Informativa sulla privacy

1. Titolare del trattamento

Piano Piatto, Svizzera, contact@pianopiatto.com.
Versione del 1° novembre 2026. Politica conforme alla LPD svizzera e al GDPR (UE).

2. Dati raccolti

Bacchetta magica (Premium): ciò che scegli (pasto, tempo, porzioni, meal prep), la voglia che scrivi, i prodotti del frigo e della dispensa che lasci selezionati con «Con quello che ho» e, perché la ricetta li rispetti, i tuoi allergeni, i cibi che non ami e la tua dieta. Conserviamo il numero di creazioni, i nomi dei piatti proposti e il loro costo, per applicare il limite mensile. Per una foto: il nome e gli ingredienti della ricetta salvata; conserviamo il numero di foto, la ricetta interessata e il loro costo. Con «La mia versione»: ciò che vuoi cambiare; conserviamo sulla tua versione il link alla ricetta da cui parte.
Account: email, password (con hash), lingua, paese. Se accedi con Google: l'identificativo del tuo account Google, il suo nome e la sua foto. Se il suo indirizzo è quello di un account esistente, i due vengono collegati; se quell'indirizzo non era mai stato confermato, la vecchia password, le passkey e le sessioni aperte vengono rimosse, per sicurezza.
Profilo pubblico (opzionale): nome utente, bio, foto del profilo.
Personalizzazione: preferenze alimentari, allergeni (dato sanitario, con il tuo consenso esplicito), alimenti non graditi, numero di persone e appetito di ciascuno (fascia d'età, senza nome), budget, obiettivo calorico e il tuo appetito (per contare le tue calorie secondo la tua parte).
Ricette adattate: gli ingredienti che hai tolto o sostituito, per mostrare i tuoi piatti e preparare la lista della spesa.
Contenuti: ricette personali e foto, ricette pubblicate, recensioni (voto, etichette, testo, foto del piatto, risposta dell'autore), «Utile» dati alle recensioni degli altri, « mi piace » dati prima del 27 settembre 2026, piatti « cucinati », dispensa (e quando hai confermato di avere ogni alimento, per proporre prima i piatti che li usano), piani dei pasti e lista della spesa. Gli alimenti riconosciuti nelle foto della tua cucina (Premium) vi entrano solo se li metti via; la foto non viene conservata.
Automaticamente: token di sessione (con hash lato server), stato dell'abbonamento, eventi d'uso (es. « settimana generata », piattaforma, versione app) e report di crash, per migliorare l'app.
Pagamenti fatti nell'App Store o su Google Play: data, formula, importo e valuta, eventuale rimborso e identificativo della transazione, che RevenueCat ci trasmette a ogni acquisto, rinnovo o rimborso. Per mostrarti cosa hai pagato in « Abbonamento e pagamenti », rispondere alle tue domande su un addebito e tenere la nostra contabilità.
Data dell'ultima visita, per misurare l'attività dell'account e scegliere a chi proporre un'offerta.
Registro degli accessi, delle visite e delle azioni (data, ora e durata, modalità di accesso, tipo di dispositivo e versione dell'app; ciò che fai nell'app, come una schermata aperta, un piatto cucinato, un articolo spuntato o una ricetta aggiunta ai preferiti, indicato con identificativi e mai con un testo che hai scritto; le email che ti inviamo, per tipo e data, mai il loro contenuto; mai l'indirizzo IP), per aiutarti se non riesci più ad accedere o se qualcosa non funziona, e per misurare l'attività dell'account. Conservato 12 mesi.
Il link da cui arrivi, se ne porta uno (per esempio « Instagram, bio, campagna frigo »), registrato una sola volta all'iscrizione, per sapere quali pubblicazioni ci portano nuovi iscritti. Nessun cookie né tracciante: solo questi codici, letti nell'indirizzo del link.
Registro tecnico del server (messaggi di errore e di funzionamento, che possono menzionare l'identificativo del tuo account; indirizzi e-mail mascherati, mai l'indirizzo IP), per diagnosticare e correggere i guasti. Conservato 30 giorni.
Il bebè a tavola: solo il mese e l'anno di nascita, senza nome, data esatta né foto, per calcolare la sua età in mesi e mostrarti le indicazioni e le ricette per quell'età. Le tue sessioni di pappe (giorno, ricette scelte, vasetti tolti dal congelatore), per i promemoria e la lista della spesa.
Il giorno prima della spesa: il tuo giorno della spesa (scelto nel Profilo, o dedotto dai giorni in cui spunti la lista) e il fuso orario del tuo dispositivo, per preparare la tua settimana successiva il giorno prima, alla tua ora. Per ogni settimana preparata conserviamo i giorni, la data, se sei stato avvisato e se l'hai confermata o cambiata.

3. Dati NON raccolti

Nessuna geolocalizzazione, nessun contatto del telefono, nessun dato biometrico.
Nessun identificatore pubblicitario, nessun tracciamento pubblicitario, nessun cookie.
Nessun dato della carta: viene inserito presso il fornitore di pagamento (Stripe, Apple o Google) e non ci raggiunge mai.

4. Cosa vedono gli altri

Se usi la community: nome utente, foto, bio, ricette pubblicate e contatori pubblici.
Le tue recensioni (voto, etichette, testo, e la dicitura «L'ha assaggiata» quando non l'hai cucinata), con il tuo nome utente, per chiunque veda la ricetta. I tuoi amici (chi segui e ti segue a sua volta) possono vedere che hai cucinato una ricetta pubblicata; gli altri ne vedono solo il numero. Quando trovi utile una recensione, nessuno vede che sei tu: il suo autore e gli altri ne vedono solo il numero. La foto del tuo piatto segue la stessa regola, e i tuoi amici la vedono anche nel loro feed «Attività» quando la pubblichi.
Quando pubblichi una ricetta, o la rendi visibile ai tuoi amici, le persone che ti seguono ne vengono avvisate nel loro feed «Attività» (per una ricetta riservata agli amici, solo i tuoi amici).
La tua settimana di pasti, secondo l'impostazione « Chi vede la mia settimana »: nessuno, i tuoi amici (chi segui e ti segue) o tutti. Un account creato dal 26 settembre 2026 parte da « I miei amici »; puoi cambiarlo in qualsiasi momento dal Profilo. Mostra i piatti giorno per giorno, mai le quantità, il numero di commensali né il nome delle tue ricette private.
La tua email non è mai pubblica. In una famiglia è visibile solo ai membri.
In una famiglia, i membri vedono le ricette adattate della famiglia, e che un ingrediente è stato tolto da un piatto comune perché a un membro non piace, senza sapere a chi.
Invitare qualcuno via email comporta il trattamento del suo indirizzo al solo scopo di inviare l'invito (codici monouso, scadenza 7 giorni).
Una ricetta che mandi con un link (del catalogo, pubblicata o una delle tue) si apre per chi ha il link, anche senza account, con il tuo nome utente. Una ricetta personale non pubblicata diventa così leggibile da chi riceve il link, senza comparire altrove. Conserviamo il link, il numero di aperture e, per un account creato da quel link entro due giorni, il fatto che sia arrivato da lì. Non conserviamo nulla di chi lo apre senza account.
Il feed «Attività» ti dice cosa hanno fatto altri che ti riguarda: un membro della tua famiglia che entra nella famiglia, cambia un pasto, pianifica i giorni o finisce la spesa; un amico che pianifica la sua settimana o cucina la tua ricetta; qualcuno che ti segue, recensisce la tua ricetta o risponde alla tua recensione; il tuo link a una ricetta aperto, senza mai dire da chi. Mostra solo ciò che potevi già vedere altrove nell'app, e di te non appare nulla di più agli altri oltre a questi stessi gesti. Ogni novità è conservata 90 giorni. Quando qualcuno trova utile la tua recensione, il feed te lo dice, senza mai dire chi. Vi compare anche un amico che pubblica la foto di un piatto che ha cucinato, con la foto. Ci compare anche una persona che segui quando pubblica una ricetta (una ricetta riservata ai suoi amici, solo se sei uno di loro).
I bebè a tavola e le sessioni di pappe sono visibili solo ai membri della tua casa. Non vengono mai pubblicati.

5. Fornitori e trasferimenti

Apple / Google: pagamento degli abbonamenti (USA).
RevenueCat: gestione degli abbonamenti: identificativo utente, stato dell'abbonamento e dettaglio dei pagamenti fatti nello store (USA).
Resend: invio delle nostre email (Irlanda, UE).
Stripe: pagamento con carta sul web (UE / USA).
Cloudflare: instradamento delle email ricevute a contact@pianopiatto.com (UE / USA).
Hetzner: hosting dei server e del database (Germania, UE).
OpenAI: scrittura e traduzione delle ricette della bacchetta magica, solo quando la usi. Riceve la tua richiesta (compresi i prodotti selezionati della tua dispensa), i tuoi allergeni, i cibi che non ami e la tua dieta, e il testo della ricetta da tradurre e, per «La mia versione», il testo della ricetta da cui parti (titolo, ingredienti, passaggi; quella di un altro membro parte senza il suo nome utente); mai il tuo nome, la tua e-mail né l'identificativo del tuo account. OpenAI non addestra i suoi modelli con questi dati (USA). Per una foto, riceve solo il nome e gli ingredienti della tua ricetta salvata. Può ricevere anche la foto di un piatto che pubblichi con una recensione, da sola (senza il tuo nome utente), per verificare che mostri un piatto, senza volti né nulla di offensivo; una foto rifiutata non viene conservata. Riceve anche le foto del frigo, del congelatore o delle dispense che scatti per riempire la dispensa (Premium), da sole, per riconoscervi gli alimenti; non vengono conservate. Fotografa i ripiani, senza persone né documenti nell'inquadratura.
Anthropic: verifica che una foto creata dalla bacchetta magica mostri davvero il piatto. Riceve la foto creata, il nome e gli ingredienti della ricetta; mai il tuo nome, la tua e-mail né l'identificativo del tuo account. Anthropic non addestra i suoi modelli con questi dati (USA). Può ricevere anche la foto di un piatto che pubblichi con una recensione, da sola (senza il tuo nome utente), per verificare che mostri un piatto, senza volti né nulla di offensivo; una foto rifiutata non viene conservata.
Google: accesso con Google, solo se lo scegli. Il pulsante ti porta alla pagina di accesso di Google, che poi ti rimanda su Piano Piatto; nell'app non viene caricato nulla di Google. Google ci trasmette l'identificativo, l'email, il nome e la foto del tuo account Google (USA).
Servizi di notifica del browser (Apple, Google o Mozilla, secondo il tuo browser): recapitano le notifiche web al tuo dispositivo, solo se le hai attivate. Ricevono l'indirizzo del tuo dispositivo presso di loro e una notifica cifrata per esso, di cui non possono leggere il contenuto (USA / UE).
Sentry (se attivo): report tecnici di crash (USA/UE). Hosting: Svizzera/UE.
I trasferimenti fuori da UE/Svizzera sono coperti dalle clausole contrattuali tipo e dal Data Privacy Framework. I tuoi dati non sono mai venduti.

6. Conservazione ed eliminazione

Link di ricette inviati (chi ha condiviso, numero di aperture, account arrivati dal link): finché esistono il tuo account e la ricetta.
Creazioni della bacchetta magica (numero, piatti proposti, costo): 13 mesi. Le ricette salvate seguono la regola delle tue ricette personali. Foto della bacchetta magica (numero, ricetta, costo): anche 13 mesi. Foto della cucina lette dall'IA (numero di alimenti, costo): 13 mesi; la foto stessa non viene mai conservata.
Feed «Attività»: 90 giorni, poi cancellato automaticamente.
Settimana di pasti sostituita (rigenerata, rifatta o eliminata), conservata per poterci tornare: 7 giorni, poi cancellata automaticamente.
Notifiche web: il dispositivo che le riceve viene dimenticato appena le disattivi, esci dall'account o revochi il permesso, e al più tardi dopo 60 giorni senza aprire l'app; una notifica inviata viene cancellata 7 giorni dopo.
I dati sono conservati finché esiste l'account; gli account inattivi sono eliminati dopo 24 mesi (con preavviso di 30 giorni).
Le tue recensioni restano pubblicate finché non le togli, o fino alla cancellazione del tuo account o della ricetta. Un «Utile» scompare quando lo togli, o insieme alla recensione. La foto del tuo piatto resta pubblicata finché non la togli, o se ne va con la recensione; i dati di luogo e di dispositivo vengono tolti appena inviata.
Eliminazione dell'account dalle impostazioni: cancellazione immediata, purga tecnica completa entro massimo 30 giorni.
Gli eventi d'uso vengono anonimizzati (scollegati dall'account) dopo l'eliminazione.
Pagamenti fatti nell'App Store o su Google Play: finché il tuo account esiste. Alla sua eliminazione, il legame con il tuo account viene cancellato: restano solo importo, valuta e data, anonimi, per la nostra contabilità.
Token di sessione: massimo 30 giorni, revocati alla disconnessione. Log di sicurezza, registro degli accessi, delle visite e delle azioni: 12 mesi. Registro tecnico del server: 30 giorni.
I dati eliminati possono restare brevemente nei backup, eliminati con una rotazione breve (entro il limite dei 30 giorni).
Bebè a tavola e sessioni di pappe: finché il tuo account esiste; cancellati appena li togli, e le sessioni insieme alla settimana a cui appartengono.
Traccia delle settimane preparate il giorno prima della spesa: 13 mesi, poi cancellata automaticamente; i pasti stessi seguono la regola della tua pianificazione.

7. Sicurezza

Password con hash (bcrypt, fattore 12), mai leggibili.
Token di accesso a breve durata; refresh token a rotazione, salvati con hash e revocati in caso di riuso sospetto.
Su mobile i token vivono nel portachiavi sicuro del sistema (Keychain / Keystore); in un browser, dove quel portachiavi non esiste, restano nella memoria locale del sito. La cache locale è isolata per account.
HTTPS/TLS in produzione, foto validate e ricodificate lato server, database non esposto pubblicamente, protezione anti forza bruta.

8. I tuoi diritti

Accesso, rettifica, cancellazione, portabilità (JSON), opposizione, limitazione e revoca del consenso (es. allergeni). Risposta entro 30 giorni.
E-mail promozionali: ti scriviamo occasionalmente in merito alle nostre offerte (prova estesa, prezzo ridotto). Ogni messaggio contiene un link di disiscrizione con un clic, e l'interruttore « Offerte e novità » del profilo fa lo stesso. Disiscriversi non interrompe le e-mail di servizio (password, sicurezza, assistenza). Nessun indirizzo viene venduto o ceduto a terzi per scopi pubblicitari.
Esercitali dalle impostazioni dell'app o via email: contact@pianopiatto.com.
Reclamo possibile presso l'IFPDT (Svizzera), il Garante o l'autorità del tuo paese (UE).
Si aggiunge una sola e-mail in tutta la vita dell'account: la prima sera prima della spesa dopo la tua iscrizione, che presenta la settimana preparata, solo se non sei tornato nell'app e non hai attivato nessuna notifica. Porta lo stesso link di disiscrizione.

9. Notifiche e minori

Notifiche: nelle app mobili sono locali, programmate sul tuo dispositivo, e nulla viene inviato ai nostri server. Sul web un browser non sa programmarle: se le attivi (mai senza il tuo consenso), conserviamo l'indirizzo che il tuo browser ci dà per questo dispositivo e i promemoria in arrivo già scritti (per esempio «Tiralo fuori dal congelatore: Pollo, Pollo arrosto, sabato»), che il nostro server invia all'ora prevista, oltre alle novità del feed «Attività» (famiglia e ricette di default, amici solo se li attivi). Ogni tipo si disattiva in Profilo, Notifiche; «Non riceverle più qui», l'uscita dall'account o le impostazioni del browser fermano tutto su questo dispositivo. Le nuove ricette delle persone che segui partono di default, al massimo una per persona e due al giorno in tutto; un interruttore le disattiva.
App aperta dai 13 anni (consenso dei genitori richiesto sotto i 16). Gli account di minori di 13 anni vengono eliminati.
Le modifiche rilevanti di questa politica sono notificate nell'app con almeno 15 giorni di anticipo.
Un bebè indicato in «Chi mangia?» non ha un account: si conserva solo il mese di nascita, che non permette di identificarlo. Non viene mai pubblicato né trasmesso a terzi, e si toglie in qualsiasi momento.
Il giorno prima della spesa, verso le 18 alla tua ora, il nostro server prepara la tua settimana successiva se è vuota e te lo annuncia con una notifica, sul telefono come nel browser dove le hai attivate. Si disattiva nel Profilo, «Preparare la mia settimana il giorno prima».