Introduzione e titolare del trattamento
Benvenuto in Odyssey Journal («noi», «nostro» o l’«App»). Rispettiamo la sua privacy e ci impegniamo a proteggere i suoi dati personali nel pieno rispetto della Legge turca sulla protezione dei dati personali (KVKK — Legge n. 6698), del Regolamento generale sulla protezione dei dati (GDPR — UE 2016/679) e del California Consumer Privacy Act (CCPA).
La presente Informativa spiega come raccogliamo, utilizziamo, conserviamo, trattiamo e proteggiamo le sue informazioni quando utilizza la nostra applicazione mobile e i servizi web collegati all’indirizzo odysseyjournal.app.
- Titolare del trattamento: Arif Gültaş
- Contatto per la protezione dei dati e la privacy: privacy@odysseyjournal.app
- Assistenza generale: support@odysseyjournal.app
- Sito ufficiale: odysseyjournal.app
La presente Informativa sulla privacy ha lo scopo di informarLa; non è un contratto e non Le viene chiesto di accettarla. Quando ci basiamo sul Suo consenso, lo chiediamo separatamente nell’App (vedi sezione 4), e può revocarlo in qualsiasi momento.
Informazioni che raccogliamo
Raccogliamo i dati personali con mezzi elettronici, tramite l’App e il sito web: in parte direttamente da Lei, quando li inserisce, e in parte automaticamente mentre li utilizza (sezione 2B).
A. Informazioni fornite volontariamente
- Credenziali e profilo dell’account: indirizzo e-mail, password (sottoposta ad hashing e salting sicuri tramite Supabase Auth), nome utente, nome completo, biografia del profilo, immagine dell’avatar, un link facoltativo a un sito web, la lingua scelta per l’app e le preferenze di notifica.
- Posizione di casa (facoltativa): se accetta la richiesta mostrata dopo il primo accesso, le coordinate, la città e il paese della sua abitazione vengono salvati nel suo account, dove solo lei può leggerli. Servono soltanto a calcolare la distanza sulla sua carta d’imbarco. Gli altri utenti non li vedono mai; vedono solo quel valore di distanza, che per loro viene calcolato a partire da una versione approssimata (arrotondata) della sua posizione di casa. Può saltare la richiesta.
- Contenuti generati dagli utenti (UGC): post di viaggio, racconti, fotografie e relative didascalie, categorie, il meteo registrato con un post, commenti, segnalibri, raccolte, reazioni («mi piace»), date di viaggio e, facoltativamente, luoghi. I post sono pubblici: ogni utente dell’App che ha effettuato l’accesso può vederli, insieme al loro luogo. Le raccolte possono essere rese private.
- Attività social: gli account che segue e che la seguono, gli utenti che blocca, le segnalazioni che invia (con il motivo, l’eventuale testo aggiunto e l’account a cui si riferiscono) e la cronologia delle ricerche, conservata nel suo account per mostrarle le ricerche recenti.
- Comunicazioni dirette: messaggi privati tra viaggiatori all’interno dell’app («Lettere»), richieste di messaggio e relative approvazioni, e comunicazioni di assistenza inviate ai nostri indirizzi e-mail.
B. Dati tecnici raccolti automaticamente
- Informazioni sul dispositivo: sistema operativo e versione, versione dell’app e, solo se consente le notifiche, il token di notifica push del dispositivo. I rapporti sugli arresti anomali contengono inoltre il modello del dispositivo, che Sentry registra automaticamente.
- Dati diagnostici e di arresto anomalo: registri di crash, stack trace e misurazioni delle prestazioni su un campione di sessioni, raccolti tramite Sentry. Gli indirizzi e-mail vengono mascherati prima che un rapporto lasci il dispositivo; i rapporti sono collegati al suo ID account (un identificativo casuale), non al suo nome.
- Dati di rete e di sessione: il suo indirizzo IP, che ogni server contattato dall’app riceve necessariamente, e l’orario delle richieste. Il nostro fornitore di infrastruttura, Supabase, li conserva nei propri registri di servizio per un massimo di sette (7) giorni.
- Registro delle attività (legge turca n. 5651): quando crea, modifica o elimina un post, un commento, un messaggio, una raccolta visibile ad altri, oppure il suo nome utente, nome, bio o avatar, registriamo l’ID del suo account, il suo indirizzo IP, l’ora, il tipo di azione (creazione, modifica o eliminazione), l’elemento interessato e la versione dell’app e il sistema operativo inviati con la richiesta (user agent). Il contenuto in sé non viene conservato in questo registro. La sezione 8 spiega per quanto tempo viene conservato.
C. Informazioni sulla posizione
- Posizione precisa (GPS): letta solo mentre l’App è aperta e solo quando usa una funzione che ne ha bisogno: associare la posizione attuale a un post, impostare la posizione di casa o mostrare la propria posizione sulla mappa. Non tracciamo mai la sua posizione in background o in modo continuativo. Può revocare le autorizzazioni di localizzazione in qualsiasi momento dalle impostazioni del dispositivo e cercare invece il luogo per nome.
- Metadati delle foto: prima del caricamento le foto vengono ricodificate in JPEG, operazione che rimuove i metadati incorporati, compresa l’eventuale posizione GPS registrata dalla fotocamera.
Infrastruttura e architettura dati su Supabase
Odyssey Journal utilizza Supabase (supabase.com) come backend cloud, database, motore di autenticazione e servizio di archiviazione dei contenuti multimediali.
Specifiche di sicurezza e archiviazione di Supabase:
- Regione dei server: il nostro database di produzione principale e l’archivio multimediale sono ospitati sull’infrastruttura di Supabase (regione AWS UE — Francoforte, Germania).
- Cifratura in transito: tutte le comunicazioni tra l’app mobile, i client web e i server Supabase sono cifrate con TLS 1.3 / HTTPS.
- Cifratura a riposo: tutte le tabelle del database, i record utente e i file multimediali caricati sono cifrati a riposo con lo standard di settore AES-256.
- Sicurezza a livello di riga (RLS): politiche di database rigorose e granulari impongono l’isolamento degli accessi. Gli utenti possono leggere, inserire, aggiornare o eliminare solo i dati consentiti da token di autenticazione crittografici verificati (JWT).
- Conservazione della sessione: la sessione di accesso è conservata sul dispositivo, nell’archivio privato dell’App (AsyncStorage), che il sistema operativo tiene separato dalle altre app. Viene rimossa quando esce dall’account o lo elimina.
- Backup automatici: il database viene salvato automaticamente una volta al giorno sul nostro piano Supabase Pro, e ogni backup è conservato per sette (7) giorni.
Come utilizziamo le sue informazioni e basi giuridiche
Trattiamo i dati personali sulle basi di liceità previste dagli articoli 5 e 6 della KVKK e dall’articolo 6 del GDPR:
| Finalità | Categoria di dati | Base giuridica (KVKK e GDPR) |
|---|---|---|
| Creazione e gestione dell’account | E-mail, nome utente, password | Esecuzione del contratto |
| Pubblicazione di post di viaggio, foto e commenti | Contenuti dell’utente, foto, luoghi | Esecuzione del contratto e consenso esplicito |
| Controllo automatico di sicurezza di post e commenti (OpenAI) | Testo e foto dei post, testo dei commenti | Consenso esplicito |
| Associare un luogo ai post e mostrarli sulla mappa | Coordinate GPS (per post) | Consenso esplicito |
| Calcolo della distanza sulla carta d’imbarco | Posizione di casa | Consenso esplicito |
| Messaggi privati tra viaggiatori | Messaggi, richieste di messaggio | Esecuzione del contratto |
| Follow, cronologia delle ricerche, segnalazioni e blocchi | Attività social, dettagli delle segnalazioni | Esecuzione del contratto e legittimo interesse |
| Invio di notifiche push (mi piace, commenti, nuovi seguaci) | Token di notifica push, lingua preferita | Consenso esplicito |
| Stabilità dell’app, analisi dei crash, correzioni | Registri di crash pseudonimizzati (Sentry) | Legittimo interesse |
| Prevenzione di spam, abusi e violazioni della sicurezza | IP, identificativi dell’account | Legittimo interesse e obbligo di legge |
| Conservare i dati di traffico che la legge turca n. 5651 impone ai fornitori che ospitano contenuti degli utenti | Registro delle attività: ID account, IP, ora, tipo di azione, ID dell’elemento, user agent | Obbligo di legge |
Quando ci basiamo sul Suo consenso, può revocarlo in qualsiasi momento: il controllo dei contenuti con IA nelle impostazioni dell’App, i permessi di posizione e notifiche nelle impostazioni del dispositivo, oppure scrivendo a privacy@odysseyjournal.app. La revoca del consenso non pregiudica il trattamento effettuato prima di essa.
Sub-responsabili del trattamento
Collaboriamo esclusivamente con fornitori di servizi terzi affidabili, che applicano rigorosi standard di sicurezza e riservatezza:
- Supabase, Inc.: database cloud, autenticazione degli utenti, archiviazione a oggetti per le fotografie. (Server: AWS Francoforte, Germania — UE).
- Sentry (Functional Software, Inc.): monitoraggio degli errori e diagnostica dei crash, ospitato nella regione UE di Sentry (Francoforte, Germania). Gli indirizzi e-mail vengono mascherati sul dispositivo; i rapporti contengono il suo ID account, i dati del dispositivo e dell’app e il contesto tecnico dell’errore.
- Google LLC (Google Maps Platform): riquadri cartografici nell’app Android; il loro caricamento trasmette l’area di mappa visibile e il suo indirizzo IP. Dove la mappa interattiva non è disponibile, il profilo mostra invece un’immagine di mappa statica di Google, la cui richiesta contiene le coordinate dei suoi post.
- Google LLC (Google Workspace): hosting della posta aziendale per l’assistenza clienti e le richieste in materia di privacy.
- Expo / 650 Industries, Inc.: framework applicativo e gateway per le notifiche push (Expo Push Service). Quando è prevista una notifica, il nostro server invia a Expo il token push del dispositivo, il testo della notifica (compreso il nome visualizzato della persona che ha messo mi piace, ha commentato o ha iniziato a seguirla) e gli ID degli elementi collegati. Expo la consegna tramite Firebase Cloud Messaging (Google LLC) su Android e l’Apple Push Notification service (Apple Inc.) su iPhone.
- Open-Meteo (Zurigo, Svizzera): il meteo attuale nel luogo di una voce, rilevato al momento della creazione. L’App invia soltanto le coordinate di quella voce; non vi sono allegati identificativi dell’account, nome o indirizzo e-mail.
- Wikimedia Foundation, Inc. (Wikidata): nomi di città e paesi nelle dodici lingue dell’app. L’App invia soltanto il nome del luogo cercato; i nomi ottenuti vengono conservati in una tabella condivisa per non doverli cercare di nuovo.
- OpenAI, L.L.C.: moderazione automatica dei contenuti. Con il suo permesso, il testo e le foto dei suoi post e il testo dei suoi commenti vengono inviati alla Moderation API di OpenAI per verificarne la conformità alle Linee guida della community. Il testo e le foto vengono controllati prima che il post sia pubblicato; i contenuti segnalati non vengono pubblicati. Se il controllo non è temporaneamente disponibile, i contenuti possono essere pubblicati senza di esso e restano soggetti a segnalazioni e verifiche. OpenAI non usa i dati inviati tramite la sua API per addestrare i propri modelli e li conserva per un massimo di 30 giorni per il monitoraggio degli abusi. Può concedere o revocare questo permesso nell’App, in Impostazioni > Legale e community > Controllo dei contenuti con IA; senza di esso può continuare a navigare, ma non pubblicare né commentare. Se ritiene che un contenuto sia stato segnalato per errore, scriva a support@odysseyjournal.app e una persona lo esaminerà.
- Unsplash, Inc.: fotografie d’archivio usate come immagini di riserva nell’app, per esempio nella schermata Esplora e per le raccolte senza copertina. Il loro caricamento trasmette il suo indirizzo IP.
- Apple Inc.: su iPhone le mappe sono disegnate con Apple Mappe e il nome del luogo di una posizione viene ricavato dal servizio di geocodifica integrato nel telefono; entrambi ricevono le coordinate interessate e il suo indirizzo IP. Il pulsante «Apple Mappe» sulla mappa di un post passa le sue coordinate all’app Mappe.
NON vendiamo, affittiamo né scambiamo i suoi dati personali con broker di dati, inserzionisti o altri terzi commerciali.
Contenuti degli utenti e privacy dei terzi (responsabilità dell’utente)
Trasferimenti internazionali di dati
I Suoi dati sono trattati dai nostri responsabili del trattamento nell’Unione europea (Francoforte, Germania: Supabase, Sentry), negli Stati Uniti (Google, Expo, OpenAI, Apple, Wikimedia, Unsplash) e in Svizzera (Open-Meteo), solo per le finalità e solo con i dati descritti nella sezione 5.
- Ai sensi della KVKK (art. 9): il Comitato turco per la protezione dei dati personali non ha ancora adottato una decisione di adeguatezza per alcun Paese; questi trasferimenti richiedono quindi le garanzie adeguate previste dall’art. 9, ossia contratti standard con i destinatari notificati all’Autorità per la protezione dei dati personali. L’uso dell’App non significa che Lei acconsenta ai trasferimenti all’estero, e non subordiniamo il servizio a tale consenso. Può chiedere a privacy@odysseyjournal.app quale garanzia si applica a un determinato destinatario.
- Ai sensi del GDPR (capo V): i trasferimenti verso responsabili al di fuori del SEE sono disciplinati dalle clausole contrattuali tipo (SCC) della Commissione europea e da decisioni di adeguatezza.
Conservazione e cancellazione dei dati
- Account attivi: conserviamo i suoi dati personali e le voci del suo diario di viaggio finché il suo account resta attivo.
- Eliminazione dell’account: può eliminare definitivamente il suo account e tutti i post, le foto, i commenti e i messaggi collegati direttamente dall’App, in
Impostazioni > Account > Elimina Account. - Tempi di cancellazione: quando elimina l’account, il suo profilo, i post, i commenti, i «mi piace», le raccolte, i follow, i blocchi, le segnalazioni, la cronologia delle ricerche, i token di notifica e i messaggi inviati e ricevuti vengono cancellati immediatamente dal nostro database; l’App elimina poi le sue foto dall’archivio. Le copie restano nei backup giornalieri per al massimo sette (7) giorni, fino alla loro scadenza. Le registrazioni che la legge ci impone di conservare sono mantenute solo per il termine di prescrizione applicabile. Cosa viene cancellato e le poche registrazioni conservate sono elencati su odysseyjournal.app/it/delete-account.
- Registro delle attività: in quanto fornitore che ospita i contenuti pubblicati dagli utenti, la legge turca n. 5651 ci obbliga a conservare il registro delle attività descritto nella sezione 2B per almeno un anno. Conserviamo ogni voce per un (1) anno dall’azione registrata e poi la cancelliamo automaticamente, anche se nel frattempo ha eliminato l’account. Il registro non è visibile nell’App; solo noi possiamo accedervi e lo comunichiamo solo alle autorità legalmente autorizzate a richiederlo.
- Eliminare una conversazione: eliminare una conversazione in Lettere la nasconde solo dalla sua casella. I messaggi restano visibili all’altro viaggiatore finché uno dei due non elimina il proprio account.
Diritti ai sensi del diritto turco (art. 11 KVKK)
Ai sensi dell’articolo 11 della Legge n. 6698 sulla protezione dei dati personali della Repubblica di Turchia («KVKK»), in qualità di interessato lei ha diritto a:
- sapere se i suoi dati personali sono trattati;
- richiedere informazioni al riguardo, qualora siano stati trattati;
- conoscere la finalità del trattamento e verificare se i dati sono usati conformemente a tale finalità;
- conoscere i terzi, in Turchia o all’estero, ai quali i suoi dati sono trasferiti;
- chiedere la rettifica dei dati incompleti o inesatti;
- chiedere la cancellazione o la distruzione dei dati alle condizioni previste dall’art. 7 della KVKK;
- chiedere che la rettifica, la cancellazione o la distruzione siano comunicate ai terzi destinatari;
- opporsi a un esito a lei sfavorevole derivante da un’analisi esclusivamente automatizzata dei dati;
- chiedere il risarcimento del danno subito a causa di un trattamento illecito dei suoi dati personali.
Come presentare una richiesta: ai sensi del Comunicato sulle procedure e i principi per le richieste al titolare del trattamento, può presentare la Sua richiesta per iscritto, tramite posta elettronica certificata (KEP), con firma elettronica sicura o firma mobile, oppure via e-mail a privacy@odysseyjournal.app dall’indirizzo registrato nel Suo account. Indichi nome e cognome, il Suo numero di identità turco (oppure, se non è cittadino turco, la cittadinanza e il numero del passaporto o della carta d’identità), il Suo indirizzo, come possiamo contattarLa e l’oggetto della richiesta. Evadiamo le richieste gratuitamente il prima possibile e al più tardi entro trenta (30) giorni; solo se la risposta comporta un costo aggiuntivo può essere addebitata la tariffa stabilita dal Comitato. Se la Sua richiesta viene respinta, se ritiene insufficiente la nostra risposta o se non rispondiamo nei termini, può presentare reclamo al Comitato per la protezione dei dati personali entro trenta (30) giorni da quando viene a conoscenza della nostra risposta e, in ogni caso, entro sessanta (60) giorni dalla richiesta (art. 14 KVKK).
Diritti ai sensi del GDPR (utenti SEE e Regno Unito)
Se risiede nello Spazio economico europeo (SEE) o nel Regno Unito, il GDPR le riconosce i seguenti diritti:
- Diritto di accesso (art. 15)
- Diritto di rettifica (art. 16)
- Diritto alla cancellazione / all’oblio (art. 17)
- Diritto di limitazione del trattamento (art. 18)
- Diritto alla portabilità dei dati (art. 20)
- Diritto di opposizione (art. 21)
- Diritto di revocare il consenso (art. 7, par. 3) in qualsiasi momento, senza pregiudicare il trattamento effettuato prima
- Diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato (art. 22); la sezione 5, punto 8, spiega come chiedere che una persona riesamini una decisione di moderazione
- Diritto di proporre reclamo all’autorità di controllo competente.
Per esercitare tali diritti scriva a privacy@odysseyjournal.app.
Diritti sulla privacy in California (CCPA / CPRA)
I residenti in California hanno il diritto di richiedere la divulgazione delle informazioni personali raccolte, di chiederne la cancellazione, di opporsi alla vendita delle informazioni personali (non vendiamo informazioni personali) e di non subire discriminazioni per l’esercizio di tali diritti. Le richieste vanno inviate a privacy@odysseyjournal.app. Non vendiamo né condividiamo informazioni personali per pubblicità comportamentale cross-contesto e utilizziamo la posizione precisa solo per le funzioni che Lei sceglie di usare.
Privacy dei minori
Odyssey Journal è destinata esclusivamente agli adulti: non è destinata né rivolta a persone di età inferiore a 18 anni, né a chi non ha raggiunto la maggiore età prevista nel proprio paese, se superiore. Al momento della registrazione, lei conferma separatamente di avere almeno 18 anni; accettando i Termini di servizio, conferma inoltre di soddisfare questo requisito di età. Non raccogliamo consapevolmente dati personali di minori. Qualora rilevassimo che un minore ci ha fornito dati personali, li elimineremo immediatamente dai nostri server. I genitori o i tutori che ritengano che i dati del proprio figlio siano stati raccolti possono scrivere a privacy@odysseyjournal.app.
Cookie e archiviazione locale
Odyssey Journal non utilizza alcun cookie pubblicitario, analitico, di profilazione o di tracciamento tra siti, né nell’app mobile né su odysseyjournal.app. Non impieghiamo reti pubblicitarie di terzi né script di analisi comportamentale: per questo non vedrà alcun banner di consenso ai cookie.
L’unica archiviazione del browser utilizzata da questo sito è strettamente necessaria e resta sul suo dispositivo:
oj-theme— ricorda se ha scelto il tema di lettura chiaro (Pergamena) o scuro (Notte seppia).
Questo valore è scritto nel localStorage del suo browser, non viene mai trasmesso ai nostri server né a terzi e può essere cancellato in qualsiasi momento eliminando i dati del sito dal browser.
All’interno dell’app mobile, i seguenti dati sono conservati nell’archivio privato dell’App sul suo dispositivo e non sono condivisi con altre app:
- la sessione di accesso (Sezione 3);
- la lingua e il tema scelti, e se ha già visto le schermate introduttive;
- se su questo dispositivo ha concesso il permesso per il controllo dei contenuti con IA (Sezione 5);
- se le è già stata chiesta la posizione di casa;
- una cache dei nomi di luogo e una copia dei contenuti caricati di recente, conservata fino a 24 ore perché l’app si apra rapidamente e cancellata alla disconnessione.
Modifiche alla presente Informativa
Potremmo aggiornare periodicamente la presente Informativa per riflettere cambiamenti nei nostri servizi, nelle tecnologie o negli obblighi di legge. In caso di modifiche significative gliene daremo notizia via e-mail e aggiorneremo la data di «Ultimo aggiornamento» all’inizio del documento. Se una modifica richiede il Suo consenso, glielo chiederemo di nuovo nell’App.
Contatti
Per qualsiasi domanda, richiesta o istanza relativa alla presente Informativa o ai suoi dati personali:
- Privacy e istanze KVKK: privacy@odysseyjournal.app
- Assistenza clienti: support@odysseyjournal.app
- Informazioni generali: hello@odysseyjournal.app
- Verifica postale e digitale: Arif Gültaş, Istanbul, Turchia
- Sito web: odysseyjournal.app/privacy-policy