Informativa sulla privacy

Questa informativa spiega quali dati usa l'app Portosera, perché, dove vanno, per quanto tempo restano e come puoi controllarli. Vale per l'app su iPhone e su Android, e per questo sito.

In breve

Non ti chiediamo mail, numero di telefono né password. La prima volta che apri l'app, crea da sola un account anonimo.
I personaggi sono inventati e le risposte sono scritte da un'intelligenza artificiale. Per scriverle mandiamo i tuoi messaggi a OpenAI, la società che fornisce i modelli. OpenAI non li usa per addestrare i suoi modelli.
Nell'app non ci sono pubblicità né strumenti di analisi di altre aziende. Non ti seguiamo su altre app o siti e non vendiamo i tuoi dati.
Puoi vedere cosa ricordano di te i personaggi, toglierlo e fermare i ricordi nuovi.
Puoi eliminare l'account dall'app quando vuoi: Tu, poi Privacy e account, poi Elimina l'account.
Portosera è solo per gli adulti, dai 18 anni in su.

1. Chi è responsabile dei tuoi dati

Il titolare del trattamento è lo sviluppatore indicato come venditore di Portosera sull'App Store e come sviluppatore su Google Play, che in questa informativa chiamiamo noi.

Per qualunque domanda sulla privacy, o per esercitare i tuoi diritti, scrivi a [email protected].

2. Quali dati usiamo e perché

2.1 L'account e il telefono

La prima volta che apri l'app, crea un account anonimo. Sul nostro server nascono:

un codice casuale che identifica il tuo account;
un indirizzo mail finto, che non riceve posta e serve solo al sistema di accesso;
una sessione di accesso. Con la sessione salviamo l'indirizzo IP da cui l'app si è collegata quando è nata la sessione, e la sigla tecnica con cui l'app si presenta al server, che può indicare il sistema del telefono e la versione dell'app;
il fuso orario e la lingua del telefono, per scriverti all'ora giusta e nella lingua giusta.

A ogni richiesta l'app manda anche la versione dell'app, il sistema, cioè iOS o Android, la lingua, il fuso orario e un identificativo del telefono.

L'identificativo del telefono è un codice casuale che l'app crea la prima volta e tiene nello spazio protetto del telefono. Non è l'identificativo pubblicitario e non viene dal sistema. Lo usiamo per una cosa sola: dare il regalo di benvenuto una volta per telefono. Quando il regalo viene dato salviamo un'impronta del codice, cioè una sua trasformazione da cui non si può risalire al codice, e non il codice stesso.

Perché: per creare e far funzionare l'account, e per proteggere il servizio da chi crea account a raffica per avere più gemme.

2.2 Quello che ci dici di te

All'inizio l'app ti chiede:

la data di nascita, per controllare che tu abbia almeno 18 anni. Una volta inviata non si può cambiare;
il nome con cui vuoi che i personaggi ti chiamino. Non serve che sia il tuo nome vero;
chi vuoi conoscere, donne, uomini o tutti, e almeno tre generi di storie;
se vuoi, se sei uomo o donna, perché i personaggi ti scrivano al maschile o al femminile;
se vuoi, due righe su di te, la bio, che i personaggi leggono prima di scriverti.

Salviamo anche quando hai confermato l'età e accettato il patto e i termini, e quale versione hai accettato.

Puoi cambiare nome, genere, bio, chi vuoi conoscere e generi di storie in Tu, Impostazioni. La bio passa dal controllo dei contenuti descritto al punto 2.5.

La scelta di chi vuoi conoscere, insieme al tuo genere, può far intuire il tuo orientamento sessuale, che la legge considera un dato particolare. Non sei mai obbligato a rivelarlo: puoi sempre scegliere Tutti e non dire il tuo genere. Se scegli donne o uomini, ci dai il consenso esplicito a usare questa scelta, e la usiamo solo per scegliere quali personaggi mostrarti e per scriverti nel modo giusto. Puoi ritirare il consenso quando vuoi passando a Tutti in Tu, Impostazioni.

Se la data di nascita dice che hai meno di 18 anni, l'app si ferma. La data resta solo sul telefono, per tenere il blocco, e al nostro server non arriva mai.

Perché: per darti il servizio, adattarlo a te e rispettare il limite d'età.

2.3 Le storie, gli appuntamenti e la memoria

Sul server teniamo:

i messaggi che scrivi e quelli dei personaggi, comprese le foto e i vocali che ricevi e le tue reazioni;
gli appuntamenti: le scene, le risposte che scegli o scrivi con le tue parole, quello che chiedi quando ne proponi uno tu, e com'è andata;
i Mi piace, le carte passate, le storie in pausa o silenziate, i livelli e i progressi;
i personaggi che hai segnalato;
i personaggi che crei: la bozza mentre la scrivi, la descrizione, i volti creati e quello che scegli. I personaggi che crei li vedi solo tu.

La memoria. Ogni tanto un modello rilegge un pezzo della storia e annota alcune cose che hai detto di te, per esempio che lavori in uno studio o che il sabato corri al mare. Ne tiene al massimo 40 per personaggio. Gli chiediamo di non annotare salute, orientamento sessuale, religione, politica, numeri di telefono, mail e indirizzi, e un filtro scarta le annotazioni che ne parlano. Dalla stessa lettura il personaggio scrive anche un suo diario della storia, che tu non vedi e che gli serve a ricordare cosa è successo fra voi.

Nell'app, in Tu, puoi:

vedere cosa ricorda ogni personaggio;
togliere un ricordo: il personaggio non lo usa più da subito, e dal server sparisce del tutto entro poco più di un'ora;
svuotare tutti i ricordi di un personaggio;
spegnere Ricorda cose nuove: da quel momento non annotiamo niente di nuovo e i personaggi non usano più né i ricordi né il diario.

Svuotare i ricordi non cancella la conversazione: per risponderti il personaggio rilegge sempre gli ultimi messaggi della vostra storia. Oggi l'unico modo per cancellare le conversazioni è eliminare l'account.

Nelle storie scrivi liberamente, nei limiti dei termini. Ti consigliamo però di non scrivere cose molto personali, come dati sulla tua salute, né dati di altre persone. Se scegli di scriverle, ci dai il consenso esplicito a usarle solo per risponderti come descritto qui, e puoi ritirarlo eliminando l'account.

Perché: è il servizio stesso. Senza questi dati il personaggio non potrebbe risponderti né ricordarsi di te.

2.4 L'intelligenza artificiale e OpenAI

Le risposte, gli appuntamenti, la memoria, le foto, i vocali e i personaggi che crei sono scritti o creati da modelli di OpenAI. Per farlo mandiamo a OpenAI:

per una risposta: la scheda del personaggio, il nome che hai scelto, il tuo genere e la tua bio se ce li hai dati, i ricordi e il diario della storia se la memoria è accesa, gli ultimi messaggi della storia e l'ora;
per un appuntamento: lo stesso tipo di contesto, le tue risposte nelle scene e quello che chiedi se lo proponi tu;
per la memoria: un pezzo della storia;
per una foto: una descrizione della foto e alcune foto del personaggio come riferimento. Le immagini mostrano sempre il personaggio, mai te;
per un vocale: le parole che il personaggio dice;
per un personaggio che crei: quello che scrivi nel modulo.

A OpenAI non mandiamo la tua data di nascita, l'identificativo del telefono, l'indirizzo IP né il codice del tuo account.

OpenAI tratta questi dati per conto nostro, come fornitore. Secondo le sue condizioni per le API, OpenAI non usa questi dati per addestrare i suoi modelli e li conserva fino a 30 giorni per controllare gli abusi, salvo che la legge le imponga di tenerli più a lungo. OpenAI ha sede negli Stati Uniti: per i trasferimenti vedi il punto 5.

Dentro la storia i personaggi restano nel loro ruolo e non parlano di come sono fatti. Che siano inventati e scritti da un'intelligenza artificiale te lo diciamo prima di iniziare, nel patto, alla prima chat e in fondo a ogni profilo. Le loro parole possono essere sbagliate o fuori luogo e non sono consigli.

2.5 Il controllo dei contenuti e i momenti difficili

Ogni messaggio che scrivi in chat passa anche dal servizio di moderazione di OpenAI, che cerca per esempio segni di autolesionismo o contenuti sessuali con minori. Lo stesso vale per la tua bio, per i testi di un personaggio che crei e per le parole che scrivi negli appuntamenti, anche per chiederne uno. Anche il modello che scrive le risposte segnala quando una persona sembra in pericolo, e quando il personaggio non può rispondere subito lo stesso modello legge il tuo messaggio solo per questo.

Se scrivi di volerti fare del male, l'app esce dalla storia e ti risponde con un messaggio di aiuto: in Italia il numero di emergenza 112 e Telefono Amico, negli altri paesi la pagina findahelpline.com, con le linee d'aiuto gratuite di molti paesi. L'app può anche non accorgersene: Portosera non è un servizio di emergenza. Se sei in pericolo adesso, chiama subito il numero di emergenza.
Se un messaggio chiede contenuti sessuali che riguardano minori, il personaggio si rifiuta.
Non si può creare un personaggio che ritrae una persona vera o un minore, o che ha contenuti espliciti.
Quando chiedi a un personaggio cosa è, per esempio se è una persona o un bot, un modello legge anche la sua risposta prima che parta, per controllare che rispetti le regole della storia, e la fa riscrivere se non le rispetta.

Quando succede una di queste cose teniamo una nota con il tipo di controllo e cosa ha fatto l'app, senza il testo del messaggio. La nota si cancella dopo 90 giorni, e prima se elimini l'account.

Perché: per proteggere te e gli altri, per rispettare la legge e le regole di Apple e Google. Di più nella pagina Sicurezza.

2.6 Foto, vocali e altri file

L'app non ti chiede mai foto, fotocamera, microfono, contatti o posizione: non ha questi permessi.

Le immagini e i vocali dei personaggi stanno su Cloudflare R2, un archivio di file. Alcuni sono fatti solo per te: le foto che un personaggio ti manda in chat dopo che le hai accettate, le copertine degli appuntamenti, i vocali dopo un appuntamento e i volti dei personaggi che crei. Si aprono con un indirizzo lungo e casuale, che non si può indovinare. Chi ha quell'indirizzo, però, può aprire il file: non condividerlo.

Quando elimini l'account cancelliamo i vocali e le immagini fatti per te: le foto della chat, le copertine degli appuntamenti e i volti dei personaggi che hai creato, anche quelli scartati. Le foto uguali per tutti, che i personaggi mandano a chiunque, restano.

2.7 Gli acquisti

Gemme e Pass si comprano con l'App Store di Apple o con Google Play. Il pagamento lo fanno loro: noi non vediamo i dati della carta, il tuo ID Apple né il tuo account Google.

Per gestire gli acquisti usiamo RevenueCat. RevenueCat riceve dallo store i dati dell'acquisto insieme al codice del tuo account e ce li passa. Il suo modulo dentro l'app parla direttamente con RevenueCat e gli manda anche alcune informazioni tecniche sul telefono e sull'app, come il sistema, la versione dell'app, la lingua e il paese dello store.

Teniamo:

cosa hai comprato, quando, il prezzo e la valuta, lo store e il codice della transazione;
gli eventuali rimborsi;
lo stato del Pass;
il saldo delle gemme e ogni movimento di gemme, con il motivo;
le notifiche di acquisto che RevenueCat ci manda, così come arrivano. Contengono fra l'altro il paese dello store.

Perché: per darti quello che hai comprato, gestire rimborsi e contestazioni, e per gli obblighi contabili e fiscali.

2.8 Le notifiche

Le notifiche partono solo se le permetti nel telefono.

Se le permetti, il telefono ci dà un codice per mandarti le notifiche. Lo salviamo con il sistema, la versione dell'app e la lingua. Le notifiche partono dal servizio di notifiche di Expo e arrivano al telefono attraverso Apple o Google. Ogni notifica contiene il nome del personaggio e l'inizio del suo messaggio. Per ogni notifica teniamo per 90 giorni una nota tecnica senza testo: a quale messaggio si riferiva e com'è andata la consegna.

Puoi spegnerle in Tu, Impostazioni, Notifiche, per una storia sola con Silenzia notifiche, o dalle impostazioni del telefono. Con la Pausa notturna, in Tu, Benessere, di notte non arrivano né messaggi né notifiche.

Perché: per avvisarti dei messaggi, con il permesso che hai dato.

2.9 I registri tecnici

Per funzionare e restare sicuro il server tiene alcuni registri:

per ogni chiamata ai modelli: quale modello, quanto è costata, quanto è durata e com'è andata, senza testo. Restano 90 giorni e servono anche per i limiti del giorno;
copie tecniche delle risposte alle tue azioni, per poter ripetere una richiesta senza farla due volte. Restano 48 ore;
contatori degli accessi per indirizzo IP, contro chi crea account a raffica. Restano da uno a due giorni;
i registri del server, con richieste, errori e avvisi. Non contengono i tuoi messaggi né il contenuto delle richieste. Possono contenere il codice del tuo account, in alcuni avvisi l'indirizzo IP e, quando un modello risponde in un formato sbagliato, il testo di quella risposta. Restano solo per un tempo limitato: si cancellano da soli quando il server viene aggiornato, cosa che succede regolarmente.

Sul nostro server contiamo anche cose come quante persone usano l'app in un giorno e quanto costano le risposte. Sono numeri complessivi e servono a tenere in piedi il servizio.

Perché: per far funzionare il servizio, proteggerlo e tenerne sotto controllo i costi.

2.10 Cosa resta sul telefono

Sul telefono l'app tiene:

il codice di accesso, l'identificativo del telefono, la data di nascita e l'eventuale blocco per l'età, nello spazio protetto del telefono;
le scelte dell'inizio, le impostazioni, alcune preferenze dell'app e le immagini e gli elenchi già scaricati, per caricare più in fretta.

Su Android disinstallare l'app cancella questi dati, e con loro l'accesso all'account. Su iPhone lo spazio protetto può tenerli anche dopo la disinstallazione.

2.11 Questo sito

portosera.com non usa cookie, strumenti di analisi né tracciamento, e non carica niente da altre aziende. Per consegnare le pagine e proteggerle dagli attacchi, Cloudflare e il nostro server trattano il tuo indirizzo IP e i dati tecnici che il browser manda, come la pagina chiesta e il tipo di browser, e li tengono in registri di breve durata.

3. Quello che non facciamo

Niente pubblicità nell'app, e nessun dato a chi fa pubblicità.
Niente strumenti di analisi né di raccolta degli errori di altre aziende: l'app non ne contiene.
Niente tracciamento: non usiamo l'identificativo pubblicitario del telefono e non ti seguiamo su altre app o siti.
Non vendiamo i tuoi dati e non li condividiamo per la pubblicità.
Non prendiamo decisioni automatiche che abbiano effetti legali su di te.
In Portosera non si parla con altre persone: gli altri utenti non vedono niente di te.

4. Su cosa ci basiamo

Il GDPR, il regolamento europeo sulla protezione dei dati, chiede di dire su quale base usiamo ogni dato.

Contratto, articolo 6, paragrafo 1, lettera b: account, profilo, storie, memoria, appuntamenti, personaggi creati, acquisti, gemme e Pass. Senza questi dati non possiamo darti Portosera.
Obbligo di legge, articolo 6, paragrafo 1, lettera c: la conservazione delle vendite per il fisco e le risposte alle richieste delle autorità.
Legittimo interesse, articolo 6, paragrafo 1, lettera f: sicurezza, limiti contro gli abusi, il regalo di benvenuto una volta per telefono, controllo dei contenuti, registri tecnici e controllo dei costi. Puoi opporti scrivendoci: valutiamo ogni richiesta caso per caso.
Consenso, articolo 6, paragrafo 1, lettera a: le notifiche, che partono solo con il tuo permesso e puoi spegnere quando vuoi.
Consenso esplicito, articolo 9, paragrafo 2, lettera a: la scelta di chi vuoi conoscere, come spiega il punto 2.2, e i dati particolari che scegli di scrivere nelle storie, come spiega il punto 2.3.

5. Chi ci aiuta e dove vanno i dati

Ci aiutano questi fornitori. Trattano i dati per conto nostro, solo per il servizio che ci danno:

Hetzner Online: il server e il database, in un centro dati in Germania, e le copie di sicurezza del database, nel suo archivio a Falkenstein, in Germania.
Cloudflare: protegge e smista il traffico fra l'app e il server, serve questo sito e conserva i file in R2.
OpenAI: i modelli che scrivono le risposte, creano immagini e vocali e controllano i contenuti.
RevenueCat: la gestione degli acquisti e del Pass.
Expo: l'invio delle notifiche.

Apple e Google gestiscono i pagamenti e la consegna delle notifiche come titolari autonomi, secondo le loro informative.

OpenAI, RevenueCat, Expo e Cloudflare sono società degli Stati Uniti, e i dati possono arrivare lì. Per questi trasferimenti usiamo le garanzie previste dal GDPR: le clausole contrattuali tipo della Commissione europea, oppure il Data Privacy Framework fra Unione europea e Stati Uniti quando il fornitore vi aderisce.

Possiamo comunicare i dati alle autorità quando la legge lo chiede.

6. Per quanto tempo teniamo i dati

Profilo, storie, memoria, appuntamenti, personaggi creati, gemme e progressi: finché hai l'account.
Un ricordo che togli: sparisce del tutto entro poco più di un'ora.
La sessione, con l'indirizzo IP e la sigla tecnica dell'app: finché resta valida. Una sessione scade 90 giorni dopo l'ultimo uso e poi si cancella entro un'ora.
Registri delle chiamate ai modelli e note delle notifiche: 90 giorni.
Note del controllo dei contenuti: 90 giorni, e prima se elimini l'account.
Copie tecniche delle risposte: 48 ore.
Contatori degli accessi per indirizzo IP: da uno a due giorni.
Registri del server: fino al successivo aggiornamento del server, che succede regolarmente, poi si cancellano da soli.
Vendite: dopo l'eliminazione dell'account restano senza alcun legame con te per il tempo che chiede la legge fiscale e contabile, fino a 10 anni.
Notifiche di acquisto di RevenueCat: finché hai l'account.
Impronta dell'identificativo del telefono: resta anche dopo l'eliminazione dell'account, senza alcun legame con te, perché un account nuovo sullo stesso telefono non riceva di nuovo il regalo di benvenuto.
Copie di sicurezza del database: una per notte, ciascuna per circa 15 giorni. Un dato cancellato può restare in queste copie fino alla loro scadenza.

7. Eliminare l'account

Nell'app: Tu, poi Privacy e account, poi Elimina l'account. L'app chiede due conferme.

Subito:

svuotiamo il profilo: nome, data di nascita, genere, bio, preferenze, impostazioni;
cancelliamo l'account e le sue sessioni;
il telefono dimentica il tuo profilo e l'app riparte da capo. Sul telefono resta solo l'identificativo del telefono.

Poco dopo, di solito in pochi minuti e al massimo in qualche ora, cancelliamo tutto il resto: messaggi, storie, memoria e diario, appuntamenti, personaggi creati, Mi piace e segnalazioni, gemme, Pass e progressi, dati delle notifiche, registri delle chiamate ai modelli, note del controllo dei contenuti, notifiche di acquisto di RevenueCat, i vocali e le immagini fatti per te.

Restano, senza alcun legame con te:

le vendite, per gli obblighi fiscali;
l'impronta dell'identificativo del telefono, per non ridare il regalo di benvenuto.

Restano inoltre:

i dati che Apple e Google tengono secondo le loro regole. A RevenueCat chiediamo di cancellare il tuo profilo di cliente;
quello che OpenAI conserva per controllare gli abusi, fino a 30 giorni secondo le sue condizioni;
le copie di sicurezza del database, una per notte, che si cancellano da sole dopo circa 15 giorni.

Il Pass non si disdice da solo. Eliminare l'account o disinstallare l'app non ferma l'abbonamento: disdicilo dalle impostazioni dell'App Store o di Google Play, altrimenti lo store continua ad addebitarlo.

Se non hai più l'app, leggi la pagina Elimina l'account.

Se disinstalli l'app senza eliminare l'account, i dati restano sul server. Su Android, o su un telefono nuovo, l'app può non ritrovare più quell'account. Possiamo eliminare gli account che non vengono usati da più di due anni.

8. I tuoi diritti

Hai il diritto di:

sapere quali dati abbiamo su di te e averne una copia;
correggerli;
cancellarli;
limitarne l'uso;
riceverli in un formato leggibile da un computer, per portarli altrove;
opporti agli usi basati sul legittimo interesse;
ritirare il consenso quando vuoi, per esempio spegnendo le notifiche, senza toccare quello che è stato fatto prima.

Molte cose le fai direttamente nell'app: cambi nome e preferenze in Tu, Impostazioni, togli i ricordi in Tu, elimini l'account in Tu, Privacy e account.

L'app non ha ancora un tasto per scaricare i tuoi dati. Per averne una copia, o per qualunque altro diritto, scrivi a [email protected].

Il tuo account non ha mail né nome utente, quindi prima di dare o cambiare qualunque dato dobbiamo essere ragionevolmente sicuri che sia tuo. Ti chiederemo dettagli che solo chi usa l'account conosce, come il nome che hai scelto, i personaggi con cui parli e più o meno quando hai iniziato. Se non riusciamo a riconoscere l'account non possiamo agire, e la via più sicura resta sempre farlo dall'app.

Rispondiamo entro un mese. Se la richiesta è complessa possiamo prendere altri due mesi, e in quel caso te lo diciamo entro il primo mese.

Se pensi che usiamo i tuoi dati in modo sbagliato puoi fare reclamo all'autorità di controllo del paese in cui vivi o lavori. In Italia è il Garante per la protezione dei dati personali, garanteprivacy.it.

9. Minori

Portosera è solo per gli adulti, dai 18 anni in su. Non raccogliamo di proposito dati di minori. Se scopriamo che un account è di una persona sotto i 18 anni lo eliminiamo. Se lo sai tu, scrivici a [email protected].

10. Sicurezza

Le comunicazioni fra l'app e il server sono cifrate.
Il server risponde solo attraverso Cloudflare e il database non è raggiungibile da internet.
Il codice di accesso sta nello spazio protetto del telefono.
Dell'identificativo del telefono teniamo solo l'impronta.
Ai dati accede solo chi gestisce il servizio, e solo quando serve.

Nessun sistema è sicuro al cento per cento. Se succede qualcosa che mette a rischio i tuoi dati, facciamo quello che la legge chiede, compreso avvisarti quando serve.

11. Modifiche

Possiamo aggiornare questa informativa quando cambiano l'app o la legge. La versione in vigore è sempre in questa pagina, con la data dell'ultimo aggiornamento. Se cambia qualcosa di importante te lo diciamo nell'app o su questo sito prima che valga.

12. Contatti

Privacy e tutto il resto: [email protected], in italiano o in inglese.

In caso di differenze fra questa versione e quella inglese, per te vale quella più favorevole.