Informativa sulla privacy

I racconti di dischi e artisti li scrive il Curatore quando glielo chiedi: al fornitore va ciò che riceve il Curatore, e nel racconto che resta per tutti non en

Ultimo aggiornamento: 2026-10-30. In caso di differenze fra le lingue fa fede il testo italiano.

1. Chi tratta i tuoi dati

Il titolare del trattamento è Davide Caricati. Per qualunque domanda o richiesta sui tuoi dati scrivi a support@spinery.it.

2. Quali dati e perché

• Account: indirizzo e-mail, nome visibile, password (conservata solo come impronta non reversibile, mai in chiaro), lingua, e la foto del profilo se decidi di caricarla. Servono per farti entrare, per gli inviti nella cerchia e per le e-mail di servizio (conferma dell'indirizzo, nuova password, eliminazione).
• Accesso con Google (facoltativo): se entri con «Continua con Google», Google ci conferma chi sei e ci passa solo tre cose: un identificativo del tuo account Google, il tuo indirizzo e-mail, già verificato da Google, e il tuo nome, che diventa il nome visibile di partenza e puoi cambiare. Non riceviamo la tua password di Google né la foto del profilo, e a Google non mandiamo i dati della tua collezione. Il collegamento serve solo a farti entrare: lo togli dall'app (la tua foto o la tua iniziale in alto a destra → Il mio account → Metodi di accesso), se hai anche un altro modo per entrare, e sparisce subito quando elimini l'account.
• La collezione: i dischi, le edizioni, gli esemplari con la loro provenienza, i prezzi, le note e le storie che scrivi, le foto degli esemplari e delle copertine, i voti, i desideri, le classificazioni. Sono il servizio stesso. Sono dati della tua cerchia: li vedono i membri della cerchia, nessun altro. Le provenienze possono contenere i nomi di altre persone (per esempio chi ha regalato un disco): li scrivono i membri della cerchia, e chi si riconosce può chiederne la rimozione scrivendo a support@spinery.it.
• Dispositivo: un identificativo di installazione (Google Firebase) per recapitare le notifiche che hai acceso tu, e la versione dell'app. Il testo di alcune notifiche (per esempio titolo, artista e prezzo di un desiderio) passa da Google Firebase. Puoi spegnere le notifiche in qualunque momento dall'app o dal sistema.
• Discogs (facoltativo): se colleghi il tuo account Discogs, conserviamo un token di accesso cifrato, per importare la tua collezione e la tua lista dei desideri. Puoi revocarlo dall'app e dalle impostazioni di Discogs.
• Intelligenza artificiale: fa parte del servizio che accetti con i Termini (il Curatore, i suggerimenti della settimana, il punto del mese, l'aggiunta da foto, l'aiuto alla ricerca, i racconti di dischi e artisti); le funzioni AI sono incluse, entro un limite per ogni membro; oltre il limite puoi usare una chiave tua, del fornitore che scegli tu. La tua chiave resta sul tuo telefono; viaggia dentro le singole richieste e non viene mai conservata sui nostri server né scritta nei registri. Contiamo quante volte usi le funzioni AI e quanto testo elaborano, per applicare i limiti.

  Quando usi le funzioni di intelligenza artificiale, Spinery manda al fornitore solo ciò che serve:

  • per il Curatore e il punto del mese, i dischi e i desideri della cerchia con collocazioni, voti dei membri e valori stimati e, se la domanda lo richiede, i dettagli di un disco, compresi provenienza, prezzo pagato e storia;
  • per i suggerimenti della settimana, i dischi della cerchia con i tuoi voti, i tuoi desideri e i suggerimenti passati, mai note, provenienze e prezzi;
  • per l'aggiunta da foto, la foto della copertina;
  • per i racconti di dischi e artisti, ciò che riceve il Curatore, perché li scrive lui quando glielo chiedi; nel racconto che resta sulla scheda per tutti non entra nulla della cerchia.

  Le note personali degli altri membri non partono mai. Con le funzioni incluse il fornitore è Anthropic, scelto da noi, e tratta questi contenuti secondo le sue condizioni; con una chiave tua, vale il fornitore che hai scelto.

• Sicurezza: un registro delle operazioni importanti sull'account e sulla cerchia, le segnalazioni che mandi sui testi dell'AI e le copie di sicurezza del database, per proteggere il servizio e poterlo ripristinare dopo un guasto.
• Accettazione dei Termini: quando accetti i Termini teniamo una registrazione che non si modifica più: il tuo account e il tuo indirizzo e-mail, il momento, la versione e l'impronta di ogni testo che ti abbiamo mostrato (Termini, informativa, la pagina di accettazione), la lingua, le due caselle (l'accettazione dei Termini e l'approvazione specifica delle clausole 5, 6, 8, 9 e 10), la versione dell'app e del sistema, l'indirizzo IP e l'identificativo del browser o dell'app (user agent). Serve solo a dimostrare che hai accettato i Termini, quali e quando.
• Registri tecnici: il server non registra le richieste né gli indirizzi IP, tranne l'indirizzo IP del momento in cui accetti i Termini (voce precedente). Il fornitore dell'hosting (fly.io) tratta l'indirizzo IP solo per instradare il traffico e proteggere la rete.

Non c'è pubblicità, non c'è tracciamento, non ci sono strumenti di analisi di terze parti, con un'eccezione: il lettore dei codici a barre (Google ML Kit) funziona sul telefono e manda a Google dati tecnici sul suo funzionamento (modello del telefono, versioni, tempi, errori e un identificativo di installazione), che Google usa per la diagnostica.

3. Su quali basi

• Il contratto (art. 6.1.b del GDPR), cioè i Termini che accetti per usare Spinery: l'account, l'accesso con Google se lo scegli, la collezione e la cerchia, le notifiche, le e-mail di servizio, il collegamento a Discogs che chiedi tu, le funzioni di intelligenza artificiale e il conteggio per i loro limiti. L'intelligenza artificiale è una parte del servizio, non un'aggiunta: per questo non ti chiediamo un consenso a parte, e non c'è un consenso da ritirare. Se non vuoi più che i tuoi dati passino dalle funzioni AI, puoi eliminare l'account; prima, puoi sempre esportare i tuoi dati.
• Il legittimo interesse (art. 6.1.f): la sicurezza del servizio, il registro delle operazioni e le copie di sicurezza; e l'interesse della cerchia a tenere e raccontare la storia dei suoi dischi, per cui nel lavoro dell'AI entrano anche i voti, le collocazioni e le provenienze scritte dagli altri membri (mai le loro note personali), e nelle provenienze restano i nomi di altre persone. Sul legittimo interesse si basa anche la registrazione dell'accettazione dei Termini: nessuna legge ci obbliga a tenerla, ma senza non potremmo dimostrare il contratto né difenderci in giudizio. Puoi opporti a questi trattamenti scrivendo a support@spinery.it; la registrazione dell'accettazione la teniamo comunque finché serve a questo scopo (art. 21.1).
• Un obbligo di legge (art. 6.1.c): rispondere alle tue richieste sui dati e conservare la prova di come le abbiamo eseguite.

Per creare l'account servono un indirizzo e-mail, un nome e l'accettazione dei Termini: senza, non possiamo darti il servizio. Tutto il resto lo scegli tu. Spinery non prende decisioni basate solo su un trattamento automatizzato che abbiano effetti giuridici o simili su di te: il Curatore e i suggerimenti propongono, decidi tu.

4. Dove stanno i dati e chi ci aiuta

Il server e il database stanno a Francoforte (fly.io); le foto e le copertine su Tigris; le e-mail di servizio partono tramite Resend; le richieste delle funzioni AI incluse vanno ad Anthropic; le notifiche passano da Google Firebase. Questi fornitori trattano i dati per nostro conto, solo per questi scopi e con un contratto che li obbliga a proteggerli. I dati dei dischi arrivano da Discogs, le anteprime musicali da Apple iTunes e i video dal vivo da YouTube: sono servizi indipendenti, a cui non mandiamo i tuoi dati personali; l'anteprima si scarica da Apple, che vede l'indirizzo IP del telefono, e un video, quando lo apri, si apre su YouTube, fuori da Spinery. Per i video Spinery usa gli YouTube API Services: vale anche l'informativa sulla privacy di Google. Se entri con Google, per l'accesso Google tratta i tuoi dati come titolare autonomo, secondo la stessa informativa.

Alcuni fornitori sono società degli Stati Uniti o trattano i dati anche fuori dall'Unione Europea: fly.io e Tigris sono società statunitensi, Resend tratta i dati negli Stati Uniti e Google può trattarli fuori dall'Unione. Per questi trasferimenti valgono le clausole contrattuali standard della Commissione europea e, per chi vi aderisce, il Data Privacy Framework UE-USA. Le richieste alle funzioni di intelligenza artificiale incluse vanno ad Anthropic, che le elabora negli Stati Uniti con le clausole contrattuali standard della Commissione europea, non le usa per addestrare i suoi modelli e le cancella entro 30 giorni, salvo quanto serve per la sicurezza o per obbligo di legge.

5. Per quanto tempo

Finché il tuo account esiste. Se elimini l'account (dall'app: la tua foto o la tua iniziale in alto a destra → Il mio account → Elimina l'account, oppure dalla pagina Elimina l'account), i tuoi dati personali vengono eliminati entro 30 giorni; le copie di sicurezza, che servono solo a ripristinare il servizio dopo un guasto, si cancellano da sole nei 30 giorni successivi: entro 60 giorni in tutto, copie di sicurezza comprese. La collezione è della cerchia e resta ai suoi membri; se sei l'ultimo, viene eliminata con te; le tue note, i tuoi voti e i tuoi desideri se ne vanno con il tuo account. Il registro delle operazioni e le segnalazioni sui testi dell'AI si tengono 12 mesi; un account mai confermato si elimina dopo 7 giorni. Fa eccezione la registrazione dell'accettazione dei Termini: resta finché esiste l'account e, dopo l'eliminazione, ne resta solo l'essenziale (un'impronta non reversibile dell'indirizzo e-mail, le versioni e le impronte dei testi, il momento e le due caselle) per 10 anni, il tempo della prescrizione ordinaria (art. 2946 del Codice civile), perché può servire a difenderci in giudizio (art. 17.3.e del GDPR); poi si cancella.

6. I tuoi diritti

Puoi chiedere l'accesso ai tuoi dati, la correzione, la cancellazione, la limitazione e la portabilità, e opporti ai trattamenti basati sul legittimo interesse: scrivi a support@spinery.it, rispondiamo entro un mese. L'esportazione dall'app ti dà tutti i dati della cerchia in un file, e i tuoi dati li puoi avere anche se non accetti una nuova versione dei Termini: se dall'app non puoi, te li mandiamo su richiesta. Puoi anche proporre reclamo al Garante per la protezione dei dati personali (come fare) o all'autorità del paese in cui vivi.

7. Cookie

Il sito pubblico e le pagine pubbliche del server non usano cookie: né di profilazione, né di statistica, né tecnici. Gli unici cookie sono tecnici e stanno nella console riservata agli amministratori del servizio: uno tiene aperta la sessione di chi amministra, l'altro ricorda se preferisce il tema chiaro o scuro. Non riguardano chi usa Spinery.

8. Età minima

Per usare Spinery devi avere almeno 14 anni, o l'età minima del tuo paese se è più alta. In Italia la legge fissa a 14 anni l'età per usare da soli un servizio come questo (art. 2-quinquies del Codice in materia di protezione dei dati personali, che attua l'art. 8 del GDPR) e i sistemi di intelligenza artificiale (art. 4 della legge 132/2025). Negli altri paesi l'età può essere più alta, fino a 16 anni, e allora vale quella del tuo paese: la regola comune è l'articolo 8 del GDPR. Spinery non è rivolto a chi ha meno di quell'età e non ne raccoglie consapevolmente i dati.

9. Modifiche

La data in cima dice quando questa informativa è stata aggiornata l'ultima volta. Le modifiche sostanziali vengono comunicate nell'app.