Zampario — Privacy PolicyZampario — Privacy PolicyZampario — DatenschutzerklärungZampario — Politique de confidentialitéZampario — Política de privacidad

In breve

Zampario è il diario del tuo animale. Per farlo funzionare su più dispositivi e per non fartelo perdere quando ne cambi uno, l'app usa un account e conserva i tuoi dati su un server europeo. Non li vendiamo, non li usiamo per profilarti, non c'è pubblicità e non c'è nessuno strumento di tracciamento. Puoi esportare tutto e cancellare l'account quando vuoi, dall'app stessa.

Quali dati trattiamo

Per l'account: il tuo indirizzo email, il nome che scegli, l'immagine del profilo (un disegno scelto fra quelli dell'app, oppure una tua foto), la lingua, la password (conservata solo come impronta cifrata e non reversibile), le date di registrazione e di ultimo utilizzo. Di ogni accesso restano l'impronta cifrata del token, il tipo di sistema (ios o android) e le date di creazione, ultimo uso e scadenza.

Quello che scrivi nel diario: la scheda dell'animale (nome, specie, razza, sesso, data di nascita, sterilizzazione, microchip, note), il peso, i pasti e i prodotti che gli dai, i bisogni, il vomito, i sintomi, le uscite, i vaccini, le cure, le visite, le patologie e le indicazioni alimentari, i contatti dei veterinari che salvi tu, i giochi, i ricordi, gli annunci di smarrimento (il messaggio, dove e quando l'animale è stato visto l'ultima volta e il telefono di contatto che scegli tu di mostrare), e le foto che scegli di aggiungere. Di ogni voce resta anche chi l'ha scritta.

Per le case condivise: il nome della casa; chi ne fa parte, con quale ruolo («Gestisce la casa», «In casa» o «Ospite a tempo») e da quando; lo storico di chi entra, esce o cambia ruolo; il codice d'invito della casa, se chi gestisce la casa ne crea uno; e gli inviti mandati per email, con l'indirizzo della persona invitata (anche se non ha ancora un account), chi l'ha invitata, il ruolo proposto, l'esito (in attesa, accettato, rifiutato, ritirato) e la scadenza.

Per la conferma dell'indirizzo email e per il recupero della password: l'impronta cifrata del codice a sei cifre, il numero di tentativi e la scadenza (un'ora per la conferma, 30 minuti per il recupero). Il codice in chiaro non viene mai salvato.

Se ti registri con l'indirizzo di un account in cancellazione: la nuova registrazione resta in attesa finché non confermi il codice che ti mandiamo, e nel frattempo conserviamo l'email, il nome, la lingua, la password come impronta cifrata, l'impronta del codice, i tentativi e la scadenza.

Per i limiti sulle foto: quali immagini hai caricato e quando, secondo l'orologio del server. Serve a far rispettare il tetto di 50 immagini al giorno, che vale per tutti, e quello di 200 foto della versione gratuita (le foto della salute non contano).

Per la sincronizzazione: un registro di quali righe del diario sono cambiate e in che ordine, che serve a portare le modifiche sugli altri tuoi dispositivi.

Per le notifiche push: il codice che Firebase assegna all'app sul tuo telefono (il «token»), il sistema, il fuso orario del telefono, quando è stato registrato e l'ultima volta che l'app si è fatta viva, e le preferenze sulle notifiche che hai scelto su quel telefono.

Cosa non facciamo, ed è verificabile

• Non registriamo il tuo indirizzo IP. Il nostro server non tiene alcun registro delle richieste che riceve. L'infrastruttura che ospita il servizio (Cloudflare) tratta i dati tecnici di connessione per la sicurezza della rete, secondo la propria informativa: è una cosa che succede sotto di noi e su cui non abbiamo visibilità.
• Nessun analytics, nessun rilevatore di errori, nessun tracciamento pubblicitario. L'app non include alcuna libreria di questo tipo: di Firebase usiamo solo il recapito delle notifiche, non Google Analytics né Crashlytics.
• Nessuna pubblicità e nessuna profilazione. Non prendiamo decisioni automatizzate sul tuo conto.
• Non vendiamo e non cediamo i tuoi dati a nessuno.

Una precisazione che conta

I dati che inserisci riguardano la salute del tuo animale, non la tua: non sono "categorie particolari di dati personali" ai sensi dell'art. 9 del GDPR, che protegge i dati sanitari delle persone fisiche. Restano comunque dati personali tuoi, perché sono collegati al tuo account, e li trattiamo con la stessa cura.

Zampario, inoltre, non è uno strumento medico: non formula diagnosi, non interpreta i dati e non consiglia terapie. Le funzioni che accostano cibo e sintomi contano coincidenze già scritte nel tuo diario, e lo dicono a schermo.

Perché li trattiamo, e con quale base giuridica

• Per farti usare l'app, condividere il diario con le persone delle tue case, sincronizzarlo fra i dispositivi e conservarlo: esecuzione del contratto (art. 6.1.b GDPR).
• Per la sicurezza del servizio e la prevenzione degli abusi — per esempio il tetto ai tentativi sul codice di recupero: legittimo interesse (art. 6.1.f).
• Per adempiere agli obblighi di legge che ci riguardano, compresi quelli fiscali legati a un acquisto: obbligo legale (art. 6.1.c).

Le case condivise

Il diario sta in una casa: alla registrazione ne nasce una tutta tua, e puoi invitare altre persone (fino a 6 per casa) indicando il loro indirizzo email, oppure dando loro il codice di sei caratteri che crea chi gestisce la casa. Ognuno entra con uno di tre ruoli: «Gestisce la casa» (invita e toglie le persone, crea il codice, rinomina la casa), «In casa» (chi vive con l'animale e tiene il diario) o «Ospite a tempo» (per esempio chi tiene l'animale per qualche giorno: usa i prodotti e i veterinari già salvati, senza aggiungerne). Con il codice si entra come «In casa».

• Tutti i membri di una casa vedono tutto il diario e tutte le foto di quella casa, compreso chi ha scritto ciascuna voce.
• Degli altri membri vedi il nome e l'immagine del profilo. L'indirizzo email lo vede solo chi gestisce la casa, insieme agli indirizzi delle persone invitate che non hanno ancora risposto.
• Chi riceve un invito vede il nome di chi l'ha invitato. Non mandiamo email di invito: l'invito compare nell'app di chi si registra con quell'indirizzo, e solo dopo che l'ha confermato; se ha già un account, gli arriva anche una notifica push. Gli inviti scadono dopo 14 giorni.

Le notifiche

I promemoria dei pasti, delle cure e delle scadenze sono notifiche locali, programmate dal tuo dispositivo: non passano dai nostri server.

Le notifiche push invece le manda il nostro server, quando qualcuno con cui condividi una casa registra qualcosa che ti riguarda: una pappa già data (che serve soprattutto a zittire il tuo promemoria, perché l'animale non mangi due volte), un'anomalia segnata nel diario, una visita fissata o spostata, una cura nuova, un avviso di smarrimento, un invito in una casa o una persona che entra in una casa che gestisci. Il server manda anche un segnale senza testo, che non si vede, per dire all'app aperta di aggiornare il diario. Per recapitarle usiamo Firebase Cloud Messaging, il servizio di Google: è l'unico modo di raggiungere un telefono Android con l'app chiusa.

• Nel testo c'è il minimo per capire: il nome dell'animale, il nome di chi l'ha fatto, il tipo di cosa (per esempio «ha vomitato»), il giorno e l'ora di una visita, il nome di una cura. Mai le note, le foto, il motivo o l'esito di una visita, il dosaggio di una cura.
• Chi è «Ospite a tempo» non riceve gli avvisi sulla salute.
• Le scelte sono del telefono: le notifiche si accendono e spengono in Il tuo account › Notifiche, e valgono solo per quel dispositivo.
• Il token del telefono si cancella quando esci dall'account, quando chiedi la cancellazione (subito, senza aspettare i 30 giorni), quando Firebase ci dice che non vale più e dopo 60 giorni in cui l'app non si fa viva.
• Su iPhone le notifiche push non ci sono ancora. Quando arriveranno passeranno anche dal servizio di Apple, e lo scriveremo qui.

Dove stanno i dati, e a chi li affidiamo

L'archiviazione è su infrastruttura Cloudflare: il database (D1) e le foto (R2) stanno entrambi nella regione europea EEUR. Il traffico fra app e server è sempre cifrato (HTTPS).

Verso gli Stati Uniti il trasferimento avviene sulle garanzie previste dal Capo V del GDPR (clausole contrattuali standard). L'accesso ai dati da parte nostra è limitato a chi gestisce tecnicamente il servizio, e solo per la manutenzione.

Le tue foto non sono pubbliche: ogni immagine si scarica solo con un accesso valido, e il server verifica che appartenga a una casa di cui fai parte prima di consegnarla. La tua foto profilo la vedono solo le persone che stanno in una casa con te.

Il diario resta anche sul tuo dispositivo

Zampario funziona senza rete: il diario è scritto per intero anche sul dispositivo, e la sincronizzazione serve a tenerne una copia al sicuro e a ritrovarla altrove. Uscendo dall'account il dispositivo viene svuotato, foto comprese — perché il diario appartiene all'account e un dispositivo può passare di mano. Prima di uscire, l'app aspetta che tutto sia stato caricato.

Per quanto tempo

Finché tieni l'account. Se lo cancelli, gli accessi cadono subito e i dati restano 30 giorni: è la finestra per ripensarci (rientrando trovi il pulsante per annullare). Alla scadenza un processo notturno cancella davvero l'account, la foto profilo e le case in cui eri l'unico membro, con il loro diario e le loro immagini. Restano solo i documenti che siamo tenuti a conservare per legge, per esempio quelli fiscali di un acquisto.

Nelle case che condividi con altre persone il diario resta a loro, perché è anche il loro: tu esci dalla casa, e le voci e le foto che avevi aggiunto rimangono, firmate «Utente cancellato» al posto del tuo nome.

Se nei 30 giorni ti registri di nuovo con lo stesso indirizzo e confermi il codice che ti mandiamo, il vecchio account viene cancellato subito, nello stesso modo. Una registrazione in attesa che non confermi si butta quando il suo codice scade.

Se non confermi l'indirizzo email, l'account viene cancellato con tutto quello che contiene, senza finestra per ripensarci, dal processo notturno che passa dopo 24 ore dalla registrazione. Prima ti mandiamo un promemoria per email.

Gli inviti restano, con il loro esito, finché esiste la casa. Il registro delle foto caricate resta finché hai l'account.

Se cancelli una singola voce del diario, resta per un breve periodo un segno tecnico della cancellazione, necessario a propagarla agli altri tuoi dispositivi.

Il token delle notifiche: finché usi l'app su quel telefono (vedi sopra). Firebase tiene una notifica solo finché non la consegna (al massimo quattro settimane, se il telefono resta spento).

I tuoi diritti

Puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità dei dati e opporti al trattamento, scrivendo a info@linchettostudio.com. Due di questi non richiedono di scrivere a nessuno, perché sono dentro l'app:

• Scaricare i tuoi dati in un file leggibile (il diario in formato JSON più tutte le foto), gratuitamente e senza limiti. Non è e non sarà una funzione a pagamento: la portabilità è un tuo diritto, non un extra. Se qualche foto non è ancora stata scaricata sul dispositivo, l'app te lo dice invece di tacere. Dentro ci sono le foto in una cartella normale e il diario in JSON, cioè nel formato aperto che la legge chiede perché tu possa portarlo altrove. ⚠️ Non è un backup da ricaricare: Zampario non reimporta quel file. La rete di sicurezza del diario è l'account, che te lo ridà su qualunque dispositivo.
• Cancellare l'account, e con esso il diario e le foto delle case in cui sei l'unico membro — da Il tuo account → Cancella l'account. Le istruzioni complete sono nella pagina Cancellare l'account di Zampario.

Hai anche diritto di reclamo al Garante per la protezione dei dati personali.

Fotocamera, galleria e foto

Zampario chiede l'accesso alla fotocamera e alla galleria solo quando scegli di aggiungere una foto (a te come immagine del profilo, all'animale, a un evento del diario, a un prodotto, a un gioco, a un ricordo). Le immagini vengono ridotte di dimensione sul dispositivo prima di partire e conservate nel tuo spazio. Non c'è nessuna analisi automatica delle immagini.

Codice a barre dei prodotti (servizio esterno)

Quando scansioni il codice a barre di un cibo, l'app interroga Open Pet Food Facts (openpetfoodfacts.org), un database pubblico e collaborativo, per proporti nome, marca e foto della confezione. Viene inviato solo il codice a barre: nessun dato tuo, nessun dato sul tuo animale. La richiesta parte dal tuo dispositivo, quindi quel servizio vede il tuo indirizzo IP come qualunque sito che visiti. Se sei offline o il prodotto non è nel database, compili la scheda a mano e non parte nessuna richiesta.

Acquisti

Lo sblocco di Zampario Pro è un acquisto una tantum gestito interamente da Apple App Store o Google Play: non vediamo e non conserviamo i dati di pagamento. Del tuo acquisto teniamo lo store (Apple o Google), il codice del prodotto, l'identificativo della transazione, la data in cui l'abbiamo registrato e la data da cui il Pro è attivo sul tuo account: servono a riconoscere il Pro e a impedire che la stessa ricevuta valga per due account.

Sicurezza

Le password e i token di accesso sono conservati solo come impronte cifrate e non reversibili, mai in chiaro. Il token del tuo dispositivo è custodito nel portachiavi di sistema (Keychain su iOS, Keystore su Android). Reimpostare la password fa cadere tutti gli accessi, su tutti i dispositivi. I codici di conferma e di recupero scadono, e dopo cinque tentativi sbagliati non sono più utilizzabili.

Minori

Il servizio non è rivolto a minori di 14 anni (l'età del consenso digitale in Italia; in altri paesi dell'Unione europea può arrivare a 16).

Modifiche

Se questa informativa cambia in modo sostanziale, te lo diciamo nell'app prima che le modifiche abbiano effetto. Ogni versione è pubblicata a questo indirizzo con la sua data. Succederà di sicuro quando arriveranno le notifiche push su iPhone.

In short

Zampario is your pet's diary. To work across your devices — and so you don't lose the diary when you switch to a new one — the app uses an account and stores your data on a European server. We don't sell it, don't profile you, there are no ads and no tracking tools of any kind. You can export everything and delete your account at any time, from inside the app.

What we process

For the account: your email address, the name you choose, your profile picture (one of the app's drawings, or a photo of yours), your language, your password (stored only as an encrypted, non-reversible hash), and your sign-up and last-activity dates. For each session we keep the hashed token, the platform (ios or android), and the creation, last-use and expiry dates.

What you write in the diary: your pet's profile (name, species, breed, sex, date of birth, neutering, microchip, notes), weight, meals and the products you feed, bathroom logs, vomiting, symptoms, walks, vaccines, treatments, appointments, conditions and prescribed diet, the vet contacts you save, toys, memories, lost-pet notices (the message, where and when the pet was last seen, and the contact phone number you choose to show), and the photos you choose to add. Each entry also records who wrote it.

For shared households: the household's name; who belongs to it, with which role ("Manages the household", "In the household" or "Guest for a while") and since when; the history of who joins, leaves or changes role; the household's invite code, if whoever manages the household creates one; and invitations sent by email, with the invited person's address (even if they don't have an account yet), who invited them, the proposed role, the outcome (pending, accepted, declined, withdrawn) and the expiry.

For email confirmation and password recovery: the hash of the six-digit code, the attempt count and its expiry (one hour for confirmation, 30 minutes for recovery). The code itself is never stored.

If you sign up with the address of an account being deleted: the new sign-up waits until you confirm the code we send you, and meanwhile we keep the email, the name, the language, the password as a hash, the code's hash, the attempt count and the expiry.

For the photo limits: which images you uploaded and when, by the server's clock. It enforces the cap of 50 images a day, which applies to everyone, and the 200-photo cap of the free version (health photos don't count).

For syncing: a record of which diary rows changed and in what order, used to carry changes to your other devices.

For push notifications: the code Firebase assigns to the app on your phone (the "token"), the system, the phone's time zone, when it was registered and the last time the app checked in, and the notification preferences you chose on that phone.

What we do not do, and you can check it

• We do not log your IP address. Our server keeps no request logs at all. The infrastructure hosting the service (Cloudflare) processes technical connection data for network security under its own policy: that happens beneath us and outside our visibility.
• No analytics, no crash reporting, no advertising trackers. The app ships with no such library: of Firebase we only use notification delivery, not Google Analytics or Crashlytics.
• No ads and no profiling. We make no automated decisions about you.
• We never sell or share your data.

One clarification that matters

The data you enter concerns your pet's health, not yours: it is not a "special category of personal data" under Article 9 GDPR, which protects health data about natural persons. It is still your personal data, because it is tied to your account, and we treat it with the same care.

Zampario is also not a medical device: it makes no diagnosis, does not interpret your data and does not recommend treatment. The features that put food and symptoms side by side count coincidences already written in your own diary, and say so on screen.

Why, and on what legal basis

• To let you use the app, share the diary with the people in your households, sync it across devices and keep it: performance of the contract (Art. 6(1)(b) GDPR).
• For service security and abuse prevention — such as the cap on recovery-code attempts: legitimate interest (Art. 6(1)(f)).
• To meet our legal obligations, including tax records tied to a purchase: legal obligation (Art. 6(1)(c)).

Shared households

The diary lives in a household: when you sign up you get one all to yourself, and you can invite other people (up to 6 per household) by entering their email address, or by giving them the six-character code created by whoever manages the household. Everyone joins with one of three roles: "Manages the household" (invites and removes people, creates the code, renames the household), "In the household" (whoever lives with the pet and keeps the diary) or "Guest for a while" (for example someone looking after the pet for a few days: they use the products and vets already saved, without adding new ones). Joining with the code makes you "In the household".

• Every member of a household sees the whole diary and every photo of that household, including who wrote each entry.
• Of the other members you see the name and the profile picture. The email address is visible only to whoever manages the household, along with the addresses of invited people who haven't answered yet.
• Whoever receives an invitation sees the name of the person who sent it. We don't send invitation emails: the invitation appears in the app of whoever signs up with that address, and only once they've confirmed it; if they already have an account, they also get a push notification. Invitations expire after 14 days.

Notifications

Meal, treatment and due-date reminders are local notifications, scheduled by your device: they don't go through our servers.

Push notifications, on the other hand, are sent by our server when someone you share a household with logs something that concerns you: a meal already given (mainly used to silence your reminder, so the pet doesn't eat twice), an anomaly noted in the diary, a vet visit booked or moved, a new treatment, a lost pet alert, an invitation to a household or someone joining a household you manage. The server also sends an invisible signal with no text, telling the open app to refresh the diary. To deliver them we use Firebase Cloud Messaging, Google's service: it's the only way to reach an Android phone while the app is closed.

• The text holds the minimum needed to understand: the pet's name, the name of whoever did it, the kind of thing (for example "vomited"), the day and time of a visit, the name of a treatment. Never notes, photos, the reason for or outcome of a visit, or a treatment's dosage.
• A "Guest for a while" doesn't receive health alerts.
• The choices belong to the phone: notifications are switched on and off in Your account › Notifications, and only apply to that device.
• The phone's token is deleted when you sign out, when you ask for account deletion (immediately, without waiting 30 days), when Firebase tells us it's no longer valid and after 60 days without the app checking in.
• On iPhone push notifications aren't there yet. When they come they'll also go through Apple's service, and we'll say so here.

Where the data lives, and who handles it

Storage runs on Cloudflare infrastructure: both the database (D1) and the photos (R2) are in the European EEUR region. Traffic between app and server is always encrypted (HTTPS).

Transfers to the United States rely on the safeguards of Chapter V GDPR (standard contractual clauses). Our own access to the data is limited to whoever maintains the service technically, and only for maintenance.

Your photos are not public: each image is served only with a valid session, and the server checks it belongs to a household you are part of before handing it over. Your profile photo is visible only to the people who share a household with you.

The diary also stays on your device

Zampario works offline: the diary is written in full on the device too, and syncing keeps a safe copy and brings it back elsewhere. Signing out wipes the device, photos included — the diary belongs to the account, and a device can change hands. Before signing out, the app waits until everything has been uploaded.

How long

For as long as you keep your account. If you delete it, your sessions end immediately and the data stays for 30 days: that is the window to change your mind (signing back in, you'll find the button to cancel). After that, a nightly job really deletes the account, the profile photo and the households where you were the only member, with their diary and images. Only records we are legally required to keep remain — tax documents for a purchase, for instance.

In households you share with other people the diary stays with them, because it is theirs too: you leave the household, and the entries and photos you added remain, signed "Utente cancellato" ("deleted user") instead of your name.

If within the 30 days you sign up again with the same address and confirm the code we send you, the old account is deleted immediately, in the same way. A pending sign-up you never confirm is discarded when its code expires.

If you don't confirm your email address, the account is deleted with everything in it, with no window to change your mind, by the nightly job that runs after 24 hours from sign-up. We send you an email reminder first.

Invitations are kept, with their outcome, for as long as the household exists. The log of uploaded photos is kept for as long as you have the account.

Deleting a single diary entry leaves a short-lived technical marker, needed to propagate the deletion to your other devices.

The notification token: as long as you use the app on that phone (see above). Firebase keeps a notification only until it's delivered (at most four weeks, if the phone stays off).

Your rights

You may request access, rectification, erasure, restriction, portability and object to processing, by writing to info@linchettostudio.com. Two of these need no email, because they live inside the app:

• Download your data in a readable file (the diary as JSON plus every photo), free and without limits. It is not, and will not become, a paid feature: portability is your right, not an add-on. If some photo hasn't been downloaded to the device yet, the app tells you instead of staying silent. Inside are the photos in a plain folder and the diary as JSON, the open format the law asks for so you can take it elsewhere. ⚠️ It is not a backup you can load back: Zampario cannot re-import that file. The diary's safety net is the account, which gives it back to you on any device.
• Delete your account, and with it the diary and the photos of the households where you are the only member — from Your account → Delete account. Full instructions are on the Deleting your Zampario account page.

You also have the right to lodge a complaint with your data protection authority (in Italy, the Garante per la protezione dei dati personali).

Camera, gallery and photos

Zampario asks for camera and gallery access only when you choose to add a photo (of yourself as profile picture, to the pet, a diary event, a product, a toy, a memory). Images are resized on your device before upload and stored in your own space. There is no automatic image analysis.

Product barcodes (third-party service)

When you scan a food barcode, the app queries Open Pet Food Facts (openpetfoodfacts.org), a public collaborative database, to suggest the product's name, brand and package photo. Only the barcode is sent: no data about you, none about your pet. The request leaves from your device, so that service sees your IP address like any website you visit. Offline, or when the product is unknown, you fill the form in by hand and no request is made.

Purchases

Unlocking Zampario Pro is a one-time purchase handled entirely by the Apple App Store or Google Play: we never see or store payment details. Of your purchase we keep the store (Apple or Google), the product code, the transaction identifier, the date we recorded it and the date Pro has been active on your account: they let us recognise Pro and stop the same receipt from counting for two accounts.

Security

Passwords and session tokens are stored only as encrypted, non-reversible hashes, never in plain text. Your device's token lives in the system keychain (Keychain on iOS, Keystore on Android). Resetting your password ends every session on every device. Confirmation and recovery codes expire, and after five wrong attempts they can no longer be used.

Minors

The service is not directed to children under 14 (the age of digital consent in Italy; elsewhere in the European Union it can be up to 16).

Changes

If this policy changes materially, we'll tell you in the app before the changes take effect. Every version is published at this address with its date. It will certainly happen when push notifications on iPhone arrive.

Kurz gesagt

Zampario ist das Tagebuch deines Tieres. Damit es auf mehreren Geräten funktioniert und du es beim Gerätewechsel nicht verlierst, nutzt die App ein Konto und speichert deine Daten auf einem europäischen Server. Wir verkaufen sie nicht, wir nutzen sie nicht, um ein Profil von dir zu erstellen, es gibt keine Werbung und keinerlei Tracking-Tools. Du kannst alles exportieren und dein Konto löschen, wann immer du willst – direkt in der App.

Welche Daten wir verarbeiten

Für das Konto: deine E-Mail-Adresse, der Name, den du wählst, das Profilbild (eine der Zeichnungen der App oder ein eigenes Foto), die Sprache, das Passwort (nur als verschlüsselter, nicht umkehrbarer Hash gespeichert), das Datum der Registrierung und der letzten Nutzung. Von jeder Anmeldung bleiben der verschlüsselte Hash des Tokens, die Art des Systems (ios oder android) und das Datum der Erstellung, der letzten Nutzung und des Ablaufs.

Was du ins Tagebuch schreibst: das Profil des Tieres (Name, Tierart, Rasse, Geschlecht, Geburtsdatum, Kastration/Sterilisation, Mikrochip, Notizen), das Gewicht, die Mahlzeiten und die Produkte, die du ihm gibst, Kot und Urin, Erbrechen, Symptome, Ausgänge, Impfungen, Behandlungen, Tierarztbesuche, Erkrankungen und Ernährungsvorgaben, die Kontakte der Tierärzte, die du selbst speicherst, Spielzeuge, Erinnerungen, Vermisstenmeldungen (die Nachricht, wo und wann das Tier zuletzt gesehen wurde, und die Telefonnummer, die du als Kontakt angeben möchtest) und die Fotos, die du hinzufügen möchtest. Zu jedem Eintrag wird auch gespeichert, wer ihn geschrieben hat.

Für geteilte Zuhause: der Name des Zuhauses; wer dazugehört, mit welcher Rolle („Verwaltet das Zuhause“, „Familie“ oder „Gast auf Zeit“) und seit wann; der Verlauf, wer beitritt, austritt oder die Rolle wechselt; der Einladungscode des Zuhauses, wenn die Person, die das Zuhause verwaltet, einen erstellt; und die per E-Mail verschickten Einladungen, mit der Adresse der eingeladenen Person (auch wenn sie noch kein Konto hat), wer sie eingeladen hat, der vorgeschlagenen Rolle, dem Ergebnis (offen, angenommen, abgelehnt, zurückgezogen) und dem Ablaufdatum.

Für die Bestätigung der E-Mail-Adresse und die Wiederherstellung des Passworts: der verschlüsselte Hash des sechsstelligen Codes, die Anzahl der Versuche und das Ablaufdatum (eine Stunde für die Bestätigung, 30 Minuten für die Wiederherstellung). Der Code im Klartext wird nie gespeichert.

Wenn du dich mit der Adresse eines Kontos registrierst, das gerade gelöscht wird: Die neue Registrierung wartet, bis du den Code bestätigst, den wir dir schicken; in der Zwischenzeit speichern wir die E-Mail-Adresse, den Namen, die Sprache, das Passwort als verschlüsselten Hash, den Hash des Codes, die Versuche und das Ablaufdatum.

Für die Foto-Grenzen: welche Bilder du hochgeladen hast und wann, nach der Uhr des Servers. Das dient dazu, die Grenze von 50 Bildern pro Tag einzuhalten, die für alle gilt, und die von 200 Fotos in der kostenlosen Version (Fotos zur Gesundheit zählen nicht).

Für die Synchronisierung: ein Protokoll darüber, welche Zeilen des Tagebuchs sich in welcher Reihenfolge geändert haben; es dient dazu, die Änderungen auf deine anderen Geräte zu bringen.

Für Push-Benachrichtigungen: der Code, den Firebase der App auf deinem Telefon zuweist (das „Token“), das System, die Zeitzone des Telefons, wann es registriert wurde und wann sich die App zuletzt gemeldet hat, sowie die Benachrichtigungseinstellungen, die du auf diesem Telefon gewählt hast.

Was wir nicht tun – und das ist überprüfbar

• Wir speichern deine IP-Adresse nicht. Unser Server führt kein Protokoll über die Anfragen, die er erhält. Die Infrastruktur, die den Dienst hostet (Cloudflare), verarbeitet technische Verbindungsdaten für die Netzwerksicherheit nach ihrer eigenen Datenschutzerklärung: Das geschieht unterhalb von uns, und wir haben keinen Einblick darin.
• Keine Analysedienste, keine Fehlererfassung, kein Werbe-Tracking. Die App enthält keine Bibliothek dieser Art: Von Firebase nutzen wir nur die Zustellung von Benachrichtigungen, weder Google Analytics noch Crashlytics.
• Keine Werbung und keine Profilbildung. Wir treffen keine automatisierten Entscheidungen über dich.
• Wir verkaufen deine Daten nicht und geben sie an niemanden weiter.

Eine wichtige Klarstellung

Die Daten, die du eingibst, betreffen die Gesundheit deines Tieres, nicht deine: Sie sind keine „besonderen Kategorien personenbezogener Daten“ im Sinne von Art. 9 DSGVO, der die Gesundheitsdaten natürlicher Personen schützt. Sie bleiben trotzdem deine personenbezogenen Daten, weil sie mit deinem Konto verknüpft sind, und wir behandeln sie mit derselben Sorgfalt.

Zampario ist außerdem kein medizinisches Hilfsmittel: Es stellt keine Diagnosen, interpretiert die Daten nicht und empfiehlt keine Therapien. Die Funktionen, die Futter und Symptome nebeneinanderstellen, zählen Zufälle, die bereits in deinem Tagebuch stehen, und sagen das auch auf dem Bildschirm.

Warum wir sie verarbeiten, und auf welcher Rechtsgrundlage

• Damit du die App nutzen, das Tagebuch mit den Personen deiner Zuhause teilen, es zwischen den Geräten synchronisieren und aufbewahren kannst: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• Für die Sicherheit des Dienstes und die Verhinderung von Missbrauch – zum Beispiel die Obergrenze für Versuche mit dem Wiederherstellungscode: berechtigtes Interesse (Art. 6 Abs. 1 lit. f).
• Um gesetzliche Pflichten zu erfüllen, die uns betreffen, einschließlich steuerlicher Pflichten im Zusammenhang mit einem Kauf: rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c).

Geteilte Zuhause

Das Tagebuch liegt in einem Zuhause: Bei der Registrierung entsteht eines nur für dich, und du kannst andere Personen einladen (bis zu 6 pro Zuhause), indem du ihre E-Mail-Adresse angibst oder ihnen den sechsstelligen Code gibst, den die Person erstellt, die das Zuhause verwaltet. Alle treten mit einer von drei Rollen bei: „Verwaltet das Zuhause“ (lädt Personen ein und entfernt sie, erstellt den Code, benennt das Zuhause um), „Familie“ (wer mit dem Tier lebt und das Tagebuch führt) oder „Gast auf Zeit“ (zum Beispiel wer das Tier für ein paar Tage betreut: nutzt die bereits gespeicherten Produkte und Tierärzte, ohne neue hinzuzufügen). Mit dem Code tritt man als „Familie“ bei.

• Alle Mitglieder eines Zuhauses sehen das ganze Tagebuch und alle Fotos dieses Zuhauses, einschließlich dessen, wer welchen Eintrag geschrieben hat.
• Von den anderen Mitgliedern siehst du den Namen und das Profilbild. Die E-Mail-Adresse sieht nur, wer das Zuhause verwaltet, zusammen mit den Adressen der eingeladenen Personen, die noch nicht geantwortet haben.
• Wer eine Einladung erhält, sieht den Namen der Person, die eingeladen hat. Wir verschicken keine Einladungs-E-Mails: Die Einladung erscheint in der App der Person, die sich mit dieser Adresse registriert, und erst nachdem sie die Adresse bestätigt hat; hat sie bereits ein Konto, erhält sie auch eine Push-Benachrichtigung. Einladungen laufen nach 14 Tagen ab.

Die Benachrichtigungen

Die Erinnerungen an Mahlzeiten, Behandlungen und Termine sind lokale Benachrichtigungen, die dein Gerät selbst plant: Sie laufen nicht über unsere Server.

Die Push-Benachrichtigungen dagegen sendet unser Server, wenn jemand, mit dem du ein Zuhause teilst, etwas einträgt, das dich betrifft: eine bereits gegebene Mahlzeit (vor allem, um deine Erinnerung verstummen zu lassen, damit das Tier nicht zweimal frisst), eine im Tagebuch notierte Auffälligkeit, einen vereinbarten oder verschobenen Tierarztbesuch, eine neue Behandlung, eine Vermisstenmeldung, eine Einladung in ein Zuhause oder eine Person, die einem Zuhause beitritt, das du verwaltest. Der Server sendet außerdem ein unsichtbares Signal ohne Text, das der geöffneten App sagt, das Tagebuch zu aktualisieren. Für die Zustellung nutzen wir Firebase Cloud Messaging, den Dienst von Google: Es ist der einzige Weg, ein Android-Telefon bei geschlossener App zu erreichen.

• Im Text steht nur das Nötigste zum Verständnis: der Name des Tieres, der Name der Person, die es eingetragen hat, die Art des Ereignisses (zum Beispiel „hat erbrochen“), Tag und Uhrzeit eines Besuchs, der Name einer Behandlung. Nie die Notizen, die Fotos, der Grund oder das Ergebnis eines Besuchs, die Dosierung einer Behandlung.
• Wer „Gast auf Zeit“ ist, erhält keine Gesundheitsmeldungen.
• Die Einstellungen gehören zum Telefon: Die Benachrichtigungen schaltest du unter Dein Konto › Benachrichtigungen ein und aus, und sie gelten nur für dieses Gerät.
• Das Token des Telefons wird gelöscht, wenn du dich abmeldest, wenn du die Löschung beantragst (sofort, ohne die 30 Tage abzuwarten), wenn Firebase uns mitteilt, dass es nicht mehr gültig ist, und nach 60 Tagen, in denen sich die App nicht meldet.
• Auf dem iPhone gibt es die Push-Benachrichtigungen noch nicht. Wenn sie kommen, laufen sie auch über den Dienst von Apple, und wir schreiben es hier.

Wo die Daten liegen, und wem wir sie anvertrauen

Die Speicherung erfolgt auf der Infrastruktur von Cloudflare: Die Datenbank (D1) und die Fotos (R2) liegen beide in der europäischen Region EEUR. Der Datenverkehr zwischen App und Server ist immer verschlüsselt (HTTPS).

Die Übermittlung in die Vereinigten Staaten erfolgt auf Grundlage der in Kapitel V DSGVO vorgesehenen Garantien (Standardvertragsklauseln). Unser Zugriff auf die Daten ist auf diejenigen beschränkt, die den Dienst technisch betreuen, und nur zur Wartung.

Deine Fotos sind nicht öffentlich: Jedes Bild lässt sich nur mit einer gültigen Anmeldung herunterladen, und der Server prüft, ob es zu einem Zuhause gehört, dem du angehörst, bevor er es ausliefert. Dein Profilfoto sehen nur die Personen, die mit dir ein Zuhause teilen.

Das Tagebuch bleibt auch auf deinem Gerät

Zampario funktioniert ohne Netz: Das Tagebuch ist vollständig auch auf dem Gerät gespeichert, und die Synchronisierung dient dazu, eine sichere Kopie davon aufzubewahren und es anderswo wiederzufinden. Beim Abmelden wird das Gerät geleert, Fotos eingeschlossen – denn das Tagebuch gehört zum Konto, und ein Gerät kann den Besitzer wechseln. Vor dem Abmelden wartet die App, bis alles hochgeladen ist.

Wie lange

Solange du das Konto behältst. Wenn du es löschst, enden die Anmeldungen sofort und die Daten bleiben 30 Tage erhalten: Das ist das Zeitfenster, um es dir anders zu überlegen (wenn du dich wieder anmeldest, findest du die Schaltfläche zum Abbrechen). Nach Ablauf löscht ein nächtlicher Prozess endgültig das Konto, das Profilfoto und die Zuhause, in denen du das einzige Mitglied warst, mit ihrem Tagebuch und ihren Bildern. Es bleiben nur die Unterlagen, die wir gesetzlich aufbewahren müssen, zum Beispiel die steuerlichen Unterlagen eines Kaufs.

In Zuhause, die du mit anderen Personen teilst, bleibt das Tagebuch bei ihnen, denn es ist auch ihres: Du trittst aus dem Zuhause aus, und die Einträge und Fotos, die du hinzugefügt hast, bleiben erhalten, gekennzeichnet mit „Utente cancellato“ (gelöschter Nutzer) statt mit deinem Namen.

Wenn du dich innerhalb der 30 Tage mit derselben Adresse neu registrierst und den Code bestätigst, den wir dir schicken, wird das alte Konto sofort auf dieselbe Weise gelöscht. Eine wartende Registrierung, die du nicht bestätigst, wird verworfen, wenn ihr Code abläuft.

Wenn du deine E-Mail-Adresse nicht bestätigst, wird das Konto mit allem, was es enthält, ohne Bedenkzeit gelöscht – durch den nächtlichen Prozess, der nach 24 Stunden ab der Registrierung läuft. Vorher schicken wir dir eine Erinnerung per E-Mail.

Einladungen bleiben mit ihrem Ergebnis gespeichert, solange das Zuhause besteht. Das Protokoll der hochgeladenen Fotos bleibt, solange du das Konto hast.

Wenn du einen einzelnen Eintrag im Tagebuch löschst, bleibt für kurze Zeit eine technische Markierung der Löschung bestehen, die nötig ist, um sie auf deine anderen Geräte zu übertragen.

Das Token für die Benachrichtigungen: solange du die App auf diesem Telefon nutzt (siehe oben). Firebase bewahrt eine Benachrichtigung nur auf, bis sie zugestellt ist (höchstens vier Wochen, wenn das Telefon ausgeschaltet bleibt).

Deine Rechte

Du kannst Auskunft, Berichtigung, Löschung, Einschränkung und Übertragbarkeit der Daten verlangen und der Verarbeitung widersprechen, indem du an info@linchettostudio.com schreibst. Für zwei davon musst du niemandem schreiben, denn sie sind in der App:

• Deine Daten herunterladen in einer lesbaren Datei (das Tagebuch im JSON-Format plus alle Fotos), kostenlos und ohne Einschränkungen. Das ist keine kostenpflichtige Funktion und wird nie eine sein: Die Datenübertragbarkeit ist dein Recht, kein Extra. Wenn ein Foto noch nicht auf das Gerät heruntergeladen wurde, sagt dir die App das, statt zu schweigen. Darin sind die Fotos in einem normalen Ordner und das Tagebuch in JSON, also in dem offenen Format, das das Gesetz verlangt, damit du es anderswohin mitnehmen kannst. ⚠️ Es ist kein Backup zum Wiedereinspielen: Zampario importiert diese Datei nicht wieder. Das Sicherheitsnetz des Tagebuchs ist das Konto, das es dir auf jedem Gerät zurückgibt.
• Das Konto löschen, und mit ihm das Tagebuch und die Fotos der Zuhause, in denen du das einzige Mitglied bist – unter Dein Konto → Konto löschen. Die vollständige Anleitung steht auf der Seite Das Zampario-Konto löschen.

Du hast außerdem das Recht, Beschwerde bei der italienischen Datenschutzbehörde (Garante per la protezione dei dati personali) einzulegen.

Kamera, Galerie und Fotos

Zampario fragt nur dann nach Zugriff auf Kamera und Galerie, wenn du ein Foto hinzufügen möchtest (von dir als Profilbild, zum Tier, zu einem Ereignis im Tagebuch, zu einem Produkt, zu einem Spielzeug, zu einer Erinnerung). Die Bilder werden vor dem Hochladen auf dem Gerät verkleinert und in deinem Bereich gespeichert. Es gibt keine automatische Analyse der Bilder.

Barcode der Produkte (externer Dienst)

Wenn du den Barcode eines Futters scannst, fragt die App Open Pet Food Facts (openpetfoodfacts.org) ab, eine öffentliche, gemeinschaftlich gepflegte Datenbank, um dir Name, Marke und Foto der Verpackung vorzuschlagen. Gesendet wird nur der Barcode: keine Daten über dich, keine Daten über dein Tier. Die Anfrage geht von deinem Gerät aus, daher sieht dieser Dienst deine IP-Adresse wie jede Website, die du besuchst. Wenn du offline bist oder das Produkt nicht in der Datenbank steht, füllst du das Produktblatt von Hand aus, und es wird keine Anfrage gesendet.

Käufe

Die Freischaltung von Zampario Pro ist ein einmaliger Kauf, der vollständig über den Apple App Store oder Google Play abgewickelt wird: Wir sehen und speichern keine Zahlungsdaten. Von deinem Kauf speichern wir den Store (Apple oder Google), den Produktcode, die Transaktionskennung, das Datum, an dem wir ihn erfasst haben, und das Datum, seit dem Pro auf deinem Konto aktiv ist: Damit erkennen wir Pro und verhindern, dass derselbe Beleg für zwei Konten gilt.

Sicherheit

Passwörter und Zugangstoken werden nur als verschlüsselte, nicht umkehrbare Hashes gespeichert, nie im Klartext. Das Token deines Geräts wird im Schlüsselbund des Systems aufbewahrt (Keychain unter iOS, Keystore unter Android). Das Zurücksetzen des Passworts beendet alle Anmeldungen auf allen Geräten. Die Codes zur Bestätigung und zur Wiederherstellung laufen ab und sind nach fünf Fehlversuchen nicht mehr verwendbar.

Minderjährige

Der Dienst richtet sich nicht an Kinder unter 14 Jahren (das Alter der digitalen Einwilligung in Italien; in anderen Ländern der Europäischen Union kann es bis zu 16 Jahre betragen).

Änderungen

Wenn sich diese Datenschutzerklärung wesentlich ändert, sagen wir es dir in der App, bevor die Änderungen wirksam werden. Jede Fassung wird unter dieser Adresse mit ihrem Datum veröffentlicht. Das wird sicher passieren, wenn die Push-Benachrichtigungen auf das iPhone kommen.

Diese Übersetzung dient der Verständlichkeit; bei Abweichungen gilt die italienische Fassung.

En bref

Zampario est le journal de ton animal. Pour qu’il fonctionne sur plusieurs appareils et que tu ne le perdes pas en changeant d’appareil, l’application utilise un compte et conserve tes données sur un serveur européen. Nous ne les vendons pas, nous ne les utilisons pas pour te profiler, il n’y a pas de publicité ni aucun outil de suivi. Tu peux tout exporter et supprimer ton compte quand tu veux, depuis l’application elle-même.

Quelles données nous traitons

Pour le compte : ton adresse e-mail, le nom que tu choisis, l’image de profil (un des dessins de l’application, ou une photo de toi), la langue, le mot de passe (conservé uniquement sous forme d’empreinte chiffrée et non réversible), les dates d’inscription et de dernière utilisation. De chaque connexion, nous gardons l’empreinte chiffrée du jeton, le type de système (ios ou android) et les dates de création, de dernière utilisation et d’expiration.

Ce que tu écris dans le journal : la fiche de l’animal (nom, espèce, race, sexe, date de naissance, stérilisation, puce électronique, notes), le poids, les repas et les produits que tu lui donnes, les besoins, les vomissements, les symptômes, les sorties, les vaccins, les traitements, les visites, les pathologies et les indications alimentaires, les coordonnées des vétérinaires que tu enregistres toi-même, les jouets, les souvenirs, les avis de disparition (le message, où et quand l’animal a été vu pour la dernière fois, et le numéro de téléphone que tu choisis d’indiquer), et les photos que tu choisis d’ajouter. Pour chaque entrée, nous gardons aussi qui l’a écrite.

Pour les foyers partagés : le nom du foyer ; qui en fait partie, avec quel rôle (« Gère le foyer », « De la maison » ou « Invité temporaire ») et depuis quand ; l’historique de qui entre, sort ou change de rôle ; le code d’invitation du foyer, si la personne qui gère le foyer en crée un ; et les invitations envoyées par e-mail, avec l’adresse de la personne invitée (même si elle n’a pas encore de compte), qui l’a invitée, le rôle proposé, le résultat (en attente, acceptée, refusée, retirée) et l’échéance.

Pour la confirmation de l’adresse e-mail et la récupération du mot de passe : l’empreinte chiffrée du code à six chiffres, le nombre de tentatives et l’expiration (une heure pour la confirmation, 30 minutes pour la récupération). Le code en clair n’est jamais enregistré.

Si tu t’inscris avec l’adresse d’un compte en cours de suppression : la nouvelle inscription reste en attente jusqu’à ce que tu confirmes le code que nous t’envoyons, et en attendant nous conservons l’e-mail, le nom, la langue, le mot de passe sous forme d’empreinte chiffrée, l’empreinte du code, les tentatives et l’expiration.

Pour les limites sur les photos : quelles images tu as envoyées et quand, selon l’horloge du serveur. Cela sert à faire respecter la limite de 50 images par jour, valable pour tous, et celle de 200 photos de la version gratuite (les photos liées à la santé ne comptent pas).

Pour la synchronisation : un registre indiquant quelles lignes du journal ont changé et dans quel ordre, qui sert à apporter les modifications sur tes autres appareils.

Pour les notifications push : le code que Firebase attribue à l’application sur ton téléphone (le « jeton »), le système, le fuseau horaire du téléphone, la date d’enregistrement et la dernière fois que l’application s’est manifestée, ainsi que les préférences de notification que tu as choisies sur ce téléphone.

Ce que nous ne faisons pas, et c’est vérifiable

• Nous n’enregistrons pas ton adresse IP. Notre serveur ne tient aucun journal des requêtes qu’il reçoit. L’infrastructure qui héberge le service (Cloudflare) traite les données techniques de connexion pour la sécurité du réseau, selon sa propre politique de confidentialité : cela se passe en dessous de nous et nous n’en avons aucune visibilité.
• Aucun outil d’analyse, aucun détecteur d’erreurs, aucun suivi publicitaire. L’application n’inclut aucune bibliothèque de ce type : de Firebase, nous n’utilisons que l’acheminement des notifications, ni Google Analytics ni Crashlytics.
• Aucune publicité et aucun profilage. Nous ne prenons aucune décision automatisée à ton sujet.
• Nous ne vendons ni ne cédons tes données à personne.

Une précision qui compte

Les données que tu saisis concernent la santé de ton animal, pas la tienne : ce ne sont pas des « catégories particulières de données à caractère personnel » au sens de l’article 9 du RGPD, qui protège les données de santé des personnes physiques. Elles restent toutefois tes données personnelles, parce qu’elles sont liées à ton compte, et nous les traitons avec le même soin.

Zampario, par ailleurs, n’est pas un outil médical : il ne formule pas de diagnostic, n’interprète pas les données et ne conseille pas de traitement. Les fonctions qui rapprochent alimentation et symptômes comptent des coïncidences déjà écrites dans ton journal, et le disent à l’écran.

Pourquoi nous les traitons, et sur quelle base légale

• Pour te permettre d’utiliser l’application, de partager le journal avec les personnes de tes foyers, de le synchroniser entre les appareils et de le conserver : exécution du contrat (art. 6, par. 1, point b) du RGPD).
• Pour la sécurité du service et la prévention des abus — par exemple la limite du nombre de tentatives sur le code de récupération : intérêt légitime (art. 6, par. 1, point f)).
• Pour respecter les obligations légales qui nous incombent, y compris les obligations fiscales liées à un achat : obligation légale (art. 6, par. 1, point c)).

Les foyers partagés

Le journal se trouve dans un foyer : à l’inscription, il en naît un rien qu’à toi, et tu peux inviter d’autres personnes (jusqu’à 6 par foyer) en indiquant leur adresse e-mail, ou en leur donnant le code de six caractères que crée la personne qui gère le foyer. Chacun entre avec l’un des trois rôles : « Gère le foyer » (invite et retire des personnes, crée le code, renomme le foyer), « De la maison » (qui vit avec l’animal et tient le journal) ou « Invité temporaire » (par exemple quelqu’un qui garde l’animal pendant quelques jours : il utilise les produits et les vétérinaires déjà enregistrés, sans en ajouter). Avec le code, on entre comme « De la maison ».

• Tous les membres d’un foyer voient tout le journal et toutes les photos de ce foyer, y compris qui a écrit chaque entrée.
• Des autres membres, tu vois le nom et l’image de profil. L’adresse e-mail n’est visible que pour la personne qui gère le foyer, avec les adresses des personnes invitées qui n’ont pas encore répondu.
• La personne qui reçoit une invitation voit le nom de celle qui l’a invitée. Nous n’envoyons pas d’e-mail d’invitation : l’invitation apparaît dans l’application de la personne qui s’inscrit avec cette adresse, et seulement après qu’elle l’a confirmée ; si elle a déjà un compte, elle reçoit aussi une notification push. Les invitations expirent au bout de 14 jours.

Les notifications

Les rappels des repas, des traitements et des échéances sont des notifications locales, programmées par ton appareil : elles ne passent pas par nos serveurs.

Les notifications push, en revanche, sont envoyées par notre serveur quand quelqu’un avec qui tu partages un foyer enregistre quelque chose qui te concerne : un repas déjà donné (ce qui sert surtout à faire taire ton rappel, pour que l’animal ne mange pas deux fois), une anomalie notée dans le journal, une visite fixée ou déplacée, un nouveau traitement, un avis de disparition, une invitation dans un foyer ou une personne qui rejoint un foyer que tu gères. Le serveur envoie aussi un signal sans texte, invisible, pour dire à l’application ouverte de mettre à jour le journal. Pour les acheminer, nous utilisons Firebase Cloud Messaging, le service de Google : c’est le seul moyen d’atteindre un téléphone Android quand l’application est fermée.

• Le texte contient le minimum pour comprendre : le nom de l’animal, le nom de la personne qui l’a fait, le type d’événement (par exemple « a vomi »), le jour et l’heure d’une visite, le nom d’un traitement. Jamais les notes, les photos, le motif ou le résultat d’une visite, la posologie d’un traitement.
• Un « Invité temporaire » ne reçoit pas les alertes de santé.
• Les choix appartiennent au téléphone : les notifications s’activent et se désactivent dans Ton compte › Notifications, et ne valent que pour cet appareil.
• Le jeton du téléphone est supprimé quand tu te déconnectes de ton compte, quand tu demandes la suppression (immédiatement, sans attendre les 30 jours), quand Firebase nous indique qu’il n’est plus valide et après 60 jours sans que l’application se manifeste.
• Sur iPhone, les notifications push ne sont pas encore disponibles. Quand elles arriveront, elles passeront aussi par le service d’Apple, et nous l’écrirons ici.

Où se trouvent les données, et à qui nous les confions

Le stockage se fait sur l’infrastructure de Cloudflare : la base de données (D1) et les photos (R2) se trouvent toutes deux dans la région européenne EEUR. Le trafic entre l’application et le serveur est toujours chiffré (HTTPS).

Le transfert vers les États-Unis repose sur les garanties prévues au chapitre V du RGPD (clauses contractuelles types). Notre propre accès aux données est limité à la personne qui gère techniquement le service, et uniquement pour la maintenance.

Tes photos ne sont pas publiques : chaque image ne se télécharge qu’avec une connexion valide, et le serveur vérifie qu’elle appartient à un foyer dont tu fais partie avant de la fournir. Ta photo de profil n’est visible que par les personnes qui partagent un foyer avec toi.

Le journal reste aussi sur ton appareil

Zampario fonctionne sans réseau : le journal est enregistré intégralement aussi sur l’appareil, et la synchronisation sert à en garder une copie en sécurité et à le retrouver ailleurs. En te déconnectant de ton compte, l’appareil est vidé, photos comprises — parce que le journal appartient au compte et qu’un appareil peut changer de mains. Avant la déconnexion, l’application attend que tout ait été envoyé.

Pendant combien de temps

Tant que tu gardes ton compte. Si tu le supprimes, les connexions sont coupées immédiatement et les données restent 30 jours : c’est le délai pour changer d’avis (en te reconnectant, tu trouves le bouton pour annuler). À l’échéance, un processus nocturne supprime définitivement le compte, la photo de profil et les foyers dont tu étais le seul membre, avec leur journal et leurs images. Seuls restent les documents que nous sommes tenus de conserver par la loi, par exemple les documents fiscaux d’un achat.

Dans les foyers que tu partages avec d’autres personnes, le journal leur reste, parce qu’il est aussi le leur : tu quittes le foyer, et les entrées et les photos que tu avais ajoutées restent, signées « Utente cancellato » (utilisateur supprimé) à la place de ton nom.

Si, pendant les 30 jours, tu t’inscris de nouveau avec la même adresse et confirmes le code que nous t’envoyons, l’ancien compte est supprimé immédiatement, de la même manière. Une inscription en attente que tu ne confirmes pas est abandonnée quand son code expire.

Si tu ne confirmes pas ton adresse e-mail, le compte est supprimé avec tout ce qu’il contient, sans délai pour changer d’avis, par le processus nocturne qui passe après 24 heures depuis l’inscription. Nous t’envoyons d’abord un rappel par e-mail.

Les invitations restent, avec leur résultat, tant que le foyer existe. Le registre des photos envoyées reste tant que tu as le compte.

Si tu supprimes une seule entrée du journal, une trace technique de la suppression reste pendant une courte période, nécessaire pour la propager à tes autres appareils.

Le jeton des notifications : tant que tu utilises l’application sur ce téléphone (voir ci-dessus). Firebase ne garde une notification que jusqu’à sa remise (au maximum quatre semaines, si le téléphone reste éteint).

Tes droits

Tu peux demander l’accès, la rectification, l’effacement, la limitation, la portabilité des données et t’opposer au traitement, en écrivant à info@linchettostudio.com. Deux d’entre eux ne nécessitent d’écrire à personne, car ils se trouvent dans l’application :

• Télécharger tes données dans un fichier lisible (le journal au format JSON plus toutes les photos), gratuitement et sans limite. Ce n’est pas et ce ne sera jamais une fonction payante : la portabilité est ton droit, pas un supplément. Si certaines photos n’ont pas encore été téléchargées sur l’appareil, l’application te le dit au lieu de se taire. À l’intérieur, il y a les photos dans un dossier normal et le journal en JSON, c’est-à-dire dans le format ouvert que la loi exige pour que tu puisses l’emporter ailleurs. ⚠️ Ce n’est pas une sauvegarde à recharger : Zampario ne réimporte pas ce fichier. Le filet de sécurité du journal, c’est le compte, qui te le rend sur n’importe quel appareil.
• Supprimer le compte, et avec lui le journal et les photos des foyers dont tu es le seul membre — depuis Ton compte → Supprimer le compte. Les instructions complètes se trouvent sur la page Supprimer le compte Zampario.

Tu as aussi le droit d’introduire une réclamation auprès de l’autorité italienne de protection des données (Garante per la protezione dei dati personali).

Appareil photo, galerie et photos

Zampario demande l’accès à l’appareil photo et à la galerie uniquement quand tu choisis d’ajouter une photo (de toi comme image de profil, à l’animal, à un événement du journal, à un produit, à un jouet, à un souvenir). Les images sont réduites sur l’appareil avant l’envoi et conservées dans ton espace. Il n’y a aucune analyse automatique des images.

Code-barres des produits (service externe)

Quand tu scannes le code-barres d’un aliment, l’application interroge Open Pet Food Facts (openpetfoodfacts.org), une base de données publique et collaborative, pour te proposer le nom, la marque et la photo de l’emballage. Seul le code-barres est envoyé : aucune donnée sur toi, aucune donnée sur ton animal. La requête part de ton appareil, donc ce service voit ton adresse IP comme n’importe quel site que tu visites. Si tu es hors ligne ou si le produit n’est pas dans la base, tu remplis la fiche à la main et aucune requête n’est envoyée.

Achats

Le déblocage de Zampario Pro est un achat unique géré entièrement par l’App Store d’Apple ou Google Play : nous ne voyons ni ne conservons les données de paiement. De ton achat, nous gardons le store (Apple ou Google), le code du produit, l’identifiant de la transaction, la date à laquelle nous l’avons enregistré et la date depuis laquelle le Pro est actif sur ton compte : cela nous permet de reconnaître le Pro et d’empêcher que le même reçu vaille pour deux comptes.

Sécurité

Les mots de passe et les jetons d’accès sont conservés uniquement sous forme d’empreintes chiffrées et non réversibles, jamais en clair. Le jeton de ton appareil est gardé dans le trousseau du système (Keychain sur iOS, Keystore sur Android). Réinitialiser le mot de passe coupe toutes les connexions, sur tous les appareils. Les codes de confirmation et de récupération expirent, et après cinq tentatives erronées ils ne sont plus utilisables.

Mineurs

Le service ne s’adresse pas aux mineurs de moins de 14 ans (l’âge du consentement numérique en Italie ; dans d’autres pays de l’Union européenne, il peut aller jusqu’à 16 ans).

Modifications

Si cette politique change de manière substantielle, nous te le dirons dans l’application avant que les modifications prennent effet. Chaque version est publiée à cette adresse avec sa date. Cela arrivera certainement quand les notifications push arriveront sur iPhone.

Cette traduction est fournie pour faciliter la lecture ; en cas de divergence, la version italienne fait foi.

En resumen

Zampario es el diario de tu animal. Para que funcione en varios dispositivos y no lo pierdas cuando cambias de uno, la aplicación usa una cuenta y guarda tus datos en un servidor europeo. No los vendemos, no los usamos para crear un perfil tuyo, no hay publicidad y no hay ninguna herramienta de seguimiento. Puedes exportarlo todo y borrar la cuenta cuando quieras, desde la propia aplicación.

Qué datos tratamos

Para la cuenta: tu dirección de correo electrónico, el nombre que eliges, la imagen de perfil (uno de los dibujos de la aplicación, o una foto tuya), el idioma, la contraseña (guardada solo como huella cifrada y no reversible), las fechas de registro y de último uso. De cada acceso quedan la huella cifrada del token, el tipo de sistema (ios o android) y las fechas de creación, último uso y caducidad.

Lo que escribes en el diario: la ficha del animal (nombre, especie, raza, sexo, fecha de nacimiento, esterilización, microchip, notas), el peso, las comidas y los productos que le das, las deposiciones, los vómitos, los síntomas, los paseos, las vacunas, los tratamientos, las visitas, las patologías y las indicaciones alimentarias, los contactos de los veterinarios que guardas tú, los juguetes, los recuerdos, los avisos de pérdida (el mensaje, dónde y cuándo se vio al animal por última vez y el teléfono de contacto que decides mostrar) y las fotos que decides añadir. De cada entrada también queda quién la escribió.

Para los hogares compartidos: el nombre del hogar; quién forma parte de él, con qué rol («Gestiona el hogar», «En casa» o «Invitado temporal») y desde cuándo; el historial de quién entra, sale o cambia de rol; el código de invitación del hogar, si quien gestiona el hogar crea uno; y las invitaciones enviadas por correo, con la dirección de la persona invitada (aunque todavía no tenga cuenta), quién la invitó, el rol propuesto, el resultado (pendiente, aceptada, rechazada, retirada) y la caducidad.

Para la confirmación de la dirección de correo y la recuperación de la contraseña: la huella cifrada del código de seis cifras, el número de intentos y la caducidad (una hora para la confirmación, 30 minutos para la recuperación). El código en claro nunca se guarda.

Si te registras con la dirección de una cuenta que se está borrando: el nuevo registro queda en espera hasta que confirmes el código que te enviamos, y mientras tanto guardamos el correo, el nombre, el idioma, la contraseña como huella cifrada, la huella del código, los intentos y la caducidad.

Para los límites de fotos: qué imágenes has subido y cuándo, según el reloj del servidor. Sirve para hacer cumplir el límite de 50 imágenes al día, que vale para todos, y el de 200 fotos de la versión gratuita (las fotos de salud no cuentan).

Para la sincronización: un registro de qué filas del diario han cambiado y en qué orden, que sirve para llevar los cambios a tus otros dispositivos.

Para las notificaciones push: el código que Firebase asigna a la aplicación en tu teléfono (el «token»), el sistema, la zona horaria del teléfono, cuándo se registró y la última vez que la aplicación dio señales de vida, y las preferencias de notificación que has elegido en ese teléfono.

Lo que no hacemos, y es verificable

• No registramos tu dirección IP. Nuestro servidor no lleva ningún registro de las peticiones que recibe. La infraestructura que aloja el servicio (Cloudflare) trata los datos técnicos de conexión para la seguridad de la red, según su propia política de privacidad: es algo que ocurre por debajo de nosotros y sobre lo que no tenemos visibilidad.
• Ninguna analítica, ningún detector de errores, ningún seguimiento publicitario. La aplicación no incluye ninguna biblioteca de este tipo: de Firebase solo usamos la entrega de notificaciones, ni Google Analytics ni Crashlytics.
• Ninguna publicidad y ninguna elaboración de perfiles. No tomamos decisiones automatizadas sobre ti.
• No vendemos ni cedemos tus datos a nadie.

Una aclaración importante

Los datos que introduces se refieren a la salud de tu animal, no a la tuya: no son «categorías especiales de datos personales» en el sentido del artículo 9 del RGPD, que protege los datos de salud de las personas físicas. Aun así, siguen siendo datos personales tuyos, porque están vinculados a tu cuenta, y los tratamos con el mismo cuidado.

Además, Zampario no es una herramienta médica: no formula diagnósticos, no interpreta los datos y no aconseja tratamientos. Las funciones que relacionan comida y síntomas cuentan coincidencias ya escritas en tu diario, y lo dicen en pantalla.

Por qué los tratamos, y con qué base jurídica

• Para que puedas usar la aplicación, compartir el diario con las personas de tus hogares, sincronizarlo entre los dispositivos y conservarlo: ejecución del contrato (art. 6.1.b RGPD).
• Para la seguridad del servicio y la prevención de abusos — por ejemplo, el límite de intentos con el código de recuperación: interés legítimo (art. 6.1.f).
• Para cumplir las obligaciones legales que nos afectan, incluidas las fiscales vinculadas a una compra: obligación legal (art. 6.1.c).

Los hogares compartidos

El diario está en un hogar: al registrarte nace uno solo para ti, y puedes invitar a otras personas (hasta 6 por hogar) indicando su dirección de correo, o dándoles el código de seis caracteres que crea quien gestiona el hogar. Cada uno entra con uno de tres roles: «Gestiona el hogar» (invita y quita a las personas, crea el código, cambia el nombre del hogar), «En casa» (quien vive con el animal y lleva el diario) o «Invitado temporal» (por ejemplo, quien cuida del animal unos días: usa los productos y los veterinarios ya guardados, sin añadir otros). Con el código se entra como «En casa».

• Todos los miembros de un hogar ven todo el diario y todas las fotos de ese hogar, incluido quién escribió cada entrada.
• De los demás miembros ves el nombre y la imagen de perfil. La dirección de correo solo la ve quien gestiona el hogar, junto con las direcciones de las personas invitadas que aún no han respondido.
• Quien recibe una invitación ve el nombre de quien la envió. No enviamos correos de invitación: la invitación aparece en la aplicación de quien se registra con esa dirección, y solo después de haberla confirmado; si ya tiene cuenta, también le llega una notificación push. Las invitaciones caducan a los 14 días.

Las notificaciones

Los recordatorios de las comidas, de los tratamientos y de los vencimientos son notificaciones locales, programadas por tu dispositivo: no pasan por nuestros servidores.

Las notificaciones push, en cambio, las envía nuestro servidor cuando alguien con quien compartes un hogar registra algo que te afecta: una comida ya dada (que sirve sobre todo para silenciar tu recordatorio, para que el animal no coma dos veces), una anomalía anotada en el diario, una visita fijada o cambiada, un tratamiento nuevo, un aviso de pérdida, una invitación a un hogar o una persona que entra en un hogar que gestionas. El servidor también envía una señal sin texto, que no se ve, para decirle a la aplicación abierta que actualice el diario. Para entregarlas usamos Firebase Cloud Messaging, el servicio de Google: es la única forma de llegar a un teléfono Android con la aplicación cerrada.

• En el texto va lo mínimo para entenderlo: el nombre del animal, el nombre de quien lo ha hecho, el tipo de cosa (por ejemplo «ha vomitado»), el día y la hora de una visita, el nombre de un tratamiento. Nunca las notas, las fotos, el motivo o el resultado de una visita, la dosis de un tratamiento.
• Quien es «Invitado temporal» no recibe los avisos sobre la salud.
• Las elecciones son del teléfono: las notificaciones se activan y desactivan en Tu cuenta › Notificaciones, y solo valen para ese dispositivo.
• El token del teléfono se borra cuando cierras la sesión de la cuenta, cuando pides el borrado (al instante, sin esperar los 30 días), cuando Firebase nos dice que ya no es válido y tras 60 días en los que la aplicación no da señales de vida.
• En iPhone todavía no hay notificaciones push. Cuando lleguen, pasarán también por el servicio de Apple, y lo escribiremos aquí.

Dónde están los datos, y a quién los confiamos

El almacenamiento se hace en la infraestructura de Cloudflare: la base de datos (D1) y las fotos (R2) están ambas en la región europea EEUR. El tráfico entre la aplicación y el servidor siempre va cifrado (HTTPS).

Hacia Estados Unidos la transferencia se realiza con las garantías previstas en el capítulo V del RGPD (cláusulas contractuales tipo). Nuestro acceso a los datos se limita a quien gestiona técnicamente el servicio, y solo para el mantenimiento.

Tus fotos no son públicas: cada imagen solo se descarga con un acceso válido, y el servidor comprueba que pertenece a un hogar del que formas parte antes de entregarla. Tu foto de perfil solo la ven las personas que comparten un hogar contigo.

El diario también se queda en tu dispositivo

Zampario funciona sin conexión: el diario está guardado entero también en el dispositivo, y la sincronización sirve para tener una copia a salvo y para recuperarlo en otro sitio. Al cerrar la sesión de la cuenta, el dispositivo se vacía, fotos incluidas — porque el diario pertenece a la cuenta y un dispositivo puede cambiar de manos. Antes de cerrar la sesión, la aplicación espera a que todo se haya subido.

Durante cuánto tiempo

Mientras mantengas la cuenta. Si la borras, los accesos se cierran al instante y los datos se quedan 30 días: es el plazo para pensártelo mejor (al volver a entrar encuentras el botón para cancelar). Al vencer el plazo, un proceso nocturno borra definitivamente la cuenta, la foto de perfil y los hogares en los que eras el único miembro, con su diario y sus imágenes. Solo quedan los documentos que la ley nos obliga a conservar, por ejemplo los fiscales de una compra.

En los hogares que compartes con otras personas, el diario se queda con ellas, porque también es suyo: tú sales del hogar, y las entradas y las fotos que habías añadido se quedan, firmadas «Utente cancellato» (usuario borrado) en lugar de con tu nombre.

Si durante los 30 días vuelves a registrarte con la misma dirección y confirmas el código que te enviamos, la cuenta antigua se borra al instante, de la misma forma. Un registro en espera que no confirmas se descarta cuando su código caduca.

Si no confirmas tu dirección de correo, la cuenta se borra con todo lo que contiene, sin plazo para pensártelo, mediante el proceso nocturno que pasa tras 24 horas desde el registro. Antes te enviamos un recordatorio por correo.

Las invitaciones se conservan, con su resultado, mientras exista el hogar. El registro de las fotos subidas se conserva mientras tengas la cuenta.

Si borras una sola entrada del diario, durante un breve periodo queda una marca técnica del borrado, necesaria para propagarlo a tus otros dispositivos.

El token de las notificaciones: mientras uses la aplicación en ese teléfono (ver arriba). Firebase guarda una notificación solo hasta que la entrega (como máximo cuatro semanas, si el teléfono sigue apagado).

Tus derechos

Puedes solicitar el acceso, la rectificación, la supresión, la limitación y la portabilidad de los datos y oponerte al tratamiento, escribiendo a info@linchettostudio.com. Dos de ellos no requieren escribir a nadie, porque están dentro de la aplicación:

• Descargar tus datos en un archivo legible (el diario en formato JSON más todas las fotos), gratis y sin límites. No es ni será una función de pago: la portabilidad es un derecho tuyo, no un extra. Si alguna foto todavía no se ha descargado en el dispositivo, la aplicación te lo dice en lugar de callárselo. Dentro están las fotos en una carpeta normal y el diario en JSON, es decir, en el formato abierto que exige la ley para que puedas llevártelo a otro sitio. ⚠️ No es una copia de seguridad para volver a cargar: Zampario no vuelve a importar ese archivo. La red de seguridad del diario es la cuenta, que te lo devuelve en cualquier dispositivo.
• Borrar la cuenta, y con ella el diario y las fotos de los hogares en los que eres el único miembro — desde Tu cuenta → Borrar la cuenta. Las instrucciones completas están en la página Borrar la cuenta de Zampario.

También tienes derecho a presentar una reclamación ante la autoridad italiana de protección de datos (Garante per la protezione dei dati personali).

Cámara, galería y fotos

Zampario pide acceso a la cámara y a la galería solo cuando decides añadir una foto (tuya como imagen de perfil, al animal, a un evento del diario, a un producto, a un juguete, a un recuerdo). Las imágenes se reducen de tamaño en el dispositivo antes de enviarse y se guardan en tu espacio. No hay ningún análisis automático de las imágenes.

Código de barras de los productos (servicio externo)

Cuando escaneas el código de barras de un alimento, la aplicación consulta Open Pet Food Facts (openpetfoodfacts.org), una base de datos pública y colaborativa, para proponerte el nombre, la marca y la foto del envase. Se envía solo el código de barras: ningún dato tuyo, ningún dato sobre tu animal. La petición sale de tu dispositivo, así que ese servicio ve tu dirección IP como cualquier sitio web que visitas. Si no tienes conexión o el producto no está en la base de datos, rellenas la ficha a mano y no se envía ninguna petición.

Compras

El desbloqueo de Zampario Pro es una compra única gestionada por completo por Apple App Store o Google Play: no vemos ni guardamos los datos de pago. De tu compra guardamos la tienda (Apple o Google), el código del producto, el identificador de la transacción, la fecha en que la registramos y la fecha desde la que el Pro está activo en tu cuenta: sirven para reconocer el Pro y para impedir que el mismo recibo valga para dos cuentas.

Seguridad

Las contraseñas y los tokens de acceso se guardan solo como huellas cifradas y no reversibles, nunca en claro. El token de tu dispositivo se custodia en el llavero del sistema (Keychain en iOS, Keystore en Android). Restablecer la contraseña cierra todos los accesos, en todos los dispositivos. Los códigos de confirmación y de recuperación caducan y, tras cinco intentos fallidos, ya no se pueden usar.

Menores

El servicio no está dirigido a menores de 14 años (la edad del consentimiento digital en Italia; en otros países de la Unión Europea puede llegar a 16).

Cambios

Si esta política cambia de forma sustancial, te lo diremos en la aplicación antes de que los cambios surtan efecto. Cada versión se publica en esta dirección con su fecha. Ocurrirá con seguridad cuando lleguen las notificaciones push a iPhone.

Esta traducción se ofrece para facilitar la lectura; en caso de discrepancia, prevalece la versión italiana.