Lorenzo La Grua
Piazza Trento 6, 20135 Milano, Italia
Email: info@incomune.app
Le schede di attività commerciali, associazioni, chiese, professionisti e luoghi pubblici di Novoli sono state create raccogliendo dati già resi pubblici dalle entità stesse: profili Google Maps / Google Business, pagine Facebook ufficiali, siti web istituzionali, comunicazioni pubbliche del Comune. I dati pubblicati si limitano a informazioni di contatto pubbliche (nome, indirizzo, telefono, email pubblica, sito, social) e non includono dati personali sensibili.
Per le schede dei professionisti (persone fisiche o ditte individuali), la pubblicazione avviene di regola solo previo consenso esplicito o auto-segnalazione del professionista (Art. 6.1.a GDPR). Le schede pre-popolate da fonti pubbliche per professionisti sono limitate a contatti già pubblici e includono sempre il pulsante «Sei il titolare?» per facilitare l'esercizio dei diritti GDPR.
| Finalità | Base giuridica (GDPR) |
|---|---|
| Registrazione e autenticazione | Esecuzione del contratto (Art. 6.1.b) |
| Invio notifiche push | Consenso dell'utente (Art. 6.1.a) |
| Salvataggio preferiti | Esecuzione del contratto (Art. 6.1.b) |
| Analisi di utilizzo (pseudonime) | Legittimo interesse (Art. 6.1.f) |
| Monitoraggio errori tecnici (pseudonimi) | Legittimo interesse (Art. 6.1.f) |
| Comunicazioni di servizio | Obbligo legale (Art. 6.1.c) |
| Gestione e moderazione di segnalazioni inviate dagli utenti | Esecuzione del contratto (Art. 6.1.b) |
| Trattamento di dati di persone fisiche terze presenti nelle segnalazioni | Legittimo interesse (Art. 6.1.f) |
| Pubblicazione di schede di attività, associazioni, chiese e luoghi pubblici a partire da fonti pubbliche | Legittimo interesse (Art. 6.1.f) |
| Pubblicazione di schede di professionisti (persone fisiche / ditte individuali) | Consenso esplicito o auto-segnalazione (Art. 6.1.a) |
| Gestione di rivendiche e richieste di modifica/rimozione delle schede | Esecuzione del contratto e diritti dell'interessato (Art. 6.1.b, Art. 16, 17, 21 GDPR) |
Interesse legittimo perseguito (Art. 6.1.f): migliorare le funzionalità e l'esperienza d'uso dell'app, individuare malfunzionamenti e comprendere quali contenuti sono più utili per la comunità di Novoli, e fornire ai cittadini un punto di riferimento aggiornato sulle realtà locali. I dati pubblicati sulle schede sono limitati a informazioni già rese pubbliche dalle entità stesse, l'impatto sulla privacy degli interessati è minimo, ed è sempre disponibile dal pulsante «Sei il titolare?» un canale visibile per esercitare il diritto di opposizione, rettifica o cancellazione (Art. 21, 16, 17 GDPR).
I dati personali non vengono venduti, ceduti o condivisi con terze parti per finalità commerciali.
I seguenti servizi tecnici trattano i dati per nostro conto (responsabili del trattamento):
| Servizio | Finalità | Sede dati |
|---|---|---|
| Supabase (supabase.com) | Database, autenticazione, storage | Francoforte, Germania (UE) |
| Expo (expo.dev) | Invio notifiche push | Stati Uniti* |
| Apple Push Notification Service (APNs) | Consegna notifiche push su dispositivi iOS | Stati Uniti* |
| Firebase Cloud Messaging (Google FCM) | Consegna notifiche push su dispositivi Android | Stati Uniti* |
| PostHog (posthog.com) | Analytics (dati pseudonimi) | Unione Europea |
| Firebase Crashlytics (Google) | Monitoraggio errori tecnici (dati pseudonimi) | Stati Uniti* |
I servizi Expo Push Notifications, Apple (APNs), Google (FCM) e Firebase Crashlytics processano dati su server negli Stati Uniti. Questo costituisce un trasferimento di dati extra-UE. I dati trasferiti sono identificativi tecnici del dispositivo (token push) o metadati tecnici di crash (stack trace, modello dispositivo, versione app); il trasferimento avviene sulla base delle Clausole Contrattuali Standard (SCC) adottate dalla Commissione Europea.
I dati personali (profilo, email, preferiti, notifiche) sono conservati su server nell'Unione Europea (Supabase - Francoforte, Germania). Le analisi di utilizzo sono processate su server UE (PostHog EU).
I token di notifica push sono trasferiti negli Stati Uniti tramite Expo Push Service (con garanzie SCC), e successivamente trasmessi ad Apple (APNs) e Google (FCM) per la consegna della notifica al dispositivo.
I report di errori tecnici (stack trace, metadati dispositivo, identificativo pseudonimo) sono trasferiti negli Stati Uniti tramite Firebase Crashlytics (Google), sulla base delle Clausole Contrattuali Standard (SCC).
| Dato | Durata |
|---|---|
| Profilo utente (nome, email) | Eliminato alla cancellazione dell'account |
| Preferiti | Eliminati alla cancellazione dell'account |
| Token di notifica push | Eliminati alla cancellazione dell'account o alla disattivazione delle notifiche |
| Notifiche ricevute | Eliminate alla cancellazione dell'account o dopo 30 giorni automaticamente |
| Immagini caricate da admin (locandine, loghi, cover) | Non collegate al profilo personale; rimangono associate all'entità pubblica e non vengono eliminate alla cancellazione dell'account |
| Segnalazioni di nuove entità | Conservate fino alla revisione (approvazione o rifiuto). Le segnalazioni rifiutate sono eliminate entro 90 giorni. Le segnalazioni approvate diventano parte del contenuto pubblico della scheda creata. |
| Rivendiche e richieste di modifica/rimozione | Conservate fino alla revisione (accolta o rifiutata). Le richieste rifiutate sono eliminate entro 90 giorni. Quando una rivendica viene accolta, l'utente viene assegnato come titolare della scheda. |
| Schede di entità oggetto di richiesta di rimozione accolta | La scheda viene nascosta subito a tutti gli utenti. L'eliminazione fisica avviene automaticamente dopo 7 giorni: in questa finestra il super amministratore può annullare l'eliminazione se attivata per errore. Trascorsi i 7 giorni la cancellazione è definitiva. |
| Dati di analytics (PostHog, pseudonimi) | 12 mesi; per richiedere la cancellazione scrivere a info@incomune.app |
| Report di errori tecnici (Firebase Crashlytics, pseudonimi) | 90 giorni (retention di default Google); per richiedere la cancellazione scrivere a info@incomune.app |
In base al GDPR (Regolamento UE 2016/679), hai diritto a:
Risponderemo entro 30 giorni dalla richiesta.
Hai inoltre il diritto di presentare un reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).
InComune è destinata a utenti di almeno 14 anni. Non raccogliamo consapevolmente dati di minori di 14 anni. Se un genitore o tutore ritiene che un minore si sia registrato senza consenso, può contattarci a info@incomune.app per richiedere la cancellazione dell'account.
Ci riserviamo di aggiornare questa policy. In caso di modifiche sostanziali, gli utenti saranno informati tramite notifica nell'app. La data dell'ultimo aggiornamento è indicata in cima a questo documento.
Lorenzo La Grua
Piazza Trento 6, 20135 Milan, Italy
Email: info@incomune.app
Listings of businesses, associations, churches, professionals, and public places in Novoli were created from data already made public by the entities themselves: Google Maps / Google Business profiles, official Facebook pages, institutional websites, and public communications from the Municipality. Published data is limited to public contact information (name, address, phone, public email, website, social media) and does not include sensitive personal data.
For professional listings (natural persons or sole proprietorships), publication generally requires the professional's explicit consent or self-submission (Art. 6.1.a GDPR). Listings pre-populated from public sources for professionals are limited to already-public contact details and always include the «Are you the owner?» button to facilitate the exercise of GDPR rights.
| Purpose | Legal basis (GDPR) |
|---|---|
| Registration and authentication | Performance of contract (Art. 6.1.b) |
| Push notifications | User consent (Art. 6.1.a) |
| Saving favorites | Performance of contract (Art. 6.1.b) |
| Usage analytics (pseudonymous) | Legitimate interest (Art. 6.1.f) |
| Technical error monitoring (pseudonymous) | Legitimate interest (Art. 6.1.f) |
| Service communications | Legal obligation (Art. 6.1.c) |
| Management and moderation of user-submitted suggestions | Performance of contract (Art. 6.1.b) |
| Processing of third-party natural person data included in suggestions | Legitimate interest (Art. 6.1.f) |
| Publication of listings for businesses, associations, churches, and public places based on public sources | Legitimate interest (Art. 6.1.f) |
| Publication of professional listings (natural persons / sole proprietorships) | Explicit consent or self-submission (Art. 6.1.a) |
| Handling of claims and edit/removal requests on listings | Performance of contract and data subject rights (Art. 6.1.b, Art. 16, 17, 21 GDPR) |
Legitimate interest pursued (Art. 6.1.f): improving the app's features and user experience, identifying issues, understanding which content is most useful to the Novoli community, and providing Novoli citizens with an up-to-date reference on local entities. Data published in listings is limited to information already made public by the entities themselves, the impact on data subjects' privacy is minimal, and the «Are you the owner?» button always provides a visible channel to exercise the right to object, rectify, or erase (Art. 21, 16, 17 GDPR).
Personal data is not sold, transferred, or shared with third parties for commercial purposes.
The following technical services process data on our behalf (data processors):
| Service | Purpose | Data location |
|---|---|---|
| Supabase (supabase.com) | Database, authentication, storage | Frankfurt, Germany (EU) |
| Expo (expo.dev) | Push notification delivery | United States* |
| Apple Push Notification Service (APNs) | Push notification delivery to iOS devices | United States* |
| Firebase Cloud Messaging (Google FCM) | Push notification delivery to Android devices | United States* |
| PostHog (posthog.com) | Analytics (pseudonymous data) | European Union |
| Firebase Crashlytics (Google) | Technical error monitoring (pseudonymous data) | United States* |
Expo Push Notifications, Apple (APNs), Google (FCM), and Firebase Crashlytics process data on servers in the United States. This constitutes an extra-EU data transfer. The transferred data consists of technical device identifiers (push tokens) or technical crash metadata (stack trace, device model, app version); the transfer is carried out on the basis of Standard Contractual Clauses (SCCs) adopted by the European Commission.
Personal data (profile, email, favorites, notifications) is stored on servers in the European Union (Supabase - Frankfurt, Germany). Usage analytics are processed on EU servers (PostHog EU).
Push notification tokens are transferred to the United States via Expo Push Service (with SCC safeguards), and subsequently forwarded to Apple (APNs) and Google (FCM) for delivery to the device.
Technical error reports (stack trace, device metadata, pseudonymous identifier) are transferred to the United States via Firebase Crashlytics (Google), on the basis of Standard Contractual Clauses (SCCs).
| Data | Duration |
|---|---|
| User profile (name, email) | Deleted upon account deletion |
| Favorites | Deleted upon account deletion |
| Push notification token | Deleted upon account deletion or notification opt-out |
| Received notifications | Deleted upon account deletion or after 30 days automatically |
| Admin-uploaded images (posters, logos, covers) | Not linked to the personal profile; remain associated with the public entity and are not deleted upon account deletion |
| New entity suggestions | Retained until review (approval or rejection). Rejected suggestions are deleted within 90 days. Approved suggestions become part of the public content of the created record. |
| Claims and edit/removal requests | Retained until review (accepted or rejected). Rejected requests are deleted within 90 days. When a claim is accepted, the user is assigned as the listing owner. |
| Listings subject to an accepted removal request | The listing is immediately hidden from all users. Physical deletion occurs automatically after 7 days; during this window the super administrator can cancel the deletion if it was triggered by mistake. After 7 days, deletion is final. |
| Analytics data (PostHog, pseudonymous) | 12 months; to request deletion write to info@incomune.app |
| Technical error reports (Firebase Crashlytics, pseudonymous) | 90 days (Google default retention); to request deletion write to info@incomune.app |
Under the GDPR (EU Regulation 2016/679), you have the right to:
We will respond within 30 days of your request.
You also have the right to file a complaint with the Italian Data Protection Authority (Garante per la protezione dei dati personali - www.garanteprivacy.it).
InComune is intended for users aged 14 and over. We do not knowingly collect data from children under 14. If a parent or guardian believes a minor has registered without consent, they can contact us at info@incomune.app to request account deletion.
We reserve the right to update this policy. In case of substantial changes, users will be informed via an in-app notification. The date of the last update is indicated at the top of this document.