Informativa sulla privacy

Chi siamo

Viewpoint è realizzato e gestito da Marcos Barbero, con sede nei Paesi Bassi, che è il titolare del trattamento dei tuoi dati personali.

Per qualsiasi domanda, richiesta o reclamo sulla privacy: [email protected].

La versione breve

Con Free e Pro, se non accedi, non conserviamo nulla su di te sui nostri server. I tuoi luoghi, le foto e le note restano fuori dalle nostre mani, il tuo acquisto è gestito interamente dallo store presso cui l’hai fatto (Apple su iPhone e iPad, Google Play su Android), e puoi catturare, sfogliare e pianificare come ospite — non vediamo mai nulla di tutto ciò.

Con qualsiasi piano, l’app chiede anche al nostro server quali funzioni sono attive. Al di sotto di Online, la richiesta contiene solo la piattaforma (iPhone e iPad, Android o web), la versione dell’app e il canale di distribuzione (versione dello store, di test o di sviluppo), senza alcun identificativo; non conserviamo nulla che riguardi il tuo dispositivo. Con Online viene inviata insieme al tuo account, così le funzioni possono essere attivate gradualmente. Su Android, Impostazioni → Controlla la connessione chiede al nostro server se è raggiungibile, senza inviare nulla che ti riguardi.

«Non lo vediamo mai» non è la stessa cosa di “non lascia mai il tuo telefono”, ed è bene che la differenza sia chiara fin da subito. Con Pro la tua libreria viene copiata nel tuo account cloud dalla piattaforma, non da noi — tramite il tuo iCloud su iPhone e iPad (è così che Pro sincronizza i tuoi luoghi e le tue foto tra i dispositivi), e tramite l’Auto Backup di Android nel tuo Google Drive su Android. In entrambi i casi la copia si trova sotto il tuo account, il tuo spazio di archiviazione e il tuo controllo; noi non vi abbiamo accesso. Android aggiunge un’altra cosa che appartiene alla piattaforma e non a noi: i servizi propri di Google registrano ogni installazione Android al primo avvio, prima che tu acceda e indipendentemente dal fatto che tu attivi mai le notifiche. I dettagli sono in Cosa conserviamo su di te e in Fornitori e sub-responsabili del trattamento.

L’abbonamento Online (sincronizzazione via server, meteo e avvisi sulle condizioni in tempo reale, backup e condivisione) richiede un account Viewpoint, quindi accedere fa parte dell’attivazione; Free e Pro non ne richiedono mai uno.

Una volta effettuato l’accesso, Viewpoint raccoglie ciò che serve per svolgere quel compito (il tuo account, i tuoi luoghi, le tue foto, lo stato del tuo abbonamento) e nient’altro. L’analisi dei dati d’uso è opzionale e riguarda solo il comportamento — non include mai le tue foto, le coordinate GPS, i nomi dei luoghi o qualsiasi cosa tu abbia scritto, anche se raggiunge Mixpanel con il tuo indirizzo IP in modo che gli eventi possano essere attribuiti a un paese (vedi Analisi dei dati d’uso). Non vendiamo dati e non ti mostriamo pubblicità. Condividiamo dati con i servizi della piattaforma che il tuo dispositivo esegue già — quelli di Apple su iPhone e iPad, quelli di Google su Android (accesso, pagamenti, push, mappe e posizione) — e con i fornitori elencati qui sotto, che includono un piccolo numero di soggetti al di fuori dell’UE.

Cosa conserviamo su di te

Solo se accedi. Tutto quanto in questa sezione si applica una volta che crei un account accedendo. Come ospite (senza aver effettuato l’accesso) nulla raggiunge noi: non esiste un account, e i tuoi luoghi, foto, mappe, piani e avvisi vivono solo nel database locale dell’app sul tuo telefono.

Due avvertenze, e nessuna delle due dipende da noi.

Su iPhone e iPad, Pro mantiene i tuoi dispositivi allineati tramite il tuo stesso iCloud: l’app scrive i tuoi luoghi, mappe, piani, avvisi e i file delle foto catturate nel database CloudKit privato del tuo account Apple. È il tuo spazio iCloud e sono i tuoi dati; noi non possiamo leggerli, e nessun server Viewpoint è coinvolto. I file delle foto vengono caricati solo tramite Wi-Fi. Disattivalo uscendo da iCloud per l’app in Impostazioni iOS → il tuo nome → iCloud.

Su Android, l’Auto Backup del sistema operativo è attivo per l’app, quindi può copiare i dati locali dell’app — incluso quel database e le foto che contiene — nel backup di Google Drive, sotto lo spazio di archiviazione del tuo account Google e sotto il tuo controllo. Non lo vediamo mai. Disattivalo in Impostazioni Android → Google → Backup, oppure per singola app nelle impostazioni di backup del tuo dispositivo.

Le ricerche meteo funzionano comunque anche da ospite — inviano solo la latitudine/longitudine che stai controllando, mai un’identità (vedi Fornitori e sub-responsabili del trattamento → Open-Meteo) — e il tuo abbonamento viene verificato direttamente con lo store (Apple o Google Play), quindi non lo vediamo nemmeno in quel caso.

• Il tuo account — indirizzo email, un nome visualizzato e l’identificatore opaco restituito da Accedi con Apple o Accedi con Google se scegli di accedere in quel modo. Il nome visualizzato è quello che Apple o Google ci forniscono al tuo primo accesso — con Accedi con Apple è il nome che hai scelto di condividere nella schermata di consenso, e se non hai condiviso nulla ne deriviamo uno dal tuo indirizzo email. Non ti chiediamo mai il tuo vero nome.

• I tuoi luoghi, foto, mappe, piani e avvisi — i dati che crei nell’app. Le foto catturate sono conservate nel nostro spazio di archiviazione oggetti; il resto vive in un database PostgreSQL. Entrambi girano su infrastruttura gestita dal titolare all’interno dell’UE. Ogni foto che carichi sui nostri server passa attraverso un controllo di sicurezza automatico contro immagini illegali e contenuti per adulti prima che possa comparire in un punto qualsiasi visibile pubblicamente. Quel controllo gira sugli stessi server di tutto il resto — l’immagine non viene mai inviata a terzi per questo scopo. Avviene su ogni caricamento, non solo sulle foto che scegli di pubblicare. Vedi Fiducia e sicurezza per capire perché esiste questo controllo.

  (Una versione precedente di questa informativa affermava che il controllo di sicurezza fosse svolto da Hugging Face, un fornitore di inferenza al di fuori dell’UE, e che le fotografie venissero inviate lì. Non è più così: il controllo ora gira sul nostro hardware e nessuna fotografia che carichi lascia la nostra infrastruttura. Hugging Face non è più destinatario di nulla.)

• Luoghi condivisi pubblicamente — se pubblichi esplicitamente un luogo, la sua posizione, il nome, le foto, le note di composizione e le informazioni di accesso diventano visibili ad altri utenti Viewpoint tramite la sezione dei luoghi pubblici. Le note private e lo stato specifico dell’account (preferiti, timestamp di sincronizzazione) non diventano mai pubblici, indipendentemente dallo stato di condivisione del luogo. La pubblicazione è opzionale, con un passaggio deliberatamente non immediato (una schermata di conferma spiega esattamente cosa viene esposto prima che tu confermi) e reversibile — vedi Condividere un luogo pubblicamente per i meccanismi completi e le tutele a protezione della fauna selvatica.
• Stato dell’abbonamento — se sei nella prova gratuita di Online o con un abbonamento Online a pagamento, e quale periodo di fatturazione (mensile, trimestrale o annuale). Un acquisto di Pro resta presso il tuo store e sul tuo dispositivo; non ne conserviamo alcuna traccia. Il pagamento vero e proprio è gestito dal tuo store — StoreKit di Apple su iPhone e iPad, Google Play Billing su Android — e non vediamo mai i dettagli della tua carta. Su entrambe le piattaforme, acquistare da accesso effettuato invia l’identificativo del tuo account Viewpoint allo store, così l’abbonamento può essere ricollegato al tuo account — ad Apple come appAccountToken dell’acquisto, a Google Play come il suo id account offuscato. Acquistare come ospite non invia alcun nostro identificativo su nessuno dei due store. I due differiscono solo nel modo in cui lo stato dell’abbonamento ci raggiunge poi: su iPhone e iPad l’app invia la ricevuta firmata di Apple al nostro server; su Android, Google la comunica direttamente al nostro server.
• Token di notifica push — un identificatore opaco per il tuo dispositivo che ci permette di inviare avvisi sulle condizioni: il token APNs di Apple su iPhone e iPad, un token di registrazione Firebase Cloud Messaging (Google) su Android e — se attivi le notifiche del browser nella web app — una sottoscrizione push il cui indirizzo è generato dal servizio push del tuo stesso browser (quello di Mozilla per Firefox, quello di Google per Chrome, quello di Apple per Safari). Lo conserviamo solo dopo che hai effettuato l’accesso, e viene invalidato lato server immediatamente quando esci (il dispositivo smette immediatamente di ricevere avvisi per l’account da cui sei uscito). Su Android il token esiste prima che lo richiediamo: le librerie Firebase di Google registrano l’installazione presso Google al primo avvio — vedi Fornitori e sub-responsabili del trattamento → Google. Uscire dall’account invalida la nostra copia; solo disinstallare l’app (o cancellarne i dati) rimuove quella di Google.
• Eventi di analisi (solo se attivi l’analisi dei dati d’uso) — vedi la sezione successiva.
• Segnalazioni di arresti anomali — nessun servizio di terze parti per la segnalazione di arresti anomali è coinvolto su nessuna delle due piattaforme; usiamo la segnalazione nativa di ciascuna piattaforma.
  • Su iPhone e iPad, il framework MetricKit di Apple, integrato nel dispositivo, produce una diagnostica (traccia dello stack, codici di eccezione/segnale, modello del dispositivo + versione del sistema operativo, versione dell’app). Gli arresti anomali sono visibili a noi tramite la segnalazione standard per sviluppatori di Apple (App Store Connect), e un riepilogo viene inviato anche a un server Viewpoint per darci un avviso tempestivo.
  • Su Android, l’app non include alcun codice di segnalazione arresti anomali. Gli arresti anomali e gli ANR ci raggiungono solo tramite la segnalazione standard di Google Play Console, raccolta dal sistema operativo; nulla viene inviato a un server Viewpoint. Se questa raccolta avviene dipende dall’impostazione di utilizzo e diagnostica del tuo dispositivo, non dall’app.

  In ogni caso: mai le tue foto, il GPS, le note, l’email, il vero nome o il contenuto di luoghi/mappe/piani. L’impostazione predefinita è attiva (interesse legittimo ai sensi dell’art. 6(1)(f) del GDPR — sapere che l’app va in crash è necessario per mantenerla funzionante per te).

Per quanto tempo conserviamo la tua libreria quando Online termina. Quando il tuo abbonamento Viewpoint Online termina, conserviamo la copia della tua libreria sul server per 7 giorni, così un rinnovo in ritardo o un ripensamento non ti costano nulla. Trascorsi quei 7 giorni la eliminiamo dai nostri server: i record e i file delle foto stessi, non solo un contrassegno. La copia sul tuo telefono, tablet o computer non viene mai toccata. Ti avvisiamo 48 ore prima dell’eliminazione, con una notifica push e un messaggio nelle schede Strumenti e Pianificazione. Ciò che le persone con cui condividi hanno aggiunto ai tuoi luoghi e alle tue mappe viene conservato, le tue condivisioni restano attive, e il segnaposto di un luogo condiviso resta sui nostri server, senza il nome, le tue note o le tue foto, finché non ti abboni di nuovo. Conserviamo il tuo account e i tuoi dati di fatturazione, che ci servono per obblighi fiscali e di revisione. Se ti abboni di nuovo in seguito, ciò che il tuo dispositivo sincronizza da quel momento viene di nuovo conservato.

Come viene usata la posizione

La posizione viene richiesta e usata solo nel contesto delle funzioni Mappa e Cattura, per posizionare e trovare i luoghi. Quasi ovunque, l’app chiede al sistema operativo un’unica rilevazione nel momento in cui ti serve, e nulla gira quando l’app è chiusa.

C’è una funzione che fa eccezione, ed esiste solo su iPhone e iPad. Suggerisci avvisi quando viaggio (Impostazioni → Viaggi) nota quando sei arrivato in un posto nuovo e ti propone di impostare lì un avviso. Per farlo ha bisogno del permesso di posizione «Sempre» di iOS, e iOS lo concede solo se rispondi sì a una finestra di dialogo che ti mostra per nome. Finché non lo fai, nulla gira in background; se lo concedi, iOS risveglia l’app a un cambiamento significativo di posizione, l’app determina se sei arrivato in un posto che vale la pena suggerire, e questo è tutto — la posizione viene usata sul tuo dispositivo e nella ricerca di geocodifica inversa descritta sotto, e non viene mai inviata a noi. Disattiva l’impostazione, o revoca «Sempre» in Impostazioni iOS → Privacy → Localizzazione, e il monitoraggio si interrompe. Android non ha alcuna funzione di localizzazione in background e non chiede alcun permesso di localizzazione in background.

La mappa in sé appartiene alla tua piattaforma, ed è quella piattaforma a vederla. Viewpoint non disegna le proprie mappe, quindi scorrere la mappa, aprire immagini a livello strada, cercare un luogo per nome, trasformare una coordinata in un nome di luogo o rilevare una posizione sono tutte richieste ai servizi di mappe e posizione della tua piattaforma:

• Su iPhone e iPad si tratta di Apple — MapKit per le mappe, Look Around per le immagini a livello strada, Core Location per la rilevazione della posizione, la ricerca luoghi di MapKit per le ricerche digitate, e il geocoder di MapKit per trasformare una coordinata in un nome di luogo.
• Su Android si tratta di Google — l’SDK Google Maps per le mappe, il panorama Street View per le immagini a livello strada, il geocoder di sistema di Android per entrambe le direzioni di ricerca dei luoghi, e il fornitore di posizione combinato dei servizi Google Play per la rilevazione della posizione, che usa Wi-Fi e segnali cellulari vicini oltre al GPS.
• Nella web app si tratta di Google — l’API JavaScript di Google Maps per le mappe, Places Autocomplete per le ricerche digitate, Street View per le immagini a livello strada, e l’API Static Maps per le piccole immagini di mappa nella pagina di un luogo e in una scheda di piano condivisa.

La ricerca dei luoghi funziona in entrambe le direzioni, e inviano cose diverse:

• La ricerca per nome invia il testo che digiti. Ogni tasto premuto in un campo di ricerca luoghi va ad Apple (su iPhone e iPad) o a Google (su Android e sul web) man mano che digiti, insieme a un’area approssimativa della mappa così che i risultati siano vicini.
• La geocodifica inversa invia una coordinata. Per assegnare a un luogo il nome del posto, o per determinare in quale fuso orario si trova un luogo, l’app invia la coordinata al geocoder della piattaforma e riceve indietro un nome. Su iPhone e iPad questo avviene per i luoghi che non hanno ancora un’etichetta, in background, un gruppo alla volta — quindi nel corso della vita della tua libreria, le coordinate dei luoghi che hai salvato vengono inviate al geocoder di Apple. Su Android l’unico punto in cui questo avviene è la scheda di piano condivisibile, e la coordinata viene deliberatamente sfocata prima dell’invio — allineata a una griglia di 0,05°, circa 5,5 km, così che ciò che esce dal dispositivo sia il quartiere e non il punto di vista.

In ogni caso le coordinate e il testo di ricerca vanno alla piattaforma, non attraverso i nostri server, e sono gestiti secondo l’informativa sulla privacy di quella piattaforma. Non inviamo mai la tua identità dell’account insieme a essi.

Anche i nostri server inviano coordinate a terzi. Alcune funzioni vengono soddisfatte chiedendo a terzi informazioni su un luogo, sempre con una coordinata o un’area e mai con qualcosa che ti identifichi: meteo da Open-Meteo, dati su mappa e punti d’interesse dal servizio Overpass di OpenStreetMap, Wikidata e Wikimedia Commons, un’immagine di anteprima a livello strada da Google, tile di quota del terreno da un bucket di dati aperti di Amazon Web Services (un tile copre circa un quadrato di 10 km, quindi AWS vede il tile, non la tua posizione), e — solo per la modalità assistita di Trova il tuo punto di vista — il soggetto attorno a cui stai pianificando, comprese le sue coordinate, a OpenAI. Ognuno di questi è elencato in Fornitori e sub-responsabili del trattamento.

Analisi dei dati d’uso — opzionale

L’analisi dei dati d’uso è DISATTIVATA per impostazione predefinita. Attivala da Impostazioni → Privacy → Condividi dati d’uso. Quando è attiva:

• Inoltriamo eventi comportamentali (per esempio, “utente ha visualizzato la scheda Esplora«, »utente ha catturato un luogo”, «prova convertita in abbonamento a pagamento») a Mixpanel tramite un endpoint di ingestione residente nell’UE (api-eu.mixpanel.com).
• Ogni evento porta con sé il tuo UUID utente (lo stesso presente nel nostro database) e un insieme fisso di proprietà in lista consentita — enum chiusi o booleani, mai testo libero proveniente dai tuoi luoghi, mappe o foto.
• Il tuo indirizzo IP viene inoltrato con ogni evento, così che Mixpanel possa attribuirlo a un paese e a una città piuttosto che alla posizione del nostro server. Si tratta di una posizione approssimativa derivata dalla rete — non la tua posizione GPS, che non viene mai inviata. Se preferisci che non venga inviato, lascia disattivata l’analisi.
• Oltre a ciò: nome, email, coordinate GPS, EXIF, i nomi dei tuoi luoghi/mappe/piani, qualsiasi cosa tu abbia digitato — nulla di tutto questo è mai incluso nell’analisi. Il backend applica questo vincolo con una lista consentita chiusa sul percorso di ingestione degli eventi; gli eventi che tentano di trasportare proprietà non ammesse vengono rifiutati ai margini del sistema.
• Puoi disattivare l’analisi in qualsiasi momento. La pipeline si ferma immediatamente. Eliminare il tuo account mette anche in coda una richiesta di cancellazione a Mixpanel che elimina i tuoi eventi storici.

Il resoconto completo: Come funziona l’analisi dei dati d’uso.

Fornitori e sub-responsabili del trattamento

Viewpoint si affida ai seguenti fornitori. Nessuno di loro ha accesso al tuo account o ai tuoi dati non cifrati oltre a quanto richiesto dal loro servizio. Con quali di essi comunica la tua copia dell’app dipende dalla piattaforma su cui ti trovi, quindi ogni voce lo specifica esplicitamente.

La maggior parte di essi si trova all’interno dell’UE o sono i servizi della tua stessa piattaforma. Due non lo sono, e sono quelli che vale la pena leggere con attenzione: OpenAI riceve ciò che digiti in Trova il tuo punto di vista e la coordinata del soggetto attorno a cui stai pianificando, e Mixpanel riceve il tuo indirizzo IP con ogni evento di analisi se hai scelto di attivarla.

Nessun fornitore in questo elenco riceve le tue fotografie. Il controllo di sicurezza automatico che analizza ogni immagine caricata gira sui nostri stessi server.

La nostra stessa infrastruttura (entrambe le piattaforme)

• Infrastruttura autogestita — il server API, il database PostgreSQL, lo spazio di archiviazione oggetti che contiene le tue foto catturate e il controllo di sicurezza automatico che analizza ogni immagine caricata girano tutti su infrastruttura gestita dal titolare, situata nell’UE. Nessun host cloud di terze parti conserva i dati del tuo account o le tue foto, e le tue fotografie non vengono mai inviate al di fuori di quella infrastruttura.
• Cloudflare — fornisce il tunnel di rete sicuro e il DNS che instradano il traffico verso il backend (il TLS termina qui in transito; Cloudflare non conserva i dati del tuo account o le tue foto).

Apple — iPhone e iPad, più l’accesso sul web

• Accedi con Apple — su iPhone, iPad e sulla web app, e solo se scegli questo metodo di accesso. Sul web questo carica lo script di accesso di Apple nella pagina.
• StoreKit — pagamenti e gestione dell’abbonamento. È Apple, non noi, a incassare il pagamento e a conservare i dettagli di pagamento.
• APNs — consegna delle notifiche push per gli avvisi sulle condizioni. Registrato solo dopo che accedi e concedi il permesso per le notifiche; se rifiuti, non viene creato alcun identificativo push.
• App Store Connect + MetricKit — diagnostica su arresti anomali e blocchi.
• MapKit, Look Around, Core Location — mappe, immagini a livello strada, ricerca luoghi, geocodifica inversa e rilevazione della posizione (vedi Come viene usata la posizione).
• iCloud (CloudKit) — solo con Pro, ed è il tuo stesso iCloud. L’app copia i tuoi luoghi, mappe, piani, avvisi e foto catturate nel database privato del tuo account Apple così che i tuoi dispositivi restino allineati senza un account Viewpoint. Questa è la quantità maggiore dei tuoi contenuti che lascia il dispositivo con Pro — e va verso il tuo spazio di archiviazione, non il nostro. Non vi abbiamo accesso, e nessun server Viewpoint è coinvolto. I file delle foto vengono caricati solo tramite Wi-Fi.
• SKAdNetwork — il sistema di attribuzione installazioni di Apple che rispetta la privacy. Quando avvii l’app per la prima volta, e di nuovo se acquisti Pro o avvii un abbonamento Online, iOS invia un riscontro aggregato e anonimo alla rete pubblicitaria che ti ha mostrato l’annuncio — vedi Meta più sotto. Non c’è alcun identificativo pubblicitario (nessun IDFA), nessuna richiesta di permesso per il tracciamento e nessun SDK pubblicitario nell’app; è Apple il mittente e comunica alla rete solo che un’installazione o abbonamento è avvenuto, mai che sia stato tu.

Google — per lo più solo Android, due voci su entrambe

• Accedi con Google — su iPhone, iPad, Android e sulla web app, e solo se scegli questo metodo di accesso. Sul web questo carica lo script di accesso di Google nella pagina.
• Immagini statiche Street View — su tutte le piattaforme, incluso iPhone e iPad. Quando un luogo non ha una propria foto, richiediamo un’anteprima a livello strada per esso, e quella richiesta va a Google portando con sé le coordinate del luogo. Viene effettuata dal nostro backend, non dal tuo telefono, quindi Google vede le coordinate e la richiesta del nostro server — mai il tuo account, e mai l’indirizzo del tuo dispositivo. Lo stesso vale per l’anteprima a livello strada nella web app.
• Immagini di mappa statiche — la web app è diversa, ed è bene saperlo. La piccola immagine di mappa in una scheda di piano condivisa nella web app viene caricata dal tuo browser direttamente da Google, senza passare attraverso di noi, e la coordinata è nell’indirizzo dell’immagine. Quindi in questo caso, a differenza dell’anteprima descritta sopra, Google vede la coordinata insieme al tuo indirizzo IP e al tuo browser. Lo stesso vale per le mappe interattive che la web app disegna, che sono di Google e girano nel tuo browser. Le app iPhone, iPad e Android disegnano invece le proprie mappe.
• Firebase Cloud Messaging + Firebase Installations — solo Android, e questa non è condizionale. Le librerie Firebase di Google partono con l’app e registrano l’installazione presso Google al primo avvio — prima di qualsiasi accesso, prima delle schermate di introduzione, e indipendentemente dal fatto che tu attivi mai le notifiche. Google riceve un identificativo di installazione per l’app sul tuo dispositivo più i consueti dettagli tecnici di tale richiesta (versione dell’app e della libreria, modello del dispositivo, versione del sistema operativo, indirizzo IP). Non include il tuo account, la tua email, i tuoi luoghi o la tua posizione. Noi conserviamo solo il token risultante, e solo dopo che hai effettuato l’accesso; quando esci invalidiamo la nostra copia, ma la registrazione di Google rimane finché non disinstalli l’app o ne cancelli i dati.
• Google Play Billing — solo Android. I pagamenti e la gestione dell’abbonamento su Android sono di Google, non di Apple. Se hai effettuato l’accesso quando acquisti, l’identificativo del tuo account Viewpoint viene inviato a Google Play insieme all’acquisto così che l’abbonamento possa essere ricollegato al tuo account, e Google comunica lo stato dell’abbonamento al nostro server. Acquistare come ospite non invia alcun nostro identificativo. Se hai acquistato come ospite e accedi in seguito, l’app invia il token Google Play di quell’acquisto al nostro server insieme al tuo account, con qualsiasi piano, così l’acquisto viene associato a te e ti segue sugli altri tuoi dispositivi.
• SDK Google Maps, Street View, il geocoder di Android e il fornitore di posizione combinato dei servizi Google Play — solo Android. Le mappe, le immagini a livello strada, le ricerche di luoghi (il testo che digiti), la geocodifica inversa di una coordinata deliberatamente sfocata e le rilevazioni di posizione vanno a Google. Vedi Come viene usata la posizione.
• API JavaScript di Google Maps, Places Autocomplete, Street View e Static Maps — solo web app. Il browser li carica direttamente da Google, quindi Google vede il tuo indirizzo IP insieme all’area della mappa, alla coordinata o al testo che hai digitato. Vedi Come viene usata la posizione.
• Google Fonts — la web app e il nostro sito; non le app per telefono. I nostri due caratteri tipografici vengono caricati dalla CDN di font di Google invece di essere serviti da noi, quindi Google vede la richiesta — il tuo indirizzo IP, il tuo browser e la pagina da cui provieni. Questo avviene su ogni pagina della web app, su ogni pagina di getviewpoint.app inclusa questa, e di nuovo dentro il pannello dell’assistente quando lo apri. Fai attenzione ai tempi: a differenza dell’analisi sopra descritta, la richiesta del font non è dietro il banner dei cookie — parte al caricamento della pagina, che tu decida poi di accettare o rifiutare. Nessun dato dell’account è coinvolto e nulla viene conservato; è una scelta di hosting, non di tracciamento, e ospitare i file dei font sui nostri server la eliminerebbe.
• Google Play Console — solo Android. Gli arresti anomali e gli ANR su Android ci raggiungono tramite la segnalazione standard raccolta dal sistema operativo di Play; l’app stessa non contiene alcun codice di segnalazione arresti anomali.
• Google Play Developer API — solo Android, lato server. Per confermare che un abbonamento sia reale, il nostro server invia il token dell’acquisto a Google per la verifica. Lo stesso meccanismo esegue un controllo unico e senza stato per chi aveva acquistato il precedente abbonamento Offline o Online di Viewpoint su Android: il tuo token di acquisto attivo viene verificato con l’API di Google per concederti Pro in modo permanente, senza account e senza conservare nulla.
• Non usati su nessuna piattaforma: Google Analytics / Firebase Analytics, pubblicità Google, l’identificativo pubblicitario di Google e gli SDK di attribuzione di Google. L’app Android include deliberatamente solo la parte di messaggistica di Firebase.

Meta — solo iPhone e iPad, e solo in forma aggregata

• Pubblicizziamo Viewpoint su Instagram e Facebook, quindi dobbiamo sapere se quegli annunci funzionano. Su iPhone e iPad questa misura passa interamente attraverso SKAdNetwork di Apple: quando l’app viene avviata per la prima volta, e di nuovo se acquisti Pro o avvii un abbonamento Online, è Apple — non l’app — a inviare a Meta un riscontro anonimo e aggregato che segnala che un’installazione o un abbonamento è avvenuto. Non c’è nessun SDK Meta nell’app, nessun identificativo pubblicitario, nessuna richiesta di permesso per il tracciamento, e nulla che colleghi l’evento a te, al tuo dispositivo o al tuo account. Apple ritarda e rende deliberatamente meno preciso questi riscontri così che non possano essere ricondotti a un individuo. Nulla di equivalente gira su Android o sul web.

Tutti gli altri (entrambe le piattaforme)

• Mixpanel — analisi dei dati d’uso (solo se attivata; endpoint residente nell’UE). Nelle app — iPhone, iPad, Android e la web app — non c’è alcun SDK Mixpanel sul tuo dispositivo: gli eventi vanno prima al nostro server e noi li inoltriamo. Ogni evento inoltrato porta con sé il tuo UUID utente e il tuo indirizzo IP, che Mixpanel risolve in un paese e una città approssimativi. Nient’altro di identificabile lo accompagna — vedi Analisi dei dati d’uso. Il nostro sito web è l’eccezione, e funziona al contrario. getviewpoint.app carica effettivamente lo script proprio di Mixpanel nel tuo browser — ma solo dopo che accetti il banner dei cookie, ed è configurato per dire a Mixpanel di non registrare il tuo indirizzo IP. Rifiuta il banner e lo script non viene mai caricato.
• Open-Meteo — previsioni meteo. Le chiamate passano attraverso il nostro backend; la tua identità dell’account non viene mai inviata a Open-Meteo, solo la latitudine/longitudine del luogo che stai controllando.

• OpenAI — raggiunta da due punti, sempre attraverso il nostro backend e mai dal tuo dispositivo.

  1. La modalità assistita di Trova il tuo punto di vista. Lì avvengono due chiamate e inviano cose diverse. Leggere la tua richiesta invia le parole che digiti (fino a 2.000 caratteri), che OpenAI trasforma in una richiesta strutturata — quale punto di riferimento, quale corpo celeste, quale finestra temporale. Proporre punti di vista invia poi il soggetto attorno a cui stai pianificando: il suo nome e la sua coordinata (con precisione di circa un metro), più l’allineamento e la finestra temporale che hai richiesto, così che il modello possa suggerire posti da cui fotografare. Se hai avviato la funzione partendo da uno dei tuoi luoghi, quel luogo è il soggetto — quindi il suo nome, che hai scritto tu, e la sua posizione vengono inviati con la richiesta. La tua identità dell’account non viene inviata, e nessuno dei tuoi altri luoghi lo è. La modalità deterministica della stessa funzione non effettua alcuna chiamata.

  2. L’assistente sul nostro sito web. Ogni pagina di getviewpoint.app — inclusa questa — porta un piccolo pulsante di chat, l’Assistente Viewpoint. Qualsiasi cosa tu digiti al suo interno viene inviata attraverso il nostro backend a OpenAI, sia per trovare la documentazione pertinente sia per scrivere la risposta. Non digitare nulla e nulla verrà inviato. Non ha idea di chi tu sia; non è collegato al tuo account, ed è disponibile a chiunque legga il sito.

  (Una versione precedente di questa informativa affermava che le coordinate e i luoghi salvati non venissero mai inviati a OpenAI, e che OpenAI fosse raggiunta solo da Trova il tuo punto di vista. Entrambe le affermazioni erano sbagliate, e questa voce le corregge.)

• Wikimedia (Commons, Wikidata) e il servizio Overpass di OpenStreetMap — usati per trovare una foto pubblica esistente e il nome di un luogo che non ne ha uno proprio, e per cercare punti di riferimento e confini di accesso legale durante la pianificazione. Chiamati dal nostro backend con le coordinate del luogo, o un’area attorno a esse; nessuna identità dell’account viene inviata.
• Amazon Web Services — tile di quota del terreno da un bucket di dati aperti pubblico, usati per determinare l’aspetto dell’orizzonte e dello skyline da un luogo. Il nostro backend richiede il tile che copre la coordinata; un tile copre circa un quadrato di 10 km, quindi AWS vede il tile, non la tua posizione. Nessuna identità dell’account viene inviata.
• Esri (ArcGIS) e l’Agenzia Europea dell’Ambiente — confini delle aree protette usati per avvisarti quando un punto di vista si trova all’interno di una riserva naturale o di un parco nazionale. Il nostro backend invia un riquadro delimitante attorno all’area che stai osservando; nessuna identità dell’account viene inviata. Questi feed sono opzionali e disattivati salvo configurazione; quando sono disattivati, nessuna richiesta raggiunge nessuno dei due.
• Il servizio push del tuo browser — solo web app, e solo se attivi le notifiche del browser. L’indirizzo che il tuo browser ci fornisce appartiene a chiunque produca il tuo browser (Mozilla per Firefox, Google per Chrome ed Edge, Apple per Safari), e quel servizio ti recapita l’avviso. Può vedere che una notifica è stata inviata alla tua istanza del browser, e quando — i contenuti sono cifrati con una chiave che solo il tuo browser possiede, quindi il servizio non può leggere l’avviso.
• Slack — un canale privato che Marcos legge. Due cose lo raggiungono. Messaggi di assistenza: quando scrivi da Impostazioni (Parla con Marcos su iPhone e iPad, Messaggio all’assistenza su Android, e lo stesso sulla web app), il tuo messaggio arriva lì con l’UUID del tuo account, il tuo piano e la versione dell’app e il modello del dispositivo — più il tuo indirizzo email solo se spunti la casella di consenso, disattivata per impostazione predefinita ed etichettata con l’indirizzo che invierebbe. Avvisi di errore del server: quando qualcosa fallisce sul nostro lato, la riga di errore viene pubblicata anche lì, così che un guasto venga notato invece di restare in un log. Questi avvisi portano il fallimento tecnico e il punto del codice in cui è avvenuto — e, su iPhone e iPad, un riepilogo di un arresto anomalo segnalato dal tuo dispositivo. Non portano le tue foto, le tue coordinate, le tue note o la tua email.

Cosa non facciamo

• Nessuna pubblicità dentro Viewpoint — nessun banner, nessun interstiziale, nessun SDK pubblicitario in nessuna delle app. (Compriamo pubblicità altrove per far sapere alle persone che l’app esiste, e su iPhone e iPad Apple invia alla rete pubblicitaria un risultato anonimo e aggregato — vedi Meta.)
• Nessun tracciamento tra app — nessun identificativo pubblicitario su nessuna delle due piattaforme, nessuna richiesta di permesso per il tracciamento perché non c’è nulla da chiedere, nessun fingerprinting.
• Nessuna vendita di dati — i tuoi dati non sono una fonte di ricavo e non lo saranno mai.
• Nessun SDK di terze parti per arresti anomali o analisi nelle app — su iPhone, iPad, Android e la web app l’unica analisi è la nostra, opzionale, e inoltrata dal nostro stesso server. (Il nostro sito web è diverso: carica lo script di Mixpanel nel tuo browser una volta che accetti il suo banner dei cookie. Vedi Mixpanel in Fornitori e sub-responsabili del trattamento.)

I tuoi diritti (GDPR — incluso l’articolo 17, la linea guida 5.1.1(v) di Apple e la politica sui dati utente di Google Play)

Viewpoint viene lanciato nell’UE; si applica il Regolamento generale sulla protezione dei dati (GDPR).

• Il diritto alla cancellazione (articolo 17). Le Impostazioni di ogni piattaforma hanno un’azione Elimina account — su iPhone, iPad e Android allo stesso modo. Attivarla elimina definitivamente il tuo profilo dai nostri server e ogni record che dipende da esso — luoghi, foto, mappe, piani, percorsi, avvisi, token dei dispositivi, sessioni, abbonamenti e acquisti. Le foto catturate nel nostro spazio di archiviazione oggetti vengono ripulite da un processo in background entro pochi minuti. Gli eventi Mixpanel vengono messi in coda per la cancellazione tramite l’endpoint di cancellazione GDPR di Mixpanel. La libreria già conservata sul tuo stesso dispositivo viene deliberatamente lasciata al suo posto, esattamente come alla disconnessione, così eliminare l’account non porta via con sé le tue catture. Non hai bisogno dell’app installata per farlo — vedi Elimina il tuo account per il percorso di richiesta via web, l’elenco completo di cosa viene cancellato e cosa viene conservato e per quanto tempo.
• Accesso e portabilità. L’esportazione self-service non è ancora disponibile. Scrivi a [email protected] e ti invieremo un dump JSON con tutto ciò che è collegato al tuo account.
• Ritiro del consenso. Per l’analisi dei dati d’uso, attiva o disattiva Impostazioni → Privacy → Condividi dati d’uso. La modifica è immediata — il prossimo evento che il tuo telefono avrebbe inviato è il primo a essere bloccato. Vedi Come funziona l’analisi dei dati d’uso per il quadro completo.
• Opposizione, rettifica, limitazione. Scrivi a [email protected] per qualsiasi richiesta relativa ai diritti GDPR non coperta dalle funzioni in-app sopra descritte. Risponderemo entro 30 giorni.
• Annulla il tuo abbonamento tramite lo store che ti addebita i pagamenti, seguendo le sue istruzioni: Apple o Google Play. L’annullamento è indipendente dall’eliminazione dell’account. Se annulli Viewpoint Online senza eliminare il tuo account, la copia della tua libreria sui nostri server (i tuoi luoghi, le loro foto, le mappe, i piani di scatto, i percorsi e gli avvisi sulle condizioni) viene eliminata dai nostri server 7 giorni dopo la fine del tuo abbonamento. Il tuo account, la cronologia di fatturazione e tutto ciò che hai sul dispositivo restano. Abbonati di nuovo entro quei 7 giorni e non viene eliminato nulla. Ciò che le persone con cui condividi hanno aggiunto ai tuoi luoghi e alle tue mappe viene conservato, le tue condivisioni restano attive, e il segnaposto di un luogo condiviso resta sui nostri server, senza il nome, le tue note o le tue foto, finché non ti abboni di nuovo. Se elimini il tuo account senza annullare, l’abbonamento continua a essere addebitato finché non lo annulli nello store, perché solo lo store può fermare la fatturazione.

Modifiche a questa informativa

Se modifichiamo questa informativa in un modo che ti riguarda, la data Ultimo aggiornamento in cima a questa pagina riflette quando. Le modifiche sostanziali (nuovi sub-responsabili del trattamento, raccolta dati più ampia, cambio dell’entità operativa) saranno annunciate nell’app e tramite l’email associata al tuo account prima che entrino in vigore.

Contatti

Per qualsiasi domanda, richiesta o reclamo sulla privacy: [email protected].