Privacy

Informativa sulla protezione dei dati

Che cosa fa GeoQuestly con i tuoi dati — su questo sito e nell’app — scritto a partire da ciò che il software fa davvero.

Versione 1.13 · 21 ottobre 2026

Chi siamo e che cosa copre questo documento

GeoQuestly è un’app sociale basata sulla posizione di Mandrill Software GmbH. Questa informativa vale sia per questo sito sia per l’app GeoQuestly, perché per chi le usa sono un unico servizio.

In breve: la condivisione della tua posizione è disattivata finché non la attivi tu, decidi tu chi ti vede e con quale precisione, e puoi interrompere in qualsiasi momento. Seguire qualcuno non equivale a vedere dove si trova: in GeoQuestly sono due cose distinte, e lo sono sempre state.

Non vendiamo dati personali, non pubblichiamo pubblicità e non c’è alcun tracciamento su altri siti o app. Tutto quanto segue è stato scritto a partire dal codice sorgente e dalla configurazione del prodotto, non da ciò che di solito contiene un’informativa sulla privacy.

Condizioni d’uso

A chi si rivolge GeoQuestly

GeoQuestly è per chi ha almeno 16 anni. Non è pensato per i bambini, non chiediamo né conserviamo alcuna data di nascita e non trattiamo consapevolmente dati di persone più giovani.

Le condizioni d’uso indicano la stessa età minima come requisito per avere un account. Se ritieni che un account appartenga a una persona sotto i 16 anni, scrivici: verificheremo.

Quando crei il tuo account, confermi nell’app di avere almeno 16 anni e di accettare le condizioni d’uso; un account che esiste già lo conferma una volta al prossimo avvio. Per questo registriamo solo quale versione delle condizioni d’uso hai confermato e quando — nessuna età e nessuna data di nascita. Se elimini il tuo account, viene eliminato anche questo.

Questo sito

Il sito è composto da pagine generate in anticipo e servite da un server web. Non c’è alcun account, nessun modulo di contatto, nessuna funzione di commento e nessun negozio.

Non imposta cookie. Non contiene pubblicità né pulsanti dei social media, e non carica caratteri, script o immagini da terzi: tutto proviene dallo stesso indirizzo che stai leggendo, compresi i due servizi descritti più avanti, che il sito raggiunge solo attraverso questo indirizzo.

Salva al massimo due cose nel tuo browser, ciascuna solo dopo che hai scelto tu stesso qualcosa:

geoquestly.locale, un codice di lingua di due lettere come «de», scritto quando scegli una lingua dal menu delle lingue, perché tu non debba sceglierla a ogni visita,
geoquestly.visitorCounting.v1, la tua risposta alla domanda se possiamo contare le tue visite — «granted» o «denied» — e la data di questa risposta, scritte quando rispondi; dopo dodici mesi il sito te lo chiede di nuovo,
nessuna delle due ci viene mai inviata, e nessuna contiene un identificatore,
cancellando i dati dei siti nel browser spariscono entrambe; il sito segue di nuovo la lingua del browser e pone di nuovo la sua domanda.

I dati tecnici di connessione — il tuo indirizzo IP, l’ora, la pagina richiesta — vengono necessariamente trattati dal nostro fornitore di hosting per consegnarti la pagina. Per il sito non abbiamo attivato alcuna registrazione di log.

Contiamo le visualizzazioni di pagina con PostHog, un servizio di analisi di prodotto i cui dati sono conservati a Francoforte (Germania). Finché non ci permetti di contare le tue visite, una visualizzazione contiene l’indirizzo della pagina senza ciò che segue un punto interrogativo, la sua lingua e l’ora — nessuna pagina di provenienza, nessuna dimensione dello schermo, nessun dato sul browser o sul dispositivo e nessun identificatore che ti riguardi. Arriva a PostHog attraverso il nostro server, che non inoltra né il tuo indirizzo IP né altro sul tuo browser. Tutte queste visualizzazioni portano la stessa etichetta fissa: PostHog le conta quindi come visualizzazioni, mai come visitatori.

Se ci permetti di contare le tue visite, le tue visualizzazioni arrivano a PostHog attraverso una seconda via del nostro server, che oltre alla visualizzazione inoltra esattamente due cose: il tuo indirizzo IP e i dati del tuo browser (user agent). PostHog li usa, insieme all’indirizzo del sito e a un valore casuale che cambia ogni giorno, solo per ricavarne un identificativo non reversibile; PostHog cancella quel valore una volta elaborate le visualizzazioni del giorno e non salva il tuo indirizzo IP. Non c’è comunque alcun cookie, e per questo non viene salvato nulla nel tuo browser. Poiché l’identificativo cambia ogni giorno, ogni giorno conta come una nuova visita. Una visualizzazione contata così indica inoltre da dove arriva la tua visita: solo il dominio della pagina che ha portato alla nostra (per esempio news.example.ch — mai il suo indirizzo completo) e, se il link li conteneva, i tre valori di campagna utm_source, utm_medium e utm_campaign. Senza il tuo permesso non viene inviato nulla di tutto questo.

Chiediamo con una piccola barra in fondo alla pagina, e consentire è facile quanto rifiutare. La tua risposta viene memorizzata nel tuo browser (vedi sopra). Puoi cambiarla in qualsiasi momento in «Impostazioni privacy» in fondo a ogni pagina; il cambiamento vale dalla visualizzazione successiva.

Se il codice del sito non funziona nel tuo browser, il sito segnala l’errore a Sentry, un servizio di monitoraggio degli errori i cui dati sono anch’essi conservati a Francoforte (Germania): l’errore e il punto del codice in cui si è verificato, e l’indirizzo della pagina senza ciò che segue un punto interrogativo. Anche questa segnalazione passa dal nostro server e — qualunque sia la tua risposta sopra — non contiene indirizzo IP, cookie né nulla che ti identifichi.

PostHog conserva le visualizzazioni per un anno con il piano gratuito e per sette anni con un piano a pagamento; non è possibile impostare un periodo più breve. Sentry conserva le segnalazioni di errore per 30 giorni con il piano gratuito e per 90 giorni con un piano a pagamento. Nessuno dei due può collegare ciò che conserva a una persona.

Il tuo account

L’accesso avviene tramite Microsoft Entra External ID, un servizio di identità di Microsoft. Le tue credenziali vengono trattate lì; GeoQuestly non vede mai la tua password.

Ciò che il database di GeoQuestly contiene sul tuo account è:

un identificativo utente GeoQuestly, il tuo nome visualizzato e il tuo handle,
gli identificativi che collegano il tuo account alla directory che ti autentica,
lo stato del tuo account e le date dei suoi cambiamenti: attivato, disattivato, cancellazione richiesta,
i tuoi dispositivi: un identificativo di installazione, la piattaforma, un nome dispositivo facoltativo, la versione dell’app e quando è stato visto l’ultima volta,
quale versione delle condizioni d’uso hai confermato — con la tua conferma di avere almeno 16 anni — e quando.

GeoQuestly non salva il tuo indirizzo e-mail. Esso esiste nella directory Microsoft che ti autentica; l’app non lo legge dal token di accesso e non lo conserva.

L’immagine del profilo che carichi è conservata nel nostro archivio media sotto il tuo identificativo utente, e viene sostituita o rimossa quando la cambi o la elimini.

Ciò che scrivi e condividi

I post, i messaggi in chat, le chat di gruppo e i media allegati vengono conservati perché le persone a cui sono destinati possano vederli:

il testo di post e messaggi,
le immagini e gli altri media che alleghi,
reazioni, hashtag e menzioni,
quali conversazioni hai letto.

Il testo dei messaggi e dei post è cifrato dove viene conservato e non è quindi leggibile nel database stesso.

Se alleghi deliberatamente un luogo a un post o a un messaggio, quel luogo fa parte del contenuto pubblicato ed è visibile a chiunque veda il post. È una decisione diversa dalla condivisione della posizione in tempo reale, di cui tratta la sezione successiva.

Un video o un documento che alleghi viene conservato come il file che hai scelto: GeoQuestly non lo converte, non lo legge e non ne rimuove nulla. Ciò che il file porta con sé — il luogo e l’ora di una registrazione video, il nome dell’autore salvato in un documento — arriva quindi insieme a esso alle persone a cui lo invii. Una foto è diversa: viene ricodificata sul tuo dispositivo prima del caricamento, il che rimuove questi dati.

Un tuo post puoi eliminarlo in qualsiasi momento. Chi sulla piattaforma ha il ruolo Moderatore, Admin o SuperAdmin può eliminare qualsiasi post; un ruolo in un gruppo non lo consente. Un’eliminazione rimuove il testo, le immagini e i video insieme ai loro file salvati, il luogo allegato, le reazioni, gli hashtag e le menzioni, e non si può annullare. Le risposte di altre persone restano, sotto «Post eliminato». Ogni eliminazione viene registrata internamente: chi l’ha eseguita e se si è trattato di una moderazione.

Nelle chat i membri vedono se e quando un messaggio che hanno inviato è arrivato agli altri («Consegnato») e se e quando è stato letto («Letto»): in una chat a due per l’altra persona, in una chat di gruppo per i membri che lo hanno ricevuto. Gli altri vedono lo stesso per i messaggi che ti inviano. Nelle impostazioni puoi disattivare «Conferme di lettura»: allora nessuno vede quando hai letto un messaggio, e tu non lo vedi neanche per gli altri; «Consegnato» resta visibile. Il momento esatto in cui un messaggio è stato consegnato o letto viene conservato finché la chat esiste e tu ne fai parte; viene eliminato quando lasci il gruppo o ne vieni rimosso, quando la chat viene eliminata e con il tuo account.

Posizione

La condivisione della posizione è disattivata finché non la attivi. Prima di allora nulla della tua posizione viene condiviso, conservato o mostrato a qualcuno.

Quando la attivi, quattro cose sono tue: se è attiva, per quanto tempo, chi può vederti — i gruppi che selezioni e le impostazioni per le amiche e gli amici — e con quale precisione, dalla posizione esatta a un’area approssimativa fino a nulla del tutto.

La precisione che una persona riceve davvero è la più bassa fra tre limiti: quanto precisamente il tuo dispositivo era autorizzato a misurare, il limite che hai impostato tu e ciò a cui quella persona ha diritto. Chi riceve non può mai aumentarla. Anche un’app di IA che chi riceve ha collegato a GeoQuestly riceve la tua posizione solo con la precisione con cui la condividi con quella persona (vedi «Le app di IA che colleghi a GeoQuestly»).

Seguire qualcuno non permette di vedere dove si trova. La condivisione della posizione è una decisione autonoma della persona interessata, e l’essere seguiti non ne ha mai fatto parte.

Se lo consenti, l’app può ricevere posizioni anche mentre è in secondo piano o lo schermo è spento. È questo che fa continuare a funzionare la posizione condivisa quando metti il telefono in tasca, e sia iOS sia Android ti mostrano che sta accadendo. Puoi revocare l’autorizzazione in qualsiasi momento nelle impostazioni del dispositivo e puoi disattivare la condivisione nell’app senza toccare l’autorizzazione.

Mentre condividi, esiste quanto segue:

la tua posizione condivisa attuale, in una cache di breve durata che scade dopo circa 30 minuti e che ogni nuova posizione sostituisce,
un punto di riferimento della tua ultima posizione condivisa sul tuo record di condivisione, scritto al massimo ogni pochi minuti, perché chi riceve veda comunque qualcosa se la cache va persa,
il pubblico e la durata che hai scelto,
se l’app è attualmente aperta, informazione che scade da sola poco dopo,
se ti stai muovendo: è uno stato di breve durata, non un percorso.

GeoQuestly non conserva una cronologia delle posizioni. Non esiste alcuna traccia, alcuna tabella di posizioni passate né alcuna registrazione di dove sei stato: esiste la tua ultima posizione finché condividi, e il punto di riferimento porta l’ora della misurazione reale, così che una posizione di venti minuti fa lo dica invece di fingersi attuale.

Quando disattivi la condivisione, o la durata scelta termina, l’interruttore, il pubblico e il punto di riferimento salvato vengono cancellati insieme in un unico passaggio, e la copia di breve durata scade da sé.

Finché la condivisione è attiva, il tuo telefono conserva al massimo UNA posizione che non ci è ancora arrivata — la più recente — così che un momento senza segnale non ti faccia sparire. Vive solo sul tuo dispositivo, non è mai un percorso, ogni posizione più recente la sostituisce e viene cancellata quando disattivi la condivisione. Nulla di tutto ciò cambia quello che conserviamo noi: sempre e solo la tua ultima posizione.

Il percorso che la tua mappa sta mostrando resta finché non lo chiudi o un nuovo percorso lo sostituisce, anche quando chiudi l’app. Viene salvato solo sul tuo dispositivo e appartiene al tuo account: quando esci o cambi account viene rimosso, e un altro account sullo stesso telefono non lo vede. Non viene mai inviato ai server di GeoQuestly; partenza e destinazione ci arrivano solo quando calcoli o ricalcoli un percorso. È sempre e solo questo percorso, mai uno storico dei tuoi spostamenti.

Avvisi di arrivo e di partenza

Un luogo in GeoQuestly può avvisare qualcuno quando una persona vi arriva o se ne va. Ne esistono due tipi: un avviso che i responsabili di un gruppo configurano per quel gruppo e un allarme personale che imposti per te.

Entrambi vengono calcolati da una posizione che stai già condividendo. Non c’è alcuna localizzazione separata, nessuna seconda autorizzazione e nessuna raccolta aggiuntiva: se non condividi la posizione con il gruppo o la persona interessata, non viene valutato nulla. La condivisione è l’autorizzazione.

Un avviso di gruppo notifica le persone indicate dalla configurazione del gruppo; un allarme personale notifica soltanto te. Le registrazioni degli arrivi e delle partenze prodotte vengono conservate per un periodo limitato — attualmente sette giorni — e poi rimosse automaticamente.

Notifiche push

Se autorizzi le notifiche, il tuo dispositivo fornisce all’app un indirizzo di consegna. Conserviamo:

il token push rilasciato da Apple o Google, che è un indirizzo di consegna e cambia nel tempo,
un identificativo di installazione, la piattaforma e la lingua dell’app, perché la notifica arrivi nella lingua giusta sul dispositivo giusto,
quando il dispositivo è stato visto l’ultima volta.

La consegna avviene tramite Azure Notification Hubs, che passa le notifiche ad Apple o Google. Chi riceve una notifica viene determinato al momento dell’invio dal nostro database, mai dal servizio di notifica. Una notifica dice all’app dove guardare; l’app carica poi il contenuto da sé, con la tua sessione e i tuoi permessi.

L’IA in GeoQuestly

GeoQuestly ha funzioni di IA che ogni persona con un account può usare: redigono un gruppo o gli eventi di un programma, rispondono in una chat di gruppo quando qualcuno scrive @geoquestly, propongono modifiche agli admin e ai moderatori di un gruppo con «Modifica con l’IA» e disegnano un’immagine a partire da una descrizione. Ogni richiesta la avvia una persona, e le costa crediti (vedi «Crediti e acquisti in-app»).

La richiesta va ad Anthropic o a OpenAI negli Stati Uniti, un’immagine sempre a OpenAI. Quale fornitore e quale modello rispondono lo decide GeoQuestly, non la persona che chiede. Al fornitore arriva:

per una bozza: l’incarico scritto, la regione indicata, la lingua ed eventualmente un documento allegato — un PDF, un’immagine, una pagina,
per @geoquestly in una chat di gruppo: la domanda; nome e descrizione del gruppo, fino a 40 dei suoi luoghi e fino a 20 dei suoi eventi — nessun luogo nascosto e nessuna sorpresa prima che venga svelata; gli ultimi dodici messaggi della chat, solo il testo, ciascuno con il nome visualizzato di chi l’ha scritto; e, solo finché la persona che chiede condivide la sua posizione e questa ha al massimo un’ora, la zona in cui si trova — un’area di circa 350 metri, mai la sua posizione esatta,
per «Modifica con l’IA»: lo stesso, ma senza messaggi della chat e senza nomi,
per un’immagine: la descrizione, nient’altro.

Non ne fanno parte i dati dell’account, gli handle, gli elenchi dei membri, gli allegati e la posizione di chiunque altro. Se scrivi in una chat di gruppo, è bene saperlo: quando qualcuno lì chiede a @geoquestly, gli ultimi messaggi partono con i nomi visualizzati. La richiesta può includere una ricerca sul web effettuata dal fornitore. GeoQuestly controlla poi da sé i luoghi proposti con fonti di dati cartografici e calcola i percorsi con OpenRouteService; lì arrivano nomi e posizione dei luoghi, nulla su di te.

L’IA non applica nulla da sola. Una persona apre una bozza nell’editor normale e decide che cosa viene salvato; una proposta dalla chat o da «Modifica con l’IA» la applica un admin o un moderatore del gruppo, nome e descrizione del gruppo solo un admin. La risposta in una chat di gruppo è un messaggio che tutti i membri leggono; viene conservata cifrata come ogni messaggio della chat e resta finché la chat esiste.

Ciò che qualcuno ha scritto all’IA — un incarico, una domanda, la descrizione di un’immagine — e ciò che ha risposto o proposto, GeoQuestly lo conserva come registro della richiesta, insieme a fornitore, modello e consumo. Viene cancellato quando cancelli il tuo account o quando viene cancellato il gruppo a cui appartiene. Ciò che hai scritto nella proposta IA di un’altra persona resta lì, come i tuoi messaggi in una chat di gruppo — attribuito a una persona eliminata.

I documenti allegati vengono rimossi automaticamente se non vengono usati — attualmente dopo 48 ore, dopo 6 ore per una richiesta senza bozza — e con l’account. Le bozze restano, anche salvate o scartate, finché non cancelli il tuo account o non viene cancellato il gruppo nato da una bozza o per cui è stata fatta; solo una bozza di evento che scarti viene cancellata subito. Un’immagine disegnata che non viene usata resta 24 ore. Un’app di IA che colleghi tu stesso al tuo account è un’altra cosa — ciò che può leggere lo descrive la sezione successiva.

Le app di IA che colleghi a GeoQuestly

Puoi collegare al tuo account GeoQuestly un’app di IA che usi personalmente — per esempio Claude di Anthropic (l’app Claude o Claude Code) o ChatGPT di OpenAI. Per farlo, accedi al tuo account GeoQuestly dall’app di IA: è questo accesso a collegarla, e GeoQuestly non ti chiede un’autorizzazione a parte. Da quel momento può leggere e agire in GeoQuestly quando glielo chiedi — come te, esattamente con i tuoi diritti nell’app e non di più. Finché non ne colleghi nessuna, non succede nulla di tutto questo.

Ciò che può leggere è ciò che vedi nell’app:

il tuo profilo, le tue amiche e i tuoi amici e le vostre richieste di amicizia, i tuoi gruppi con i loro membri, inviti e luoghi, gli eventi (una sorpresa resta una sorpresa), i post e le tue chat con i loro messaggi, nonché chiunque tu cerchi per nome o identificativo — con nome e identificativo, come li mostra la ricerca dell’app,
dove si trovano le tue amiche e i tuoi amici — solo se condividono la loro posizione con te e solo con la precisione scelta: esatta o come area approssimativa, con il momento dell’ultimo aggiornamento e l’indirizzo accanto,
se le tue amiche e i tuoi amici sono online o in movimento — come ciascuno lo rende visibile in «Chi vede il tuo stato», anche quando non condividono la loro posizione con te: uno stato non dice nulla su dove si trovi qualcuno,
le posizioni condivise in un gruppo di cui sei membro e la tua posizione condivisa.

Ciò che può fare, quando glielo chiedi, è ciò che puoi fare nell’app: rispondere a inviti e richieste di amicizia, inviare messaggi nei gruppi e alle amiche e agli amici, scrivere post, creare eventi nei tuoi gruppi, creare gruppi e unirti a essi e modificare la tua condivisione della posizione — secondo le regole dell’app, e gli altri lo vedono come se l’avessi fatto nell’app. Immagini, video e documenti, modifica ed eliminazione e l’amministrazione non sono disponibili. Un messaggio a @geoquestly che un’app di IA invia per te non avvia l’IA di GeoQuestly e non costa crediti.

Ciò che l’app di IA legge in questo modo lo riceve il suo fornitore — Anthropic per Claude, OpenAI per ChatGPT, entrambi negli Stati Uniti —, che lo tratta secondo le condizioni che hai concordato con lui e può conservarlo secondo tali condizioni. GeoQuestly non ha alcuna influenza su questo, e ciò che elimini in GeoQuestly non elimina ciò che il fornitore ha già ricevuto. Avviene su tua istruzione: GeoQuestly non invia nulla di propria iniziativa a un’app di IA, e il suo fornitore non tratta i dati per conto nostro. Puoi interrompere il collegamento in qualsiasi momento nelle impostazioni dell’app di IA. GeoQuestly offre queste due app di IA. Se invece colleghi un altro strumento sul tuo computer — per esempio VS Code —, è un tuo strumento: ciò che legge va dove gli permetti di inviarlo.

Se condividi la tua posizione con un’amica o un amico: se questa persona ha collegato un’app di IA, l’app di IA può leggere la tua posizione esattamente come la condividi con questa persona — esatta se la condividi in modo esatto, altrimenti solo l’area approssimativa — e la posizione raggiunge allora il fornitore di quell’app di IA. Niente di più, e niente che tu non mostri a questa persona. Lo stesso vale per i post e i messaggi che mostri o scrivi ad altri: la loro app di IA legge ciò che vedono. Chi ti vede e con quale precisione resta una tua decisione, e disattivare la condivisione vale per un’app di IA dalla sua richiesta successiva.

Il server attraverso cui le app di IA si collegano non conserva nulla di proprio: ciò che un’app di IA scrive per te viene salvato come nell’app. Registra quale funzione è stata richiamata e quando, con quale esito e quanto è durata, sotto un hash abbreviato dell’ID del tuo account — senza contenuti, testi dei messaggi, coordinate o indirizzi.

Crediti e acquisti in-app

GeoQuestly conteggia alcune funzioni a pagamento — l’assistente è la prima — in crediti. I crediti sono unità proprie di GeoQuestly: non sono denaro, non hanno valore monetario, non sono trasferibili e non vengono pagati in contanti. Ciò che GeoQuestly conserva al riguardo è un saldo e un registro di ogni sua variazione — crediti aggiunti, usati, rettificati o ritirati — legato al tuo identificativo utente, con l’importo, il tipo di variazione e la data. Per un’esecuzione a pagamento dell’assistente il registro annota anche quale tariffa si applicava e i conteggi d’uso da cui è stato calcolato l’addebito; mai l’incarico, il documento o la risposta.

I crediti possono essere acquistati nell’app. L’acquisto avviene tramite l’App Store di Apple su un iPhone o un iPad o tramite Google Play su un dispositivo Android, alle condizioni di quello store e con il metodo di pagamento che vi hai registrato. GeoQuestly non vede la tua carta, il tuo indirizzo di fatturazione né la tua ricevuta, e non fissa alcun prezzo nell’app: il prezzo che vedi è quello dello store, per il tuo paese.

Ciò che passa tra lo store e GeoQuestly per un acquisto è:

un contrassegno casuale che GeoQuestly associa al tuo account e consegna allo store al momento dell’acquisto, così che lo store possa dire a GeoQuestly a quale account appartiene un acquisto senza che nessuna delle due parti ti nomini,
l’identificativo della transazione assegnato dallo store, il prodotto acquistato, il suo stato — pagato, in sospeso, rimborsato — e la prova d’acquisto firmata dallo store stesso, che GeoQuestly verifica presso i server dello store prima di aggiungere qualsiasi credito,
per un acquisto su Google Play, il token d’acquisto emesso da Google, che GeoQuestly conserva cifrato e usa solo per interrogare di nuovo Google su quell’acquisto,
le notifiche successive dello store su quell’acquisto — un rimborso, una revoca, un messaggio di prova,
ciò che GeoQuestly conserva: l’identificativo della transazione, il prodotto, i crediti accreditati, lo stato e le date di ogni passaggio,
nient’altro: nessun nome, nessun indirizzo e-mail, nessun ID Apple o account Google, nessun dato di pagamento.

I crediti vengono aggiunti solo dopo che lo store ha confermato l’acquisto ai server di GeoQuestly. Se nel frattempo l’app è chiusa o offline, l’acquisto non va perso: viene completato al successivo avvio dell’app. Se lo store rimborsa o revoca un acquisto, vengono ritirati tutti i crediti accreditati — o, in caso di rimborso parziale, la quota corrispondente, secondo la decisione di rimborso verificata dallo store —, anche se ne hai già usato una parte; il tuo saldo può allora essere negativo, e le funzioni a pagamento restano non disponibili finché non torna positivo. Se lo store annulla in seguito quel rimborso, GeoQuestly ripristina i crediti che aveva ritirato per esso.

La registrazione di un acquisto e del suo rimborso è il nostro documento contabile di una vendita. Viene conservata per tutto il tempo che il diritto contabile ci impone, che è più della possibile durata del tuo account, e sopravvive all’eliminazione del tuo account sotto il segnaposto che sostituisce la tua scheda utente. I crediti residui non vengono pagati all’eliminazione di un account.

Per l’acquisto in sé, Apple e Google sono indipendenti da noi: le loro informative sulla privacy regolano ciò che fanno con il tuo pagamento e il tuo account dello store. I server di GeoQuestly li contattano per verificare un acquisto e, su Google Play, per segnarlo come consegnato; quelle richieste contengono l’identificativo della transazione, il prodotto e — per Google — il token d’acquisto, mai nulla su di te.

Dati di utilizzo ed errori nell’app

Per poter vedere quali parti di GeoQuestly vengono davvero usate e correggere ciò che non funziona, l’app invia due tipi di dati: eventi di utilizzo a PostHog e segnalazioni di errore a Sentry. I dati di entrambi i servizi sono conservati a Francoforte (Germania).

Sei tu a decidere se questo dispositivo li invia, in Impostazioni → Note legali → «Invia dati di utilizzo ed errori». L’interruttore è attivo dopo l’installazione e vale solo per questo dispositivo. Se lo disattivi, l’app non invia da qui né eventi di utilizzo né segnalazioni di errore — e nel frattempo non viene raccolto nulla da inviare più tardi.

Che cosa viene inviato, e che cosa mai:

un evento di utilizzo è il nome di un’azione presa da un elenco fisso nel codice dell’app — per esempio che l’app è stata aperta, una schermata visualizzata, un gruppo creato o un messaggio inviato — con al massimo qualche attributo generico, come il tipo di messaggio (testo, immagine, video), il passo di una procedura guidata o la classe di dimensione di un pacchetto di crediti. Nulla viene registrato osservando dove tocchi,
ogni schermata è indicata con il suo percorso senza alcun identificatore — che è stata aperta la pagina di un gruppo, mai di quale,
ogni evento contiene inoltre la versione dell’app, la piattaforma (Android, iOS o web) e la piattaforma GeoQuestly a cui l’app è collegata, insieme a un identificatore casuale di questa installazione e, dopo l’accesso, allo pseudonimo del tuo account descritto qui sotto,
una segnalazione di errore contiene l’errore e il punto del codice in cui si è verificato, la versione dell’app e la piattaforma, e le schermate e le richieste immediatamente precedenti — indicate con il loro percorso senza alcun identificatore, una richiesta solo con metodo ed esito,
mai: la tua posizione o qualcosa che ne derivi, il contenuto di messaggi, post, gruppi, eventi, luoghi, commenti o richieste e risposte dell’IA, nomi, nomi utente o indirizzi e-mail, gli identificatori di gruppi, eventi, luoghi, chat o persone, il tuo indirizzo IP, né alcuna registrazione dello schermo,
nell’app web entrambi arrivano a PostHog e a Sentry attraverso il nostro server, che non inoltra il tuo indirizzo IP; le app per iOS e Android li inviano direttamente, ed entrambi i servizi sono configurati per non salvare l’indirizzo IP del dispositivo.

Lo pseudonimo viene calcolato dal nostro server a partire dal tuo identificatore utente con una chiave segreta, e accorciato a 32 caratteri. Ci permette di contare quante persone usano una funzione senza sapere chi sono. PostHog e Sentry non possono riconvertirlo nel tuo account, e non teniamo alcun elenco che colleghi i due: una volta eliminato il tuo account, nulla collega più lo pseudonimo a te.

Le segnalazioni di errore dei nostri server fanno parte della gestione del servizio e non dipendono dall’interruttore: quando qualcosa non riesce sul server, l’errore e le righe di log del server vanno a Sentry, ripulite allo stesso modo — nessuna posizione, nessun contenuto, nessun nome o indirizzo e-mail, nessun identificatore, nessun indirizzo IP, nessun corpo, header o cookie di una richiesta — e al massimo con lo pseudonimo dell’account che ha fatto la richiesta.

PostHog conserva gli eventi di utilizzo per un anno con il piano gratuito e per sette anni con un piano a pagamento; non è possibile impostare un periodo più breve. Sentry conserva le segnalazioni di errore per 30 giorni con il piano gratuito e per 90 giorni con un piano a pagamento, e le righe di log dei server per 30 giorni.

Quando esci dall’account, passi a un’altra piattaforma o elimini il tuo account, l’app dimentica lo pseudonimo e riparte con un nuovo identificatore casuale.

Mappe e altri servizi contattati dal tuo dispositivo

Una mappa si compone di tasselli pubblicati da altre organizzazioni, e il tuo dispositivo li richiede direttamente a loro. È così che funziona una mappa, e significa che quelle organizzazioni vedono la richiesta:

le mappe di base di OpenFreeMap, swisstopo (in Svizzera), Esri e OpenStreetMap (la mappa «Classica»),
i livelli svizzeri facoltativi — swisstopo e geo.admin.ch, gli uffici federali dell’ambiente e delle strade, MeteoSvizzera, Basilea Città, Basilea Campagna e geodienste.ch — disattivati finché non li attivi tu,
GIPHY, quando apri il selettore di GIF in una chat o in un post. GIPHY richiede che le app la contattino direttamente e non ci consente di farlo al tuo posto,
ciò che ciascuno può vedere è quanto mostra qualsiasi richiesta web: il tuo indirizzo IP, ciò che hai chiesto e i dati tecnici del tuo dispositivo.

Altre ricerche vengono eseguite sui server di GeoQuestly anziché sul tuo dispositivo, quindi non contatti tu quei fornitori e il tuo indirizzo IP non li raggiunge: la ricerca di luoghi e indirizzi (Photon), il calcolo dei percorsi (OpenRouteService), la pianificazione di collegamenti con i trasporti pubblici (opentransportdata.swiss), l’indirizzo mostrato accanto a una posizione (swisstopo in Svizzera, Nominatim altrove), la verifica dei luoghi proposti dall’assistente IA (Nominatim, Overpass) e la ricerca di immagini dei luoghi (Wikimedia Commons).

L’indirizzo accanto a una posizione — di un luogo, di un evento, di una posizione condivisa o di una partenza o destinazione di un percorso che hai spostato — lo ottiene il server di GeoQuestly. Per una posizione in Svizzera o vicino al confine svizzero interroga prima i geoservizi della Confederazione (geo.admin.ch, gestiti dall’Ufficio federale di topografia swisstopo): l’indirizzo ufficiale dell’edificio più vicino entro 50 metri, altrimenti il comune e il cantone. Altrove, e quando i geoservizi della Confederazione non conoscono un indirizzo svizzero in quel punto, non rispondono in tempo o il loro contingente di richieste è esaurito, interroga Nominatim, il servizio di indirizzi di OpenStreetMap. Il tuo telefono non contatta nessuno di questi servizi e il tuo indirizzo IP non li raggiunge. La richiesta contiene solo le coordinate arrotondate a circa 11 metri — per Nominatim anche la lingua della risposta —, nulla su di te. Il server di GeoQuestly conserva la risposta per 24 ore, archiviata sotto quelle coordinate arrotondate e senza riferimento a nessuna persona.

Tutte queste organizzazioni sono indipendenti da noi; a ciò che fanno di una richiesta ricevuta si applicano le loro condizioni e informative.

Disattivare un livello facoltativo interrompe le sue richieste, e non aprire il selettore di GIF significa che a GIPHY non viene inviata alcuna richiesta.

Dove sono i tuoi dati e chi li tratta

GeoQuestly funziona su Microsoft Azure. La responsabile dei tuoi dati resta Mandrill Software GmbH; Azure li tratta su nostro incarico e per nessuna finalità propria.

Dove funzionano le parti del servizio:

il database applicativo, con account, contenuti e impostazioni di condivisione — Svizzera (Switzerland North),
la cache e la connessione in tempo reale che mantiene viva la mappa — Svizzera (Switzerland North),
l’archivio media per immagini e allegati — Svizzera (Switzerland North),
la consegna delle notifiche — Svizzera (Switzerland West) e da lì ad Apple o Google,
l’accesso tramite Microsoft Entra External ID — la directory è registrata per la Svizzera e Microsoft conserva i relativi dati di identità nella sua regione europea,
gli eventi di utilizzo e le segnalazioni di errore dell’app e del sito — PostHog e Sentry, dati conservati a Francoforte (Germania).

Alcuni dati lasciano necessariamente la Svizzera: verso Apple e Google alla consegna di una notifica o quando acquisti crediti tramite i loro store, verso il fornitore di IA quando qualcuno usa una funzione di IA, verso il fornitore di un’app di IA — per esempio Anthropic o OpenAI — quando un’app di IA collegata da te — o da una persona con cui condividi qualcosa — legge per quella persona, verso i fornitori di mappe e GIF che il tuo dispositivo contatta, e all’interno dell’infrastruttura europea di Microsoft quando accedi. Per i dati di utilizzo ed errori i fornitori sono inoltre due imprese statunitensi, PostHog, Inc. e Functional Software, Inc. (Sentry): i loro dati per GeoQuestly sono conservati a Francoforte, ma possono essere accessibili dagli Stati Uniti. Per questo entrambe si basano, nei loro accordi sul trattamento dei dati, sullo Swiss–U.S. Data Privacy Framework e sulle clausole contrattuali tipo dell’UE adattate al diritto svizzero.

La Svizzera riconosce agli Stati dell’UE e dello SEE un livello adeguato di protezione dei dati e, dal 15 settembre 2024, anche agli Stati Uniti per le imprese certificate secondo lo Swiss–U.S. Data Privacy Framework.

Se vuoi sapere quale garanzia si applica a una determinata comunicazione, chiedicelo e te lo diremo.

Per quanto tempo conserviamo i dati

I dati sono conservati finché hanno uno scopo, e non oltre:

account, profilo e impostazioni: finché il tuo account esiste. Post, messaggi, gruppi ed eventi: finché non vengono eliminati — e la pagina di eliminazione dell’account dice che cosa accade ai contenuti che hai scritto ad altri quando l’account stesso viene meno,
la tua posizione condivisa: la copia di breve durata scade dopo circa 30 minuti e il punto di riferimento viene cancellato nel momento in cui smetti di condividere,
l’indicazione che l’app è aperta: pochi minuti dopo che smette di segnalarlo,
arrivi e partenze registrati dagli avvisi di luogo: attualmente sette giorni,
documenti allegati a una bozza IA: 48 ore se non vengono mai usati, 6 ore per un’esecuzione senza bozza,
il tuo saldo e il tuo registro dei crediti, e la registrazione di ogni acquisto e del suo rimborso: le registrazioni d’acquisto per tutto il tempo che il diritto contabile impone, e tutte oltre l’eliminazione del tuo account, sotto il segnaposto che lo sostituisce,
gli eventi di utilizzo presso PostHog: un anno con il piano gratuito, sette anni con un piano a pagamento — lo pseudonimo che contengono non può più essere collegato a te dopo l’eliminazione del tuo account,
le segnalazioni di errore presso Sentry: 30 giorni con il piano gratuito, 90 giorni con un piano a pagamento; le righe di log dei server presso Sentry: 30 giorni,
ciò che qualcuno ha scritto all’IA e ciò che ha risposto: finché l’account o il gruppo non viene cancellato; una bozza, anche salvata o scartata: finché non viene cancellato l’account, o il gruppo nato da essa o per cui è stata fatta — una bozza di evento scartata viene cancellata subito; un’immagine disegnata che non viene usata: 24 ore.

Tutto ciò che non è elencato sopra resta finché serve allo scopo descritto in questa informativa e viene rimosso quando elimini il tuo account.

Perché ci è consentito trattare questi dati

Tutto quanto sopra viene trattato per uno di pochi motivi, e vale la pena dire quale valga per che cosa — non da ultimo perché è il motivo a stabilire che cosa puoi farci.

Riprendendo ciò che GeoQuestly conserva:

il tuo account, il tuo profilo e le funzioni sociali che usi — amicizie, follow, gruppi, eventi, post e chat — sono trattati per fornirti il servizio che hai chiesto. Senza di essi non c’è alcun prodotto da consegnare.
l’accesso, per lo stesso motivo: un account in cui non puoi più entrare non è un account.
la tua posizione e gli avvisi di arrivo e di partenza che ne derivano si fondano su una tua decisione. La prendi ogni volta che attivi la condivisione, ne scegli i destinatari e la precisione, e la revochi disattivandola.
le notifiche push si fondano sul permesso che hai dato al tuo dispositivo, che il dispositivo stesso ti consente anche di ritirare.
le funzioni di IA vengono eseguite perché una persona le avvia, e sono trattate per fornirle il servizio che ha chiesto. Ciò che parte insieme da altre persone — per una domanda in una chat di gruppo, gli ultimi messaggi con i nomi visualizzati di chi li ha scritti — lo trattiamo nel nostro legittimo interesse che l’IA capisca la conversazione in cui viene interpellata. L’abbiamo ponderato con l’interesse dei membri: solo testo, solo gli ultimi dodici messaggi, solo i nomi visualizzati, nessun allegato e nessuna posizione.
l’acquisto di crediti, e la consegna, il recupero e lo storno di un acquisto, sono trattati per eseguire l’acquisto che hai fatto e per tenere il documento contabile che la legge richiede a un venditore.
tenere GeoQuestly funzionante, sicuro e al riparo dagli abusi — respingere le richieste dannose, proteggere gli account, mantenere il servizio in piedi — è il nostro legittimo interesse a gestirlo, e lo abbiamo bilanciato con il tuo.
gli eventi di utilizzo e le segnalazioni di errore dell’app, le visualizzazioni contate senza il tuo consenso e le segnalazioni di errore del sito si fondano sul nostro legittimo interesse a sapere quali parti di GeoQuestly vengono usate e a correggere ciò che non funziona. Lo abbiamo bilanciato con il tuo: nessuno viene identificato, nulla dei tuoi contenuti o della tua posizione vi compare, e nell’app puoi opporti in qualsiasi momento, per ogni dispositivo, con l’interruttore nelle impostazioni. Il conteggio delle tue visite al sito si fonda sul tuo consenso, che dai o revochi in «Impostazioni privacy» in fondo a ogni pagina.
ciò che un’app di IA che hai collegato legge e fa viene trattato su tua istruzione, per fornirti il servizio nel modo che hai scelto. Ciò che altri condividono con te raggiunge la tua app di IA solo come lo condividono con te, e questa informativa glielo dice.

Quando un trattamento si fonda su una tua decisione, revocarla è un interruttore e non una richiesta: disattiva la condivisione della posizione, revoca il permesso per le notifiche nelle impostazioni del dispositivo, elimina il tuo account. Nulla di tutto ciò deve passare da noi.

Quando si fonda sul nostro interesse al funzionamento del servizio, non vi è al suo interno alcuna pubblicità, alcuna profilazione, alcun punteggio e alcun ritratto di te costruito da qualche parte. Se vuoi comunque opporti a un trattamento determinato, dillo: lo esamineremo per quello che è.

I tuoi diritti

Il diritto svizzero sulla protezione dei dati ti consente di chiederci gratuitamente:

accesso: la conferma che trattiamo dati che ti riguardano e una copia degli stessi,
rettifica dei dati inesatti,
cancellazione del tuo account e dei dati che vi appartengono,
opposizione a un determinato trattamento o revoca di un permesso concesso: disattivare la condivisione della posizione è esattamente questo,
in determinati casi, la consegna dei dati che hai fornito in un formato corrente e leggibile da una macchina.
la limitazione di un determinato trattamento finché una divergenza al riguardo non sia chiarita.

Buona parte puoi farla da te, senza chiedere a nessuno: modificare il profilo, eliminare i tuoi post e i tuoi messaggi di chat, lasciare un gruppo, disattivare la condivisione della posizione ed eliminare definitivamente il tuo account nell’app, alla voce «Account». Se non hai più l’app installata, la pagina di eliminazione dell’account spiega come chiederlo a noi.

Per tutto ciò che l’app non può fare — una richiesta di accesso, una rettifica che dobbiamo eseguire noi — scrivici. Potremmo doverti chiedere prima di identificarti, perché consegnare i tuoi dati alla persona sbagliata sarebbe l’errore peggiore.

Le richieste ci raggiungono all’indirizzo per la protezione dei dati qui sotto, oppure per posta a Mandrill Software GmbH all’indirizzo indicato nelle note legali.

Contatto protezione dei dati: info@mandrill.software

Elimina il tuo account

Quale legge si applica e dove presentare un reclamo

Mandrill Software GmbH è una società svizzera, GeoQuestly gira su infrastruttura situata in Svizzera e questa informativa è redatta secondo il diritto svizzero in materia di protezione dei dati — la legge federale sulla protezione dei dati.

L’autorità di controllo è l’Incaricato federale della protezione dei dati e della trasparenza (IFPDT), Feldeggweg 1, 3003 Berna. Se ritieni che trattiamo male i tuoi dati, dillo prima a noi — preferiamo sistemare le cose piuttosto che discuterne — ma puoi segnalarlo all’IFPDT in qualsiasi momento, e nulla qui ti chiede di rivolgerti prima a noi.

GeoQuestly esce prima in Svizzera. Questa informativa è stata scritta in modo da contenere già le indicazioni richieste dal regolamento generale europeo sulla protezione dei dati; se in futuro offriremo GeoQuestly a persone che si trovano nell’UE o nello SEE, completeremo le parti specifiche per l’UE che mancano — fra cui il rappresentante nell’Unione che una società stabilita al di fuori di essa deve designare — prima di quel momento e non dopo.

Ovunque tu sia, sono i diritti descritti sopra quelli su cui agiamo. Non chiediamo in quale Paese ti trovi prima di rispondere a una domanda sui tuoi dati.

Sicurezza

Le misure che qui contano di più, a un livello che ha senso indicare pubblicamente:

tutto ciò che passa tra il tuo dispositivo e i nostri server viaggia su connessioni cifrate,
il contenuto di messaggi e post è inoltre cifrato dove viene conservato,
se qualcuno possa vedere qualcosa viene deciso a ogni singola richiesta dal database che fa fede, mai da una risposta in cache che potrebbe essere superata,
l’accesso è gestito dal servizio di identità di Microsoft: la tua password non raggiunge quindi mai GeoQuestly.

Nessun sistema è perfettamente sicuro e non sosteniamo il contrario. Se si verifica una violazione della sicurezza dei dati che comporta probabilmente un rischio elevato per la tua personalità o i tuoi diritti fondamentali, la notificheremo al più presto all’Incaricato federale della protezione dei dati e della trasparenza e ti informeremo dove la legge lo richiede o dove ciò ti aiuta a proteggerti.

Modifiche a questa informativa

GeoQuestly è in sviluppo attivo, quindi questa informativa cambierà insieme al prodotto. La versione in vigore è sempre quella su questa pagina.

La versione e la data in alto indicano l’ultima modifica. Una modifica che incide in modo sostanziale sull’uso dei tuoi dati verrà segnalata nell’app, invece di essere lasciata qui da scoprire.