Privacy Policy

Informativa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 — versione del 30 settembre 2026.

1. Titolare del trattamento

Davide Massa, codice fiscale MSSDVD95E16D810J, Via per Frosinone 318/A, 03023 Ceccano (FR), Italia. Contatto per privacy e assistenza: supporto@abaego.it. Sito: www.abaego.it.

2. Servizio e utenti

ABA&go mette in contatto famiglie e professionisti. Non eroga prestazioni sanitarie, non formula diagnosi e non sostituisce il rapporto con professionisti sanitari. Gli account sono riservati a persone maggiorenni.

Informazioni sui minori: nelle descrizioni le famiglie non devono inserire nome, immagini identificative, diagnosi, documenti o altre informazioni sanitarie del minore. È consentita soltanto una descrizione generale e non identificativa delle esigenze organizzative.

3. Dati trattati

• dati di account e contatto: nome, cognome, email, telefono, password conservata mediante hash, ruolo e preferenza relativa agli analytics;
• dati del profilo: fotografia facoltativa, città, disponibilità, esperienza, qualifiche, modalità di servizio e descrizioni;
• posizione: città, area di riferimento e, solo su richiesta dell’utente, posizione esatta del dispositivo; agli altri utenti è mostrata per impostazione predefinita un’area approssimativa. Quando l’utente richiede la localizzazione, le coordinate esatte vengono trasmesse temporaneamente al servizio Nominatim di OpenStreetMap per ricavare città, provincia e CAP; il profilo conserva l’area risultante e non espone agli altri utenti le coordinate esatte;
• contenuti e interazioni: messaggi, recensioni, risposte, profili salvati, blocchi e segnalazioni;
• dati di assistenza, moderazione, sicurezza, accessi e log tecnici;
• dati necessari alle notifiche push: token del dispositivo, piattaforma, stato di attivazione e data dell'ultima registrazione; il token non contiene la password. Le notifiche dei nuovi messaggi sono generiche e non contengono il testo della chat;
• dati d’uso pseudonimi per analytics, soltanto dopo il consenso: tipo di evento, data, identificativi casuali di visita/sessione, tipo di dispositivo e, se autenticato, collegamento all’account; non vengono raccolti testo delle chat, termini di ricerca o parametri degli indirizzi web negli eventi analytics;
• stato dell’abbonamento, identificativi del prodotto e della transazione comunicati da Google Play; ABA&go non riceve i dati completi della carta.

4. Finalità e basi giuridiche

4.1 Dati sulla salute comunicati nella chat

Quali dati possono essere trattati. La chat è a testo libero e può contenere, soltanto se l’utente sceglie di inserirle, informazioni relative alla salute fisica o mentale, a condizioni o diagnosi, disabilità, terapie o trattamenti, comportamenti, bisogni di supporto e percorso assistenziale dell’utente o di un minore sul quale esercita la responsabilità genitoriale. ABA&go non richiede diagnosi, referti o documenti sanitari per creare l’account, cercare profili o utilizzare le altre funzioni del servizio.

Perché e per quali finalità. Tali informazioni vengono trattate esclusivamente per permettere all’utente di comunicarle al partecipante scelto, consegnare e rendere disponibile il messaggio sui dispositivi autorizzati, conservare e sincronizzare la conversazione in forma cifrata, consentire ai partecipanti di consultarla, gestire revoca, cancellazione e altre richieste privacy e proteggere riservatezza, integrità e disponibilità della chat. Se l’utente presenta una segnalazione, la finalità comprende anche l’esame e la gestione del contesto che egli decide di allegare, entro il limite di cinque messaggi.

Come vengono utilizzati. Il contenuto viene cifrato sul dispositivo del mittente, conservato dal server in forma cifrata e decifrato sui dispositivi autorizzati dei partecipanti. Il contenuto in chiaro non viene usato per ricerca o ordinamento dei profili, suggerimenti, pubblicità, marketing, analytics, profilazione, valutazioni cliniche o addestramento di sistemi automatizzati. ABA&go non formula diagnosi, non decide terapie e non vende i contenuti della chat.

Chi può riceverli. Possono leggere il contenuto i partecipanti alla conversazione sui propri dispositivi. OVHcloud ospita contenuto cifrato e dati tecnici necessari alla consegna. Il titolare o gli addetti alla moderazione possono leggere soltanto i singoli messaggi che un partecipante sceglie di allegare a una segnalazione, non l’intera conversazione. L’eventuale uso dei dati da parte del professionista nell’ambito di una propria prestazione è un trattamento distinto, svolto dal professionista sotto la propria responsabilità e secondo la propria informativa.

Natura facoltativa e conseguenze. Comunicare dati sulla salute non è obbligatorio. Il consenso è richiesto perché nella chat libera tali informazioni possono essere inserite volontariamente. Se l’utente non presta o revoca il consenso, può continuare a usare account, profili e ricerca e può leggere le conversazioni già disponibili, ma non può inviare nuovi messaggi. La revoca non rende illecito il trattamento svolto prima della revoca e non determina automaticamente la cancellazione dei messaggi già inviati, per i quali restano esercitabili i diritti indicati nella sezione 10.

Durata. I messaggi, inclusi quelli che contengono eventuali dati sulla salute, sono conservati fino a 24 mesi, salvo cancellazione o necessità eccezionali indicate nella sezione 8. La prova della scelta conserva soltanto identificativo interno, versione, esito e data fino a 5 anni. La base giuridica è il consenso ai sensi degli artt. 6.1.a e 9.2.a GDPR; il consenso riguarda esclusivamente le finalità descritte in questa sezione.

5. Riservatezza delle conversazioni e accessi eccezionali

ABA&go è titolare dei trattamenti necessari a fornire la piattaforma di contatto, inclusa la gestione tecnica della chat. Non svolge diagnosi o terapia. L’eventuale attività professionale avviata dopo il contatto è distinta: il professionista determina autonomamente finalità e mezzi dei trattamenti connessi alla propria prestazione e fornisce le informazioni privacy di sua competenza.

I nuovi messaggi sono protetti con crittografia end-to-end: vengono cifrati sul dispositivo del mittente e decifrati sul dispositivo del destinatario. Il server conserva il contenuto cifrato, i dati tecnici necessari alla consegna e le chiavi della conversazione cifrate per i dispositivi autorizzati. ABA&go non conserva una chiave universale capace di aprire tutte le chat e non utilizza le conversazioni per pubblicità o profilazione.

Il gestionale amministrativo non mostra l’elenco delle conversazioni, i partecipanti, il numero dei messaggi, la data dell’ultima attività o lo storico completo. In caso di segnalazione, è l’utente a scegliere fino a cinque singoli messaggi da condividere: soltanto quel contesto viene reso leggibile alla moderazione e associato alla pratica.

I messaggi creati prima dell’attivazione della crittografia end-to-end restano identificati come storico precedente e seguono le regole di conservazione indicate sotto. La crittografia protegge il tragitto e il server, ma non impedisce a un partecipante di copiare, fotografare o condividere ciò che vede sul proprio dispositivo.

Uso corretto della chat: non inserire diagnosi, referti, documenti sanitari, nome completo, fotografie o altri dati identificativi di minori. Se tali dati vengono comunicati spontaneamente, ABA&go potrà limitarne l’accesso o rimuoverli quando necessario per tutelare gli interessati.

Prima del primo invio ABA&go richiede una scelta specifica sugli eventuali dati relativi alla salute contenuti nei messaggi. La scelta è registrata con versione, esito e data. Può essere revocata dalle impostazioni della chat: la revoca blocca i nuovi invii e non pregiudica la liceità del trattamento già effettuato. Chi comunica dati riferiti a un minore dichiara di esercitare la responsabilità genitoriale sul minore; restano vietati dati identificativi e documenti non necessari.

6. Destinatari e fornitori

Nessuna vendita dei dati: ABA&go non vende, non noleggia e non cede a pagamento i dati personali degli utenti e non li comunica a terzi per finalità pubblicitarie o di marketing proprie di tali soggetti. I dati vengono comunicati o resi accessibili soltanto ai partecipanti e ai fornitori indicati in questa informativa, nei limiti necessari a erogare e proteggere il servizio, oppure quando previsto da un obbligo di legge o da una richiesta legittima dell’autorità.

I dati possono essere trattati da personale autorizzato e da fornitori nominati responsabili quando applicabile: OVHcloud per server, hosting, database e backup online; Resend per email transazionali; Google Firebase Cloud Messaging per la registrazione del dispositivo e la consegna delle notifiche push; Google Play per distribuzione e pagamenti; OpenStreetMap e il relativo servizio Nominatim per mappe e conversione temporanea delle coordinate in un’area geografica; Google per il caricamento dei font. Quando l’utente riceve notifiche oppure apre mappe o risorse esterne, il relativo fornitore può ricevere dati tecnici quali token del dispositivo, indirizzo IP e informazioni del dispositivo; Nominatim riceve inoltre le coordinate esatte soltanto quando l’utente richiede la localizzazione, nei limiti necessari all’erogazione del servizio.

Localizzazione dell’infrastruttura: il server principale OVHcloud è ospitato nel datacenter di Strasburgo (SBG), Francia, all’interno dello Spazio Economico Europeo. Le copie di sicurezza sono conservate online sull’infrastruttura OVHcloud e anche localmente sotto il controllo diretto del titolare. OVHcloud tratta i dati per conto del titolare sulla base delle proprie condizioni contrattuali e del Data Processing Agreement previsto dall’art. 28 GDPR.

7. Trasferimenti fuori dallo SEE

Alcuni fornitori internazionali, inclusi i servizi Google/Firebase utilizzati per notifiche e distribuzione, possono trattare dati fuori dallo Spazio Economico Europeo. In tali casi il trasferimento avviene sulla base di una decisione di adeguatezza, del Data Privacy Framework ove applicabile o delle clausole contrattuali standard della Commissione europea, insieme a misure supplementari quando necessarie.

8. Conservazione

• account, profilo e registrazione delle preferenze cookie: per la durata del rapporto; dopo una richiesta di cancellazione l’accesso è bloccato e la cancellazione è programmata entro 30 giorni;
• messaggi: fino a 24 mesi; un contenuto collegato a una segnalazione, incidente, richiesta dell’autorità o controversia può essere isolato e conservato per il tempo strettamente necessario alla relativa gestione;
• recensioni e interazioni: fino alla cancellazione o rimozione, salvo tutela dei diritti di altri utenti;
• log degli accessi amministrativi: massimo 24 mesi, con cancellazione automatica periodica; richieste di assistenza e pratiche di moderazione: per il tempo necessario alla gestione e, normalmente, fino a 24 mesi dalla chiusura;
• eventi analytics: massimo 13 mesi, con cancellazione automatica periodica;
• token per notifiche push: fino alla disattivazione, alla revoca o scadenza tecnica del token, al logout dal dispositivo oppure alla cancellazione dell’account;
• sessioni di accesso e token di verifica/reset: fino a 30 giorni dopo scadenza o revoca, salvo cancellazione anticipata dell’account;
• dati amministrativi relativi ai pagamenti: per il periodo richiesto dalla normativa applicabile.
• prova delle scelte sul consenso relativo alla chat: fino a 5 anni, limitatamente a identificativo interno, versione, esito e data, per dimostrare la scelta e gestire eventuali contestazioni.

I dati possono essere conservati più a lungo quando necessario per accertare, esercitare o difendere un diritto.

La cancellazione dei dati operativi non modifica retroattivamente i backup già prodotti. Le copie devono essere accessibili soltanto per ripristino e sicurezza e vengono eliminate secondo il ciclo di rotazione; in caso di ripristino devono essere riapplicate le cancellazioni già richieste prima di riaprire il servizio. Puoi chiedere al titolare informazioni sulla conservazione delle copie di sicurezza.

9. Visibilità e decisioni automatizzate

Le informazioni rese visibili nel profilo sono mostrate agli altri utenti secondo le impostazioni scelte. L’app può ordinare e suggerire profili sulla base di distanza approssimativa, compatibilità, disponibilità, recensioni e piano attivo. Non vengono adottate decisioni esclusivamente automatizzate che producano effetti giuridici o analogamente significativi.

10. Diritti

L’interessato può chiedere accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e revoca del consenso scrivendo a supporto@abaego.it. La revoca non pregiudica i trattamenti già effettuati. Le richieste ricevono riscontro senza ingiustificato ritardo e di regola entro un mese; eventuali proroghe motivate, fino a ulteriori due mesi nei casi previsti dal GDPR, sono comunicate entro il primo mese. Per verificare l’identità sono richieste soltanto informazioni proporzionate. È possibile proporre reclamo al Garante per la protezione dei dati personali: www.garanteprivacy.it.

11. Sicurezza e modifiche

Sono adottate misure tecniche e organizzative proporzionate, tra cui hash delle password, autenticazione multifattore del gestionale, autorizzazioni basate sul minimo privilegio, registrazione degli accessi sensibili, riesame degli accessi e limitazione della posizione mostrata. Questa informativa potrà essere aggiornata; le modifiche rilevanti saranno comunicate nell’app.