Informativa sulla privacy dell’app Cappsula

In vigore dal 11 ottobre 2026. Riguarda l’app Cappsula per Android, iPhone e iPad e il sito appteczka.eu, compresa la sua versione italiana. In Polonia la stessa app si chiama APPteczka: è lo stesso prodotto, dello stesso editore.

1. Chi è responsabile dei tuoi dati

Il titolare del trattamento è Appifi Sp. z o.o., ul. Piotrkowska 276A, 90-361 Łódź, Polonia. La società è iscritta nel registro degli imprenditori del Registro giudiziario nazionale polacco (Krajowy Rejestr Sądowy), tenuto dal Sąd Rejonowy dla Łodzi-Śródmieścia w Łodzi, XX Wydział Gospodarczy KRS, con numero KRS 0001150929, NIP 7252351636, REGON 540700682. Siamo l’editore dell’app Cappsula. In questa informativa, «noi» indica Appifi Sp. z o.o.

Puoi anche scriverci per posta all’indirizzo della società. Rispondiamo alle richieste senza ingiustificato ritardo e comunque entro un mese. Se la richiesta è complessa, possiamo prorogare il termine di altri due mesi: in tal caso, entro il primo mese ti spieghiamo il motivo.

Responsabile della protezione dei dati. Non abbiamo designato un responsabile della protezione dei dati. Tutte le questioni relative ai dati personali le gestiamo all’indirizzo rodo@appteczka.eu.

2. Perché serve un account

L’app funziona solo con un account. I farmaci, le dosi e la cronologia delle assunzioni appartengono a una persona precisa, non a un telefono. L’account ti permette di ritrovare l’armadietto quando cambi telefono, di usarlo su più dispositivi e di gestirlo insieme alla famiglia.

3. Quali dati raccogliamo, perché e su quale base giuridica

Dati dell’account

Indirizzo e-mail, nome (puoi indicarne uno qualsiasi) e colore dell’avatar, con cui l’app ti distingue tra i familiari. Se crei l’account con una password, salviamo soltanto un hash della password calcolato con l’algoritmo scrypt. La password vera e propria non la conosciamo. Se accedi con Google o con Apple, salviamo l’identificativo dell’account assegnato da quella società.

Per ogni armadietto salviamo anche il paese dell’armadietto (oggi si può scegliere tra Italia e Polonia; gli armadietti creati prima della versione 2.14 sono impostati sulla Polonia): da questo dipende la banca dati pubblica dei farmaci in cui cerchiamo quando scansioni un codice o scrivi un nome. Può cambiarlo qualsiasi membro dell’armadietto.

Salviamo anche la lingua dell’account (italiano, inglese, spagnolo, francese o polacco). L’app ce la comunica quando crei l’account, quando accedi e quando cambi la lingua nel profilo; se una versione meno recente dell’app non la comunica, consideriamo il polacco. Dalla lingua dell’account dipende il nome predefinito dell’armadietto e della famiglia, e quando accedi su un altro telefono l’app può aprirsi nella stessa lingua. L’e-mail con il codice alla creazione dell’account la inviamo nella lingua che l’app indica insieme alla richiesta del codice o, se non la indica, nella lingua impostata sul telefono.

Base giuridica: art. 6, par. 1, lett. b), GDPR – esecuzione del contratto per l’uso dell’app (i termini e condizioni).

Registrazione dei tuoi consensi e delle tue dichiarazioni

Quando accetti i termini e condizioni (insieme alla dichiarazione di avere almeno 16 anni) e presti il consenso al trattamento dei dati relativi alla salute, registriamo nell’account la data, la versione del testo (attualmente «2026-11») e il modo in cui lo hai fatto (per esempio registrazione con e-mail, accesso con Google o Apple, conferma nell’app). Allo stesso modo registriamo la dichiarazione e il consenso del genitore o del tutore legale per i profili dei bambini (punto 7).

Base giuridica: art. 6, par. 1, lett. c), GDPR in relazione all’art. 7, par. 1, GDPR. La legge ci impone di essere in grado di dimostrare che hai prestato il consenso.

Dati relativi alla salute

Sono il cuore dell’app. Sul server arrivano:

• farmaci: nome, dosaggio, forma farmaceutica, principio attivo, codici (codice a barre, codice ATC, codice AIC o altro numero di registro), categorie e colore;
• per i farmaci aggiunti da una banca dati pubblica dei farmaci (dalla versione 2.14): l’indicazione di quella banca dati (per esempio gli open data dell’AIFA o il registro dei medicinali polacco) e l’identificativo del farmaco in quella banca dati (per l’Italia, il codice AIC), con cui l’app apre il foglio illustrativo, anche sui telefoni dei familiari;
• confezioni: scatole, numero di unità, date di scadenza e scorta;
• foto delle confezioni, se le scatti tu o se l’app le prende dalla banca dati Open Food Facts;
• orari: momenti della giornata, giorni della settimana, numero di compresse per orario e le tue note;
• cronologia delle dosi: quale dose e quando l’hai segnata come presa o saltata;
• profili dei bambini e i loro piani dei farmaci (punto 7);
• impostazioni delle notifiche, per esempio se il tuo telefono deve ricordarti le dosi di un bambino.

Si tratta di dati relativi alla salute, una delle categorie particolari di dati personali di cui all’art. 9 GDPR. Li trattiamo esclusivamente sulla base dell’art. 9, par. 2, lett. a), GDPR, cioè del tuo consenso esplicito (punto 4), e i dati del bambino sulla base del consenso esplicito del genitore o del tutore legale (punto 7).

Usiamo questi dati solo per mostrarti il tuo piano, ricordarti le dosi, calcolare la scorta e mostrarli alle persone con cui scegli tu di unirti in una famiglia. Non li analizziamo per nessun altro scopo.

Cappsula è un organizer per i farmaci: non è un dispositivo medico e non sostituisce il parere del medico o del farmacista.

Pagamenti

Premium si acquista su Google Play o sull’App Store. Nei tuoi confronti il venditore è lo store. Pagamento, ricevute e rimborsi li gestisce lo store secondo le proprie regole.

Dallo store riceviamo la conferma dell’acquisto: il token di acquisto (Google Play) oppure la transazione firmata (App Store). La verifichiamo per attivare Premium. Nel tuo account registriamo: piano, store, conferma dell’acquisto e data fino alla quale il piano è pagato. Nel registro dei pagamenti registriamo piano, store, importo di listino e data.

Non vediamo i dati della tua carta. Numero della carta, dati di fatturazione e indirizzo non ci vengono trasmessi.

Base giuridica: art. 6, par. 1, lett. b), GDPR (contratto) e, per il registro dei pagamenti, art. 6, par. 1, lett. f), GDPR – il nostro legittimo interesse alla contabilizzazione con gli store e alla conoscenza dei ricavi. Dopo l’eliminazione dell’account la voce nel registro dei pagamenti resta, ma senza alcun collegamento con te (piano, store, importo, data).

Sicurezza dell’account

Il server registra gli eventi rilevanti per la sicurezza: accessi non riusciti, superamento dei limiti di richieste, conferme di acquisto respinte ed errori. La registrazione comprende ora, tipo di evento, indirizzo IP, identificativo dell’account (se l’evento riguarda una persona che ha effettuato l’accesso) e una breve descrizione. L’indirizzo e-mail vi compare solo in forma mascherata, per esempio ma***@dominio.it. Il contenuto dell’armadietto non viene registrato. Cancelliamo le voci dopo 90 giorni.

Base giuridica: art. 6, par. 1, lett. f), GDPR – il nostro legittimo interesse a proteggere gli account da accessi non autorizzati e il servizio da abusi.

Log del server

Il server web registra indirizzo IP, data e ora, tipo di richiesta, indirizzo della pagina richiesta senza i parametri della query, codice di risposta, dimensione della risposta e identificativo del browser o dell’app (user-agent). Il registro di sistema del server registra messaggi tecnici sul funzionamento del servizio e sugli errori. Cancelliamo entrambi dopo 14 giorni.

Base giuridica: art. 6, par. 1, lett. f), GDPR – protezione del servizio e risoluzione dei guasti.

Corrispondenza con noi

Se ci scrivi, conserviamo il messaggio, il tuo indirizzo e la nostra risposta. Ci servono per gestire la richiesta e per poter dimostrare come l’abbiamo gestita. Le caselle @appteczka.eu funzionano sul nostro server in Polonia. I messaggi inviati a rodo@appteczka.eu arrivano nella casella info@appteczka.eu.

Notifiche dei nuovi messaggi. Per gestire rapidamente la posta usiamo AppifiPanel, uno strumento interno di Appifi per controllare lo stato dei nostri servizi. Funziona su un server noleggiato da OVH Hosting Inc. a Montréal (Canada). A ogni nuovo messaggio nelle caselle info@appteczka.eu e pomoc@appteczka.eu il pannello:

• legge mittente, oggetto, data e i primi 200 caratteri del testo;
• li conserva nel proprio database in Canada finché il messaggio resta nella casella;
• invia una notifica (oggetto, mittente e parte del testo) al telefono del titolare della società tramite il servizio Google Firebase Cloud Messaging (Google LLC, USA).

Si tratta di un trasferimento di dati fuori dallo Spazio economico europeo, descritto al punto 14. Per questo non scrivere nel messaggio dei tuoi farmaci o delle tue malattie, se non è necessario. Se lo fai, useremo queste informazioni solo per risponderti.

Base giuridica: art. 6, par. 1, lett. f), GDPR – gestione della corrispondenza e accertamento, esercizio o difesa di diritti, e per le richieste di esercizio dei diritti anche art. 6, par. 1, lett. c), GDPR. Conserviamo la corrispondenza per il tempo necessario a gestire la richiesta e poi fino a 2 anni dalla sua chiusura.

Modulo di contatto sul sito. Nella home page di appteczka.eu puoi scriverci tramite un modulo. Scegli un argomento, indichi l’indirizzo e-mail per la risposta e il testo del messaggio e, se vuoi, il tuo nome. Il nostro server controlla questi dati e li inoltra come normale messaggio e-mail alla casella dell’argomento scelto, sullo stesso server in Polonia: le richieste di aiuto arrivano nella casella pomoc@appteczka.eu, tutti gli altri argomenti in info@appteczka.eu. Da quel momento si tratta di corrispondenza con noi come qualsiasi altra e vale quanto descritto sopra, compreso AppifiPanel. Il testo del messaggio, l’indirizzo e-mail e il nome indicati nel modulo non li salviamo né nel database dell’app né nel registro di sistema del server. All’indirizzo indicato nel modulo non inviamo nulla in automatico: rispondiamo noi.

Per proteggere le caselle dallo spam, il modulo ha un campo nascosto che compilano solo i programmi di spam e un indicatore temporale firmato dal nostro server (ci permette di respingere un messaggio inviato più velocemente di quanto si possa scriverlo). Il server conta inoltre i messaggi inviati da uno stesso indirizzo IP – solo nella memoria di lavoro, senza scrivere nulla su disco – e cancella questi contatori dopo un giorno. I tentativi respinti (ad esempio dopo il superamento del limite) li registriamo tra gli eventi di sicurezza (ora, tipo di evento e indirizzo IP, senza il testo del messaggio e senza l’indirizzo e-mail). Il server web registra l’invio del modulo nei log come qualsiasi altra richiesta (sopra, «Log del server»). Il modulo non usa servizi di terzi né cookie.

Base giuridica: art. 6, par. 1, lett. f), GDPR – il nostro legittimo interesse a rispondere al tuo messaggio e a proteggere il modulo e le caselle dagli abusi. I messaggi inviati tramite il modulo li conserviamo come il resto della corrispondenza.

Che cosa non facciamo

Non raccogliamo identificativi pubblicitari, posizione, contatti né l’elenco delle app installate. Né nell’app né sul sito ci sono pubblicità o strumenti di analytics. Non ti profiliamo e non prendiamo nei tuoi confronti decisioni basate unicamente su un trattamento automatizzato. Non vendiamo dati e non li comunichiamo a inserzionisti, data broker o assicurazioni.

4. Consenso al trattamento dei dati relativi alla salute

Come lo presti. Prima di creare l’account (con e-mail oppure con Google o Apple) spunti due caselle separate:

• l’accettazione dei termini e condizioni, la presa visione di questa informativa e la dichiarazione di avere almeno 16 anni;
• un consenso separato ed esplicito al trattamento dei dati relativi alla tua salute.

Senza spuntare entrambe le caselle non è possibile creare l’account.

Che cosa comprende. Il consenso nella versione «2026-11» comprende farmaci, dosi e cronologia delle assunzioni, foto delle confezioni e, se entri in una famiglia, la visualizzazione di questi dati da parte dei familiari (punto 6). Per i dati relativi alla salute di un bambino il genitore o il tutore legale presta un consenso separato (punto 7).

Nuova versione del consenso. Quando cambiamo il testo del consenso, l’app te lo chiede di nuovo. Lo chiede anche a chi aveva un account prima che l’app iniziasse a chiedere il consenso.

Se non presti il consenso.

• Se nel tuo account non è registrato alcun consenso e scegli di non acconsentire, l’account viene sospeso: il server non scambia con l’app dati relativi alla salute. Per 30 giorni puoi accedere di nuovo e prestare il consenso. Se non lo fai, dopo 30 giorni eliminiamo automaticamente dal server l’account e i suoi dati.
• Se avevi prestato il consenso in una versione precedente e non accetti quella nuova, l’app ti fa uscire dall’account e te lo chiede di nuovo al successivo accesso. Fino ad allora trattiamo i dati nei limiti del consenso precedente. Se non vuoi più usare l’app, elimina l’account o scrivi a rodo@appteczka.eu.

Come revocare il consenso. In qualsiasi momento. Il modo più semplice è eliminare l’account dall’app (punto 15). Puoi anche scrivere a rodo@appteczka.eu. Senza dati relativi alla salute l’app non può funzionare, quindi revocare il consenso significa eliminare l’account e i relativi dati sulla salute. La revoca del consenso non pregiudica la liceità del trattamento basata sul consenso prima della revoca.

Eliminazione di un singolo farmaco. Quando elimini un farmaco, ne cancelliamo subito dal server il contenuto (nome, composizione, confezioni, foto, cronologia delle dosi, orari e note). Resta solo un indicatore tecnico di eliminazione (identificativo e data), necessario perché il farmaco sparisca anche dagli altri telefoni. Cancelliamo l’indicatore dopo 30 giorni.

5. Modalità di accesso

• Continua con Apple (su iPhone e iPad). Apple ci trasmette un identificativo stabile del tuo account e l’indirizzo e-mail. Se scegli di nascondere la tua e-mail, riceviamo solo un indirizzo di inoltro (@privaterelay.appleid.com). Apple trasmette il nome solo al primo accesso.
• Continua con Google. Google ci trasmette l’identificativo dell’account, l’indirizzo e-mail e il nome. Non riceviamo la password né l’accesso a posta, Drive o contatti.
• E-mail e password. Quando crei l’account, inviamo all’indirizzo indicato un codice di sei cifre. Il codice è valido 15 minuti e si può inserire al massimo cinque volte. Ne conserviamo solo l’hash (HMAC). Cancelliamo la voce con il codice dopo il suo utilizzo o, se non viene usato, alla sua scadenza.

Se accedi con una seconda modalità usando lo stesso indirizzo e-mail, la colleghiamo all’account esistente.

L’accesso resta valido sul dispositivo fino a 365 giorni. Uscendo dall’account la sessione viene eliminata dal telefono.

I messaggi dagli indirizzi @appteczka.eu li invia il nostro server di posta. Non ci serviamo di società di e-mail marketing. Non inviamo newsletter né pubblicità, solo codici e comunicazioni importanti sul servizio.

Accesso con Apple ed eliminazione dell’account. Quando elimini l’account, non revochiamo automaticamente il collegamento tra Cappsula e il tuo ID Apple. Puoi rimuoverlo tu nelle impostazioni dell’ID Apple, nella sezione «Accedi con Apple».

6. Chi vede i tuoi dati

Solo tu. Dopo aver creato l’account hai un armadietto tutto tuo. Non lo vede nessun altro.

La famiglia. Puoi unirti ai tuoi cari. Un familiare ti mostra un invito (codice QR o link) valido 24 ore. Tu chiedi di entrare, e un membro della famiglia deve approvare la tua richiesta. Fino a quel momento non vedi i dati della famiglia, e la famiglia non vede i tuoi. Prima dell’approvazione vedi solo il nome della famiglia.

Chi approva la tua richiesta sceglie una delle due impostazioni:

• Armadietto condiviso (per esempio se vivete insieme). I familiari nello stesso armadietto vedono tutti i farmaci, le confezioni, le scorte, le date di scadenza, le foto delle confezioni e i profili dei bambini.
• Armadietto personale nella famiglia (per esempio la mamma vive per conto suo e i figli la aiutano). Il tuo elenco di farmaci, le confezioni e le scorte restano tuoi.

In entrambe le impostazioni ogni membro della famiglia vede:

• il tuo nome, il colore dell’avatar e l’indirizzo e-mail;
• il tuo piano delle dosi di oggi: nome e dosaggio dei farmaci con orari, gli orari, il numero di compresse e se la dose è segnata come presa. La famiglia serve proprio a questo, per esempio a chi assiste una persona anziana.

I familiari vedono solo il piano del giorno in corso. A causa delle differenze di fuso orario l’app può scaricare anche il piano del giorno precedente e di quello successivo. La cronologia più vecchia delle tue dosi i familiari non la vedono.

L’impostazione dell’armadietto può cambiarla qualsiasi membro della famiglia, anche la tua. Ogni familiare può spostarti in un armadietto condiviso con sé o assegnarti un armadietto personale. Se qualcuno ti sposta in un armadietto condiviso, i vostri farmaci si uniscono e i familiari di quell’armadietto vedono l’elenco completo dei tuoi farmaci. Puoi controllare e cambiare la tua impostazione nell’app in qualsiasi momento.

Entrare in una famiglia significa mostrare ai familiari il tuo piano delle dosi del giorno. Se non lo vuoi, resta con un armadietto solo per te. Funziona allo stesso modo.

Uscita dalla famiglia. Puoi lasciare la famiglia in qualsiasi momento. Se hai un armadietto personale, lo porti con te insieme ai farmaci e ai profili dei bambini. Se eri in un armadietto condiviso, i farmaci restano ai familiari, perché sono anche loro, e i tuoi orari smettono di essere visibili.

7. Profili dei bambini

Puoi aggiungere all’armadietto un bambino che non ha ancora compiuto 16 anni. Il bambino non ha un account e non usa l’app. I suoi dati li inserisce il genitore o il tutore legale nel proprio account. Chi ha compiuto 16 anni crea un proprio account.

Dichiarazione e consenso. Quando aggiungi il profilo di un bambino:

• dichiari di essere il genitore del bambino o il suo tutore legale;
• presti un consenso separato ed esplicito al trattamento dei dati relativi alla salute del bambino (farmaci, dosi, cronologia delle assunzioni) e alla loro visualizzazione da parte degli adulti dello stesso armadietto.

Registriamo la data, la versione e la modalità della dichiarazione e del consenso.

Base giuridica: consenso esplicito (art. 9, par. 2, lett. a), GDPR), prestato per conto del bambino da chi esercita la responsabilità genitoriale o dal tutore legale.

Che cosa registriamo: nome (o un soprannome qualsiasi) e colore del bambino, i farmaci del bambino nell’armadietto, gli orari con dosi e note, la cronologia delle dosi insieme all’indicazione di quale adulto ha segnato la dose, e se un determinato genitore vuole ricevere i promemoria delle dosi di quel bambino. Ogni genitore attiva i promemoria per sé, separatamente.

Chi vede il profilo del bambino: tutti gli adulti dello stesso armadietto. Ciascuno di loro può modificare il piano del bambino e segnare le dosi. I membri della famiglia con un armadietto personale non vedono il profilo.

Bambini più grandi. I farmaci di un adolescente possono essere una questione delicata. Prima di aggiungere il profilo di un figlio più grande, parlagli del fatto che i suoi farmaci li vedranno tutti gli adulti dell’armadietto.

Per quanto tempo: finché non elimini il profilo o finché esiste l’armadietto. Il profilo segue l’armadietto, per esempio quando unite due case. Quando elimini il profilo, cancelliamo subito dal server il nome del bambino e il profilo sparisce da tutti i telefoni. Il piano dei farmaci e la cronologia delle dosi del bambino li cancelliamo dal server insieme all’indicatore tecnico di eliminazione del profilo, al più tardi dopo 30 giorni. Se elimini l’account e sei l’unica persona nell’armadietto, cancelliamo subito i profili dei bambini insieme all’account. Se nell’armadietto resta un altro adulto, i profili restano a lui.

Revoca del consenso e diritti del bambino. Revochi il consenso per i dati del bambino eliminando il suo profilo o scrivendo a rodo@appteczka.eu. Gli altri diritti del bambino li esercita per suo conto, allo stesso modo, il genitore o il tutore legale.

8. Banca dati comune dei codici

L’app riconosce i farmaci dal codice sulla confezione. Per gli armadietti impostati sull’Italia i dati provengono dagli open data dell’AIFA (Agenzia Italiana del Farmaco), che contengono le confezioni dei farmaci autorizzati con il codice AIC. Se imposti l’armadietto su un altro paese, l’app usa la banca dati pubblica di quel paese. Integratori alimentari, cosmetici e parte dei dispositivi medici non sono presenti nell’elenco dell’AIFA.

Se scansioni il codice di un prodotto che non è presente nelle banche dati e gli dai un nome, il codice insieme al nome (e anche al dosaggio, alla forma e al produttore, se li inserisci) entra nella banca dati comune dei codici. Gli altri utenti vedranno quel nome come suggerimento quando scansioneranno lo stesso codice. Con la voce registriamo anche chi l’ha aggiunta (identificativo dell’account). Agli altri utenti non lo mostriamo, e lo rimuoviamo dalla voce quando elimini l’account.

Non inserire dati personali nel nome del prodotto, per esempio «sciroppo per Anna R.». Lo vedranno altri utenti.

Le tue foto non entrano nella banca dati comune. La foto di una confezione resta nel tuo armadietto e possono vederla al massimo i familiari dello stesso armadietto. Le foto nella banca dati comune provengono esclusivamente dalla banca dati aperta Open Food Facts.

Gli altri utenti non vedono chi ha un determinato prodotto nell’armadietto né se qualcuno lo assume.

9. Promemoria e widget

I promemoria delle dosi li programma e li mostra il telefono stesso. Non ti inviamo notifiche via internet (push). I widget «Piano del giorno» e «Piano del bambino» leggono il piano dalla memoria del telefono.

Schermata di blocco. Il promemoria contiene il nome del farmaco e la dose e, per un bambino, anche il suo nome. Su Android i promemoria sono contrassegnati come privati: se nelle impostazioni del telefono nascondi i contenuti sensibili sulla schermata di blocco, il telefono mostra solo una notifica generica senza il nome del farmaco. Su iPhone serve a questo l’impostazione «Mostra anteprime» nelle impostazioni delle notifiche.

L’app chiede il permesso per le notifiche e, sulle versioni più recenti di Android, anche per le sveglie esatte. Puoi rifiutare. L’app funzionerà, ma senza promemoria puntuali.

Quando Premium scade, i promemoria dei farmaci oltre il limite del piano gratuito vengono messi in pausa, ma quei farmaci e la loro cronologia non spariscono (dettagli nei termini e condizioni).

10. Che cosa resta sul tuo telefono

L’app conserva nella memoria del telefono una copia del tuo armadietto: farmaci, piano, cronologia delle dosi, foto, piano per i widget, dati di accesso e impostazioni come la lingua dell’app. Così funziona anche senza rete e i promemoria arrivano puntuali.

Dopo l’uscita dall’account i dati dell’armadietto restano sul telefono. Li eliminiamo quando su quel telefono accede un altro account. Se vuoi eliminarli prima, per esempio prima di dare il telefono a qualcuno, scegli nell’app Profilo → «Dati su questo telefono» → Cancella. Questa opzione cancella dal telefono farmaci, cronologia delle dosi, foto e promemoria programmati. La copia sul server resta. Puoi anche disinstallare l’app o cancellarne i dati nelle impostazioni del telefono.

Dopo l’eliminazione dell’account l’app (dalla versione 2.12.4) cancella anche i dati dal telefono: farmaci, cronologia delle dosi, foto, promemoria e widget. Se elimini l’account con una versione precedente o al di fuori dell’app, disinstalla l’app o cancellane i dati nelle impostazioni del telefono.

Backup del telefono.

• Su Android l’app è esclusa dal backup, quindi i suoi dati non finiscono nella copia sull’account Google né sul nuovo telefono. Dopo l’accesso sul nuovo telefono l’armadietto torna dal nostro server.
• Su iPhone e iPad i dati dell’app possono finire nel backup di iCloud, se lo hai attivato. Su questo backup decidi tu nelle impostazioni del dispositivo, e lo conserva Apple.

11. Dove conserviamo i dati e per quanto tempo

Conserviamo i dati dell’app su un server a Varsavia (Polonia), noleggiato da OVH Sp. z o.o. La connessione tra l’app e il server è cifrata (TLS). Sul server Cappsula funziona come servizio separato, con un proprio utente di sistema, isolato dagli altri servizi.

Backup del database. Ogni giorno alle 3:30 (ora di Varsavia) facciamo una copia del database. Le copie si trovano sullo stesso server, in una cartella accessibile solo al servizio dell’app. Non comprendono le foto e non sono cifrate separatamente. Conserviamo ogni copia per 14 giorni e poi la cancelliamo. Per questo i dati eliminati dal database spariscono anche dalle copie, al più tardi dopo 15 giorni.

Per quanto tempo conserviamo i dati:

• Account e registrazione dei consensi – finché hai l’account.
• Account sospeso per mancanza di consenso – 30 giorni dal rifiuto. Poi lo eliminiamo automaticamente insieme ai dati (punto 4).
• I tuoi orari e la cronologia delle dosi – finché hai l’account.
• Farmaci, confezioni e foto – finché non li elimini o finché esiste l’armadietto. L’armadietto condiviso appartiene a tutti i familiari che ne fanno parte, quindi resta finché vi rimane anche una sola persona.
• Paese dell’armadietto – finché esiste l’armadietto.
• Profili dei bambini – fino all’eliminazione del profilo o dell’armadietto (punto 7).
• Indicatore di eliminazione di un farmaco, di un orario o di un profilo bambino – 30 giorni.
• Codice di verifica alla registrazione – fino al suo utilizzo o, se non viene usato, fino alla scadenza (15 minuti).
• Invito alla famiglia – valido 24 ore. Richiesta di ingresso – fino all’approvazione, al rifiuto o al ritiro.
• Abbonamento e conferma dell’acquisto – finché hai l’account.
• Registro dei pagamenti – dopo l’eliminazione dell’account resta senza collegamento con te: piano, store, importo e data.
• Eventi di sicurezza – 90 giorni.
• Log del server web e registro di sistema – 14 giorni.
• Memoria cache dei risultati delle banche dati dei farmaci (punto 13) – un risultato vale 7 giorni (un risultato vuoto 24 ore), e cancelliamo automaticamente la voce 90 giorni dopo l’ultimo scaricamento dalla banca dati. La voce non è collegata ad alcun account.
• Corrispondenza – per il tempo necessario a gestire la richiesta e poi fino a 2 anni dalla sua chiusura. Voci in AppifiPanel – finché il messaggio resta nella casella.
• Modulo di contatto – il messaggio come la corrispondenza; contatori dei messaggi da uno stesso indirizzo IP – nella memoria di lavoro del server, al massimo un giorno.
• Nomi nella banca dati comune dei codici – senza limiti di tempo, senza collegamento con il tuo account dopo la sua eliminazione (punto 8).

A ciascun periodo va aggiunto il tempo in cui i dati restano ancora nei backup del database (al massimo 15 giorni).

12. Chi da noi ha accesso ai dati

Hanno accesso ai dati solo le persone autorizzate di Appifi, tenute alla riservatezza. Gestiamo il servizio tramite un nostro pannello di amministrazione, protetto da password e da un codice monouso (TOTP). Ogni operazione nel pannello viene registrata in un registro da cui non si può eliminare una voce senza che resti traccia.

Il pannello volutamente non mostra il contenuto degli armadietti: nomi dei farmaci, dosi, orari o foto. Mostra solo i dati degli account (per esempio e-mail, nome, nome della famiglia, piano) e gli eventi del server. Le persone con accesso amministrativo al server possono tecnicamente consultare il database. Lo diciamo apertamente. Lo facciamo solo quando è necessario risolvere un guasto o dare seguito a una tua richiesta.

13. A chi comunichiamo i dati

Non vendiamo dati e non li comunichiamo a fini di marketing.

Responsabili del trattamento (società che trattano i dati per nostro conto)

• OVH Sp. z o.o., ul. Swobodna 1, 50-088 Wrocław (Polonia) – noleggio del server a Varsavia, su cui si trovano tutti i dati dell’app, i backup del database e la posta di appteczka.eu.
• OVH Hosting Inc., Montréal (Canada) – noleggio del server su cui funziona AppifiPanel. Vi arrivano parti dei messaggi e-mail (punto 3, «Corrispondenza con noi») e statistiche del servizio. Le statistiche sono esclusivamente numeri (account, abbonamenti, ricavi ed eventi del server), senza indirizzi e-mail, indirizzi IP né identificativi degli account. Non sono dati personali.
• Google LLC (USA) – servizio Firebase Cloud Messaging, tramite il quale AppifiPanel invia al telefono del titolare della società la notifica di un nuovo messaggio e-mail (oggetto, mittente, parte del testo).

Società che agiscono come titolari autonomi del trattamento

• Google Ireland Ltd. – se accedi con Google (verifica dell’identità) e se acquisti Premium su Google Play (vendita e pagamento).
• Apple Distribution International Ltd. – se accedi con Apple e se acquisti Premium sull’App Store (vendita e pagamento).

Scanner dei codici

Il codice lo riconosce il telefono stesso. Non inviamo l’immagine della fotocamera. Su Android lo scanner usa la libreria Google ML Kit. Google può raccogliere dati diagnostici sul funzionamento di questa libreria, senza l’immagine della fotocamera e senza il contenuto dell’armadietto. Su iPhone e iPad funziona lo scanner di sistema di Apple.

Banche dati esterne di farmaci e prodotti

L’app si serve di banche dati pubbliche:

• open data dell’AIFA (Agenzia Italiana del Farmaco), sezione «Liste dei farmaci» del sito aifa.gov.it, con licenza CC BY 4.0: il nostro server ne scarica periodicamente l’elenco delle confezioni, lo rielabora (per esempio separa dosaggio e numero di unità) e le ricerche avvengono su questa copia;
• Agenzia europea per i medicinali (EMA) – fogli illustrativi in polacco dei farmaci autorizzati in tutta l’Unione europea, per gli armadietti in Polonia; una volta al giorno il nostro server scarica anche l’elenco pubblico di questi farmaci;
• Open Food Facts – nomi e foto dei prodotti che non sono presenti nella banca dati dei farmaci, per esempio integratori alimentari;
• se imposti l’armadietto su un altro paese disponibile nell’app, la banca dati pubblica dei farmaci di quel paese (per la Polonia, il registro dei medicinali polacco su rejestry.ezdrowie.gov.pl).

Il telefono si collega solo al nostro server appteczka.eu. È il nostro server a interrogare queste banche dati, o la loro copia, e trasmette loro soltanto la parola cercata o il codice, senza il tuo indirizzo IP e senza i dati dell’account. Le banche dati non sanno chi sta cercando.

Memoria cache. Le ricerche negli open data dell’AIFA avvengono sulla copia sul nostro server: il server non interroga nessuno all’esterno. Per le banche dati che il server interroga in tempo reale (oggi il registro dei medicinali polacco, se l’armadietto è impostato sulla Polonia) salviamo i risultati in una memoria cache: la parola cercata o il codice della confezione, il farmaco trovato e la data dello scaricamento dalla banca dati, senza collegamento con l’account e senza indirizzo IP. Così la stessa domanda non arriva una seconda volta al registro e, se il registro non risponde, l’app riceve l’ultimo risultato noto. La memoria cache è un file separato sul nostro server e non entra nei backup del database (tempi di conservazione: punto 11). Dalla versione 2.14 l’app invia la parola cercata e il codice nei parametri della query, quindi non finiscono nei log del server web (punto 3, «Log del server»). Nel registro di sistema il server annota solo una breve descrizione degli errori di collegamento con le banche dati. Il numero di richieste alle banche dati dei farmaci da un account (protezione dagli abusi) il server lo conta solo nella memoria di lavoro, in finestre di un minuto, e lo cancella al più tardi dopo pochi minuti.

Il foglio illustrativo. Dalla versione 2.15.1 l’app mostra il foglio illustrativo in una propria anteprima. Il documento pubblicato dall’AIFA viene scaricato dal telefono direttamente dal server dell’AIFA; il pulsante «Apri nel browser» e le versioni precedenti dell’app lo aprono nel browser. In questi casi ti colleghi direttamente a quel servizio, come a qualsiasi sito che visiti. Per un armadietto in Polonia il file del registro polacco dei medicinali o dell’Agenzia europea per i medicinali lo scarica il nostro server e lo passa all’app: il registro e l’EMA non vedono il tuo indirizzo IP, e il server non registra chi ha aperto quale foglio illustrativo.

Autorità pubbliche

Possiamo comunicare i dati a un giudice, alla procura o a un’altra autorità, se lo richiede sulla base di disposizioni di legge. Non lo facciamo su richiesta informale.

14. Trasferimento dei dati fuori dallo Spazio economico europeo

I dati dell’app (account, farmaci, dosi, foto, profili dei bambini) non escono dallo Spazio economico europeo.

Fuori dal SEE arrivano solo i dati della corrispondenza con noi (mittente, oggetto, data e primi 200 caratteri del messaggio):

• in Canada (AppifiPanel sul server di OVH Hosting Inc.) – sulla base della decisione della Commissione europea 2002/2/CE, che riconosce l’adeguatezza della protezione dei dati personali in Canada (legge PIPEDA);
• negli Stati Uniti (notifica tramite Google Firebase Cloud Messaging) – Google LLC aderisce all’EU-U.S. Data Privacy Framework, per il quale la Commissione europea ha adottato il 10 luglio 2023 una decisione di adeguatezza.

L’accesso con Google e Apple e gli acquisti negli store avvengono secondo le regole di queste società, in qualità di titolari autonomi del trattamento. Lo descrivono le loro informative sulla privacy.

15. I tuoi diritti e come esercitarli

Riceviamo le richieste all’indirizzo rodo@appteczka.eu. Scrivi dall’indirizzo collegato all’account, così sappiamo che sei tu. Alcune cose puoi farle da solo nell’app.

• Accesso e portabilità dei dati. Nell’app: Profilo → Scarica i miei dati. Ricevi un file JSON che contiene:
  • dati dell’account: e-mail, nome, modalità di accesso e registrazione dell’accettazione dei termini e condizioni e del consenso al trattamento dei dati relativi alla salute;
  • i farmaci del tuo armadietto e quelli che prendi secondo un tuo orario, insieme alle foto;
  • i tuoi orari e la cronologia delle dosi;
  • i profili dei bambini del tuo armadietto con i loro piani e le loro dosi;
  • abbonamento e registrazioni dei pagamenti;
  • i nomi che hai dato ai prodotti nella banca dati comune dei codici;
  • gli eventi di sicurezza relativi al tuo account.
  Il file non contiene i farmaci degli armadietti personali di altri familiari, perché sono dati loro. Gli altri dati (per esempio la registrazione del consenso per i profili dei bambini, la corrispondenza) li forniamo su richiesta inviata a rodo@appteczka.eu.
• Rettifica. Nome, farmaci e orari li correggi da solo nell’app. Il cambio dell’indirizzo e-mail lo facciamo su richiesta inviata a pomoc@appteczka.eu.
• Cancellazione. Nell’app: Profilo → Elimina account, con conferma tramite password oppure, per un account Google o Apple, inserendo il tuo indirizzo e-mail. L’eliminazione ha effetto immediato. Le istruzioni sono anche nella pagina eliminazione dell’account. Puoi anche scrivere a rodo@appteczka.eu: in tal caso eliminiamo l’account senza ingiustificato ritardo, al più tardi entro un mese.
• Revoca del consenso al trattamento dei dati relativi alla salute – in qualsiasi momento (punti 4 e 7).
• Limitazione del trattamento – per esempio quando contesti l’esattezza dei dati.
• Opposizione al trattamento basato sul nostro legittimo interesse (eventi di sicurezza, log, corrispondenza, registro dei pagamenti).

Che cosa sparisce dopo l’eliminazione dell’account:

• account, registrazione dei consensi, i tuoi orari e tutta la tua cronologia delle dosi, abbonamento, richieste di ingresso nella famiglia e impostazioni delle notifiche;
• se eri l’unica persona nel tuo armadietto (anche in un armadietto personale nella famiglia): i suoi farmaci, le foto e i profili dei bambini;
• le tue tracce nei dati comuni: dalle voci della banca dati dei codici e dalle dosi dei bambini segnate da te rimuoviamo il tuo identificativo, e cancelliamo gli inviti che hai creato;
• negli eventi di sicurezza rimuoviamo il collegamento con l’account e mascheriamo gli indirizzi e-mail; le voci scadono dopo 90 giorni;
• nel registro dei pagamenti resta solo una voce senza collegamento con te (piano, store, importo, data);
• i dati sul telefono, se elimini l’account dall’app a partire dalla versione 2.12.4 (punto 10).

I farmaci dell’armadietto condiviso della famiglia restano ai familiari, perché appartengono anche a loro. Dai backup del database i dati spariscono al più tardi dopo 15 giorni (punto 11). L’eliminazione dell’account non disdice l’abbonamento nello store: fallo su Google Play o sull’App Store.

Il conferimento dei dati è facoltativo, ma senza account e senza consenso al trattamento dei dati relativi alla salute l’app non può funzionare. Non è possibile ricordarti i farmaci senza sapere nulla di loro.

16. Reclamo all’autorità di controllo

Se ritieni che trattiamo i tuoi dati in violazione della legge, hai il diritto di proporre reclamo a un’autorità di controllo, in particolare nello Stato membro in cui risiedi abitualmente, lavori oppure in cui si è verificata la presunta violazione (art. 77 GDPR). In Italia l’autorità di controllo è il Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma (garanteprivacy.it).

Il nostro unico stabilimento nell’Unione europea è in Polonia. Per questo l’autorità di controllo capofila per i trattamenti che effettuiamo (art. 56 GDPR) è il Presidente dell’Ufficio per la protezione dei dati personali polacco (UODO), ul. Stawki 2, 00-193 Varsavia (uodo.gov.pl). Puoi rivolgerti anche direttamente all’UODO. Se presenti il reclamo al Garante, il Garante lo riceve e lo tratta in cooperazione con l’UODO, secondo le regole del GDPR.

Ti invitiamo a scriverci prima a rodo@appteczka.eu: spesso la questione si risolve più in fretta.

17. Sicurezza

Usiamo una connessione cifrata (TLS), hash delle password calcolati con l’algoritmo scrypt, limiti ai tentativi di accesso, account separati e codici monouso per il pannello di amministrazione e l’isolamento del servizio sul server. Le foto le accettiamo solo come file JPEG di dimensioni limitate. Nessuna misura di sicurezza è perfetta.

In caso di violazione dei dati personali, la notificheremo al Presidente dell’UODO, in quanto autorità di controllo capofila, entro 72 ore dal momento in cui ne siamo venuti a conoscenza, a meno che sia improbabile che la violazione presenti un rischio per i tuoi diritti. Se la violazione può presentare un rischio elevato per i tuoi diritti, la comunicheremo anche a te, senza ingiustificato ritardo.

Se trovi una vulnerabilità di sicurezza, scrivi a rodo@appteczka.eu. Non perseguiamo chi segnala errori in buona fede.

18. Il sito appteczka.eu, cookie e log

Il sito usa un solo cookie, e solo se scegli una lingua nel menu delle lingue: il cookie «lang» ricorda questa scelta per un anno (365 giorni). Contiene soltanto il codice della lingua (per esempio «it») e serve solo a mostrarti il sito nella lingua scelta. Non serve a tracciarti e non arriva a nessuno oltre al nostro server. È un cookie tecnico, strettamente necessario al servizio che ci chiedi: per questo non chiediamo il consenso ai cookie. Puoi cancellarlo in qualsiasi momento nelle impostazioni del browser. Il sito non usa altra memoria del browser e non ha strumenti di analytics. Non incorpora plugin dei social network e carica caratteri e immagini dal nostro server. Quando apri la pagina iniziale senza questo cookie, il server può indirizzarti alla versione nella lingua del tuo browser. L’app si scarica da Google Play o dall’App Store: il sito rimanda soltanto agli store.

Quando visiti il sito, il server registra gli stessi log di quando usi l’app (punto 3, «Log del server»). Li cancelliamo dopo 14 giorni.

19. Età

Può creare un account chi ha compiuto 16 anni. Lo dichiari accettando i termini e condizioni quando crei l’account. Un bambino che non ha compiuto 16 anni può avere in Cappsula soltanto un profilo gestito dal genitore o dal tutore legale nel proprio account (punto 7). Se veniamo a sapere che un account è stato creato da una persona più giovane, lo eliminiamo insieme ai dati.

20. Modifiche all’informativa

Delle modifiche importanti ti informeremo in anticipo nell’app o sul sito. La data della versione in vigore è indicata in cima a questa pagina. Se una modifica amplia l’ambito dei dati relativi alla salute, ti chiederemo un nuovo consenso. Il silenzio non basta.

21. Cronologia delle modifiche

• 11 ottobre 2026 – foglio illustrativo nell’app (dalla versione 2.15.1): il telefono scarica i documenti dell’AIFA, il nostro server quelli del registro polacco e dell’EMA; che cosa non registriamo (punto 13).
• 7 ottobre 2026 – modulo di contatto sul sito appteczka.eu: quali dati trasmette, dove arrivano, su quale base e come lo proteggiamo dallo spam (punti 3 e 11).
• 5 ottobre 2026 – prima versione in italiano. Corrisponde alla versione polacca dell’informativa in vigore dal 5 ottobre 2026 (stato dalla versione 2.14 dell’app: lingua dell’account, paese dell’armadietto, banca dati di provenienza dei farmaci, memoria cache dei risultati delle banche dati, cookie della lingua sul sito).