Informativa sulla privacy

Questa informativa descrive come TargaSystem Srl tratta i dati personali quando utilizzi l'app TargaGram per Android e iOS e i relativi servizi di messaggistica, autenticazione, chiamata, notifica e assistenza.

1. Ambito di applicazione

L'informativa si applica all'applicazione TargaGram, identificata su Android dal nome pacchetto com.targagram.targasystem e su iOS dal bundle identifier it.targasystem.targagram, nonché ai servizi TargaGram collegati.

Non disciplina siti, app o servizi di terzi aperti volontariamente tramite collegamenti esterni. Tali soggetti trattano i dati secondo le proprie informative.

2. Dati personali trattati

I dati effettivamente trattati dipendono dalle funzionalità utilizzate e dalle autorizzazioni concesse sul dispositivo.

Categoria	Dati ed esempi	Finalità
Account e profilo	Username, identificativo Matrix (MXID), nome visualizzato, e-mail istituzionale verificata, ente o dominio di appartenenza, avatar e impostazioni del profilo.	Registrazione, autenticazione, gestione dell'account e riconoscimento degli utenti.
Credenziali e sicurezza	Password trattata mediante sistemi di autenticazione sicuri e non conservata in chiaro, token di sessione, identificativi dei dispositivi Matrix, chiavi pubbliche e informazioni necessarie al recupero e alla verifica delle sessioni.	Accesso, mantenimento della sessione, cifratura e prevenzione degli accessi non autorizzati.
Comunicazioni	Messaggi, file, immagini, reazioni, risposte, stanze, partecipanti, ricevute di lettura, stato di consegna, data e ora degli eventi.	Invio, sincronizzazione e visualizzazione delle comunicazioni scelte dall'utente.
Contenuti facoltativi	Fotografie, video, audio, documenti e posizione condivisi volontariamente dall'utente.	Consentire l'invio del contenuto o l'uso della funzione richiesta.
Chiamate	Identificativi della stanza e della chiamata, partecipanti, orari, durata, indirizzo IP e dati tecnici WebRTC. I flussi audio e video sono trasmessi durante la chiamata e non sono registrati da TargaGram salvo avviso esplicito.	Stabilire e mantenere chiamate audio e video e diagnosticarne la qualità.
Dispositivo e rete	Indirizzo IP, tipo di dispositivo, sistema operativo, lingua, versione dell'app, identificatori di installazione o sessione, informazioni di connessione e token di notifica push.	Compatibilità, sicurezza, sincronizzazione, notifiche e risoluzione dei problemi.
Assistenza e diagnostica	Descrizione inviata dall'utente, dati di contatto scelti, versione dell'app, user agent, identificativo Matrix, identificativo del dispositivo, log, screenshot e allegati selezionati nella segnalazione.	Gestire richieste di assistenza e correggere malfunzionamenti. L'invio è volontario.
Utilizzo e arresti anomali	Eventi di utilizzo dell'app, schermate o funzioni usate, versione, piattaforma, identificatore pseudonimo, dati tecnici di errore, stack trace e informazioni sul dispositivo. Non sono inclusi intenzionalmente il testo dei messaggi o gli allegati.	Statistiche aggregate e diagnostica tramite PostHog e Sentry, soltanto quando il relativo trattamento è attivo nelle impostazioni dell'app e, ove richiesto, autorizzato dall'utente.
Registrazione e recupero	E-mail, username, nickname, informazioni sull'invito, data e stato delle comunicazioni transazionali. I codici temporanei sono limitati nel tempo.	Verificare l'e-mail, completare la registrazione, recuperare l'accesso e inviare conferme di servizio.

TargaGram non utilizza identificatori pubblicitari, non crea profili commerciali e non raccoglie la posizione precisa in background. La posizione viene trattata soltanto quando l'utente sceglie di condividerla o usa una funzione che la richiede in modo evidente.

3. Permessi del dispositivo

L'app può richiedere, solo quando necessario, i seguenti permessi:

Fotocamera e libreria multimediale: per acquisire o allegare immagini e video;
Microfono: per messaggi vocali e chiamate;
Notifiche: per avvisare della ricezione di nuovi eventi;
Posizione: per condividere volontariamente una posizione;
File e documenti: per selezionare o salvare allegati.

I permessi possono essere revocati dalle impostazioni del sistema operativo. La revoca può rendere indisponibile la funzione collegata, ma non impedisce l'uso delle altre funzioni dell'app.

4. Finalità e basi giuridiche

Esecuzione del servizio o del contratto (art. 6, par. 1, lett. b GDPR): creare e gestire l'account, autenticare l'utente, consegnare messaggi e allegati, effettuare chiamate e sincronizzare i dispositivi.
Legittimo interesse (art. 6, par. 1, lett. f GDPR): proteggere utenti e infrastruttura, prevenire abusi e frodi, mantenere la continuità del servizio e analizzare errori tecnici nel rispetto dei diritti dell'utente.
Obbligo legale (art. 6, par. 1, lett. c GDPR): adempiere a richieste vincolanti delle autorità e agli obblighi previsti dalla legge.
Consenso (art. 6, par. 1, lett. a GDPR), quando richiesto: utilizzare permessi facoltativi, inviare diagnostica volontaria o attivare eventuali funzioni opzionali. Il consenso può essere revocato per il futuro.

5. Cifratura e misure di sicurezza

Le conversazioni protette utilizzano la cifratura end-to-end del protocollo Matrix (Olm/Megolm). Il contenuto cifrato può essere letto dai dispositivi autorizzati dei partecipanti e dai servizi automatizzati espressamente presenti nella stanza, come il bot TargaSystem. Il server conserva e trasmette il contenuto in forma cifrata.

La cifratura end-to-end non nasconde necessariamente tutti i metadati. Per far funzionare il servizio possono essere trattati identificativi di utenti, dispositivi e stanze, appartenenze, destinatari, orari, dimensioni degli eventi, indirizzi IP e informazioni di consegna.

TargaSystem adotta collegamenti TLS, controllo degli accessi, separazione dei servizi, backup, registrazione degli eventi di sicurezza e aggiornamenti tecnici. Nessun sistema è immune da rischi; l'utente deve proteggere password, PIN, dispositivi e chiavi di recupero.

6. Destinatari e condivisione dei dati

I dati non sono venduti né concessi a terzi per pubblicità. Possono essere comunicati, nella misura necessaria, alle seguenti categorie di destinatari:

utenti destinatari delle comunicazioni e amministratori delle stanze scelte dall'utente;
fornitori di hosting, connettività, backup e manutenzione che supportano l'infrastruttura per conto di TargaSystem;
Google Firebase Cloud Messaging per le notifiche Android e Apple Push Notification service per le notifiche iOS, quando abilitate. Sono inviati token e dati tecnici necessari al risveglio dell'app; il testo dei messaggi cifrati non viene inviato nel payload push;
PostHog e Sentry, quando analytics e diagnostica risultano attivi, per statistiche di utilizzo, stabilità e analisi degli errori; questi servizi non devono essere utilizzati per trasmettere il contenuto delle conversazioni;
fornitori di posta elettronica per e-mail di verifica, registrazione, recupero, conferma e assistenza;
infrastruttura LiveKit/WebRTC e servizi TURN/STUN per stabilire chiamate audio e video;
servizi Matrix federati, soltanto se la federazione è abilitata e l'utente partecipa a stanze con utenti di altri server;
consulenti e autorità competenti, quando necessario per tutelare diritti, accertare abusi o adempiere a un obbligo di legge.

Alcune funzioni possono aprire servizi esterni, ad esempio una mappa nel browser. Il collegamento viene attivato dall'utente e il servizio esterno può ricevere l'indirizzo IP e i normali dati di navigazione secondo la propria informativa.

8. Conservazione, cancellazione e account

Account e profilo: sono conservati per la durata dell'account e successivamente per il tempo necessario a completare la cancellazione, gestire contestazioni o adempiere a obblighi di legge.
Messaggi e allegati: restano disponibili secondo la cronologia e le regole della stanza finché vengono eliminati, redatti o rimossi nell'ambito della cancellazione dell'account. Copie cifrate possono permanere temporaneamente nei dispositivi dei destinatari e nei backup tecnici.
Metadati e log di sicurezza: sono conservati per periodi limitati e proporzionati alle esigenze di sicurezza, diagnostica, prevenzione degli abusi e continuità operativa.
Token push: sono conservati finché il dispositivo o la funzione di notifica risultano attivi e vengono rimossi quando revocati, sostituiti o dichiarati non validi.
Segnalazioni di assistenza: sono conservate per il tempo necessario a gestire il problema e documentarne la soluzione.
Inviti e codici temporanei: gli inviti incompleti scadono normalmente entro 24 ore; i codici di verifica scadono normalmente entro 10 minuti.

Come richiedere la cancellazione dell'account e dei dati

L'utente può chiedere in qualsiasi momento la disattivazione o cancellazione dell'account e dei dati associati scrivendo a info@targasystem.it dall'indirizzo collegato all'account, indicando lo username TargaGram. TargaSystem può chiedere informazioni aggiuntive strettamente necessarie a verificare l'identità del richiedente.

La richiesta viene gestita senza ingiustificato ritardo e comunque entro i termini previsti dal GDPR. Alcuni dati possono essere conservati più a lungo quando la legge lo richiede o quando sono necessari per accertare, esercitare o difendere un diritto. I messaggi già consegnati ad altri partecipanti possono restare sui loro dispositivi o nelle loro copie, salvo le funzioni di eliminazione tecnicamente disponibili.

9. Diritti dell'interessato

Nei casi previsti dagli articoli 15-22 GDPR, l'utente può chiedere di:

ottenere conferma del trattamento e accedere ai propri dati;
rettificare dati inesatti o incompleti;
cancellare i dati personali;
limitare il trattamento;
ricevere i dati in formato strutturato e trasmetterli a un altro titolare;
opporsi ai trattamenti fondati sul legittimo interesse;
revocare il consenso per il futuro;
non essere sottoposto a decisioni esclusivamente automatizzate che producano effetti giuridici significativi. TargaGram non adotta tali decisioni per l'erogazione ordinaria del servizio.

Le richieste possono essere inviate a info@targasystem.it. È inoltre possibile proporre reclamo al Garante per la protezione dei dati personali o all'autorità di controllo competente nello Stato membro di residenza.