Privacy Policy

Versione 1.0 — 15 maggio 2026

1. Titolare del Trattamento

DRINKING S.R.L. è la società Titolare del Trattamento dei dati personali per il servizio Casapad, ai sensi e per gli effetti dell'art. 4, paragrafo 7 del Regolamento (UE) 2016/679 (di seguito "GDPR"). DRINKING S.R.L. determina autonomamente e in via esclusiva le finalità e i mezzi del trattamento.

Referente Privacy (figura interna di accountability, non designazione DPO ex art. 37 GDPR): Arturo Di Chiara. Contatto: privacy@casapad.app.

DPO: NON designato. La valutazione strutturata ai sensi dell'art. 37, paragrafi 1.b e 1.c, GDPR è documentata nella nostra Data Protection Impact Assessment interna.

2. Categorie di dati personali trattati e basi giuridiche

Trattiamo le seguenti categorie di dati personali, ciascuna con una specifica base giuridica ai sensi dell'art. 6 GDPR. Nessun dato di categoria particolare ex art. 9 GDPR è raccolto sistematicamente (vedi §10 "Esclusione contenuti sanitari").

3. Modalità del trattamento

I dati sono trattati con strumenti elettronici e con misure tecniche e organizzative idonee a garantire la sicurezza, la riservatezza e l'integrità dei dati, tra cui:

• Cifratura in transito (TLS 1.2+), cifratura backup (GPG AES-256, chiavi conservate in UE)
• Hashing password con algoritmo argon2id (mai bcrypt)
• Autenticazione a due fattori (TOTP) obbligatoria per gli amministratori del servizio
• Pseudonimizzazione degli identificatori utente (cuid)
• Strip metadati EXIF dalle immagini caricate (preserva orientamento, rimuove geolocalizzazione e modello dispositivo)
• Controllo degli accessi basato sui ruoli (RBAC)
• Audit log delle operazioni di sicurezza con retention indefinita
• Rate limiting + WAF + Bot protection (Cloudflare)
• Monitoraggio continuo con alert automatici (Sentry, Pingdom)
• Backup giornaliero cifrato con conservazione GFS (7 giorni + 4 settimane + 12 mesi) + mirror mensile su AWS S3 GLACIER eu-central-1

4. Destinatari dei dati (sotto-processori)

I dati personali sono trattati anche dai seguenti sotto-processori, formalmente nominati ai sensi dell'art. 28 GDPR e vincolati da Data Processing Agreement (DPA) standard:

5. Trasferimenti di dati al di fuori dell'Unione Europea

Quattro dei nostri sotto-processori (Cloudflare, PostHog, Sentry, AWS) hanno sede negli Stati Uniti, ma i dati personali del servizio Casapad sono ospitati su datacenter nell'Unione Europea (data residency EU).

I trasferimenti extra-UE che possono comunque verificarsi (es. log accessi, supporto tecnico) sono coperti da:

1. Decisione di adeguatezza EU-US Data Privacy Framework (Decisione di esecuzione (UE) 2023/1795 della Commissione del 10/07/2023), ove il sotto-processore sia certificato DPF (verifichiamo trimestralmente);
2. Clausole Contrattuali Tipo (SCC) ai sensi dell'art. 46 GDPR (Decisione di esecuzione (UE) 2021/914) come strumento di trasferimento di fallback;
3. Transfer Impact Assessment (TIA) documentati internamente per ciascun trasferimento ai sensi delle Raccomandazioni EDPB 01/2020;
4. Misure supplementari tecniche e organizzative comprese cifratura client-side per i backup (AWS), pseudonimizzazione degli identificatori utente, retention IP a 24 ore (Cloudflare), assenza di PII negli eventi analytics (PostHog), redact di header e contenuti sensibili (Sentry).

Per maggiori dettagli sui Transfer Impact Assessment può scrivere a privacy@casapad.app.

6. Conservazione dei dati

I dati personali sono conservati per il tempo necessario alle finalità per cui sono stati raccolti, secondo le tabelle in §2.

Particolarità retention probatoria 5 anni: anche dopo l'esercizio del diritto di cancellazione ex art. 17 GDPR (anonimizzazione dell'account), alcuni dati relativi all'organizzazione del lavoro domestico — specificamente le sessioni di lavoro registrate (orari di check-in/check-out) e il completamento dei task (timestamp, riferimento al template task) — sono conservati in forma pseudonimizzata per 5 anni dalla data di registrazione. Il riferimento all'identità dell'utente è sostituito da un identificatore pseudonimo non riconducibile alla persona senza informazioni aggiuntive in nostro esclusivo possesso.

La base giuridica di questa conservazione è il legittimo interesse di DRINKING S.R.L. e degli altri membri dell'household alla disponibilità di tali dati per finalità probatorie in caso di contenzioso, in coerenza con il termine ordinario di prescrizione delle azioni connesse al rapporto di lavoro domestico (art. 2948 n. 4 c.c. per le retribuzioni periodiche, art. 3 L. 335/95 per i contributi previdenziali, art. 2220 c.c. per le scritture contabili).

Trascorsi 5 anni i dati pseudonimizzati residui sono cancellati definitivamente.

7. Diritti dell'interessato (artt. 15-22 GDPR)

In qualità di interessato, ha il diritto di:

• Accedere ai dati personali che la riguardano (art. 15): self-service nella funzione in-app "I miei dati" o richiedendo l'esportazione integrale via email a privacy@casapad.app.
• Rettificare i dati inesatti (art. 16): self-service in-app dalla schermata di profilo.
• Ottenere la cancellazione dei dati (art. 17, "diritto all'oblio"): self-service via la funzione in-app "Elimina account" (disponibile dalla milestone M3+), oppure tramite richiesta scritta a privacy@casapad.app. La cancellazione comporta l'anonimizzazione completa secondo la procedura descritta in §6, con il vincolo della retention probatoria 5 anni per i metadati di lavoro.
• Limitare il trattamento (art. 18): richiesta scritta a privacy@casapad.app.
• Esercitare la portabilità dei dati (art. 20): self-service in-app dalla milestone M5+, oppure tramite richiesta scritta. Il file ZIP esportato contiene tutti i suoi dati in formato JSON + immagini allegate originali.
• Opporsi al trattamento (art. 21): revoca dei consensi opzionali (analytics, crash reporting) self-service dalla schermata Impostazioni → Consensi servizi terzi.
• Non essere sottoposto a decisioni automatizzate (art. 22): non applicabile, Casapad non assume decisioni automatizzate sulla persona dell'interessato.
• Proporre reclamo all'Autorità Garante (art. 77): tramite il modulo sul sito gpdp.it/segnalazione.

Tempi di risposta: forniamo riscontro entro 30 giorni dalla ricezione della richiesta, ai sensi dell'art. 12, paragrafo 3, GDPR. Il termine può essere prorogato a 60 giorni in caso di richieste complesse, con comunicazione motivata all'interessato.

8. Consensi opzionali e revoca

I consensi facoltativi sono raccolti in forma granulare al primo accesso e revocabili in qualsiasi momento dalla schermata Impostazioni → Consensi servizi terzi:

• Analisi anonima di utilizzo (PostHog, datacenter EU Frankfurt): consenso revocabile. La revoca interrompe l'invio di eventi e attiva la procedura di cancellazione dei dati storici associati al suo identificatore.
• Crash reporting (Sentry, datacenter EU): consenso revocabile.

Inoltre, su iOS, in conformità all'App Tracking Transparency (ATT), le richiediamo separatamente il permesso di tracciamento prima di abilitare gli analytics.

9. Cookie

Il sito web statico casapad.app utilizza esclusivamente cookie tecnici di Cloudflare necessari per il funzionamento e la sicurezza del servizio. Non utilizza cookie di analytics o di profilazione.

L'applicazione mobile non utilizza cookie (è un'applicazione nativa).

Per maggiori dettagli: Cookie Policy.

10. Esclusione di dati di categoria particolare (art. 9 GDPR)

Casapad non raccoglie sistematicamente dati di categoria particolare ai sensi dell'art. 9 GDPR (dati sanitari, genetici, biometrici, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati relativi alla vita sessuale o all'orientamento sessuale, origine razziale o etnica).

I Termini di Servizio (Articolo X) vietano espressamente all'utente di inserire tali categorie di dati in alcun campo di testo libero del servizio (note dei task, descrizioni di shift, messaggi nelle chat, bacheca avvisi, domande e risposte, lista della spesa, profilo utente, allegati immagine).

In caso di inserimento di tali dati in violazione dei Termini, DRINKING S.R.L. non determina le finalità del trattamento di tali dati e non agisce quale Titolare ai sensi dell'art. 4(7) GDPR rispetto agli stessi. Le misure di sicurezza ordinarie del servizio (cifratura in transito, controllo accessi, retention limitata, anonimizzazione su richiesta) si applicano uniformemente a tutti i contenuti utente.

11. Modifiche alla Privacy Policy

Ci riserviamo il diritto di aggiornare questa Privacy Policy in qualsiasi momento. Le modifiche sostanziali (nuovi sotto-processori, modifiche delle finalità del trattamento, modifiche del periodo di conservazione) saranno comunicate agli utenti tramite:

• Banner in-app al primo accesso post-modifica (richiesta di re-accettazione)
• Email transazionale di notifica all'indirizzo email registrato
• Pubblicazione della versione aggiornata su casapad.app/privacy con cambiamento del numero di versione

La versione corrente di questa Privacy Policy è la 1.0 del 15 maggio 2026.

12. Contatti