Privacy Policy — Cassander

Data di efficacia: 5 novembre 2026.

1. Titolare e ambito

Il titolare è SPINELLI MARCO, ditta individuale di Marco Spinelli, con sede in Via Gabriele D’Annunzio 18, 84091 Battipaglia (SA), Italia; P. IVA 06221310656, Registro Imprese di Salerno, REA SA-506457. Roviqa Studio è il marchio commerciale, non una società autonoma. Sito: https://roviqastudio.com. Unico contatto pubblico per assistenza e privacy: support@roviqastudio.com.

Questa informativa riguarda Cassander, il sito e l’assistenza. L’app è destinata a un pubblico adulto e non è progettata o promossa specificamente per bambini; ciò non equivale a un blocco automatico di accesso ai minorenni. La versione e la data di efficacia sono indicate all’inizio di questa pagina.

2. Archivio finanziario locale

Conti, movimenti, categorie, budget, obiettivi, note, ricorrenze, profilo locale e preferenze sono conservati sul dispositivo. Non esiste un account Cassander per sincronizzare l’archivio e non è prevista sincronizzazione bancaria. L’app non esegue pagamenti bancari. Non invia automaticamente il dettaglio dei movimenti a Roviqa Studio, RevenueCat o AdMob. Il titolare non dispone di una copia sincronizzata con cui recuperare l’archivio. Se invii volontariamente dati al supporto, quei contenuti vengono trattati nella richiesta.

3. Sicurezza, PIN e biometria

L’archivio utilizza AsyncStorage: Cassander non cifra integralmente il database finanziario. Le protezioni Android e l’isolamento tra app sono distinti dalla cifratura applicativa. Il PIN controlla l’accesso; la sua configurazione è protetta tramite SecureStore e Android Keystore, senza cifrare per questo tutto l’archivio. La biometria è gestita dal sistema operativo: l’app riceve l’esito e non conserva impronte o modelli biometrici. Proteggi dispositivo e copie esterne; nessuna misura garantisce sicurezza assoluta.

4. Backup ed esportazioni

I backup protetti da password utilizzano AES-256-GCM, con derivazione della chiave tramite PBKDF2-HMAC-SHA-256. Occorrono file e password corretti; il titolare non può recuperarne la password. Questa protezione riguarda il backup, non tutto il database. CSV, PDF e precedenti JSON non cifrati non sono protetti da quella cifratura. File esportati, allegati, appunti e copie cloud seguono anche le impostazioni del dispositivo e dei destinatari scelti. Restano separati dal reset finanziario, come i backup del sistema operativo.

5. Google Play e RevenueCat

Google Play gestisce pagamenti, rinnovi e account dello store; Cassander non raccoglie i dati completi della carta. RevenueCat verifica acquisti e diritto Premium e consente il ripristino compatibile. Può trattare identificativi SDK pseudonimi, dati tecnici del dispositivo e informazioni su ordini, prodotti e abbonamenti. Questi identificativi non sono necessariamente anonimi. Il dettaglio dell’archivio finanziario locale non è necessario a tali verifiche. Cancellare l’archivio non cancella automaticamente record dello store o di RevenueCat.

RevenueCat tratta inoltre informazioni sugli acquisti per il funzionamento del servizio e le analisi del servizio di abbonamento. Questo non equivale a ricevere o analizzare le entrate, le spese o i saldi registrati nel tuo archivio finanziario locale.

6. Pubblicità e UMP

AdMob è previsto soltanto per Free, senza banner per Premium; se lo stato Premium è ancora da determinare, le richieste dell’app vengono sospese. Il servizio pubblicitario può trattare IP, identificativi pubblicitari o tecnici, caratteristiche del dispositivo, interazioni e diagnostica. Si tratta di dati distinti dai movimenti locali.

UMP gestisce i moduli e le scelte privacy applicabili. Gli annunci personalizzati sono ammessi solo quando normativa e scelte dell’utente lo permettono. Altrimenti possono essere richiesti annunci non personalizzati o limitati, quando consentiti; se la richiesta non è consentita, non vengono richiesti annunci. Il rifiuto non attiva Premium e non garantisce l’assenza di ogni dato tecnico. Le opzioni privacy sono accessibili nel Profilo quando richiesto da UMP. Le regole e la disponibilità possono variare per territorio.

7. BCE, notifiche e sito

Per i cambi valuta l’app consulta endpoint pubblici BCE tramite HTTPS e conserva una cache locale. La connessione espone dati tecnici, come IP, ma le richieste esaminate non contengono saldi o movimenti. Le notifiche sono programmate localmente secondo impostazioni e permessi Android: eventuali importi possono apparire sulla schermata di blocco. Il sito implica il trattamento dei dati di connessione e sicurezza da parte dell’infrastruttura; non si afferma che tali dati siano inesistenti o anonimi.

Le dipendenze native delle notifiche includono componenti Google/Firebase Cloud Messaging e Installations, che possono gestire identificativi di installazione e dati tecnici quando attivati. Nei percorsi applicativi esaminati non è richiesta la registrazione di token push presso un server Roviqa. La presenza di tali componenti non dimostra l’utilizzo di Firebase Analytics o Crashlytics. Le notifiche locali e gli eventuali servizi tecnici esterni sono trattamenti distinti.

8. Assistenza e fornitori di posta

Trattiamo indirizzo email, messaggi e allegati inviati volontariamente. La bozza aperta dall’app può includere versione, piattaforma e sistema operativo, senza allegare automaticamente archivio, PIN o password. Non inviare segreti o dati finanziari superflui. support@roviqastudio.com utilizza ImprovMX per l’inoltro a una casella Gmail gestita dal titolare: entrambi i servizi partecipano al trattamento tecnico della posta. L’indirizzo Gmail non costituisce un ulteriore canale pubblico di assistenza.

9. Finalità, basi giuridiche e destinatari

Servizio richiesto, verifica Premium e assistenza si fondano sull’esecuzione del contratto o su misure precontrattuali pertinenti; gli adempimenti normativi sugli obblighi di legge. Dove richiesto, pubblicità e tecnologie di tracciamento richiedono consenso revocabile. Sicurezza, prevenzione abusi e tutela di diritti possono fondarsi su interessi legittimi effettivamente valutati, senza sostituire il consenso obbligatorio. Non vengono adottate decisioni di credito o analoghe decisioni automatizzate con effetti giuridici basate sulle analisi locali.

Destinatari: Google per Play, AdMob/UMP e Gmail; RevenueCat; ImprovMX; infrastruttura del sito; BCE per le connessioni; destinatari scelti dall’utente. Ruoli e responsabilità dipendono dai servizi e dagli accordi applicabili: un’informativa del fornitore non sostituisce quella del titolare.

10. Conservazione

I dati locali restano fino alla cancellazione tramite app o sistema. Il reset include l’archivio operativo e le copie tecniche riconosciute dalla procedura, ma conserva preferenze e configurazione PIN e non cancella file esterni, dati di acquisto o dati dei fornitori. La politica di conservazione delle normali email di assistenza prevede 90 giorni dalla chiusura della richiesta, con gestione attualmente manuale; eventuali eccezioni richiedono una necessità documentata o un obbligo applicabile. Richieste privacy, reclami e documenti amministrativi hanno una valutazione separata: il termine di 90 giorni non sostituisce obblighi legali di conservazione. I log del sito seguono criteri di necessità per funzionamento e sicurezza; i fornitori applicano anche i propri termini.

11. Trasferimenti internazionali

L’uso dei fornitori può comportare trattamenti fuori dallo SEE. Quando si applica il GDPR, occorre una base valida del Capo V, come una decisione di adeguatezza applicabile o garanzie appropriate, incluse clausole contrattuali standard ove pertinenti. Non si presume una garanzia solo perché il fornitore dichiara conformità. Puoi chiedere informazioni sui destinatari e sulle garanzie al contatto privacy. Restano applicabili gli ulteriori requisiti territoriali pertinenti.

12. Diritti e aggiornamenti

Nei limiti applicabili puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e revoca del consenso, senza pregiudicare i trattamenti precedenti. Ai sensi del GDPR il riscontro avviene normalmente entro un mese, salvo proroghe motivate consentite; puoi reclamare al Garante italiano o all’autorità competente. Ulteriori diritti locali, inclusi quelli relativi alla pubblicità e alle vendite/condivisioni di dati ove applicabili, restano salvi. Sono richiesti solo elementi proporzionati per verificare una richiesta, senza penalizzare il loro esercizio.

Il titolare non può recuperare o cancellare a distanza un archivio presente soltanto sul dispositivo. Consulta Cancellazione dati e Termini. Le modifiche rilevanti saranno comunicate secondo legge. Riferimenti: Google, RevenueCat, ImprovMX, BCE.

13. Informazioni supplementari per gli Stati Uniti

Quando la legge statale è applicabile, puoi esercitare i diritti di conoscere e accedere ai dati, riceverne una copia, correggerli o cancellarli, opporti alla pubblicità mirata e alla vendita/condivisione, e limitare l’uso di dati sensibili nei casi previsti. Non subisci discriminazioni vietate per aver esercitato questi diritti. Le condizioni di applicazione delle singole leggi non sono identiche.

Non offriamo in vendita l’archivio finanziario locale. Le comunicazioni pubblicitarie di identificativi e interazioni possono rientrare nelle definizioni statali di “vendita” o “condivisione”, anche senza pagamento: non promettiamo che annunci non personalizzati escludano ogni trattamento.

Per le scelte pubblicitarie usa le opzioni privacy nel Profilo quando disponibili tramite UMP. Per dati trattati dal titolare o per assistenza sulle scelte scrivi a support@roviqastudio.com. Un’email non modifica automaticamente le impostazioni dello SDK. Puoi utilizzare un rappresentante autorizzato quando consentito; richiediamo solo verifiche proporzionate. Se una legge prevede ricorso contro il rifiuto di una richiesta, rispondi alla comunicazione ricevuta indicando “Ricorso privacy”; restano disponibili l’autorità competente e i rimedi legali. Si applicano i termini e le estensioni previsti dalla legge pertinente.

14. Età, altre tutele territoriali e reclami

Cassander non raccoglie autonomamente documenti d’identità o date di nascita per verificare l’età. Google Play può svolgere i propri controlli e richiedere approvazioni parentali. Un’approvazione di download o acquisto non sostituisce un consenso al trattamento pubblicitario quando richiesto. Se segnali un trattamento riguardante un minore, il titolare verifica gli obblighi applicabili prima di proseguirlo.

Le garanzie locali restano applicabili anche fuori dallo SEE: puoi chiedere chiarimenti, accesso, correzione o cancellazione e rivolgerti all’autorità competente, compresi ICO nel Regno Unito, autorità privacy federali/provinciali in Canada, IFPDT in Svizzera, OAIC in Australia e Privacy Commissioner in Nuova Zelanda. Il contatto del titolare resta support@roviqastudio.com. Non viene indicato un rappresentante locale che non sia stato effettivamente nominato.

15. Precisazioni sui dati tecnici e sulle richieste contrattuali

L’indirizzo IP trattato dal servizio pubblicitario può consentire di ricavare una posizione approssimativa; questo non equivale alla lettura della posizione GPS precisa. Nel pacchetto Android commerciale verificato sono presenti componenti Firebase Cloud Messaging e Installations; l’avvio automatico di Messaging e la raccolta Analytics sono disabilitati nella configurazione. Gli SDK Firebase Analytics e Crashlytics non risultano inclusi. Questi riscontri non costituiscono una promessa di assenza di ogni trasmissione tecnica da parte degli altri SDK. Per una richiesta contrattuale o di recesso possono essere trattati nome, email, riferimento del contratto o ordine, dichiarazione, data e ora, ricevuta e stato dell’invio. Sono usati per ricevere e gestire la richiesta, adempiere agli obblighi e documentare la tutela dei diritti. I documenti contrattuali sono conservati per il tempo necessario alle finalità e agli obblighi applicabili, con valutazione separata dalla politica delle ordinarie email di assistenza. Non occorrono PIN, password, dati completi della carta o archivio finanziario.

16. Accesso riservato ai revisori e infrastruttura Cloudflare

Il punto di accesso tecnico del servizio revisori è pubblicato su Cloudflare e l’accesso Premium per i revisori autorizzati è operativo dal 5 novembre 2026. La manutenzione operatore resta disattivata. Le richieste al servizio possono comportare anche il trattamento di dati di rete da parte dell’infrastruttura. La descrizione seguente illustra i trattamenti del servizio attivo.

Il servizio consente ai revisori autorizzati di richiedere gratuitamente Premium con un codice riservato, senza account Cassander né acquisto Google Play. L’invio è facoltativo e trasmette via HTTPS il codice e l’ID pseudonimo RevenueCat. Non trasmette movimenti, saldi, budget o l’archivio finanziario locale. Il codice è una credenziale riservata: non inviarlo nelle richieste privacy. Ogni installazione riceve Premium per un massimo di 30 giorni dalla prima attivazione; reinserire lo stesso codice non rinnova né prolunga tale periodo.

D1 conserva il digest del codice, l’ID pseudonimo, l’associazione e lo stato della concessione, con gli eventuali limiti di validità. I contatori di sicurezza comprendono hash dell’IP e bucket globali o per codice. Il codice in chiaro è elaborato in transito e in memoria, non salvato nelle tabelle applicative. Gli hash non garantiscono anonimato; il backend non usa l’IP per geolocalizzare. Il coordinatore conserva un giornale tecnico dell’operazione, con token, tipo, orario, fase ed eventuale hash dell’ID, per evitare operazioni duplicate o revoche incoerenti.

Il server consulta il profilo RevenueCat, che può includere acquisti preesistenti, per verificare le promozioni. Non conserva il profilo completo in D1 né lo restituisce all’app. L’accesso dipende dall’entitlement Premium verificato da RevenueCat; non è un nuovo abbonamento acquistabile. Le finalità sono autorizzazione dell’accesso riservato, gestione e revoca delle concessioni, sicurezza e prevenzione degli abusi. La base è il legittimo interesse del titolare a consentire revisioni controllate e impedire usi non autorizzati, con minimizzazione e valutazione di bilanciamento. Questi dati del backend non sono usati dal titolare per pubblicità o marketing; resta salvo il diritto di opposizione nei casi previsti dalla legge.

Per i dati trattati per nostro conto, Cloudflare opera come responsabile, con sub-responsabili e garanzie contrattuali per eventuali trasferimenti extra SEE. Il DPA e l’elenco aggiornato dei sub-responsabili sono consultabili sui siti ufficiali Cloudflare. D1 è in giurisdizione UE e il coordinatore è configurato per la giurisdizione UE; il punto d’ingresso Worker usa però la rete globale. Non è quindi promesso un trattamento interamente europeo. RevenueCat rimane un servizio esterno distinto. I trattamenti propri di Cloudflare relativi ad account e rete seguono anche la sua informativa privacy.

La configurazione attuale non abilita il logging applicativo delle richieste; non sono previsti log del codice, del corpo delle richieste o delle chiavi. Questo non esclude log e metadati infrastrutturali del fornitore, soggetti ai propri criteri di conservazione. Non confonderli con i contatori antiabuso del database.

La policy mantiene i record di autorizzazione finché necessari per accesso e revoca, con riesame della necessità ogni 90 giorni. I record revocati ancora necessari contro il riuso non sono eliminati automaticamente mentre il codice resta valido: la necessità è motivata e riesaminata senza escludere i diritti dell’interessato. Dopo revoca del codice e riconciliazione delle concessioni, i record non più necessari sono eliminati entro 90 giorni, salvo obblighi o eccezioni specifiche documentate. I contatori hanno validità logica di 15 minuti e sono eliminati alla richiesta successiva; in assenza di attività è prevista manutenzione settimanale. Il giornale di un esito incerto resta fino alla riconciliazione, con presa in carico operativa e senza riapertura automatica del grant.

Queste attività sono attualmente gestite manualmente. In futuro potranno essere supportate o eseguite da strumenti automatizzati, previa autorizzazione e verifica, mantenendo invariati finalità, termini di conservazione, garanzie, diritti degli interessati e responsabilità del titolare. Non sono attive automazioni per questa manutenzione. Le finestre tecniche di recupero documentate sono fino a 7 giorni per D1 Free e 30 giorni per Durable Objects SQLite; non costituiscono il termine di conservazione di tutti i log del fornitore. La cancellazione dal database corrente non garantisce rimozione immediata da ogni copia. Dopo un ripristino, revoche e cancellazioni devono essere nuovamente rispettate prima di riaprire il servizio.

Reset e disinstallazione dell’app non cancellano questi dati esterni. Per esercitare i diritti contatta support@roviqastudio.com, indicando il contesto e, se necessario, l’ID assistenza. L’ID facilita la ricerca ma da solo non prova identità o titolarità di un acquisto. Non inviare codice riservato, PIN, password o archivio finanziario. Cancellazione dati, revoca dell’accesso promozionale e disdetta Google Play sono operazioni distinte. Restano applicabili i diritti, i termini di risposta e le garanzie descritti nelle altre sezioni.