Aquilone · versione 2.0 · 16 settembre 2026
In breve. Aquilone tratta due cose di te: le coordinate dei punti che vuoi sorvegliare — casa, e se vuoi una seconda posizione con il nome che le dai — e un identificativo del tuo telefono. Non chiede il tuo nome, non chiede il tuo numero, non ha account e non ha analitica. Delle posizioni non tiene nessuno storico: c'è l'ultima, e basta. Gli avvisi ti arrivano dal servizio di notifiche del telefono — Google su Android, Apple su iPhone —, che per consegnarli ne vede il testo (§4). Puoi cancellare tutto da dentro l'app, e cancella davvero.
Il titolare del trattamento è Gianluca Barbaro, ditta individuale, Via Cantone di Sopra 6, 27010 Badia Pavese (PV), Italia — P. IVA IT03000180186, raggiungibile a me@barbaro.it.
Non è stato nominato un Responsabile della protezione dei dati, perché non ricorre nessuno dei casi previsti dall'art. 37 del Regolamento (UE) 2016/679: il trattamento non è svolto da un'autorità pubblica, non consiste in un monitoraggio regolare e sistematico su larga scala e non riguarda categorie particolari di dati.
| Dato | Perché | Per quanto |
|---|---|---|
| Un identificativo casuale del dispositivo (UUID), generato all'installazione | è l'unica identità del tuo telefono nel sistema: non è collegata a te, a un account o al tuo numero | fino alla cancellazione |
| Le impronte crittografiche del token di accesso e della credenziale del broker dei messaggi, più il nome utente del broker e il codice d'invito usato | autenticarti e impedire che un dispositivo legga i messaggi di un altro. Le credenziali in chiaro non sono conservate. Il broker lo usano solo le versioni dell'app consegnate a mano fino alla 0.6, e la sua credenziale sparirà con lui | fino alla cancellazione |
| L'indirizzo del telefono presso il servizio di notifiche — il token che Google o Apple assegnano all'app —, quale dei due servizi usare e l'ora in cui il telefono l'ha confermato l'ultima volta | consegnarti gli avvisi. È conservato in chiaro perché serve così per spedire; da solo non basta a mandare niente, senza le chiavi del servizio che abbiamo solo noi | fino alla cancellazione, oppure finché il servizio non dice che non vale più — app disinstallata, telefono ripristinato — e allora viene tolto |
| Le coordinate del punto di casa che hai scelto | è il punto sorvegliato: senza, l'app non ha niente da guardare | fino alla cancellazione, sovrascritte a ogni cambio: non ne resta uno storico |
| Le coordinate e il nome della posizione scelta, solo se ne scegli una da sorvegliare oltre a casa | calcolare gli avvisi anche lì, e chiamarla per nome nell'avviso | finché non ne scegli un'altra o la togli: sovrascritte, mai accumulate. Le altre posizioni che salvi restano sul telefono (§2.2). Con le versioni fino alla 0.6 questa è Seguimi, cioè dove ti trovi, e viene cancellata due ore dopo l'ultimo aggiornamento |
| Versione dell'app, tipo di sistema, e gli orari di registrazione, ultimo contatto, presenza e autenticazione | dirti se l'app è troppo vecchia, e accorgersi di un telefono che ha smesso di ricevere. Un telefono che non si fa sentire per 24 ore smette di essere sorvegliato finché non torna | fino alla cancellazione |
| La versione di questa informativa e delle condizioni che hai accettato, e l'ora in cui l'accettazione è arrivata | sapere che le hai accettate, e chiedertele di nuovo quando cambiano (§10) | fino alla cancellazione. Si tiene solo l'ultima accettazione |
| Le tue preferenze (canali, ore di silenzio, notifica fissa) e una nota descrittiva che scriviamo noi per riconoscere il dispositivo | far comportare l'app come l'hai lasciata | fino alla cancellazione |
| Gli avvisi mandati al tuo telefono, con il loro testo | fartili rileggere quando apri l'app, anche se una notifica si è persa per strada | finché l'avviso vale; quelli scaduti vengono cancellati alla spedizione successiva |
| Il tuo indirizzo IP, quando si tenta una registrazione | limitare i tentativi di indovinare un codice d'invito (dieci ogni dieci minuti per indirizzo) | due giorni, poi la riga viene cancellata |
| Il tuo indirizzo IP in ogni richiesta e in ogni collegamento dell'app al server, con l'ora e l'indirizzo chiesto, nei registri del server di ingresso. Gli indirizzi che l'app chiede non contengono coordinate | difendere il servizio dagli abusi e capire un guasto (§3) | al più cinque settimane; le righe dei registri degli errori al più undici. Poi i registri vengono cancellati |
| Le segnalazioni che mandi — fenomeno, ora approssimata e due righe di testo libero | è l'unico dato che il radar non sa produrre da sé: sapere che cosa è successo davvero quando l'app non ha avvisato | a tempo indeterminato, come registro di misura (§5) |
| Il registro degli avvisi: ora, canale, distanza, stime e — se hai risposto — la tua risposta | misurare se il sistema funziona. È la ragione per cui questo esperimento esiste | a tempo indeterminato, come registro di misura (§5) |
Una precisazione onesta sul registro degli avvisi.
Le sue righe non contengono coordinate, né il tuo UUID per intero.
Contengono però un'etichetta del punto nella forma
d-1a2b3c4d-2, in cui la parte centrale sono
otto caratteri del tuo identificativo. È quindi un
dato pseudonimo, non anonimo: finché esiste la tua
registrazione, quelle righe sono riconducibili al tuo dispositivo.
Chiedendo la cancellazione (§6) sparisce la corrispondenza fra
etichetta e dispositivo, e da quel momento quelle righe non sono
più collegabili a te da noi.
Disinstallando l'app, tutto questo sparisce con lei. Non ci arriva e non lo vediamo.
I dati servono a tre cose e a nessun'altra: farti arrivare l'avviso, tenere in piedi l'esperimento e difendere il servizio — il codice d'invito da chi provasse a indovinarlo, il server dagli abusi.
La base giuridica è il tuo consenso (art. 6, par. 1, lett. a del Regolamento), che presti accettando le condizioni alla prima apertura dell'app e che puoi revocare in qualsiasi momento con «Cancella i miei dati» (§6). La revoca non pregiudica quanto è stato trattato prima.
Fanno eccezione i registri del server di ingresso (§2.1), che si tengono per legittimo interesse (art. 6, par. 1, lett. f): senza, non si difende il servizio da un abuso e non si capisce un guasto. Durano poche settimane e non servono ad altro.
⛔ Nessuna profilazione, nessuna decisione automatizzata sulle persone, nessuna pubblicità, nessuna analitica, nessun dato venduto o ceduto a scopo commerciale. Non esiste alcun uso secondario delle posizioni: servono a calcolare l'avviso e a nient'altro.
| Chi | Che cosa | A che titolo |
|---|---|---|
| Aruba S.p.A. | ospita il server dedicato su cui gira il sistema, in Italia | responsabile del trattamento, nominato nel contratto di fornitura |
| OpenStreetMap Foundation | quando apri la schermata della mappa, è il tuo telefono a scaricare le mattonelle: il tuo indirizzo IP arriva a loro | titolare autonomo, secondo la propria informativa |
| Google, per le notifiche su Android | gli avvisi, e la notifica fissa se la tieni accesa, arrivano attraverso Firebase Cloud Messaging. Google riceve l'indirizzo del telefono presso il servizio e il contenuto del messaggio: titolo e testo dell'avviso — con il nome della posizione, se riguarda quella —, il fenomeno, la distanza, gli orari stimati e l'etichetta del punto descritta al §2.1. Mai le coordinate. Per ricevere, la parte di Google dentro l'app crea anche un identificativo dell'installazione, casuale, e solo dopo che ti sei registrato. «Cancella i miei dati» chiede a Google di toglierlo (§6) | responsabile del trattamento, secondo i termini di Firebase sul trattamento dei dati |
| Apple, per le notifiche su iPhone | gli avvisi arrivano attraverso il servizio di notifiche di Apple, che riceve l'indirizzo del telefono e lo stesso contenuto. Mai le coordinate | titolare autonomo — per l'Europa Apple Distribution International, in Irlanda —, secondo la propria informativa: il contratto per sviluppatori di Apple non la nomina responsabile per nostro conto |
| Google e Apple, per la posizione | quando prendi la posizione dal telefono, l'app usa i servizi di localizzazione del sistema: Google Play Services su Android, quelli di Apple su iPhone. Sono componenti del tuo dispositivo, non servizi a cui inviamo dati | titolari autonomi, secondo la propria informativa |
Il testo dell'avviso lo vede chi lo consegna. Il messaggio viaggia cifrato fino a Google o ad Apple, e da loro al telefono, ma non è cifrato da capo a capo: il servizio ne può leggere il contenuto. È il prezzo di un avviso che arriva anche a telefono addormentato e ad app chiusa. Per questo il messaggio non contiene coordinate, né il tuo identificativo per intero.
Nessun altro. Da parte nostra i dati restano in Italia. Google e Apple possono però trattare i messaggi di notifica anche fuori dallo Spazio economico europeo, compresi gli Stati Uniti. Per Google il trasferimento è coperto dall'EU-U.S. Data Privacy Framework e dalle clausole contrattuali tipo previste dai termini di Firebase; per Apple dalle clausole contrattuali tipo, come dice la sua informativa.
I tempi sono nella tabella del §2. In sintesi: le posizioni non hanno storico, e quella scelta resta finché non la cambi (con le versioni fino alla 0.6, quella di Seguimi scade in due ore); l'indirizzo IP di un tentativo di registrazione dura due giorni, quello nei registri del server al più cinque settimane (undici per gli errori); gli avvisi da rileggere durano quanto l'avviso; tutto il resto della tua registrazione resta finché non la cancelli. Presso Google e Apple i tempi sono quelli dei loro termini.
Fanno eccezione il registro degli avvisi e le segnalazioni, che sono la misura dell'esperimento e non vengono riscritti né cancellati: senza di loro non si potrebbe più dire se il sistema abbia funzionato. Non contengono coordinate; il collegamento con il tuo dispositivo passa dall'etichetta descritta al §2.1 e si interrompe con la cancellazione.
Quando l'esperimento finirà, i dati delle persone verranno cancellati. Di questi registri resterà, al più, la parte che a quel punto non è più riconducibile a nessuno.
Nelle impostazioni dell'app c'è «Cancella i miei dati». Rimuove dal server la tua registrazione, le coordinate di casa e della posizione scelta, le tue preferenze, l'indirizzo per le notifiche, gli avvisi da rileggere e la credenziale del broker, e svuota l'archivio cifrato sul telefono, posizioni salvate comprese. Non è una richiesta che qualcuno deve evadere: succede.
Su Android chiede anche a Google di cancellare l'indirizzo per le notifiche e l'identificativo dell'installazione (§4): Google smette di usarli nel giro di un paio di giorni e li toglie dai suoi sistemi, copie di sicurezza comprese, entro 180 giorni. L'app non ne chiede di nuovi finché non ti registri un'altra volta.
Non tocca i registri del server di ingresso, che scadono da soli nei tempi del §2.1.
In alternativa, o per qualunque altra cosa, scrivi a me@barbaro.it: rispondiamo entro 30 giorni.
Puoi chiedere in ogni momento l'accesso ai tuoi dati, la loro rettifica o cancellazione, la limitazione del trattamento, la portabilità, e puoi opporti al trattamento o revocare il consenso (artt. 15-22 del Regolamento).
Se ritieni che il trattamento violi il Regolamento puoi proporre reclamo al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma — garanteprivacy.it.
Aquilone non è destinato a persone di età inferiore ai 16 anni, e non chiede né verifica l'età perché non raccoglie dati anagrafici. Si entra su invito personale: chi invita sa chi sta invitando.
La versione nuova compare a questo indirizzo con una data nuova. Se il cambiamento riguarda che cosa viene trattato o perché, l'app te lo chiede di nuovo alla prima apertura utile: non si cambiano le regole in silenzio.