Privacy Policy di Spicci

1. Titolare del Trattamento

Il Titolare del trattamento dei dati è:

2. Dati Raccolti e Modalità di Raccolta

Raccogliamo esclusivamente le informazioni strettamente necessarie all'erogazione dei servizi della piattaforma:

• Dati di Registrazione e Autenticazione:
  • Registrazione diretta: Indirizzo email. La password viene gestita ed elaborata in modo sicuro tramite il fornitore d'identità decentralizzato Supabase Auth. Vision Lab non ha accesso, non memorizza e non visualizza mai la tua password in chiaro.
  • Accesso tramite Google (OAuth): Se scegli di accedere tramite il tuo account Google, raccogliamo l'indirizzo email e l'identificatore univoco fornito dal provider.
• Dati Finanziari e Patrimoniali:
  • Inserimento Manuale: Transazioni di spesa, investimenti (acquisti, vendite, dividendi, commissioni), beni materiali e preferenze di budget inseriti direttamente dall'utente.
  • Sincronizzazione Bancaria (Opzionale): Qualora l'utente decida di collegare i propri conti bancari, i dati sui saldi e sulle transazioni storiche verranno importati in modalità di sola lettura tramite un fornitore terzo autorizzato e regolamentato ai sensi della direttiva europea PSD2 (un soggetto AISP, ossia abilitato dall'autorità di vigilanza ad accedere alle informazioni sui conti). La connessione avviene tramite i canali ufficiali e protetti della banca: SPICCI non vede né conserva mai le credenziali di accesso al conto, e l'accesso è in sola lettura. Questo collegamento è facoltativo e può essere revocato in qualsiasi momento.
• Dati Tecnici e di Navigazione:
  • Indirizzi IP e log di sistema memorizzati temporaneamente al solo scopo di garantire la sicurezza dell'infrastruttura (es. prevenzione di attacchi informatici o tentativi di brute-force) e per la diagnostica di rete.
  • Dati tecnici di diagnostica (ad esempio il tipo di errore riscontrato, la pagina in cui si è verificato e informazioni generiche su browser o dispositivo) raccolti tramite uno strumento professionale di monitoraggio degli errori, al solo scopo di individuare e correggere i malfunzionamenti della piattaforma e migliorarne l'affidabilità. Questi dati non includono le informazioni finanziarie o patrimoniali dell'utente e sono elaborati su server situati nell'Unione Europea.
• Dati di Utilizzo dell'Applicazione:
  • Per capire quali funzioni sono utili e dove l'interfaccia mette in difficoltà, raccogliamo informazioni sull'uso della piattaforma: quali sezioni vengono aperte, quali funzioni utilizzate, l'esito delle operazioni (ad esempio se l'importazione di un file è andata a buon fine o per quale motivo non è stato possibile leggerlo) e informazioni generiche su dispositivo, browser e paese. Sono compresi dati tecnici sull'interazione con l'interfaccia — le sezioni attraversate, i comandi premuti, lo scorrimento — che permettono di ricostruire il percorso compiuto quando qualcosa non funziona.
  • Gli importi non escono mai dal tuo dispositivo. Ogni cifra viene riconosciuta e coperta prima che il dato parta dal browser, e questo vale per tutte le informazioni raccolte a questo scopo. Non viene inoltre mai registrato nulla di ciò che digiti nei campi.
  • Non sei identificato per nome o email. Allo strumento di misurazione arriva soltanto un codice pseudonimo, generato con una chiave che resta sui nostri server: senza quella chiave, dal codice non è possibile risalire alla persona. I dati sono elaborati su server situati nell'Unione Europea.
• Dati di Fatturazione e Pagamento (Opzionali/Futuri):
  • Nel caso di attivazione di abbonamenti o piani a pagamento, potremmo raccogliere dati di fatturazione e dettagli sul metodo di pagamento. Tali transazioni saranno gestite in modo sicuro tramite fornitori di servizi di pagamento terzi certificati (es. Stripe) conformi agli standard PCI-DSS. Vision Lab non memorizzerà mai i dati completi della tua carta di credito sui propri server.

3. Finalità del Trattamento

I dati personali e finanziari sono trattati esclusivamente per:

1. Fornire l'accesso a hub.spicci.app e garantirne il funzionamento tecnico.
2. Calcolare metriche finanziarie (NAV, ROI, plusvalenze/minusvalenze tramite cassetto fiscale FIFO, shadow portfolio rispetto al benchmark) e generare grafici interattivi personalizzati.
3. Consentire l'importazione e la categorizzazione dei movimenti finanziari.
4. Migliorare il prodotto: capire in forma pseudonima quali funzioni vengono usate e dove si verificano difficoltà o errori, per correggerli.

4. Localizzazione dei Dati, Sicurezza e Conservazione

• Data Residency (UE): Tutti i dati personali e finanziari sono ospitati ed elaborati esclusivamente su infrastrutture cloud localizzate all'interno dell'Unione Europea (database Supabase/AWS in Irlanda e server applicativi in Europa su Fly.io).
• Isolamento Logico (RLS): I dati degli utenti sono isolati a livello logico sul database PostgreSQL tramite politiche di Row Level Security (RLS), garantendo che ogni utente possa leggere o scrivere solo i propri dati.
• Sicurezza delle Trasmissioni: Tutte le connessioni tra il browser dell'utente, i server dell'applicazione e il database sono protette da crittografia HTTPS (TLS).
• Cancellazione Automatica e Diritto all'Oblio: L'utente può esercitare in qualsiasi momento il diritto di cancellazione totale ed irreversibile di tutti i propri dati personali e finanziari. La piattaforma mette a disposizione un'apposita funzionalità automatica all'interno delle impostazioni dell'account che consente all'utente di avviare in autonomia e con effetto immediato l'eliminazione definitiva di ogni dato memorizzato nei database attivi sul backend. I dati residui nei sistemi di backup saranno cancellati definitivamente entro i tempi tecnici standard di rotazione (massimo 30 giorni).
• Esportabilità dei Dati (No Lock-in): La piattaforma garantisce il pieno diritto alla portabilità dei dati. Tramite l'apposito pulsante di esportazione integrato nell'interfaccia, l'utente può scaricare autonomamente in qualsiasi momento un archivio completo delle proprie transazioni, investimenti e beni in formato standard CSV, senza necessità di alcuna richiesta o intervento manuale.

5. Cookie e Strumenti di Misurazione

Non ti seguiamo fuori da Spicci, e non vendiamo la tua attenzione a nessuno:

• Nessun cookie di profilazione o tracciamento pubblicitario di terze parti (es. Google Analytics, Pixel Meta) è installato sul sito.
• Per misurare l'uso della piattaforma e migliorarla utilizziamo PostHog, che salva nel browser un identificativo tecnico (non un cookie) e conserva i dati su server nell'Unione Europea. Non serve a profilarti, non ti segue su altri siti e non viene condiviso a scopo pubblicitario.
• Vengono inoltre utilizzati cookie o token tecnici per gestire la sessione di autenticazione dell'utente (localStorage per il token JWT).

6. Condivisione dei Dati con Terze Parti

I dati dell'utente non vengono diffusi o comunicati a terzi, salvo che per fornitori di servizi infrastrutturali cloud, di monitoraggio tecnico o gestori di pagamento vincolati come Responsabili del Trattamento (Supabase Inc. per il database/auth, Fly.io Inc. per l'hosting del backend, Functional Software Inc. — Sentry — per il monitoraggio tecnico degli errori con dati elaborati su server nell'Unione Europea, PostHog Inc. per la misurazione dell'utilizzo della piattaforma, anch'essa con dati elaborati su server nell'Unione Europea, ed eventuali gateway di pagamento terzi per la fatturazione dei servizi Premium) o in caso di obblighi di legge. Si tratta di fornitori enterprise standard di settore, selezionati per garantire elevati livelli di sicurezza e la conformità al GDPR.

7. Diritti dell'Utente (GDPR)

In conformità al Regolamento UE 2016/679 (GDPR), l'utente può esercitare in qualsiasi momento i diritti di accesso, rettifica, cancellazione (oblio), limitazione, portabilità e opposizione scrivendo all'indirizzo email: privacy@spicci.app.