FitoCloud
Informativa sul trattamento dei dati personali
Versione: 1.4.0 Data ultimo aggiornamento: 10 ottobre 2026
La presente informativa è resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (GDPR) e del D.Lgs. 196/2003 in tema di protezione dei dati personali.
1. Titolare del trattamento
Titolare: Azienda Agricola l'Aromatica di Giacomo Passalacqua — Via Girolamo Caruso n. 25, 56122 Pisa (PI) — P.IVA 02367310501. Contatti: PEC passalacqua.giacomo@conafpec.it — Tel. 050 890566 — Email per richieste in materia di privacy: privacy@fitocloud.com
Non è stato nominato un Responsabile della protezione dei dati (DPO) in quanto il trattamento, pur essendo continuativo, non rientra fra i casi che rendono obbligatoria tale figura ai sensi dell'art. 37 GDPR.
2. Quali dati raccogliamo
2.1 Dati che ci fornisci direttamente
- Indirizzo email e password (memorizzata solo come hash bcrypt)
- Nome e dati di contatto
- Dati anagrafici dell'azienda agricola: ragione sociale, partita IVA, codice fiscale, CUAA, sede legale e sede operativa
- Dati degli operatori che inserisci: nome, cognome, numero patentino fitosanitario e relativa scadenza
- Dati dei campi: codice, etichetta, comune, particella catastale, eventuale geometria poligonale tracciata sulla mappa
- Operazioni colturali: trattamenti, concimazioni, carichi a magazzino, pianificazioni, stadi fenologici BBCH
- Foto eventualmente caricate (campi, prodotti, fatture)
2.2 Dati raccolti automaticamente
- Coordinate geografiche del dispositivo: solo se utilizzi la funzione mappa per disegnare un campo
- Versione dell'app, sistema operativo e lingua del dispositivo: per debug e statistiche aggregate
- Rapporti di crash e diagnostica tecnica (stack trace, modello dispositivo, versione OS): per individuare e correggere malfunzionamenti. Non contengono i tuoi dati agricoli; l'indirizzo IP è anonimizzato e i dati sensibili (token, password) sono rimossi prima dell'invio
- Coordinate del campo principale dell'azienda: usate, in forma anonima, per richiedere le previsioni meteo
2.3 Dati relativi agli abbonamenti
Se sottoscrivi un piano a pagamento, il pagamento è gestito dallo store (Google Play / App Store) e dal fornitore RevenueCat: non raccogliamo né conserviamo i dati della tua carta di pagamento. Trattiamo unicamente lo stato dell'abbonamento (piano attivo, date di inizio/rinnovo/scadenza, identificativo della transazione) associato al tuo account, per erogare le funzioni Premium e per gli adempimenti contabili e antifrode.
2.4 Estrazione automatica dei dati di etichetta (nessun dato personale)
Il catalogo delle autorizzazioni è costruito applicando tecniche automatiche, incluse tecniche di intelligenza artificiale, ai documenti pubblici di etichetta del Ministero della Salute. Questa elaborazione riguarda esclusivamente documenti pubblici e non tratta alcun dato personale degli utenti.
2.5 Statistiche agricole anonime (solo con il tuo consenso)
Se acconsenti (richiesta separata, facoltativa, mai pre-attivata), usiamo una parte dei dati che già registri per il tuo quaderno di campagna per produrre statistiche anonime e aggregate sull'agricoltura:
- coltura, prodotto fitosanitario (nome e numero di registrazione ministeriale) e sostanza attiva, avversità indicata, dose, mese e anno del trattamento, ambiente (pieno campo o serra), superficie trattata;
- provincia della sede dell'azienda.
Non usiamo mai per questa finalità: nome, email, ragione sociale, partita IVA o codice fiscale, indirizzi, confini o coordinate dei campi, dati catastali, nomi e patentini degli operatori, note libere, foto. Le aziende che gestisci per conto di clienti (conto terzi) sono sempre escluse, anche se hai acconsentito: il consenso può darlo solo il titolare di ciascuna azienda.
Come rendiamo anonimo il dato: ogni statistica è un conteggio o una somma su un gruppo di almeno 5 aziende diverse (le caselle con meno di 5 aziende non vengono mai prodotte né cedute); le somme di superficie e le dosi non vengono pubblicate se una sola azienda pesa più della metà del gruppo; le statistiche si calcolano sul server, con accesso riservato al titolare, e non contengono identificativi.
2.6 Cosa NON raccogliamo
- Dati biometrici, genetici o relativi alla salute
- Dati della carta di pagamento (gestiti dallo store, mai da noi)
- Tracker pubblicitari di terze parti
- Cookie di profilazione
3. Per quali finalità trattiamo i dati e con quale base giuridica
| Finalità | Base giuridica | Tempi di conservazione |
|---|---|---|
| Erogare il Servizio (autenticazione, registrazione operazioni) | Esecuzione del contratto (art. 6.1.b GDPR) | Per la durata dell'account; alla cancellazione dell'account i dati sono eliminati subito e restano solo nelle copie di backup, per un massimo di 30 giorni |
| Generare il Registro dei trattamenti ai sensi dell'art. 16 c.3 D.Lgs. 150/2012 | Adempimento di un obbligo legale (art. 6.1.c) | Il file PDF è conservato dall'utente per almeno 3 anni (5 per beneficiari PAC/PSR) |
| Gestione degli abbonamenti a pagamento (attivazione, rinnovo, antifrode, contabilità) | Esecuzione del contratto (art. 6.1.b) e obblighi legali contabili/fiscali (art. 6.1.c) | Per la durata dell'abbonamento; i dati contabili per i termini di legge |
| Sicurezza dell'app, prevenzione abusi e frodi | Legittimo interesse (art. 6.1.f) | 12 mesi |
| Statistiche d'uso del prodotto per migliorare il servizio | Consenso (art. 6.1.a), facoltativo, revocabile in ogni momento; default disattivato | Fino a revoca; i dati sono aggregati/anonimizzati |
| Statistiche agricole anonime e aggregate (§2.5), anche cedute o vendute a terzi in forma anonima | Consenso (art. 6.1.a), separato e facoltativo, revocabile in ogni momento; default disattivato. Il servizio non cambia se non acconsenti | I dati di partenza restano quelli del tuo account (stessi tempi del servizio). Le statistiche già prodotte sono anonime e non più riconducibili a te |
| Prova delle tue scelte sui consensi (versione del testo, data, canale, versione dell'app) | Obbligo di dimostrare il consenso (art. 7.1) e legittimo interesse a difendersi in caso di contestazioni (art. 6.1.f) | Per la durata dell'account |
| Comunicazioni commerciali (se attivate in futuro) | Consenso (art. 6.1.a) e art. 130 D.Lgs. 196/2003; default disattivato, revocabile | Fino a revoca |
| Comunicazioni di servizio (cambi termini, manutenzioni) | Esecuzione del contratto | Per la durata dell'account |
4. Modalità del trattamento e misure di sicurezza
I dati sono trattati con strumenti elettronici, applicando misure di sicurezza tecniche e organizzative ragionevoli rispetto alla natura dei dati e ai rischi:
- Trasmissione esclusivamente in HTTPS/TLS
- Autenticazione tramite token JWT con refresh
- Row Level Security a livello di database: ogni utente accede solo ai propri dati
- Bucket di storage privati per le foto, con permessi per-utente
- Backup automatici giornalieri, conservati al massimo 30 giorni
- Hash delle password tramite algoritmo bcrypt (gestito dal servizio di autenticazione)
- Codice client e script amministrativi separati: le chiavi privilegiate non sono mai distribuite agli utenti
5. A chi comunichiamo i dati
I dati sono accessibili al titolare e ai responsabili esterni del trattamento elencati di seguito. I tuoi dati personali non sono mai ceduti né venduti a terzi.
Solo se hai dato il consenso alle statistiche agricole (§2.5), possiamo comunicare o vendere statistiche anonime e aggregate (almeno 5 aziende per ogni dato) a enti di ricerca, università, pubbliche amministrazioni, consulenti e aziende del settore agricolo e agrochimico. Queste statistiche non sono dati personali: chi le riceve non può risalire a te. Non comunichiamo mai a terzi i tuoi dati singoli, il tuo contatto o la tua appartenenza a una statistica, e nessuno ti contatterà a seguito di questa finalità.
5.1 Supabase (Supabase Pte. Ltd., con Supabase, Inc.) — infrastruttura cloud
Fornisce il database PostgreSQL, l'autenticazione e lo storage delle foto.
- Region: Unione Europea (Irlanda) — i dati restano in territorio UE
- DPA: https://supabase.com/legal/dpa
- Certificazioni: ISO 27001, SOC 2 Type II
5.2 Open-Meteo — previsioni meteo
Riceve unicamente le coordinate del campo principale per restituire le previsioni. Non riceve identificativi dell'utente.
- Sede: Svizzera, paese con decisione di adeguatezza UE
5.3 Functional Software Inc. ("Sentry") — diagnostica e crash report
Riceve i rapporti di errore/crash dell'app per consentirci di correggerli: identificativo utente (UUID), modello del dispositivo, versione app/OS, stack trace tecnico. NON riceve i tuoi dati agricoli né l'email. L'invio è configurato con anonimizzazione dell'IP e rimozione automatica di credenziali e token.
- Sede: USA — il trasferimento è disciplinato dalle Clausole Contrattuali Standard UE (SCC) incluse nel DPA e dalla certificazione al EU-U.S. Data Privacy Framework
- DPA: https://sentry.io/legal/dpa/
5.4 Google — mappe e accesso facoltativo
- Google Maps SDK: il rendering della mappa comporta la comunicazione a Google della porzione di mappa richiesta (tile) dall'indirizzo IP del dispositivo. Non trasmettiamo a Google i tuoi dati agricoli né identificativi dell'account FitoCloud.
- Google Sign-In (facoltativo): se scegli di accedere con Google, Google ci comunica email e nome del tuo profilo per creare l'account. Il rapporto con Google è regolato dalla privacy policy di Google.
5.5 Apple App Store / Google Play Store
I gestori degli store elaborano il pagamento degli abbonamenti e possono raccogliere dati propri (download, cronologia acquisti, crash report) secondo le loro policy. Non ci trasmettono i dati della tua carta di pagamento.
5.6 RevenueCat, Inc. — gestione tecnica degli abbonamenti
Quando sottoscrivi o rinnovi un abbonamento, utilizziamo RevenueCat per verificare e sincronizzare lo stato dell'abbonamento con lo store. RevenueCat riceve un identificativo dell'utente (l'ID dell'account FitoCloud) e i dati tecnici della transazione (prodotto acquistato, date, stato). Non riceve i tuoi dati agricoli né i dati della carta di pagamento.
- Sede: USA — trasferimento disciplinato dalle Clausole Contrattuali Standard UE (SCC) previste dal relativo DPA
- DPA: https://www.revenuecat.com/dpa/
6. Trasferimenti extra-UE
I tuoi dati agricoli e di account risiedono nel territorio dell'Unione Europea (database e storage in Irlanda). Fanno eccezione: (a) la diagnostica tecnica inviata a Sentry (USA), protetta da Clausole Contrattuali Standard UE e Data Privacy Framework; (b) i servizi Google (mappe, accesso facoltativo), che operano secondo le rispettive garanzie di trasferimento; (c) lo stato dell'abbonamento gestito da RevenueCat (USA), protetto da Clausole Contrattuali Standard UE. Open-Meteo opera dalla Svizzera, paese con decisione di adeguatezza UE.
7. I tuoi diritti
In qualunque momento puoi esercitare i diritti previsti dagli artt. 15-22 GDPR:
- Accesso ai tuoi dati e copia di quelli che ti riguardano
- Rettifica di dati inesatti o incompleti
- Cancellazione ("diritto all'oblio")
- Limitazione del trattamento
- Portabilità (ricezione dei dati in formato strutturato)
- Opposizione al trattamento basato sul legittimo interesse
- Reclamo al Garante per la protezione dei dati personali (https://www.garanteprivacy.it)
Come esercitarli
Scrivi a privacy@fitocloud.com allegando copia di un documento d'identità. Risposta entro 30 giorni dalla ricezione, prorogabili di altri 60 giorni per richieste complesse con previa comunicazione.
Direttamente dall'app sono disponibili in autonomia: "Esporta i miei dati" (portabilità, art. 20 — in formato strutturato e leggibile da dispositivo automatico, gratuito, indipendentemente dal piano) ed "Elimina account" (oblio, art. 17, con cancellazione completa di database, foto e credenziali). Le stesse richieste possono essere inoltrate via email. Ai fini dell'accesso (art. 15) l'esportazione include anche i dati di audit e di utilizzo che ti riguardano; per un estratto completo, comprensivo dei log tecnici, puoi comunque scrivere a privacy@fitocloud.com.
Consensi facoltativi
I consensi facoltativi (statistiche agricole anonime, statistiche d'uso ed eventuali comunicazioni commerciali) sono disattivati per impostazione predefinita, richiesti in modo separato e revocabili in qualsiasi momento, con un solo tocco, dall'app (Più → Informazioni su FitoCloud) o via email, senza pregiudicare il servizio. La revoca non rende illecito quanto fatto prima (art. 7.3): dalla revoca i tuoi dati non entrano più nelle nuove statistiche. Conserviamo la prova di ogni scelta (versione del testo che hai letto, data, da dove l'hai fatta). La richiesta delle statistiche agricole compare al massimo due volte e mai più dopo che hai risposto sì o no.
8. Violazioni dei dati (data breach)
In caso di violazione dei dati personali notifichiamo all'Autorità Garante entro 72 ore dalla scoperta (art. 33 GDPR). Se la violazione comporta un rischio elevato per i tuoi diritti, riceverai comunicazione diretta senza ingiustificato ritardo (art. 34 GDPR).
La procedura interna è descritta in docs/legale/PROCEDURA_DATA_BREACH.md.
9. Minori
Il servizio è destinato a maggiorenni. Non raccogliamo consapevolmente dati di minori. In caso di segnalazione, i dati saranno cancellati immediatamente.
10. Modifiche all'informativa
In caso di modifiche sostanziali ai trattamenti che riguardano tutti gli utenti ti chiederemo di accettare la nuova versione al successivo accesso. Le modifiche che riguardano solo un consenso facoltativo (come le statistiche agricole della versione 1.4.0) non richiedono una nuova accettazione: te le presentiamo nel momento in cui ti chiediamo quel consenso, e senza il tuo sì quel trattamento non avviene. Per modifiche minori (correzioni redazionali, contatti) sarà sufficiente la pubblicazione in app e in questa pagina.
Le versioni storiche sono conservate per accountability ai sensi dell'art. 5(2) GDPR.
11. Contatti
- Titolare: Azienda Agricola l'Aromatica di Giacomo Passalacqua — Via Girolamo Caruso n. 25, 56122 Pisa (PI) — P.IVA 02367310501
- PEC: passalacqua.giacomo@conafpec.it
- Privacy: privacy@fitocloud.com
- Supporto generale: support@fitocloud.com
- Garante Privacy: https://www.garanteprivacy.it
Versione 1.4.0 — 10 ottobre 2026