Kimda

Informativa sulla privacy

Ultimo aggiornamento: 27 ottobre 2026

Questa è una traduzione automatica. Fa fede esclusivamente la versione ceca.

La versione ceca di questa informativa è quella vincolante. Le traduzioni in altre lingue sono solo a scopo informativo; in caso di discrepanza, prevarrà la versione ceca.

Il presente documento descrive quali dati trattano l'app Kimda (“l'app”, “noi”) e il sito web kimda.app, perché e su quale base giuridica, a chi li comunichiamo, per quanto tempo li conserviamo e quali diritti spettano a lei e ai suoi figli. L'app è pensata per essere usata da tutta la famiglia, bambini compresi – per questo trattiamo la protezione dei dati con particolare cura.

1. Chi è il titolare del trattamento

Il titolare del trattamento dei dati è Mgr. Ivo Slávka, gestore dell'app Kimda in qualità di persona fisica che esercita attività d'impresa iscritta nel registro delle imprese tenuto dal Municipio di Praga 8, IČO 30070929, con sede in Bergerova 1115/2, 182 00 Praha 8 – Kobylisy, Repubblica Ceca. E-mail di contatto per domande sulla privacy e per l'esercizio dei suoi diritti: privacy@kimda.app.

2. Quali dati trattiamo e perché

Dati dell'account: nome, cognome, numero di telefono, ruolo (genitore/figlio), lingua e tema grafico scelti, foto del profilo facoltativa, la versione della presente informativa e l'ora in cui l'ha accettata, per il genitore l'ora in cui ha confermato la propria maggiore età, e per il bambino l'ora, la versione dell'informativa e il genitore che ha prestato il consenso per suo conto (punto 5). Il Suo nome e la Sua foto profilo sono visibili agli altri membri della Sua famiglia nell'app (un genitore vede tutti i membri, un bambino vede i suoi genitori e fratelli).
Il numero di telefono lo usiamo per la verifica dell'identità (codice SMS) e per l'accesso, e la sua impronta irreversibile anche per la protezione del periodo di prova Premium (punto 6), dopo la modifica del numero per verificare la richiesta di recupero di un account sottratto (registrazioni di sicurezza di seguito) e dopo il ripristino del database da un backup per bloccare l'accesso con un numero che ha precedentemente abbandonato l'account (registro delle modifiche del telefono di seguito) – l'app non usa il numero per scrivere a nessuno e non lo condivide con terze parti, al di fuori del fornitore della verifica via SMS (Twilio, vedi punto 4).
Dati della famiglia: nome della famiglia, chi ne fa parte, i ruoli e le impostazioni di ciascuno (percentuali di suddivisione della paghetta, valuta, lingua e fuso orario della famiglia) e la cronologia delle modifiche alle regole finanziarie (chi ha modificato e quando, ad es. l'interesse, le percentuali di suddivisione, la valuta o il fuso orario, e da quale valore a quale).
Richieste di adesione: nome, cognome, ruolo e numero di telefono della persona che desidera unirsi alla famiglia, e l'ora della richiesta - affinché il genitore veda chi sta approvando.
Richieste di consenso genitoriale: tipo di richiesta (rimozione di un genitore o cancellazione dell'intera famiglia), chi l'ha presentata, chi riguarda e chi l'ha approvata, rifiutata o annullata (identificativi interni), orari (presentazione, scadenza, promemoria, evasione) ed esito (approvata, rifiutata, annullata, eseguita alla scadenza del termine o invalidata); non memorizziamo nomi, numeri di telefono né testo libero. I genitori della famiglia vedono le richieste nell'app.
Dati delle attività: nome dell'attività, punti, quando è stata svolta/approvata/rifiutata, e foto, se l'attività richiede una foto, inclusa l'impronta tecnica della foto (vedi punto 3).
Piani, routine e promemoria: a chi è assegnata l'attività, giorno e ora previsti, stato di completamento, ritardo, ordine di rotazione e se è stato inviato un promemoria.
Premi e obiettivi: catalogo dei premi di famiglia, richieste di premi, obiettivi di risparmio e importi che il bambino ha trasferito verso un obiettivo. Da questi dati la panoramica per i genitori ricava il completamento complessivo, la puntualità e l'equità dell'assegnazione; non crea alcuna classifica pubblica dei bambini.
Dati finanziari dell'app: punti, paghetta virtuale e la sua suddivisione, richieste di pagamento, prestiti e interessi all'interno della famiglia – si tratta di una registrazione interna dell'app, non di veri dati bancari o di pagamento. L'app non ha accesso ad alcun conto bancario né ad alcuna carta di pagamento. Il riepilogo mensile di un bambino (numero di compiti approvati, punti e con Premium anche l'importo per il mese corrente; non i saldi dei salvadanai) è visibile anche agli altri bambini della stessa famiglia, a meno che un genitore non lo disattivi nelle impostazioni della famiglia.
Registrazioni dei pagamenti diretti e dei rimborsi manuali: quando il genitore nell'app paga direttamente al bambino una parte del suo saldo (senza richiesta del bambino) o registra manualmente un rimborso del suo prestito, il server memorizza per ciascuna di tali operazioni una registrazione distinta, che non viene ulteriormente modificata. Contiene gli identificatori interni della famiglia, del bambino e del genitore che ha eseguito l'operazione, il tipo di operazione (pagamento diretto, rimborso manuale), l'importo, in caso di pagamento il salvadanaio da cui è stato effettuato il pagamento e la suddivisione dell'importo (in caso di pagamento, nella parte da versamenti propri e nella parte da interessi accreditati; in caso di rimborso, in quota capitale e quota interessi), l'ora dell'operazione e l'identificatore casuale della richiesta. La registrazione serve a documentare cosa e quando il genitore ha registrato nell'app e affinché un'eventuale controversia in famiglia possa essere valutata in base alla registrazione e non solo in base al saldo risultante. Si tratta di una registrazione interna dell'app – l'app stessa non trasferisce denaro. Le registrazioni fanno parte dell'esportazione dei dati (punto 7) e sono conservate secondo il punto 6.
Abbonamento: stato dell'abbonamento della famiglia (periodo di prova, Premium, la sua validità e rinnovo) ed eventuale accesso gratuito tramite codice promozionale; il server salva i codici promozionali stessi solo come impronta HMAC e registra la gestione dei codici (chi, quando, quale azione). Non vediamo i dati di pagamento – il pagamento è elaborato da Apple o Google. Il documento di consenso all'avvio immediato di Premium, che conserviamo come prova di tale consenso, è descritto al punto 6.
Accesso e sicurezza: sessioni di accesso dei singoli dispositivi (quando è stata creata, quando è stata usata l'ultima volta e fino a quando è valida). Il genitore vede in Il mio profilo una panoramica dei propri dispositivi connessi (solo l'ora di accesso e dell'ultimo utilizzo, senza indirizzo IP e nome del dispositivo) e può disconnetterli singolarmente. Il server salva i token di aggiornamento solo come impronte SHA-256, incluse le impronte dei token già sostituiti, per rilevare l'abuso di un token rubato. Alla richiesta di un codice SMS, salva l'impronta con chiave (HMAC-SHA-256) del numero di telefono e l'impronta SHA-256 della sfida monouso insieme al numero di tentativi, in caso di modifica del numero e in caso di conferma della cancellazione della famiglia anche la sua finalità e l'identificatore interno dell'account. Calcola i limiti del numero di richieste, incluso il limite giornaliero di SMS inviati, in base all'impronta con chiave (HMAC-SHA-256) dell'indirizzo IP o della sua rete (IPv4 /24, IPv6 /56), del numero di telefono, di una coppia di numero di telefono e rete o dell'account, oppure in base al paese o al prefisso del numero di telefono. Il server deriva la chiave per queste impronte da una chiave segreta conservata fuori dal database, in modo tale che senza di essa l'impronta non possa essere convertita nuovamente in un numero di telefono o in un indirizzo IP. Le registrazioni di sicurezza su eventi importanti (ad es. accesso, richiesta di adesione, approvazione, rifiuto o rimozione di un membro, nuovo codice di invito, disconnessione di un dispositivo, modifica del numero di telefono, conferma dell'informativa, consenso di un genitore per un bambino o sospetto abuso di un token) contengono il tipo di evento, l'ora e gli identificatori interni; in caso di rimozione di un membro, anche il suo ruolo (genitore/figlio), in caso di conferma dell'informativa e consenso di un genitore la versione dell'informativa e, in caso di cancellazione dell'account di un bambino che aveva un debito, un saldo o richieste in sospeso, anche la valuta, gli importi stornati e il numero di richieste in sospeso. La registrazione sulla modifica del numero di telefono contiene inoltre l'impronta irreversibile del numero originale (HMAC con chiave segreta), affinché il supporto possa verificare che la richiesta di recupero di un account sottratto sia presentata dal vero titolare del numero originale. Non vi sono nomi, numeri di telefono né indirizzi IP. Le modifiche del numero di telefono e la rimozione o il ripristino di un membro della famiglia vengono inoltre registrati in un registro separato, descritto nel punto «Registro delle modifiche del telefono e dello stato del membro» di seguito.
Avvisi di sicurezza: quando un genitore accede con un codice SMS, gli altri genitori della famiglia ricevono un avviso generico senza nome e numero di telefono; a ogni accesso con un codice SMS (di un genitore e di un bambino) anche i dispositivi già connessi dello stesso account ricevono un avviso generico sul nuovo accesso. In caso di modifica del numero di telefono (il nuovo numero viene verificato tramite codice SMS), il server disconnette gli altri dispositivi connessi dell'account e sia i dispositivi attuali dell'account sia i genitori della famiglia ricevono un avviso generico; il numero originale non viene più conservato – rimane solo la sua impronta irreversibile nella registrazione di sicurezza relativa alla modifica (30 giorni, vedi sezione 6), le impronte irreversibili del numero originale e di quello nuovo nel registro delle modifiche del telefono (60 giorni, vedi di seguito e sezione 6) e, per un genitore che è stato membro di una famiglia durante il suo periodo di prova, anche l'impronta secondo la sezione 6. Quando il supporto ripristina il numero su richiesta del titolare dell'account, ne verifica prima l'identità: tramite un codice SMS inviato al numero originale, la cui impronta deve corrispondere all'impronta nella registrazione della modifica del numero. Se tale verifica non è possibile (la registrazione della modifica non esiste più o il titolare non possiede il numero originale), la verifica tramite una conferma da parte di un altro genitore della famiglia (verificata tramite un codice SMS inviato al numero di questo genitore) e risposte alle domande poste dal supporto; in tal caso, invia prima un avviso ai dispositivi dell'account e ai genitori della famiglia e restituisce il numero non prima di 72 ore, se nessuno si oppone; vedrà questo avviso dopo l'accesso e direttamente nell'app per tutta la durata del termine. Senza tale verifica, non ripristina il numero e non annullerà alcuna richiesta – può solo disconnettere tutti i dispositivi dell'account. Se il supporto ha già restituito lo stesso account una volta negli ultimi 30 giorni, considera la richiesta successiva come una controversia e non ripristina il numero senza ulteriori verifiche. Dopo il ripristino, il server disconnette l'account su tutti i dispositivi, i genitori nella famiglia ricevono un avviso generico e l'intervento viene registrato (chi l'ha eseguito, quando, quale account riguarda e un riferimento alla vostra richiesta – senza numero di telefono). I genitori ricevono un avviso generico anche in caso di cancellazione dell'account di un bambino, di rimozione di un altro genitore (incluso il genitore rimosso) e in caso di sospetto abuso del token di accesso; in tal caso il server disconnette l'account su tutti i dispositivi e annulla le sue registrazioni per le notifiche. Gli avvisi di sicurezza (ad es. su un nuovo accesso o dispositivo, modifica del numero di telefono, modifica delle regole finanziarie, rimozione di un membro, cancellazione dell'account di un bambino o sospetto abuso di un token) vengono prima salvati dal server in una coda (tipo di avviso, destinatario - token push del dispositivo o identificatore interno della famiglia o dell'account e lingua - e tipo di evento tecnico generico) e solo da lì vengono consegnati; l'avviso per il ripristino di un account sottratto da parte del supporto (vedi sopra) viene inviato direttamente. Se la consegna dell'avviso ai genitori o ai dispositivi dell'account del membro della famiglia non può essere effettuata neanche dopo ripetuti tentativi, il server salva solo l'identificatore interno della famiglia, il tipo di avviso e l'ora (senza token push e senza nome), in modo che al successivo accesso nell'app il genitore veda di quale avviso si trattava e possa confermarlo; se il destinatario non ha alcun dispositivo a cui inviare l'avviso, tale record non viene creato. I termini di conservazione sono stabiliti al punto 6.
Registro delle modifiche del telefono e dello stato del membro: oltre alle registrazioni di sicurezza di cui sopra, il server conserva per ogni modifica del numero di telefono dell'account (sia che la esegua lei stesso in Il mio profilo, sia che la esegua il supporto su sua richiesta) e per ogni rimozione o ripristino di un membro della famiglia una registrazione distinta nel registro. La registrazione contiene un identificatore casuale del record, gli identificatori interni dell'account e della famiglia, il tipo di evento (modifica del numero, ripristino del numero da parte del supporto, rimozione di un membro, ripristino di un membro), l'ora dell'evento e – solo in caso di modifica del numero – le impronte irreversibili sia del numero originale che di quello nuovo (HMAC-SHA-256 con chiave segreta conservata al di fuori del database). In caso di rimozione e ripristino di un membro non vi è alcuna impronta. Nel registro non vi sono numeri di telefono, nomi né indirizzi IP. Senza la chiave segreta l'impronta non può essere riconvertita in un numero di telefono, ma poiché è collegata all'identificatore interno dell'account, si tratta di un dato pseudonimo e non di un dato anonimo. Il registro serve unicamente a proteggere dalle conseguenze del ripristino del database da un backup: affinché all'account non ritorni un numero che nel frattempo ha abbandonato l'account (e che potrebbe essere stato rilevato da qualcun altro) e affinché venga riapplicata la rimozione di un membro della famiglia che il backup non contiene. Pertanto, all'accesso con codice SMS e alla verifica del numero di telefono, il server confronta l'impronta del numero inserito con l'ultima registrazione del registro; se non corrisponde, blocca l'accesso e rimanda al supporto. La registrazione viene salvata nel database e di norma entro pochi minuti anche in una copia in un archivio privato Cloudflare R2 separato (punto 4), per sopravvivere alla perdita del database tra i backup. I termini di conservazione sono stabiliti al punto 6.
Dati tecnici: token push e identificatore casuale del dispositivo, che l'app crea per la consegna delle notifiche (non è un identificatore hardware), l'ora dell'ultima registrazione del dispositivo, l'accesso a cui appartiene la registrazione, e l'impronta SHA-256 del segreto di installazione casuale, con cui il dispositivo dimostra che il token push gli appartiene. Dopo il rilascio della registrazione (disconnessione, rimozione di un membro, blocco di sicurezza o pulizia automatica), il server ricorda due record a tempo limitato, affinché un account altrui non possa subentrare nelle notifiche del dispositivo: (a) record del token push rilasciato – le impronte SHA-256 del token push e del segreto di installazione, l'identificatore interno della famiglia e l'ora del rilascio (il token rilasciato non può quindi essere rilevato da un account di un'altra famiglia); e (b) record del dispositivo rilasciato – l'identificatore interno dell'account, l'identificatore casuale del dispositivo, le medesime impronte e l'ora del rilascio (il dispositivo rilasciato non può quindi essere rioccupato, senza dimostrare che si tratta della stessa installazione, da un'altra sessione di accesso dello stesso account, ad esempio sottratta). Il server conserva inoltre per 30 giorni un record di registrazione del dispositivo (identificatore interno dell'account e del dispositivo, impronta del token push, tipo di evento e ora), in base al quale controlla il limite di registrazioni di nuovi dispositivi in 24 ore. I periodi di conservazione sono stabiliti al punto 6; il record del dispositivo rilasciato non viene conservato in caso di cancellazione dell'account. Inoltre, log operativi del server (ad es. stati di errore) senza numeri di telefono e contenuto delle richieste. Nel telefono, l'app conserva i token di accesso in un archivio sicuro e ricorda la lingua e il tema scelti; comunica anche la lingua scelta al server in modo che le notifiche arrivino nella tua lingua. Ciò che l'app invia direttamente ai servizi Expo e Sentry è descritto al punto 4.

Perché trattiamo i dati e su quale base giuridica:

Account familiare e funzioni dell'app (registrazione, famiglia, attività e foto, piani, promemoria, premi, obiettivi, paghetta incluse le registrazioni dei pagamenti diretti e dei rimborsi manuali, notifiche e abbonamento): esecuzione di un contratto, ovvero le condizioni d'uso (Art. 6(1)(b) GDPR). Trattiamo inoltre le registrazioni dei pagamenti diretti e dei rimborsi manuali e la cronologia delle modifiche alle regole finanziarie sulla base del nostro legittimo interesse alla verificabilità delle operazioni finanziarie e delle regole nell'app e alla risoluzione delle controversie in famiglia (Art. 6(1)(f) GDPR). Trattiamo inoltre il documento di consenso all'avvio immediato di Premium e la sua copia al di fuori del database sulla base del nostro legittimo interesse a dimostrare tale consenso e alla difesa di rivendicazioni legali (Art. 6(1)(f) GDPR). Per i dati dei bambini vedi punto 5.
Accesso verificato tramite codice SMS: esecuzione di un contratto (Art. 6(1)(b) GDPR) – senza un numero di telefono verificato non è possibile accedere all'app.
Sicurezza e protezione dagli abusi (sessioni e impronte dei token, sfide per il codice SMS, limiti del numero di richieste e limite giornaliero di SMS, registrazioni di sicurezza, registro delle modifiche del telefono e dello stato del membro, memoria dei token push e dei dispositivi rilasciati, record di registrazione del dispositivo e limite di registrazioni di nuovi dispositivi in 24 ore, coda delle notifiche di sicurezza e registro delle notifiche non consegnate, log operativi, impronta del numero di telefono contro la fruizione ripetuta del periodo di prova, richieste di consenso genitoriale che proteggono la famiglia dalla rimozione unilaterale di un genitore o dalla cancellazione, e la verifica dell'identità quando il supporto recupera un account sottratto, inclusa la registrazione di tali interventi): nostro legittimo interesse al funzionamento sicuro del servizio, alla protezione degli account di genitori e figli e alla difesa contro l'abuso della verifica via SMS (Art. 6(1)(f) GDPR).
Correzione di errori e aggiornamento dell'app (segnalazioni di errori tramite Sentry, aggiornamenti tramite Expo): nostro legittimo interesse a un'app stabile e sicura (Art. 6(1)(f) GDPR).
Evasione delle sue richieste ai sensi del punto 7 e prova di come e quando le abbiamo evase (ad es. stato della cancellazione effettuata, registro delle cancellazioni effettuate e attività di cancellazione esterna): adempimento di un obbligo legale (Art. 6(1)(c) GDPR).
Misurazione della pubblicità sul sito web kimda.app (Meta Pixel): suo consenso (Art. 6(1)(a) GDPR), vedi punto 9.

Può opporsi al trattamento basato sul legittimo interesse (punto 7). Il numero di telefono è necessario per la registrazione e l'accesso; senza di esso non è possibile utilizzare l'app. La foto del profilo è facoltativa e la foto dell'attività completata è necessaria solo per le attività in cui il genitore la richiede. Non utilizziamo processi decisionali automatizzati né profilazione con effetti giuridici o analogamente significativi (Art. 22 GDPR); i limiti di sicurezza automatici, che ad esempio bloccano temporaneamente ulteriori tentativi di codice SMS, servono solo a proteggere gli account e il servizio.

3. Foto delle attività

Le foto che il bambino (o il genitore per lui) carica per un'attività sono visibili solo ai membri della stessa famiglia (genitori e figli nell'app). Non sono pubbliche, l'app non le condivide con nessun'altra app né con alcun social network. La foto per l'attività può essere scattata solo con la fotocamera dell'app. L'app e successivamente anche il server rimuovono i metadati dalla foto prima di salvarla (ad esempio, la posizione GPS o i dati della fotocamera). Le foto vengono salvate in un object storage non pubblico (vedi punto 4) e il server le fornisce solo a un membro della stessa famiglia che ha effettuato l'accesso. Il genitore può chiederne la cancellazione in qualsiasi momento.

Per ogni foto caricata, il server calcola un'impronta tecnica (checksum e un'impronta visiva semplificata a 64 bit). Serve solo affinché l'app riconosca se la stessa foto o una quasi identica viene riutilizzata per un'attività, e affinché la foto appartenga all'attività per la quale il bambino l'ha appena scattata nell'app. Dall'impronta non è possibile visualizzare né ricostruire la foto, e viene cancellata insieme alla foto. La registrazione della sfida temporale per la foto (chi l'ha richiesta nell'app, per quale attività e quando) viene cancellata dal server dopo 7 giorni. Il genitore vede un avviso accanto alla foto quando questa non ha un controllo temporale valido dell'app o è molto simile a una foto precedente, come aiuto durante l'approvazione; il controllo non garantisce che la foto non possa essere falsificata.

4. A chi comunichiamo i dati e trasferimenti extra UE

Comunichiamo i dati solo ai fornitori che garantiscono per noi il funzionamento dell'app (responsabili del trattamento), e solo nella misura necessaria a tale scopo. I responsabili del trattamento possono utilizzare i dati solo per fornire il loro servizio per noi e in base alle nostre istruzioni. Apple e Google agiscono come titolari autonomi per gli acquisti negli store.

Fornitore di hosting (Railway) – gestisce il server dell'app e il database in cui sono archiviati i dati dell'app.
Cloudflare – l'object storage privato R2 conserva, trasmesse in forma cifrata, le foto del profilo e le foto delle attività completate, i backup del database (cifrati prima dell'invio in modo tale da poter essere decifrati solo con una chiave privata che conserviamo fuori dal cloud), il registro delle cancellazioni effettuate (solo identificatori interni, tipo di cancellazione e ora), il registro delle modifiche del telefono e dello stato del membro (punto 2: identificatori interni, tipo e ora dell'evento e, in caso di modifica del numero, impronte irreversibili dei numeri) e una copia della prova del consenso all'avvio immediato di Premium (punto 6: identificatori interni della famiglia e dell'utente, ora del consenso, piano scelto, inizio del periodo pagato, identificatore della transazione dello store e versione del testo visualizzato) in bucket non pubblici; l'accesso alle foto continua a essere controllato dal backend Kimda autenticato. Cloudflare gestisce anche il sito web kimda.app (punto 9).
Twilio (verifica del telefono tramite codice SMS) – riceve il numero di telefono e il codice inserito esclusivamente per la consegna e la verifica del codice SMS.
Expo (650 Industries) – in primo luogo, consegna le notifiche: riceve il token push del dispositivo, l'identificatore di installazione per le notifiche, il token nativo di Apple o Google, un testo o emoji generico della notifica e un tipo tecnico generico dell'evento. Nel messaggio push non inviamo ID del database, nomi, nomi delle attività né importi. Expo inoltra il messaggio al servizio push di Apple (Apple Push Notification service) o di Google (Firebase Cloud Messaging). In secondo luogo, consegna gli aggiornamenti dell'app (EAS Update): a ogni avvio, l'app chiede ai server Expo se è disponibile una correzione. Expo riceve in questo caso l'indirizzo IP del dispositivo, la piattaforma, la versione dell'app, l'identificatore dell'aggiornamento installato, eventualmente il testo dell'ultimo errore che ha causato la chiusura dell'app, e un identificatore casuale di installazione EAS-Client-ID, che l'app salva in modo permanente nel telefono e che non cambia nemmeno dopo la disconnessione. Non lo associamo al suo account e l'app non lo invia al nostro server.
Apple e Google – in qualità di titolari autonomi, elaborano l'acquisto e la gestione dell'abbonamento su App Store e Google Play; in qualità di servizi push (Apple Push Notification service, Firebase Cloud Messaging), consegnano le notifiche ai dispositivi.
RevenueCat (gestione degli abbonamenti tramite App Store / Google Play, solo per gli account dei genitori) – tratta l'identificativo della famiglia, lo storico degli acquisti, la ricevuta Apple o il token di acquisto Google, l'ora dell'ultimo utilizzo e dati tecnici del dispositivo (ad es. tipo di dispositivo e sistema operativo). Da Kimda non riceve il nome né il numero di telefono del genitore o del bambino. Nell'app non sono attive le integrazioni pubblicitarie/di attribuzione di RevenueCat né la raccolta manuale di identificatori pubblicitari.
Sentry (segnalazioni tecniche di errori dell'app e del server, per la correzione dei bug) – riceve il tipo di errore, il punto nel codice, la versione dell'app e del sistema operativo. L'app e il server sono configurati per non inviargli nome, telefono, token di accesso, contenuto delle richieste né indirizzo IP. L'organizzazione Kimda in Sentry si trova nella regione dati dell'UE (Germania).
Fornitore di posta elettronica (Spaceship, servizio Spacemail) – consegna e conserva le e-mail che ci invia a privacy@kimda.app o support@kimda.app.

Railway, Cloudflare, Twilio, Expo, RevenueCat, Sentry, Spaceship, Apple, Google e Meta (punto 9) sono società con sede o infrastruttura negli USA, e pertanto possono trattare i dati anche al di fuori dello Spazio Economico Europeo. Per i trasferimenti al di fuori dello Spazio Economico Europeo utilizziamo un meccanismo previsto dal Capo V del GDPR, che si applica allo specifico destinatario e trattamento – di norma la certificazione del destinatario nell'ambito dell'EU-USA Data Privacy Framework (decisione di adeguatezza della Commissione Europea, Art. 45 GDPR) o clausole contrattuali tipo approvate dalla Commissione Europea (Art. 46(2)(c) GDPR). Le forniremo informazioni sul meccanismo di un destinatario specifico e su dove sia possibile ottenere una copia delle relative garanzie su richiesta all'indirizzo privacy@kimda.app.

Non vendiamo i dati dell'app, non li condividiamo con inserzionisti e non li usiamo per pubblicità mirata. La misurazione della pubblicità sul sito kimda.app, con il consenso del visitatore, è descritta al punto 9.

5. Consenso del genitore e ruolo dei figli

Solo una persona maggiorenne può creare l'app (il ruolo "genitore" e una nuova famiglia). Un account con ruolo "figlio" viene creato sempre e solo dopo l'adesione tramite un codice di invito noto unicamente al genitore – il bambino può quindi partecipare solo con la consapevolezza e il consenso del genitore che condivide il codice. Inoltre, ogni adesione di un bambino e di un altro genitore deve essere esplicitamente approvata dal genitore nell'app; fino all'approvazione, il nuovo membro vede solo il nome della famiglia. Il codice di invito della famiglia è valido per 48 ore, una richiesta non approvata viene cancellata automaticamente dopo 72 ore e una rifiutata o annullata immediatamente. Registrandosi con il ruolo "genitore", lei conferma di essere maggiorenne e di avere il diritto legale di acconsentire al trattamento dei dati dei suoi figli nell'app.

Trattiamo i dati del bambino solo nella misura necessaria per il funzionamento dell'account familiare che il genitore ha creato e gestisce, ovvero per l'esecuzione del contratto con il genitore (Art. 6(1)(b) GDPR). Il genitore, in qualità di rappresentante legale, decide in merito alla partecipazione del bambino: condivide il codice di invito, approva esplicitamente l'adesione del bambino e può rimuovere il bambino dalla famiglia in qualsiasi momento o richiedere la cancellazione del suo account. Durante la registrazione, il bambino prende solo atto dell'informativa; il consenso al trattamento dei suoi dati viene prestato dal genitore quando approva l'adesione del bambino nell'app, e il server registra l'ora, il genitore e la versione dell'informativa. Per i bambini approvati con una versione precedente dell'app, l'app richiederà successivamente al genitore il consenso mancante. Se il trattamento richiedesse il consenso e il bambino non avesse ancora compiuto 15 anni (limite di età nella Repubblica Ceca ai sensi dell'Art. 8 GDPR e dell'articolo 7 della Legge n. 110/2019 sul trattamento dei dati personali), il genitore presta il consenso per conto del bambino. I diritti del bambino ai sensi del punto 7 possono essere esercitati dal genitore per suo conto.

6. Per quanto tempo conserviamo i dati

Conserviamo i dati dell'account e della famiglia finché l'utente non chiede la cancellazione dell'account o dell'intera famiglia. La semplice inattività nell'app non comporta alcuna cancellazione automatica. L'utente non deve quindi aprire regolarmente l'app per non perdere lo storico della famiglia e può avviare la cancellazione in qualsiasi momento direttamente nell'app oppure richiederla all'indirizzo privacy@kimda.app. Conserviamo la cronologia delle modifiche alle regole finanziarie (punto 2) per l'intera durata dell'esistenza della famiglia, senza alcun limite di tempo o di numero totale (la famiglia può salvare le modifiche alle regole finanziarie al massimo 30 volte all'ora), poiché funge da prova immutabile di chi e quando ha modificato le regole, ad esempio in caso di controversia tra i genitori; nell'app non può essere modificata né cancellata. Dopo la cancellazione dell'intera famiglia (punto 7), il server la cancella alla successiva pulizia; la cancellazione dell'account di un singolo membro non la altera e vi rimane solo l'identificatore interno senza nome.

Per le singole altre registrazioni si applicano i seguenti termini:

Sfide per il codice SMS (impronte del numero di telefono e della sfida): sono valide per 10 minuti; dopo una verifica riuscita, il server le cancella immediatamente, altrimenti al massimo un'ora dopo la loro scadenza.
Limiti del numero di richieste e limite giornaliero di SMS (impronte): il server le cancella 24 ore dopo la fine del periodo monitorato; il limite giornaliero di SMS termina sempre a mezzanotte UTC.
Sessioni di accesso: il token di accesso è valido per 15 minuti; la sessione termina dopo 30 giorni di inattività, al massimo dopo 90 giorni, o prima tramite disconnessione. Il server cancella la sessione terminata, incluse le impronte dei token, 30 giorni dopo la sua conclusione.
Inviti e richieste di adesione: il codice di invito della famiglia è valido per 48 ore e l'invito per un altro genitore per 24 ore; una richiesta di adesione non approvata viene cancellata automaticamente dopo 72 ore, una rifiutata o annullata immediatamente. Il server cancella la registrazione dell'invito per un altro genitore (codice, chi l'ha creato e chi l'ha usato) 30 giorni dopo la sua scadenza, utilizzo o annullamento.
Registrazioni di sicurezza nel database (punto 2): il server le cancella autonomamente dopo 30 giorni. Il registro delle modifiche del telefono e dello stato del membro segue un proprio termine indicato di seguito.
Registro delle modifiche del telefono e dello stato del membro (punto 2): il server cancella il record dal database non prima di 60 giorni dalla sua creazione, e solo dopo averlo copiato in uno storage separato (la copia viene creata di norma entro pochi minuti). Un record che non è stato possibile copiare non viene cancellato dal server finché la copia non ha successo, e rimane pertanto nel database anche per più di 60 giorni. La copia nello storage Cloudflare R2 non pubblico e separato viene cancellata autonomamente dallo storage stesso dopo 60 giorni dal suo salvataggio. In caso di cancellazione dell'account o dell'intera famiglia (punto 7), il server cancella dal database i record del registro dell'account o della famiglia cancellati; la loro copia nello storage cessa di esistere al più tardi 60 giorni dopo il salvataggio.
Foto: le fotografie non collegate, che non è stato possibile associare a un profilo o a un'attività, vengono rimosse dal server dopo 24 ore; cancella la registrazione della sfida temporale per la foto dopo 7 giorni (punto 3) e la registrazione tecnica della foto cancellata (solo identificatori interni) 30 giorni dopo la cancellazione della foto.
Token push e identificatore del dispositivo: fino alla disconnessione del dispositivo, alla rimozione del membro dalla famiglia o alla cancellazione dell'account, oppure finché Apple o Google non lo contrassegnano come non valido. Inoltre, il server li cancella autonomamente se l'app non ha rinnovato la registrazione del dispositivo per 90 giorni (la rinnova a ogni accesso e avvio), o se l'utente non ha una sessione di accesso valida da più di 30 giorni. Dopo la disconnessione del dispositivo (anche da remoto nel Profilo) o la fine del suo accesso, non viene consegnato nulla al dispositivo. Fanno eccezione le registrazioni precedenti alla distribuzione di questa versione, che l'app non ha rinnovato da allora: la disconnessione di un dispositivo da remoto non le scollegherà, l'opzione Disconnetti tutti i dispositivi sì; altrimenti il server le cancella secondo le tempistiche di cui sopra. Il server cancella il record del token push rilasciato (impronte, famiglia e ora) dopo 30 giorni, o prima se il dispositivo si registra di nuovo. Il server cancella il record del dispositivo rilasciato (identificatore interno dell'account, identificatore casuale del dispositivo, impronte e ora) dopo 91 giorni – ossia solo dopo la scadenza della massima validità possibile della sessione di accesso (90 giorni) – o prima se un dispositivo dello stesso account si registra di nuovo. Il record del dispositivo rilasciato non viene conservato in caso di cancellazione dell'account; se è già stato creato all'avvio della cancellazione, il server lo cancella al suo completamento. Il termine per il record del token push rilasciato rimane pertanto invariato. L'impronta tecnica del token push per un promemoria inviato serve solo a verificare la consegna; il server la cancella dopo aver valutato la consegna, al massimo 30 giorni dopo l'invio. Il server cancella il record della registrazione del dispositivo (identificatore interno dell'account e del dispositivo, impronta del token push, tipo di evento e ora; punto 2) dopo 30 giorni dalla sua creazione, anche se l'account viene cancellato nel frattempo.
Coda degli avvisi di sicurezza e avvisi non consegnati (punto 2): i dati del destinatario dell'avviso (token push del dispositivo o identificatore interno della famiglia o dell'account e lingua) vengono rimossi dal server dal record salvato della coda subito dopo la consegna o dopo la rinuncia alla consegna, al massimo comunque 7 giorni dopo la creazione dell'avviso; vi può rimanere solo l'identificatore interno della famiglia (in caso di errore eccezionale del database temporaneamente anche dell'account) fino al salvataggio del record sull'avviso non consegnato (di seguito). Il server cancella il resto del record (tipo di avviso, tipo di evento tecnico generico, ora e messaggio di errore tecnico) 30 giorni dopo l'elaborazione. Conserva il record sull'avviso non consegnato per il genitore (identificatore interno della famiglia, tipo di avviso e ora, senza token push e senza nome) finché il genitore non lo conferma nell'app; cancella il record confermato non appena è più vecchio di 90 giorni. Il record di una famiglia che non esiste più viene cancellato alla successiva pulizia.
Risposte salvate delle operazioni finanziarie: affinché una richiesta ripetuta dopo un'interruzione di rete non registri due volte un pagamento, un prestito o un'altra operazione finanziaria, il server ne ricorda la risposta per 30 giorni. Il record dell'operazione stessa (tipo di operazione, suo identificatore casuale, identificatori interni della famiglia, dell'autore e del membro interessato, impronta SHA-256 della richiesta e ora) fa parte della cronologia finanziaria ed è conservato fino alla cancellazione dell'account o della famiglia.
Registrazioni dei pagamenti diretti e dei rimborsi manuali (punto 2): a differenza della risposta salvata di cui sopra, che viene cancellata dopo 30 giorni, queste registrazioni vengono conservate fino alla cancellazione del bambino a cui si riferiscono o dell'intera famiglia (punto 7).
Registrazioni salvate delle richieste ripetute dello scheduler: affinché una richiesta ripetuta dopo un'interruzione di rete non crei due volte un piano di attività, il server conserva per 60 giorni una registrazione della sua creazione (identificatori interni della famiglia e del genitore, tipo di operazione, identificatore casuale della richiesta, impronta SHA-256 dei parametri inseriti per il piano, riferimento al piano creato e ora). Il server cancella la registrazione anche alla cancellazione dell'account del genitore che ha creato il piano, e alla cancellazione dell'intera famiglia (punto 7).
Richiesta di cancellazione dell'account: una richiesta di cancellazione non confermata viene invalidata dopo 45 giorni e cancellata al massimo dopo altri 400 giorni; conserviamo la registrazione della cancellazione effettuata (solo identificatori interni e stato, senza nomi e contatti) come prova di aver evaso la sua richiesta, e ciò per 3 anni dall'evasione. Nella stessa misura (identificatore interno casuale dell'account o della famiglia, tipo di cancellazione e ora) teniamo un registro delle cancellazioni effettuate, affinché, in caso di ripristino del database da un backup, tutte le cancellazioni successive vengano applicate nuovamente. Il server cancella il record del registro nel database non prima di 180 giorni dalla sua creazione, e solo dopo averlo copiato in uno spazio di archiviazione separato (la copia viene creata di norma entro pochi minuti); il server non cancella il record che non è stato possibile copiare finché la copia non ha successo. La copia nello spazio di archiviazione separato non pubblico viene cancellata dallo storage stesso dopo 60 giorni dal suo salvataggio. L'esportazione cifrata del registro, che fa parte del backup del database, cessa di esistere insieme al backup (al più tardi dopo 30 giorni).
Richieste di consenso genitoriale: una richiesta aperta è valida per 14 giorni; viene prorogata solo se nel frattempo si aggiunge un genitore alla famiglia (in caso di richiesta di cancellazione della famiglia il nuovo genitore riceve i propri 14 giorni, al massimo però fino alla fine dell'eventuale periodo di protezione dopo la rimozione di un altro genitore), oppure dopo il ripristino del database da un backup (tranne per la richiesta di cancellazione della famiglia, che è valida solo fino alla fine del periodo di protezione). Una richiesta di cancellazione della famiglia, che scadrebbe durante il termine di 14 giorni dopo la rimozione di un altro genitore, dura fino alla fine di tale termine e poi decade. Durante il termine di 14 giorni dopo la rimozione di un altro genitore non è possibile cancellare la famiglia; una richiesta di cancellazione della famiglia presentata in questo termine decade alla sua scadenza. Dopo la scadenza del termine, l'unico genitore rimasto può cancellare la famiglia direttamente in Il mio profilo. Il server cancella una richiesta evasa dopo 90 giorni.
Impronta del numero di telefono dopo la cancellazione dell'account o la modifica del numero: affinché il periodo di prova Premium non possa essere ottenuto ripetutamente cancellando l'account e registrandosi di nuovo, al momento della cancellazione dell'account di un genitore che è stato membro di una famiglia durante il suo periodo di prova e al momento della modifica del numero di tale genitore (anche se il supporto modifica il numero su sua richiesta), il server memorizza solo l'impronta del numero di telefono precedente (HMAC con chiave segreta) e l'ora – non il numero stesso. Una nuova registrazione con lo stesso numero non riceverà il periodo di prova. Il server cancella l'impronta dopo 12 mesi.
E-mail che ci invia: per il tempo necessario a evadere la sua domanda o richiesta e a documentare come l'abbiamo evasa.
Registrazione degli interventi del supporto e di amministrazione: il server cancella autonomamente la registrazione dell'intervento nel database (tipo di intervento, chi l'ha eseguito, quando, quale famiglia riguarda e il numero di richiesta – senza nomi e numeri di telefono; in questo modo registriamo il ripristino del numero e la disconnessione dei dispositivi da parte del supporto, l'esportazione dei dati della famiglia su richiesta e la gestione dei codici promozionali e dell'accesso gratuito) dopo 3 anni. Teniamo il registro delle richieste di supporto (numero di richiesta, data, identificatore interno dell'account, metodo di verifica dell'identità e risultato – senza numero di telefono) in forma crittografata al di fuori del database e lo conserviamo anch'esso per 3 anni come prova di come abbiamo evaso la richiesta.

I log operativi e di sicurezza di produzione dell'hosting possono essere conservati per un massimo di 30 giorni. Le segnalazioni tecniche di errore dell'app e del server vengono conservate da Sentry per un massimo di 90 giorni, per poter individuare e correggere gli errori che si manifestano solo dopo il rilascio di una nuova versione dell'app; eventuali backup operativi di Sentry vengono cancellati al più tardi 90 giorni dopo la loro creazione. I backup del database vengono eseguiti quotidianamente, cifrati prima dell'invio dall'ambiente di produzione e cancellati 30 giorni dopo la creazione, in modo che i dati precedentemente cancellati vi rimangano per non più di 30 giorni; non vengono utilizzati per il ripristino ordinario di un account cancellato. Se dovessimo ripristinare il database da un backup, applicheremo nuovamente le cancellazioni effettuate dopo la creazione del backup in base al registro delle cancellazioni. Le impostazioni dell'hosting, del database e dello storage devono imporre tecnicamente questi termini e il gestore le verifica periodicamente.

Se la cancellazione del record presso un fornitore esterno di abbonamenti non può essere completata immediatamente, Kimda anonimizza senza ulteriore indugio i dati personali locali dopo la rimozione dei file multimediali. Per poter ripetere in sicurezza la richiesta esterna conserva soltanto l'identificativo interno casuale della famiglia e lo stato tecnico della cancellazione, non i nomi né i numeri di telefono. Il server cancella il record di questa attività di cancellazione esterna (identificatore interno della famiglia, identificazione del fornitore, numero di tentativi, orari e codice dell'ultimo errore, senza nomi e numeri di telefono) 90 giorni dopo il suo completamento; un'attività non completata viene conservata finché non viene completata.

Conserviamo la prova del consenso all'avvio immediato di Premium (identificativi interni della famiglia e dell'utente, ora del consenso, piano scelto, inizio del periodo pagato, identificativo della transazione dello store, identificativo interno del tentativo di acquisto e versione del testo visualizzato) per il tempo necessario a dimostrare tale consenso in un'eventuale controversia, di norma 3 anni dal suo rilascio. Allo scadere di tale termine, la prova viene cancellata in modo controllato. La prova non viene cancellata insieme all'account né alla famiglia (punto 7). Salviamo una sua copia (senza l'identificativo interno del tentativo di acquisto) anche nello storage separato non pubblico Cloudflare R2 (punto 4), affinché la prova sopravviva alla perdita del database tra i backup; lo storage la cancella autonomamente dopo 1125 giorni dal suo salvataggio.

7. I suoi diritti

Ha il diritto:

all'accesso a tutti i dati che l'app conserva su di lei e sulla sua famiglia (Art. 15 GDPR),
alla rettifica dei dati inesatti (Art. 16 GDPR) – può modificare autonomamente il numero di telefono in Il mio profilo dopo aver verificato il nuovo numero con un codice SMS; se perde l'accesso all'account (ad esempio perché qualcun altro ha modificato il numero da un dispositivo su cui era stato effettuato l'accesso), lo modificheremo su sua richiesta previa verifica dell'identità,
alla cancellazione dell'account di un singolo membro (Art. 17 GDPR) – direttamente nell'app (Il mio profilo → Elimina account) l'app rimuove o anonimizza in modo irreversibile nome, telefono, foto e token push e cancella tutte le foto che ha caricato; nel caso dell'account di un bambino, anche le foto per le sue attività caricate dal genitore per suo conto. Con questo account non è più possibile accedere e non vi rimane alcun nome o contatto. Nello storico delle attività e dei pagamenti restano solo i dati contabili necessari alla continuità del resto della famiglia (punti, importo, stato e ora); la nota libera viene cancellata e i nomi delle attività e degli obiettivi vengono sostituiti con un valore neutro. Questo storico non viene cancellato, perché resta collegato al resto della famiglia (altrimenti non tornerebbe la loro reciproca coerenza contabile), ma è associato solo a un record senza nome e contatto. Le registrazioni dei pagamenti diretti e dei rimborsi manuali del bambino (punto 2) vengono cancellate insieme al bambino. Il server cancella dal database i record del registro delle modifiche del telefono e dello stato del membro (punto 2); la loro copia nello storage separato cessa di esistere al più tardi 60 giorni dopo il salvataggio. Se il bambino ha un debito, un saldo o richieste in sospeso, l'app gli mostrerà prima della cancellazione quali importi perderà, e la cancellazione deve essere confermata esplicitamente; i genitori riceveranno poi un avviso generico. Un membro che il genitore ha rimosso dalla famiglia può, dopo la verifica tramite codice SMS nell'app, cancellare definitivamente il proprio account da solo e liberare così il proprio numero di telefono,
alla cancellazione a cascata dell'intera famiglia – quando il genitore conferma espressamente la cancellazione dell'intera famiglia, anonimizziamo tutti i suoi membri, cancelliamo le loro fotografie e inoltre sostituiamo i testi liberi e i nomi delle attività, degli obiettivi e dei premi personalizzati con valori neutri; cancelleremo anche le registrazioni dei pagamenti diretti e dei rimborsi manuali della famiglia (punto 2), la cronologia delle modifiche alle regole finanziarie della famiglia (alla successiva pulizia) e i record del registro delle modifiche del telefono e dello stato del membro dei suoi membri (la copia del registro nello storage separato cessa di esistere al più tardi 60 giorni dopo il salvataggio). La rimozione di un altro genitore richiede il consenso del genitore interessato: il rifiuto esplicito blocca l'azione, senza risposta viene eseguita dopo 14 giorni. La cancellazione dell'intera famiglia in cui è presente un altro genitore richiede il consenso esplicito di ciascun altro genitore; senza il consenso di tutti, la richiesta viene annullata dopo 14 giorni e la famiglia non viene cancellata. Una famiglia da cui è stato rimosso un altro genitore negli ultimi 14 giorni può essere cancellata non prima di 14 giorni dopo la sua rimozione. Le registrazioni contabili della famiglia cancellata, inclusi i saldi e gli stati dei prestiti e dei risparmi dei bambini, vengono rimosse dal database operativo al massimo entro 30 giorni dalla cancellazione; nei backup cifrati possono rimanere al massimo per altri 30 giorni prima che il backup venga cancellato. Il documento di consenso all'avvio immediato di Premium non viene cancellato con la cancellazione della famiglia (punto 6). Le registrazioni anonimizzate relative all'utilizzo dei codici partner, che non contengono dati personali, vengono conservate per la tenuta dei registri dei partner e per la protezione contro gli abusi. Dopo la rimozione dei file multimediali l'anonimizzazione locale avviene anche quando RevenueCat è temporaneamente non disponibile; la richiesta esterna viene poi ripetuta in modo sicuro utilizzando soltanto l'identificativo interno della famiglia. RevenueCat esegue la cancellazione in modo asincrono. Ciò non annulla l'abbonamento gestito da App Store o Google Play – il genitore deve annullarlo separatamente nelle impostazioni dello store interessato,
alla limitazione del trattamento (Art. 18 GDPR), ad esempio quando contesta l'esattezza dei dati, per il periodo necessario a verificarla,
alla portabilità (Art. 20 GDPR) – le forniremo i dati che ci ha fornito e che trattiamo sulla base di un contratto in un formato strutturato, di uso comune e leggibile da dispositivo automatico (ad es. JSON), oppure, su sua richiesta, li trasmetteremo a un altro titolare, se tecnicamente fattibile,
di opporsi (Art. 21 GDPR) al trattamento basato sul nostro legittimo interesse (punto 2); in tal caso interromperemo il trattamento, a meno che non dimostriamo l'esistenza di motivi legittimi cogenti che prevalgono sui suoi interessi, diritti e libertà, oppure ne abbiamo bisogno per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria,
di revocare il consenso in qualsiasi momento (Art. 7(3) GDPR) – può revocare il consenso alla misurazione della pubblicità sul sito web tramite il link "Impostazioni cookie" nel piè di pagina del sito (punto 9); la revoca non pregiudica il trattamento precedente ad essa,
di proporre reclamo a un'autorità di controllo (Art. 77 GDPR) – nella Repubblica Ceca è l'Ufficio per la protezione dei dati personali (Úřad pro ochranu osobních údajů), Pplk. Sochora 27, 170 00 Praha 7, web uoou.gov.cz; può rivolgersi anche all'autorità di controllo dello Stato membro dell'UE in cui risiede o lavora.

Invii la richiesta a privacy@kimda.app. Per non consegnare o cancellare i dati a qualcun altro, verificheremo prima che la richiesta sia presentata dal titolare dell'account (ad esempio tramite conferma dal numero di telefono associato all'account); non ci invii mai codici da SMS di accesso. L'unica eccezione è il codice dell'SMS contrassegnato come «Kimda obnova účtu», che il supporto le richiederà solo in risposta alla sua propria richiesta di restituzione di un account sottratto, o alla sua conferma di tale richiesta di un altro genitore della sua famiglia (punto 2); anche in tal caso, lo comunichi solo al supporto, mai a un altro membro della famiglia. Il supporto le richiede questo codice esclusivamente tramite e-mail dall'indirizzo support@kimda.app con il numero della sua richiesta, mai telefonicamente né tramite un altro membro della famiglia. Evadiamo la richiesta di accesso o portabilità esportando i dati della famiglia in formato JSON (senza token di accesso e le loro impronte e senza le impronte dei numeri di telefono originali dalle registrazioni di sicurezza, che servono solo per verificare una richiesta di restituzione di un account, e senza il registro delle modifiche del telefono e dello stato del membro, che serve solo a proteggere dal subentro nel numero; l'esportazione contiene le registrazioni dei pagamenti diretti e dei rimborsi manuali (punto 2); per le foto contiene la loro impronta tecnica secondo il punto 3, su richiesta forniremo le foto stesse separatamente); registriamo ogni esportazione (chi l'ha preparata, quando e in base a quale richiesta). Su richiesta le comunicheremo i dati sugli eventi dal registro delle modifiche del telefono e dello stato del membro (tipo e ora, senza impronte). Risponderemo senza ingiustificato ritardo, al massimo entro un mese; in casi complessi possiamo prorogare il termine di altri due mesi, informandola tempestivamente. I diritti del bambino possono essere esercitati dal genitore in qualità di rappresentante legale per suo conto.

8. Sicurezza

L'app non utilizza password (l'accesso avviene solo tramite telefono verificato). L'accesso è protetto da un token di accesso a breve termine con validità di 15 minuti e da un token di aggiornamento, che il server salva solo come impronta; in caso di comprovato riutilizzo di un token di aggiornamento già sostituito, il server disconnette l'account su tutti i dispositivi, annulla le sue registrazioni per le notifiche, scrive una registrazione di sicurezza e avvisa gli altri genitori. In produzione la comunicazione tra l'app e il server avviene tramite HTTPS. Le fotografie si trovano in uno spazio di archiviazione non pubblico e, prima di renderle disponibili, il backend verifica l'account e l'appartenenza alla stessa famiglia. I backup del database sono cifrati prima della trasmissione e possono essere decifrati solo con una chiave privata conservata fuori dal cloud; i codici promozionali si trovano nel database solo come impronta HMAC con la chiave fuori dal database e registriamo la gestione dei codici promozionali. Il server non scrive numeri di telefono, token né il contenuto delle richieste nei log operativi.

9. Sito web kimda.app e cookie

Il presente punto si applica solo ai visitatori del sito kimda.app, non all'utilizzo dell'app. Il sito funziona sulla rete Cloudflare, che a ogni visita tratta tecnicamente l'indirizzo IP e i dati del browser per poter fornire la pagina e proteggerla dagli attacchi; Cloudflare conserva le registrazioni per la diagnostica degli errori del sito web per un massimo di 3 giorni. In base alla lingua del browser (per il link di download anche in base al tipo di dispositivo), il sito la reindirizza alla versione appropriata della pagina. La base giuridica è il nostro legittimo interesse a un sito web sicuro e funzionante (Art. 6(1)(f) GDPR). Il sito memorizza il tema scelto solo nel suo browser (localStorage). La sua decisione sui cookie viene salvata nel localStorage e in un cookie tecnico strettamente necessario kimda-consent-proof (validità 180 giorni), che contiene soltanto il tipo di scelta e l'ora della decisione, senza alcun identificativo di persona o account. Il suo browser lo invia tecnicamente con ogni richiesta al sito; il server non lo valuta, serve esclusivamente allo script nel suo browser per verificare che il consenso non sia stato revocato. Questo cookie non richiede consenso e non viene utilizzato per misurazioni né per pubblicità.

Solo se nel banner del sito sceglie "Accetto", il sito carica Meta Pixel della società Meta Platforms Ireland Limited. Questo salva nel browser un cookie (ad es. _fbp con validità fino a 90 giorni) e invia a Meta dati sulla visita: la pagina visitata, l'indirizzo IP, i dati del browser e l'identificativo del cookie. Ci serve per misurare l'efficacia degli annunci su Facebook e Instagram. La base giuridica è il suo consenso (Art. 6(1)(a) GDPR e articolo 89(3) della Legge n. 127/2005 sulle comunicazioni elettroniche). Siamo contitolari insieme a Meta della raccolta e della trasmissione di questi dati; il loro ulteriore trattamento, compreso l'eventuale trasferimento negli USA sulla base del quadro per la protezione dei dati EU-USA (Data Privacy Framework), è effettuato da Meta in qualità di titolare autonomo secondo la propria informativa su facebook.com/privacy/policy. Non inviamo mai a Meta dati dell'app, dell'account o della famiglia.

Senza consenso Meta Pixel non viene affatto caricato. Può revocare il consenso in qualsiasi momento tramite il link "Impostazioni cookie" nel piè di pagina del sito; il sito elimina quindi i cookie del Pixel e non carica più il Pixel.

Se tramite la pagina per i tester si unisce al gruppo di tester in Google Groups, l'amministratore del gruppo vedrà l'e-mail del suo account Google; la useremo solo per testare l'app e per l'accesso alla sua versione di test su Google Play. Apple distribuisce la versione di test per iPhone tramite TestFlight. Google e Apple trattano i dati in qualità di titolari autonomi secondo le proprie informative. La base giuridica è la sua richiesta di partecipazione ai test (Art. 6(1)(b) GDPR). L'e-mail rimarrà nel gruppo finché non si disiscriverà dallo stesso o finché i test non saranno conclusi.

10. Modifiche alla presente informativa

La informeremo nell'app e sul sito web kimda.app di qualsiasi modifica sostanziale della presente informativa. L'app riconosce quale versione dell'informativa ha accettato: chiederà ai genitori di confermare la nuova versione (ed eventualmente il consenso per i bambini), il bambino ne prenderà atto. Registreremo l'ora e la versione della conferma.

11. Contatti

Domande sulla protezione dei dati personali: privacy@kimda.app