Privacy

GRILL ME ti fa domande su una decisione. Quello che dici mentre lo fai è la cosa più privata dell’app, quindi è costruita per non conservarlo fin dall’inizio.

Responsabile

Oliver Strebel-Mark
Emmericher Weg 76a
47574 Goch, Germania
hello@grillofficer.app

Nessun account

Niente registrazione, niente accesso, nessuna email. L’app non ti chiede mai qualcosa che ti identifichi.

La tua voce non lascia il dispositivo

Quando parli, quello che hai detto diventa testo sul tuo iPhone. La registrazione non viene mai trasmessa e non viene mai salvata.

Cosa viene inviato e non viene conservato

Il tuo tema e le tue risposte vengono inviati al nostro server come testo, per poter produrre la domanda successiva e, alla fine, il verdetto. Il nostro server non conserva quel testo. Lo stato della conversazione vive sul tuo dispositivo e viaggia con ogni domanda.

Quello che il server registra davvero è un conteggio, mai un contenuto. Perché la quota gratuita e un abbonamento possano funzionare, insieme al tuo identificativo del dispositivo registra: quali Grill sono stati avviati, quanti ne hai usati nel periodo corrente, e se c’è un abbonamento attivo, ciascuno con l’ora in cui è stato scritto. Il tuo tema, le tue risposte e il verdetto non fanno parte di niente di tutto questo.

Un’eccezione, ed è un caso di errore. Se il modello restituisce una risposta che il server non riesce a leggere, il server scrive alcune centinaia di caratteri di quella risposta nel proprio registro operativo su Cloudflare, per poter trovare e correggere il difetto. Quel testo è dell’Ufficiale e può ripetere quello che hai detto. Non entra nel nostro strumento di analisi.

Per essere elaborato, non perché lo conserviamo noi, quel testo raggiunge:

• Anthropic (tramite Vercel AI Gateway): produce le domande e il verdetto.
• ElevenLabs: produce la voce parlata, se la lasci attiva. Viene inviata solo la frase che dice l’Ufficiale, mai la tua risposta.
• Cloudflare: gestisce il server attraverso cui passano entrambi.

Cosa resta sul tuo dispositivo

Quando un Grill finisce, viene scritto sul tuo dispositivo: il tema, le tue risposte così come le ha registrate l’Ufficiale, le affermazioni e il loro esito, e il verdetto. Si conserva solo lì. Non ci viene inviato e non è nel tuo iCloud né nel backup del dispositivo. Nessun altro può leggerlo, a meno che tu non lo invii tu stesso: l’app può trasformare un verdetto in una scheda da condividere, e quello che condividi così lascia il tuo dispositivo perché sei tu a deciderlo.

Puoi cancellare tutto quando vuoi in Impostazioni → Su questo dispositivo → Elimina tutti i Grill. Eliminare l’app lo cancella allo stesso modo. Poiché non lo riceviamo mai, questo è l’unico posto dove esiste e l’unico dove va cancellato.

Cosa misuriamo

Contiamo come viene usata l’app: che un Grill è iniziato o finito, quanto è durata una domanda, se la voce ha funzionato. Questi eventi sono costruiti per non portare testo libero. Un valore può essere un numero, un vero/falso o un testo breve di al massimo quaranta caratteri, deliberatamente troppo piccolo per un tema, una domanda o una risposta. Il tuo tema, le tue risposte e le domande dell’Ufficiale non finiscono lì. È una regola che l’app rispetta e un limite che il server impone, non un’impossibilità matematica, e preferiamo dirtelo piuttosto che prometterne una.

Gli eventi portano un identificativo del dispositivo, l’identifierForVendor di Apple. Non è il tuo nome e non contiene niente che tu ci abbia raccontato. Ma è lo stesso identificativo ovunque: il conteggio d’uso, la quota gratuita, l’abbonamento e l’analisi dipendono tutti da esso, quindi questi registri vanno insieme e appartengono a un dispositivo. Apple lo applica solo alle nostre app e lo azzera solo quando sono state eliminate dal dispositivo tutte le nostre app, quindi eliminare GRILL ME da solo non lo cambia sempre. Vengono analizzati attraverso il nostro server su PostHog, il cui centro dati per noi è nell’UE. PostHog Inc. è un’azienda statunitense e tratta questi dati anche fuori dall’UE; la sezione più sotto lo copre.

Non c’è identificativo pubblicitario né tracciamento su altre app o siti web, e per questo non compare nemmeno l’avviso di tracciamento di Apple.

Quando qualcosa va storto

Quando l’app rileva un errore, lo segnala perché possa essere corretto: il tipo di errore, il messaggio che l’app ha scritto su sé stessa, in quale schermata è successo, il dominio e il numero di errore di Apple, e fino a quaranta righe della pila di chiamate interna dell’app. Questo va a PostHog, sotto lo stesso identificativo del dispositivo degli eventi d’uso.

Quel messaggio lo scrive l’app su sé stessa, mai tu. Contiene cose come un codice di stato o un errore di decodifica, ed è limitato a trecento caratteri. Non è un posto dove finiscono il tuo tema o le tue risposte.

Questo sito web

Anche il sito conta le visite: quale pagina, in quale lingua e da dove sei arrivato. Lo analizza PostHog nell’UE, attraverso il nostro stesso indirizzo z.grillofficer.app, così la richiesta non va a terzi.

Niente viene salvato sul tuo dispositivo: né cookie né archiviazione locale. Per questo qui nessun avviso ti chiede il consenso, e per questo ogni visita è la prima, perché non c’è niente che ti riconosca. Il tuo indirizzo IP viene elaborato per consegnare la pagina e per dedurre il paese.

Non si registrano clic né si registrano sessioni.

Acquisti

L’abbonamento passa attraverso Apple. Gestiamo il diritto d’accesso con RevenueCat, usando lo stesso identificativo del dispositivo. Non vediamo mai i dati di pagamento; questi restano con Apple.

Per quanto tempo si conserva

Sul tuo dispositivo: un Grill finito resta finché non lo cancelli, ed eliminare l’app lo cancella allo stesso modo. Lì niente scade da solo, perché niente di tutto ciò è nostro.

Sul nostro server: il registro che un determinato Grill è stato avviato viene cancellato dopo sette giorni. I contatori dietro di esso, quanti Grill gratuiti ha usato questo dispositivo e se c’è un abbonamento attivo, si conservano senza limite di tempo. Preferiamo dirlo chiaramente piuttosto che inventare una scadenza: la quota gratuita è per dispositivo finché esiste quell’identificativo, e non veniamo mai a sapere che hai eliminato l’app, quindi non c’è nessun fatto che possa far scattare una cancellazione. Due righe, senza contenuto, e puoi farle cancellare scrivendo all’indirizzo qui sopra.

Presso i nostri responsabili del trattamento:

• PostHog, eventi d’uso e segnalazioni di errore: al massimo sette anni, secondo il nostro piano. PostHog applica quel limite progetto per progetto, e al nostro non lo applica ancora, quindi oggi non viene eliminato niente automaticamente. Il nostro contratto prevede la cancellazione o la restituzione al termine.
• Cloudflare, il registro operativo che può contenere alcune centinaia di caratteri di una risposta illeggibile: al massimo sette giorni.
• RevenueCat, lo stato dell’abbonamento: distruzione o restituzione entro trenta giorni dalla fine del nostro contratto.
• ElevenLabs, che riceve solo la frase che dice l’Ufficiale: eliminazione dopo centottanta giorni senza uso.
• Vercel, che porta la richiesta al modello: cancellazione alla fine del nostro contratto.

Dove va fuori dall’UE

Il tuo tema e le tue risposte vengono trattati fuori dall’UE, e anche gli eventi d’uso. Tutte le aziende seguenti sono negli Stati Uniti, e ogni trasferimento si appoggia a un contratto che abbiamo firmato con loro.

• Vercel Inc. porta la richiesta al modello, e Anthropic produce le domande e il verdetto come subresponsabile di Vercel. Non abbiamo un contratto nostro con Anthropic e l’app non lo raggiunge mai direttamente. Clausole contrattuali tipo della Commissione Europea, Decisione di esecuzione (UE) 2021/914, modulo due, secondo il diritto irlandese.
• ElevenLabs Inc. produce la voce parlata. Clausole contrattuali tipo e il Data Privacy Framework UE-USA, secondo il diritto irlandese.
• PostHog Inc. analizza gli eventi d’uso. Il suo centro dati per noi è nell’UE, ma tratta anche fuori da essa. Data Privacy Framework e, in aggiunta, clausole contrattuali tipo, modulo due, secondo il diritto irlandese.
• RevenueCat Inc. gestisce l’abbonamento. Clausole contrattuali tipo, modulo due, con l’addendum del Regno Unito, secondo il diritto irlandese.
• Cloudflare Inc. gestisce il server attraverso cui passa tutto. Clausole contrattuali tipo, modulo due, e il Data Privacy Framework.

Ognuna di queste aziende pubblica l’elenco dei propri subresponsabili, e ogni contratto la obbliga a trasferire loro questi obblighi.

Basi giuridiche

Inviare quello che scrivi è il servizio stesso (art. 6.1.b RGPD). La misurazione anonima dell’uso si appoggia al nostro interesse legittimo a far funzionare l’app (art. 6.1.f).

I tuoi diritti

Puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità e opporti: scrivi all’indirizzo qui sopra. Poiché non conserviamo contenuti, in pratica questo riguarda gli eventi d’uso; indicaci il periodo approssimativo per poterli trovare. I tuoi Grill non rientrano qui, perché non ci arrivano mai: sono sul tuo dispositivo e li cancelli lì. Puoi anche presentare reclamo a un’autorità di controllo per la protezione dei dati.

La via più rapida non richiede niente da parte nostra: eliminare l’app rimuove l’identificativo del dispositivo. Dopo di che, niente può essere ricondotto a te.