Gironzolo — Privacy PolicyGironzolo — Privacy PolicyGironzolo — DatenschutzerklärungGironzolo — Politique de confidentialitéGironzolo — Política de privacidad

In breve

Gironzolo è l'itinerario dei tuoi viaggi. Per farlo funzionare su più dispositivi, per non fartelo perdere quando ne cambi uno e per poterlo condividere con chi parte con te, l'app usa un account e conserva i tuoi dati su un server europeo. Non li vendiamo, non li usiamo per profilarti, non c'è pubblicità e non c'è nessuno strumento di tracciamento. Puoi esportare tutto e cancellare l'account quando vuoi, dall'app stessa.

Quali dati trattiamo

Per l'account: il tuo indirizzo email, il nome che scegli, la lingua, la password (conservata solo come impronta cifrata e non reversibile), le date di registrazione e di ultima modifica. Di ogni accesso restano l'impronta cifrata del token, il tipo di sistema (ios o android) e le date di creazione e scadenza. Se lo scegli, anche un avatar: uno dei disegni dell'app oppure una tua foto, ritagliata e ridotta sul telefono e conservata sul server finché non la cambi, la togli o cancelli l'account. La foto la vedono solo le persone che sono in un viaggio con te.

Quello che scrivi nei viaggi: titolo, destinazione, date, fuso orario e valuta del viaggio; le tappe (tipo, titolo, giorno e orari, indirizzo, link a Google Maps, mezzo di trasporto e luoghi di partenza e arrivo, riferimento della prenotazione, costo, note, promemoria); la valigia; le spese e come sono divise; i compagni di viaggio; e gli allegati che scegli di aggiungere — biglietti, prenotazioni, foto delle tappe.

Per la conferma dell'indirizzo e il recupero della password: l'impronta cifrata del codice a sei cifre, il numero di tentativi e la scadenza. Il codice in chiaro non viene mai salvato.

Per la sincronizzazione: un registro di quali righe sono cambiate e in che ordine, che serve a portare le modifiche sugli altri dispositivi — i tuoi e quelli dei compagni di viaggio.

Per le notifiche push: il codice che Firebase assegna all'app sul tuo telefono (il «token»), il sistema, quando è stato registrato e l'ultima volta che l'app si è fatta viva; e le tue preferenze sulle notifiche, in generale e viaggio per viaggio. Per qualche minuto, in attesa del riepilogo, teniamo anche l'elenco di quali tappe, spese e allegati di un viaggio sono cambiati e chi li ha cambiati.

⚠️ I compagni di viaggio, e le loro email

Questa è la parte in cui i dati non sono solo tuoi, e vale la pena spiegarla bene.

• I compagni senza account sono nomi che scrivi tu, per dividere le spese, a cui puoi dare un disegno o una foto per riconoscerli. Non c'è nessun contatto, nessun invito, nessuna notifica: quel nome è un'etichetta dentro il tuo viaggio.
• ⚠️ La foto di un ospite è il volto di un'altra persona: mettila solo se è d'accordo. Può caricarla chi organizza il viaggio o ha il permesso di modificarlo tutto; la vedono solo i membri di quel viaggio, e resta finché non la cambi o la togli, o finché il viaggio non viene eliminato. Non segue la regola dei sette giorni degli allegati.
• Per invitare qualcuno con un account servono la sua email o un codice. Se usi l'email, quell'indirizzo lo conserviamo finché l'invito è in sospeso, e poi finché la riga dell'invito resta nel viaggio. È un dato personale di un'altra persona che fornisci tu: invita solo chi si aspetta di essere invitato.
• ⚠️ L'invito per email non è un'email. Non mandiamo niente a quell'indirizzo: l'invito è una riga che l'app del destinatario si scarica e gli mostra all'apertura, se e quando ha un account. Se non ce l'ha, l'invito resta lì ad aspettarlo.
• ⚠️ Invitare un indirizzo dà sempre la stessa risposta, che abbia un account o no. È voluto: la risposta contraria sarebbe un modo per scoprire chi usa Gironzolo scrivendo indirizzi a caso.
• ⚠️ Degli altri membri di un viaggio il tuo telefono riceve il nome, la lingua e l'avatar (il disegno o la foto che hanno scelto), mai l'indirizzo email. Servono a mostrarti chi ha scritto cosa; l'email di una persona che non hai invitato tu non ti riguarda.

Cosa non facciamo, ed è verificabile

• Non chiediamo mai la tua posizione. Gironzolo non usa il GPS e non ha il permesso di geolocalizzazione: i fusi orari li propone un catalogo di luoghi che vive dentro l'app, senza chiedere niente a nessuno, e l'ultima parola è sempre tua.
• Non registriamo il tuo indirizzo IP. Il nostro server non tiene alcun registro delle richieste che riceve. L'infrastruttura che ospita il servizio (Cloudflare) tratta i dati tecnici di connessione per la sicurezza della rete, secondo la propria informativa: è una cosa che succede sotto di noi e su cui non abbiamo visibilità.
• Nessun analytics, nessun rilevatore di errori, nessun tracciamento pubblicitario. L'app non include alcuna libreria di questo tipo: di Firebase usiamo solo il recapito delle notifiche, non Google Analytics né Crashlytics.
• Nessuna pubblicità e nessuna profilazione. Non prendiamo decisioni automatizzate sul tuo conto.
• Non vendiamo e non cediamo i tuoi dati a nessuno.

Perché li trattiamo, e con quale base giuridica

• Per farti usare l'app, sincronizzare i viaggi fra i tuoi dispositivi, condividerli con chi inviti e conservarli: esecuzione del contratto (art. 6.1.b GDPR).
• Per la sicurezza del servizio e la prevenzione degli abusi — per esempio il tetto ai tentativi sul codice di recupero, o il limite agli allegati: legittimo interesse (art. 6.1.f).
• Per adempiere agli obblighi di legge che ci riguardano, compresi quelli fiscali legati a un acquisto: obbligo legale (art. 6.1.c).

Le notifiche

I promemoria delle tappe e della valigia sono notifiche locali: le programma il tuo dispositivo a partire dai tuoi orari, e il nostro server non ne sa niente.

Le notifiche push invece le manda il nostro server, quando un compagno di viaggio fa qualcosa che ti riguarda: un invito a un viaggio, un compagno che entra in un viaggio che organizzi, i tuoi permessi che cambiano, una tappa di oggi o domani aggiunta, spostata o tolta, le date del viaggio che cambiano o il viaggio eliminato; e, mentre preparate il viaggio, un riepilogo («Wanesa ha cambiato 3 tappe») qualche minuto dopo che chi scrive ha finito. Per recapitarle usiamo Firebase Cloud Messaging, il servizio di Google: è l'unico modo di raggiungere un telefono Android con l'app chiusa.

• Cosa c'è scritto: il titolo del viaggio, il nome di chi ha fatto la cosa e, per i cambi dell'ultimo minuto, il titolo della tappa con il giorno e l'ora. Questo testo passa dai server di Google per arrivare a te. Non ci sono mai l'indirizzo delle tappe, i codici di prenotazione, le note, gli importi delle spese, né la tua email.
• Mai a chi ha fatto la cosa, e mai a chi non fa più parte del viaggio. I compagni senza account, che sono solo nomi, non ricevono niente.
• Le spegni quando vuoi: per tipo da Impostazioni → Notifiche, i riepiloghi di un solo viaggio dal campanello in alto nel viaggio, o tutte dalle impostazioni del telefono. Le preferenze si sincronizzano fra i tuoi dispositivi, perché è il server a decidere cosa mandare.
• Il token del telefono si cancella quando esci dall'account, quando chiedi la cancellazione, quando Firebase ci dice che non vale più e dopo 60 giorni in cui l'app non si fa viva.
• Su iPhone le notifiche push non ci sono ancora. Quando arriveranno passeranno anche dal servizio di Apple, e lo scriveremo qui.

Dove stanno i dati, e a chi li affidiamo

L'archiviazione è su infrastruttura Cloudflare: il database (D1) e gli allegati (R2) stanno entrambi nella regione europea EEUR. Il traffico fra app e server è sempre cifrato (HTTPS).

È l'elenco completo. Verso gli Stati Uniti il trasferimento avviene sulle garanzie previste dal Capo V del GDPR (clausole contrattuali standard); a Resend non arrivano mai i viaggi, e a Google arrivano solo le notifiche. L'accesso ai dati da parte nostra è limitato a chi gestisce tecnicamente il servizio, e solo per la manutenzione.

I tuoi allegati non sono pubblici: ogni file si scarica solo con un accesso valido, e il server verifica che chi lo chiede sia davvero un membro di quel viaggio prima di consegnarlo.

Un servizio esterno: i tassi di cambio

Se un viaggio ha una valuta diversa dalla tua, l'app scarica i tassi di cambio da open.er-api.com, un servizio pubblico e gratuito, e poi li congela per poterli usare offline. Viene chiesto solo l'elenco dei tassi: nessun dato tuo, nessun dato sui tuoi viaggi, nemmeno quali valute ti interessano. La richiesta parte dal tuo dispositivo, quindi quel servizio vede il tuo indirizzo IP come qualunque sito che visiti. Le conversioni sono dichiarate indicative e datate, e i conti veri restano sempre nella valuta in cui hai speso.

Gli allegati si distruggono da soli

Biglietti, prenotazioni e foto delle tappe sono effimeri per scelta: sette giorni dopo la fine del viaggio vengono cancellati, sul dispositivo e sul server, senza che tu debba fare niente. L'app lo dice per iscritto prima che tu li aggiunga. Il viaggio resta nell'archivio; le ricevute no.

I viaggi restano anche sul tuo dispositivo

Gironzolo funziona senza rete — in aereo, in metropolitana, in roaming spento — perché i viaggi sono scritti per intero anche sul dispositivo; la sincronizzazione serve a tenerne una copia al sicuro, a ritrovarli altrove e a condividerli. Il conto alla rovescia del widget sulla schermata iniziale del telefono vive anch'esso sul dispositivo, in uno spazio condiviso fra l'app e il widget, e non esce di lì.

Per quanto tempo

Finché tieni l'account. Se lo cancelli, gli accessi cadono subito e i dati restano 30 giorni: è la finestra per ripensarci (rientrando trovi il pulsante per annullare). Alla scadenza un processo notturno cancella davvero l'account, i viaggi e gli allegati. ⚠️ I viaggi condivisi con altre persone registrate restano a loro, senza il tuo nome: i dettagli sono nella pagina Cancellare l'account di Gironzolo. Restano solo i documenti che siamo tenuti a conservare per legge, per esempio quelli fiscali di un acquisto.

Un account il cui indirizzo non viene confermato entro 24 ore viene cancellato dal processo notturno successivo, con tutto quello che il server ne conserva: finché l'indirizzo non è confermato, i viaggi non si sincronizzano e restano solo sul telefono.

Se cancelli una singola voce, resta per un breve periodo un segno tecnico della cancellazione, necessario a propagarla agli altri dispositivi.

Il token delle notifiche: finché usi l'app su quel telefono (vedi sopra). Firebase tiene una notifica solo finché non la consegna (al massimo quattro settimane, se il telefono resta spento). L'elenco delle modifiche in attesa di riepilogo si svuota appena il riepilogo parte.

I tuoi diritti

Puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità dei dati e opporti al trattamento, scrivendo a info@linchettostudio.com. Due di questi non richiedono di scrivere a nessuno, perché sono dentro l'app:

• Scaricare i tuoi dati in un file JSON, gratuitamente e senza limiti — da Impostazioni → Account → Scarica i miei dati. Non è e non sarà una funzione a pagamento: la portabilità è un tuo diritto, non un extra. ⚠️ Gli allegati non sono nel file, perché sono effimeri e vivono al massimo sette giorni dopo il viaggio; quelli ancora vivi si condividono dalla tappa a cui sono appesi. ⚠️ E non è un backup da ricaricare: la rete di sicurezza dei viaggi è l'account, che te li ridà su qualunque dispositivo.
• Cancellare l'account, e con esso i viaggi — da Impostazioni → Account → Cancella l'account. Le istruzioni complete sono nella pagina Cancellare l'account di Gironzolo.

Hai anche diritto di reclamo al Garante per la protezione dei dati personali.

Fotocamera, galleria e allegati

Gironzolo chiede l'accesso alla fotocamera e alla galleria solo quando scegli di allegare qualcosa a una tappa o ai documenti del viaggio, o di mettere una foto come avatar, tuo o di un ospite. Le immagini vengono ridotte di dimensione sul dispositivo prima di partire. Non c'è nessuna analisi automatica delle immagini.

Acquisti

Lo sblocco di Gironzolo Pro è un acquisto una tantum gestito interamente da Apple App Store o Google Play: non vediamo e non conserviamo i dati di pagamento. Del tuo acquisto teniamo l'identificativo della transazione, la piattaforma, la prova d'acquisto che ci consegna lo store e la data — servono a farti ritrovare il Pro quando entri da un altro telefono, anche di un altro sistema, e a impedire che la stessa ricevuta sblocchi cento account.

Sicurezza

Le password e i token di accesso sono conservati solo come impronte cifrate e non reversibili, mai in chiaro. Il token del tuo dispositivo è custodito nel portachiavi di sistema (Keychain su iOS, Keystore su Android). Reimpostare la password fa cadere tutti gli accessi, su tutti i dispositivi, e così fa la richiesta di cancellazione. I codici di conferma e di recupero scadono, e dopo pochi tentativi sbagliati non sono più utilizzabili. Chi ha un ruolo di sola lettura in un viaggio non può scriverci: il controllo sta sul server, non solo nell'app.

Minori

Il servizio non è rivolto a minori di 14 anni (l'età del consenso digitale in Italia; in altri paesi dell'Unione europea può arrivare a 16).

Modifiche

Se questa informativa cambia in modo sostanziale, te lo diciamo nell'app prima che le modifiche abbiano effetto. Ogni versione è pubblicata a questo indirizzo con la sua data. Succederà di sicuro quando arriveranno le notifiche push su iPhone.

In short

Gironzolo is your travel itinerary. To make it work across devices, so you don't lose it when you change phone, and so you can share it with whoever travels with you, the app uses an account and keeps your data on a European server. We don't sell it, we don't use it to profile you, there are no ads and no tracking tools of any kind. You can export everything and delete your account whenever you like, from inside the app.

What we process

For the account: your email address, the name you choose, your language, your password (kept only as an encrypted, non-reversible hash), and the sign-up and last-change dates. For each session we keep the encrypted hash of the token, the system type (ios or android) and the creation and expiry dates. If you choose, also an avatar: one of the app's drawings or a photo of you, cropped and resized on the phone and kept on the server until you change it, remove it or delete your account. Only the people who share a trip with you can see the photo.

What you write in your trips: title, destination, dates, time zone and currency; the stops (type, title, day and times, address, Google Maps link, transport mode and departure and arrival places, booking reference, cost, notes, reminders); the packing list; expenses and how they are split; your travel companions; and the attachments you choose to add — tickets, bookings, stop photos.

For address confirmation and password recovery: the encrypted hash of the six-digit code, the number of attempts and the expiry. The code itself is never stored in the clear.

For synchronisation: a log of which rows changed and in what order, used to carry changes to the other devices — yours and your travel companions'.

For push notifications: the code Firebase assigns to the app on your phone (the "token"), the system, when it was registered and the last time the app checked in; and your notification preferences, overall and trip by trip. For a few minutes, while a summary is pending, we also keep the list of which stops, expenses and attachments of a trip changed and who changed them.

⚠️ Travel companions, and their email addresses

This is the part where the data isn't only yours, and it's worth explaining properly.

• Companions without an account are names you type, so expenses can be split, and you can give them a drawing or a photo to tell them apart. There is no contact, no invitation, no notification: that name is a label inside your trip.
• ⚠️ A guest's photo is another person's face: only add it if they agree. It can be uploaded by whoever organises the trip or has permission to edit all of it; only the members of that trip can see it, and it stays until you change or remove it, or until the trip is deleted. It does not follow the seven-day rule for attachments.
• Inviting someone with an account takes their email address or a code. If you use the email, we keep that address while the invitation is pending, and then for as long as the invitation row stays in the trip. It is another person's personal data, provided by you: only invite people who expect to be invited.
• ⚠️ An email invitation is not an email. We send nothing to that address: the invitation is a row that the recipient's app downloads and shows them when they open it, if and when they have an account. If they don't, the invitation waits for them.
• ⚠️ Inviting an address always gives the same answer, whether it has an account or not. That is deliberate: the opposite would be a way to find out who uses Gironzolo by typing addresses at random.
• ⚠️ Of the other members of a trip, your phone receives the name, language and avatar (the drawing or photo they chose), never the email address. They're there to show you who wrote what; the email of someone you didn't invite is none of your business.

What we do not do, and you can check it

• We never ask for your location. Gironzolo doesn't use GPS and has no location permission: time zones are suggested by a catalogue of places that lives inside the app, without asking anyone anything, and the last word is always yours.
• We do not log your IP address. Our server keeps no record of the requests it receives. The infrastructure hosting the service (Cloudflare) processes technical connection data for network security, under its own notice: that happens beneath us and we have no visibility into it.
• No analytics, no crash reporter, no advertising tracker. The app includes no library of that kind: of Firebase we only use notification delivery, not Google Analytics or Crashlytics.
• No advertising and no profiling. We take no automated decisions about you.
• We do not sell or hand your data to anyone.

Why, and on what legal basis

• To let you use the app, sync your trips across your devices, share them with the people you invite, and keep them: performance of the contract (Art. 6(1)(b) GDPR).
• For the security of the service and to prevent abuse — for instance the cap on recovery-code attempts, or the limit on attachments: legitimate interest (Art. 6(1)(f)).
• To meet the legal obligations that apply to us, including tax obligations tied to a purchase: legal obligation (Art. 6(1)(c)).

Notifications

Stop and packing reminders are local notifications: your device schedules them from your own times, and our server knows nothing about them.

Push notifications, on the other hand, are sent by our server when a travel companion does something that concerns you: an invitation to a trip, a companion joining a trip you organise, your permissions changing, a stop today or tomorrow added, moved or removed, the trip dates changing or the trip being deleted; and, while you plan the trip, a summary ("Wanesa changed 3 stops") a few minutes after whoever is writing has finished. To deliver them we use Firebase Cloud Messaging, Google's service: it's the only way to reach an Android phone while the app is closed.

• What they say: the trip title, the name of whoever did the thing and, for last-minute changes, the stop title with its day and time. That text goes through Google's servers to reach you. Never included: stop addresses, booking references, notes, expense amounts, or your email.
• Never to whoever did the thing, and never to anyone no longer in the trip. Companions without an account, who are just names, receive nothing.
• Turn them off whenever you like: by type from Settings → Notifications, the summaries of a single trip from the bell at the top of the trip, or all of them from your phone's settings. Your preferences sync across your devices, because the server decides what to send.
• The phone's token is deleted when you sign out, when you ask for account deletion, when Firebase tells us it's no longer valid and after 60 days without the app checking in.
• On iPhone push notifications aren't there yet. When they come they'll also go through Apple's service, and we'll say so here.

Where the data lives, and who handles it

Storage is on Cloudflare infrastructure: the database (D1) and the attachments (R2) both sit in the European EEUR region. Traffic between app and server is always encrypted (HTTPS).

That's the complete list. Transfers to the United States rely on the safeguards in Chapter V GDPR (standard contractual clauses); Resend never receives your trips, and Google only receives the notifications. Our own access to the data is limited to whoever runs the service technically, and only for maintenance.

Your attachments are not public: each file is served only with a valid session, and the server checks that whoever asks really is a member of that trip before handing it over.

One third-party service: exchange rates

If a trip uses a currency other than yours, the app downloads exchange rates from open.er-api.com, a free public service, and then freezes them so they work offline. Only the list of rates is requested: no data about you, none about your trips, not even which currencies you care about. The request leaves from your device, so that service sees your IP address like any website you visit. Conversions are labelled indicative and dated, and the real accounts always stay in the currency you spent.

Attachments destroy themselves

Tickets, bookings and stop photos are ephemeral by design: seven days after the trip ends they are deleted, on the device and on the server, without you doing anything. The app says so in writing before you add them. The trip stays in your archive; the receipts don't.

Your trips also stay on your device

Gironzolo works with no connection — on a plane, in the underground, with roaming switched off — because the trips are written in full on the device too; syncing is there to keep a safe copy, to find them again elsewhere, and to share them. The countdown in the home-screen widget also lives on the device, in a space shared between the app and the widget, and never leaves it.

How long

For as long as you keep the account. If you delete it, sessions end immediately and the data stays for 30 days: that's the window to change your mind (sign back in and you'll find the button to cancel). At the end a nightly job really deletes the account, the trips and the attachments. ⚠️ Trips shared with other registered people stay with them, without your name: the details are on the Deleting your Gironzolo account page. All that remains are the records we are required by law to keep, such as the tax records of a purchase.

An account whose address isn't confirmed within 24 hours is deleted by the next nightly job, with everything the server holds about it: until the address is confirmed, trips don't sync and stay only on the phone.

If you delete a single entry, a technical marker of that deletion remains for a short while, needed to carry it to the other devices.

The notification token: as long as you use the app on that phone (see above). Firebase keeps a notification only until it's delivered (at most four weeks, if the phone stays off). The list of changes waiting for a summary is emptied as soon as the summary goes out.

Your rights

You can request access, rectification, erasure, restriction, data portability, and object to processing, by writing to info@linchettostudio.com. Two of these need no writing to anyone, because they are inside the app:

• Download your data as a JSON file, free and without limits — from Settings → Account → Download my data. It is not, and will not become, a paid feature: portability is your right, not an extra. ⚠️ Attachments are not in the file, because they are ephemeral and live at most seven days after the trip; the ones still alive can be shared from the stop they belong to. ⚠️ And it is not a backup you can load back: the safety net for your trips is the account, which gives them back to you on any device.
• Delete your account, and your trips with it — from Settings → Account → Delete my account. Full instructions are on the Deleting your Gironzolo account page.

You also have the right to lodge a complaint with your data protection authority (in Italy, the Garante per la protezione dei dati personali).

Camera, gallery and attachments

Gironzolo asks for camera and gallery access only when you choose to attach something to a stop or to the trip documents, or to use a photo as an avatar, yours or a guest's. Images are resized on the device before they leave. There is no automatic analysis of images.

Purchases

The Gironzolo Pro unlock is a one-off purchase handled entirely by the Apple App Store or Google Play: we never see or store payment details. Of your purchase we keep the transaction identifier, the platform, the proof of purchase the store hands us, and the date — they let you find Pro again when you sign in from another phone, even on the other system, and stop the same receipt from unlocking a hundred accounts.

Security

Passwords and session tokens are stored only as encrypted, non-reversible hashes, never in the clear. Your device's token is kept in the system keychain (Keychain on iOS, Keystore on Android). Resetting your password ends every session on every device, and so does requesting deletion. Confirmation and recovery codes expire, and after a few wrong attempts they stop working. Someone with a read-only role in a trip cannot write to it: the check lives on the server, not only in the app.

Minors

The service is not aimed at children under 14 (the digital consent age in Italy; in other EU countries it can be up to 16).

Changes

If this notice changes substantially, we'll tell you in the app before the changes take effect. Every version is published at this address with its date. It will certainly happen when push notifications on iPhone arrive.

Kurz gesagt

Gironzolo ist die Reiseroute deiner Reisen. Damit sie auf mehreren Geräten funktioniert, damit du sie beim Gerätewechsel nicht verlierst und damit du sie mit deinen Mitreisenden teilen kannst, nutzt die App ein Konto und speichert deine Daten auf einem europäischen Server. Wir verkaufen sie nicht, wir nutzen sie nicht, um ein Profil von dir zu erstellen, es gibt keine Werbung und keinerlei Tracking-Werkzeuge. Du kannst jederzeit direkt in der App alles exportieren und dein Konto löschen.

Welche Daten wir verarbeiten

Für das Konto: deine E-Mail-Adresse, der Name, den du wählst, die Sprache, das Passwort (nur als verschlüsselter, nicht umkehrbarer Hash gespeichert), das Datum der Registrierung und das der letzten Änderung. Von jeder Anmeldung bleiben der verschlüsselte Hash des Tokens, der Systemtyp (ios oder android) sowie Erstellungs- und Ablaufdatum. Wenn du möchtest, auch ein Avatar: eine der Zeichnungen der App oder ein Foto von dir, das auf dem Telefon zugeschnitten und verkleinert und auf dem Server gespeichert wird, bis du es änderst, entfernst oder dein Konto löschst. Das Foto sehen nur die Personen, die mit dir in einer Reise sind.

Was du in deine Reisen schreibst: Titel, Reiseziel, Daten, Zeitzone und Währung der Reise; die Stationen (Art, Titel, Tag und Uhrzeiten, Adresse, Google-Maps-Link, Verkehrsmittel sowie Abfahrts- und Ankunftsort, Buchungsnummer, Kosten, Notizen, Erinnerungen); den Koffer; die Ausgaben und wie sie aufgeteilt werden; die Mitreisenden; und die Anhänge, die du hinzufügst – Tickets, Buchungen, Fotos der Stationen.

Für die Bestätigung der Adresse und die Wiederherstellung des Passworts: der verschlüsselte Hash des sechsstelligen Codes, die Anzahl der Versuche und das Ablaufdatum. Der Code selbst wird nie im Klartext gespeichert.

Für die Synchronisierung: ein Protokoll, welche Zeilen sich in welcher Reihenfolge geändert haben; es dient dazu, die Änderungen auf die anderen Geräte zu bringen – deine und die deiner Mitreisenden.

Für Push-Benachrichtigungen: der Code, den Firebase der App auf deinem Telefon zuweist (das „Token“), das System, wann es registriert wurde und wann sich die App zuletzt gemeldet hat; und deine Einstellungen zu den Benachrichtigungen, allgemein und für jede einzelne Reise. Für einige Minuten, solange eine Zusammenfassung aussteht, speichern wir außerdem die Liste, welche Stationen, Ausgaben und Anhänge einer Reise sich geändert haben und wer sie geändert hat.

⚠️ Die Mitreisenden und ihre E-Mail-Adressen

Hier geht es um Daten, die nicht nur deine sind, und das lohnt sich genau zu erklären.

• Mitreisende ohne Konto sind Namen, die du einträgst, um die Ausgaben aufzuteilen, und denen du eine Zeichnung oder ein Foto geben kannst, um sie auseinanderzuhalten. Es gibt keinen Kontakt, keine Einladung, keine Benachrichtigung: Dieser Name ist eine Beschriftung in deiner Reise.
• ⚠️ Das Foto einer Person ohne Konto ist das Gesicht eines anderen Menschen: Füge es nur hinzu, wenn diese Person einverstanden ist. Hochladen kann es, wer die Reise organisiert oder sie vollständig bearbeiten darf; sehen können es nur die Mitglieder dieser Reise, und es bleibt, bis du es änderst oder entfernst oder bis die Reise gelöscht wird. Die Sieben-Tage-Regel der Anhänge gilt dafür nicht.
• Um jemanden mit Konto einzuladen, brauchst du seine E-Mail-Adresse oder einen Code. Wenn du die E-Mail-Adresse verwendest, speichern wir sie, solange die Einladung offen ist, und danach, solange die Zeile der Einladung in der Reise bleibt. Es sind personenbezogene Daten einer anderen Person, die du angibst: Lade nur Leute ein, die damit rechnen, eingeladen zu werden.
• ⚠️ Die Einladung per E-Mail ist keine E-Mail. Wir senden nichts an diese Adresse: Die Einladung ist eine Zeile, die die App der eingeladenen Person herunterlädt und ihr beim Öffnen anzeigt, wenn und sobald sie ein Konto hat. Hat sie keines, wartet die Einladung dort auf sie.
• ⚠️ Das Einladen einer Adresse liefert immer dieselbe Antwort, ob es zu ihr ein Konto gibt oder nicht. Das ist gewollt: Die gegenteilige Antwort wäre eine Möglichkeit herauszufinden, wer Gironzolo nutzt, indem man beliebige Adressen eintippt.
• ⚠️ Von den anderen Mitgliedern einer Reise erhält dein Telefon den Namen, die Sprache und den Avatar (die Zeichnung oder das Foto, das sie gewählt haben), nie die E-Mail-Adresse. Sie dienen dazu, dir zu zeigen, wer was geschrieben hat; die E-Mail-Adresse einer Person, die du nicht selbst eingeladen hast, geht dich nichts an.

Was wir nicht tun – und das ist überprüfbar

• Wir fragen nie nach deinem Standort. Gironzolo nutzt kein GPS und hat keine Standortberechtigung: Die Zeitzonen schlägt ein Ortskatalog vor, der in der App selbst steckt, ohne irgendjemanden zu fragen, und das letzte Wort hast immer du.
• Wir speichern deine IP-Adresse nicht. Unser Server führt kein Protokoll über die Anfragen, die er erhält. Die Infrastruktur, auf der der Dienst läuft (Cloudflare), verarbeitet technische Verbindungsdaten für die Sicherheit des Netzes, nach ihrer eigenen Datenschutzerklärung: Das geschieht unterhalb von uns, und wir haben keinen Einblick darin.
• Keine Analysedienste, kein Fehlerreporting, kein Werbe-Tracking. Die App enthält keine Bibliothek dieser Art: Von Firebase nutzen wir nur die Zustellung der Benachrichtigungen, weder Google Analytics noch Crashlytics.
• Keine Werbung und keine Profilbildung. Wir treffen keine automatisierten Entscheidungen über dich.
• Wir verkaufen deine Daten nicht und geben sie an niemanden weiter.

Warum wir sie verarbeiten und auf welcher Rechtsgrundlage

• Damit du die App nutzen, deine Reisen zwischen deinen Geräten synchronisieren, sie mit den Personen teilen kannst, die du einlädst, und damit sie aufbewahrt werden: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• Für die Sicherheit des Dienstes und die Verhinderung von Missbrauch – zum Beispiel die Obergrenze für Versuche mit dem Wiederherstellungscode oder die Begrenzung der Anhänge: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).
• Um die gesetzlichen Pflichten zu erfüllen, die uns betreffen, einschließlich der steuerlichen Pflichten im Zusammenhang mit einem Kauf: rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO).

Die Benachrichtigungen

Die Erinnerungen an Stationen und Koffer sind lokale Benachrichtigungen: Dein Gerät plant sie anhand deiner Uhrzeiten, und unser Server weiß nichts davon.

Die Push-Benachrichtigungen dagegen sendet unser Server, wenn jemand aus der Reisegruppe etwas tut, das dich betrifft: eine Einladung zu einer Reise, jemand, der einer von dir organisierten Reise beitritt, deine Berechtigungen, die sich ändern, eine Station für heute oder morgen, die hinzugefügt, verschoben oder entfernt wird, die Daten der Reise, die sich ändern, oder die Reise, die gelöscht wird; und, während ihr die Reise vorbereitet, eine Zusammenfassung („Wanesa hat 3 Stationen geändert“) einige Minuten, nachdem die schreibende Person fertig ist. Für die Zustellung nutzen wir Firebase Cloud Messaging, den Dienst von Google: Nur so lässt sich ein Android-Telefon bei geschlossener App erreichen.

• Was darin steht: der Titel der Reise, der Name der Person, die etwas getan hat, und bei kurzfristigen Änderungen der Titel der Station mit Tag und Uhrzeit. Dieser Text läuft über die Server von Google, um dich zu erreichen. Nie enthalten sind die Adressen der Stationen, die Buchungsnummern, die Notizen, die Beträge der Ausgaben oder deine E-Mail-Adresse.
• Nie an die Person, die etwas getan hat, und nie an jemanden, der nicht mehr zur Reise gehört. Mitreisende ohne Konto, die nur Namen sind, erhalten nichts.
• Du schaltest sie aus, wann du willst: nach Art unter Einstellungen → Benachrichtigungen, die Zusammenfassungen einer einzelnen Reise über die Glocke oben in der Reise, oder alle über die Einstellungen des Telefons. Deine Einstellungen werden zwischen deinen Geräten synchronisiert, weil der Server entscheidet, was gesendet wird.
• Das Token des Telefons wird gelöscht, wenn du dich abmeldest, wenn du die Löschung beantragst, wenn Firebase uns mitteilt, dass es nicht mehr gültig ist, und nach 60 Tagen, in denen sich die App nicht meldet.
• Auf dem iPhone gibt es noch keine Push-Benachrichtigungen. Wenn sie kommen, laufen sie auch über den Dienst von Apple, und wir werden es hier schreiben.

Wo die Daten liegen und wem wir sie anvertrauen

Die Speicherung erfolgt auf der Infrastruktur von Cloudflare: Die Datenbank (D1) und die Anhänge (R2) liegen beide in der europäischen Region EEUR. Der Datenverkehr zwischen App und Server ist immer verschlüsselt (HTTPS).

Das ist die vollständige Liste. Übermittlungen in die Vereinigten Staaten erfolgen auf Grundlage der in Kapitel V DSGVO vorgesehenen Garantien (Standardvertragsklauseln); Resend erhält nie die Reisen, und Google erhält nur die Benachrichtigungen. Unser eigener Zugriff auf die Daten beschränkt sich auf die Personen, die den Dienst technisch betreuen, und nur für die Wartung.

Deine Anhänge sind nicht öffentlich: Jede Datei lässt sich nur mit einer gültigen Anmeldung herunterladen, und der Server prüft, ob die anfragende Person wirklich Mitglied dieser Reise ist, bevor er sie herausgibt.

Ein externer Dienst: die Wechselkurse

Wenn eine Reise eine andere Währung als deine hat, lädt die App die Wechselkurse von open.er-api.com herunter, einem öffentlichen und kostenlosen Dienst, und friert sie dann ein, damit sie offline nutzbar sind. Abgefragt wird nur die Liste der Kurse: keine Daten über dich, keine über deine Reisen, nicht einmal, welche Währungen dich interessieren. Die Anfrage geht von deinem Gerät aus, daher sieht dieser Dienst deine IP-Adresse wie jede Website, die du besuchst. Die Umrechnungen sind als Richtwerte gekennzeichnet und datiert, und die echten Abrechnungen bleiben immer in der Währung, in der du bezahlt hast.

Die Anhänge löschen sich von selbst

Tickets, Buchungen und Fotos der Stationen sind bewusst kurzlebig: Sieben Tage nach dem Ende der Reise werden sie gelöscht, auf dem Gerät und auf dem Server, ohne dass du etwas tun musst. Die App sagt das schriftlich, bevor du sie hinzufügst. Die Reise bleibt im Archiv, die Belege nicht.

Die Reisen bleiben auch auf deinem Gerät

Gironzolo funktioniert ohne Netz – im Flugzeug, in der U-Bahn, bei ausgeschaltetem Roaming –, weil die Reisen vollständig auch auf dem Gerät gespeichert sind; die Synchronisierung dient dazu, eine sichere Kopie zu behalten, sie anderswo wiederzufinden und sie zu teilen. Auch der Countdown des Widgets auf dem Startbildschirm des Telefons liegt auf dem Gerät, in einem Bereich, den App und Widget gemeinsam nutzen, und verlässt ihn nicht.

Wie lange

Solange du das Konto behältst. Wenn du es löschst, enden die Anmeldungen sofort, und die Daten bleiben 30 Tage erhalten: Das ist das Zeitfenster, um es dir anders zu überlegen (wenn du dich wieder anmeldest, findest du die Schaltfläche zum Widerrufen). Nach Ablauf löscht ein nächtlicher Vorgang das Konto, die Reisen und die Anhänge endgültig. ⚠️ Reisen, die mit anderen registrierten Personen geteilt sind, bleiben bei ihnen, ohne deinen Namen: Die Einzelheiten stehen auf der Seite Das Gironzolo-Konto löschen. Es bleiben nur die Unterlagen, die wir gesetzlich aufbewahren müssen, zum Beispiel die steuerlichen Unterlagen eines Kaufs.

Ein Konto, dessen Adresse nicht innerhalb von 24 Stunden bestätigt wird, wird beim nächsten nächtlichen Vorgang gelöscht, mit allem, was der Server dazu speichert: Solange die Adresse nicht bestätigt ist, werden die Reisen nicht synchronisiert und bleiben nur auf dem Telefon.

Wenn du einen einzelnen Eintrag löschst, bleibt für kurze Zeit eine technische Markierung der Löschung bestehen, die nötig ist, um sie an die anderen Geräte weiterzugeben.

Das Token der Benachrichtigungen: solange du die App auf diesem Telefon nutzt (siehe oben). Firebase bewahrt eine Benachrichtigung nur auf, bis sie zugestellt ist (höchstens vier Wochen, wenn das Telefon ausgeschaltet bleibt). Die Liste der Änderungen, die auf eine Zusammenfassung warten, wird geleert, sobald die Zusammenfassung verschickt ist.

Deine Rechte

Du kannst Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen und der Verarbeitung widersprechen, indem du an info@linchettostudio.com schreibst. Für zwei davon musst du niemandem schreiben, weil sie in der App sind:

• Deine Daten herunterladen als JSON-Datei, kostenlos und ohne Begrenzung – über Einstellungen → Konto → Meine Daten herunterladen. Das ist keine kostenpflichtige Funktion und wird nie eine sein: Die Datenübertragbarkeit ist dein Recht, kein Extra. ⚠️ Die Anhänge sind nicht in der Datei, weil sie kurzlebig sind und höchstens sieben Tage nach der Reise existieren; die noch vorhandenen teilst du über die Station, zu der sie gehören. ⚠️ Und es ist kein Backup zum Wiedereinspielen: Das Sicherheitsnetz deiner Reisen ist das Konto, das sie dir auf jedem Gerät zurückgibt.
• Dein Konto löschen, und damit die Reisen – über Einstellungen → Konto → Konto löschen. Die vollständige Anleitung steht auf der Seite Das Gironzolo-Konto löschen.

Du hast außerdem das Recht auf Beschwerde beim Garante per la protezione dei dati personali (der italienischen Datenschutzbehörde).

Kamera, Fotomediathek und Anhänge

Gironzolo fragt nur dann nach dem Zugriff auf Kamera und Fotomediathek, wenn du etwas an eine Station oder an die Reisedokumente anhängen oder ein Foto als Avatar verwenden möchtest, für dich oder für eine Person ohne Konto. Die Bilder werden auf dem Gerät verkleinert, bevor sie es verlassen. Es gibt keine automatische Analyse der Bilder.

Käufe

Die Freischaltung von Gironzolo Pro ist ein einmaliger Kauf, der vollständig über den Apple App Store oder Google Play abgewickelt wird: Wir sehen und speichern keine Zahlungsdaten. Von deinem Kauf speichern wir die Transaktionskennung, die Plattform, den Kaufnachweis, den uns der Store übergibt, und das Datum – damit du Pro wiederfindest, wenn du dich auf einem anderen Telefon anmeldest, auch mit dem anderen System, und damit derselbe Beleg nicht hundert Konten freischaltet.

Sicherheit

Passwörter und Zugangstoken werden nur als verschlüsselte, nicht umkehrbare Hashes gespeichert, nie im Klartext. Das Token deines Geräts liegt im Schlüsselbund des Systems (Keychain unter iOS, Keystore unter Android). Das Zurücksetzen des Passworts beendet alle Anmeldungen auf allen Geräten, und ebenso der Antrag auf Löschung. Die Bestätigungs- und Wiederherstellungscodes laufen ab und sind nach wenigen Fehlversuchen nicht mehr nutzbar. Wer in einer Reise nur Leserechte hat, kann darin nicht schreiben: Die Prüfung erfolgt auf dem Server, nicht nur in der App.

Minderjährige

Der Dienst richtet sich nicht an Kinder unter 14 Jahren (das Alter der digitalen Einwilligung in Italien; in anderen Ländern der Europäischen Union kann es bis zu 16 Jahre betragen).

Änderungen

Wenn sich diese Datenschutzerklärung wesentlich ändert, sagen wir es dir in der App, bevor die Änderungen wirksam werden. Jede Fassung wird unter dieser Adresse mit ihrem Datum veröffentlicht. Das wird ganz sicher geschehen, wenn die Push-Benachrichtigungen auf dem iPhone kommen.

Diese Übersetzung dient der Verständlichkeit; bei Abweichungen gilt die italienische Fassung.

En bref

Gironzolo est l’itinéraire de tes voyages. Pour qu’il fonctionne sur plusieurs appareils, pour que tu ne le perdes pas quand tu en changes et pour pouvoir le partager avec ceux qui partent avec toi, l’application utilise un compte et conserve tes données sur un serveur européen. Nous ne les vendons pas, nous ne les utilisons pas pour te profiler, il n’y a pas de publicité ni aucun outil de suivi. Tu peux tout exporter et supprimer ton compte quand tu veux, depuis l’application elle-même.

Les données que nous traitons

Pour le compte : ton adresse e-mail, le nom que tu choisis, la langue, le mot de passe (conservé uniquement sous forme d’empreinte chiffrée et irréversible), les dates d’inscription et de dernière modification. De chaque connexion, nous gardons l’empreinte chiffrée du jeton, le type de système (ios ou android) et les dates de création et d’expiration. Si tu le souhaites, aussi un avatar : l’un des dessins de l’application ou une photo de toi, recadrée et réduite sur le téléphone et conservée sur le serveur jusqu’à ce que tu la changes, la retires ou supprimes ton compte. Seules les personnes qui partagent un voyage avec toi voient la photo.

Ce que tu écris dans tes voyages : titre, destination, dates, fuseau horaire et devise du voyage ; les étapes (type, titre, jour et horaires, adresse, lien Google Maps, moyen de transport et lieux de départ et d’arrivée, référence de réservation, coût, notes, rappels) ; la valise ; les dépenses et leur répartition ; les compagnons de voyage ; et les pièces jointes que tu choisis d’ajouter – billets, réservations, photos des étapes.

Pour la confirmation de l’adresse et la récupération du mot de passe : l’empreinte chiffrée du code à six chiffres, le nombre de tentatives et l’échéance. Le code en clair n’est jamais enregistré.

Pour la synchronisation : un registre des lignes modifiées et de l’ordre des modifications, qui sert à les transmettre aux autres appareils – les tiens et ceux de tes compagnons de voyage.

Pour les notifications push : le code que Firebase attribue à l’application sur ton téléphone (le « jeton »), le système, la date de son enregistrement et la dernière fois que l’application s’est manifestée ; ainsi que tes préférences de notification, en général et voyage par voyage. Pendant quelques minutes, en attendant le récapitulatif, nous conservons aussi la liste des étapes, dépenses et pièces jointes d’un voyage qui ont changé, et de qui les a changées.

⚠️ Les compagnons de voyage, et leurs adresses e-mail

C’est la partie où les données ne sont pas seulement les tiennes, et elle mérite d’être bien expliquée.

• Les compagnons sans compte sont des noms que tu écris toi-même, pour partager les dépenses, et auxquels tu peux donner un dessin ou une photo pour les reconnaître. Il n’y a aucun contact, aucune invitation, aucune notification : ce nom est une étiquette à l’intérieur de ton voyage.
• ⚠️ La photo d’un invité est le visage d’une autre personne : ne l’ajoute que si elle est d’accord. Elle peut être ajoutée par la personne qui organise le voyage ou qui a le droit de le modifier entièrement ; seuls les membres de ce voyage la voient, et elle reste jusqu’à ce que tu la changes ou la retires, ou jusqu’à la suppression du voyage. La règle des sept jours des pièces jointes ne s’applique pas à elle.
• Pour inviter quelqu’un qui a un compte, il faut son adresse e-mail ou un code. Si tu utilises l’e-mail, nous conservons cette adresse tant que l’invitation est en attente, puis tant que la ligne de l’invitation reste dans le voyage. C’est une donnée personnelle d’une autre personne, que tu fournis toi-même : n’invite que des personnes qui s’attendent à être invitées.
• ⚠️ L’invitation par e-mail n’est pas un e-mail. Nous n’envoyons rien à cette adresse : l’invitation est une ligne que l’application du destinataire télécharge et lui affiche à l’ouverture, si et quand il a un compte. S’il n’en a pas, l’invitation reste là à l’attendre.
• ⚠️ Inviter une adresse donne toujours la même réponse, qu’elle ait un compte ou non. C’est voulu : la réponse contraire permettrait de découvrir qui utilise Gironzolo en tapant des adresses au hasard.
• ⚠️ Des autres membres d’un voyage, ton téléphone reçoit le nom, la langue et l’avatar (le dessin ou la photo qu’ils ont choisis), jamais l’adresse e-mail. Ils servent à te montrer qui a écrit quoi ; l’e-mail d’une personne que tu n’as pas invitée toi-même ne te regarde pas.

Ce que nous ne faisons pas, et c’est vérifiable

• Nous ne demandons jamais ta position. Gironzolo n’utilise pas le GPS et n’a pas l’autorisation de localisation : les fuseaux horaires sont proposés par un catalogue de lieux intégré à l’application, sans rien demander à personne, et le dernier mot te revient toujours.
• Nous n’enregistrons pas ton adresse IP. Notre serveur ne tient aucun journal des requêtes qu’il reçoit. L’infrastructure qui héberge le service (Cloudflare) traite les données techniques de connexion pour la sécurité du réseau, selon sa propre politique : cela se passe en dessous de nous et nous n’en avons aucune visibilité.
• Aucun outil d’analyse, aucun rapport de plantage, aucun suivi publicitaire. L’application n’inclut aucune bibliothèque de ce type : de Firebase, nous n’utilisons que l’acheminement des notifications, ni Google Analytics ni Crashlytics.
• Aucune publicité et aucun profilage. Nous ne prenons aucune décision automatisée à ton sujet.
• Nous ne vendons ni ne cédons tes données à personne.

Pourquoi nous les traitons, et sur quelle base légale

• Pour te permettre d’utiliser l’application, de synchroniser tes voyages entre tes appareils, de les partager avec les personnes que tu invites et de les conserver : exécution du contrat (art. 6, paragraphe 1, point b, du RGPD).
• Pour la sécurité du service et la prévention des abus – par exemple le plafond de tentatives sur le code de récupération, ou la limite des pièces jointes : intérêt légitime (art. 6, paragraphe 1, point f, du RGPD).
• Pour respecter les obligations légales qui nous concernent, y compris les obligations fiscales liées à un achat : obligation légale (art. 6, paragraphe 1, point c, du RGPD).

Les notifications

Les rappels des étapes et de la valise sont des notifications locales : c’est ton appareil qui les programme à partir de tes horaires, et notre serveur n’en sait rien.

Les notifications push, elles, sont envoyées par notre serveur quand un compagnon de voyage fait quelque chose qui te concerne : une invitation à un voyage, un compagnon qui rejoint un voyage que tu organises, tes permissions qui changent, une étape d’aujourd’hui ou de demain ajoutée, déplacée ou retirée, les dates du voyage qui changent ou le voyage supprimé ; et, pendant que vous préparez le voyage, un récapitulatif (« Wanesa a modifié 3 étapes ») quelques minutes après que la personne qui écrit a terminé. Pour les acheminer, nous utilisons Firebase Cloud Messaging, le service de Google : c’est le seul moyen d’atteindre un téléphone Android quand l’application est fermée.

• Ce qu’elles contiennent : le titre du voyage, le nom de la personne qui a fait l’action et, pour les changements de dernière minute, le titre de l’étape avec le jour et l’heure. Ce texte passe par les serveurs de Google pour arriver jusqu’à toi. Elles ne contiennent jamais l’adresse des étapes, les codes de réservation, les notes, les montants des dépenses, ni ton e-mail.
• Jamais à la personne qui a fait l’action, et jamais à ceux qui ne font plus partie du voyage. Les compagnons sans compte, qui ne sont que des noms, ne reçoivent rien.
• Tu les désactives quand tu veux : par type dans Réglages → Notifications, les récapitulatifs d’un seul voyage avec la cloche en haut du voyage, ou toutes depuis les réglages du téléphone. Tes préférences se synchronisent entre tes appareils, car c’est le serveur qui décide quoi envoyer.
• Le jeton du téléphone est supprimé quand tu te déconnectes de ton compte, quand tu demandes la suppression, quand Firebase nous indique qu’il n’est plus valide et après 60 jours pendant lesquels l’application ne se manifeste pas.
• Sur iPhone, les notifications push n’existent pas encore. Quand elles arriveront, elles passeront aussi par le service d’Apple, et nous l’écrirons ici.

Où sont les données, et à qui nous les confions

Le stockage se fait sur l’infrastructure de Cloudflare : la base de données (D1) et les pièces jointes (R2) se trouvent toutes deux dans la région européenne EEUR. Le trafic entre l’application et le serveur est toujours chiffré (HTTPS).

C’est la liste complète. Vers les États-Unis, le transfert repose sur les garanties prévues par le chapitre V du RGPD (clauses contractuelles types) ; Resend ne reçoit jamais les voyages, et Google ne reçoit que les notifications. De notre côté, l’accès aux données est limité à ceux qui gèrent techniquement le service, et uniquement pour la maintenance.

Tes pièces jointes ne sont pas publiques : chaque fichier ne se télécharge qu’avec une connexion valide, et le serveur vérifie que la personne qui le demande est bien membre de ce voyage avant de le lui remettre.

Un service externe : les taux de change

Si un voyage a une devise différente de la tienne, l’application télécharge les taux de change depuis open.er-api.com, un service public et gratuit, puis les fige pour pouvoir les utiliser hors ligne. Seule la liste des taux est demandée : aucune donnée sur toi, aucune donnée sur tes voyages, pas même les devises qui t’intéressent. La requête part de ton appareil, donc ce service voit ton adresse IP comme n’importe quel site que tu visites. Les conversions sont indiquées comme indicatives et datées, et les vrais comptes restent toujours dans la devise dans laquelle tu as dépensé.

Les pièces jointes s’autodétruisent

Billets, réservations et photos des étapes sont éphémères par choix : sept jours après la fin du voyage, ils sont supprimés, sur l’appareil et sur le serveur, sans que tu aies rien à faire. L’application te le dit par écrit avant que tu les ajoutes. Le voyage reste dans les archives ; les justificatifs, non.

Les voyages restent aussi sur ton appareil

Gironzolo fonctionne sans réseau – en avion, dans le métro, avec l’itinérance désactivée – parce que les voyages sont aussi enregistrés en entier sur l’appareil ; la synchronisation sert à en garder une copie en sécurité, à les retrouver ailleurs et à les partager. Le compte à rebours du widget sur l’écran d’accueil du téléphone vit lui aussi sur l’appareil, dans un espace partagé entre l’application et le widget, et n’en sort pas.

Pendant combien de temps

Tant que tu gardes ton compte. Si tu le supprimes, les connexions sont coupées immédiatement et les données restent 30 jours : c’est le délai pour changer d’avis (en te reconnectant, tu trouves le bouton pour annuler). À l’échéance, un processus nocturne supprime définitivement le compte, les voyages et les pièces jointes. ⚠️ Les voyages partagés avec d’autres personnes inscrites leur restent, sans ton nom : les détails se trouvent sur la page Supprimer ton compte Gironzolo. Seuls restent les documents que nous sommes tenus de conserver par la loi, par exemple les documents fiscaux d’un achat.

Un compte dont l’adresse n’est pas confirmée dans les 24 heures est supprimé par le processus nocturne suivant, avec tout ce que le serveur en conserve : tant que l’adresse n’est pas confirmée, les voyages ne se synchronisent pas et restent uniquement sur le téléphone.

Si tu supprimes un seul élément, une trace technique de la suppression reste pendant une courte période, nécessaire pour la transmettre aux autres appareils.

Le jeton des notifications : tant que tu utilises l’application sur ce téléphone (voir plus haut). Firebase ne conserve une notification que jusqu’à sa remise (au maximum quatre semaines, si le téléphone reste éteint). La liste des modifications en attente de récapitulatif se vide dès que le récapitulatif part.

Tes droits

Tu peux demander l’accès, la rectification, l’effacement, la limitation, la portabilité des données et t’opposer au traitement, en écrivant à info@linchettostudio.com. Deux de ces droits ne demandent d’écrire à personne, parce qu’ils sont dans l’application :

• Télécharger tes données dans un fichier JSON, gratuitement et sans limite – depuis Réglages → Compte → Télécharger mes données. Ce n’est pas et ce ne sera jamais une fonction payante : la portabilité est un droit, pas un extra. ⚠️ Les pièces jointes ne sont pas dans le fichier, parce qu’elles sont éphémères et vivent au maximum sept jours après le voyage ; celles qui existent encore se partagent depuis l’étape à laquelle elles sont rattachées. ⚠️ Et ce n’est pas une sauvegarde à recharger : le filet de sécurité de tes voyages, c’est ton compte, qui te les rend sur n’importe quel appareil.
• Supprimer ton compte, et avec lui tes voyages – depuis Réglages → Compte → Supprimer le compte. Les instructions complètes sont sur la page Supprimer ton compte Gironzolo.

Tu as aussi le droit d’introduire une réclamation auprès du Garante per la protezione dei dati personali (l’autorité italienne de protection des données).

Appareil photo, photothèque et pièces jointes

Gironzolo demande l’accès à l’appareil photo et à la photothèque uniquement quand tu choisis de joindre quelque chose à une étape ou aux documents du voyage, ou de mettre une photo comme avatar, le tien ou celui d’un invité. Les images sont réduites sur l’appareil avant d’être envoyées. Il n’y a aucune analyse automatique des images.

Achats

Le déblocage de Gironzolo Pro est un achat unique géré entièrement par l’App Store d’Apple ou Google Play : nous ne voyons ni ne conservons les données de paiement. De ton achat, nous gardons l’identifiant de la transaction, la plateforme, la preuve d’achat que nous remet le store et la date – ils servent à te faire retrouver le Pro quand tu te connectes depuis un autre téléphone, même sous un autre système, et à empêcher qu’un même reçu débloque cent comptes.

Sécurité

Les mots de passe et les jetons d’accès sont conservés uniquement sous forme d’empreintes chiffrées et irréversibles, jamais en clair. Le jeton de ton appareil est gardé dans le trousseau du système (Keychain sur iOS, Keystore sur Android). Réinitialiser le mot de passe coupe toutes les connexions, sur tous les appareils, et la demande de suppression fait de même. Les codes de confirmation et de récupération expirent, et après quelques tentatives erronées ils ne sont plus utilisables. Une personne qui a un rôle en lecture seule dans un voyage ne peut pas y écrire : le contrôle se fait sur le serveur, pas seulement dans l’application.

Mineurs

Le service ne s’adresse pas aux moins de 14 ans (l’âge du consentement numérique en Italie ; dans d’autres pays de l’Union européenne, il peut aller jusqu’à 16 ans).

Modifications

Si cette politique change de manière substantielle, nous te le dirons dans l’application avant que les modifications prennent effet. Chaque version est publiée à cette adresse avec sa date. Cela arrivera à coup sûr quand les notifications push arriveront sur iPhone.

Cette traduction est fournie pour faciliter la lecture ; en cas de divergence, la version italienne fait foi.

En resumen

Gironzolo es el itinerario de tus viajes. Para que funcione en varios dispositivos, para que no lo pierdas cuando cambias de uno y para poder compartirlo con quien viaja contigo, la aplicación usa una cuenta y guarda tus datos en un servidor europeo. No los vendemos, no los usamos para elaborar tu perfil, no hay publicidad ni ninguna herramienta de seguimiento. Puedes exportarlo todo y eliminar tu cuenta cuando quieras, desde la propia aplicación.

Qué datos tratamos

Para la cuenta: tu dirección de correo electrónico, el nombre que eliges, el idioma, la contraseña (guardada solo como huella cifrada e irreversible), las fechas de registro y de última modificación. De cada acceso se guardan la huella cifrada del token, el tipo de sistema (ios o android) y las fechas de creación y caducidad. Si así lo eliges, también un avatar: uno de los dibujos de la aplicación o una foto tuya, recortada y reducida en el teléfono y guardada en el servidor hasta que la cambies, la quites o elimines la cuenta. La foto solo la ven las personas que comparten un viaje contigo.

Lo que escribes en tus viajes: título, destino, fechas, zona horaria y moneda del viaje; las paradas (tipo, título, día y horarios, dirección, enlace a Google Maps, medio de transporte y lugares de salida y llegada, referencia de la reserva, coste, notas, recordatorios); la maleta; los gastos y cómo se reparten; los compañeros de viaje; y los archivos adjuntos que decides añadir: billetes, reservas, fotos de las paradas.

Para la confirmación de la dirección y la recuperación de la contraseña: la huella cifrada del código de seis cifras, el número de intentos y la caducidad. El código en claro no se guarda nunca.

Para la sincronización: un registro de qué filas han cambiado y en qué orden, que sirve para llevar los cambios a los demás dispositivos, los tuyos y los de tus compañeros de viaje.

Para las notificaciones push: el código que Firebase asigna a la aplicación en tu teléfono (el «token»), el sistema, cuándo se registró y la última vez que la aplicación dio señales de vida; y tus preferencias sobre las notificaciones, en general y viaje por viaje. Durante unos minutos, a la espera del resumen, guardamos también la lista de qué paradas, gastos y archivos adjuntos de un viaje han cambiado y quién los ha cambiado.

⚠️ Los compañeros de viaje y sus correos electrónicos

Esta es la parte en la que los datos no son solo tuyos, y merece la pena explicarla bien.

• Los compañeros sin cuenta son nombres que escribes tú, para repartir los gastos, a los que puedes dar un dibujo o una foto para reconocerlos. No hay ningún contacto, ninguna invitación, ninguna notificación: ese nombre es una etiqueta dentro de tu viaje.
• ⚠️ La foto de un invitado es la cara de otra persona: ponla solo si está de acuerdo. Puede subirla quien organiza el viaje o tiene permiso para modificarlo entero; solo la ven los miembros de ese viaje, y se queda hasta que la cambies o la quites, o hasta que se elimine el viaje. No sigue la regla de los siete días de los archivos adjuntos.
• Para invitar a alguien con cuenta hace falta su correo electrónico o un código. Si usas el correo, guardamos esa dirección mientras la invitación está pendiente y, después, mientras la fila de la invitación siga en el viaje. Es un dato personal de otra persona que facilitas tú: invita solo a quien espera ser invitado.
• ⚠️ La invitación por correo no es un correo. No enviamos nada a esa dirección: la invitación es una fila que la aplicación del destinatario descarga y le muestra al abrirla, si tiene una cuenta y cuando la tenga. Si no la tiene, la invitación se queda ahí esperándolo.
• ⚠️ Invitar a una dirección da siempre la misma respuesta, tenga cuenta o no. Es intencionado: la respuesta contraria sería una forma de averiguar quién usa Gironzolo escribiendo direcciones al azar.
• ⚠️ De los demás miembros de un viaje, tu teléfono recibe el nombre, el idioma y el avatar (el dibujo o la foto que han elegido), nunca el correo electrónico. Sirven para mostrarte quién ha escrito qué; el correo de una persona a la que no has invitado tú no es asunto tuyo.

Lo que no hacemos, y se puede comprobar

• Nunca pedimos tu ubicación. Gironzolo no usa el GPS y no tiene permiso de geolocalización: las zonas horarias las propone un catálogo de lugares que vive dentro de la aplicación, sin preguntar nada a nadie, y la última palabra siempre es tuya.
• No registramos tu dirección IP. Nuestro servidor no lleva ningún registro de las peticiones que recibe. La infraestructura que aloja el servicio (Cloudflare) trata los datos técnicos de conexión para la seguridad de la red, según su propia política: es algo que ocurre por debajo de nosotros y sobre lo que no tenemos visibilidad.
• Ninguna analítica, ningún detector de errores, ningún seguimiento publicitario. La aplicación no incluye ninguna biblioteca de ese tipo: de Firebase solo usamos la entrega de notificaciones, ni Google Analytics ni Crashlytics.
• Ninguna publicidad y ninguna elaboración de perfiles. No tomamos decisiones automatizadas sobre ti.
• No vendemos ni cedemos tus datos a nadie.

Por qué los tratamos, y con qué base jurídica

• Para que puedas usar la aplicación, sincronizar los viajes entre tus dispositivos, compartirlos con quien invites y conservarlos: ejecución del contrato (art. 6.1.b del RGPD).
• Para la seguridad del servicio y la prevención de abusos, por ejemplo el límite de intentos con el código de recuperación o el límite de archivos adjuntos: interés legítimo (art. 6.1.f del RGPD).
• Para cumplir las obligaciones legales que nos afectan, incluidas las fiscales relacionadas con una compra: obligación legal (art. 6.1.c del RGPD).

Las notificaciones

Los recordatorios de las paradas y de la maleta son notificaciones locales: las programa tu dispositivo a partir de tus horarios, y nuestro servidor no sabe nada de ellas.

Las notificaciones push, en cambio, las envía nuestro servidor cuando un compañero de viaje hace algo que te afecta: una invitación a un viaje, un compañero que se une a un viaje que organizas, tus permisos que cambian, una parada de hoy o mañana añadida, movida o quitada, las fechas del viaje que cambian o el viaje eliminado; y, mientras preparáis el viaje, un resumen («Wanesa ha cambiado 3 paradas») unos minutos después de que quien escribe haya terminado. Para entregarlas usamos Firebase Cloud Messaging, el servicio de Google: es la única forma de llegar a un teléfono Android con la aplicación cerrada.

• Qué dicen: el título del viaje, el nombre de quien ha hecho la acción y, para los cambios de última hora, el título de la parada con el día y la hora. Este texto pasa por los servidores de Google para llegar hasta ti. Nunca incluyen la dirección de las paradas, los códigos de reserva, las notas, los importes de los gastos ni tu correo electrónico.
• Nunca a quien ha hecho la acción, y nunca a quien ya no forma parte del viaje. Los compañeros sin cuenta, que son solo nombres, no reciben nada.
• Las desactivas cuando quieras: por tipo en Ajustes → Notificaciones, los resúmenes de un solo viaje con la campana de la parte superior del viaje, o todas desde los ajustes del teléfono. Tus preferencias se sincronizan entre tus dispositivos, porque es el servidor el que decide qué enviar.
• El token del teléfono se elimina cuando cierras sesión, cuando solicitas la eliminación de la cuenta, cuando Firebase nos dice que ya no es válido y después de 60 días en los que la aplicación no da señales de vida.
• En iPhone todavía no hay notificaciones push. Cuando lleguen, pasarán también por el servicio de Apple, y lo indicaremos aquí.

Dónde están los datos, y a quién se los confiamos

El almacenamiento se realiza en la infraestructura de Cloudflare: la base de datos (D1) y los archivos adjuntos (R2) están ambos en la región europea EEUR. El tráfico entre la aplicación y el servidor siempre está cifrado (HTTPS).

Esta es la lista completa. Hacia Estados Unidos la transferencia se basa en las garantías previstas en el capítulo V del RGPD (cláusulas contractuales tipo); a Resend nunca llegan los viajes, y a Google solo llegan las notificaciones. Por nuestra parte, el acceso a los datos se limita a quien gestiona técnicamente el servicio, y solo para el mantenimiento.

Tus archivos adjuntos no son públicos: cada archivo solo se descarga con un acceso válido, y el servidor comprueba que quien lo pide sea de verdad miembro de ese viaje antes de entregarlo.

Un servicio externo: los tipos de cambio

Si un viaje tiene una moneda distinta de la tuya, la aplicación descarga los tipos de cambio de open.er-api.com, un servicio público y gratuito, y luego los congela para poder usarlos sin conexión. Solo se pide la lista de tipos: ningún dato tuyo, ningún dato de tus viajes, ni siquiera qué monedas te interesan. La petición sale de tu dispositivo, así que ese servicio ve tu dirección IP como cualquier sitio web que visitas. Las conversiones se indican como orientativas y con fecha, y las cuentas reales se quedan siempre en la moneda en la que has gastado.

Los archivos adjuntos se destruyen solos

Billetes, reservas y fotos de las paradas son efímeros por decisión propia: siete días después del final del viaje se eliminan, en el dispositivo y en el servidor, sin que tengas que hacer nada. La aplicación lo dice por escrito antes de que los añadas. El viaje se queda en el archivo; los justificantes, no.

Los viajes también se quedan en tu dispositivo

Gironzolo funciona sin conexión (en el avión, en el metro, con la itinerancia desactivada) porque los viajes también están guardados enteros en el dispositivo; la sincronización sirve para tener una copia a salvo, para encontrarlos en otro lugar y para compartirlos. La cuenta atrás del widget en la pantalla de inicio del teléfono también vive en el dispositivo, en un espacio compartido entre la aplicación y el widget, y no sale de ahí.

Durante cuánto tiempo

Mientras mantengas la cuenta. Si la eliminas, los accesos se cierran de inmediato y los datos se conservan 30 días: es el plazo para cambiar de opinión (al volver a entrar encontrarás el botón para anular). Al vencer, un proceso nocturno elimina definitivamente la cuenta, los viajes y los archivos adjuntos. ⚠️ Los viajes compartidos con otras personas registradas se quedan con ellas, sin tu nombre: los detalles están en la página Eliminar tu cuenta de Gironzolo. Solo se conservan los documentos que estamos obligados a guardar por ley, por ejemplo los fiscales de una compra.

Una cuenta cuya dirección no se confirma en un plazo de 24 horas se elimina en el siguiente proceso nocturno, con todo lo que el servidor guarda de ella: mientras la dirección no esté confirmada, los viajes no se sincronizan y se quedan solo en el teléfono.

Si eliminas un solo elemento, durante un breve periodo queda una marca técnica de la eliminación, necesaria para propagarla a los demás dispositivos.

El token de las notificaciones: mientras uses la aplicación en ese teléfono (ver más arriba). Firebase conserva una notificación solo hasta entregarla (como máximo cuatro semanas, si el teléfono sigue apagado). La lista de cambios a la espera de resumen se vacía en cuanto sale el resumen.

Tus derechos

Puedes solicitar el acceso, la rectificación, la supresión, la limitación y la portabilidad de los datos, y oponerte al tratamiento, escribiendo a info@linchettostudio.com. Dos de ellos no requieren escribir a nadie, porque están dentro de la aplicación:

• Descargar tus datos en un archivo JSON, gratis y sin límites, desde Ajustes → Cuenta → Descargar mis datos. No es ni será una función de pago: la portabilidad es un derecho tuyo, no un extra. ⚠️ Los archivos adjuntos no están en el archivo, porque son efímeros y viven como máximo siete días después del viaje; los que siguen existiendo se comparten desde la parada a la que pertenecen. ⚠️ Y no es una copia de seguridad para volver a cargar: la red de seguridad de tus viajes es la cuenta, que te los devuelve en cualquier dispositivo.
• Eliminar tu cuenta, y con ella tus viajes, desde Ajustes → Cuenta → Eliminar la cuenta. Las instrucciones completas están en la página Eliminar tu cuenta de Gironzolo.

También tienes derecho a presentar una reclamación ante el Garante per la protezione dei dati personali (la autoridad italiana de protección de datos).

Cámara, galería y archivos adjuntos

Gironzolo pide acceso a la cámara y a la galería solo cuando decides adjuntar algo a una parada o a los documentos del viaje, o poner una foto como avatar, tuyo o de un invitado. Las imágenes se reducen de tamaño en el dispositivo antes de enviarse. No hay ningún análisis automático de las imágenes.

Compras

El desbloqueo de Gironzolo Pro es una compra única gestionada por completo por Apple App Store o Google Play: no vemos ni guardamos los datos de pago. De tu compra guardamos el identificador de la transacción, la plataforma, el comprobante de compra que nos entrega la tienda y la fecha: sirven para que recuperes el Pro cuando entras desde otro teléfono, incluso con el otro sistema, y para impedir que el mismo recibo desbloquee cien cuentas.

Seguridad

Las contraseñas y los tokens de acceso se guardan solo como huellas cifradas e irreversibles, nunca en claro. El token de tu dispositivo se guarda en el llavero del sistema (Keychain en iOS, Keystore en Android). Restablecer la contraseña cierra todos los accesos en todos los dispositivos, y lo mismo hace la solicitud de eliminación. Los códigos de confirmación y de recuperación caducan, y tras unos pocos intentos fallidos dejan de poder usarse. Quien tiene un rol de solo lectura en un viaje no puede escribir en él: el control está en el servidor, no solo en la aplicación.

Menores

El servicio no está dirigido a menores de 14 años (la edad del consentimiento digital en Italia; en otros países de la Unión Europea puede llegar a 16).

Cambios

Si esta política cambia de forma sustancial, te lo diremos en la aplicación antes de que los cambios surtan efecto. Cada versión se publica en esta dirección con su fecha. Ocurrirá con seguridad cuando lleguen las notificaciones push a iPhone.

Esta traducción se ofrece para facilitar la lectura; en caso de discrepancia, prevalece la versión italiana.