Informativa sulla privacy

Ultimo aggiornamento: 17 ottobre 2026

Questa informativa spiega quali dati personali trattano le tre parti di PinVia, perché e per quanto tempo: il sito www.pinvia.it, l'app per seguire i percorsi (player.pinvia.it) e l'area organizzatori (organize.pinvia.it). È resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 («GDPR») e dell'articolo 122 del Codice in materia di protezione dei dati personali (d.lgs. 196/2003).

1. Chi è il titolare del trattamento

Il titolare è Stefano Bianchini, partita IVA 04439480403. Per qualunque domanda sui tuoi dati o per esercitare i tuoi diritti scrivi a privacy@pinvia.it.

Non è stato nominato un responsabile della protezione dei dati (DPO): per un servizio come PinVia non è obbligatorio (articolo 37 del GDPR).

2. In breve

• Per usare l'app non ti registri: non ti chiediamo nome né email e non assegniamo un codice al tuo telefono.
• Niente cookie sul sito e nell'app, niente pubblicità, niente profilazione, nessun servizio di analisi di terzi.
• Come ogni sito, il nostro server riceve l'indirizzo IP a ogni richiesta. Lo conserviamo completo per al massimo 6 mesi, solo per sicurezza.
• Le statistiche dei percorsi sono conteggi per giorno, senza nulla che riconduca a chi ha fatto il percorso.
• Gli organizzatori hanno un account con email, nome e password. Il nome compare come autore dei percorsi pubblicati.

3. Cosa registra il server (vale per tutte e tre le parti)

Sito, app e area organizzatori passano dallo stesso server. Il server ha bisogno dell'indirizzo IP del tuo dispositivo per mandargli le risposte: per la Corte di giustizia dell'Unione europea è un dato personale, anche se da solo non dice chi sei. Lo trattiamo così:

• Registro di sicurezza: indirizzo IP completo, data e ora, indirizzo della pagina o della richiesta (senza parametri, senza coordinate e senza codici degli inviti), esito, dimensione della risposta e «user agent» (il nome e la versione del browser e del sistema operativo). Accanto c'è il registro degli errori del server, che contiene anche l'indirizzo IP completo. Si cancellano da soli dopo al massimo 6 mesi: un attacco a volte si scopre dopo settimane, e serve poterlo ricostruire. Servono a bloccare automaticamente (con il programma fail2ban) per un'ora gli indirizzi che fanno troppe richieste o cercano file vulnerabili, e a ricostruire un attacco o un abuso. Solo in quel caso possono essere consegnati all'autorità giudiziaria o alla polizia, su loro richiesta.
• Registro di funzionamento: indirizzo IP accorciato (per gli indirizzi IPv4 l'ultimo dei quattro numeri è azzerato; gli indirizzi IPv6 non sono registrati), data e ora, richiesta senza parametri, esito e dimensione. Non contiene il browser. Ha una dimensione massima: le righe più vecchie si cancellano man mano che arrivano le nuove.
• Limiti di frequenza: per evitare abusi contiamo quante richieste arrivano da uno stesso indirizzo IP (e, per gli accessi, da una stessa email) in un minuto. Il conteggio è conservato in forma di impronta (hash) e si cancella al più tardi un'ora dopo la scadenza, che è di pochi minuti.

Il sito www.pinvia.it non usa cookie né altri strumenti che salvano dati sul tuo dispositivo, e non carica risorse da altri siti.

4. L'app per seguire i percorsi (player.pinvia.it)

Niente account, niente cookie

L'app non ti chiede di registrarti, non usa cookie e non assegna al tuo telefono un codice che lo riconosca da una volta all'altra.

Cosa resta sul tuo telefono

Per funzionare l'app salva alcune informazioni nella memoria del browser del tuo telefono:

• preferenze (aspetto chiaro o scuro, vibrazione, lingua, mappa 3D e bussola, schermata di benvenuto già vista);
• progressi di ciascun percorso: tappe raggiunte e completate, risposte e tentativi agli enigmi;
• una coda di statistiche non ancora inviate perché eri senza rete (al massimo 200 eventi, scartati dopo 7 giorni);
• contenuti scaricati per l'uso senza rete: i percorsi aperti (fino a 30 giorni), le porzioni di mappa già viste (fino a 14 giorni) e le immagini (fino a 30 giorni), oltre ai file dell'app stessa.

Queste informazioni non ci vengono inviate (tranne le statistiche descritte sotto) e servono solo a darti il servizio che hai chiesto: per questo non serve il tuo consenso (articolo 122 del Codice privacy). Le cancelli in qualunque momento da Informazioni e privacy → Cancella tutto ciò che PinVia ha salvato, oppure cancellando i dati del sito dalle impostazioni del browser.

La tua posizione e la bussola

L'app usa la posizione del telefono solo se gliela concedi dal permesso del browser. Durante un percorso la distanza dalle tappe si calcola sul telefono e la posizione non viene inviata. Solo per cercare i percorsi vicini l'app manda al server una posizione arrotondata a circa 100 metri: il server la usa per rispondere e non la conserva (è tolta anche dai registri descritti sopra). Se non concedi il permesso puoi comunque aprire un percorso da un link o da un codice QR.

La direzione della bussola, se attiva, serve solo a ruotare la mappa sul telefono: non viene salvata né inviata.

Statistiche anonime

Quando avvii un percorso, raggiungi una tappa o arrivi alla fine, l'app manda al server solo questo fatto: quale percorso, quale tappa, quale evento e il giorno, senza ora, posizione o codici del telefono. Il server aggiunge uno al conteggio di quel giorno e non conserva altro. Sono dati anonimi: l'organizzatore vede solo i totali.

Enigmi

Le risposte agli enigmi si controllano sul telefono e non vengono inviate. Se chiedi di vedere la soluzione, l'app la scarica dal server come qualunque altro contenuto.

Mappa, immagini e video da altri siti

Alcuni contenuti arrivano da servizi esterni. Quando il telefono li scarica, quei servizi ricevono come minimo il tuo indirizzo IP, il browser e l'ora della richiesta, e li trattano secondo le proprie informative, come titolari autonomi:

• Mappa: da OpenFreeMap (Hyperknot Software Kft., Ungheria). Secondo la sua informativa non registra gli indirizzi IP salvo indagini su abusi, e può usare la rete di distribuzione di Cloudflare (Stati Uniti).
• Immagini: gli organizzatori possono usare immagini ospitate su altri siti, da loro scelti. L'app non dice a quei siti da quale pagina arrivi (niente «referrer»).
• Video: una tappa può contenere un video di YouTube (Google Ireland Limited). Finché non tocchi «Riproduci» non viene caricato nulla. Dopo, il video arriva da youtube-nocookie.com, la modalità a privacy avanzata, e YouTube può salvare informazioni sul tuo dispositivo e raccogliere dati sulla visione secondo la propria informativa.

Segnalazioni

Se ci segnali un contenuto scrivendo a report@pinvia.it riceviamo il tuo indirizzo email e quello che scrivi. Li usiamo solo per gestire la segnalazione e li conserviamo per 12 mesi dopo averla chiusa.

5. L'area organizzatori (organize.pinvia.it)

• Invito: l'account si crea solo su invito. L'email e il nome con cui sei invitato ce li dà l'amministratore che ti invita. L'invito si cancella 90 giorni dopo l'accettazione, la revoca o la scadenza.
• Account: email, nome, password (salvata solo in forma cifrata, mai in chiaro), versione e data delle condizioni d'uso che hai accettato, data di un'eventuale sospensione. Il nome è pubblico: compare come autore nei percorsi che pubblichi. Puoi cambiarlo dalla pagina Profilo.
• Accesso: per tenerti collegato usiamo due cookie tecnici, pinvia-session (la sessione) e XSRF-TOKEN (protezione dalle richieste contraffatte). Sul server la sessione conserva il tuo indirizzo IP e il browser. Finisce quando esci o dopo 120 minuti di inattività, e i suoi dati si cancellano al più tardi un'ora dopo. Sono necessari al servizio e non richiedono consenso.
• Recupero della password: ti mandiamo un link valido 60 minuti. Il codice è conservato solo in forma cifrata e il suo uso chiude tutte le sessioni aperte.
• Nel tuo browser: l'area organizzatori ricorda l'ultima zona della mappa vista e una copia delle modifiche non ancora salvate, per non perderle se cade la connessione.
• Immagini caricate: se usi la mediagallery, le immagini restano sul nostro server con il nome del file originale. Togliamo i dati EXIF (per esempio le coordinate dello scatto).
• Contenuti dei percorsi: testi, immagini e video li scegli tu e ne rispondi tu. Se contengono dati personali di altre persone, assicurati di poterli pubblicare. Per controllare che le immagini esterne funzionino, il server interroga periodicamente gli indirizzi che hai indicato, senza inviare dati di chi usa l'app.
• Statistiche: vedi solo i conteggi anonimi dei tuoi percorsi descritti al punto 4.
• Fatturazione: se scegli un servizio a pagamento ti chiediamo i dati per la fattura (nome o ragione sociale, indirizzo, codice fiscale o partita IVA, PEC o codice destinatario). Li trattiamo fuori dall'area organizzatori, solo per emettere la fattura elettronica, che passa dal Sistema di Interscambio dell'Agenzia delle Entrate. Le fatture e i dati che contengono si conservano per 10 anni, come chiede la legge (articolo 2220 del codice civile e articolo 39 del d.P.R. 633/1972), anche se nel frattempo chiudi l'account.

Le email dell'area organizzatori (invito, recupero della password) partono da noreply@pinvia.it tramite Aruba S.p.A., IT.

6. Perché possiamo trattare questi dati (basi giuridiche)

• Account degli organizzatori, invito, accesso e recupero della password: esecuzione delle condizioni d'uso che accetti (articolo 6, paragrafo 1, lettera b del GDPR). Per l'invito, prima dell'accettazione: il nostro legittimo interesse a farti conoscere l'invito che hai ricevuto (lettera f).
• Registri del server, limiti di frequenza, fail2ban: legittimo interesse a far funzionare il servizio e a proteggerlo da attacchi e abusi (articolo 6, paragrafo 1, lettera f, e considerando 49 del GDPR).
• Posizione approssimata per i percorsi vicini e consegna dei contenuti dell'app: legittimo interesse a fornirti il servizio che chiedi, senza conservare nulla (lettera f).
• Mappa e immagini da altri siti, video su richiesta: legittimo interesse a mostrarti i contenuti del percorso che hai aperto (lettera f); il video si carica solo se lo chiedi tu.
• Informazioni salvate sul tuo dispositivo e cookie tecnici: strettamente necessari al servizio richiesto (articolo 122 del Codice privacy), senza consenso.
• Fatturazione: esecuzione del contratto per il servizio a pagamento (articolo 6, paragrafo 1, lettera b) e obbligo di legge di emettere e conservare le fatture (lettera c).
• Segnalazioni e richieste via email: legittimo interesse a gestire le segnalazioni sui contenuti e obbligo di rispondere alle richieste sui dati (articolo 6, paragrafo 1, lettere c ed f).

7. A chi arrivano i dati

• OVH SAS (Roubaix, Francia), che ci fornisce il server (Frankfurt am Main, DE), come responsabile del trattamento secondo l'articolo 28 del GDPR.
• Il fornitore di posta elettronica (Aruba S.p.A., IT), per inviare e ricevere le email, come responsabile del trattamento.
• I servizi esterni descritti al punto 4 (OpenFreeMap, siti delle immagini, YouTube), che ricevono i dati direttamente dal tuo telefono come titolari autonomi.
• Per la fatturazione: l'Agenzia delle Entrate, che riceve la fattura elettronica tramite il Sistema di Interscambio, come titolare autonomo; il commercialista che tiene la contabilità; il servizio di fatturazione elettronica che usiamo, come responsabile del trattamento.
• Le autorità, solo se lo chiedono nei casi previsti dalla legge.

Non vendiamo dati e non li cediamo a nessuno per pubblicità o marketing.

8. Trasferimenti fuori dall'Unione europea

Noi non trasferiamo dati fuori dall'Unione europea. Alcuni servizi esterni scelti per l'app possono farlo: Cloudflare (per OpenFreeMap) e Google (per YouTube) operano anche negli Stati Uniti e aderiscono al EU-U.S. Data Privacy Framework, riconosciuto adeguato dalla Commissione europea con la decisione del 10 luglio 2023. Le immagini esterne possono stare su siti di qualunque Paese, scelti dagli organizzatori.

9. I tuoi diritti

Puoi chiedere di accedere ai tuoi dati, correggerli, cancellarli, limitarne il trattamento, riceverli in un formato leggibile da un computer (portabilità) e opporti al trattamento (articoli 15-22 del GDPR), scrivendo a privacy@pinvia.it. Rispondiamo entro un mese.

• Organizzatori: puoi chiedere in ogni momento la chiusura dell'account. Cancelliamo l'account e i dati collegati, salvo ciò che dobbiamo conservare per legge: le fatture e i dati di fatturazione restano per 10 anni (articolo 17, paragrafo 3, lettera b del GDPR).
• Chi usa l'app: non avendo account né codici del telefono, non possiamo ricondurre a te i dati che trattiamo (articolo 11 del GDPR). I dati salvati sul telefono li cancelli tu, come spiegato al punto 4.

Hai anche il diritto di presentare reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità del Paese dell'Unione in cui vivi o lavori.

10. Altre informazioni

• Dati obbligatori: per usare l'app non devi darci nessun dato e la posizione è facoltativa. Per l'account da organizzatore email, nome e password sono necessari: senza, non possiamo crearlo.
• Decisioni automatizzate: nessuna decisione che ti riguardi è presa in modo automatico e non c'è profilazione. L'unico automatismo è il blocco temporaneo di un indirizzo IP da parte di fail2ban, per un'ora, in caso di richieste anomale.
• Modifiche: se cambiamo questa informativa aggiorniamo la data in cima alla pagina. Se il cambiamento riguarda gli organizzatori, li avvisiamo.