← Informazioni legali

Informativa sulla Privacy — Didino

Ultimo aggiornamento: 12 agosto 2026
Data di entrata in vigore: 12 agosto 2026
Servizio: Didino — applicazione mobile iOS/Android (net.monkeyhosting.didino, sito web didino.app, relative API e dashboard di amministrazione interna.
Contatto privacy: privacy@didino.app

La presente informativa è resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 ("GDPR") e descrive come vengono trattati i dati personali di chi utilizza Didino.

Parte I — L'etica di Didino

1.1 Perché questa sezione viene prima di tutto il resto

Didino è un'app che aiuta a organizzare impegni, valutare conflitti di agenda e comunicare cambi di programma in modo tempestivo e rispettoso delle relazioni. Per fare questo, l'app tratta due categorie di informazioni profondamente diverse tra loro:

• le tue informazioni: il tuo account, i tuoi impegni, le tue scelte, il tuo storico;
• le informazioni sulle persone con cui hai a che fare: amici, colleghi, familiari, partner.

Queste seconde persone non hanno installato Didino, non hanno letto questa informativa e non ci hanno dato alcun consenso. Per noi il dato più sensibile trattato da Didino non è il tuo storico: è l'identità di quei terzi. L'intera architettura del servizio è costruita attorno a questa convinzione.

1.2 I nostri impegni verso di te

• Nessuna pubblicità e nessuna profilazione commerciale. Didino non contiene reti pubblicitarie né SDK di analytics o di marketing; non trattiamo i tuoi dati per finalità pubblicitarie e non li cediamo a terzi per scopi di marketing.
• I tuoi dati restano in Italia. L'infrastruttura che ospita account, impegni e archivi cifrati è collocata in un data center situato in Italia, all'interno dell'Unione Europea.
• La privacy non è un piano a pagamento. Le protezioni come biometria e oscuramento dell'anteprima app restano gratuite per tutti gli utenti, indipendentemente dal piano.
• Non importiamo la tua rubrica. Nessuna funzione dell'app copia automaticamente i contatti del telefono.
• Non cerchiamo e non colleghiamo le persone. Non esiste una funzione di ricerca utenti, né alcun meccanismo che confronti la tua rete di contatti con quella di un altro utente.
• Nessuna classifica pubblica tra utenti reali identificabili. Le eventuali statistiche di zona sono e resteranno solo aggregate.
• Il tuo calendario non lascia il telefono. Gli eventi letti dal calendario di sistema sono utilizzati solo localmente e non vengono mai caricati sui nostri server.
• Puoi andartene quando vuoi, da solo. La cancellazione completa dell'account è disponibile direttamente nell'app, senza dover scrivere a nessuno.

1.3 Le nostre linee rosse di prodotto

Ci sono funzionalità che Didino non implementerà in nessuna versione futura, perché incompatibili con l'idea di prodotto:

1. Nessuna generazione di prove fotografiche sintetiche. L'eventuale componente di analisi immagini (oggi non attiva) potrà solo valutare foto reali dell'utente, mai generarne di false.
2. Nessun alibi tra sconosciuti. Le funzioni cooperative, quando saranno disponibili, opereranno solo tra utenti che si conoscono e che hanno espresso un consenso reciproco.
3. Nessuna classifica pubblica tra utenti reali identificabili.
4. Nessun paywall su privacy e sicurezza.

1.4 Onestà su ciò che invece vediamo

Sarebbe comodo scrivere che "il nostro server non vede niente". Non è vero e non lo scriviamo.

Il nostro server vede i tuoi impegni, lo storico degli eventi, le scuse utilizzate (in forma di classe e codice) e i relativi esiti, oltre alla topologia dei collegamenti tra i tuoi contatti. Ciò che il server non vede è chi siano concretamente quelle persone: nomi, ruoli e caratteristiche restano cifrati e leggibili solo dal tuo dispositivo. La Parte II spiega esattamente come.

Parte II — Architettura "Privacy First"

Questa sezione descrive in linguaggio accessibile — ma tecnicamente accurato — come il servizio è progettato per proteggere i dati prima che una regola organizzativa debba intervenire (principi di privacy by design e privacy by default, art. 25 GDPR).

2.1 Il principio di separazione: la storia sì, l'identità no

La regola architetturale vincolante di Didino è una sola: il server conosce la storia, mai l'identità.

Tutto ciò che riguarda "cosa è successo" (un impegno, una proposta generata, un esito) è conservato sui nostri sistemi. Tutto ciò che riguarda "chi è la persona coinvolta" resta sul tuo telefono, in forma cifrata.

2.2 Etichette opache al posto dei nomi

Ogni contatto che inserisci riceve un identificativo casuale (UUID) generato sul tuo dispositivo. Tutti i dati conservati sui nostri server fanno riferimento esclusivamente a quell'identificativo: nessun endpoint del servizio accetta o registra nomi di contatti terzi.

Una conseguenza voluta di questo modello: se la stessa persona reale è contatto di due utenti diversi di Didino, i due dispositivi generano due identificativi scollegati, e il nostro server non è in grado, per costruzione, di sapere che si tratta della stessa persona.

2.3 Il blob cifrato e la chiave che non possediamo

L'anagrafica dei contatti (nome, tipo di relazione, caratteristiche, note) e il dettaglio della rete "chi conosce chi" vivono in chiaro solo sul tuo dispositivo. Per consentirti un backup e il cambio telefono, questi dati vengono sincronizzati con il nostro server secondo il modello della envelope encryption:

1. il client cifra i dati sul dispositivo (AES-256-GCM);
2. il server archivia soltanto il testo cifrato e un numero di versione;
3. il client scarica e decifra localmente.

La chiave simmetrica è generata solo sul dispositivo e non viene mai trasmessa al server (modello zero-knowledge). Il server conserva quindi un contenitore che non è in grado di aprire.

Come ulteriore garanzia tecnica, il server rifiuta i contenuti che appaiano come anagrafica in chiaro: l'architettura è progettata per non poter accettare quei dati nemmeno per errore.

2.4 Gestione della chiave e conseguenze della sua perdita

• La chiave ti viene mostrata in fase di onboarding come recovery phrase, con l'invito a conservarla.
• Una copia può essere custodita nel keychain/keystore della piattaforma, protetto da biometria, per rendere trasparente il cambio dispositivo nello stesso ecosistema.
• Al momento della registrazione puoi indicare un suggerimento di backup della chiave, che viene conservato lato server.

Se perdi la chiave, non esiste alcun recupero lato server. È una scelta deliberata: non possiamo recuperare ciò che non abbiamo mai avuto. In quel caso il tuo storico e i tuoi impegni restano, mentre i contatti tornano a essere etichette anonime del tipo "Contatto #N".

2.5 Cosa resta esclusivamente sul tuo dispositivo

• L'anagrafica dei contatti in chiaro: soprannome, tipo di relazione (amico, collega, famiglia, partner, altro), livello di esigenza, karma, statistiche locali, eventuali note.
• Gli eventi del calendario di sistema, letti in sola lettura (titolo, orari, calendario di origine, luogo). Non vengono mai caricati sul server.
• La chiave di cifratura AES, custodita nell'archivio sicuro del dispositivo.
• I token di sessione e i dati minimi dell'utente, nell'archivio sicuro del dispositivo con ripiego su archiviazione applicativa standard.

2.6 Cosa vede il server (e in che forma)

2.7 L'intelligenza artificiale riceve meno informazioni di quante ne abbia tu

Le proposte di comunicazione sono generate tramite un modello linguistico fornito da OpenAI. Il contesto trasmesso è pseudonimizzato.

Viene inviato: un'etichetta opaca del contatto (es. "contatto #3"); il tipo di rapporto; eventuali tratti; la descrizione della situazione priva di nomi; le classi di scuse già utilizzate da escludere; severità e urgenza derivate dall'impegno; un'eventuale sintesi meteo; da tre a cinque casi esemplificativi della nostra libreria interna.

Non viene mai inviato: email, password o identificativo del tuo account; nomi, cognomi, numeri di telefono o email dei contatti terzi; il contenitore cifrato dell'anagrafica o la chiave di cifratura; la rubrica del telefono; la rete di contatti con identità in chiaro.

Questo risultato è garantito da quattro controlli concorrenti:

1. Contratto client: l'app sostituisce i nomi con etichette opache prima di qualunque invio.
2. Guardrail lato server: una validazione automatica rifiuta la richiesta se la situazione o i tratti sembrano contenere anagrafica (nomi, email, numeri di telefono).
3. Direttive di sistema al modello: al modello è imposta la regola di non utilizzare mai nomi reali.
4. Sanificazione dei log: i registri applicativi sono soggetti a scrubbing automatico dei campi sensibili.

Il metodo di generazione è di tipo few-shot: il modello imita il metodo di alcuni casi della nostra libreria interna. Non effettuiamo alcun addestramento o fine-tuning di modelli sui tuoi dati e, in base ai termini contrattuali applicabili all'utilizzo dell'API, il fornitore non utilizza i dati trasmessi per addestrare i propri modelli. Se il fornitore AI non è disponibile o non configurato, l'app utilizza modelli di testo locali predefiniti e in quel caso nessun dato viene inviato al fornitore.

Una precisazione doverosa: parliamo di pseudonimizzazione, non di anonimato assoluto. La combinazione di città, situazione dettagliata e tratti descrittivi potrebbe, in teoria, contribuire a identificare una persona. Preferiamo dirtelo piuttosto che promettere un anonimato che non possiamo garantire.

2.8 Privacy by default: cosa il sistema non è in grado di fare

• Nessun import automatico della rubrica del telefono.
• Nessuna funzione di ricerca di altri utenti.
• Nessun confronto o collegamento tra le reti di contatti di utenti diversi.
• Il personale che accede alla dashboard di amministrazione non vede mai l'anagrafica dei contatti terzi di un utente.

2.9 Misure di sicurezza

• Server collocati in Italia, all'interno dell'Unione Europea.
• Trasmissione dei dati protetta tramite TLS.
• Cifratura dei dati a riposo della banca dati.
• Password conservate esclusivamente sotto forma di hash, mai in chiaro.
• Refresh token conservati in banca dati solo come hash SHA-256, con scadenza e revoca.
• Access token a vita breve.
• Rate limiting sulle chiamate di autenticazione e generazione, meccanismi anti-forza bruta e captcha sull'accesso amministrativo.
• Sanificazione automatica dei log applicativi.

Parte III — Dettagli del trattamento

3.1 Titolare del Trattamento

MONKEY HOSTING DI STEFANO PASINI
Odolo (Brescia), Italia — CAP 25076
Partita IVA: 04352210985
Sito web: didino.app
Email di contatto per ogni questione privacy: privacy@didino.app

Il Titolare non ha nominato un Responsabile della Protezione dei Dati (DPO), non ricorrendone i presupposti di cui all'art. 37 GDPR. Ogni richiesta va indirizzata all'indirizzo sopra indicato.

3.2 Ambito di applicazione

La presente informativa è pubblicata su didino.app e si applica all'applicazione mobile Didino, alle API che la servono e alla dashboard di amministrazione interna. Non si applica ai servizi di terzi eventualmente raggiungibili dall'app, regolati dalle rispettive informative.

3.3 Categorie di dati personali trattati

a) Dati di account e autenticazione. Email; password (solo per l'autenticazione email, conservata come hash); provider di autenticazione utilizzato (email, Google o Apple); identificativo esterno rilasciato dal provider; nome o displayName indicato in fase di registrazione; suggerimento di backup della chiave; identificativo utente, piano (Free / Pro), stato di abilitazione e data di creazione dell'account. L'accesso tramite Google Sign-In è disponibile; l'accesso tramite Sign in with Apple è supportato dall'infrastruttura ma disattivato nella build attualmente distribuita, con ripiego su email e password.

b) Impegni e appuntamenti. Data e ora di inizio, severità, stato, eventuale identificativo opaco del contatto associato, titolo, luogo (facoltativo) e importanza. Trattati in chiaro in quanto dati dell'utente consenziente.

c) Dati relativi ai contatti terzi. Sui nostri server: esclusivamente identificativi opachi (UUID) e archi della rete con il relativo livello di confidenza. Sul tuo dispositivo in chiaro, e sul server solo in forma cifrata: soprannome, tipo di relazione, livello di esigenza, karma, statistiche, mancati incontri, eventuali note.

d) Storico e input per la generazione. Etichetta opaca del contatto, tipo di rapporto, descrizione pseudonimizzata della situazione, classi di scuse già utilizzate, tratti, città; classe e categoria della scusa, anteprima testuale, data di utilizzo, codice di deduplicazione; esito registrato (Liscio / Sospetto / Sgamato) e note classificate. Il contenuto dei pacchetti generati non è conservato in chiaro sui nostri server. Poiché la descrizione della situazione viene comunque trasmessa al fornitore del modello linguistico, ti invitiamo a non inserire nomi, recapiti o dettagli identificativi di terze persone nei campi di testo libero.

e) Profilo e preferenze (nel contenitore cifrato). displayName, punti esperienza, punti "onestà tattica", streak, data di accettazione del patto d'uso, indicatore di collegamento al calendario, piano dell'account.

f) Dati tecnici raccolti automaticamente.

• Indirizzo IP: utilizzato per il rate limiting delle API, per le protezioni anti-forza bruta sull'accesso amministrativo e, quando il captcha è abilitato, trasmesso al fornitore del servizio anti-bot.
• Token e sessioni: access token contenente identificativo utente, email, piano e provider di autenticazione; refresh token (in banca dati solo come hash).
• Log applicativi strutturati: registrazione delle richieste con sanificazione automatica dei campi sensibili.
• Contesto meteo: città e/o coordinate geografiche trasmesse al fornitore meteo, quando la funzione è configurata.
• Statistiche di zona aggregate: previste, solo in forma aggregata e con vincolo di k-anonymity.

g) Eventi del calendario del dispositivo. Letti in sola lettura tramite le API di sistema, previa autorizzazione del sistema operativo. Restano sul dispositivo e non sono mai trasmessi al Titolare.

h) Dati non raccolti. Non raccogliamo: la rubrica del telefono; i nomi o i recapiti dei tuoi contatti; il contenuto del tuo calendario; dati raccolti tramite cookie di profilazione, SDK di analytics, strumenti di crash reporting o piattaforme di marketing.

3.4 Finalità del trattamento e basi giuridiche

Il conferimento dei dati di account è necessario per l'utilizzo del servizio: in mancanza, non è possibile creare un account. Il conferimento dei dati facoltativi (luogo, note, suggerimento di backup della chiave) è libero.

3.5 Processi decisionali automatizzati

Il servizio utilizza un modello linguistico per generare proposte di comunicazione e per calcolare indicatori di rischio e urgenza. Si tratta di strumenti di supporto: le proposte sono suggerimenti che l'utente è libero di modificare, ignorare o rifiutare, e non producono effetti giuridici né incidono in modo analogamente significativo sull'interessato ai sensi dell'art. 22 GDPR.

3.6 Cookie e tecnologie analoghe

• Applicazione mobile e API: autenticazione tramite token Bearer. Non vengono utilizzati cookie di sessione.
• Dashboard di amministrazione (riservata al personale interno): un cookie tecnico di autenticazione denominato Didino.Admin.Auth, con attributi HttpOnly e SameSite=Lax, contrassegnato Secure in produzione, con scadenza scorrevole di 8 ore.
• Google Fonts: la dashboard di amministrazione carica il carattere tipografico Manrope da Google Fonts, con conseguente richiesta di rete verso un fornitore terzo.
• Captcha anti-bot: eventualmente attivo sulla sola dashboard di amministrazione; non è uno strumento di marketing.
• Cookie analitici, di profilazione o di marketing: non presenti.

3.7 Destinatari dei dati e responsabili del trattamento

Fornitori consapevolmente esclusi: provider di traffico e viabilità, piattaforme di analytics e di marketing.

3.8 Luogo di conservazione e trasferimenti extra-UE

I dati del servizio sono conservati su server situati in Italia, all'interno dell'Unione Europea. Non esiste alcuna replica dei database applicativi fuori dall'Unione.

Restano tuttavia alcuni trattamenti che comportano una trasmissione di dati verso paesi terzi:

• OpenAI — il contesto pseudonimizzato per la generazione delle proposte viene trasmesso a OpenAI Ireland Limited, con successivo trasferimento negli Stati Uniti. Il trasferimento è disciplinato dall'Addendum sul trattamento dei dati di OpenAI, che incorpora le Clausole Contrattuali Standard approvate dalla Commissione europea (art. 46 GDPR). In base ai termini applicabili all'API, gli input non sono utilizzati per l'addestramento dei modelli e sono conservati dal fornitore per un periodo limitato ai soli fini di monitoraggio degli abusi.
• OpenWeather, Google, Apple e Cloudflare — possono trattare dati (città o coordinate, identificativi di token, indirizzo IP) anche fuori dall'Unione Europea, sulla base di decisioni di adeguatezza o di Clausole Contrattuali Standard, secondo quanto previsto dai rispettivi accordi.

Puoi richiedere copia delle garanzie applicate scrivendo a privacy@didino.app.

3.9 Periodo di conservazione

Criterio generale: i dati associati al tuo account — dati di registrazione, impegni, pacchetti, storico delle scuse, esiti, archi della rete, contenitore cifrato dell'anagrafica, dati di gioco — sono conservati fino alla cancellazione dell'account. A seguito della cancellazione vengono eliminati senza ingiustificato ritardo, fatti salvi i dati che il Titolare sia tenuto a conservare per obbligo di legge o per la difesa di un diritto in sede giudiziaria.

Tempi tecnici più brevi già definiti dall'architettura:

Il contenitore cifrato dell'anagrafica può inoltre essere sovrascritto o svuotato dall'utente in qualsiasi momento, indipendentemente dalla cancellazione dell'account. Le statistiche aggregate anonime, non costituendo dati personali, non sono soggette a un termine di conservazione.

3.10 Diritti dell'interessato

Ai sensi degli artt. 15–22 GDPR hai diritto di ottenere: l'accesso ai tuoi dati; la rettifica dei dati inesatti; la cancellazione ("diritto all'oblio"); la limitazione del trattamento; la portabilità dei dati in formato strutturato e leggibile da dispositivo automatico; l'opposizione ai trattamenti fondati sul legittimo interesse; la revoca del consenso in qualsiasi momento, senza pregiudizio per la liceità dei trattamenti già effettuati.

Come esercitarli: scrivi a privacy@didino.app, indicando il diritto che intendi esercitare e l'indirizzo email associato al tuo account. Risponderemo senza ingiustificato ritardo e comunque entro un mese dalla richiesta, prorogabile di due mesi in casi di particolare complessità, ai sensi dell'art. 12 GDPR. Il diritto alla cancellazione può essere esercitato anche direttamente nell'app (§ 3.11).

Un limite tecnico di cui devi essere consapevole: poiché non possediamo la chiave di cifratura del contenitore dell'anagrafica, in caso di richiesta di accesso o portabilità possiamo consegnarti quel contenitore solo in forma cifrata. Sarà leggibile esclusivamente tramite la tua chiave o la tua recovery phrase. È il prezzo tecnico della protezione descritta nella Parte II.

3.11 Controlli disponibili direttamente nell'app

• Cancellazione dell'account: disponibile in autonomia dal percorso Profilo → Impostazioni → Danger Zone. L'operazione comporta l'eliminazione dell'account e dei dati associati ed è irreversibile.
• Logout: revoca il refresh token lato server e cancella i token conservati sul dispositivo.
• Reset dei dati privati: sovrascrive sul server il contenitore cifrato con un contenitore vuoto. Attenzione: comporta la perdita dei contatti e dei metadati associati e non è reversibile.
• Eliminazione di un impegno: rimozione puntuale dell'appuntamento.
• Eliminazione di un contatto: rimuove il contatto dal contenitore locale, aggiorna gli archi della rete ed elimina il corrispondente identificativo opaco anche sui nostri server.

3.12 Minori

Il servizio non è destinato a minori di 16 anni e non ne raccogliamo consapevolmente i dati. Se ritieni che un minore ci abbia fornito dati personali, scrivi a privacy@didino.app: provvederemo alla cancellazione.

3.13 Funzionalità previste e non ancora attive

Le seguenti funzionalità sono documentate nella roadmap di prodotto ma non sono attive alla data della presente informativa. La loro attivazione comporterà un aggiornamento preventivo di questo documento:

• Analisi di fotografie reali tramite AI con finalità di sola valutazione (mai generazione di immagini sintetiche).
• Funzioni cooperative tra utenti Didino, basate su un'associazione consensuale e revocabile tra due account, con possibilità di modalità effimera o permanente e senza alcuno scambio di anagrafica dei contatti.
• Abbonamenti tramite gli store Apple e Google.
• Statistiche aggregate di zona con vincolo di k-anonymity.

3.14 Modifiche alla presente informativa

Questa informativa può essere aggiornata per adeguamenti normativi o per l'introduzione di nuove funzionalità. Le modifiche sostanziali saranno comunicate tramite l'applicazione con ragionevole anticipo e la versione aggiornata sarà sempre pubblicata su didino.app. La data di ultimo aggiornamento è indicata in apertura del documento.

3.15 Reclamo all'Autorità di controllo

Se ritieni che il trattamento dei tuoi dati violi il GDPR, hai diritto di proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma — www.garanteprivacy.it) o all'autorità di controllo dello Stato membro in cui risiedi abitualmente.