Privacy Policy.
Slashy è un'app per tenere traccia delle spese condivise. Le servono un account e le spese che registri, nient'altro. Non vendiamo i tuoi dati, non mostriamo pubblicità, non usiamo i tuoi dati per addestrare modelli di intelligenza artificiale e non tocchiamo mai i tuoi soldi.
1. Chi siamo
Slashy è gestita congiuntamente da Edoardo Bertoli e Simone Bervicato, persone fisiche residenti in Italia. Insieme siamo i contitolari del trattamento dei dati personali descritti in questa pagina, ai sensi del Regolamento generale sulla protezione dei dati dell'UE (GDPR).
Puoi scriverci per qualsiasi domanda sulla privacy, o per esercitare i diritti descritti nella sezione 7, all'indirizzo support@slashy.eu. Rispondiamo entro 30 giorni.
Questa informativa riguarda le app Slashy per iOS e Android, l'API all'indirizzo
api.slashy.eu e questo sito.
2. Cosa raccogliamo
Il tuo account
- Indirizzo email. Quello con cui ti registri, oppure quello che Google o Apple ci comunicano quando usi i loro pulsanti di accesso. Se usi Nascondi la mia email di Apple, vediamo soltanto l'indirizzo di inoltro.
- Nome e cognome, così come li scrivi. Gli altri membri dei tuoi gruppi vedono questo nome.
- Foto profilo, solo se scegli di caricarne una.
- Preferenze: lingua, valuta predefinita, notifiche push attive o disattivate.
- Riferimenti di pagamento, solo se scegli di aggiungerli: un link Revolut, un link PayPal o un IBAN con il nome dell'intestatario. Servono a chi ti deve dei soldi per restituirteli dalla propria app bancaria. Sono visibili ai membri dei gruppi che hai in comune.
Non vediamo né conserviamo mai la tua password. L'accesso è gestito interamente dal nostro fornitore di autenticazione (vedi sezione 4).
Cosa registri nell'app
- Gruppi: nome, valuta, eventuale foto del gruppo e chi ne fa parte.
- Spese: descrizione, importo, valuta, tasso di cambio applicato, categoria, data, chi ha pagato e come è divisa la spesa.
- Pagamenti e debiti condonati che registri tra i membri.
- Commenti che scrivi su una spesa.
- Codici e link d'invito che generi.
Tutto quello che c'è in un gruppo è visibile a ogni membro del gruppo. È lo scopo del prodotto, ma conviene dirlo chiaramente: se registri di aver pagato 40 € per una cena, gli altri membri lo vedono.
Raccolti automaticamente
- Token push. Un identificativo del dispositivo emesso da Apple o Google, conservato solo se consenti le notifiche e cancellato quando le disattivi o elimini l'account.
- Log del server. Indirizzo IP, user agent del browser o dell'app, il percorso della richiesta e un orario. Li usiamo per correggere errori e bloccare abusi.
- Report degli arresti anomali (Sentry): lo stack trace, il modello del dispositivo, la versione del sistema operativo e dell'app. Configurati per non allegare il tuo nome, la tua email o l'identificativo del tuo account.
- Statistiche d'uso (Firebase Analytics): quali schermate vengono aperte, quante volte viene avviata l'app, il tipo di dispositivo e la regione a livello di paese, associati a un identificativo pseudonimo dell'installazione e non al tuo account. Su Android, Firebase può leggere anche l'ID pubblicità del dispositivo; non lo usiamo per la pubblicità e non usiamo reti pubblicitarie.
Cosa non raccogliamo mai
I tuoi contatti, la tua posizione, il tuo calendario, il microfono o la fotocamera oltre a una foto che scegli tu, i tuoi dati sanitari, le credenziali della tua carta o della tua banca. Non esiste un piano a pagamento, quindi non trattiamo alcun pagamento.
3. Su quale base li usiamo
| Dati | Finalità | Base giuridica (art. 6 GDPR) |
|---|---|---|
| Account, gruppi, spese, saldi | Fornirti il servizio che hai richiesto | Esecuzione di un contratto |
| Riferimenti di pagamento | Permettere agli altri di restituirti i soldi | Contratto, e sei tu a scegliere di aggiungerli |
| Token push | Avvisarti di nuove spese e pagamenti | Il tuo consenso, dato nella richiesta di permesso del sistema operativo |
| Log del server, report degli arresti anomali | Mantenere il servizio attivo, sicuro e correggibile | Legittimo interesse |
| Statistiche d'uso | Capire quali parti dell'app vengono usate | Legittimo interesse |
4. Chi altro li tratta
Ci appoggiamo a pochi fornitori di servizi. Agiscono secondo le nostre istruzioni e non possono usare i tuoi dati per scopi propri.
| Fornitore | Cosa fa | Dove |
|---|---|---|
| Contabo | Il server su cui gira l'API di Slashy e il database con il tuo account, i gruppi e le spese | Francia (UE) |
| Supabase | L'accesso: il tuo indirizzo email e le credenziali di login | Regione UE |
| Cloudflare | Questo sito, la protezione del traffico, l'archiviazione delle foto di profilo e dei gruppi (R2, giurisdizione UE) e i backup del database (R2) | UE |
| Google (Firebase) | Invio delle notifiche push e statistiche d'uso | UE e Stati Uniti |
| Sentry | Report degli arresti anomali | UE e Stati Uniti |
| Google, Apple | Accesso, solo se usi quei pulsanti; distribuzione dell'app | Stati Uniti |
Quando un fornitore tratta dati fuori dall'UE, il trasferimento si basa sulle Clausole contrattuali standard della Commissione europea.
Oltre a questi, non condividiamo nulla. Nessuna rete pubblicitaria, nessun data broker, nessuna vendita di dati personali secondo qualsiasi definizione, inclusa quella del CCPA. Comunicheremmo dati alle autorità solo se un ordine legittimo ci obbligasse a farlo.
5. Per quanto tempo li conserviamo
- Il tuo account e i tuoi contenuti: finché non elimini l'account.
- Token push: finché non disattivi le notifiche, il token non viene sostituito o l'account non viene eliminato.
- Log del server: restano nel buffer a rotazione della piattaforma di hosting. Non li archiviamo e non ne facciamo copie di backup.
- Chiavi anti-duplicato (servono a evitare che un tocco ripetuto crei la stessa spesa due volte): cancellate automaticamente dopo 24 ore.
- Backup del database: eseguiti ogni 6 ore; teniamo gli ultimi 14 giorni e quelli più vecchi vengono cancellati automaticamente.
6. Eliminare l'account
Nell'app: Profilo → Elimina account. Subito, e senza ulteriori conferme da parte nostra:
- il tuo nome viene sostituito con "Deleted user" e la tua email con un segnaposto inutilizzabile;
- la tua foto profilo viene cancellata dall'archivio;
- i tuoi riferimenti di pagamento (Revolut, PayPal, IBAN) vengono cancellati;
- i tuoi token push vengono cancellati;
- la tua identità di accesso viene cancellata, quindi l'account non potrà più essere usato.
Una cosa resta, ed è giusto che tu lo sappia prima di eliminare l'account: le spese, i pagamenti e i commenti che hai creato restano nei gruppi in cui li hai condivisi, attribuiti a "Deleted user". Toglierli cambierebbe di nascosto quanto si devono gli altri membri di quei gruppi, e non vogliamo riscrivere i conti di altre persone. Se vuoi far sparire una voce in particolare, eliminala nell'app prima di eliminare l'account, oppure scrivici.
7. I tuoi diritti
In base al GDPR puoi chiederci una copia dei tuoi dati, correggerli, cancellarli, limitarne il trattamento o opporti al modo in cui li usiamo, oppure farli trasferire a un altro fornitore. Puoi revocare in qualsiasi momento il consenso alle notifiche push dalle impostazioni del dispositivo.
Quasi tutto si fa direttamente nell'app: modifica il profilo per correggere i dati, elimina l'account per cancellarli. Per tutto il resto, scrivi a support@slashy.eu.
Se ritieni che abbiamo trattato male i tuoi dati, puoi presentare un reclamo all'autorità per la protezione dei dati del tuo paese. In Italia è il Garante per la protezione dei dati personali.
8. Sicurezza
Tutto il traffico è cifrato in transito con TLS. Le password sono conservate in forma cifrata (hash) dal nostro fornitore di autenticazione, mai da noi. Ogni richiesta all'API è autenticata con un token firmato a breve scadenza. Le foto stanno in un archivio privato e vengono servite tramite link a tempo, non tramite indirizzi pubblici.
Nessun sistema è perfettamente sicuro. Se trovi una vulnerabilità, scrivi a support@slashy.eu prima di renderla pubblica.
9. Minori
Slashy non è destinata a chi ha meno di 16 anni e non raccogliamo consapevolmente i loro dati. Se pensi che un minore abbia un account, scrivici e lo elimineremo.
10. Modifiche
Quando questa informativa cambia, aggiorniamo la data in cima alla pagina. Per una modifica che incide in modo sostanziale su come usiamo i tuoi dati, te lo comunicheremo anche nell'app prima che entri in vigore.