1. Titolare e contatti

Il titolare del trattamento dei dati personali è l’operatore dell’app TaleTrip.

Per richieste privacy, esercizio dei diritti o reclami: taletrip@altervista.org.

Sito / policy: https://taletripapp.pages.dev/privacy

2. Dati trattati e finalità

TaleTrip tratta, per fornire e proteggere il servizio:

• Account e profilo: email, nome visualizzato, username, foto profilo, bio, preferenza di visibilità del profilo (privato di default).
• Grafo social: relazioni di follow (richieste e accettate) e blocchi, usati per decidere chi può vedere i viaggi pubblici.
• Contenuti di viaggio: viaggi, membri, spese e quote, itinerari, documenti caricati dall’utente, note del diario, foto e (se usate) note audio. Ogni viaggio e ogni ricordo ha un flag di visibilità pubblica, spento di default.
• Posizione: solo se l’utente consente e usa funzioni che la richiedono (es. mappa / tappe).
• Dispositivo e push: token di notifica (FCM/APNs), piattaforma.
• Dati tecnici minimi: log di sicurezza e di affidabilità del backend.

Finalità: erogazione del servizio, sincronizzazione tra partecipanti al viaggio, supporto utenti, sicurezza e prevenzione abusi. Non usiamo i dati per advertising tracking né IDFA.

2.1 Profilo e visibilità pubblica

Il profilo in app è privato di default: chi non è follower vede al massimo avatar, nome e username. Se lo rendi pubblico, le persone su TaleTrip (e i follower, se resti privato) possono vedere i viaggi che hai scelto di pubblicare e, di ciascun viaggio, solo i ricordi che l’autore ha reso pubblici.

• Spese, documenti, valigia e elenco partecipanti non compaiono sul profilo né in Esplora.
• Un ricordo marcato pubblico su un viaggio ancora privato resta visibile solo ai membri: la scelta si attiva se il viaggio viene pubblicato.
• Puoi tornare privato in qualsiasi momento. Un blocco interrompe follow e visibilità in entrambe le direzioni.
• I link di condivisione del diario sono un permesso a parte: non rendono il viaggio o il profilo pubblici.

2.2 Sicurezza, segnalazioni e legal hold

Per prevenire abusi e per obblighi di legge possiamo trattare, in modo limitato:

• Segnalazioni: categoria e identificativi del contenuto, non una copia dei byte.
• Moderazione: stato del contenuto (attivo, in quarantena, rimosso) distinto dalla cancellazione dell’utente.
• Legal hold: un oggetto sotto hold non viene cancellato da GC, erasure account o delete utente, finché un operatore autorizzato non lo rilascia.
• Log di accesso staff: chi ha rivelato un originale, con motivo e timestamp. Nessun pixel nei log.
• Known-hash: se abilitato, solo sui media in pubblicazione pubblica/share/Explore. I diari privati non vengono scansionati in blocco. LEGAL-REVIEW-REQUIRED per la base giuridica.

Lo staff vede metadati per default. Gli originali sensibili si aprono solo con ruolo child_safety, motivo e audit. Conservazione sotto hold: durata definita da policy legale esterna, non da questa pagina.

3. Basi giuridiche

• Esecuzione del contratto (art. 6.1.b GDPR): account, viaggi, spese, diario, sync.
• Consenso (art. 6.1.a): funzioni opzionali (es. analytics di utilizzo, diagnostica condivisa, accesso a foto/posizione/microfono/contatti solo quando serve).
• Legittimo interesse (art. 6.1.f): sicurezza, prevenzione frodi, stabilità del servizio, nei limiti di bilanciamento con i diritti dell’utente.

4. Permessi del dispositivo

Fotocamera, libreria foto, posizione, microfono, contatti e notifiche sono richiesti solo quando l’utente avvia la relativa funzione. Possono essere revocati dalle impostazioni di sistema.

5. Analisi utilizzo e diagnostica

Sono disattivate per impostazione predefinita e richiedono consenso separato. Con consenso, TaleTrip può registrare durata di sessione, piattaforma e conteggi aggregati di schermate. Non include contenuti del diario, posizione o identificatori pubblicitari. Le sessioni analytics sono eliminate dopo 90 giorni. Con lo stesso consenso registriamo anche i passi del percorso (per esempio onboarding completato, primo viaggio creato, primo ricordo aggiunto, invito inviato o accettato, recap condiviso, Esplora aperto, tappa o cosa da fare aggiunta): solo il nome dell’evento, la piattaforma, la versione dell’app e il giorno, associati al tuo account. Non contengono id di viaggi, ricordi o persone, testi, posizione o identificatori pubblicitari. Questi eventi sono eliminati dopo 180 giorni, vengono cancellati subito se revochi il consenso e sono inclusi nell’esportazione dei tuoi dati. La diagnostica locale resta sul dispositivo salvo condivisione esplicita dall’utente.

6. Destinatari e trasferimenti

• Supabase (UE o regione configurata sul progetto): database e autenticazione.
• Cloudflare (Pages / R2): hosting web, media e API edge.
• Firebase Cloud Messaging / Apple APNs: consegna notifiche push.
• Open-Meteo: servizio di previsioni meteo, qualità dell’aria e ricerca dei luoghi, interrogato senza account né identificatori. Le richieste passano prima dai server TaleTrip su Cloudflare, che le inoltrano senza il tuo indirizzo IP né altri dati del dispositivo: Open-Meteo riceve solo il nome dei luoghi cercati o coordinate arrotondate a circa 1 km — quelle dei luoghi del viaggio e, durante un viaggio in corso, della posizione del dispositivo solo se hai già concesso l’accesso alla posizione. Le risposte restano in una cache condivisa, non legata a nessun utente.
• Nager.Date, MeteoAlarm e Wikipedia: servizi pubblici interrogati dall’app, senza account né identificatori, per il blocco «Da sapere qui» del viaggio (giorni festivi, allerte meteo ufficiali, una curiosità sul luogo). Ricevono solo il codice del paese, l’anno o il nome della città, oltre all’indirizzo IP tecnico della richiesta; la posizione GPS non viene mai inviata.

Ove i dati transitino fuori SEE, si applicano le garanzie previste dai fornitori (es. SCC / DPA) e le misure di sicurezza tecniche (HTTPS, controllo accessi, cancellazione account).

7. Conservazione

I dati dell’account e dei viaggi restano finché l’account è attivo. Dopo la richiesta di cancellazione dall’app (Impostazioni → Privacy e dati → Elimina account e dati) i dati personali vengono anonimizzati o eliminati e i media associati vengono messi in coda di erasure. Log tecnici e analytics (se consentiti) hanno retention limitata (tipicamente fino a 90 giorni per le sessioni analytics e 180 giorni per gli eventi del percorso).

8. Diritti dell’interessato

Puoi accedere, rettificare, esportare (JSON dall’app), limitare, opporti e chiedere la cancellazione. Scrivi a taletrip@altervista.org o usa le funzioni in-app. Hai diritto di reclamo all’autorità di controllo (in Italia: Garante per la protezione dei dati personali).

9. Minori

TaleTrip non è destinato a minori di 13 anni (o all’età minima prevista nel paese di residenza). Non raccogliamo consapevolmente dati di minori sotto tale soglia.

10. Contenuti dell’utente e terzi

Foto, audio e testi del diario sono caricati dall’utente. L’utente resta responsabile dei contenuti che condivide con altri membri del viaggio, con chi segue il profilo o esplora i viaggi pubblici, o tramite link di condivisione. Immagini di copertina da fonti aperte (es. Wikimedia/Openverse) sono usate solo se l’utente abilita la funzione e nel rispetto delle rispettive licenze.

11. Modifiche

Eventuali aggiornamenti sostanziali saranno pubblicati su questa pagina con nuova data di versione. L’uso continuato del servizio dopo la pubblicazione costituisce presa visione, salvo obblighi di consenso aggiuntivo ove richiesto dalla legge.

1. Controller and contacts

The controller of personal data is the operator of the TaleTrip app.

For privacy requests, exercising your rights or complaints: taletrip@altervista.org.

Website / policy: https://taletripapp.pages.dev/privacy

2. Data processed and purposes

To provide and protect the service, TaleTrip processes:

• Account and profile: email, display name, username, profile picture, bio, profile visibility preference (private by default).
• Social graph: follow relationships (requested and accepted) and blocks, used to decide who can see public trips.
• Trip content: trips, members, expenses and shares, itineraries, documents uploaded by the user, diary notes, photos and (where used) voice notes. Every trip and every memory has a public visibility flag, off by default.
• Location: only if the user allows it and uses features that require it (e.g. map / stops).
• Device and push: notification token (FCM/APNs), platform.
• Minimal technical data: backend security and reliability logs.

Purposes: providing the service, syncing between trip participants, user support, security and abuse prevention. We do not use data for advertising tracking, and we do not use the IDFA.

2.1 Profile and public visibility

Your in-app profile is private by default: people who do not follow you see at most your avatar, name and username. If you make it public, people on TaleTrip (or your followers, if you stay private) can see the trips you chose to publish and, within each trip, only the memories their author made public.

• Expenses, documents, packing lists and the participant list do not appear on your profile or in Explore.
• A memory marked public inside a trip that is still private stays visible to members only: the choice takes effect if and when the trip is published.
• You can go back to private at any time. A block stops following and visibility in both directions.
• Diary share links are a separate permission: they do not make the trip or the profile public.

2.2 Safety, reports and legal hold

To prevent abuse and meet legal duties we may process, in a limited way:

• Reports: category and content identifiers, not a copy of the bytes.
• Moderation: content state (active, quarantined, removed), separate from user deletion.
• Legal hold: a held object is not deleted by GC, account erasure or user delete until an authorised operator releases it.
• Staff access logs: who revealed an original, with reason and timestamp. No pixels in logs.
• Known-hash: if enabled, only on media entering public/share/Explore. Private diaries are not blanket-scanned. LEGAL-REVIEW-REQUIRED for the legal basis.

Staff see metadata by default. Sensitive originals open only with the child_safety role, a reason and an audit record. Hold retention is set by external legal policy, not by this page.

3. Legal bases

• Performance of a contract (art. 6(1)(b) GDPR): account, trips, expenses, diary, sync.
• Consent (art. 6(1)(a)): optional features (e.g. usage analytics, shared diagnostics, access to photos/location/microphone/contacts only when needed).
• Legitimate interest (art. 6(1)(f)): security, fraud prevention, service stability, balanced against the user’s rights.

4. Device permissions

Camera, photo library, location, microphone, contacts and notifications are requested only when the user starts the related feature. They can be revoked from the system settings.

5. Usage analytics and diagnostics

They are off by default and require separate consent. With consent, TaleTrip may record session duration, platform and aggregate screen counts. This does not include diary content, location or advertising identifiers. Analytics sessions are deleted after 90 days. With the same consent we also record journey steps (for example onboarding completed, first trip created, first memory added, invite sent or accepted, recap shared, Explore opened, stop or to-do added): only the event name, the platform, the app version and the day, linked to your account. They contain no trip, memory or person ids, no text, location or advertising identifiers. These events are deleted after 180 days, are erased immediately if you withdraw consent, and are included in the export of your data. Local diagnostics stay on the device unless the user explicitly shares them.

6. Recipients and transfers

• Supabase (EU, or the region configured for the project): database and authentication.
• Cloudflare (Pages / R2): web hosting, media and edge API.
• Firebase Cloud Messaging / Apple APNs: push notification delivery.
• Open-Meteo: weather forecast, air quality and place search service, queried with no account or identifiers. Requests first go through TaleTrip servers on Cloudflare, which forward them without your IP address or any other device data: Open-Meteo only receives the names of searched places or coordinates rounded to about 1 km — those of the trip’s places and, during an ongoing trip, of the device location only if you have already granted location access. Responses are kept in a shared cache that is not linked to any user.
• Nager.Date, MeteoAlarm and Wikipedia: public services queried by the app, with no account or identifiers, for the trip’s “Good to know here” block (public holidays, official weather warnings, one fact about the place). They receive only the country code, the year or the city name, plus the technical IP address of the request; GPS location is never sent.

Where data travels outside the EEA, the safeguards provided by those vendors apply (e.g. SCCs / DPA), together with technical security measures (HTTPS, access control, account deletion).

7. Retention

Account and trip data stay for as long as the account is active. After a deletion request from the app (Settings → Privacy and data → Delete account and data) personal data is anonymised or deleted, and the associated media is queued for erasure. Technical logs and analytics (where consented) have limited retention (typically up to 90 days for analytics sessions and 180 days for journey events).

8. Your rights

You can access, rectify, export (as JSON from the app), restrict, object and request erasure. Write to taletrip@altervista.org or use the in-app features. You have the right to lodge a complaint with a supervisory authority (in Italy: Garante per la protezione dei dati personali).

9. Children

TaleTrip is not intended for children under 13 (or the minimum age set in their country of residence). We do not knowingly collect data from children below that threshold.

10. User content and third parties

Diary photos, audio and text are uploaded by the user. The user remains responsible for what they share with other trip members, with people who follow their profile or browse public trips, or through share links. Cover images from open sources (e.g. Wikimedia/Openverse) are used only if the user enables the feature, and in line with the respective licences.

11. Changes

Any substantial update will be published on this page with a new version date. Continued use of the service after publication counts as having been informed, without prejudice to any additional consent required by law.