Informativa sulla privacy

1. Chi è il titolare del trattamento e come contattarci

• Titolare del trattamento: Falafy, progetto indipendente gestito da Erick Torres. [DA COMPILARE A CURA DEL RESPONSABILE: nome completo o ragione sociale, CPF/CNPJ (numero di identificazione fiscale brasiliano) e indirizzo postale del titolare del trattamento]
• Responsabile della protezione dei dati (DPO, in portoghese "encarregado"): [DA COMPILARE A CURA DEL RESPONSABILE: nome del responsabile e e-mail dedicata, per esempio privacidade@falafy.com.br]. Finché l’e-mail non sarà pubblicata, le richieste sui dati personali si possono fare tramite il contatto "Suporte Falafy" dentro l’app.
• Autorità: se non sei soddisfatto della risposta, puoi presentare reclamo all’Autoridade Nacional de Proteção de Dados (ANPD), l’autorità nazionale brasiliana per la protezione dei dati.

2. Quali dati trattiamo

Dati che fornisci tu

• Registrazione: e-mail, nome utente, nome visualizzato, password e data di nascita. La password è conservata solo come hash argon2, mai in chiaro. La data di nascita serve ad applicare l’età minima e le protezioni per i minori di 18 anni (sezione 9); non compare nel profilo e non può essere modificata dall’app dopo la registrazione.
• Accettazione dei termini: la versione dei Termini di utilizzo e di questa informativa che hai accettato e la data dell’accettazione.
• Segnalazioni: quando segnali un messaggio o una persona, conserviamo il motivo, i dettagli che hai scritto e una copia del testo del messaggio segnalato.
• Profilo (facoltativo): foto, bio, pronomi, colori, cornice, stato personalizzato, link del profilo, fuso orario e orario di lavoro, se scegli di compilarli.
• Contenuti: messaggi di testo, messaggi vocali, allegati (immagini, video e file), reazioni, sondaggi, eventi, note, storie e i server, i canali e i ruoli che crei.
• Relazioni: elenco amici, richieste di amicizia, blocchi e partecipazione a server e conversazioni.

Dati generati dall’uso

• Sessioni: nome del dispositivo, data di creazione, ultimo utilizzo e scadenza di ogni sessione, perché tu possa vedere e chiudere dove sei connesso.
• Sicurezza dell’account: segreto della verifica in due passaggi (cifrato con AES-256-GCM), codici di backup (solo l’hash) e contatori dei tentativi.
• Indirizzo IP: usato al momento, in memoria, per limitare i tentativi di accesso e l’eccesso di richieste (protezione dagli abusi). Alla registrazione conserviamo anche un hash con salt dell’IP, usato per evitare frodi nel programma di inviti. Inoltre conserviamo i registri di accesso richiesti dal Marco Civil da Internet (la legge brasiliana sul quadro civile di internet) (IP, porta, data e ora di ogni accesso, rinnovo di sessione e connessione dell’app), per 6 mesi; vedi la sezione 6.
• Presenza e attività: lo stato (online, assente ecc.) resta in memoria mentre sei connesso. "In gioco X" si attiva solo se attivi l’opzione e non viene salvato in un database.
• Notifiche push: se consenti le notifiche nel browser, conserviamo l’indirizzo tecnico dell’iscrizione (endpoint e chiavi) fornito dal tuo browser.
• Preferenze: impostazioni di notifica, privacy, aspetto e layout.

Cosa non raccogliamo

• Non usiamo strumenti di analytics, pixel pubblicitari né tracker nel sito o nell’app.
• Non vendiamo dati e non mostriamo pubblicità.
• Non registriamo le chiamate vocali o video né le condivisioni dello schermo sul server. Le clip, quando attivi la funzione, restano solo sul tuo computer.
• La soppressione del rumore gira sul tuo dispositivo; l’audio non va a un servizio esterno.
• Non chiediamo telefono, rubrica né documenti.

3. Per quali scopi usiamo i dati e con quale base giuridica

4. Con chi condividiamo i dati

Non vendiamo né affittiamo i dati. Alcuni servizi di terze parti partecipano al funzionamento:

• Hosting: server su Oracle Cloud, regione di San Paolo (Brasile), dove si trovano il database e i file caricati.
• Notifiche push: il servizio push del tuo browser (per esempio Google, Mozilla, Apple o Microsoft) riceve la notifica cifrata per consegnarla al tuo dispositivo. Puoi nascondere il contenuto delle notifiche per ogni dispositivo.
• GIF: le ricerche e le immagini GIF passano da un proxy di Falafy; il fornitore (KLIPY) vede il termine cercato e il server di Falafy, non il tuo IP né il tuo account.
• Anteprime dei link: quando un messaggio contiene un link, il server di Falafy recupera la pagina per creare l’anteprima; il sito visitato vede il server di Falafy, non te. Puoi disattivare le anteprime.
• Guarda insieme (YouTube): il video viene riprodotto nel player di YouTube (youtube-nocookie.com), caricato direttamente sul tuo dispositivo; Google riceve il tuo IP e i dati tecnici del player, secondo la propria informativa.
• Font del sito: le pagine di falafy.com.br caricano font da Google Fonts, il che espone il tuo IP a Google.
• Altri utenti: ciò che pubblichi in server e conversazioni è visibile a chi vi partecipa, secondo i permessi.
• Autorità: su ordine giudiziario o richiesta legale valida.

Alcuni di questi servizi (push, YouTube, Google Fonts) possono trattare dati fuori dal Brasile. Questo trasferimento internazionale avviene per eseguire il servizio che hai richiesto, ai sensi dell’art. 33 della LGPD.

5. Per quanto tempo conserviamo i dati

• Account e profilo: finché l’account esiste.
• Eliminazione dell’account: quando elimini l’account, cancelliamo e-mail, profilo, foto, amicizie, partecipazione ai server, sessioni, 2FA, iscrizioni push, note, storie, badge, preferiti e preferenze. Per impostazione predefinita, i messaggi che hai inviato in server e conversazioni restano lì per non spezzare la cronologia degli altri partecipanti, ma compaiono come di "Utente rimosso". Nella schermata di eliminazione puoi selezionare "Elimina anche tutti i messaggi che ho inviato" perché vengano cancellati insieme all’account; gli allegati di quei messaggi vengono rimossi dal server entro 24 ore.
• Registri di accesso (Marco Civil): 6 mesi, anche dopo l’eliminazione dell’account (lo richiede la legge), e poi cancellati automaticamente.
• Segnalazioni: [DA COMPILARE A CURA DEL RESPONSABILE: periodo di conservazione delle segnalazioni, per esempio finché serve per la moderazione e fino a 5 anni per la difesa in giudizio]
• Messaggi e allegati: finché non li cancelli, finché il server o il canale non viene eliminato o finché la moderazione non li rimuove.
• Storie: 24 ore.
• Sessioni: fino a 30 giorni senza utilizzo o finché non le chiudi.
• File di esportazione dei dati: disponibile per il download per 24 ore.
• Log tecnici del server: solo errori e avvisi, senza registrazione di ogni richiesta, conservati per il tempo necessario alla diagnostica.

6. Registri di accesso (Marco Civil da Internet)

L’art. 15 del Marco Civil da Internet (Lei 12.965/2014, il quadro normativo civile di internet) obbliga i fornitori di applicazioni organizzati come persona giuridica con finalità economiche a conservare i registri di accesso (data, ora e IP) per 6 mesi, in modo riservato e in un ambiente sicuro. Falafy conserva già questi registri. [DA COMPILARE A CURA DEL RESPONSABILE: confermare con una consulenza legale l’inquadramento del progetto nell’art. 15]

• Cosa conserviamo: l’indirizzo IP e la porta di origine, la data e l’ora (con fuso orario, in UTC) e l’account e la sessione di ogni accesso, rinnovo di sessione e connessione dell’app al server. Non registriamo ogni messaggio o pagina aperta.
• Per quanto tempo: 6 mesi. Una routine giornaliera cancella automaticamente i registri più vecchi. Le autorità possono chiedere, con ordine giudiziario, che un registro specifico venga conservato più a lungo (art. 15, § 2).
• Sicurezza e riservatezza: l’IP è cifrato (AES-256-GCM) nel database, non compare in nessuna schermata dell’app né nell’API e può essere letto sul server solo dal responsabile, con ogni consultazione registrata (Decreto 8.771/2016, art. 13).
• Quando li consegniamo: solo su ordine giudiziario o richiesta di un’autorità con competenza legale per esigere questi dati (artt. 10 e 22 del Marco Civil).

7. I tuoi diritti

Ai sensi dell’art. 18 della LGPD (Lei 13.709/2018, la legge generale brasiliana sulla protezione dei dati), puoi chiedere: conferma che trattiamo i tuoi dati; accesso; correzione; anonimizzazione, blocco o cancellazione dei dati non necessari o trattati in modo non conforme; portabilità; cancellazione dei dati trattati con il consenso; informazioni su con chi li condividiamo; informazioni sulla possibilità di non dare il consenso; e revoca del consenso. Puoi anche opporti ai trattamenti basati sul legittimo interesse.

• Direttamente nell’app: in Impostazioni modifichi il profilo; in Impostazioni > Privacy e sicurezza esporti una copia dei tuoi dati (file ZIP con profilo, messaggi che hai inviato, amicizie, server, sessioni, accettazione dei termini e segnalazioni fatte, fino a 3 richieste al giorno), chiudi le sessioni, disattivi notifiche, anteprime dei link e "In gioco X", ed elimini l’account (con l’opzione di cancellare anche i messaggi).
• Altre richieste: tramite il contatto del responsabile indicato sopra o tramite "Suporte Falafy" nell’app. Rispondiamo entro 15 giorni.

8. Sicurezza

Usiamo la crittografia di trasporto (HTTPS/TLS) nel sito, nell’app, nell’API e nelle chiamate; password con argon2; verifica in due passaggi facoltativa; e controllo delle sessioni. La crittografia end-to-end dei messaggi è ancora in sviluppo: oggi i messaggi restano sul server di Falafy senza questo tipo di crittografia. Nessun sistema è infallibile; in caso di incidente di sicurezza con rischio rilevante, avviseremo le persone coinvolte e l’ANPD, come richiede la LGPD. Maggiori dettagli in Sicurezza e privacy.

9. Bambini e adolescenti

Falafy non è rivolto ai bambini. Per creare un account servono almeno 13 anni. [DA COMPILARE A CURA DEL RESPONSABILE: confermare l’età minima con una consulenza legale; se cambia, adeguare anche MIN_SIGNUP_AGE sul server]

• Come verifichiamo oggi: la registrazione chiede la data di nascita senza dire prima qual è l’età minima; una risposta inferiore interrompe la registrazione e blocca nuovi tentativi su quel dispositivo e su quella rete per 24 ore; la data non può essere modificata dall’app in seguito; e chiunque può segnalare un account che sembra appartenere a una persona sotto l’età minima, che viene analizzato dal team. [DA COMPILARE A CURA DEL RESPONSABILE: l’ECA Digital (Lei 15.211/2025) richiede meccanismi affidabili di verifica dell’età e la sola autodichiarazione non basta; descrivere qui il meccanismo aggiuntivo adottato dopo una valutazione legale e tecnica]
• Protezioni per i minori di 18 anni: l’account parte già con messaggi diretti solo dagli amici, richieste di amicizia solo da amici di amici, bio, statistiche, attività e ora locale visibili solo agli amici, immagini e video di chi non è amico sempre sfocati (anche nei server) e il profilo escluso dalla ricerca per nome utente da parte di sconosciuti. Non è possibile aprire messaggi diretti o richieste di amicizia a chiunque. Falafy non mostra pubblicità né fa profilazione a fini pubblicitari di nessuno.
• Genitori e tutori: [DA COMPILARE A CURA DEL RESPONSABILE: meccanismo di supervisione genitoriale e di collegamento dell’account dei minori di 16 anni all’account di un genitore o tutore, come richiede l’ECA Digital] I genitori e i tutori che individuano l’account di un bambino, o che vogliono chiedere l’eliminazione dell’account di un adolescente di cui sono responsabili, possono rivolgersi al responsabile della protezione dei dati o al Suporte Falafy.

10. Cookie e archiviazione locale

Il sito e l’app non usano cookie di tracciamento né pubblicitari. Usiamo solo ciò che è strettamente necessario al funzionamento del servizio, per questo non chiediamo il consenso, ma ti informiamo:

• Versione web (falafy.com.br/app): un cookie di sessione chiamato falafy_rt (HttpOnly, Secure, SameSite=Strict, valido fino a 30 giorni) che ti mantiene connesso, e l’archiviazione locale del browser per preferenze, bozze e l’avviso di archiviazione già visto.
• App per Windows: il token di sessione è conservato in modo protetto dal sistema operativo, mentre preferenze e bozze si trovano nell’archiviazione locale dell’app.

Cancellare i dati dell’app o del browser, o uscire dall’account, rimuove queste informazioni.

11. Modifiche a questa informativa

Quando questa informativa cambierà in modo rilevante, ti avviseremo nell’app prima che la modifica entri in vigore: l’app mostra la nuova versione e chiede una nuova accettazione per continuare. La data dell’ultimo aggiornamento è in cima alla pagina, e la versione che hai accettato compare in Impostazioni > Informazioni.