisci app, elimina i dati nascosti dell’app). Senza i record sul server, quel file non apre nulla.

In un team un membro cancella i record che ha aggiunto lui stesso, e il responsabile tutti i record del team. I record aggiunti da un membro che cancella il proprio account restano al team, senza legame con quell’account. Quando un team cessa di esistere (scade senza rinnovo, l’acquisto viene rimborsato o l’account del responsabile viene cancellato), i suoi record vengono conservati ancora 90 giorni e poi cancellati.

Dopo la cancellazione i record cifrati possono restare nelle copie di riserva della base di dati al massimo ancora 8 settimane, poi scompaiono.

Quattro cose restano di proposito. I registri degli acquisti — numero d’ordine Google, prodotto, importo, valuta, date e gettone d’acquisto cifrato — restano per il tempo che la legge contabile richiede; il termine esatto lo stiamo ancora definendo con un commercialista, e fino ad allora questi registri non vengono cancellati automaticamente; presso di noi non sono più collegati a una persona. L’impronta a senso unico del vostro identificativo Google con le date della prova resta senza limite di tempo, solo perché la prova gratuita non ricominci. L’impronta a senso unico dell’identificativo del telefono su cui la prova è iniziata resta per 365 giorni dall’ultima prova su quel telefono, perché non è collegata all’account. E le copie di riserva della base di dati si conservano cifrate presso Cloudflare (UE) al massimo 8 settimane, così un account cancellato scompare anche da esse al più tardi 8 settimane dopo la cancellazione. Gli eventi tecnici restano, ma non più legati a voi. Una licenza già presente sul telefono continua a funzionare fino alla scadenza, perché non può essere ritirata.

Il contenuto delle azioni IA non è in questo elenco, perché non lo abbiamo mai conservato; Google lo tiene solo per il tempo descritto in «Chi altro partecipa».

I vostri diritti

Potete chiedere cosa abbiamo su di voi, chiederne la rettifica o la cancellazione, chiederne una copia, opporvi all’uso e ritirare il consenso. Scrivete a hello@fairassistant.com dall’indirizzo Google con cui accedete all’applicazione, oppure inviate la richiesta dall’applicazione mentre siete collegati. Il titolare è Tehnokan d.o.o. Smederevo, Karadjordjeva 40, 11300 Smederevo, Serbia. Se non siete soddisfatti della nostra risposta, potete rivolgervi all’autorità per la protezione dei dati del vostro paese.

Domande e risposte

Dove vengono conservati i miei contatti?

Sul tuo telefono. Se attivi la sincronizzazione (nella schermata dopo l’accesso, dove l’app la propone, o più tardi nelle impostazioni; puoi disattivarla in qualsiasi momento), una copia cifrata è anche sul nostro server nell’Unione europea. La chiave per aprirla è nello spazio nascosto dell’app nel tuo Google Drive. Le foto dei biglietti restano solo sul telefono.

E se perdo il telefono?

Installa l’app su un nuovo telefono e accedi con lo stesso account Google. L’app prende la chiave da Drive, scarica i record e ripristina i tuoi contatti e le tue note. Se non hai accesso a quell’account Google, il ripristino è possibile solo con la frase di recupero, se ne hai creata una, o da un backup manuale (ZIP). Le foto dei biglietti per ora non vengono ripristinate.

Tehnokan può vedere i miei contatti?

No. Il nostro server conserva solo record cifrati senza la chiave (conserva solo l’impronta della chiave e, se la crei, la chiave bloccata con la tua frase di recupero) e vede solo l’ID del tuo account, il numero e la dimensione dei record e quando sono cambiati. L’eccezione sono le azioni IA che avvii tu stesso: in tal caso il contenuto passa attraverso il server fino a Google e noi non lo conserviamo. Puoi cancellare i record dal server quando vuoi.