Informativa sulla Privacy

1. Titolare del trattamento

Il Titolare del trattamento dei dati personali è:

VRoom
Progetto in fase di beta testing gratuito.
Email: privacy@vroomapp.dev

I dati identificativi completi del Titolare (ragione sociale, sede legale, P.IVA) saranno pubblicati con la costituzione dell'entità giuridica, prevista prima del lancio commerciale. Fino a quel momento, ogni comunicazione relativa al trattamento dei dati personali può essere indirizzata all'email sopra indicata.

2. Dati raccolti e finalità

VRoom adotta un approccio privacy by design: i calcoli avvengono sul dispositivo (edge computing), i dati grezzi non lasciano mai il telefono e ogni condivisione richiede consenso esplicito.

2.1 Posizione GPS

2.2 Contatti

I contatti di emergenza vengono memorizzati esclusivamente sul dispositivo. Non vengono mai trasmessi a server esterni. L'accesso alla rubrica viene richiesto solo per facilitare la selezione dei contatti di emergenza.

2.3 Microfono

2.4 Sensori di movimento

I dati dei sensori vengono elaborati in tempo reale sul dispositivo per calcolare telemetria e rilevare eventuali cadute. Solo gli aggregati calcolati (es. piega media, G-force massima) possono essere sincronizzati con il server come parte delle statistiche del ride.

2.5 Dati di autenticazione

2.6 Dati sincronizzati con il server

2.7 Comunicazione BLE Radio (Crew)

2.8 Dati NON raccolti

VRoom non raccoglie:

• Registrazioni audio o video
• Dati di navigazione internet o cronologia browser
• Identificativi pubblicitari (AAID/IDFA)
• Dati biometrici
• Dati di pagamento (gestiti interamente da Google Play)

3. Base giuridica del trattamento

Ai sensi dell'art. 6 del Regolamento (UE) 2016/679 (GDPR), i dati vengono trattati sulla base di:

4. Conservazione dei dati

VRoom applica il principio di minimizzazione della conservazione (GDPR Art. 5.1.e). Ogni tipo di dato ha una durata di conservazione specifica:

TTL degli alert comunitari

5. Condivisione con terzi

VRoom non vende, noleggia o cede i dati personali a terzi per scopi di marketing o profilazione pubblicitaria.

Per l'erogazione del servizio, i seguenti sub-responsabili trattano dati per conto del Titolare:

Trasferimenti extra-UE

I dati trasferiti verso gli Stati Uniti (Google, Mapbox) sono protetti da Standard Contractual Clauses (SCC) approvate dalla Commissione Europea ai sensi dell'art. 46.2.c del GDPR. L'utente può richiedere copia delle clausole contrattuali scrivendo a privacy@vroomapp.dev.

6. Diritti dell'utente (GDPR Art. 15-22)

In conformità al Regolamento (UE) 2016/679, l'utente ha i seguenti diritti:

Procedura di cancellazione account

Alla richiesta di cancellazione dell'account, VRoom esegue le seguenti operazioni:

1. Cancellazione dell'account Firebase Auth e di tutti i dati di autenticazione
2. Cancellazione di tutti i ride e relative statistiche dal server
3. Rimozione da tutti i Room/crew (con eventuale trasferimento di amministrazione)
4. Anonimizzazione degli alert segnalati (rimozione dell'identità, mantenimento dell'alert per la sicurezza della community)
5. Cancellazione del punteggio reputazione
6. Cancellazione degli inviti creati dall'utente
7. Anonimizzazione dei report di moderazione (rimozione dell'identità del segnalante)
8. Pulizia di eventuali sessioni live non terminate correttamente
9. Notifica all'utente di cancellare i dati locali dal dispositivo (disinstallazione app o cancellazione dati app)

I GPX comunitari già anonimizzati non vengono cancellati in quanto non più riconducibili all'utente (dato anonimo, non soggetto a GDPR).

7. Sicurezza

VRoom adotta misure tecniche e organizzative appropriate per proteggere i dati personali (GDPR Art. 32):

Sul dispositivo

• Crittografia delle chiavi API: Le chiavi sensibili (BYOK Mapbox) sono memorizzate tramite Android Keystore e EncryptedSharedPreferences, protette dalla crittografia hardware del dispositivo.
• Elaborazione locale: Tracce GPS grezze, audio vocale e dati dei sensori non lasciano mai il dispositivo. Tutti i calcoli (curve, piega, caduta) avvengono localmente.
• Database locale cifrato: I dati locali sono memorizzati in un database Room protetto dalla crittografia del file system Android.

In transito

• TLS/HTTPS: Tutte le comunicazioni tra l'app e i server avvengono tramite connessioni cifrate TLS 1.2+.
• Firebase App Check: Verifica l'integrità dell'app per prevenire accessi non autorizzati alle API.
• Certificate pinning: Protezione aggiuntiva contro attacchi man-in-the-middle (ove applicabile).

Sul server

• Firebase/Google Cloud: Infrastruttura certificata ISO 27001, SOC 2, con crittografia at-rest e in-transit.
• Regole di sicurezza Firestore: Accesso ai dati limitato per utente autenticato. Ogni utente può accedere solo ai propri dati e ai dati dei Room di cui è membro.
• Rate limiting: Protezione contro abusi sulle API (segnalazione alert, inviti, report).
• Anonimizzazione: I dati comunitari (alert, GPX pubblici) vengono anonimizzati prima della pubblicazione.

Principio di minimizzazione

• Le posizioni live vengono sovrascritte (non accumulate) ogni 5 secondi e cancellate a fine sessione.
• I Firebase UID vengono hashati quando inclusi nei metadati GPX.
• Il punteggio reputazione non è mai visibile agli altri utenti.
• I report di moderazione possono contenere testo libero: gli utenti sono invitati a non includere dati personali di terzi.

8. Minori

VRoom non è destinata a minori di 14 anni. Ai sensi dell'art. 2-quinquies del D.Lgs. 196/2003 (Codice Privacy italiano), il consenso al trattamento dei dati personali tramite servizi della società dell'informazione è valido a partire dai 14 anni di età.

VRoom non raccoglie consapevolmente dati personali di minori di 14 anni. Se il Titolare viene a conoscenza di aver raccolto dati di un minore di 14 anni senza il consenso del genitore o tutore, provvederà alla cancellazione tempestiva di tali dati.

Per segnalare la presenza di un account di un minore di 14 anni, contattare privacy@vroomapp.dev.

9. Decisioni automatizzate e profilazione

Ai sensi dell'art. 22 del GDPR, VRoom non adotta decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici o incidano significativamente sull'utente.

Il punteggio reputazione associato alle segnalazioni di alert comunitari è calcolato automaticamente sulla base della qualità delle segnalazioni (conferme vs. negazioni da parte di altri utenti). Questo punteggio:

• Non è visibile all'utente né ad altri utenti
• Viene utilizzato esclusivamente per ordinare gli alert e filtrare potenziale spam
• Non comporta decisioni con effetti giuridici (non blocca l'accesso al servizio)
• Può essere azzerato su richiesta e viene cancellato con l'account

L'utente ha diritto di opporsi a questo trattamento ai sensi dell'art. 21 GDPR, contattando il Titolare.

10. Modifiche alla policy

Il Titolare si riserva il diritto di modificare la presente Informativa in qualsiasi momento, per adeguamenti normativi, nuove funzionalità o esigenze tecniche. Le modifiche saranno comunicate attraverso:

• Banner informativo all'apertura dell'app con richiesta di presa visione
• Aggiornamento della data di "Ultimo aggiornamento" in calce a questo documento

L'uso continuato dell'app dopo la notifica delle modifiche costituisce accettazione della versione aggiornata. In caso di modifiche sostanziali (nuovi tipi di dati raccolti, nuove finalità di trattamento, condivisione con nuove categorie di terzi), l'utente sarà informato con almeno 15 giorni di anticipo e potrà cessare l'utilizzo del servizio prima dell'entrata in vigore delle modifiche. Per gli utenti con abbonamento attivo, le modifiche sostanziali non si applicheranno al periodo di abbonamento già pagato, salvo obbligo di legge.

11. Contatti

Per esercitare i propri diritti o per qualsiasi domanda relativa al trattamento dei dati personali:

Email: privacy@vroomapp.dev
Oggetto suggerito: "Richiesta privacy - [tipo di richiesta]"

Il Titolare si impegna a rispondere entro 30 giorni dalla ricezione della richiesta, come previsto dall'art. 12.3 GDPR. In casi di particolare complessità, il termine può essere prorogato di ulteriori 60 giorni, previa comunicazione motivata all'interessato.

Autorità di controllo competente:

Garante per la protezione dei dati personali
Piazza Venezia 11, 00187 Roma
www.garanteprivacy.it
Email: protocollo@gpdp.it