Informativa sulla privacy

1.Chi è il titolare del trattamento

In breve: dei tuoi dati risponde il gestore di Groworth in Lettonia, al quale puoi scrivere via e-mail per qualsiasi domanda relativa ai dati.

Il titolare del trattamento ai sensi del regolamento generale sulla protezione dei dati (UE 2016/679, di seguito «GDPR» o «il Regolamento») è:

SIA Appmeway, reg. No. 40103588483, Mēness iela 16-8, Riga, LV-1013, Latvia

Di seguito «noi» o «Groworth». Il servizio è disponibile all'indirizzo groworth.xyz. Per qualsiasi domanda sulla presente informativa o sul trattamento dei tuoi dati, scrivi a support@groworth.xyz: ti risponderemo senza ingiustificato ritardo e comunque entro un mese.

2.Quali dati trattiamo

In breve: la tua e-mail, l'hash della password e i dati finanziari che inserisci tu stesso. Non raccogliamo nulla di nascosto: tutto ciò che si trova nel nostro database è stato inserito da te oppure è tecnicamente necessario al funzionamento del tuo account.

2.1. Dati dell'account

• Indirizzo e-mail: l'identificativo dell'account, necessario per accedere e per recuperare la password.
• Hash della password (bcrypt): la tua password non viene mai, in nessun momento, conservata in chiaro. Non la conosciamo e non possiamo scoprirla; se la dimentichi, te ne rilasciamo una nuova invece di ricordarti quella vecchia.
• Segreto dell'autenticazione a due fattori (2FA): se la attivi; conservato in forma crittografata.

2.2. Dati demografici facoltativi

Durante la configurazione iniziale (onboarding) puoi indicare il tuo genere e la tua fascia d'età. Entrambe le domande sono facoltative: puoi saltarle o scegliere «preferisco non dirlo», e l'app funzionerà esattamente allo stesso modo. Utilizziamo questi dati solo in statistiche anonime e aggregate (ad esempio, «quanti utenti rientrano nella fascia d'età 25–34 anni»), mai a livello individuale.

2.3. Dati finanziari che inserisci tu stesso

Tutto ciò che si trova nell'app è frutto del tuo lavoro o di una tua scelta diretta: non otteniamo nulla senza una tua azione:

• transazioni (importi, date, descrizioni, note);
• categorie e limiti di budget;
• il tuo obiettivo finanziario e il relativo importo;
• conti e relativi saldi;
• beni e relativi valori (immobili, risparmi, ecc.);
• passività (prestiti, relativi saldi e pagamenti);
• posizioni del portafoglio (titoli, cripto-attività, relative quantità e costi di acquisto);
• indirizzi pubblici di wallet di criptovalute, se ne aggiungi;
• dati di estratti conto bancari importati in formato CSV: vengono elaborati nel tuo browser, e al server arrivano soltanto le righe di cui confermi l'importazione;
• transazioni del collegamento bancario: solo se colleghi tu stesso una banca e approvi l'accesso nel tuo home banking (come funziona: vedi il punto 6.1.1).

2.4. Dati tecnici e di sessione

• Registrazioni di sessione: per ogni dispositivo da cui accedi, il tipo di dispositivo e l'ora dell'ultima attività. Ti permettono di vedere le tue sessioni attive nelle impostazioni e di revocarne singolarmente ciascuna.
• Impostazioni: il tema, la lingua e preferenze simili che hai scelto.
• Contatori di limitazione delle richieste: contatori di richieste di breve durata che proteggono i moduli di accesso dagli attacchi volti a indovinare le password.

2.5. Ciò che NON abbiamo

• Non abbiamo le tue credenziali di home banking e non te le chiederemo mai.
• Non abbiamo i numeri delle tue carte di pagamento: i dati della carta vanno soltanto al fornitore dei servizi di pagamento (vedi la sezione 6), mai al nostro server.
• Non creiamo profili pubblicitari e non raccogliamo la cronologia di navigazione.

3.Finalità e basi giuridiche

In breve: trattiamo i dati solo affinché l'app funzioni, sia sicura e rispetti la legge. Per il marketing, solo con il tuo consenso specifico.

Non trattiamo mai i tuoi dati per venderli, darli in locazione o cederli agli inserzionisti. Non abbiamo questa finalità e non l'avremo mai.

4.Come sono protetti i tuoi dati, in tutta trasparenza

In breve: i campi personali sono crittografati, la tua password non viene mai conservata in chiaro e il database non è raggiungibile da internet. Tecnicamente possiamo accedere ai dati, e lo diciamo apertamente invece di fingere di non poterlo fare.

4.1. Crittografia

• I campi personali (titoli delle transazioni, note, indirizzi dei wallet e contenuti simili a testo libero) sono conservati nel database crittografati a livello di campo (Fernet, uno schema simmetrico basato su AES-128 con verifica dell'integrità).
• Gli identificativi del collegamento bancario (l'IBAN del conto e gli identificativi della sessione di accesso) sono conservati crittografati con lo stesso schema a livello di campo.
• Gli importi e le date sono conservati in chiaro, deliberatamente: senza di essi nessun calcolo funzionerebbe, né i totali del budget né le proiezioni dei debiti. Un importo senza contesto («−23,40») non rivela di per sé a che cosa si riferisse.
• La chiave di crittografia è conservata sul server separatamente dalle copie di backup del database: un backup da solo, senza la chiave, non espone i campi personali.
• Tutti i dati scambiati tra il tuo browser e il server viaggiano esclusivamente su una connessione HTTPS crittografata.

4.2. Ciò che deliberatamente NON affermiamo

Molti servizi affermano: «non possiamo accedere ai tuoi dati». Noi non lo diremo, perché non sarebbe vero. La chiave di crittografia si trova sul server: altrimenti il recupero della password via e-mail non funzionerebbe e i tuoi dati andrebbero persi irrimediabilmente insieme a una password dimenticata. Ciò significa che il titolare del trattamento dispone effettivamente di un accesso tecnico ai dati. Il nostro impegno è il seguente: al contenuto dei dati accede solo il titolare del trattamento personalmente e solo a fini di assistenza, su richiesta dell'utente stesso; mai per curiosità, per analisi o per marketing. La promessa onesta è: crittografati, mai venduti, eliminabili con un clic; non di più, ma nemmeno di meno.

4.3. Password e accesso

• Le password sono conservate esclusivamente come hash bcrypt.
• È disponibile l'autenticazione a due fattori (TOTP); ti consigliamo di attivarla.
• Le sessioni sono legate a un dispositivo; puoi revocarle singolarmente nelle impostazioni.
• I moduli di accesso sono protetti da limiti di richieste che bloccano gli attacchi volti a indovinare le password.
• Nelle risposte relative all'accesso e al recupero della password, il sistema non rivela se esiste un account con un determinato indirizzo e-mail.

4.4. Infrastruttura

• Il database non è raggiungibile da internet: può accedervi soltanto l'applicazione stessa, dallo stesso server.
• L'applicazione viene eseguita in un ambiente limitato, senza privilegi di amministratore.
• Ogni azione di un amministratore nel sistema viene registrata in un registro di audit.
• Il pannello di amministrazione è tecnicamente separato dai dati finanziari degli utenti: vede solo dati numerici aggregati, mai i contenuti.

5.Dove si trovano fisicamente i tuoi dati

In breve: su un server in Germania, nell'Unione europea. I dati non vengono trasferiti al di fuori dell'UE/SEE.

Tutti i dati di Groworth sono conservati su un server di Hetzner Online GmbH in Germania, ossia nell'Unione europea, dove il GDPR si applica direttamente. Nessun dato viene trasferito verso paesi al di fuori dell'UE/SEE. Se ciò dovesse cambiare, aggiorneremmo prima la presente informativa e lo comunicheremmo (vedi la sezione 13).

6.Con chi condividiamo i dati

In breve: con nessuno, eccetto i nostri responsabili tecnici del trattamento: l'hosting nell'UE, l'invio delle e-mail e, solo se colleghi tu stesso una banca, il collegamento dei dati bancari. Le fonti dei prezzi vedono soltanto i simboli degli strumenti. I tuoi dati non vengono mai venduti: mai, a nessuno, in nessuna forma.

6.1. Responsabili del trattamento attuali

6.1.1. Il collegamento dei dati bancari: come funziona

Collegare una banca è una scelta, non un'impostazione predefinita: senza di esso Groworth funziona pienamente con l'inserimento manuale e l'importazione CSV. Se colleghi una banca:

• Dai il consenso nella banca stessa. Vieni reindirizzato all'autorizzazione della tua banca (Smart-ID o l'app della banca). Groworth non vede mai la password del tuo home banking: l'autorizzazione avviene presso la banca, e noi riceviamo soltanto un accesso in sola lettura all'elenco delle transazioni.
• Che cosa riceviamo: le transazioni del conto (data, importo, valuta, nome del beneficiario, causale del pagamento) e l'identificativo del conto (IBAN). L'IBAN e gli identificativi di sessione sono conservati crittografati nel nostro database (vedi il punto 4.1). Non possiamo effettuare pagamenti: l'accesso è in sola lettura (AISP); la disposizione di ordini di pagamento non è stata richiesta e non è possibile.
• Base giuridica: esecuzione di un contratto (articolo 6, paragrafo 1, lettera b), del GDPR): la lettura delle tue transazioni è una funzione che richiedi tu stesso. L'intermediario è Enable Banking Oy, un prestatore di servizi di informazione sui conti (AISP) autorizzato in Finlandia, UE.
• Il consenso scade da solo al più tardi dopo 180 giorni (un limite della PSD2); a quel punto la banca deve essere approvata di nuovo. Puoi revocarlo in qualsiasi momento: Impostazioni → Banche → «Scollega», oppure direttamente nel tuo home banking. Quando scolleghi la banca, le transazioni già lette restano nel tuo account: sono dati tuoi e possono essere eliminate come qualsiasi altra registrazione.
• Le righe importate non diventano verità da sole. Ogni transazione bancaria arriva non confermata e attende la tua conferma: la categoria la scegli tu.

6.2. Fonti dei dati sui prezzi: nessun dato personale

Per mostrare i prezzi aggiornati nel tuo portafoglio, il server interroga periodicamente fonti pubbliche di prezzi: CoinGecko (cripto-attività), DexScreener (token delle borse decentralizzate, tramite indirizzo del contratto), Yahoo Finance (titoli) e la Banca centrale europea (tassi di cambio). A queste fonti vengono inviati soltanto i simboli degli strumenti o gli indirizzi dei contratti dei token (ad esempio «BTC», «VWCE» o l'indirizzo di un token), mai il tuo nome, la tua e-mail, le quantità o qualsiasi altra cosa che ti identifichi. Il server recupera ogni prezzo una sola volta e lo condivide tra tutti gli utenti, per cui dalle interrogazioni è impossibile dedurre quale utente detenga quale bene.

6.2.a. Indirizzi pubblici di wallet di criptovalute

Se aggiungi l'indirizzo pubblico di un wallet di criptovalute nel Portafoglio, lo conserviamo crittografato come gli altri campi personali e chiediamo periodicamente il relativo saldo a nodi pubblici della blockchain (Solana RPC, Ethereum RPC, Blockstream Bitcoin API). Tali nodi ricevono soltanto l'indirizzo stesso, che è già pubblico sulla blockchain. Non chiediamo mai chiavi private né frasi seed, che non entrano mai in questa app. Puoi eliminare l'indirizzo in qualsiasi momento, e i saldi recuperati scompaiono insieme a esso.

6.3. Elaborazione dei pagamenti: Stripe

• Stripe (Stripe Payments Europe, Ltd., Irlanda): il fornitore dei servizi di pagamento e titolare autonomo del trattamento dei dati di pagamento. Il numero della tua carta non raggiunge mai il nostro server: lo vede soltanto Stripe, nel proprio ambiente di pagamento. Da Stripe riceviamo soltanto gli identificativi del cliente e dell'abbonamento, l'importo del pagamento e il suo stato.

6.4. Quando lo richiede la legge

Possiamo comunicare dati alle autorità pubbliche solo se la normativa applicabile lo richiede e la richiesta ha una base giuridica. Salvo che la legge lo vieti, ti informeremo di tale richiesta.

6.5. Ciò che non facciamo

• Non vendiamo né diamo in locazione dati, né individuali né aggregati.
• Non inviamo dati a reti pubblicitarie o a data broker.
• Non mostriamo annunci e non integriamo tracker pubblicitari.

7.Cookie e tracciamento

In breve: non ci sono cookie di tracciamento, né nostri né di terze parti. L'unico cookie è la tua scelta della lingua, ed è strettamente necessario; per questo non c'è alcun banner dei cookie. La tua sessione risiede nella memoria locale del tuo browser, e le statistiche delle visite sono anonime, senza indirizzi IP.

7.1. Cookie

Groworth utilizza un cookie, lang, e solo se scegli tu stesso una lingua (LV/EN) nella pagina principale. Memorizza due lettere («lv» o «en»), dura 12 mesi e serve a un unico scopo: aprire la pagina nella tua lingua la volta successiva. È un cookie funzionale, non di tracciamento, e la legge non richiede alcun consenso per esso; per questo le nostre pagine non hanno un banner dei cookie. Non ci sono cookie pubblicitari, analitici o di terze parti.

7.2. Memoria locale del browser (localStorage)

Dopo l'accesso, la tua chiave di sessione viene conservata nella memoria locale del browser (localStorage) del tuo dispositivo. Ciò è tecnicamente necessario per mantenere l'accesso: l'app non può funzionare senza. La chiave non viene inviata da nessuna parte se non al nostro server, e scompare quando esci dall'account o cancelli i dati del browser.

7.3. Statistiche delle visite

Contiamo le visite alla pagina principale in due modi, entrambi anonimi. Il primo è un totale giornaliero anonimo: un unico numero nel nostro database. Il secondo è Umami, un sistema open source di statistiche delle visite che funziona sul nostro server, non usa cookie e non memorizza alcun indirizzo IP: vede quante persone hanno aperto quale pagina e da quale paese, ma non chi sei, e non può collegare tra loro due tue visite. Durante la registrazione annota allo stesso modo, in forma anonima, a quale passaggio è arrivata una persona (ad esempio «questionario, passaggio 3»), senza e-mail, nome o importi; dopo la registrazione non misura nulla all'interno dell'app. Nulla lascia il nostro server. Sulle nostre pagine non ci sono Google Analytics né altri strumenti di analisi di terze parti.

7.4. Protezione dai bot

Per proteggere i moduli dai bot utilizziamo un problema matematico che il tuo browser risolve da solo («proof of work»): nessun servizio di terze parti, nessun tracciamento, nessun puzzle di immagini da risolvere. Da esso non ci arriva alcun dato su di te.

8.Iscrizione via e-mail nella pagina principale

In breve: se lasci la tua e-mail nella pagina principale, ti invieremo una sola cosa: le comunicazioni di Groworth. Nient'altro. E-mail di marketing solo se presti un consenso specifico per esse.

Nella pagina principale puoi iscriverti alla mailing list fornendo soltanto un indirizzo e-mail. Utilizziamo tale indirizzo per un unico scopo: inviarti le comunicazioni di Groworth. La pagina principale promette «Non invieremo nient'altro», e questa promessa è anche giuridicamente vincolante: qualsiasi altra e-mail (novità, offerte) richiederebbe il tuo consenso specifico e liberamente prestato, che ti chiederemmo apertamente e non presumeremmo mai tacitamente.

Puoi lasciare la lista in qualsiasi momento scrivendo a support@groworth.xyz oppure tramite il link nell'e-mail; l'indirizzo verrà eliminato. Per i tempi di conservazione, vedi la sezione 9.

9.Per quanto tempo conserviamo i dati

In breve: finché il tuo account è attivo. Quando elimini il tuo account, i dati scompaiono immediatamente dal database operativo e dai backup crittografati al più tardi entro 30 giorni.

10.I tuoi diritti e come esercitarli

In breve: per ogni diritto previsto dal GDPR abbiamo un pulsante concreto, non un modulo e un'attesa. Esportazione: un clic. Cancellazione: un clic. Rettifica: tutto è modificabile nell'app stessa.

Il GDPR ti garantisce dei diritti sui tuoi dati. Per ciascuno di essi abbiamo integrato un meccanismo direttamente nell'app, in modo che per esercitarli non sia mai necessario redigere richieste formali:

11.Decisioni automatizzate e profilazione

In breve: nessun algoritmo prende decisioni che producono effetti giuridici nei tuoi confronti. XP, livelli e proiezioni sono aritmetica sui tuoi numeri, non un giudizio su di te.

Groworth non effettua alcun processo decisionale automatizzato ai sensi dell'articolo 22 del GDPR, ossia del tipo che produce effetti giuridici che ti riguardano o che incide in modo analogo significativamente sulla tua persona. I calcoli dell'app (XP, livelli, proiezioni di rimborso dei debiti, totali del budget) sono semplice aritmetica su dati che hai inserito tu stesso e servono soltanto a te, a titolo informativo. Non creiamo profili degli utenti a fini pubblicitari, di valutazione del merito creditizio o di qualsiasi tipo di selezione.

12.Limite di età

In breve: Groworth è destinato agli adulti, dai 18 anni in su.

Il servizio è destinato a persone di almeno 18 anni e, registrandoti, confermi di essere maggiorenne. Deliberatamente non raccogliamo dati sui minori. Se veniamo a sapere che un account è stato creato da una persona di età inferiore a 18 anni, l'account e i relativi dati verranno eliminati.

13.Modifiche alla presente informativa

In breve: comunicheremo le modifiche sostanziali via e-mail con almeno 14 giorni di anticipo. Modifiche silenziose e impercettibili sui punti che contano: non ce ne saranno.

La presente informativa può cambiare, ad esempio quando cambiano i responsabili del trattamento o le funzioni dell'app. Le modifiche sostanziali, ossia quelle che cambiano l'ambito dei dati trattati, i responsabili del trattamento o i tuoi diritti, saranno comunicate all'indirizzo e-mail del tuo account almeno 14 giorni prima della loro entrata in vigore. La data di entrata in vigore e il numero di ciascuna versione sono indicati all'inizio e alla fine della pagina. Le correzioni redazionali (refusi, precisazioni della formulazione senza modifiche di sostanza) possono avvenire senza una comunicazione separata.

14.Contatti e reclami

In breve: scrivici e ti risponderemo al più tardi entro un mese. Se la risposta non ti soddisfa, puoi sempre rivolgerti a Datu valsts inspekcija (l'Ispettorato statale per la protezione dei dati della Lettonia).

Per domande sulla presente informativa e sul trattamento dei tuoi dati:

• Titolare del trattamento: SIA Appmeway, reg. No. 40103588483, Mēness iela 16-8, Riga, LV-1013, Latvia
• E-mail: support@groworth.xyz
• Autorità di controllo: Datu valsts inspekcija (l'Ispettorato statale per la protezione dei dati della Lettonia), dvi.gov.lv