Privacy Policy · TOCCU

Ultimo aggiornamento: 11 settembre 2026

Informativa e ambito

Questa informativa descrive come TOCCU tratta i dati personali quando visiti toccu.app, usi l’app, crei un account o interagisci con eventi, persone, artisti, gruppi e locali. Puoi esplorare gli eventi pubblici anche senza account; le funzioni personali e sociali richiedono invece l’accesso.

Per ogni trattamento indichiamo dati, finalità, base giuridica, destinatari e criterio di conservazione. Non vendiamo dati personali e non li usiamo per pubblicità comportamentale.

Account e accesso

Per creare e gestire l’account trattiamo l’indirizzo email, l’identificativo utente assegnato da Supabase, lo stato di verifica dell’email, le informazioni di sessione e, se lo inserisci, il nome con cui vuoi comparire. Servono per autenticarti, mantenere la sessione, proteggere l’account e fornirti le funzioni richieste. La base giuridica è l’esecuzione del rapporto con l’utente; sicurezza e prevenzione degli abusi si fondano anche sul legittimo interesse di TOCCU a proteggere il servizio e le persone che lo usano.

I dati dell’account restano per la durata dell’account. Le sessioni terminano alla disconnessione, alla scadenza o alla revoca. Dopo la richiesta di eliminazione, i dati vengono rimossi secondo il flusso descritto nella sezione “Cancellazione, conservazione e diritti”, salvo quanto debba essere conservato per obblighi di legge o per gestire contestazioni e abusi.

Accesso con Google

Se scegli “Accedi con Google”, Google autentica il tuo account e comunica a TOCCU, nei limiti dei soli scope openid, userinfo.email e userinfo.profile, l’identificativo del tuo account Google, nome, indirizzo email, immagine profilo o avatar e i metadati tecnici necessari a verificare l’autenticazione.

TOCCU usa questi dati esclusivamente per creare o riconoscere il tuo account e proteggere la sessione. Nome e avatar ricevuti restano nei metadati dell’identità gestita da Supabase e non diventano automaticamente contenuti del profilo pubblico TOCCU: il profilo pubblico usa le informazioni che scegli o confermi nell’app. Google riceve la richiesta di autenticazione e applica la propria informativa; TOCCU non riceve la password Google e non richiede accesso a email, contatti, Drive o altri servizi Google.

La base giuridica è l’esecuzione del rapporto con l’utente che sceglie questo metodo di accesso. I dati restano finché l’account TOCCU è attivo e vengono eliminati con l’account, fatti salvi gli eventuali obblighi di conservazione applicabili.

Profilo e contenuti pubblicati

Trattiamo le informazioni che aggiungi al profilo personale o professionale, come nome visualizzato, username, biografia, avatar, città o area dichiarata, collegamenti pubblici e informazioni su artisti, gruppi, organizzatori o locali che gestisci. Trattiamo inoltre eventi, aggiornamenti, Momenti, immagini, locandine, commenti descrittivi, link e altri contenuti che scegli di pubblicare.

Questi dati servono a creare il profilo, pubblicare e organizzare i contenuti, attribuirli al relativo autore o gestore e renderli visibili secondo le impostazioni e lo stato di pubblicazione. La base giuridica è l’esecuzione del servizio richiesto dall’utente. Moderazione, tutela della comunità e difesa da usi illeciti si fondano anche sul legittimo interesse di TOCCU e, quando necessario, sull’adempimento di obblighi di legge.

I contenuti restano finché li elimini, finché l’account è attivo o finché vengono rimossi per moderazione. Gli eventi pubblicati possono restare come informazione pubblica dopo la cancellazione dell’account, ma vengono scollegati dal profilo eliminato. Materiali soggetti a segnalazione possono essere conservati per il tempo necessario a esaminare la segnalazione, applicare i provvedimenti e tutelare diritti in sede di contestazione.

Eventi e interazioni sociali

Quando usi le funzioni sociali registriamo gli eventi salvati o pubblicati, le indicazioni “Ci sarò”, la relativa visibilità, i check-in, i follow verso persone, artisti o locali, i like e le altre interazioni disponibili nel prodotto. Conserviamo identificativi tecnici, riferimenti al contenuto o evento e data dell’azione.

Questi dati servono a mostrare le tue scelte, personalizzare l’esperienza, produrre conteggi e attività della community e applicare le preferenze di visibilità. La base giuridica è l’esecuzione delle funzioni richieste. I dati restano finché annulli l’interazione, elimini il relativo contenuto o cancelli l’account; le visualizzazioni ad altri utenti rispettano le impostazioni di visibilità e i blocchi.

Posizione e check-in

La posizione è opzionale e viene richiesta solo quando attivi una funzione che ne ha bisogno: la scoperta di eventi vicini o la verifica “Sono qui” presso un evento. Non effettuiamo rilevamento in background, non creiamo una cronologia degli spostamenti e non mostriamo la tua posizione ad altre persone.

Per la discovery, le coordinate servono a ordinare o filtrare gli eventi in base alla distanza. Per il check-in, vengono inviate alla funzione server, confrontate con la posizione del luogo e scartate dopo la verifica: nel database resta il fatto che hai effettuato il check-in, insieme agli identificativi di account ed evento e al momento dell’azione, ma non le coordinate da cui lo hai effettuato.

Il trattamento avviene su tua richiesta e, quando il sistema operativo lo richiede, con il consenso espresso tramite il permesso di localizzazione. Puoi negare o revocare il permesso dalle impostazioni del dispositivo o del browser; in tal caso restano disponibili le funzioni che non richiedono la posizione. Le coordinate sono conservate solo per il tempo tecnico della richiesta; il record del check-in resta finché lo rimuovi o elimini l’account.

Notifiche

Se abiliti le notifiche, trattiamo le preferenze, gli eventi che le generano e, per le notifiche push, l’endpoint o token tecnico del dispositivo e le informazioni strettamente necessarie alla consegna. Le usiamo per avvisarti di attività e aggiornamenti richiesti o pertinenti alle funzioni che utilizzi.

La base giuridica è il consenso per le notifiche push e l’esecuzione del servizio per le notifiche interne collegate alle tue azioni. Puoi modificare le preferenze o revocare il permesso in ogni momento. Endpoint non più validi vengono rimossi; preferenze e notifiche associate all’account vengono eliminate con l’account.

Moderazione, segnalazioni e blocchi

Quando segnali un contenuto o un account trattiamo il tuo identificativo, il contenuto segnalato, la motivazione, le informazioni necessarie all’istruttoria e l’esito della moderazione. I blocchi registrano gli identificativi degli account coinvolti e impediscono le interazioni in entrambe le direzioni.

Questi trattamenti servono a far rispettare le regole della community, prevenire molestie, spam, impersonificazione e contenuti illeciti, gestire contestazioni e proteggere utenti e servizio. Le basi giuridiche sono l’esecuzione delle regole accettate usando TOCCU, il legittimo interesse alla sicurezza della community e gli eventuali obblighi di legge. I dati restano per il tempo necessario a gestire il caso, prevenire recidive e difendere diritti; i blocchi restano finché li rimuovi o cancelli l’account.

Sicurezza, log e Sentry

Produciamo log tecnici e di sicurezza per diagnosticare errori, mantenere il servizio disponibile, verificare operazioni amministrative e prevenire abusi. Possono includere identificativi tecnici, momento dell’operazione, componente coinvolto, esito e informazioni sul dispositivo o browser strettamente necessarie alla diagnosi. Non devono contenere password, token, messaggi privati, coordinate precise o payload personali non necessari.

Sul web usiamo Sentry per ricevere errori inattesi. L’integrazione è configurata per non inviare dati personali per impostazione predefinita, rimuovere email, indirizzo IP, richieste e contenuti dei breadcrumb e associare, quando necessario, soltanto l’identificativo tecnico dell’utente. La base giuridica è il legittimo interesse di TOCCU a garantire sicurezza, affidabilità e correzione dei malfunzionamenti.

I log e gli eventi di errore sono conservati per il periodo necessario a diagnosticare il problema, prevenire recidive e tutelare il servizio, entro i limiti configurati presso i fornitori; vengono poi cancellati o aggregati. I controlli automatici di disponibilità registrano lo stato tecnico del servizio e non richiedono dati dell’account.

Fornitori e destinatari

Supabase fornisce autenticazione, database, funzioni server e archiviazione dei media; Vercel distribuisce il sito web; Sentry riceve gli errori tecnici minimizzati descritti sopra; Google gestisce l’autenticazione quando scegli Google OAuth; MET Norway fornisce le previsioni meteo associate agli eventi e riceve richieste tecniche relative alle località degli eventi, non la posizione personale dell’utente.

OpenAI è usata esclusivamente in elaborazioni server-side per estrarre o strutturare informazioni da locandine e fonti di eventi. I materiali elaborati possono includere testo e immagini di eventi e relativi metadati, non conversazioni private degli utenti. Il risultato non viene pubblicato automaticamente senza i controlli previsti dal flusso di ingestion.

I fornitori trattano dati secondo i rispettivi accordi e istruzioni, nei limiti necessari a erogare il servizio. Le indicazioni stradali si aprono nel servizio di mappe scelto dall’utente, che da quel momento tratta i dati secondo la propria informativa. I dati possono inoltre essere comunicati ad autorità o consulenti quando richiesto dalla legge o necessario per accertare, esercitare o difendere un diritto.

Trasferimenti fuori dallo Spazio economico europeo

Alcuni fornitori possono trattare dati in Paesi esterni allo Spazio economico europeo. In questi casi TOCCU utilizza i meccanismi previsti dal GDPR applicabili al fornitore e al trasferimento, come decisioni di adeguatezza, clausole contrattuali standard approvate dalla Commissione europea e misure supplementari quando necessarie. Puoi chiedere informazioni sulle garanzie applicabili usando il contatto del titolare.

Cookie e memoria locale

TOCCU non usa cookie pubblicitari, di profilazione o analytics di prodotto. Se accedi, il browser o l’app conserva localmente le informazioni di sessione strettamente necessarie a mantenerti collegato e proteggere il flusso di autenticazione. Questi dati vengono rimossi o resi inutilizzabili con la disconnessione, la revoca o la scadenza della sessione.

Cancellazione, conservazione e diritti

Puoi consultare e correggere i dati dall’app ed esportare una copia in formato JSON. Puoi eliminare l’account da Impostazioni → Elimina account oppure dalla pagina elimina-account, confermando l’operazione. Il flusso rimuove profilo, avatar e media personali, Momenti, partecipazioni e check-in, follow, like, preferenze e notifiche, blocchi, identità collegate e sessioni. Gli eventi che hai pubblicato possono restare online come informazione pubblica, ma senza un profilo titolare collegato.

Quando una cancellazione immediata non è possibile per obblighi di legge, prevenzione delle frodi o tutela in caso di contestazione, i soli dati necessari vengono isolati dall’uso ordinario e conservati per il periodo imposto dalla legge o necessario alla difesa del diritto. Attualmente le funzioni di pagamento al pubblico non sono attive; prima di una loro attivazione questa informativa sarà aggiornata con i trattamenti e i termini di conservazione economico-contabili applicabili.

Puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità e opposizione nei casi previsti dal GDPR, revocare un consenso senza pregiudicare il trattamento precedente e proporre reclamo al Garante per la protezione dei dati personali. Per esercitare i diritti usa il contatto del titolare indicato in fondo alla pagina.

Minori

TOCCU non è destinato a creare account per minori di 16 anni. Se veniamo a conoscenza di un account creato in violazione di questo requisito, possiamo sospenderlo e cancellare i relativi dati, fatti salvi gli adempimenti necessari a tutelare il minore e rispettare la legge.

Aggiornamenti dell’informativa

Aggiorneremo questa informativa quando cambieranno i trattamenti, i fornitori o le funzioni rilevanti. La data in apertura identifica la versione corrente; per modifiche sostanziali useremo anche i canali disponibili nell’app.

Titolare del trattamento

Pierre Dei Lazzaretti

privacy@toccu.app