Informativa privacy

Aggiornato il 26 ottobre 2026

Bozza in attesa di revisione legale. Questo testo descrive fedelmente come funziona Allay oggi, ma non è un parere legale.

In breve

• Il Vault non arriva mai a noi. Quello che scrivi nel Vault resta sul tuo dispositivo, cifrato. Non possiamo leggerlo, recuperarlo o consegnarlo a nessuno.
• Il Garden è anonimo e temporaneo. I post scadono e vengono cancellati definitivamente; non chiediamo nome, email o telefono.
• Niente pubblicità, niente profilazione, niente vendita di dati, nessuno strumento di analisi.

Titolare del trattamento

Draft Apps — email: privacy@draftapps.it.

Quali dati trattiamo e perché

Vault (sul tuo dispositivo)

Testi, risposte alle domande guidate, date di revisione ed esiti vengono salvati solo nel tuo browser (IndexedDB), cifrati con AES-256-GCM. La chiave resta sul dispositivo; se imposti un codice, la chiave è a sua volta protetta dal codice. Noi non riceviamo questi dati.

Se usi il trasferimento con QR code, il contenuto viene cifrato sul tuo dispositivo con una chiave casuale che si trova solo nel QR code: transita sui nostri server in forma illeggibile, per al massimo 10 minuti, e viene eliminato appena l’altro dispositivo lo riceve. Il file di backup è cifrato con la password che scegli e non passa dai nostri server.

Identità anonima del dispositivo

Al primo utilizzo il tuo dispositivo genera un codice casuale, salvato localmente e in un cookie tecnico (allay_author). Serve a riconoscere i tuoi post e le tue risposte senza account. Sul server conserviamo solo un’impronta crittografica (HMAC) di questo codice, non il codice stesso.

Garden

Quando pubblichi un post o una risposta conserviamo: il testo, l’area, la lingua, la data, la scadenza, l’impronta dell’identità anonima e un’impronta crittografica dell’indirizzo IP (non l’IP). Le impronte servono a limitare abusi e spam, gestire segnalazioni ed eventuali blocchi temporanei.

• I post scadono dopo il periodo scelto (massimo 14 giorni) e vengono cancellati definitivamente insieme a risposte, “anch’io” e segnalazioni.
• Puoi eliminare in qualsiasi momento i tuoi post e le tue risposte.
• I contenuti pubblicati sono visibili a chiunque visiti il Garden ma non sono indicizzati dai motori di ricerca e non vengono mai usati per comunicazione, marketing o addestramento di modelli.

Pubblicando nel Garden scegli di rendere pubblico, in forma anonima, quello che scrivi: ti chiediamo di non inserire dati che possano identificare te o altre persone. Un filtro automatico blocca email, numeri di telefono e link.

Messaggi al team

Se scrivi al team, conserviamo il testo dei messaggi, la lingua, le date e l’impronta dell’identità anonima, per poterti rispondere. Le conversazioni vengono cancellate 90 giorni dopo l’ultimo messaggio. Puoi includere informazioni sulla tua salute solo se lo desideri: inviando il messaggio acconsenti al loro trattamento per rispondere alla tua richiesta.

Contenuti che richiedono attenzione

Se un testo pubblicato nel Garden o inviato al team contiene segnali di possibile rischio per la tua sicurezza, viene messo in evidenza nella console di moderazione. Il team può ricevere una notifica che non contiene il testo. Nel Vault questo controllo avviene solo sul tuo dispositivo e serve unicamente a mostrarti contatti di aiuto.

Promemoria

Se attivi una notifica, conserviamo l’indirizzo tecnico di notifica fornito dal tuo browser, l’orario del promemoria e il collegamento alla nota (senza alcun contenuto). I dati vengono cancellati 7 giorni dopo l’invio. Le notifiche passano dai servizi push del tuo browser (es. Google, Apple, Mozilla) in forma cifrata.

Cookie

Usiamo solo cookie tecnici, necessari al funzionamento:

• allay_author — identità anonima del dispositivo (2 anni);
• allay_lang — lingua scelta (1 anno);
• allay_admin — solo per lo staff, sessione di accesso alla console.

Non usiamo cookie di profilazione né strumenti di analisi; per questo non mostriamo un banner dei cookie.

Basi giuridiche

• Esecuzione del servizio da te richiesto (art. 6.1.b GDPR) per Garden, messaggi e promemoria.
• Legittimo interesse (art. 6.1.f) per la sicurezza del servizio e la prevenzione degli abusi tramite impronte crittografiche.
• Per eventuali dati relativi alla salute: dati resi manifestamente pubblici da te nel Garden (art. 9.2.e) e consenso esplicito per i messaggi al team (art. 9.2.a).

Dove sono i dati

Il servizio è ospitato su server nell’Unione Europea. Non trasferiamo dati fuori dall’UE, salvo i messaggi di notifica cifrati gestiti dai servizi push dei browser.

I tuoi diritti

Hai diritto di accesso, rettifica, cancellazione, limitazione, opposizione e di reclamo al Garante per la protezione dei dati personali. Poiché non raccogliamo dati identificativi, il modo più rapido per esercitarli è usare gli strumenti dell’app (eliminare post, risposte e il Vault). Per tutto il resto scrivi a privacy@draftapps.it.

Età minima

Allay è riservato a persone che hanno compiuto 18 anni.

Modifiche

Se cambiamo questa informativa aggiorneremo la data in alto. Le modifiche importanti saranno segnalate nell’app.