Privacy Policy di Signal

1. Titolare del trattamento

Il Titolare del trattamento dei dati personali è:

Elianor
Calle Virgen del Coromoto 6, 38689 Guía de Isora, Tenerife, Canary Islands, Spagna
NIE/CIF: Z2365839H
Email: [email protected]
Telefono: +34 672 56 61 37
Sito: signal.elianor.org

2. Dati raccolti

a) Dati di registrazione

• Nome (mostrato pubblicamente sulla rete)
• Indirizzo email
• Password (memorizzata in forma cifrata)
• Bio e foto profilo (facoltativi)
• Lingua preferita

b) Dati di geolocalizzazione

• Coordinate geografiche fornite dall’Utente, salvate con precisione scelta dall’Utente (esatta o ridotta) e visibili sulla mappa solo se l’Utente abilita la condivisione.
• Indirizzo IP utilizzato per stimare la posizione e per misure di sicurezza.
• La condivisione della posizione richiede consenso esplicito al primo accesso alla mappa ed è revocabile in qualsiasi momento dalle impostazioni del profilo.

c) Dati di profilo pubblico

• Service Card (titolo, descrizione, categoria, modalità di scambio, disponibilità di emergenza).
• Bilancio del portafoglio SIG (valuta interna).
• Stato di Risonanza (esito del processo di onboarding).
• Badge ottenuti all’interno della rete.

d) Dati di scambio

• Storico degli scambi avviati e ricevuti tra Utenti (orario, controparte, card, importo in SIG, valutazione finale).
• Movimenti del portafoglio SIG, inclusi accrediti, addebiti e blocchi in escrow.

e) Dati di messaggistica interna

• Contenuto dei messaggi 1-a-1 scambiati tra Utenti tramite la funzione "Messaggi" della Piattaforma.
• Metadati tecnici (timestamp di invio, lettura e identificativo dei partecipanti).

f) Dati di navigazione e sicurezza

• Indirizzo IP, browser, sistema operativo.
• Pagine visitate e timestamp di accesso.
• Log di sicurezza (login, fallimenti di login, cambi password, azioni amministrative).
• Cookie tecnici strettamente necessari per autenticazione e preferenze di sessione (vedi sezione 10).

3. Finalità del trattamento

I dati personali sono trattati per le seguenti finalità:

• Erogazione del servizio — gestione dell’account, visualizzazione della mappa, pubblicazione di Service Card, avviamento di scambi tra Utenti, scambio di messaggi 1-a-1.
• Comunicazioni operative — invio email di verifica, reset password, notifiche su scambi ricevuti, esito Risonanza, emergenze nelle vicinanze.
• Processo di Risonanza — valutazione di idoneità all’ingresso nella rete sulla base del questionario compilato dall’Utente.
• Sicurezza della Piattaforma — prevenzione di abusi, rate limiting, registrazione di eventi critici.
• Obblighi di legge — adempimento di obblighi previsti dalla normativa spagnola ed europea.
• Miglioramento del servizio — analisi aggregate e anonime sull’uso della Piattaforma.

4. Base giuridica del trattamento

• Esecuzione di un contratto (Art. 6.1.b GDPR) — per la gestione dell’account, la pubblicazione delle Service Card e la gestione degli scambi.
• Consenso (Art. 6.1.a GDPR) — per la condivisione della posizione sulla mappa e per le notifiche email facoltative.
• Obbligo legale (Art. 6.1.c GDPR) — per la conservazione di dati richiesti dalla normativa.
• Legittimo interesse (Art. 6.1.f GDPR) — per la sicurezza della Piattaforma e la prevenzione di abusi.

5. Conservazione dei dati

• Dati dell’account — conservati per la durata dell’account e fino a 12 mesi dopo l’eliminazione.
• Storico scambi e movimenti SIG — conservati per tutta la durata dell’account, in forma aggregata anche oltre per integrità del registro.
• Messaggi 1-a-1 — conservati finché entrambi i partecipanti mantengono attivo l’account; possono essere cancellati dal singolo Utente.
• Log di sicurezza — conservati per un massimo di 12 mesi.
• Cookie tecnici — durata della sessione o secondo quanto indicato nella sezione 10.

6. Condivisione dei dati

I dati personali possono essere condivisi con:

• Altri Utenti della rete — limitatamente ai dati resi pubblici dall’Utente (nome, bio, foto, Service Card, posizione sulla mappa se abilitata).
• Fornitori dell’infrastruttura tecnica — hosting, database, code di lavoro, servizio email transazionale. I server sono ubicati nell’UE o in Paesi con livello di protezione adeguato.
• Servizi cartografici — le tessere della mappa provengono da CartoDB, su dati OpenStreetMap. Sono richieste direttamente dal browser dell’Utente: il fornitore vede quindi il suo indirizzo IP e l’area consultata, senza che Signal trasmetta alcun dato.
• Ricerca di indirizzi (geocodifica) — quando l’Utente imposta la propria posizione scrivendo un indirizzo, quel testo viene inviato a Nominatim (OpenStreetMap Foundation) per essere convertito in coordinate. L’invio avviene solo su azione dell’Utente e non è associato al suo account.
• Notifiche push — se attivate, le notifiche transitano per il servizio del browser scelto dall’Utente (Google per Chrome, Mozilla per Firefox, Apple per Safari). Il contenuto è cifrato fra Signal e il dispositivo.
• Rete di distribuzione e protezione — Cloudflare, che instrada e protegge il traffico diretto alla Piattaforma.
• Posta elettronica — Aruba, per le sole comunicazioni di servizio.
• Traduzione automatica — eseguita da un motore ospitato sui server di Signal: i testi restano sull’infrastruttura di Signal.
• Autorità competenti — quando richiesto dalla legge o da un’ordinanza dell’autorità giudiziaria.

Donazioni. Signal non vende beni né servizi e non trattiene commissioni. La Piattaforma può ospitare un rimando a una raccolta fondi esterna (GoFundMe), destinata esclusivamente a sostenere i costi del progetto e non a scopo di lucro. La donazione avviene interamente sul sito del fornitore: Signal non raccoglie, non tratta e non conserva alcun dato di pagamento.

7. Sistema di monitoraggio emergenze

Signal integra un sistema di monitoraggio multi-sorgente che aggrega in tempo reale eventi rilevanti per la sicurezza civile. Il sistema acquisisce dati esclusivamente da fonti pubbliche, istituzionali e open data, e li mostra agli Utenti sulla mappa e nella sezione Emergenze.

a) Fonti di dati esterne

Le sorgenti attive includono:

• USGS (United States Geological Survey) — sismologia globale
• EMSC-CSEM — rete sismica euro-mediterranea
• GDACS (Global Disaster Alert and Coordination System) — Commissione Europea + UN-OCHA
• Meteoalarm (EUMETNET) — allerte meteorologiche dei servizi nazionali europei
• OMS (Organizzazione Mondiale della Sanità) — emergenze sanitarie internazionali
• ReliefWeb (UN-OCHA) — crisi umanitarie
• GDELT — monitoraggio di eventi sociali e conflittuali
• Netblocks — interruzioni di rete e blackout digitali
• Gazzette ufficiali di Italia, Spagna e Francia — provvedimenti d’emergenza

Le fonti istituzionali sono presentate come verificate. GDELT e Netblocks sono sorgenti monitorate ma non verificate: gli avvisi che ne derivano lo riportano in modo esplicito, e la loro affidabilità non è garantita da Signal.

Questi dati sono pubblici e non contengono informazioni personali identificative; vengono trattati per finalità di sicurezza civile e informazione comunitaria.

b) Dati personali nel contesto delle emergenze

• Segnalazioni inviate dall’Utente (funzione "Invia allerta") — categoria, descrizione, posizione approssimata, timestamp. La segnalazione è visibile agli altri Utenti nella mappa e nella sezione Emergenze.
• Chiamate di soccorso (funzione "Chiedi soccorso") — posizione approssimata, timestamp, stato della chiamata (aperta / presa in carico / chiusa). La richiesta viene diffusa agli Utenti Signal entro un raggio configurabile.
• Posizione approssimata — utilizzata solo per ordinare gli alert per prossimità geografica e per diffondere segnalazioni di emergenza; la precisione è quella scelta dall’Utente nelle impostazioni privacy.

c) Base giuridica e finalità

• Esecuzione di un contratto (Art. 6.1.b GDPR) — per fornire la funzione di allerta comunitaria richiesta dall’Utente.
• Interesse vitale (Art. 6.1.d GDPR) — per le chiamate di soccorso, dove il trattamento è necessario alla tutela dell’incolumità dell’Utente.
• Legittimo interesse (Art. 6.1.f GDPR) — per la diffusione di allerte di sicurezza civile basate su fonti pubbliche.

d) Conservazione

• Alert da fonti esterne — conservati fino alla scadenza tecnica dichiarata dalla sorgente, e comunque non oltre 90 giorni dalla pubblicazione.
• Segnalazioni dell’Utente — conservate per 12 mesi, dopo i quali sono anonimizzate o eliminate.
• Chiamate di soccorso — i metadati sono conservati per 24 mesi a fini di sicurezza, audit e tutela legale; il contenuto descrittivo è eliminato dopo 90 giorni dalla chiusura.

e) Trasparenza e tracciabilità

Ogni alert da fonte esterna riporta la sorgente originale, il timestamp di acquisizione e l’URL pubblico di riferimento, quando disponibile. Signal non effettua profilazione, ranking pubblicitario o mediazione algoritmica orientata all’engagement: gli alert sono ordinati esclusivamente secondo criteri tecnici dichiarati (prossimità geografica e severità).

8. Trasferimenti internazionali

Alcuni fornitori tecnici possono operare al di fuori dello Spazio Economico Europeo (SEE). In tali casi i trasferimenti sono assistiti da garanzie adeguate (Clausole Contrattuali Standard approvate dalla Commissione Europea, decisioni di adeguatezza, codici di condotta riconosciuti).

9. Diritti dell’Utente

Ai sensi del GDPR e della LOPDGDD (Ley Orgánica 3/2018), l’Utente ha diritto a:

• Accesso — ottenere conferma dell’esistenza del trattamento e copia dei propri dati.
• Rettifica — correggere dati inesatti o incompleti.
• Cancellazione — chiedere l’eliminazione dei propri dati quando non più necessari o in caso di revoca del consenso.
• Limitazione del trattamento — in caso di contestazione sull’esattezza dei dati o trattamento illecito.
• Portabilità — ricevere i propri dati in formato strutturato, di uso comune e leggibile da dispositivo automatico.
• Opposizione — opporsi in qualunque momento al trattamento per motivi legittimi.
• Revoca del consenso — revocare il consenso precedentemente prestato, fermo restando la liceità dei trattamenti effettuati prima della revoca.

In particolare, foto profilo e bio sono modificabili o rimovibili in qualunque momento dall’Utente nella propria pagina di profilo. La rimozione della foto cancella il file dai server di Signal entro un tempo tecnicamente necessario.

Per esercitare questi diritti scrivi a [email protected].

Hai inoltre il diritto di proporre reclamo all’Autorità di controllo competente: in Spagna, Agencia Española de Protección de Datos (AEPD).

10. Sicurezza

Signal adotta misure tecniche e organizzative ragionevoli per proteggere i dati personali, inclusa la cifratura delle password, autenticazione con JWT a doppio token, protezione CSRF su tutte le operazioni di scrittura, rate limiting e registrazione di eventi critici. L’Utente si impegna a custodire le proprie credenziali, a usare dispositivi aggiornati e a segnalare tempestivamente eventuali accessi non autorizzati al proprio account.

11. Cookie

La Piattaforma utilizza esclusivamente:

• Cookie tecnici strettamente necessari — autenticazione (access token, refresh token, token CSRF) e preferenze di lingua. Questi cookie sono indispensabili al funzionamento del servizio e non richiedono consenso.

Signal non utilizza cookie di profilazione, cookie pubblicitari né tracker di terze parti. L’Utente può gestire le proprie preferenze cookie dalle impostazioni del browser.

12. Modifiche

Ci riserviamo il diritto di aggiornare la presente Privacy Policy in qualsiasi momento. In caso di modifiche sostanziali, gli Utenti saranno informati via email o tramite avviso sulla Piattaforma.

Per qualsiasi domanda sul trattamento dei tuoi dati personali, scrivici a [email protected].