Informativa sul trattamento dei dati personali

In breve

Wenu — ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 («GDPR»).

• Trattiamo solo i dati che servono a far funzionare l’app: il tuo account e i contenuti dei tuoi piani.
• Niente pubblicità, niente profilazione, nessuno strumento di analisi o tracciamento.
• Se usi la lettura della voce o dei documenti, il testo o il documento va ad Anthropic (Stati Uniti), che lo legge per noi e ci restituisce le voci da proporti: per i documenti ti chiediamo prima un consenso.
• Se colleghi Alexa, Amazon riceve le domande che le fai sul piano e le nostre risposte, compresi i nomi dei commensali.
• I dati sono conservati su server nell’Unione europea, in Germania, e anche le copie di sicurezza restano nell’Unione.
• Puoi cancellare l’account dall’app in qualsiasi momento, e chiederci una copia dei tuoi dati.

1. Chi sono i titolari del trattamento

I titolari del trattamento sono, insieme (contitolari, art. 26 GDPR), Mauro Giuseppe Mazzola, Via Ferdinando Cafiero 9, 76121 Barletta (BT), codice fiscale MZZMGS94C14L109B, e Alberto Cassano, Via Cesare Dante Cioce 21, 76121 Barletta (BT), codice fiscale CSSLRT93S04L328B, che pubblicano l’app con il nome Arè Labs. Abbiamo stabilito insieme le finalità e i mezzi del trattamento e chi di noi fa che cosa; alle tue richieste rispondiamo insieme, attraverso l’unico indirizzo qui sotto, e puoi comunque esercitare i tuoi diritti nei confronti di ciascuno di noi.

Email per ogni richiesta sulla privacy: arelabs.bt@gmail.com.

Non abbiamo nominato un Responsabile della protezione dei dati (DPO): per il tipo di trattamento che facciamo non è obbligatorio.

2.1 I dati del tuo account

• il tuo indirizzo email;
• la password, che conserviamo solo in forma cifrata con un algoritmo non reversibile: non possiamo leggerla;
• se accedi con Google o Facebook, l’identificativo che il fornitore ci comunica e il nome del tuo profilo;
• la data di registrazione e dell’ultimo accesso;
• dati di sicurezza: i tentativi di accesso non riusciti e gli eventuali blocchi temporanei;
• il piano che hai scelto come preferito;
• la versione dei Termini che hai accettato e dell’Informativa che ti è stata mostrata, con la data.

2.2 I contenuti dei tuoi piani

• il nome del piano; pasti, portate, piatti, ingredienti, quantità e unità di misura;
• i nomi dei commensali e che cosa mangia ciascuno;
• la lista della spesa: le voci, quali hai spuntato e la data in cui hai spuntato ciascuna voce;
• i membri del piano e i loro ruoli; gli inviti, con l’indirizzo email di chi è invitato;
• il luogo del piano: la città che scegli e le sue coordinate arrotondate (circa un chilometro);
• l’album delle figurine: per ogni commensale, quali ingredienti ha assaggiato, quante volte e quando, e quali figurine hai messo «fuori album» (senza il motivo);
• lo storico dei piatti: quali piatti sono stati nel piano e per quanto tempo, con i loro ingredienti.

2.3 Dati tecnici

• Quando usi l’app, i nostri server registrano l’indirizzo IP, la data e l’ora, l’indirizzo della richiesta e il tipo di dispositivo o di browser (log del server).
• I log dell’applicazione registrano l’identificativo dell’utente e del piano coinvolti in un’operazione, senza il tuo indirizzo email.
• Le sessioni di accesso sono gestite con codici conservati in forma cifrata, che scadono.
• Per fermare gli abusi, come la creazione di account in massa, contiamo le registrazioni e le letture con l’intelligenza artificiale che arrivano dallo stesso indirizzo IP: i contatori scadono entro un giorno.
• Notifiche: i promemoria li programma il tuo telefono (punto 2.4). Non usiamo notifiche inviate dal server e, a parte il codice degli aggiornamenti qui sotto, non raccogliamo identificativi del dispositivo; se un giorno le useremo, aggiorneremo questa informativa.
• Aggiornamenti dell’app: quando l’app si apre o torna in primo piano, chiede a Expo, che distribuisce per noi le versioni nuove, se ce n’è una. Nella richiesta ci sono l’indirizzo IP, il sistema operativo, la versione dell’app e un codice casuale creato all’installazione, che non contiene dati su di te e serve solo a distribuire gli aggiornamenti e a contarli.

2.4 I dati sul tuo telefono

L’app conserva sul dispositivo una copia del piano e delle tue preferenze, e il codice di sessione in un’area protetta del sistema. Si cancellano uscendo dall’account o disinstallando l’app.

Fanno eccezione i promemoria che imposti — per quale piatto o ingrediente, in che giorno e a che ora —: restano sul telefono e non arrivano ai nostri server. Uscendo dall’account si cancellano le notifiche programmate, ma le impostazioni restano, così le ritrovi quando rientri; si cancellano eliminando l’account da quel telefono o disinstallando l’app.

2.5 Che cosa non raccogliamo

Dati di pagamento, posizione GPS, rubrica. Fotografie e dati sulla salute solo se scegli tu di farci leggere un documento (punto 3.3), e solo per il tempo della lettura. Ti chiediamo di non scrivere nei campi di testo informazioni sulla salute (per esempio diagnosi o allergie): l’app non ne ha bisogno.

3.1 I commensali

I nomi dei commensali, le informazioni su che cosa mangiano e gli assaggi registrati nell’album riguardano persone che spesso non hanno un account, per esempio i tuoi figli. Li inserisci tu, sotto la tua responsabilità: assicurati di poterlo fare e informa le persone interessate; per un minore, puoi farlo se ne eserciti la responsabilità genitoriale. Ti consigliamo di usare un nome proprio o un soprannome.

Non possiamo informare direttamente queste persone perché non abbiamo i loro contatti; trattiamo i loro dati solo per fornirti il Servizio.

3.2 Se hai ricevuto un invito

Qualcuno ti ha invitato a condividere un piano indicando il tuo indirizzo email. Lo usiamo solo per mandarti l’invito e, se ti registri, per collegarti al piano. Se non vuoi ricevere inviti o vuoi che cancelliamo il tuo indirizzo, scrivici. La base giuridica è il legittimo interesse, nostro e di chi ti ha invitato, a condividere un piano (art. 6, par. 1, lett. f GDPR).

3.3 La lettura della voce e dei documenti

Puoi riempire la settimana dettandola, scrivendola o caricando un documento (una dieta, il menù della mensa, una ricetta, la foto di un menù). Il riconoscimento della voce lo fa il tuo telefono — su Android il servizio di Google, che può passare dai server di Google secondo le sue regole —: a noi arriva solo il testo.

Il testo, il documento o le foto li mandiamo ad Anthropic PBC (Stati Uniti), che con il modello Claude li legge e ci restituisce le voci della settimana. Le voci sono solo proposte: entrano nel piano quando le confermi tu.

• Che cosa parte: il testo dettato o scritto, oppure il documento o le foto (il telefono le riduce e toglie i dati di posizione); i nomi dei commensali del piano; il giorno della settimana e la data di oggi.
• Che cosa non parte: la tua email, il nome del tuo account, il luogo del piano, gli altri piani.
• Anthropic non usa questi dati per addestrare i suoi modelli e li cancella entro 30 giorni (fino a 2 anni solo quelli segnalati dai suoi sistemi di sicurezza).
• Noi non conserviamo il documento: non finisce né su disco né nel database. Le voci lette restano al più un’ora sul server, per l’anteprima.
• Una dieta può contenere dati sulla salute: per i documenti ti chiediamo prima un consenso esplicito, che puoi revocare dal Profilo in qualsiasi momento. Senza il consenso la voce, il testo e tutto il resto dell’app funzionano lo stesso.

Il testo del consenso alla lettura dei documenti

3.4 Il collegamento con Alexa

Se hai un dispositivo con Alexa puoi collegare il tuo account e chiederle a voce che cosa c’è nel piano. Il collegamento è facoltativo e lo fai tu, dal Profilo dell’app o dall’app Alexa.

• Che cosa legge la skill: per rispondere alle tue domande, il suo programma — che gira su server di Amazon — legge con un accesso di sola lettura il tuo piano preferito, insieme ai dati di base del tuo account (come l’email e gli inviti in attesa). Non legge l’album delle figurine né il contenuto degli altri tuoi piani.
• Che cosa riceve Amazon: le tue domande — la voce la riconosce Alexa — e le nostre risposte, che possono contenere i nomi dei commensali, i piatti, gli ingredienti e le quantità. Per riconoscerli quando li pronunci, le mandiamo anche i nomi dei commensali e di alcuni piatti e ingredienti del piano.
• Amazon tratta questi dati come titolare autonomo del servizio Alexa, secondo le proprie regole.
• Se colleghi Alexa dall’app, accedi ad Amazon: Amazon ci dà un codice temporaneo, che usiamo solo per attivare la skill sul tuo account Amazon e non conserviamo.
• Il collegamento resta attivo finché non lo scolleghi, dal Profilo («Scollega Alexa») o dall’app Alexa: da allora Alexa smette di leggere il piano entro un’ora. Senza uso, il collegamento scade dopo un anno.

4. Perché trattiamo i dati e su quale base giuridica

• Creare e gestire l’account, far funzionare l’app, condividere i piani (dati dei punti 2.1, 2.2 e 3): esecuzione del contratto (art. 6, par. 1, lett. b GDPR).
• Email di servizio — verifica dell’indirizzo, reimpostazione della password, inviti (indirizzi email): contratto (lett. b); per gli inviti a chi non ha un account, legittimo interesse (lett. f).
• Sicurezza: prevenire accessi abusivi, abusi del Servizio e attacchi, individuare e correggere i guasti (dati del punto 2.3 e dati di sicurezza): legittimo interesse a proteggere il Servizio e chi lo usa (lett. f).
• Leggere ciò che detti o scrivi per proporti le voci della settimana (punto 3.3): esecuzione del contratto (lett. b). Leggere i documenti che carichi, che possono contenere dati sulla salute: il tuo consenso esplicito (art. 6, par. 1, lett. a e art. 9, par. 2, lett. a GDPR), revocabile in qualsiasi momento.
• Rispondere alle domande che fai ad Alexa, se la colleghi (punto 3.4): esecuzione del contratto (lett. b).
• Dimostrare l’accettazione dei Termini e il consenso alla lettura dei documenti (versione e data): contratto e legittimo interesse (lett. b e f).
• Adempiere obblighi di legge e richieste delle autorità (i dati necessari): obbligo di legge (lett. c).
• Difendere i nostri diritti in una controversia (i dati necessari): legittimo interesse (lett. f).

Il consenso lo chiediamo per un solo trattamento, la lettura dei documenti (punto 3.3): a parte, al primo documento, e revocabile in qualsiasi momento dal Profilo. Non facciamo pubblicità, profilazione o statistiche.

Per i trattamenti basati sul legittimo interesse puoi chiederci come abbiamo bilanciato il nostro interesse con i tuoi diritti, e puoi opporti (punto 9).

5. Che cosa è obbligatorio

L’indirizzo email e la password (oppure l’accesso con Google o Facebook) sono necessari per creare l’account: senza, non possiamo fornire il Servizio. Tutti gli altri dati sono facoltativi.

6. A chi comunichiamo i dati

Fornitori che trattano i dati per nostro conto (responsabili del trattamento, art. 28 GDPR), vincolati da un contratto:

• server e database: Contabo GmbH, in Germania;
• invio delle email: Brevo, in Francia;
• copie di sicurezza: Cloudflare, Inc. (Stati Uniti), in un archivio che tiene i dati nell’Unione europea;
• aggiornamenti dell’app: Expo (650 Industries, Inc., Stati Uniti), che riceve l’indirizzo IP e il codice casuale dell’installazione (punto 2.3);
• il programma della skill Alexa, se colleghi Alexa (punto 3.4), che Amazon ospita sui suoi server nell’Unione europea, in Irlanda;
• lettura della voce e dei documenti: Anthropic PBC (Stati Uniti), che riceve il testo, il documento o le foto e i nomi dei commensali, e li usa solo per restituirci le voci da proporti (punto 3.3), secondo l’accordo di trattamento (DPA) compreso nei suoi termini commerciali, accettati il 24 ottobre 2026.

• Gli altri membri dei tuoi piani, che vedono i contenuti dei piani che condividi con loro.
• Google e Meta, se accedi con il loro account: ci comunicano email, nome e identificativo del profilo secondo le loro informative, e sono titolari autonomi del trattamento che fanno nel loro servizio di accesso.
• Amazon, se colleghi Alexa: riceve le tue domande, le nostre risposte e i nomi che le servono per capirti (punto 3.4), e li tratta come titolare autonomo del servizio Alexa.
• MET Norway riceve dai nostri server soltanto le coordinate arrotondate del piano, senza alcun dato che ti identifichi.
• Le autorità, quando la legge lo impone.

Non vendiamo e non cediamo i dati a terzi per fini commerciali.

Se crei la cartolina della settimana e la condividi, l’immagine esce dal Servizio per tua scelta, e chi la riceve (per esempio WhatsApp) la tratta secondo le proprie regole. La cartolina non contiene i nomi dei commensali.

7. Trasferimenti fuori dall’Unione europea

I nostri server si trovano nell’Unione europea, in Germania, e nell’Unione restano anche le copie di sicurezza e il programma della skill Alexa (in Irlanda). Se un fornitore tratta dati fuori dall’Unione (per esempio negli Stati Uniti), il trasferimento si basa su una decisione di adeguatezza della Commissione europea — come il Data Privacy Framework UE-USA per le società certificate — oppure sulle clausole contrattuali standard (artt. 45 e 46 GDPR). Puoi chiederci una copia delle garanzie adottate.

Anthropic tratta negli Stati Uniti ciò che le mandiamo per la lettura della voce e dei documenti: il trasferimento si basa sulle clausole contrattuali standard del suo accordo di trattamento. Expo distribuisce gli aggiornamenti dagli Stati Uniti: aderisce al Data Privacy Framework UE-USA, e i suoi termini comprendono anche le clausole contrattuali standard. Cloudflare, Inc., che conserva le copie di sicurezza nell’Unione, è una società statunitense che aderisce al Data Privacy Framework UE-USA.

8. Per quanto tempo conserviamo i dati

• Account: finché non lo cancelli.
• Account registrato e mai verificato: 30 giorni dalla registrazione, poi cancellato.
• Contenuti dei piani: finché il piano esiste.
• Elementi archiviati (piatti, ingredienti) e piani cancellati: 7 giorni, per poterli ripristinare; poi cancellati.
• Inviti: finché il piano esiste, come storia della condivisione; cancellati con il tuo account.
• Album delle figurine: finché esistono il commensale e il piano.
• Storico dei piatti: fino a 24 mesi dalla fine della presenza del piatto nel piano.
• Sessioni di accesso: al massimo circa 30 giorni dall’ultimo rinnovo.
• Collegamento con Alexa: finché non lo scolleghi; senza uso, scade dopo un anno.
• Codici per verificare l’email e reimpostare la password: fino alla scadenza (24 ore e 1 ora), poi cancellati.
• Registro dei Termini accettati e del consenso alla lettura dei documenti: finché esiste l’account.
• Lettura della voce e dei documenti: il documento non lo conserviamo, le voci lette restano al più un’ora sul server, e il conteggio mensile delle letture: 12 mesi. Anthropic conserva testi e documenti fino a 30 giorni.
• Contatori delle registrazioni e delle letture per indirizzo IP: al più un giorno.
• Log del server: 14 giorni.
• Copie di sicurezza (backup): 7 giorni: i dati cancellati spariscono dai backup entro questo periodo.

9. I tuoi diritti

Puoi chiederci in qualsiasi momento di:

• accedere ai tuoi dati e riceverne una copia (art. 15);
• correggerli (art. 16);
• cancellarli (art. 17);
• limitarne il trattamento (art. 18);
• riceverli in un formato strutturato e leggibile da una macchina, anche per trasferirli a un altro servizio (portabilità, art. 20);
• opporti ai trattamenti basati sul legittimo interesse (art. 21).

Come. Molte cose le fai direttamente nell’app: modificare o cancellare piani e contenuti, uscire dai piani di altre persone (Tavola → Esci dal piano), scollegare Alexa, revocare il consenso alla lettura dei documenti e cancellare l’account (Profilo → Elimina account). Per il resto scrivi a arelabs.bt@gmail.com dall’indirizzo del tuo account. Rispondiamo entro un mese, prorogabile di altri due nei casi complessi (te lo diremo), e gratuitamente.

Per la portabilità ti mandiamo un file con i dati del tuo account e dei piani di cui sei proprietario, con i tuoi ruoli e i tuoi inviti. I dati degli altri membri dei piani condivisi non sono inclusi.

Reclamo. Se ritieni che il trattamento violi il GDPR puoi presentare reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma) o all’autorità del Paese dell’Unione in cui vivi o lavori.

Garante per la protezione dei dati personali

10. Se cancelli l’account

• Dall’app: Profilo → Elimina account, con doppia conferma. Oppure scrivendoci dall’indirizzo dell’account.
• Cancelliamo: l’account, le sessioni, gli identificativi dei dispositivi e le preferenze, il registro dei Termini accettati e del consenso alla lettura dei documenti, il conteggio delle letture, i tuoi ruoli nei piani di altri, gli inviti che hai mandato e quelli che hai ricevuto, e i piani di cui sei proprietario che non hanno altri membri. Il collegamento con Alexa smette subito di funzionare, e sul telefono da cui elimini l’account si cancellano anche i promemoria.
• I piani condivisi di cui sei proprietario passano al membro che ha accettato l’invito da più tempo (con precedenza agli editor): i contenuti che vi hai inserito restano agli altri membri.
• Le copie di sicurezza vengono sovrascritte entro 7 giorni e i log entro 14 giorni.
• Istruzioni anche all’indirizzo https://wenuplanner.app/cancellazione.

Come cancellare l’account e i dati

11. Minori

Il Servizio è riservato ai maggiorenni. Non raccogliamo consapevolmente dati di minori come utenti: se ritieni che un minore abbia creato un account, scrivici e lo cancelleremo. I minori possono comparire come commensali inseriti da un genitore (punto 3.1).

12. Come proteggiamo i dati

Connessioni cifrate (HTTPS); password conservate solo come impronta non reversibile; codici di sessione conservati in forma cifrata e con scadenza; accesso ai piani solo per i loro membri; blocco temporaneo dopo tentativi di accesso errati; limiti alle registrazioni e alle letture dalla stessa rete; log senza indirizzi email; copie di sicurezza.

13. Decisioni automatizzate

Non prendiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o incidano in modo significativo su di te (art. 22 GDPR). I suggerimenti dell’app — per esempio l’«Equilibrio della settimana» — sono calcoli informativi che puoi ignorare. Anche le voci proposte dalla lettura della voce e dei documenti sono solo bozze: entrano nel piano quando le confermi tu.

14. Cookie

L’app non usa cookie di profilazione né di statistica. Le pagine web dei documenti legali non usano cookie. Durante l’accesso con Google o Facebook il nostro server usa un cookie tecnico di sessione, necessario per completare l’accesso, che non richiede consenso.

15. Modifiche a questa informativa

Se modifichiamo in modo sostanziale questa informativa te lo segnaliamo nell’app. Le versioni precedenti sono disponibili su richiesta.

16. Contatti

Arè Labs: Mauro Giuseppe Mazzola, Via Ferdinando Cafiero 9, e Alberto Cassano, Via Cesare Dante Cioce 21, 76121 Barletta (BT), Italia — arelabs.bt@gmail.com

Termini e condizioni