Informativa sulla Privacy

1. Titolare del trattamento

BCrypto (società in costituzione), fondatore Pavel Ivanov, sede operativa Torino, Italia. Contatto privacy: info@q-audion.com.

Nota: la società è in fase di costituzione. Una volta perfezionata l'iscrizione presso il Registro delle Imprese, P.IVA, REA e sede legale verranno pubblicati su questa pagina e nelle Note Legali.

Non è stato designato un Responsabile della Protezione dei Dati (DPO), in quanto le attuali attività di trattamento non raggiungono le soglie previste dall'art. 37 GDPR. Il contatto privacy sopra indicato gestisce tutte le richieste in materia di protezione dei dati.

2. Tipologie di dati raccolti

• Dati di contatto volontariamente forniti tramite form: nome, email, organizzazione, messaggio, oggetto della richiesta.
• Iscrizione newsletter: email e timestamp di iscrizione/conferma (double opt-in).
• Dati di navigazione anonimi (solo con consenso analytics): IP anonimizzato, browser, pagine visitate, tempi di permanenza, referrer.
• Cookie strettamente necessari: session, preferenza lingua, scelta consenso cookie.

3. Finalità e basi giuridiche

Finalità	Base giuridica	Conservazione
Risposta a richieste di contatto, invio documenti richiesti	Art. 6(1)(b) GDPR — esecuzione di misure precontrattuali	24 mesi dalla richiesta
Newsletter	Art. 6(1)(a) GDPR — consenso (double opt-in)	Fino a disiscrizione + 30 giorni
Statistiche aggregate (Google Analytics 4, Vercel Speed Insights)	Art. 6(1)(a) GDPR — consenso	14 mesi (limite GA4)
Sicurezza, prevenzione abusi	Art. 6(1)(f) GDPR — legittimo interesse	90 giorni log

4. Responsabili del trattamento (terzi)

I dati possono essere trattati dai seguenti fornitori, ciascuno con DPA conforme GDPR:

• Vercel Inc. (hosting + edge network) — California, USA. Standard Contractual Clauses 2021/914.
• Google Ireland Limited (Analytics 4) — Irlanda, EU. IP anonymization attiva. Privacy Google.
• Resend Inc. (opzionale, audience newsletter) — Delaware, USA. SCCs 2021/914. Solo email iscritte con consenso.
• SMTP provider (delivery email di conferma e notifiche): server EU.
• Database MySQL: provider hosting europeo, dati cifrati a riposo.

5. Trasferimenti extra-UE

I trasferimenti verso paesi terzi (USA per Vercel/Resend) avvengono sulla base delle Clausole Contrattuali Standard approvate dalla Commissione Europea con Decisione 2021/914 e, ove applicabile, dal Data Privacy Framework EU-USA.

6. Diritti dell'interessato (GDPR artt. 15-22)

In qualunque momento puoi esercitare:

• diritto di accesso ai tuoi dati;
• diritto di rettifica;
• diritto alla cancellazione ("diritto all'oblio");
• diritto alla limitazione del trattamento;
• diritto alla portabilità;
• diritto di opposizione;
• diritto di revoca del consenso in qualsiasi momento (non pregiudica la liceità del trattamento prima della revoca).

Per esercitarli, scrivi a info@q-audion.com. Risponderemo entro 30 giorni (art. 12 GDPR).

Hai anche diritto di proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma).

7. Cookie e analytics

Vedi Cookie Policy per dettagli sui cookie utilizzati e come gestire le preferenze. Il consenso può essere revocato in qualsiasi momento dal link "Cookie preferences" in fondo a ogni pagina.

8. Sicurezza

Adottiamo misure tecniche e organizzative appropriate (art. 32 GDPR): cifratura TLS 1.3 in transito, hashing delle password (dove applicabile), accesso ai database con principio del minimo privilegio, log degli accessi, backup cifrati.

9. Applicazione mobile Q-Audion

Questa sezione riguarda gli utenti dell'app Q-Audion per Android. L'informativa completa dell'Applicazione (dati dell'account, cifratura end-to-end delle comunicazioni, destinatari, conservazione, diritti) è pubblicata su bcrypto.com/legal/qaudion-privacy; quanto segue descrive i trattamenti collegati alla scoperta dei contatti e alle funzioni facoltative dell'app.

Finalità	Base giuridica	Conservazione
Scoperta contatti: se l'Utente avvia l'importazione della rubrica, i numeri della rubrica sono trasformati sul dispositivo in hash SHA-256 con un pepper fornito dal server (o, se il pepper non è disponibile, in semplice hash SHA-256) e solo gli hash sono inviati per individuare gli utenti già registrati; nomi e numeri in chiaro non lasciano mai il dispositivo. Il numero dell'Utente, se fornito, è conservato solo come hash SHA-256 con pepper, quale dato dell'account	Art. 6(1)(a) GDPR — consenso	Gli hash della rubrica non sono conservati oltre il confronto
Telemetria d'uso e diagnostica operativa, solo se l'Utente attiva "Diagnostica operativa cifrata" in Impostazioni > Privacy (disattivata di default): eventi d'uso anonimizzati (avvio app, esito accesso, inizio/fine chiamata, eventi di gruppo — solo il tipo di evento e pochi campi tecnici, filtrati da identificativi, email e numeri di telefono) inviati in TLS ai server del Titolare, e diagnostica operativa cifrata (metriche della pipeline di chiamata, log di livello WARN e superiore) leggibile solo lato server; inoltre, solo se l'Utente attiva separatamente "Log diagnostici in tempo reale" (anch'esso disattivato di default), log applicativi redatti (tag, dimensioni, impronte troncate — mai chiavi, token o contenuto dei messaggi) inviati in TLS al backend di diagnostica del Titolare mentre l'app è in uso; il tutto per individuare malfunzionamenti e migliorare il servizio	Art. 6(1)(a) GDPR — consenso	Per il tempo strettamente necessario alla diagnostica (eventi d'uso in un archivio a capacità fissa in cui i più vecchi vengono sovrascritti)
Tunnel VPN facoltativo basato su WireGuard, attivato solo dall'Utente: il traffico del dispositivo è instradato attraverso i nodi relay del Titolare, che trattano in modo transitorio i metadati di connessione (indirizzo IP, orari di connessione, volume di traffico aggregato per nodo) per l'instradamento e la prevenzione degli abusi; nessun contenuto di navigazione è ispezionato o registrato	Art. 6(1)(b) GDPR — contratto; art. 6(1)(f) — legittimo interesse (prevenzione abusi)	Transitoria; l'IP pubblico non è registrato in modo persistente dal servizio VPN. Il server centrale conserva la registrazione del peer (chiave pubblica WireGuard, nodo, indirizzo interno del tunnel) per 24 ore, con rimozione automatica alla scadenza, e un registro dei token di sessione (identificativo, utente, orari di emissione e scadenza, senza IP) a fini di audit, eliminato automaticamente entro 24 ore dalla scadenza di ciascun token. La cancellazione dell'account rimuove immediatamente abilitazione VPN, registrazione del peer, token e impronte (hash) dei contatti dell'Utente

Se l'Utente usa Q-Audion tramite Android Auto o su uno smartwatch Wear OS, tali superfici si limitano a presentare dati già presenti sul telefono (contatti, conversazioni, stato delle chiamate) attraverso la Car App Library e il Wearable Data Layer di Google sui dispositivi dell'Utente; il Titolare non raccoglie dati aggiuntivi tramite esse. Google tratta il trasporto della proiezione e del data layer quale Titolare autonomo, secondo la propria informativa privacy.

App per iOS

Quanto sopra vale anche per l'app Q-Audion per iPhone, con le seguenti differenze. Le notifiche e le chiamate in arrivo sono recapitate tramite Apple Push Notification service e PushKit: il Titolare conserva il token di notifica del dispositivo e Apple Inc. tratta il transito della notifica quale Titolare autonomo secondo la propria informativa. Sull'app per iOS non sono presenti Firebase Cloud Messaging, Firebase Crashlytics né Google Play Integrity: la diagnostica è gestita da componenti interne dell'app e lascia il dispositivo solo se l'Utente attiva la voce "Diagnostica" in Impostazioni > Privacy (disattivata di default). Le integrazioni facoltative con Siri e CarPlay elaborano i nomi dei contatti e lo stato delle chiamate esclusivamente sul dispositivo, tramite le API di sistema di Apple; nulla è inviato al Titolare per tali funzioni. La registrazione "con interno e email" richiede un indirizzo email, usato per la verifica e il recupero dell'account. Il numero di telefono, se fornito, è trasmesso in chiaro una sola volta per l'invio del codice di verifica via SMS e conservato solo come hash. Se l'Utente abbina gli auricolari Q-Audion facoltativi, l'identificativo dell'accessorio è associato all'account per la custodia delle chiavi. La segnalazione di un contatto, di un messaggio o di un gruppo ("Segnala") invia al Titolare, in forma cifrata, la categoria scelta e gli identificativi segnalati; le segnalazioni sono esaminate entro 24 ore. L'eliminazione dell'account è disponibile nell'app (Impostazioni > Account > Elimina account) e alla pagina cancellazione account.

10. Modifiche

Questa informativa può essere aggiornata. Modifiche sostanziali verranno notificate tramite banner sul sito e, per la newsletter, via email. Il "consent version" è incrementato in caso di modifiche che richiedono nuovo consenso.