Aquilone · versione 3.1 · 6 ottobre 2026
In breve. Aquilone tratta due cose di te: le coordinate dei punti che vuoi sorvegliare — casa, e se vuoi una seconda posizione con il nome che le dai — e un identificativo del tuo telefono. Non chiede il tuo nome, non chiede il tuo numero, non ha account e non ha analitica. Delle posizioni non tiene nessuno storico: c'è l'ultima, e basta — anche di quella che le mandi mentre guidi, se accendi «Seguimi» sullo schermo dell'automobile (§2.1). Gli avvisi ti arrivano dal servizio di notifiche del telefono — Google su Android, Apple su iPhone —, che per consegnarli ne vede il testo (§4). Le mappe dell'app — la carta sotto il radar, sul telefono e sullo schermo dell'automobile, e la mappa in cui scegli casa — sono quelle di Google Maps, e Google vede la zona che stai guardando (§4). Puoi cancellare tutto da dentro l'app, e cancella davvero: restano solo le copie di sicurezza del server, finché scadono, e il codice d'invito che hai usato (§5, §6).
Il titolare del trattamento è Gianluca Barbaro, ditta individuale, Via Cantone di Sopra 6, 27010 Badia Pavese (PV), Italia — P. IVA IT03000180186, raggiungibile a me@barbaro.it.
Non è stato nominato un Responsabile della protezione dei dati, perché non ricorre nessuno dei casi previsti dall'art. 37 del Regolamento (UE) 2016/679: il trattamento non è svolto da un'autorità pubblica, non consiste in un monitoraggio regolare e sistematico su larga scala e non riguarda categorie particolari di dati.
| Dato | Perché | Per quanto |
|---|---|---|
| Un identificativo casuale del dispositivo (UUID), generato all'installazione | è l'unica identità del tuo telefono nel sistema: non è collegata a te, a un account o al tuo numero | fino alla cancellazione |
| Le impronte crittografiche del token di accesso e della credenziale del broker dei messaggi, più il nome utente del broker e il codice d'invito usato | autenticarti e impedire che un dispositivo legga i messaggi di un altro. Le credenziali in chiaro non sono conservate. Il broker lo usano solo le versioni dell'app consegnate a mano fino alla 0.6, e la sua credenziale sparirà con lui | fino alla cancellazione |
| L'indirizzo del telefono presso il servizio di notifiche — il token che Google o Apple assegnano all'app —, quale dei due servizi usare e l'ora in cui il telefono l'ha confermato l'ultima volta | consegnarti gli avvisi. È conservato in chiaro perché serve così per spedire; da solo non basta a mandare niente, senza le chiavi del servizio che abbiamo solo noi | fino alla cancellazione, oppure finché il servizio non dice che non vale più — app disinstallata, telefono ripristinato — e allora viene tolto |
| Le coordinate del punto di casa che hai scelto | è il punto sorvegliato: senza, l'app non ha niente da guardare | fino alla cancellazione, sovrascritte a ogni cambio: non ne resta uno storico |
| Le coordinate e il nome della posizione scelta, solo se ne scegli una da sorvegliare oltre a casa | calcolare gli avvisi anche lì, e chiamarla per nome nell'avviso | finché non ne scegli un'altra o la togli: sovrascritte, mai accumulate. Le altre posizioni che salvi restano sul telefono (§2.2). Con le versioni fino alla 0.6 questa è Seguimi, cioè dove ti trovi, e viene cancellata due ore dopo l'ultimo aggiornamento |
| Le coordinate di dove ti trovi mentre guidi, solo se accendi «Seguimi» sullo schermo dell'automobile (dalla versione 0.7.2, e solo su Android Auto) | darti gli avvisi e il radar del posto in cui sei, invece che di casa, mentre sei in viaggio. L'app le manda ogni cinquecento metri o ogni cinque minuti, e solo mentre Aquilone è aperto sullo schermo dell'automobile: a casella spenta, o con il telefono in tasca, non legge niente | ne resta una sola coordinata, sovrascritta a ogni aggiornamento e cancellata dopo quindici minuti senza notizie: nessuno storico di dove sei stato, nemmeno di un punto. Quando scendi torna la posizione che avevi scelto, con il suo nome |
| Versione dell'app, tipo di sistema, e gli orari di registrazione, ultimo contatto, presenza e autenticazione | dirti se l'app è troppo vecchia, e accorgersi di un telefono che ha smesso di ricevere. Un telefono che non si fa sentire per 24 ore smette di essere sorvegliato finché non torna | fino alla cancellazione |
| La versione di questa informativa e delle condizioni che hai accettato, e l'ora in cui l'accettazione è arrivata | sapere che le hai accettate, e chiedertele di nuovo quando cambiano (§10) | fino alla cancellazione. Si tiene solo l'ultima accettazione |
| Le tue preferenze (canali, ore di silenzio, notifica fissa) e una nota descrittiva che scriviamo noi per riconoscere il dispositivo | far comportare l'app come l'hai lasciata | fino alla cancellazione |
| Gli avvisi mandati al tuo telefono, con il loro testo | fartili rileggere quando apri l'app, anche se una notifica si è persa per strada | finché l'avviso vale; quelli scaduti vengono cancellati alla spedizione successiva |
| Il tuo indirizzo IP, quando si tenta una registrazione | limitare i tentativi di indovinare un codice d'invito (dieci ogni dieci minuti per indirizzo) | due giorni, poi la riga viene cancellata |
| Il tuo indirizzo IP in ogni richiesta e in ogni collegamento dell'app al server, con l'ora e l'indirizzo chiesto, nei registri del server di ingresso. Gli indirizzi che l'app chiede non contengono coordinate | difendere il servizio dagli abusi e capire un guasto (§3) | al più cinque settimane; le righe dei registri degli errori al più undici. Poi i registri vengono cancellati |
| Le segnalazioni che mandi — fenomeno, ora approssimata e due righe di testo libero | è l'unico dato che il radar non sa produrre da sé: sapere che cosa è successo davvero quando l'app non ha avvisato | a tempo indeterminato, come registro di misura (§5) |
| Il registro degli avvisi: ora, canale, distanza, stime e — se hai risposto — la tua risposta | misurare se il sistema funziona. È la ragione per cui questo esperimento esiste | a tempo indeterminato, come registro di misura (§5) |
Una precisazione onesta sul registro degli avvisi.
Le sue righe non contengono coordinate, né il tuo UUID per intero.
Contengono però un'etichetta del punto nella forma
d-1a2b3c4d-2, in cui la parte centrale sono
otto caratteri del tuo identificativo. È quindi un
dato pseudonimo, non anonimo: finché esiste la tua
registrazione, quelle righe sono riconducibili al tuo dispositivo.
Chiedendo la cancellazione (§6) sparisce la corrispondenza fra
etichetta e dispositivo, e da quel momento quelle righe non sono
più collegabili a te da noi, se non attraverso le copie di
sicurezza e il codice d'invito che hai usato, finché restano
(§5, §6).
Disinstallando l'app, tutto questo sparisce con lei. Non ci arriva e non lo vediamo.
I dati servono a tre cose e a nessun'altra: farti arrivare l'avviso, tenere in piedi l'esperimento e difendere il servizio — il codice d'invito da chi provasse a indovinarlo, il server dagli abusi.
La base giuridica è il tuo consenso (art. 6, par. 1, lett. a del Regolamento), che presti accettando le condizioni alla prima apertura dell'app e che puoi revocare in qualsiasi momento con «Cancella i miei dati» (§6). La revoca non pregiudica quanto è stato trattato prima.
Fanno eccezione i registri del server di ingresso (§2.1), che si tengono per legittimo interesse (art. 6, par. 1, lett. f): senza, non si difende il servizio da un abuso e non si capisce un guasto. Durano poche settimane e non servono ad altro.
⛔ Nessuna profilazione, nessuna decisione automatizzata sulle persone, nessuna pubblicità, nessuna analitica, nessun dato venduto o ceduto a scopo commerciale. Non esiste alcun uso secondario delle posizioni: servono a calcolare l'avviso e a nient'altro.
| Chi | Che cosa | A che titolo |
|---|---|---|
| Aruba S.p.A. | ospita il server dedicato su cui gira il sistema, in Italia | responsabile del trattamento, nominato nel contratto di fornitura |
| Google, per le mappe | le mappe dell'app sono Google Maps: la carta sotto il radar, sul telefono e sullo schermo dell'automobile, e la mappa in cui scegli casa. A disegnarle è il tuo telefono: quando apri quelle schermate, Google riceve il tuo indirizzo IP e la zona che stai guardando. Sotto il radar è un riquadro largo fino a 120 km intorno al punto che sorvegli; nella mappa in cui scegli casa è di poche centinaia di metri, cioè in pratica dove abiti. Non riceve il tuo identificativo presso di noi, né i tuoi avvisi. La parte di Google dentro l'app raccoglie anche, per conto suo, dati tecnici: un proprio identificativo, i dati dei malfunzionamenti e delle prestazioni, e come usi la mappa | titolare autonomo, secondo la propria informativa e i Google Maps/Google Earth Additional Terms of Service |
| Google, per le notifiche su Android | gli avvisi, e la notifica fissa se la tieni accesa, arrivano attraverso Firebase Cloud Messaging. Google riceve l'indirizzo del telefono presso il servizio e il contenuto del messaggio: titolo e testo dell'avviso — con il nome della posizione, se riguarda quella —, il fenomeno, la distanza, gli orari stimati e l'etichetta del punto descritta al §2.1. Mai le coordinate. Per ricevere, la parte di Google dentro l'app crea anche un identificativo dell'installazione, casuale, e solo dopo che ti sei registrato. «Cancella i miei dati» chiede a Google di toglierlo (§6) | responsabile del trattamento, secondo i termini di Firebase sul trattamento dei dati |
| Apple, per le notifiche su iPhone | gli avvisi arrivano attraverso il servizio di notifiche di Apple, che riceve l'indirizzo del telefono e lo stesso contenuto. Mai le coordinate | titolare autonomo — per l'Europa Apple Distribution International, in Irlanda —, secondo la propria informativa: il contratto per sviluppatori di Apple non la nomina responsabile per nostro conto |
| Google e Apple, per la posizione | quando prendi la posizione dal telefono, l'app usa i servizi di localizzazione del sistema: Google Play Services su Android, quelli di Apple su iPhone. Sono componenti del tuo dispositivo, non servizi a cui inviamo dati | titolari autonomi, secondo la propria informativa |
Il testo dell'avviso lo vede chi lo consegna. Il messaggio viaggia cifrato fino a Google o ad Apple, e da loro al telefono, ma non è cifrato da capo a capo: il servizio ne può leggere il contenuto. È il prezzo di un avviso che arriva anche a telefono addormentato e ad app chiusa. Per questo il messaggio non contiene coordinate, né il tuo identificativo per intero.
Nessun altro. Da parte nostra i dati restano in Italia. Google e Apple possono però trattare i messaggi di notifica anche fuori dallo Spazio economico europeo, compresi gli Stati Uniti. Per Google il trasferimento è coperto dall'EU-U.S. Data Privacy Framework e dalle clausole contrattuali tipo previste dai termini di Firebase; per Apple dalle clausole contrattuali tipo, come dice la sua informativa.
I tempi sono nella tabella del §2. In sintesi: le posizioni non hanno storico, e quella scelta resta finché non la cambi (con le versioni fino alla 0.6, quella di Seguimi scade in due ore; quella che l'app manda mentre guidi, se accendi «Seguimi» sullo schermo dell'automobile, scade in un quarto d'ora); l'indirizzo IP di un tentativo di registrazione dura due giorni, quello nei registri del server al più cinque settimane (undici per gli errori); gli avvisi da rileggere durano quanto l'avviso; tutto il resto della tua registrazione resta finché non la cancelli. Presso Google e Apple i tempi sono quelli dei loro termini.
Fanno eccezione il registro degli avvisi e le segnalazioni, che sono la misura dell'esperimento e non vengono riscritti né cancellati: senza di loro non si potrebbe più dire se il sistema abbia funzionato. Non contengono coordinate; il collegamento con il tuo dispositivo passa dall'etichetta descritta al §2.1 e si interrompe con la cancellazione, salvo le copie di sicurezza e il codice d'invito (§2.1, §6).
Le copie di sicurezza. Il database del server, con la tua registrazione dentro, finisce anche nelle copie che servono a rimetterlo in piedi dopo un guasto, su macchine nostre in Italia: una copia ogni notte, tenuta trenta giorni; il salvataggio dell'intero server ogni sera, di cui si tengono quelli degli ultimi giorni, poi uno a settimana, uno al mese e uno all'anno, fino a due anni; e il salvataggio della macchina che tiene le copie notturne, al più quattro mesi. Le copie servono a ripristinare il servizio e, a volte, a rifare sul nostro server di prova una misura della produzione. Non vanno a nessun altro, e scadono da sole.
Quando l'esperimento finirà, i dati delle persone verranno cancellati. Di questi registri resterà, al più, la parte che a quel punto non è più riconducibile a nessuno.
Nelle impostazioni dell'app c'è «Cancella i miei dati». Rimuove dal server la tua registrazione, le coordinate di casa, della posizione scelta e dell'ultimo punto mandato dall'automobile, le tue preferenze, l'indirizzo per le notifiche, gli avvisi da rileggere e la credenziale del broker, e svuota l'archivio cifrato sul telefono, posizioni salvate comprese. Non è una richiesta che qualcuno deve evadere: succede.
Su Android chiede anche a Google di cancellare l'indirizzo per le notifiche e l'identificativo dell'installazione (§4): Google smette di usarli nel giro di un paio di giorni e li toglie dai suoi sistemi, copie di sicurezza comprese, entro 180 giorni. L'app non ne chiede di nuovi finché non ti registri un'altra volta.
Non tocca i registri del server di ingresso, che scadono da soli nei tempi del §2.1, né le copie di sicurezza del server, che scadono da sole nei tempi del §5. E fra i codici d'invito resta quello che hai usato, con il nome con cui ce lo siamo segnato quando te l'abbiamo dato: lo eliminiamo se ce lo chiedi.
In alternativa, o per qualunque altra cosa, scrivi a me@barbaro.it: rispondiamo entro 30 giorni.
Puoi chiedere in ogni momento l'accesso ai tuoi dati, la loro rettifica o cancellazione, la limitazione del trattamento, la portabilità, e puoi opporti al trattamento o revocare il consenso (artt. 15-22 del Regolamento).
Se ritieni che il trattamento violi il Regolamento puoi proporre reclamo al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma — garanteprivacy.it.
Aquilone non è destinato a persone di età inferiore ai 16 anni, e non chiede né verifica l'età perché non raccoglie dati anagrafici. Si entra su invito personale: chi invita sa chi sta invitando.
La versione nuova compare a questo indirizzo con una data nuova. Se il cambiamento riguarda che cosa viene trattato, perché, o chi altro lo vede, l'app te lo chiede di nuovo alla prima apertura utile: non si cambiano le regole in silenzio.