Hostasera — Privacy policyHostasera — Privacy policyHostasera — DatenschutzerklärungHostasera — Politique de confidentialitéHostasera — Política de privacidad

In breve

Hostasera serve a organizzare serate: chi ospita dice dove, quando e di che tema è, e invita chi vuole — gli amici, un gruppo, oppure chiunque, aprendo la serata a chi non conosce ancora. Perché tutto questo funzioni l'app usa un account e conserva i dati su un server europeo. Di una serata aperta, chi non è stato accettato vede solo la zona, mai l'indirizzo. Non vendiamo i tuoi dati, non li usiamo per profilarti, non c'è pubblicità e non c'è nessuno strumento di tracciamento. Puoi scaricare i tuoi dati e cancellare l'account quando vuoi, dall'app stessa.

• Titolare del trattamento: Linchetto Studio — Wanesa Kowal
• Contatto: info@linchettostudio.com
• App: com.linchettostudio.hostasera · Ultimo aggiornamento: 18 ottobre 2026
• Le regole di comportamento sono nei Termini d'uso.

Quali dati trattiamo

Per l'account: il tuo indirizzo email, il nome che scegli, la lingua, il colore del cerchio con la tua iniziale, la foto del profilo se ne metti una (o il personaggio disegnato che scegli al suo posto), la password — conservata solo come impronta cifrata e non reversibile — e il momento in cui hai dichiarato di avere almeno 18 anni. Non ti chiediamo la data di nascita. Restano anche le date di registrazione e di ultima modifica, e, se la moderazione l'ha deciso, la data di una sospensione.

Di ogni accesso restano l'impronta cifrata del token, un'etichetta del dispositivo e le date di creazione e scadenza. Il token in chiaro esiste solo sul tuo telefono.

Le serate: titolo, giorno e ora, fuso orario, tema, la copertina disegnata se c'è, se è a casa o in un locale, città, indirizzo esatto con le sue coordinate, una zona approssimativa (il centro di un cerchio di 500 m, 1 km o 2 km, spostato a caso rispetto all'indirizzo), se è privata, di gruppo o aperta, posti, chi paga e l'eventuale quota; chi è invitato o ha chiesto di venire e cosa ha risposto; la lista delle cose da portare; l'asporto; i messaggi della chat; le foto; l'ora dei check-in.

I gruppi: nome, chi ne fa parte e con quale ruolo, gli inviti mandati e ricevuti.

Le tue raccolte: le liste personali, i luoghi salvati e i menu dell'asporto che registri, con il telefono del locale se lo scrivi.

Le valutazioni: quelle che dai e che ricevi dopo una serata aperta, le medie che ne ricaviamo e le note di consiglio (vedi sotto).

Le segnalazioni e la moderazione: chi ha segnalato, cosa (un messaggio, una foto, una persona, una serata, una nota), il motivo scelto da un elenco, quello che hai aggiunto a parole (facoltativo), lo stato; e ogni decisione presa dalla moderazione, con il suo motivo.

I blocchi: chi hai bloccato, quando, e quando l'hai sbloccato.

I sottobicchieri: quali hai guadagnato e quando. Li calcola il server dalle serate concluse a cui hai partecipato e da quello che hai fatto nell'app (per esempio quante foto hai caricato o quanti luoghi hai salvato); uno guadagnato resta anche se la serata sparisce.

Per le notifiche push: il codice che Firebase assegna all'app sul tuo telefono (il «token»), il sistema, quando è stato registrato e l'ultima volta che l'app si è fatta viva; e le tue preferenze, in generale e serata per serata.

Per la conferma dell'indirizzo, il recupero della password e il cambio d'email: l'impronta cifrata del codice a sei cifre, il numero di tentativi e la scadenza; per il cambio d'email, anche il nuovo indirizzo finché non lo confermi. Il codice in chiaro non viene mai salvato.

Per la sincronizzazione: un registro di quali righe sono cambiate e in che ordine, che serve a portare le modifiche sui telefoni di chi partecipa.

⚠️ Chi vede cosa

Nelle serate tra amici (private e di gruppo)

• L'indirizzo esatto lo vede solo chi è dentro: chi organizza e gli invitati. Chi ne è tolto, o esce, perde la serata anche dal telefono, indirizzo compreso.
• Gli altri partecipanti vedono cosa hai risposto, cosa porti, cosa hai scelto dall'asporto, i tuoi messaggi e le tue foto.
• Non si trovano persone cercandole. In una serata o in un gruppo si entra con un codice o un link che ti manda chi organizza, o con un invito di qualcuno che conosci già perché avete una serata o un gruppo in comune.

Nelle serate aperte

• Chiunque sia iscritto, maggiorenne e con l'email confermata può trovare una serata aperta cercando nella sua zona. Di fuori vede: titolo, giorno e ora, tema, la copertina disegnata se c'è, città, la zona approssimativa e la distanza da lì («a circa 2 km»), posti liberi, chi paga e la quota; se è in un locale, nome e indirizzo del locale, perché è un posto pubblico. E di chi organizza: nome, colore e foto del profilo.
• Da fuori non si vede mai l'indirizzo di casa né le coordinate esatte, chi altro partecipa, la lista, la chat, le foto.
• Chiedere di partecipare: la tua richiesta la vede solo chi organizza, con il tuo profilo pubblico. Gli altri ospiti non vedono né la richiesta né il tuo nome, finché non vieni accettato. Se vieni accettato, la serata arriva sul tuo telefono con l'indirizzo, come a tutti gli altri ospiti.
• Chi hai bloccato non trova le tue serate aperte e non vede le tue richieste; e tu non trovi le sue.

Il profilo pubblico

È quello che vede di te chi organizza una serata a cui chiedi di venire, chi trova una serata aperta che organizzi tu, e chi ha una serata o un gruppo in comune con te. Nessun altro: il profilo di una persona senza un motivo per vederla non si apre, e non esiste un elenco degli iscritti. Contiene:

• nome, colore e foto del profilo;
• il mese in cui ti sei iscritto;
• quante serate hai organizzato;
• la tua Presenza (vedi sotto): quella con gli sconosciuti a chi valuta una serata aperta, quella tra amici a chi ti conosce già;
• le medie delle valutazioni ricevute, per ruolo, solo quando sono almeno tre;
• quante serate avete in comune, se ce ne sono.

Mai la tua email, le serate a cui partecipi o hai partecipato, i tuoi gruppi, chi ti ha valutato. Il tuo indirizzo email non è mostrato a nessuno, in nessun punto dell'app.

Non ci sono messaggi privati: c'è solo la chat della serata, e 48 ore dopo la fine si può soltanto leggere.

⚠️ La tua posizione: usata e buttata

Hostasera chiede la posizione solo quando tocchi tu un pulsante, mai all'avvio e mai in sottofondo:

• «Usa la mia posizione», per cercare le serate aperte vicine. Qui la posizione (approssimata dal telefono) arriva al nostro server insieme alla ricerca, perché è il server che sa quali serate ci sono intorno a te: serve a calcolare le distanze e non viene salvata né registrata da nessuna parte. Senza il permesso, le distanze partono dal centro di Roma.
• «Sono arrivato», per il check-in. Qui la posizione non lascia il telefono: è il telefono a controllare di essere entro 200 m dal luogo della serata, e al server arriva solo l'ora.

La Presenza e il check-in

Quando arrivi a una serata puoi toccare «Sono arrivato». Il server accetta il check-in solo nell'orario giusto (da mezz'ora prima dell'inizio fino alla fine) e ne conserva l'ora. Dai check-in si calcola la Presenza: «presente a 8 serate su 9». Contano solo le serate già finite a cui avevi detto «ci sono»: sei presente se hai fatto il check-in, e assente se non l'hai fatto o se hai annullato nelle 24 ore prima dell'inizio. Non lo decide chi organizza, e nessuno può segnarti assente a mano.

Le Presenze sono due, calcolate a parte: tra amici (serate private e di gruppo) e con gli sconosciuti (serate aperte). Onestamente: il check-in è una prova seria tra privati, non una prova assoluta, perché la posizione di un telefono si può falsificare.

⚠️ Le valutazioni

Dopo una serata aperta, chi c'era davvero — chi organizza e gli ospiti che hanno fatto il check-in — può valutare gli altri presenti, ospiti tra loro compresi, da 1 a 5 su alcuni fattori (chi organizza: accoglienza, organizzazione, serata come descritta, ci si sentiva a proprio agio; un ospite: puntualità, rispetto, ha portato ciò che aveva promesso, compagnia). Si può aggiungere una nota di consiglio fino a 300 caratteri, per la persona valutata. Le valutazioni sono facoltative e si danno entro 48 ore dalla fine.

• Sono anonime. Le valutazioni singole non escono mai dal server, nemmeno verso chi le ha date. Di te gli altri vedono solo le medie, e solo quando sono almeno tre.
• Le medie si aggiornano a blocchi, ogni tre giorni e solo se nel frattempo ne sono arrivate almeno due nuove: se cambiassero il giorno dopo una serata con un solo ospite, sapresti chi è stato.
• Le note di consiglio le ricevi solo tu, senza il nome di chi le ha scritte e senza la serata. Sul server restano collegate alla valutazione da cui vengono solo perché, se una nota viene segnalata, la moderazione deve poter capire chi l'ha scritta.
• «Mi sono sentito a disagio o in pericolo» non entra nelle medie: diventa una segnalazione che va dritta alla moderazione.
• I negativi si vedono: la media è la media.

⚠️ Le foto, e i volti degli altri

Le foto di una serata sono quasi sempre foto di gruppo: caricandole stai fornendo un dato personale di altre persone. Carica solo foto che chi c'era è d'accordo di condividere.

• Prima di partire, il telefono toglie dalla foto i metadati — compresa la posizione in cui è stata scattata — e il server li toglie una seconda volta. Vale anche per la foto del profilo.
• Le foto non sono pubbliche: ogni file si scarica solo con un accesso valido, e il server controlla che chi lo chiede sia dentro quella serata.
• Una foto la toglie chi l'ha caricata o chi organizza la serata, e se ne va anche dal server. Cancellando il tuo account, le tue foto spariscono da tutte le serate.

La foto del profilo è facoltativa: al suo posto c'è il cerchio con l'iniziale. Il telefono la ritaglia quadrata e piccola; si vede con le stesse regole del nome — solo da chi ha un motivo per vedere il tuo profilo (vedi sopra), mai da un indirizzo pubblico — e sui telefoni che l'hanno mostrata resta in memoria al massimo sette giorni. Quando la cambi o la togli, la vecchia viene cancellata dal server. In alternativa puoi scegliere uno dei personaggi disegnati dell'app: in quel caso salviamo solo il nome del disegno, nessuna immagine tua.

⚠️ Segnalazioni, moderazione e sospensione

Si possono segnalare un messaggio, una foto, una persona, una serata e una nota di consiglio ricevuta, scegliendo il motivo. La segnalazione arriva al nostro server e la legge solo chi modera Hostasera, che vede anche chi l'ha fatta (serve a riconoscere chi usa le segnalazioni per molestare). La persona segnalata non sa da chi arriva, e nessun altro utente la vede. Alla casella della moderazione arriva un avviso con il motivo e un codice per ritrovarla — mai il contenuto né i nomi. Si segnala al massimo venti volte al giorno.

Chi modera può togliere un contenuto, annullare una serata, sospendere o riattivare un account. Ogni decisione resta registrata con il suo motivo, e ti arriva per email se ti riguarda, con il modo per contestarla (vedi i Termini d'uso).

La sospensione automatica. Quando tre persone diverse segnalano la stessa persona come pericolosa (anche dal «a disagio o in pericolo» delle valutazioni), il suo account viene sospeso da solo, in attesa di revisione: è l'unica decisione che prende un calcolo invece di una persona, e serve a non lasciare che qualcuno segnalato come pericoloso si presenti a casa di sconosciuti mentre aspettiamo. Una persona della moderazione la rivede entro 48 ore e la conferma o la toglie; puoi scriverci per spiegare la tua versione (art. 22 GDPR). Chi è sospeso può entrare solo per esportare i dati o cancellare l'account; le sue serate aperte future si annullano ed esce da quelle degli altri, mentre le serate tra amici restano.

I blocchi

Puoi bloccare una persona dal suo profilo, da un suo messaggio o da una sua foto. Da quel momento non vedi più i suoi messaggi e le sue foto, il nostro server non ti fa arrivare i suoi inviti né le notifiche che partirebbero da lei, e nelle serate aperte non vi trovate più a vicenda. Le serate a cui avevi già risposto restano. Il blocco è segreto: alla persona bloccata non arriva niente che lo riveli. Si sblocca quando vuoi, da Profilo › Persone bloccate.

Le notifiche push

Quando succede qualcosa che ti riguarda, il nostro server ti avvisa sul telefono: un invito, una serata dove sei che cambia giorno, ora o luogo o viene annullata, un messaggio nella chat, e, se organizzi tu, chi risponde e chi chiede di venire a una serata aperta; se chiedi tu, se sei stato accettato o no; e se sei in lista d'attesa, quando si libera un posto per te; e, con un avviso al mattino, quando guadagni un nuovo sottobicchiere. Per recapitarle usiamo Firebase Cloud Messaging, il servizio di Google: è l'unico modo di raggiungere un telefono Android con l'app chiusa.

• Cosa c'è scritto: il titolo della serata, il nome di chi ha fatto la cosa e, per la chat, il testo del messaggio (al massimo 180 caratteri). Questo testo passa dai server di Google per arrivare a te. L'indirizzo non c'è mai, e nemmeno la tua email. La notifica «non sei stato accettato» non dice nemmeno il nome di chi organizza. Quella di un sottobicchiere dice solo il suo nome, o quanti sono.
• Le spegni quando vuoi: in Il mio profilo › Notifiche (dove i sottobicchieri hanno un interruttore tutto loro), e dal campanello di una serata ne spegni la chat e le risposte senza toccare le altre. Puoi anche negare il permesso nelle impostazioni del telefono.
• Il token del telefono si cancella quando esci dall'account, quando chiedi la cancellazione, quando Firebase ci dice che non vale più e dopo 60 giorni in cui l'app non si fa viva.
• Su iPhone le notifiche push non ci sono ancora. Quando arriveranno passeranno anche dal servizio di Apple, e lo scriveremo qui.

Le email

Ti scriviamo solo per cose che ti riguardano direttamente: il codice per confermare l'indirizzo, quello per rifare la password, quello per confermare una nuova email — e, a cambio fatto, un avviso al vecchio indirizzo, con il nuovo coperto a metà, così, se non sei stato tu, te ne accorgi. E le decisioni della moderazione che ti riguardano, con il loro motivo. Gli inviti non arrivano mai per email, e nessuna email è promozionale.

Cosa resta solo sul tuo telefono

• I promemoria (il giorno prima, tre ore prima, «Sei arrivato?», la chiusura degli ordini dell'asporto) li programma il telefono stesso. Nel testo di un promemoria non c'è mai l'indirizzo, perché si legge anche a telefono bloccato.
• Fin dove hai letto la chat, per contare i messaggi nuovi.
• I risultati della ricerca delle serate aperte: si mostrano e non si salvano.

Hostasera funziona anche senza rete: l'app scrive prima sul telefono e si allinea col server appena può. Una copia dei tuoi dati vive quindi sul dispositivo. Uscendo dall'account quella copia viene cancellata; disinstallando l'app se ne va con lei.

Cosa non facciamo, ed è verificabile

• Nessuna notifica che non ti riguardi: mai promozioni, mai «ti sei perso qualcosa», mai «torna a trovarci».
• Non registriamo il tuo indirizzo IP né la cronologia delle tue ricerche. Il nostro server non tiene alcun registro delle richieste che riceve; l'IP serve solo, sul momento, a frenare chi prova troppi codici d'invito di fila sulla pagina web. L'infrastruttura che ospita il servizio (Cloudflare) tratta i dati tecnici di connessione per la sicurezza della rete, secondo la propria informativa.
• Nessun analytics, nessun rilevatore di errori, nessun tracciamento pubblicitario. Di Firebase usiamo solo il recapito delle notifiche, non Google Analytics né Crashlytics.
• Nessuna pubblicità, nessuna profilazione. Le serate aperte si ordinano per data o per distanza, non per un algoritmo che ti conosce.
• Non vendiamo e non cediamo i tuoi dati a nessuno.
• Nessun acquisto: non c'è niente da comprare, quindi nessun dato di pagamento. I soldi della serata (quote, conti) si regolano di persona: l'app li scrive e basta.

Perché li trattiamo, e con quale base giuridica

• Per farti usare l'app — organizzare serate, cercare e chiedere di partecipare a quelle aperte, invitare, rispondere, scrivere in chat, condividere foto, ricevere le notifiche e le email che ti riguardano — e sincronizzarla fra i telefoni di chi partecipa: esecuzione del contratto (art. 6.1.b GDPR), cioè dei Termini d'uso.
• Per la fiducia tra persone che non si conoscono — il profilo pubblico, la Presenza, le valutazioni — e per la sicurezza del servizio e la prevenzione degli abusi: segnalazioni, blocchi, sospensioni, la verifica della maggiore età dichiarata, i limiti alle richieste, e il mantenere le serate passate a chi c'era quando qualcuno cancella l'account: legittimo interesse (art. 6.1.f), nostro e di chi va a casa di sconosciuti.
• Per adempiere agli obblighi di legge, compresi quelli sulle piattaforme online del Digital Services Act (Regolamento UE 2022/2065) — motivare le decisioni di moderazione e gestire le segnalazioni: obbligo legale (art. 6.1.c).

Dove stanno i dati, e a chi li affidiamo

L'archiviazione è su infrastruttura Cloudflare: il database (D1) e i file (R2: le foto delle serate, le foto del profilo e le mappe) stanno in Europa occidentale. Il traffico fra app e server è sempre cifrato (HTTPS).

È l'elenco completo. Verso gli Stati Uniti il trasferimento avviene sulle garanzie previste dal Capo V del GDPR (clausole contrattuali standard); a Resend non arrivano mai le serate, la chat o le foto, e a Google arrivano solo le notifiche. L'accesso ai dati da parte nostra è limitato a chi gestisce tecnicamente il servizio, per la manutenzione, e a chi modera, per le segnalazioni.

Mappe e indirizzi

Le mappe dell'app sono fatte con i dati di OpenStreetMap (© i contributori di OpenStreetMap) e le serviamo noi, dal nostro server: il telefono le chiede a api.hostasera.com senza dire chi sei, e nessun servizio esterno vede quale zona stai guardando. Gli indirizzi cercati passano da Geoapify come nella tabella, e i risultati restano in una memoria del server senza alcun legame con chi li ha cercati.

Se incolli un link breve di Google Maps, il telefono lo apre per leggerne l'indirizzo, quindi Google riceve quella richiesta. E se tocchi «Apri in Maps» o il numero di un locale, l'app passa l'indirizzo o il numero all'app di mappe o al telefono che usi. Sono cose che succedono solo quando le chiedi tu.

La pagina d'invito su hostasera.com

Un link d'invito (hostasera.com/i/…) aperto senza l'app mostra una pagina con titolo, giorno e ora, città, tema e nome di chi organizza — mai l'indirizzo, mai gli altri partecipanti — o il solo nome del gruppo. La pagina non usa cookie, script né strumenti di statistica, e non si indicizza sui motori di ricerca. Il link lo condivide chi organizza, e chiunque lo riceva vede quella pagina.

Per quanto tempo

• L'account e le serate: finché usi Hostasera. Chiedendo la cancellazione, gli accessi cadono subito e tutto viene eliminato dopo 30 giorni — la finestra per ripensarci. Le serate passate restano a chi c'era, con «Account eliminato» al posto del tuo nome: i dettagli sono nella pagina Cancellare l'account.
• Un account mai confermato viene cancellato da solo dopo 24 ore.
• Gli accessi: un token scade da solo dopo 180 giorni.
• La foto del profilo: finché non la cambi o la togli, o finché la toglie la moderazione, o fino alla cancellazione dell'account.
• Le richieste a una serata aperta: restano legate alla serata, come le risposte agli inviti; una richiesta non accettata serve anche a non farla rifare.
• I check-in e la Presenza: finché hai l'account.
• I sottobicchieri: finché hai l'account.
• Le valutazioni: le singole valutazioni finché esistono gli account di chi le ha date e di chi le ha ricevute; cancellando l'account spariscono quelle che hai dato, quelle che hai ricevuto, le tue medie e le tue note. Le note che avevi scritto per altri e che loro hanno già ricevuto restano a loro, senza più alcun legame con te.
• Il token delle notifiche: finché usi l'app su quel telefono (vedi sopra). Firebase tiene una notifica solo finché non la consegna (al massimo quattro settimane, se il telefono resta spento).
• I codici a sei cifre: valgono 30 minuti, si usano una volta sola e dopo cinque errori si bruciano.
• I blocchi: finché hai l'account; cancellandolo se ne vanno tutti, quelli che hai fatto e quelli che ti riguardano.
• Le segnalazioni e le decisioni della moderazione: finché servono alla sicurezza del servizio e a rispondere a chi le contesta. Se chi ha segnalato cancella l'account, la segnalazione resta senza il suo nome; se cancella l'account chi è stato segnalato, restano legate solo a un identificativo, senza nome né email.
• Le foto delle serate: finché non le toglie chi le ha caricate o chi organizza la serata, o finché non viene cancellato l'account di chi le ha caricate.
• Gli indirizzi cercati: la memoria dei risultati non contiene dati di nessuno e resta finché serve. Geoapify tiene le richieste che le arrivano dal nostro server per al massimo 24 ore.

I tuoi diritti

Puoi chiedere accesso, rettifica, cancellazione, limitazione, opposizione e portabilità dei tuoi dati (artt. 15–22 GDPR), e di non essere sottoposto a una decisione solo automatizzata: la sospensione automatica la rivede sempre una persona.

• Copia dei tuoi dati: nell'app, in Il mio profilo, tocca Esporta i miei dati. È gratuita, e lo sarà sempre. Nel file ci sono solo i dati tuoi, comprese le tue foto; con la connessione attiva anche la foto del profilo e le tue richieste alle serate aperte, che il telefono non conserva. Le valutazioni ricevute ci sono come medie: chi ti ha dato cosa non esce, nemmeno qui. Per il resto — per esempio le decisioni della moderazione che ti riguardano — scrivici.
• Rettifica: nome, colore e foto si cambiano da Il mio profilo › Modifica profilo, l'email da Il mio profilo › Cambia email.
• Cancellazione: dall'app, in quattro passi. Vedi come si fa.
• Se non riesci più a entrare, usa Password dimenticata? nella schermata di accesso. Se nemmeno quello funziona, scrivici.

Rispondiamo senza ingiustificato ritardo e comunque entro un mese (art. 12 GDPR). Se ritieni che il trattamento violi il GDPR puoi rivolgerti al Garante per la protezione dei dati personali (gpdp.it) o all'autorità del paese dell'Unione in cui vivi.

I permessi del telefono

• Posizione: solo quando tocchi «Sono arrivato» o «Usa la mia posizione», mai all'avvio. Vedi sopra cosa succede nei due casi.
• Fotocamera e galleria: solo quando aggiungi una foto a una serata o al profilo. L'app vede solo l'immagine che scegli tu.
• Notifiche: per i promemoria e le notifiche push, chieste dopo che hai creato una serata o detto che ci sei, mai all'avvio.

Puoi negare ognuno di questi permessi: il resto dell'app continua a funzionare.

Sicurezza

Le password sono conservate come impronta PBKDF2-SHA256 con 100.000 iterazioni e un sale casuale per utente: dal database non si risale alla password. Dei token di accesso conserviamo solo l'impronta. «Email inesistente» e «password sbagliata» danno di proposito lo stesso messaggio, e così il recupero della password: distinguerli direbbe a un estraneo quali indirizzi sono iscritti. Cambiare email richiede la password, e il vecchio indirizzo viene avvisato.

Solo maggiorenni

Hostasera è riservata a chi ha almeno 18 anni, e lo si dichiara all'iscrizione: le serate si fanno anche a casa di persone che non si conoscono. Se ci accorgiamo che un account appartiene a un minore lo cancelliamo.

Modifiche

Se questa informativa cambia in modo sostanziale aggiorniamo la data in cima e, quando la modifica ti riguarda davvero, te lo diciamo per email. Succederà di sicuro quando arriveranno le notifiche push su iPhone o una versione a pagamento.

In short

Hostasera is for organising evenings: the host says where, when and what the theme is, and invites whoever they like — friends, a group, or anyone at all, by opening the evening to people they don't know yet. To make this work the app uses an account and keeps data on a European server. For an open evening, anyone who hasn't been accepted only sees the area, never the address. We don't sell your data, we don't use it to profile you, there are no ads and no tracking tools. You can download your data and delete your account whenever you like, from the app itself.

• Data controller: Linchetto Studio — Wanesa Kowal
• Contact: info@linchettostudio.com
• App: com.linchettostudio.hostasera · Last updated: 18 October 2026
• The rules of behaviour are in the Terms of use.

What data we process

For the account: your email address, the name you choose, your language, the colour of the circle with your initial, your profile photo if you add one (or the drawn character you pick instead), your password — stored only as a one-way encrypted hash — and the moment you declared you are at least 18. We don't ask for your date of birth. The sign-up and last-change dates are kept too and, if the moderators decided so, the date of a suspension.

For each session we keep the encrypted hash of the token, a device label and its creation and expiry dates. The plain token only exists on your phone.

Evenings: title, date and time, time zone, theme, the drawn cover if there is one, whether it's at home or at a venue, city, exact address with its coordinates, an approximate area (the centre of a 500 m, 1 km or 2 km circle, randomly shifted from the address), whether it's private, for a group or open, seats, who pays and any per-person share; who is invited or has asked to come and what they answered; the list of things to bring; the takeaway; chat messages; photos; check-in times.

Groups: name, who's in them and with which role, invites sent and received.

Your collections: the personal lists, saved places and takeaway menus you record, including a venue's phone number if you type it.

Ratings: the ones you give and receive after an open evening, the averages we work out from them and advice notes (see below).

Reports and moderation: who reported, what (a message, a photo, a person, an evening, a note), the reason chosen from a list, anything you added in your own words (optional), the status; and every decision the moderators take, with its reason.

Blocks: who you blocked, when, and when you unblocked them.

Coasters: which ones you've earned and when. The server works them out from finished evenings you took part in and from what you've done in the app (for example how many photos you've uploaded or places you've saved); once earned, a coaster stays even if the evening disappears.

For push notifications: the code Firebase assigns to the app on your phone (the "token"), the system, when it was registered and the last time the app checked in; and your preferences, overall and evening by evening.

For confirming your address, resetting your password and changing your email: the encrypted hash of the six-digit code, the number of attempts and the expiry; for an email change, also the new address until you confirm it. The plain code is never stored.

For syncing: a log of which rows changed and in what order, used to bring changes to the phones of the people taking part.

⚠️ Who sees what

Evenings among friends (private and group)

• The exact address is only visible to the people inside: the host and the guests. Anyone removed, or who leaves, loses the evening from their phone too, address included.
• The other people taking part see your answer, what you're bringing, what you chose from the takeaway, your messages and your photos.
• You can't find people by searching. You join an evening or a group with a code or link the host sends you, or with an invite from someone you already know because you share an evening or a group.

Open evenings

• Anyone signed up, adult and with a confirmed email can find an open evening by searching their area. From outside they see: title, date and time, theme, the drawn cover if there is one, city, the approximate area and the distance from it ("about 2 km away"), free seats, who pays and the share; if it's at a venue, the venue's name and address, since it's a public place. And of the host: name, colour and profile photo.
• Never visible from outside: the home address or exact coordinates, who else is coming, the list, the chat, the photos.
• Asking to join: your request is seen only by the host, with your public profile. The other guests see neither the request nor your name until you're accepted. Once accepted, the evening reaches your phone with the address, like every other guest.
• People you've blocked don't find your open evenings and don't see your requests; and you don't find theirs.

The public profile

It's what you show to the host of an evening you ask to join, to anyone who finds an open evening you're hosting, and to people who share an evening or group with you. Nobody else: a person's profile won't open without a reason to see it, and there's no list of members. It contains:

• name, colour and profile photo;
• the month you signed up;
• how many evenings you've hosted;
• your Attendance (see below): the one with strangers for someone deciding about an open evening, the one among friends for people who already know you;
• the averages of the ratings you've received, by role, only once there are at least three;
• how many evenings you have in common, if any.

Never your email, the evenings you're attending or attended, your groups, who rated you. Your email address is never shown to anyone, anywhere in the app.

There are no private messages: only the evening's chat, which becomes read-only 48 hours after the end.

⚠️ Your location: used and thrown away

Hostasera asks for your location only when you tap a button, never at start-up and never in the background:

• "Use my location", to search for open evenings nearby. Here the location (approximated by the phone) reaches our server with the search, because it's the server that knows which evenings are around you: it's used to work out distances and isn't stored or logged anywhere. Without the permission, distances are measured from the centre of Rome.
• "I'm here", to check in. Here the location never leaves the phone: the phone checks it's within 200 m of the evening's place, and only the time reaches the server.

Attendance and check-in

When you arrive at an evening you can tap "I'm here". The server only accepts the check-in at the right time (from half an hour before the start until the end) and keeps its time. Check-ins give your Attendance: "present at 8 evenings out of 9". Only finished evenings where you had said "I'm going" count: you're present if you checked in, and absent if you didn't or if you cancelled in the 24 hours before the start. The host doesn't decide it, and nobody can mark you absent by hand.

There are two Attendances, worked out separately: among friends (private and group evenings) and with strangers (open evenings). To be honest: a check-in is serious evidence between private people, not absolute proof, because a phone's location can be faked.

⚠️ Ratings

After an open evening, the people who were really there — the host and the guests who checked in — can rate the others present, guests among themselves included, from 1 to 5 on a few factors (a host: welcome, organisation, evening as described, feeling at ease; a guest: punctuality, respect, brought what they promised, company). You can add an advice note of up to 300 characters for the person rated. Ratings are optional and are given within 48 hours of the end.

• They're anonymous. Individual ratings never leave the server, not even towards the person who gave them. Others only see your averages, and only once there are at least three.
• Averages update in batches, every three days and only if at least two new ratings have arrived in the meantime: if they changed the day after an evening with a single guest, you'd know who it was.
• Advice notes are received only by you, without the name of whoever wrote them and without the evening. On the server they stay linked to the rating they come from only so that, if a note is reported, the moderators can tell who wrote it.
• "I felt uncomfortable or unsafe" doesn't go into the averages: it becomes a report that goes straight to the moderators.
• Negatives show: the average is the average.

⚠️ Photos, and other people's faces

Photos of an evening are almost always group photos: uploading them means providing personal data about other people. Only upload photos the people in them are happy to share.

• Before sending, the phone strips the photo's metadata — including where it was taken — and the server strips it a second time. The same goes for the profile photo.
• Photos are not public: each file can only be downloaded with a valid session, and the server checks that whoever asks is inside that evening.
• A photo can be removed by whoever uploaded it or by the host, and it goes from the server too. If you delete your account, your photos disappear from every evening.

The profile photo is optional: without it there's the circle with your initial. The phone crops it square and small; it's shown under the same rules as your name — only to people with a reason to see your profile (see above), never at a public address — and on the phones that displayed it, it stays in memory for at most seven days. When you change or remove it, the old one is deleted from the server. Instead, you can pick one of the app's drawn characters: in that case we only store the drawing's name, no image of yours.

⚠️ Reports, moderation and suspension

You can report a message, a photo, a person, an evening and an advice note you received, choosing a reason. The report reaches our server and is read only by Hostasera's moderators, who also see who made it (so they can spot anyone using reports to harass). The person reported doesn't know who it came from, and no other user sees it. The moderation inbox receives a notice with the reason and a code to find it — never the content or any names. You can report at most twenty times a day.

The moderators can remove content, cancel an evening, suspend or reinstate an account. Every decision is recorded with its reason, and reaches you by email if it concerns you, with how to challenge it (see the Terms of use).

Automatic suspension. When three different people report the same person as dangerous (including through the "uncomfortable or unsafe" of ratings), their account is suspended on its own, pending review: it's the only decision taken by a count rather than a person, and it exists so that someone reported as dangerous doesn't turn up at strangers' homes while we look into it. A moderator reviews it within 48 hours and confirms or lifts it; you can write to us to give your side (Art. 22 GDPR). A suspended person can only sign in to export their data or delete the account; their future open evenings are cancelled and they leave other people's, while evenings among friends stay.

Blocks

You can block a person from their profile, one of their messages or one of their photos. From then on you no longer see their messages and photos, our server doesn't deliver their invites or the notifications they'd trigger, and in open evenings you no longer find each other. Evenings you had already answered stay. Blocking is secret: nothing that reveals it reaches the person you blocked. You can unblock whenever you like, from Profile › Blocked people.

Push notifications

When something that concerns you happens, our server alerts your phone: an invitation, an evening you're in that changes day, time or place or is cancelled, a chat message and, if you're the host, who replies and who asks to join an open evening; if you asked, whether you were accepted or not; and if you're on a waiting list, when a seat frees up for you; and, with a morning notice, when you earn a new coaster. To deliver them we use Firebase Cloud Messaging, Google's service: it's the only way to reach an Android phone while the app is closed.

• What they say: the evening's title, the name of whoever did the thing and, for the chat, the message text (at most 180 characters). That text goes through Google's servers to reach you. The address is never included, and neither is your email. The "not accepted" notification doesn't even name the host. A coaster notification only gives its name, or how many there are.
• Turn them off whenever you like: in My profile › Notifications (where coasters have a switch of their own), and an evening's bell turns off its chat and replies without touching the others. You can also deny the permission in your phone's settings.
• The phone's token is deleted when you sign out, when you ask for account deletion, when Firebase tells us it's no longer valid and after 60 days without the app checking in.
• On iPhone push notifications aren't there yet. When they come they'll also go through Apple's service, and we'll say so here.

Emails

We only write to you about things that directly concern you: the code to confirm your address, the one to reset your password, the one to confirm a new email — and, once changed, a notice to the old address, with the new one half hidden, so that if it wasn't you, you'll notice. And the moderation decisions that concern you, with their reason. Invitations never arrive by email, and no email is promotional.

What stays only on your phone

• Reminders (the day before, three hours before, "Have you arrived?", the takeaway order deadline) are scheduled by the phone itself. A reminder never contains the address, because it can be read on a locked phone.
• How far you've read in each chat, to count new messages.
• Open-evening search results: shown, never stored.

Hostasera works offline too: the app writes to the phone first and syncs with the server as soon as it can. A copy of your data therefore lives on the device. Signing out deletes that copy; uninstalling the app removes it too.

What we don't do, and you can check

• No notifications that aren't about you: never promotions, never "you missed something", never "come back".
• We don't log your IP address or your search history. Our server keeps no log of the requests it receives; the IP is only used, in the moment, to slow down anyone trying too many invite codes in a row on the web page. The infrastructure hosting the service (Cloudflare) processes technical connection data for network security, under its own privacy policy.
• No analytics, no crash reporter, no ad tracking. Of Firebase we only use notification delivery, not Google Analytics or Crashlytics.
• No ads, no profiling. Open evenings are sorted by date or distance, not by an algorithm that knows you.
• We don't sell or hand over your data to anyone.
• No purchases: there's nothing to buy, so no payment data. The evening's money (shares, bills) is settled in person: the app only writes it down.

Why we process it, and on what legal basis

• To let you use the app — organise evenings, search and ask to join open ones, invite, reply, chat, share photos, receive the notifications and emails that concern you — and sync it across the phones of the people taking part: performance of a contract (Art. 6(1)(b) GDPR), namely the Terms of use.
• For trust between people who don't know each other — the public profile, Attendance, ratings — and for the security of the service and abuse prevention: reports, blocks, suspensions, checking the declared age, the limits on requests, and keeping past evenings for the people who were there when someone deletes their account: legitimate interest (Art. 6(1)(f)), ours and that of whoever goes to a stranger's home.
• To meet our legal obligations, including those for online platforms under the Digital Services Act (EU Regulation 2022/2065) — giving reasons for moderation decisions and handling reports: legal obligation (Art. 6(1)(c)).

Where the data is, and who we entrust it to

Storage is on Cloudflare infrastructure: the database (D1) and the files (R2: evening photos, profile photos and maps) are in Western Europe. Traffic between the app and the server is always encrypted (HTTPS).

That's the complete list. Transfers to the United States rely on the safeguards in Chapter V GDPR (standard contractual clauses); Resend never receives evenings, chat or photos, and Google only receives the notifications. Our own access to the data is limited to whoever runs the service technically, for maintenance, and to the moderators, for reports.

Maps and addresses

The app's maps are made from OpenStreetMap data (© OpenStreetMap contributors) and we serve them ourselves, from our server: the phone asks api.hostasera.com for them without saying who you are, and no outside service sees which area you're looking at. Addresses you look up go through Geoapify as in the table, and the results stay in a server cache with no link to whoever looked them up.

If you paste a short Google Maps link, the phone opens it to read the address, so Google receives that request. And if you tap "Open in Maps" or a venue's number, the app hands the address or number to the maps app or phone you use. These only happen when you ask.

The invite page on hostasera.com

An invite link (hostasera.com/i/…) opened without the app shows a page with title, date and time, city, theme and the host's name — never the address, never the other guests — or just the group's name. The page uses no cookies, scripts or statistics tools, and isn't indexed by search engines. The host shares the link, and anyone who receives it sees that page.

How long

• Account and evenings: as long as you use Hostasera. If you ask for deletion, sessions end immediately and everything is deleted after 30 days — the window to change your mind. Past evenings stay with the people who were there, with "Deleted account" in place of your name: details on the Delete your account page.
• An account never confirmed deletes itself after 24 hours.
• Sessions: a token expires on its own after 180 days.
• Profile photo: until you change or remove it, or the moderators remove it, or the account is deleted.
• Requests to join an open evening: they stay with the evening, like replies to invitations; a request that wasn't accepted also stops it being made again.
• Check-ins and Attendance: as long as you have the account.
• Coasters: as long as you have the account.
• Ratings: individual ratings as long as the accounts of both the person who gave them and the person who received them exist; deleting your account removes the ones you gave, the ones you received, your averages and your notes. Notes you wrote for others that they already received stay with them, with no link to you any more.
• The notification token: as long as you use the app on that phone (see above). Firebase keeps a notification only until it's delivered (at most four weeks, if the phone stays off).
• Six-digit codes: valid for 30 minutes, single use, burned after five wrong attempts.
• Blocks: as long as you have the account; deleting it removes them all, the ones you made and the ones about you.
• Reports and moderation decisions: as long as they're needed for the safety of the service and to answer anyone who challenges them. If the reporter deletes their account, the report stays without their name; if the person reported deletes theirs, they stay linked only to an identifier, with no name or email.
• Evening photos: until the uploader or the host removes them, or the uploader's account is deleted.
• Addresses looked up: the results cache holds nobody's data and stays as long as it's useful. Geoapify keeps the requests it receives from our server for at most 24 hours.

Your rights

You can ask for access, rectification, erasure, restriction, objection and portability of your data (Arts. 15–22 GDPR), and not to be subject to a solely automated decision: an automatic suspension is always reviewed by a person.

• A copy of your data: in the app, under My profile, tap Export my data. It's free, and always will be. The file holds only your own data, including your photos; with a connection, also your profile photo and your requests to open evenings, which the phone doesn't keep. Ratings you received are there as averages: who gave you what doesn't come out, not even here. For anything else — for instance moderation decisions about you — write to us.
• Rectification: name, colour and photo are changed from My profile › Edit profile, the email from My profile › Change email.
• Erasure: from the app, in four steps. See how it works.
• If you can't sign in any more, use Forgot your password? on the sign-in screen. If even that doesn't work, write to us.

We reply without undue delay and in any case within one month (Art. 12 GDPR). If you believe the processing breaches the GDPR you can complain to the Italian data protection authority, the Garante per la protezione dei dati personali (gpdp.it), or to the authority of the EU country where you live.

Phone permissions

• Location: only when you tap "I'm here" or "Use my location", never at start-up. See above for what happens in each case.
• Camera and photo library: only when you add a photo to an evening or your profile. The app only sees the image you pick.
• Notifications: for reminders and push notifications, asked after you create an evening or say you're coming, never at start-up.

You can refuse any of these permissions: the rest of the app keeps working.

Security

Passwords are stored as a PBKDF2-SHA256 hash with 100,000 iterations and a random salt per user: the password can't be recovered from the database. For sessions we keep only the hash of the token. "Unknown email" and "wrong password" deliberately give the same message, and so does password recovery: telling them apart would tell a stranger which addresses are signed up. Changing your email requires your password, and the old address is notified.

Adults only

Hostasera is for people aged 18 or over, declared at sign-up: evenings also happen at the homes of people who don't know each other. If we find that an account belongs to a minor, we delete it.

Changes

If this policy changes substantially we update the date at the top and, when the change really affects you, we tell you by email. It will certainly happen when push notifications on iPhone or a paid version arrive.

Kurz gesagt

Mit Hostasera organisierst du Abende: Wer einlädt, sagt wo, wann und mit welchem Thema, und lädt ein, wen er möchte – Freunde, eine Gruppe oder alle, indem der Abend für Leute geöffnet wird, die man noch nicht kennt. Damit das funktioniert, nutzt die App ein Konto und speichert die Daten auf einem europäischen Server. Bei einem offenen Abend sieht, wer nicht angenommen wurde, nur die Gegend, nie die Adresse. Wir verkaufen deine Daten nicht, nutzen sie nicht für ein Profil über dich, es gibt keine Werbung und keinerlei Tracking-Werkzeuge. Du kannst deine Daten herunterladen und dein Konto löschen, wann immer du willst, direkt in der App.

• Verantwortlicher: Linchetto Studio — Wanesa Kowal
• Kontakt: info@linchettostudio.com
• App: com.linchettostudio.hostasera · Zuletzt aktualisiert: 18. Oktober 2026
• Die Verhaltensregeln stehen in den Nutzungsbedingungen.

Welche Daten wir verarbeiten

Für das Konto: deine E-Mail-Adresse, der Name, den du wählst, die Sprache, die Farbe des Kreises mit deiner Initiale, dein Profilfoto, falls du eines hinzufügst (oder die gezeichnete Figur, die du stattdessen wählst), das Passwort – nur als verschlüsselter, nicht umkehrbarer Hash gespeichert – und der Zeitpunkt, an dem du erklärt hast, mindestens 18 Jahre alt zu sein. Nach deinem Geburtsdatum fragen wir nicht. Gespeichert bleiben auch das Datum der Registrierung und der letzten Änderung sowie, falls die Moderation es beschlossen hat, das Datum einer Sperrung.

Von jeder Anmeldung bleiben der verschlüsselte Hash des Tokens, eine Bezeichnung des Geräts sowie Erstellungs- und Ablaufdatum. Den Token im Klartext gibt es nur auf deinem Handy.

Die Abende: Titel, Tag und Uhrzeit, Zeitzone, Thema, das gezeichnete Titelbild, falls vorhanden, ob er zu Hause oder in einem Lokal stattfindet, Stadt, genaue Adresse mit ihren Koordinaten, eine ungefähre Gegend (der Mittelpunkt eines Kreises von 500 m, 1 km oder 2 km, zufällig gegenüber der Adresse verschoben), ob er privat, für eine Gruppe oder offen ist, Plätze, wer zahlt und der eventuelle Betrag; wer eingeladen ist oder kommen möchte und was geantwortet wurde; die Liste der Dinge, die mitgebracht werden; die Bestellung; die Chatnachrichten; die Fotos; die Uhrzeit der Check-ins.

Die Gruppen: Name, wer dazugehört und mit welcher Rolle, gesendete und erhaltene Einladungen.

Deine Sammlungen: die persönlichen Listen, die gespeicherten Orte und die Speisekarten zum Bestellen, die du anlegst, mit der Telefonnummer des Lokals, falls du sie einträgst.

Die Bewertungen: die du nach einem offenen Abend abgibst und erhältst, die Durchschnittswerte, die wir daraus berechnen, und die Tipps (siehe unten).

Die Meldungen und die Moderation: wer gemeldet hat, was (eine Nachricht, ein Foto, eine Person, ein Abend, ein Tipp), der aus einer Liste gewählte Grund, was du in eigenen Worten ergänzt hast (optional), der Status; und jede Entscheidung der Moderation mit ihrer Begründung.

Die Blockierungen: wen du blockiert hast, wann, und wann du die Blockierung aufgehoben hast.

Die Untersetzer: welche du verdient hast und wann. Der Server berechnet sie aus den beendeten Abenden, an denen du teilgenommen hast, und aus dem, was du in der App getan hast (zum Beispiel wie viele Fotos du hochgeladen oder wie viele Orte du gespeichert hast); ein verdienter Untersetzer bleibt, auch wenn der Abend verschwindet.

Für die Push-Benachrichtigungen: der Code, den Firebase der App auf deinem Handy zuweist (der „Token“), das System, wann er registriert wurde und wann die App sich zuletzt gemeldet hat; und deine Einstellungen, allgemein und Abend für Abend.

Für die Bestätigung der Adresse, das Zurücksetzen des Passworts und die Änderung der E-Mail: der verschlüsselte Hash des sechsstelligen Codes, die Zahl der Versuche und das Ablaufdatum; bei einer Änderung der E-Mail auch die neue Adresse, bis du sie bestätigst. Der Code im Klartext wird nie gespeichert.

Für die Synchronisierung: ein Protokoll darüber, welche Zeilen sich in welcher Reihenfolge geändert haben; es dient dazu, die Änderungen auf die Handys der Teilnehmenden zu bringen.

⚠️ Wer was sieht

Bei Abenden unter Freunden (privat und für Gruppen)

• Die genaue Adresse sieht nur, wer dabei ist: wer einlädt und die Eingeladenen. Wer entfernt wird oder austritt, verliert den Abend auch auf dem Handy, Adresse inklusive.
• Die anderen Teilnehmenden sehen, was du geantwortet hast, was du mitbringst, was du bei der Bestellung ausgewählt hast, deine Nachrichten und deine Fotos.
• Man findet keine Personen, indem man nach ihnen sucht. Einem Abend oder einer Gruppe tritt man mit einem Code oder einem Link bei, den dir der Gastgeber schickt, oder mit einer Einladung von jemandem, den du schon kennst, weil ihr einen Abend oder eine Gruppe gemeinsam habt.

Bei offenen Abenden

• Wer registriert, volljährig und mit bestätigter E-Mail ist, kann einen offenen Abend finden, indem er in seiner Gegend sucht. Von außen sieht er: Titel, Tag und Uhrzeit, Thema, das gezeichnete Titelbild, falls vorhanden, Stadt, die ungefähre Gegend und die Entfernung dorthin („etwa 2 km entfernt“), freie Plätze, wer zahlt und den Betrag; wenn der Abend in einem Lokal stattfindet, Name und Adresse des Lokals, weil es ein öffentlicher Ort ist. Und vom Gastgeber: Name, Farbe und Profilfoto.
• Von außen nie sichtbar sind die Wohnadresse oder die genauen Koordinaten, wer sonst noch teilnimmt, die Liste, der Chat, die Fotos.
• Teilnahme anfragen: Deine Anfrage sieht nur der Gastgeber, zusammen mit deinem öffentlichen Profil. Die anderen Gäste sehen weder die Anfrage noch deinen Namen, solange du nicht angenommen bist. Wirst du angenommen, kommt der Abend mit der Adresse auf dein Handy, wie bei allen anderen Gästen.
• Wen du blockiert hast, findet deine offenen Abende nicht und sieht deine Anfragen nicht; und du findest seine nicht.

Das öffentliche Profil

Es ist das, was von dir sieht, wer einen Abend ausrichtet, zu dem du anfragst, wer einen offenen Abend findet, den du ausrichtest, und wer einen Abend oder eine Gruppe mit dir gemeinsam hat. Sonst niemand: Das Profil einer Person öffnet sich nicht ohne einen Grund, sie zu sehen, und es gibt kein Verzeichnis der Mitglieder. Es enthält:

• Name, Farbe und Profilfoto;
• den Monat, in dem du dich registriert hast;
• wie viele Abende du ausgerichtet hast;
• deine Zuverlässigkeit (siehe unten): die mit neuen Leuten für jemanden, der über einen offenen Abend entscheidet, die unter Freunden für diejenigen, die dich schon kennen;
• die Durchschnittswerte der erhaltenen Bewertungen, nach Rolle, erst ab drei Bewertungen;
• wie viele Abende ihr gemeinsam habt, falls es welche gibt.

Nie deine E-Mail, die Abende, an denen du teilnimmst oder teilgenommen hast, deine Gruppen, wer dich bewertet hat. Deine E-Mail-Adresse wird niemandem gezeigt, an keiner Stelle der App.

Es gibt keine privaten Nachrichten: Es gibt nur den Chat des Abends, und 48 Stunden nach dem Ende kann man ihn nur noch lesen.

⚠️ Dein Standort: genutzt und verworfen

Hostasera fragt nach deinem Standort nur, wenn du selbst auf eine Schaltfläche tippst, nie beim Start und nie im Hintergrund:

• „Meinen Standort verwenden“, um offene Abende in der Nähe zu suchen. Hier gelangt der Standort (vom Handy angenähert) zusammen mit der Suche an unseren Server, denn der Server weiß, welche Abende es um dich herum gibt: Er dient dazu, die Entfernungen zu berechnen, und wird nicht gespeichert und nirgends protokolliert. Ohne die Berechtigung werden die Entfernungen vom Zentrum Roms aus gemessen.
• „Ich bin da“, für den Check-in. Hier verlässt der Standort das Handy nicht: Das Handy prüft selbst, ob es weniger als 200 m vom Ort des Abends entfernt ist, und an den Server geht nur die Uhrzeit.

Die Zuverlässigkeit und der Check-in

Wenn du bei einem Abend ankommst, kannst du auf „Ich bin da“ tippen. Der Server nimmt den Check-in nur zur richtigen Zeit an (von einer halben Stunde vor Beginn bis zum Ende) und speichert die Uhrzeit. Aus den Check-ins wird die Zuverlässigkeit berechnet: „bei 8 von 9 Abenden da“. Es zählen nur bereits beendete Abende, zu denen du „Ich bin dabei“ gesagt hattest: Du warst da, wenn du den Check-in gemacht hast, und hast gefehlt, wenn du ihn nicht gemacht hast oder in den 24 Stunden vor Beginn abgesagt hast. Das entscheidet nicht der Gastgeber, und niemand kann dich von Hand als abwesend markieren.

Es gibt zwei Zuverlässigkeiten, getrennt berechnet: unter Freunden (private Abende und Gruppenabende) und mit neuen Leuten (offene Abende). Ehrlich gesagt: Der Check-in ist unter Privatleuten ein ernsthafter Nachweis, aber kein absoluter Beweis, denn der Standort eines Handys lässt sich fälschen.

⚠️ Die Bewertungen

Nach einem offenen Abend können diejenigen, die wirklich da waren – der Gastgeber und die Gäste, die den Check-in gemacht haben –, die anderen Anwesenden bewerten, auch die Gäste untereinander, von 1 bis 5 in einigen Punkten (der Gastgeber: Empfang, Organisation, Abend wie beschrieben, man hat sich wohlgefühlt; ein Gast: Pünktlichkeit, Respekt, hat mitgebracht, was versprochen war, Gesellschaft). Man kann einen Tipp von bis zu 300 Zeichen für die bewertete Person hinzufügen. Die Bewertungen sind freiwillig und werden innerhalb von 48 Stunden nach dem Ende abgegeben.

• Sie sind anonym. Die einzelnen Bewertungen verlassen nie den Server, auch nicht in Richtung derer, die sie abgegeben haben. Von dir sehen die anderen nur die Durchschnittswerte, und erst ab drei Bewertungen.
• Die Durchschnittswerte werden in Schüben aktualisiert, alle drei Tage und nur, wenn in der Zwischenzeit mindestens zwei neue eingegangen sind: Würden sie sich am Tag nach einem Abend mit nur einem Gast ändern, wüsstest du, wer es war.
• Die Tipps bekommst nur du, ohne den Namen dessen, der sie geschrieben hat, und ohne den Abend. Auf dem Server bleiben sie mit der Bewertung verknüpft, aus der sie stammen, nur damit die Moderation bei einer Meldung eines Tipps nachvollziehen kann, wer ihn geschrieben hat.
• „Ich habe mich unwohl oder unsicher gefühlt“ fließt nicht in die Durchschnittswerte ein: Es wird zu einer Meldung, die direkt an die Moderation geht.
• Negative Bewertungen sind sichtbar: Der Durchschnitt ist der Durchschnitt.

⚠️ Die Fotos und die Gesichter der anderen

Die Fotos eines Abends sind fast immer Gruppenfotos: Wenn du sie hochlädst, gibst du personenbezogene Daten anderer Menschen weiter. Lade nur Fotos hoch, mit deren Teilen die Anwesenden einverstanden sind.

• Vor dem Hochladen entfernt das Handy die Metadaten aus dem Foto – einschließlich des Ortes, an dem es aufgenommen wurde –, und der Server entfernt sie ein zweites Mal. Das gilt auch für das Profilfoto.
• Die Fotos sind nicht öffentlich: Jede Datei lässt sich nur mit einer gültigen Anmeldung herunterladen, und der Server prüft, ob die anfragende Person zu diesem Abend gehört.
• Ein Foto entfernen kann, wer es hochgeladen hat, oder der Gastgeber des Abends, und es verschwindet dann auch vom Server. Wenn du dein Konto löschst, verschwinden deine Fotos aus allen Abenden.

Das Profilfoto ist freiwillig: Stattdessen gibt es den Kreis mit der Initiale. Das Handy schneidet es quadratisch und klein zu; es ist nach denselben Regeln sichtbar wie der Name – nur für diejenigen, die einen Grund haben, dein Profil zu sehen (siehe oben), nie unter einer öffentlichen Adresse –, und auf den Handys, die es angezeigt haben, bleibt es höchstens sieben Tage im Speicher. Wenn du es änderst oder entfernst, wird das alte vom Server gelöscht. Stattdessen kannst du eine der gezeichneten Figuren der App wählen: Dann speichern wir nur den Namen der Zeichnung, kein Bild von dir.

⚠️ Meldungen, Moderation und Sperrung

Man kann eine Nachricht, ein Foto, eine Person, einen Abend und einen erhaltenen Tipp melden und dabei den Grund wählen. Die Meldung geht an unseren Server und wird nur von der Moderation von Hostasera gelesen, die auch sieht, wer sie gemacht hat (so lässt sich erkennen, wer Meldungen nutzt, um andere zu belästigen). Die gemeldete Person erfährt nicht, von wem sie kommt, und kein anderer Nutzer sieht sie. Im Postfach der Moderation kommt eine Benachrichtigung mit dem Grund und einem Code an, um sie wiederzufinden – nie der Inhalt oder Namen. Man kann höchstens zwanzigmal am Tag melden.

Die Moderation kann einen Inhalt entfernen, einen Abend absagen, ein Konto sperren oder wieder freischalten. Jede Entscheidung wird mit ihrer Begründung gespeichert und erreicht dich per E-Mail, wenn sie dich betrifft, zusammen mit dem Weg, sie anzufechten (siehe die Nutzungsbedingungen).

Die automatische Sperrung. Wenn drei verschiedene Personen dieselbe Person als gefährlich melden (auch über „unwohl oder unsicher“ bei den Bewertungen), wird ihr Konto von selbst gesperrt, bis zur Überprüfung: Es ist die einzige Entscheidung, die eine Berechnung statt eines Menschen trifft, und sie soll verhindern, dass jemand, der als gefährlich gemeldet wurde, bei Fremden zu Hause auftaucht, während wir prüfen. Eine Person aus der Moderation prüft sie innerhalb von 48 Stunden und bestätigt oder hebt sie auf; du kannst uns schreiben, um deine Sicht darzulegen (Art. 22 DSGVO). Wer gesperrt ist, kann sich nur anmelden, um seine Daten zu exportieren oder das Konto zu löschen; seine künftigen offenen Abende werden abgesagt und er verlässt die Abende anderer, während die Abende unter Freunden bleiben.

Das Blockieren

Du kannst eine Person über ihr Profil, eine ihrer Nachrichten oder eines ihrer Fotos blockieren. Ab dann siehst du ihre Nachrichten und Fotos nicht mehr, unser Server stellt dir ihre Einladungen und die Benachrichtigungen, die von ihr ausgehen würden, nicht mehr zu, und bei offenen Abenden findet ihr euch gegenseitig nicht mehr. Die Abende, auf die du schon geantwortet hattest, bleiben. Das Blockieren ist geheim: Bei der blockierten Person kommt nichts an, was es verraten würde. Du kannst die Blockierung jederzeit aufheben, unter Profil › Blockierte Personen.

Die Push-Benachrichtigungen

Wenn etwas passiert, das dich betrifft, benachrichtigt dich unser Server auf dem Handy: eine Einladung, ein Abend, bei dem du dabei bist, der Tag, Uhrzeit oder Ort ändert oder abgesagt wird, eine Nachricht im Chat und, wenn du einlädst, wer antwortet und wer zu einem offenen Abend anfragt; wenn du angefragt hast, ob du angenommen wurdest oder nicht; und wenn du auf der Warteliste stehst, wenn ein Platz für dich frei wird; und, mit einer Nachricht am Morgen, wenn du einen neuen Untersetzer verdient hast. Für die Zustellung nutzen wir Firebase Cloud Messaging, den Dienst von Google: Nur so lässt sich ein Android-Handy bei geschlossener App erreichen.

• Was darin steht: der Titel des Abends, der Name dessen, der etwas getan hat, und beim Chat der Text der Nachricht (höchstens 180 Zeichen). Dieser Text läuft über die Server von Google, um dich zu erreichen. Die Adresse steht nie darin, und auch nicht deine E-Mail. Die Benachrichtigung „nicht angenommen“ nennt nicht einmal den Namen des Gastgebers. Die Benachrichtigung zu einem Untersetzer nennt nur seinen Namen oder wie viele es sind.
• Du schaltest sie aus, wann du willst: unter Mein Profil › Benachrichtigungen (wo die Untersetzer einen eigenen Schalter haben), und über die Glocke eines Abends schaltest du dessen Chat und Antworten aus, ohne die anderen anzurühren. Du kannst die Berechtigung auch in den Einstellungen des Handys verweigern.
• Der Token des Handys wird gelöscht, wenn du dich abmeldest, wenn du die Löschung beantragst, wenn Firebase uns mitteilt, dass er nicht mehr gültig ist, und nach 60 Tagen, in denen sich die App nicht meldet.
• Auf dem iPhone gibt es die Push-Benachrichtigungen noch nicht. Wenn sie kommen, laufen sie auch über den Dienst von Apple, und wir schreiben es hier.

Die E-Mails

Wir schreiben dir nur zu Dingen, die dich direkt betreffen: der Code zur Bestätigung der Adresse, der zum Zurücksetzen des Passworts, der zur Bestätigung einer neuen E-Mail – und nach erfolgter Änderung ein Hinweis an die alte Adresse, mit der neuen zur Hälfte verdeckt, damit du es merkst, falls du es nicht warst. Und die Entscheidungen der Moderation, die dich betreffen, mit ihrer Begründung. Einladungen kommen nie per E-Mail, und keine E-Mail ist Werbung.

Was nur auf deinem Handy bleibt

• Die Erinnerungen (am Vortag, drei Stunden vorher, „Bist du angekommen?“, der Bestellschluss) plant das Handy selbst. Im Text einer Erinnerung steht nie die Adresse, weil man sie auch bei gesperrtem Handy lesen kann.
• Wie weit du den Chat gelesen hast, um die neuen Nachrichten zu zählen.
• Die Ergebnisse der Suche nach offenen Abenden: Sie werden angezeigt und nicht gespeichert.

Hostasera funktioniert auch ohne Netz: Die App schreibt zuerst auf das Handy und gleicht sich mit dem Server ab, sobald sie kann. Eine Kopie deiner Daten liegt also auf dem Gerät. Beim Abmelden wird diese Kopie gelöscht; beim Deinstallieren der App verschwindet sie mit ihr.

Was wir nicht tun – und das lässt sich überprüfen

• Keine Benachrichtigung, die dich nicht betrifft: nie Werbung, nie „du hast etwas verpasst“, nie „schau mal wieder vorbei“.
• Wir speichern deine IP-Adresse nicht und auch nicht den Verlauf deiner Suchen. Unser Server führt kein Protokoll der Anfragen, die er erhält; die IP dient nur im Moment dazu, jemanden zu bremsen, der auf der Webseite zu viele Einladungscodes hintereinander ausprobiert. Die Infrastruktur, auf der der Dienst läuft (Cloudflare), verarbeitet technische Verbindungsdaten für die Netzsicherheit, gemäß ihrer eigenen Datenschutzerklärung.
• Keine Analytics, keine Fehlererfassung, kein Werbe-Tracking. Von Firebase nutzen wir nur die Zustellung der Benachrichtigungen, nicht Google Analytics oder Crashlytics.
• Keine Werbung, keine Profilbildung. Die offenen Abende werden nach Datum oder Entfernung sortiert, nicht von einem Algorithmus, der dich kennt.
• Wir verkaufen deine Daten nicht und geben sie an niemanden weiter.
• Keine Käufe: Es gibt nichts zu kaufen, also auch keine Zahlungsdaten. Das Geld für den Abend (Beträge, Rechnungen) wird persönlich geregelt: Die App schreibt es nur auf.

Warum wir sie verarbeiten und auf welcher Rechtsgrundlage

• Damit du die App nutzen kannst – Abende organisieren, offene Abende suchen und dort anfragen, einladen, antworten, im Chat schreiben, Fotos teilen, die Benachrichtigungen und E-Mails erhalten, die dich betreffen – und um sie zwischen den Handys der Teilnehmenden zu synchronisieren: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), also der Nutzungsbedingungen.
• Für das Vertrauen zwischen Menschen, die sich nicht kennen – das öffentliche Profil, die Zuverlässigkeit, die Bewertungen – und für die Sicherheit des Dienstes und die Verhinderung von Missbrauch: Meldungen, Blockierungen, Sperrungen, die Prüfung der erklärten Volljährigkeit, die Begrenzungen der Anfragen und das Erhalten vergangener Abende für die, die dabei waren, wenn jemand sein Konto löscht: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), unseres und das derer, die zu Fremden nach Hause gehen.
• Zur Erfüllung gesetzlicher Pflichten, einschließlich derer für Online-Plattformen nach dem Digital Services Act (Verordnung (EU) 2022/2065) – Moderationsentscheidungen begründen und Meldungen bearbeiten: rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO).

Wo die Daten liegen und wem wir sie anvertrauen

Die Speicherung erfolgt auf der Infrastruktur von Cloudflare: Die Datenbank (D1) und die Dateien (R2: die Fotos der Abende, die Profilfotos und die Karten) liegen in Westeuropa. Der Datenverkehr zwischen App und Server ist immer verschlüsselt (HTTPS).

Das ist die vollständige Liste. Die Übermittlung in die Vereinigten Staaten erfolgt auf Grundlage der in Kapitel V DSGVO vorgesehenen Garantien (Standardvertragsklauseln); an Resend gelangen nie die Abende, der Chat oder die Fotos, und an Google nur die Benachrichtigungen. Unser eigener Zugriff auf die Daten ist auf diejenigen beschränkt, die den Dienst technisch betreuen, für die Wartung, und auf die Moderation, für die Meldungen.

Karten und Adressen

Die Karten der App basieren auf Daten von OpenStreetMap (© OpenStreetMap-Mitwirkende) und werden von uns selbst bereitgestellt, von unserem Server: Das Handy fragt sie bei api.hostasera.com an, ohne zu sagen, wer du bist, und kein externer Dienst sieht, welche Gegend du dir anschaust. Gesuchte Adressen laufen wie in der Tabelle über Geoapify, und die Ergebnisse bleiben in einem Zwischenspeicher des Servers, ohne jede Verbindung zu dem, der sie gesucht hat.

Wenn du einen kurzen Google-Maps-Link einfügst, öffnet das Handy ihn, um die Adresse auszulesen, also erhält Google diese Anfrage. Und wenn du auf „In Maps öffnen“ oder auf die Nummer eines Lokals tippst, gibt die App die Adresse oder die Nummer an die Karten-App oder das Telefon weiter, das du nutzt. Das passiert nur, wenn du es selbst willst.

Die Einladungsseite auf hostasera.com

Ein Einladungslink (hostasera.com/i/…), der ohne die App geöffnet wird, zeigt eine Seite mit Titel, Tag und Uhrzeit, Stadt, Thema und Name des Gastgebers – nie die Adresse, nie die anderen Teilnehmenden – oder nur den Namen der Gruppe. Die Seite verwendet keine Cookies, keine Skripte und keine Statistikwerkzeuge und wird von Suchmaschinen nicht indexiert. Den Link teilt der Gastgeber, und jeder, der ihn erhält, sieht diese Seite.

Wie lange

• Das Konto und die Abende: solange du Hostasera nutzt. Beantragst du die Löschung, enden die Anmeldungen sofort und alles wird nach 30 Tagen gelöscht – die Frist, um es sich anders zu überlegen. Die vergangenen Abende bleiben denen, die dabei waren, mit „Gelöschtes Konto“ anstelle deines Namens: Die Einzelheiten stehen auf der Seite Konto löschen.
• Ein nie bestätigtes Konto wird nach 24 Stunden von selbst gelöscht.
• Die Anmeldungen: Ein Token läuft nach 180 Tagen von selbst ab.
• Das Profilfoto: bis du es änderst oder entfernst, bis die Moderation es entfernt oder bis zur Löschung des Kontos.
• Die Anfragen zu einem offenen Abend: Sie bleiben mit dem Abend verbunden, wie die Antworten auf Einladungen; eine nicht angenommene Anfrage dient auch dazu, dass sie nicht wiederholt wird.
• Die Check-ins und die Zuverlässigkeit: solange du das Konto hast.
• Die Untersetzer: solange du das Konto hast.
• Die Bewertungen: die einzelnen Bewertungen, solange die Konten derer existieren, die sie abgegeben, und derer, die sie erhalten haben; wenn du dein Konto löschst, verschwinden die Bewertungen, die du abgegeben hast, die du erhalten hast, deine Durchschnittswerte und deine Tipps. Die Tipps, die du für andere geschrieben hast und die diese schon erhalten haben, bleiben ihnen, ohne jede Verbindung mehr zu dir.
• Der Token für die Benachrichtigungen: solange du die App auf diesem Handy nutzt (siehe oben). Firebase bewahrt eine Benachrichtigung nur auf, bis sie zugestellt ist (höchstens vier Wochen, wenn das Handy ausgeschaltet bleibt).
• Die sechsstelligen Codes: gelten 30 Minuten, sind nur einmal verwendbar und verfallen nach fünf Fehlversuchen.
• Die Blockierungen: solange du das Konto hast; löschst du es, verschwinden sie alle, die du vorgenommen hast und die dich betreffen.
• Die Meldungen und die Entscheidungen der Moderation: solange sie für die Sicherheit des Dienstes und für die Antwort auf Anfechtungen nötig sind. Löscht die meldende Person ihr Konto, bleibt die Meldung ohne ihren Namen; löscht die gemeldete Person ihr Konto, bleiben sie nur mit einer Kennung verknüpft, ohne Name oder E-Mail.
• Die Fotos der Abende: bis sie von der Person, die sie hochgeladen hat, oder vom Gastgeber des Abends entfernt werden oder bis das Konto der Person gelöscht wird, die sie hochgeladen hat.
• Die gesuchten Adressen: Der Zwischenspeicher der Ergebnisse enthält keine Daten von irgendwem und bleibt, solange er nützlich ist. Geoapify bewahrt die Anfragen, die von unserem Server kommen, höchstens 24 Stunden auf.

Deine Rechte

Du kannst Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit deiner Daten verlangen (Art. 15–22 DSGVO) sowie, keiner ausschließlich automatisierten Entscheidung unterworfen zu werden: Die automatische Sperrung überprüft immer ein Mensch.

• Kopie deiner Daten: Tippe in der App unter Mein Profil auf Meine Daten exportieren. Das ist kostenlos und wird es immer bleiben. In der Datei stehen nur deine eigenen Daten, einschließlich deiner Fotos; bei aktiver Verbindung auch das Profilfoto und deine Anfragen zu offenen Abenden, die das Handy nicht speichert. Die erhaltenen Bewertungen sind als Durchschnittswerte enthalten: Wer dir was gegeben hat, kommt nicht heraus, auch hier nicht. Für alles andere – zum Beispiel die Entscheidungen der Moderation, die dich betreffen – schreib uns.
• Berichtigung: Name, Farbe und Foto änderst du unter Mein Profil › Profil bearbeiten, die E-Mail unter Mein Profil › E-Mail ändern.
• Löschung: in der App, in vier Schritten. Siehe so geht’s.
• Wenn du dich nicht mehr anmelden kannst, nutze Passwort vergessen? auf dem Anmeldebildschirm. Wenn auch das nicht klappt, schreib uns.

Wir antworten ohne unangemessene Verzögerung und in jedem Fall innerhalb eines Monats (Art. 12 DSGVO). Wenn du der Meinung bist, dass die Verarbeitung gegen die DSGVO verstößt, kannst du dich an die italienische Datenschutzbehörde, den Garante per la protezione dei dati personali (gpdp.it), oder an die Behörde des EU-Landes wenden, in dem du lebst.

Die Berechtigungen des Handys

• Standort: nur wenn du auf „Ich bin da“ oder „Meinen Standort verwenden“ tippst, nie beim Start. Was in den beiden Fällen passiert, steht oben.
• Kamera und Fotomediathek: nur wenn du einem Abend oder dem Profil ein Foto hinzufügst. Die App sieht nur das Bild, das du auswählst.
• Benachrichtigungen: für die Erinnerungen und die Push-Benachrichtigungen, abgefragt, nachdem du einen Abend erstellt oder zugesagt hast, nie beim Start.

Du kannst jede dieser Berechtigungen verweigern: Der Rest der App funktioniert weiter.

Sicherheit

Die Passwörter werden als PBKDF2-SHA256-Hash mit 100.000 Iterationen und einem zufälligen Salt pro Nutzer gespeichert: Aus der Datenbank lässt sich das Passwort nicht zurückgewinnen. Von den Anmeldetoken speichern wir nur den Hash. „E-Mail existiert nicht“ und „falsches Passwort“ ergeben absichtlich dieselbe Meldung, ebenso beim Zurücksetzen des Passworts: Sie zu unterscheiden würde einem Fremden verraten, welche Adressen registriert sind. Die Änderung der E-Mail erfordert das Passwort, und die alte Adresse wird benachrichtigt.

Nur für Volljährige

Hostasera ist Personen ab 18 Jahren vorbehalten, und das erklärt man bei der Registrierung: Die Abende finden auch bei Menschen zu Hause statt, die sich nicht kennen. Wenn wir feststellen, dass ein Konto einer minderjährigen Person gehört, löschen wir es.

Änderungen

Wenn sich diese Datenschutzerklärung wesentlich ändert, aktualisieren wir das Datum oben und teilen es dir per E-Mail mit, wenn die Änderung dich wirklich betrifft. Das wird auf jeden Fall passieren, wenn die Push-Benachrichtigungen auf dem iPhone oder eine kostenpflichtige Version kommen.

Diese Übersetzung dient der Verständlichkeit; bei Abweichungen gilt die italienische Fassung.

En bref

Hostasera sert à organiser des soirées : l’hôte dit où, quand et sur quel thème, et invite qui il veut – des amis, un groupe, ou n’importe qui, en ouvrant la soirée à des personnes qu’il ne connaît pas encore. Pour que tout cela fonctionne, l’app utilise un compte et conserve les données sur un serveur européen. Pour une soirée ouverte, qui n’a pas été accepté ne voit que le secteur, jamais l’adresse. Nous ne vendons pas tes données, nous ne les utilisons pas pour te profiler, il n’y a pas de publicité et aucun outil de traçage. Tu peux télécharger tes données et supprimer ton compte quand tu veux, depuis l’app elle-même.

• Responsable du traitement : Linchetto Studio — Wanesa Kowal
• Contact : info@linchettostudio.com
• App : com.linchettostudio.hostasera · Dernière mise à jour : 18 octobre 2026
• Les règles de conduite figurent dans les Conditions d’utilisation.

Quelles données nous traitons

Pour le compte : ton adresse e-mail, le nom que tu choisis, la langue, la couleur du cercle avec ton initiale, ta photo de profil si tu en mets une (ou le personnage dessiné que tu choisis à sa place), le mot de passe – conservé uniquement sous forme d’empreinte chiffrée et irréversible – et le moment où tu as déclaré avoir au moins 18 ans. Nous ne te demandons pas ta date de naissance. Sont aussi conservées les dates d’inscription et de dernière modification et, si la modération l’a décidé, la date d’une suspension.

De chaque connexion restent l’empreinte chiffrée du jeton, un libellé de l’appareil et les dates de création et d’expiration. Le jeton en clair n’existe que sur ton téléphone.

Les soirées : titre, jour et heure, fuseau horaire, thème, la couverture dessinée s’il y en a une, si elle a lieu à la maison ou dans un bar, ville, adresse exacte avec ses coordonnées, un secteur approximatif (le centre d’un cercle de 500 m, 1 km ou 2 km, décalé au hasard par rapport à l’adresse), si elle est privée, de groupe ou ouverte, places, qui paie et l’éventuelle participation ; qui est invité ou a demandé à venir et ce qu’il a répondu ; la liste des choses à apporter ; la commande à emporter ; les messages du chat ; les photos ; l’heure des check-ins.

Les groupes : nom, qui en fait partie et avec quel rôle, les invitations envoyées et reçues.

Tes collections : les listes personnelles, les lieux enregistrés et les menus à emporter que tu enregistres, avec le téléphone du bar si tu l’écris.

Les évaluations : celles que tu donnes et que tu reçois après une soirée ouverte, les moyennes que nous en tirons et les conseils (voir plus bas).

Les signalements et la modération : qui a signalé, quoi (un message, une photo, une personne, une soirée, un conseil), le motif choisi dans une liste, ce que tu as ajouté avec tes mots (facultatif), le statut ; et chaque décision prise par la modération, avec son motif.

Les blocages : qui tu as bloqué, quand, et quand tu l’as débloqué.

Les sous-verres : lesquels tu as gagnés et quand. Le serveur les calcule à partir des soirées terminées auxquelles tu as participé et de ce que tu as fait dans l’app (par exemple combien de photos tu as mises en ligne ou combien de lieux tu as enregistrés) ; un sous-verre gagné reste même si la soirée disparaît.

Pour les notifications push : le code que Firebase attribue à l’app sur ton téléphone (le « jeton »), le système, quand il a été enregistré et la dernière fois que l’app s’est manifestée ; et tes préférences, en général et soirée par soirée.

Pour la confirmation de l’adresse, la récupération du mot de passe et le changement d’e-mail : l’empreinte chiffrée du code à six chiffres, le nombre de tentatives et l’échéance ; pour le changement d’e-mail, aussi la nouvelle adresse jusqu’à ce que tu la confirmes. Le code en clair n’est jamais enregistré.

Pour la synchronisation : un registre des lignes qui ont changé et dans quel ordre, qui sert à porter les modifications sur les téléphones des participants.

⚠️ Qui voit quoi

Dans les soirées entre amis (privées et de groupe)

• L’adresse exacte n’est visible que par ceux qui en font partie : l’hôte et les invités. Qui en est retiré, ou qui sort, perd la soirée aussi sur son téléphone, adresse comprise.
• Les autres participants voient ce que tu as répondu, ce que tu apportes, ce que tu as choisi dans la commande à emporter, tes messages et tes photos.
• On ne trouve pas les personnes en les cherchant. On entre dans une soirée ou un groupe avec un code ou un lien que t’envoie l’hôte, ou avec une invitation de quelqu’un que tu connais déjà parce que vous avez une soirée ou un groupe en commun.

Dans les soirées ouvertes

• Toute personne inscrite, majeure et avec un e-mail confirmé peut trouver une soirée ouverte en cherchant dans son secteur. De l’extérieur, elle voit : titre, jour et heure, thème, la couverture dessinée s’il y en a une, ville, le secteur approximatif et la distance qui l’en sépare (« à environ 2 km »), places libres, qui paie et la participation ; si c’est dans un bar, le nom et l’adresse du bar, parce que c’est un lieu public. Et de l’hôte : nom, couleur et photo de profil.
• Ne sont jamais visibles de l’extérieur l’adresse du domicile ni les coordonnées exactes, qui d’autre participe, la liste, le chat, les photos.
• Demander à venir : ta demande n’est vue que par l’hôte, avec ton profil public. Les autres invités ne voient ni la demande ni ton nom tant que tu n’es pas accepté. Si tu es accepté, la soirée arrive sur ton téléphone avec l’adresse, comme pour tous les autres invités.
• Les personnes que tu as bloquées ne trouvent pas tes soirées ouvertes et ne voient pas tes demandes ; et toi, tu ne trouves pas les leurs.

Le profil public

C’est ce que voit de toi l’hôte d’une soirée à laquelle tu demandes à venir, quiconque trouve une soirée ouverte que tu organises, et quiconque a une soirée ou un groupe en commun avec toi. Personne d’autre : le profil d’une personne ne s’ouvre pas sans une raison de la voir, et il n’existe pas de liste des inscrits. Il contient :

• nom, couleur et photo de profil ;
• le mois où tu t’es inscrit ;
• combien de soirées tu as organisées ;
• ta Présence (voir plus bas) : celle avec de nouvelles personnes pour qui évalue une soirée ouverte, celle entre amis pour ceux qui te connaissent déjà ;
• les moyennes des évaluations reçues, par rôle, seulement quand il y en a au moins trois ;
• combien de soirées vous avez en commun, s’il y en a.

Jamais ton e-mail, les soirées auxquelles tu participes ou as participé, tes groupes, qui t’a évalué. Ton adresse e-mail n’est montrée à personne, nulle part dans l’app.

Il n’y a pas de messages privés : il n’y a que le chat de la soirée, et 48 heures après la fin, on ne peut plus que le lire.

⚠️ Ta position : utilisée et jetée

Hostasera demande ta position seulement quand tu touches toi-même un bouton, jamais au démarrage et jamais en arrière-plan :

• « Utiliser ma position », pour chercher les soirées ouvertes proches. Ici, la position (approximée par le téléphone) arrive sur notre serveur avec la recherche, parce que c’est le serveur qui sait quelles soirées il y a autour de toi : elle sert à calculer les distances et n’est ni enregistrée ni consignée nulle part. Sans l’autorisation, les distances partent du centre de Rome.
• « Je suis là », pour le check-in. Ici, la position ne quitte pas le téléphone : c’est le téléphone qui vérifie qu’il se trouve à moins de 200 m du lieu de la soirée, et seule l’heure arrive au serveur.

La Présence et le check-in

Quand tu arrives à une soirée, tu peux toucher « Je suis là ». Le serveur n’accepte le check-in qu’au bon moment (d’une demi-heure avant le début jusqu’à la fin) et en conserve l’heure. À partir des check-ins, on calcule la Présence : « présent à 8 soirées sur 9 ». Ne comptent que les soirées déjà terminées auxquelles tu avais répondu « J’y serai » : tu es présent si tu as fait le check-in, et absent si tu ne l’as pas fait ou si tu as annulé dans les 24 heures avant le début. Ce n’est pas l’hôte qui le décide, et personne ne peut te marquer absent à la main.

Il y a deux Présences, calculées séparément : entre amis (soirées privées et de groupe) et avec de nouvelles personnes (soirées ouvertes). Honnêtement : le check-in est une preuve sérieuse entre particuliers, pas une preuve absolue, car la position d’un téléphone peut être falsifiée.

⚠️ Les évaluations

Après une soirée ouverte, ceux qui étaient vraiment là – l’hôte et les invités qui ont fait le check-in – peuvent évaluer les autres présents, y compris les invités entre eux, de 1 à 5 sur quelques critères (l’hôte : accueil, organisation, soirée comme annoncée, on s’y sentait à l’aise ; un invité : ponctualité, respect, a apporté ce qui était promis, compagnie). On peut ajouter un conseil de 300 caractères maximum, pour la personne évaluée. Les évaluations sont facultatives et se donnent dans les 48 heures suivant la fin.

• Elles sont anonymes. Les évaluations individuelles ne sortent jamais du serveur, pas même vers ceux qui les ont données. Les autres ne voient de toi que les moyennes, et seulement quand il y en a au moins trois.
• Les moyennes se mettent à jour par paliers, tous les trois jours et seulement si au moins deux nouvelles évaluations sont arrivées entre-temps : si elles changeaient le lendemain d’une soirée avec un seul invité, tu saurais qui c’était.
• Les conseils, toi seul les reçois, sans le nom de qui les a écrits et sans la soirée. Sur le serveur, ils restent liés à l’évaluation dont ils proviennent uniquement pour que, si un conseil est signalé, la modération puisse savoir qui l’a écrit.
• « Je me suis senti mal à l’aise ou en danger » n’entre pas dans les moyennes : cela devient un signalement qui va directement à la modération.
• Les notes négatives se voient : la moyenne, c’est la moyenne.

⚠️ Les photos, et les visages des autres

Les photos d’une soirée sont presque toujours des photos de groupe : en les mettant en ligne, tu fournis des données personnelles d’autres personnes. Ne mets en ligne que des photos que les personnes présentes sont d’accord de partager.

• Avant l’envoi, le téléphone retire les métadonnées de la photo – y compris l’endroit où elle a été prise – et le serveur les retire une seconde fois. Cela vaut aussi pour la photo de profil.
• Les photos ne sont pas publiques : chaque fichier ne se télécharge qu’avec une connexion valide, et le serveur vérifie que celui qui le demande fait partie de cette soirée.
• Une photo peut être retirée par celui qui l’a mise en ligne ou par l’hôte de la soirée, et elle disparaît aussi du serveur. En supprimant ton compte, tes photos disparaissent de toutes les soirées.

La photo de profil est facultative : à sa place, il y a le cercle avec l’initiale. Le téléphone la recadre en carré et en petit ; elle est visible selon les mêmes règles que le nom – seulement par ceux qui ont une raison de voir ton profil (voir plus haut), jamais à une adresse publique – et, sur les téléphones qui l’ont affichée, elle reste en mémoire sept jours au maximum. Quand tu la changes ou la retires, l’ancienne est supprimée du serveur. À la place, tu peux choisir un des personnages dessinés de l’app : dans ce cas, nous n’enregistrons que le nom du dessin, aucune image de toi.

⚠️ Signalements, modération et suspension

On peut signaler un message, une photo, une personne, une soirée et un conseil reçu, en choisissant le motif. Le signalement arrive sur notre serveur et n’est lu que par la modération de Hostasera, qui voit aussi qui l’a fait (cela sert à repérer ceux qui utilisent les signalements pour harceler). La personne signalée ne sait pas de qui il vient, et aucun autre utilisateur ne le voit. La boîte de la modération reçoit un avis avec le motif et un code pour le retrouver – jamais le contenu ni les noms. On peut signaler vingt fois par jour au maximum.

La modération peut retirer un contenu, annuler une soirée, suspendre ou réactiver un compte. Chaque décision reste enregistrée avec son motif, et t’arrive par e-mail si elle te concerne, avec la façon de la contester (voir les Conditions d’utilisation).

La suspension automatique. Quand trois personnes différentes signalent la même personne comme dangereuse (y compris via le « mal à l’aise ou en danger » des évaluations), son compte est suspendu automatiquement, en attendant un examen : c’est la seule décision prise par un calcul plutôt que par une personne, et elle sert à éviter que quelqu’un signalé comme dangereux se présente chez des inconnus pendant que nous vérifions. Une personne de la modération l’examine dans les 48 heures et la confirme ou la lève ; tu peux nous écrire pour donner ta version (art. 22 RGPD). Une personne suspendue ne peut se connecter que pour exporter ses données ou supprimer son compte ; ses futures soirées ouvertes sont annulées et elle quitte celles des autres, tandis que les soirées entre amis restent.

Les blocages

Tu peux bloquer une personne depuis son profil, depuis un de ses messages ou une de ses photos. À partir de là, tu ne vois plus ses messages et ses photos, notre serveur ne te transmet plus ses invitations ni les notifications qui partiraient d’elle, et dans les soirées ouvertes vous ne vous trouvez plus l’un l’autre. Les soirées auxquelles tu avais déjà répondu restent. Le blocage est secret : rien de ce qui pourrait le révéler n’arrive à la personne bloquée. Tu peux débloquer quand tu veux, depuis Profil › Personnes bloquées.

Les notifications push

Quand il se passe quelque chose qui te concerne, notre serveur te prévient sur ton téléphone : une invitation, une soirée à laquelle tu participes qui change de jour, d’heure ou de lieu ou qui est annulée, un message dans le chat et, si c’est toi l’hôte, qui répond et qui demande à venir à une soirée ouverte ; si c’est toi qui as demandé, si tu as été accepté ou non ; et si tu es sur liste d’attente, quand une place se libère pour toi ; et, par un avis le matin, quand tu gagnes un nouveau sous-verre. Pour les acheminer, nous utilisons Firebase Cloud Messaging, le service de Google : c’est le seul moyen d’atteindre un téléphone Android quand l’app est fermée.

• Ce qui y est écrit : le titre de la soirée, le nom de la personne qui a fait l’action et, pour le chat, le texte du message (180 caractères au maximum). Ce texte passe par les serveurs de Google pour t’arriver. L’adresse n’y figure jamais, pas plus que ton e-mail. La notification « tu n’as pas été accepté » ne dit même pas le nom de l’hôte. Celle d’un sous-verre ne dit que son nom, ou combien il y en a.
• Tu les désactives quand tu veux : dans Mon profil › Notifications (où les sous-verres ont leur propre interrupteur), et la cloche d’une soirée en désactive le chat et les réponses sans toucher aux autres. Tu peux aussi refuser l’autorisation dans les réglages du téléphone.
• Le jeton du téléphone est effacé quand tu te déconnectes, quand tu demandes la suppression, quand Firebase nous dit qu’il n’est plus valide et après 60 jours sans que l’app se manifeste.
• Sur iPhone, les notifications push n’existent pas encore. Quand elles arriveront, elles passeront aussi par le service d’Apple, et nous l’écrirons ici.

Les e-mails

Nous ne t’écrivons que pour ce qui te concerne directement : le code pour confirmer l’adresse, celui pour refaire le mot de passe, celui pour confirmer un nouvel e-mail – et, une fois le changement fait, un avis à l’ancienne adresse, avec la nouvelle à moitié masquée, pour que tu t’en aperçoives si ce n’était pas toi. Et les décisions de la modération qui te concernent, avec leur motif. Les invitations n’arrivent jamais par e-mail, et aucun e-mail n’est promotionnel.

Ce qui reste seulement sur ton téléphone

• Les rappels (la veille, trois heures avant, « Tu es arrivé ? », la clôture des commandes à emporter) sont programmés par le téléphone lui-même. Le texte d’un rappel ne contient jamais l’adresse, parce qu’il se lit aussi téléphone verrouillé.
• Jusqu’où tu as lu le chat, pour compter les nouveaux messages.
• Les résultats de la recherche des soirées ouvertes : ils s’affichent et ne s’enregistrent pas.

Hostasera fonctionne aussi sans réseau : l’app écrit d’abord sur le téléphone et se synchronise avec le serveur dès qu’elle peut. Une copie de tes données vit donc sur l’appareil. En te déconnectant, cette copie est effacée ; en désinstallant l’app, elle s’en va avec elle.

Ce que nous ne faisons pas, et c’est vérifiable

• Aucune notification qui ne te concerne pas : jamais de promotions, jamais de « tu as manqué quelque chose », jamais de « reviens nous voir ».
• Nous n’enregistrons pas ton adresse IP ni l’historique de tes recherches. Notre serveur ne tient aucun journal des requêtes qu’il reçoit ; l’IP sert seulement, sur le moment, à freiner qui essaie trop de codes d’invitation à la suite sur la page web. L’infrastructure qui héberge le service (Cloudflare) traite les données techniques de connexion pour la sécurité du réseau, selon sa propre politique de confidentialité.
• Aucun outil d’analyse, aucun outil de détection d’erreurs, aucun traçage publicitaire. De Firebase, nous n’utilisons que l’acheminement des notifications, ni Google Analytics ni Crashlytics.
• Aucune publicité, aucun profilage. Les soirées ouvertes sont triées par date ou par distance, pas par un algorithme qui te connaît.
• Nous ne vendons ni ne cédons tes données à personne.
• Aucun achat : il n’y a rien à acheter, donc aucune donnée de paiement. L’argent de la soirée (participations, additions) se règle en personne : l’app se contente de le noter.

Pourquoi nous les traitons, et sur quelle base légale

• Pour te permettre d’utiliser l’app – organiser des soirées, chercher les soirées ouvertes et demander à y participer, inviter, répondre, écrire dans le chat, partager des photos, recevoir les notifications et les e-mails qui te concernent – et la synchroniser entre les téléphones des participants : exécution du contrat (art. 6, par. 1, b) du RGPD), c’est-à-dire des Conditions d’utilisation.
• Pour la confiance entre des personnes qui ne se connaissent pas – le profil public, la Présence, les évaluations – et pour la sécurité du service et la prévention des abus : signalements, blocages, suspensions, la vérification de la majorité déclarée, les limites aux demandes, et le fait de conserver les soirées passées pour ceux qui y étaient quand quelqu’un supprime son compte : intérêt légitime (art. 6, par. 1, f) du RGPD), le nôtre et celui de qui va chez des inconnus.
• Pour respecter les obligations légales, y compris celles qui s’appliquent aux plateformes en ligne en vertu du Digital Services Act (règlement (UE) 2022/2065) – motiver les décisions de modération et traiter les signalements : obligation légale (art. 6, par. 1, c) du RGPD).

Où se trouvent les données, et à qui nous les confions

Le stockage se fait sur l’infrastructure de Cloudflare : la base de données (D1) et les fichiers (R2 : les photos des soirées, les photos de profil et les cartes) se trouvent en Europe de l’Ouest. Le trafic entre l’app et le serveur est toujours chiffré (HTTPS).

C’est la liste complète. Vers les États-Unis, le transfert repose sur les garanties prévues au chapitre V du RGPD (clauses contractuelles types) ; Resend ne reçoit jamais les soirées, le chat ou les photos, et Google ne reçoit que les notifications. Notre propre accès aux données est limité à ceux qui gèrent techniquement le service, pour la maintenance, et à la modération, pour les signalements.

Cartes et adresses

Les cartes de l’app sont faites avec les données d’OpenStreetMap (© les contributeurs d’OpenStreetMap) et c’est nous qui les servons, depuis notre serveur : le téléphone les demande à api.hostasera.com sans dire qui tu es, et aucun service extérieur ne voit quel secteur tu regardes. Les adresses cherchées passent par Geoapify comme indiqué dans le tableau, et les résultats restent dans une mémoire du serveur sans aucun lien avec celui qui les a cherchées.

Si tu colles un lien court de Google Maps, le téléphone l’ouvre pour en lire l’adresse, donc Google reçoit cette requête. Et si tu touches « Ouvrir dans Maps » ou le numéro d’un bar, l’app transmet l’adresse ou le numéro à l’app de cartes ou au téléphone que tu utilises. Ce sont des choses qui n’arrivent que quand c’est toi qui le demandes.

La page d’invitation sur hostasera.com

Un lien d’invitation (hostasera.com/i/…) ouvert sans l’app affiche une page avec titre, jour et heure, ville, thème et nom de l’hôte – jamais l’adresse, jamais les autres participants – ou seulement le nom du groupe. La page n’utilise ni cookies, ni scripts, ni outils de statistiques, et n’est pas indexée par les moteurs de recherche. Le lien est partagé par l’hôte, et quiconque le reçoit voit cette page.

Pendant combien de temps

• Le compte et les soirées : tant que tu utilises Hostasera. Si tu demandes la suppression, les connexions tombent immédiatement et tout est effacé au bout de 30 jours – le délai pour changer d’avis. Les soirées passées restent à ceux qui y étaient, avec « Compte supprimé » à la place de ton nom : les détails sont sur la page Supprimer le compte.
• Un compte jamais confirmé est supprimé automatiquement au bout de 24 heures.
• Les connexions : un jeton expire tout seul au bout de 180 jours.
• La photo de profil : jusqu’à ce que tu la changes ou la retires, ou que la modération la retire, ou jusqu’à la suppression du compte.
• Les demandes pour une soirée ouverte : elles restent liées à la soirée, comme les réponses aux invitations ; une demande non acceptée sert aussi à éviter qu’elle soit refaite.
• Les check-ins et la Présence : tant que tu as le compte.
• Les sous-verres : tant que tu as le compte.
• Les évaluations : les évaluations individuelles tant qu’existent les comptes de ceux qui les ont données et de ceux qui les ont reçues ; en supprimant ton compte, disparaissent celles que tu as données, celles que tu as reçues, tes moyennes et tes conseils. Les conseils que tu avais écrits pour d’autres et qu’ils ont déjà reçus leur restent, sans plus aucun lien avec toi.
• Le jeton des notifications : tant que tu utilises l’app sur ce téléphone (voir plus haut). Firebase ne garde une notification que jusqu’à ce qu’il la remette (quatre semaines au maximum, si le téléphone reste éteint).
• Les codes à six chiffres : valables 30 minutes, à usage unique, et grillés après cinq erreurs.
• Les blocages : tant que tu as le compte ; en le supprimant, ils disparaissent tous, ceux que tu as faits et ceux qui te concernent.
• Les signalements et les décisions de la modération : tant qu’ils sont nécessaires à la sécurité du service et pour répondre à ceux qui les contestent. Si l’auteur du signalement supprime son compte, le signalement reste sans son nom ; si la personne signalée supprime son compte, ils ne restent liés qu’à un identifiant, sans nom ni e-mail.
• Les photos des soirées : jusqu’à ce que celui qui les a mises en ligne ou l’hôte de la soirée les retire, ou jusqu’à la suppression du compte de celui qui les a mises en ligne.
• Les adresses cherchées : la mémoire des résultats ne contient les données de personne et reste tant qu’elle est utile. Geoapify garde les requêtes qui lui arrivent de notre serveur 24 heures au maximum.

Tes droits

Tu peux demander l’accès, la rectification, l’effacement, la limitation, l’opposition et la portabilité de tes données (art. 15 à 22 du RGPD), et ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé : la suspension automatique est toujours examinée par une personne.

• Copie de tes données : dans l’app, dans Mon profil, touche Exporter mes données. C’est gratuit, et ça le restera toujours. Le fichier ne contient que tes données à toi, y compris tes photos ; avec la connexion active, aussi la photo de profil et tes demandes aux soirées ouvertes, que le téléphone ne conserve pas. Les évaluations reçues y figurent sous forme de moyennes : qui t’a donné quoi ne sort pas, même ici. Pour le reste – par exemple les décisions de la modération qui te concernent – écris-nous.
• Rectification : le nom, la couleur et la photo se changent dans Mon profil › Modifier le profil, l’e-mail dans Mon profil › Changer d’e-mail.
• Effacement : depuis l’app, en quatre étapes. Voir comment faire.
• Si tu n’arrives plus à te connecter, utilise Mot de passe oublié ? sur l’écran de connexion. Si même cela ne marche pas, écris-nous.

Nous répondons dans les meilleurs délais et en tout cas dans un délai d’un mois (art. 12 RGPD). Si tu estimes que le traitement viole le RGPD, tu peux t’adresser à l’autorité italienne de protection des données, le Garante per la protezione dei dati personali (gpdp.it), ou à l’autorité du pays de l’Union où tu vis.

Les autorisations du téléphone

• Position : seulement quand tu touches « Je suis là » ou « Utiliser ma position », jamais au démarrage. Voir plus haut ce qui se passe dans les deux cas.
• Appareil photo et photothèque : seulement quand tu ajoutes une photo à une soirée ou au profil. L’app ne voit que l’image que tu choisis.
• Notifications : pour les rappels et les notifications push, demandées après que tu as créé une soirée ou dit que tu y seras, jamais au démarrage.

Tu peux refuser chacune de ces autorisations : le reste de l’app continue de fonctionner.

Sécurité

Les mots de passe sont conservés sous forme d’empreinte PBKDF2-SHA256 avec 100 000 itérations et un sel aléatoire par utilisateur : à partir de la base de données, on ne remonte pas au mot de passe. Des jetons de connexion, nous ne conservons que l’empreinte. « E-mail inexistant » et « mot de passe erroné » donnent volontairement le même message, et il en va de même pour la récupération du mot de passe : les distinguer dirait à un inconnu quelles adresses sont inscrites. Changer d’e-mail demande le mot de passe, et l’ancienne adresse est prévenue.

Réservé aux majeurs

Hostasera est réservée aux personnes d’au moins 18 ans, ce qu’on déclare à l’inscription : les soirées ont lieu aussi chez des personnes qui ne se connaissent pas. Si nous nous apercevons qu’un compte appartient à un mineur, nous le supprimons.

Modifications

Si cette politique change de manière substantielle, nous mettons à jour la date en haut et, quand la modification te concerne vraiment, nous te le disons par e-mail. Cela arrivera à coup sûr quand arriveront les notifications push sur iPhone ou une version payante.

Cette traduction est fournie pour faciliter la lecture ; en cas de divergence, la version italienne fait foi.

En resumen

Hostasera sirve para organizar noches: el anfitrión dice dónde, cuándo y de qué tema es, e invita a quien quiere – a los amigos, a un grupo o a cualquiera, abriendo la noche a quien todavía no conoce. Para que todo esto funcione, la app usa una cuenta y guarda los datos en un servidor europeo. De una noche abierta, quien no ha sido aceptado solo ve la zona, nunca la dirección. No vendemos tus datos, no los usamos para perfilarte, no hay publicidad ni ninguna herramienta de seguimiento. Puedes descargar tus datos y eliminar la cuenta cuando quieras, desde la propia app.

• Responsable del tratamiento: Linchetto Studio — Wanesa Kowal
• Contacto: info@linchettostudio.com
• App: com.linchettostudio.hostasera · Última actualización: 18 de octubre de 2026
• Las normas de comportamiento están en las Condiciones de uso.

Qué datos tratamos

Para la cuenta: tu dirección de email, el nombre que eliges, el idioma, el color del círculo con tu inicial, la foto de perfil si pones una (o el personaje dibujado que eliges en su lugar), la contraseña – guardada solo como huella cifrada e irreversible – y el momento en que declaraste tener al menos 18 años. No te pedimos la fecha de nacimiento. También se guardan las fechas de registro y de última modificación y, si la moderación lo ha decidido, la fecha de una suspensión.

De cada sesión se guardan la huella cifrada del token, una etiqueta del dispositivo y las fechas de creación y caducidad. El token en claro solo existe en tu teléfono.

Las noches: título, día y hora, zona horaria, tema, la portada dibujada si la hay, si es en casa o en un local, ciudad, dirección exacta con sus coordenadas, una zona aproximada (el centro de un círculo de 500 m, 1 km o 2 km, desplazado al azar respecto a la dirección), si es privada, de grupo o abierta, plazas, quién paga y la cuota, si la hay; quién está invitado o ha pedido venir y qué ha respondido; la lista de cosas que llevar; el pedido para llevar; los mensajes del chat; las fotos; la hora de los check-in.

Los grupos: nombre, quién forma parte y con qué rol, las invitaciones enviadas y recibidas.

Tus colecciones: las listas personales, los lugares guardados y los menús para llevar que registras, con el teléfono del local si lo escribes.

Las valoraciones: las que das y recibes después de una noche abierta, las medias que calculamos a partir de ellas y los consejos (ver más abajo).

Los reportes y la moderación: quién ha reportado, qué (un mensaje, una foto, una persona, una noche, un consejo), el motivo elegido de una lista, lo que hayas añadido con tus palabras (opcional), el estado; y cada decisión tomada por la moderación, con su motivo.

Los bloqueos: a quién has bloqueado, cuándo, y cuándo lo has desbloqueado.

Los posavasos: cuáles has ganado y cuándo. Los calcula el servidor a partir de las noches terminadas en las que has participado y de lo que has hecho en la app (por ejemplo cuántas fotos has subido o cuántos lugares has guardado); un posavasos ganado se queda aunque la noche desaparezca.

Para las notificaciones push: el código que Firebase asigna a la app en tu teléfono (el «token»), el sistema, cuándo se registró y la última vez que la app dio señales de vida; y tus preferencias, en general y noche por noche.

Para confirmar la dirección, recuperar la contraseña y cambiar el email: la huella cifrada del código de seis cifras, el número de intentos y la caducidad; para el cambio de email, también la nueva dirección hasta que la confirmes. El código en claro nunca se guarda.

Para la sincronización: un registro de qué filas han cambiado y en qué orden, que sirve para llevar los cambios a los teléfonos de quienes participan.

⚠️ Quién ve qué

En las noches entre amigos (privadas y de grupo)

• La dirección exacta solo la ve quien está dentro: el anfitrión y los invitados. Quien es retirado, o sale, pierde la noche también en su teléfono, dirección incluida.
• Los demás participantes ven qué has respondido, qué llevas, qué has elegido del pedido para llevar, tus mensajes y tus fotos.
• No se encuentra a nadie buscándolo. A una noche o a un grupo se entra con un código o un enlace que te manda el anfitrión, o con una invitación de alguien a quien ya conoces porque tenéis una noche o un grupo en común.

En las noches abiertas

• Cualquier persona registrada, mayor de edad y con el email confirmado puede encontrar una noche abierta buscando en su zona. Desde fuera ve: título, día y hora, tema, la portada dibujada si la hay, ciudad, la zona aproximada y la distancia hasta ella («a unos 2 km»), plazas libres, quién paga y la cuota; si es en un local, el nombre y la dirección del local, porque es un lugar público. Y del anfitrión: nombre, color y foto de perfil.
• Desde fuera nunca se ve la dirección de la casa ni las coordenadas exactas, quién más participa, la lista, el chat, las fotos.
• Pedir unirse: tu solicitud la ve solo el anfitrión, con tu perfil público. Los demás invitados no ven ni la solicitud ni tu nombre hasta que te aceptan. Si te aceptan, la noche llega a tu teléfono con la dirección, como a todos los demás invitados.
• Las personas que has bloqueado no encuentran tus noches abiertas ni ven tus solicitudes; y tú no encuentras las suyas.

El perfil público

Es lo que ve de ti el anfitrión de una noche a la que pides ir, quien encuentra una noche abierta que organizas tú, y quien tiene una noche o un grupo en común contigo. Nadie más: el perfil de una persona no se abre sin un motivo para verla, y no existe una lista de los registrados. Contiene:

• nombre, color y foto de perfil;
• el mes en que te registraste;
• cuántas noches has organizado;
• tu Asistencia (ver más abajo): la de con desconocidos para quien valora una noche abierta, la de entre amigos para quien ya te conoce;
• las medias de las valoraciones recibidas, por rol, solo cuando son al menos tres;
• cuántas noches tenéis en común, si las hay.

Nunca tu email, las noches a las que vas o has ido, tus grupos, quién te ha valorado. Tu dirección de email no se muestra a nadie, en ningún punto de la app.

No hay mensajes privados: solo existe el chat de la noche, y 48 horas después del final solo se puede leer.

⚠️ Tu ubicación: se usa y se tira

Hostasera pide la ubicación solo cuando tocas tú un botón, nunca al abrir la app y nunca en segundo plano:

• «Usar mi ubicación», para buscar noches abiertas cercanas. Aquí la ubicación (aproximada por el teléfono) llega a nuestro servidor junto con la búsqueda, porque es el servidor el que sabe qué noches hay a tu alrededor: sirve para calcular las distancias y no se guarda ni se registra en ningún sitio. Sin el permiso, las distancias se miden desde el centro de Roma.
• «Ya he llegado», para el check-in. Aquí la ubicación no sale del teléfono: es el teléfono el que comprueba que está a menos de 200 m del lugar de la noche, y al servidor solo llega la hora.

La Asistencia y el check-in

Cuando llegas a una noche puedes tocar «Ya he llegado». El servidor acepta el check-in solo en el horario correcto (desde media hora antes del inicio hasta el final) y guarda la hora. A partir de los check-in se calcula la Asistencia: «presente en 8 noches de 9». Solo cuentan las noches ya terminadas a las que habías dicho «Voy»: estás presente si hiciste el check-in, y ausente si no lo hiciste o si cancelaste en las 24 horas anteriores al inicio. No lo decide el anfitrión, y nadie puede marcarte como ausente a mano.

Hay dos Asistencias, calculadas por separado: entre amigos (noches privadas y de grupo) y con desconocidos (noches abiertas). Con sinceridad: el check-in es una prueba seria entre particulares, no una prueba absoluta, porque la ubicación de un teléfono se puede falsificar.

⚠️ Las valoraciones

Después de una noche abierta, quienes estuvieron de verdad – el anfitrión y los invitados que hicieron el check-in – pueden valorar a los demás presentes, también a los invitados entre sí, de 1 a 5 en algunos aspectos (el anfitrión: acogida, organización, noche como se describía, uno se sentía a gusto; un invitado: puntualidad, respeto, trajo lo que había dicho, compañía). Se puede añadir un consejo de hasta 300 caracteres para la persona valorada. Las valoraciones son opcionales y se dan en las 48 horas siguientes al final.

• Son anónimas. Las valoraciones individuales nunca salen del servidor, ni siquiera hacia quien las dio. De ti los demás solo ven las medias, y solo cuando son al menos tres.
• Las medias se actualizan por bloques, cada tres días y solo si mientras tanto han llegado al menos dos nuevas: si cambiaran el día después de una noche con un solo invitado, sabrías quién ha sido.
• Los consejos los recibes solo tú, sin el nombre de quien los escribió y sin la noche. En el servidor siguen vinculados a la valoración de la que proceden solo para que, si un consejo se reporta, la moderación pueda saber quién lo escribió.
• «Me sentí incómodo o en peligro» no entra en las medias: se convierte en un reporte que va directamente a la moderación.
• Lo negativo se ve: la media es la media.

⚠️ Las fotos, y las caras de los demás

Las fotos de una noche son casi siempre fotos de grupo: al subirlas estás facilitando datos personales de otras personas. Sube solo fotos que quienes estaban estén de acuerdo en compartir.

• Antes del envío, el teléfono quita de la foto los metadatos – incluido el lugar donde se tomó – y el servidor los quita por segunda vez. Vale también para la foto de perfil.
• Las fotos no son públicas: cada archivo solo se descarga con una sesión válida, y el servidor comprueba que quien lo pide está dentro de esa noche.
• Una foto la puede quitar quien la subió o el anfitrión de la noche, y desaparece también del servidor. Al eliminar tu cuenta, tus fotos desaparecen de todas las noches.

La foto de perfil es opcional: en su lugar está el círculo con la inicial. El teléfono la recorta cuadrada y pequeña; se ve con las mismas reglas que el nombre – solo quien tiene un motivo para ver tu perfil (ver arriba), nunca desde una dirección pública – y en los teléfonos que la han mostrado se queda en memoria como máximo siete días. Cuando la cambias o la quitas, la antigua se borra del servidor. En su lugar puedes elegir uno de los personajes dibujados de la app: en ese caso solo guardamos el nombre del dibujo, ninguna imagen tuya.

⚠️ Reportes, moderación y suspensión

Se pueden reportar un mensaje, una foto, una persona, una noche y un consejo recibido, eligiendo el motivo. El reporte llega a nuestro servidor y lo lee solo la moderación de Hostasera, que también ve quién lo ha hecho (sirve para reconocer a quien usa los reportes para acosar). La persona reportada no sabe de quién viene, y ningún otro usuario lo ve. Al buzón de la moderación llega un aviso con el motivo y un código para encontrarlo – nunca el contenido ni los nombres. Se puede reportar como máximo veinte veces al día.

La moderación puede quitar un contenido, cancelar una noche, suspender o reactivar una cuenta. Cada decisión queda registrada con su motivo, y te llega por email si te afecta, con la forma de impugnarla (ver las Condiciones de uso).

La suspensión automática. Cuando tres personas distintas reportan a la misma persona como peligrosa (también a través del «incómodo o en peligro» de las valoraciones), su cuenta se suspende sola, a la espera de revisión: es la única decisión que toma un cálculo en lugar de una persona, y sirve para que alguien reportado como peligroso no se presente en casa de desconocidos mientras lo comprobamos. Una persona de la moderación la revisa en un plazo de 48 horas y la confirma o la levanta; puedes escribirnos para explicar tu versión (art. 22 RGPD). Quien está suspendido solo puede entrar para exportar sus datos o eliminar la cuenta; sus futuras noches abiertas se cancelan y sale de las de los demás, mientras que las noches entre amigos se mantienen.

Los bloqueos

Puedes bloquear a una persona desde su perfil, desde uno de sus mensajes o desde una de sus fotos. A partir de ese momento ya no ves sus mensajes ni sus fotos, nuestro servidor no te hace llegar sus invitaciones ni las notificaciones que saldrían de ella, y en las noches abiertas ya no os encontráis el uno al otro. Las noches a las que ya habías respondido se mantienen. El bloqueo es secreto: a la persona bloqueada no le llega nada que lo revele. Puedes desbloquear cuando quieras, desde Perfil › Personas bloqueadas.

Las notificaciones push

Cuando pasa algo que te afecta, nuestro servidor te avisa en el teléfono: una invitación, una noche en la que estás que cambia de día, hora o lugar o se cancela, un mensaje en el chat y, si organizas tú, quién responde y quién pide unirse a una noche abierta; si lo pides tú, si te han aceptado o no; y si estás en lista de espera, cuando se libera una plaza para ti; y, con un aviso por la mañana, cuando ganas un nuevo posavasos. Para entregarlas usamos Firebase Cloud Messaging, el servicio de Google: es la única forma de llegar a un teléfono Android con la app cerrada.

• Qué dicen: el título de la noche, el nombre de quien ha hecho la acción y, para el chat, el texto del mensaje (como máximo 180 caracteres). Este texto pasa por los servidores de Google para llegarte. La dirección nunca aparece, y tampoco tu email. La notificación «no te han aceptado» ni siquiera dice el nombre del anfitrión. La de un posavasos solo dice su nombre, o cuántos son.
• Las desactivas cuando quieras: en Mi perfil › Notificaciones (donde los posavasos tienen su propio interruptor), y desde la campanita de una noche desactivas su chat y sus respuestas sin tocar las demás. También puedes denegar el permiso en los ajustes del teléfono.
• El token del teléfono se borra cuando cierras sesión, cuando pides la eliminación, cuando Firebase nos dice que ya no es válido y tras 60 días en los que la app no da señales de vida.
• En iPhone todavía no hay notificaciones push. Cuando lleguen pasarán también por el servicio de Apple, y lo escribiremos aquí.

Los emails

Solo te escribimos por cosas que te afectan directamente: el código para confirmar la dirección, el de restablecer la contraseña, el de confirmar un nuevo email – y, una vez hecho el cambio, un aviso a la dirección antigua, con la nueva medio oculta, para que, si no has sido tú, te des cuenta. Y las decisiones de la moderación que te afectan, con su motivo. Las invitaciones nunca llegan por email, y ningún email es promocional.

Lo que se queda solo en tu teléfono

• Los recordatorios (el día antes, tres horas antes, «¿Has llegado?», el cierre de los pedidos para llevar) los programa el propio teléfono. En el texto de un recordatorio nunca aparece la dirección, porque se lee también con el teléfono bloqueado.
• Hasta dónde has leído el chat, para contar los mensajes nuevos.
• Los resultados de la búsqueda de noches abiertas: se muestran y no se guardan.

Hostasera funciona también sin conexión: la app escribe primero en el teléfono y se sincroniza con el servidor en cuanto puede. Por eso una copia de tus datos vive en el dispositivo. Al cerrar sesión esa copia se borra; al desinstalar la app se va con ella.

Lo que no hacemos, y se puede comprobar

• Ninguna notificación que no te afecte: nunca promociones, nunca «te has perdido algo», nunca «vuelve a visitarnos».
• No registramos tu dirección IP ni el historial de tus búsquedas. Nuestro servidor no guarda ningún registro de las solicitudes que recibe; la IP solo sirve, en el momento, para frenar a quien prueba demasiados códigos de invitación seguidos en la página web. La infraestructura que aloja el servicio (Cloudflare) trata los datos técnicos de conexión para la seguridad de la red, según su propia política de privacidad.
• Ninguna analítica, ningún detector de errores, ningún seguimiento publicitario. De Firebase solo usamos la entrega de las notificaciones, no Google Analytics ni Crashlytics.
• Ninguna publicidad, ninguna elaboración de perfiles. Las noches abiertas se ordenan por fecha o por distancia, no por un algoritmo que te conoce.
• No vendemos ni cedemos tus datos a nadie.
• Ninguna compra: no hay nada que comprar, así que ningún dato de pago. El dinero de la noche (cuotas, cuentas) se arregla en persona: la app solo lo apunta.

Por qué los tratamos, y con qué base jurídica

• Para que puedas usar la app – organizar noches, buscar noches abiertas y pedir unirte, invitar, responder, escribir en el chat, compartir fotos, recibir las notificaciones y los emails que te afectan – y sincronizarla entre los teléfonos de quienes participan: ejecución del contrato (art. 6.1.b RGPD), es decir, de las Condiciones de uso.
• Para la confianza entre personas que no se conocen – el perfil público, la Asistencia, las valoraciones – y para la seguridad del servicio y la prevención de abusos: reportes, bloqueos, suspensiones, la verificación de la mayoría de edad declarada, los límites a las solicitudes, y el mantener las noches pasadas para quienes estuvieron cuando alguien elimina su cuenta: interés legítimo (art. 6.1.f RGPD), nuestro y de quien va a casa de desconocidos.
• Para cumplir las obligaciones legales, incluidas las que el Digital Services Act (Reglamento (UE) 2022/2065) impone a las plataformas en línea – motivar las decisiones de moderación y gestionar los reportes: obligación legal (art. 6.1.c RGPD).

Dónde están los datos, y a quién se los confiamos

El almacenamiento está en la infraestructura de Cloudflare: la base de datos (D1) y los archivos (R2: las fotos de las noches, las fotos de perfil y los mapas) están en Europa occidental. El tráfico entre la app y el servidor siempre va cifrado (HTTPS).

Es la lista completa. Hacia Estados Unidos la transferencia se basa en las garantías previstas en el capítulo V del RGPD (cláusulas contractuales tipo); a Resend nunca le llegan las noches, el chat ni las fotos, y a Google solo le llegan las notificaciones. Nuestro propio acceso a los datos se limita a quien gestiona técnicamente el servicio, para el mantenimiento, y a la moderación, para los reportes.

Mapas y direcciones

Los mapas de la app están hechos con datos de OpenStreetMap (© colaboradores de OpenStreetMap) y los servimos nosotros, desde nuestro servidor: el teléfono los pide a api.hostasera.com sin decir quién eres, y ningún servicio externo ve qué zona estás mirando. Las direcciones buscadas pasan por Geoapify como indica la tabla, y los resultados se quedan en una memoria del servidor sin ningún vínculo con quien los buscó.

Si pegas un enlace corto de Google Maps, el teléfono lo abre para leer la dirección, así que Google recibe esa solicitud. Y si tocas «Abrir en Maps» o el número de un local, la app pasa la dirección o el número a la app de mapas o al teléfono que uses. Son cosas que solo pasan cuando tú lo pides.

La página de invitación en hostasera.com

Un enlace de invitación (hostasera.com/i/…) abierto sin la app muestra una página con título, día y hora, ciudad, tema y nombre del anfitrión – nunca la dirección, nunca los demás participantes – o solo el nombre del grupo. La página no usa cookies, scripts ni herramientas de estadística, y los buscadores no la indexan. El enlace lo comparte el anfitrión, y cualquiera que lo reciba ve esa página.

Durante cuánto tiempo

• La cuenta y las noches: mientras uses Hostasera. Si pides la eliminación, las sesiones se cierran de inmediato y todo se elimina pasados 30 días – el plazo para pensártelo. Las noches pasadas se quedan para quienes estuvieron, con «Cuenta eliminada» en lugar de tu nombre: los detalles están en la página Eliminar la cuenta.
• Una cuenta nunca confirmada se elimina sola pasadas 24 horas.
• Las sesiones: un token caduca solo a los 180 días.
• La foto de perfil: hasta que la cambies o la quites, o hasta que la quite la moderación, o hasta la eliminación de la cuenta.
• Las solicitudes a una noche abierta: se quedan vinculadas a la noche, como las respuestas a las invitaciones; una solicitud no aceptada sirve también para que no se repita.
• Los check-in y la Asistencia: mientras tengas la cuenta.
• Los posavasos: mientras tengas la cuenta.
• Las valoraciones: las valoraciones individuales, mientras existan las cuentas de quien las dio y de quien las recibió; al eliminar la cuenta desaparecen las que diste, las que recibiste, tus medias y tus consejos. Los consejos que habías escrito para otros y que ellos ya han recibido se quedan con ellos, sin ningún vínculo ya contigo.
• El token de las notificaciones: mientras uses la app en ese teléfono (ver arriba). Firebase guarda una notificación solo hasta que la entrega (como máximo cuatro semanas, si el teléfono sigue apagado).
• Los códigos de seis cifras: valen 30 minutos, se usan una sola vez y tras cinco errores quedan inutilizados.
• Los bloqueos: mientras tengas la cuenta; al eliminarla desaparecen todos, los que hiciste y los que te afectan.
• Los reportes y las decisiones de la moderación: mientras sean necesarios para la seguridad del servicio y para responder a quien los impugne. Si quien reportó elimina su cuenta, el reporte se queda sin su nombre; si elimina su cuenta la persona reportada, quedan vinculados solo a un identificador, sin nombre ni email.
• Las fotos de las noches: hasta que las quite quien las subió o el anfitrión de la noche, o hasta que se elimine la cuenta de quien las subió.
• Las direcciones buscadas: la memoria de los resultados no contiene datos de nadie y se mantiene mientras sea útil. Geoapify guarda las solicitudes que le llegan de nuestro servidor como máximo 24 horas.

Tus derechos

Puedes solicitar el acceso, la rectificación, la supresión, la limitación, la oposición y la portabilidad de tus datos (arts. 15–22 RGPD), y no ser objeto de una decisión basada únicamente en un tratamiento automatizado: la suspensión automática la revisa siempre una persona.

• Copia de tus datos: en la app, en Mi perfil, toca Exportar mis datos. Es gratis, y lo será siempre. En el archivo solo están tus propios datos, incluidas tus fotos; con la conexión activa, también la foto de perfil y tus solicitudes a las noches abiertas, que el teléfono no conserva. Las valoraciones recibidas aparecen como medias: quién te dio qué no sale, ni siquiera aquí. Para lo demás – por ejemplo las decisiones de la moderación que te afectan – escríbenos.
• Rectificación: el nombre, el color y la foto se cambian en Mi perfil › Editar perfil, el email en Mi perfil › Cambiar email.
• Supresión: desde la app, en cuatro pasos. Mira cómo se hace.
• Si ya no consigues entrar, usa ¿Has olvidado la contraseña? en la pantalla de acceso. Si ni siquiera eso funciona, escríbenos.

Respondemos sin dilación indebida y en cualquier caso en el plazo de un mes (art. 12 RGPD). Si consideras que el tratamiento infringe el RGPD, puedes dirigirte a la autoridad italiana de protección de datos, el Garante per la protezione dei dati personali (gpdp.it), o a la autoridad del país de la Unión en el que vives.

Los permisos del teléfono

• Ubicación: solo cuando tocas «Ya he llegado» o «Usar mi ubicación», nunca al abrir la app. Arriba se explica qué pasa en cada caso.
• Cámara y galería: solo cuando añades una foto a una noche o al perfil. La app solo ve la imagen que eliges tú.
• Notificaciones: para los recordatorios y las notificaciones push, se piden después de que hayas creado una noche o dicho que vas, nunca al abrir la app.

Puedes denegar cada uno de estos permisos: el resto de la app sigue funcionando.

Seguridad

Las contraseñas se guardan como huella PBKDF2-SHA256 con 100.000 iteraciones y una sal aleatoria por usuario: desde la base de datos no se puede llegar a la contraseña. De los tokens de sesión guardamos solo la huella. «Email inexistente» y «contraseña incorrecta» dan a propósito el mismo mensaje, y lo mismo ocurre con la recuperación de la contraseña: distinguirlos le diría a un extraño qué direcciones están registradas. Cambiar el email requiere la contraseña, y se avisa a la dirección antigua.

Solo mayores de edad

Hostasera está reservada a quien tiene al menos 18 años, y se declara al registrarse: las noches se hacen también en casa de personas que no se conocen. Si nos damos cuenta de que una cuenta pertenece a un menor, la eliminamos.

Cambios

Si esta política cambia de forma sustancial, actualizamos la fecha de arriba y, cuando el cambio te afecta de verdad, te lo decimos por email. Pasará seguro cuando lleguen las notificaciones push en iPhone o una versión de pago.

Esta traducción se ofrece para facilitar la lectura; en caso de discrepancia, prevalece la versión italiana.