Informativa sulla privacy

1. Chi è il responsabile

Il titolare del trattamento qui descritto, ai sensi dell'Art. 4(7) GDPR, è:

I dati completi dell'azienda sono nella pagina delle note legali. Non c'è un responsabile della protezione dei dati richiesto per legge; per qualsiasi cosa su questa pagina scrivi all'indirizzo qui sopra.

2. Cosa non lascia mai il tuo telefono

Quanto segue è conservato nella memoria propria dell'app sul tuo dispositivo e non viene caricato da BikeOtter da nessuna parte. Lascia il telefono solo se sei tu a esportarlo o condividerlo.

• La tua libreria di percorsi. I percorsi sono file sul telefono — geometria più un indice. Condividere un percorso produce un link autonomo che porta il percorso al proprio interno; nessun percorso viene caricato su un server per essere condiviso.
• Le tue uscite. Le uscite scaricate dal ciclocomputer e quelle registrate dal telefono sono salvate come file FIT e GPX sul dispositivo. Lasciano il telefono solo quando le condividi o quando hai attivato il caricamento su Strava.
• Controllo vocale. Il riconoscimento vocale è configurato per funzionare sul dispositivo, e i comandi vengono interpretati prima da una grammatica offline e poi, se serve, da un modello sul dispositivo (Apple Foundation Models o Gemini Nano). Per scelta non esiste alcun livello vocale o linguistico in cloud — nessun audio e nessuna trascrizione viene inviata ad alcun server.
• Le tue impostazioni, regole, località salvate e la configurazione dell'inoltro delle notifiche.
• Le notifiche inoltrate al ciclocomputer (solo Android). Se concedi l'accesso alle notifiche, l'app legge le notifiche del telefono per mostrarle sull'ELEMNT o sull'Edge e le passa direttamente via Bluetooth. I loro contenuti non vengono memorizzati dall'app e non raggiungono mai un server.
• Tutto ciò che l'app fa con il ciclocomputer stesso — associazione, invio dei percorsi, scaricamento delle uscite, avvisi sullo schermo — avviene su un collegamento Bluetooth diretto tra il tuo telefono e il tuo dispositivo. In mezzo non c'è alcun cloud del produttore né alcun server BikeOtter.

3. Il tuo account

Un account è richiesto solo per il tracciamento live, le e-mail di notifica delle uscite e il collegamento a Strava. Tutto il resto funziona senza accesso.

Puoi accedere in uno di due modi: un magic link inviato al tuo indirizzo e-mail, oppure l'accesso con Strava. Non c'è password e non c'è profilo. Ciò che viene memorizzato è un record utente conservato dal nostro fornitore di backend (Supabase) contenente il tuo indirizzo e-mail e i timestamp di accesso, più — per l'accesso con Strava — l'id atleta e il nome visualizzato di Strava.

Il tuo indirizzo e-mail serve a identificarti, e la sua parte locale (il pezzo prima della @) diventa il nome da ciclista mostrato a chi guarda un link live. Se il tuo indirizzo è [email protected], chi guarda vede jane.doe. Tienilo a mente quando scegli con quale indirizzo accedere.

Per eliminare il tuo account e tutto ciò che vi è collegato, scrivi a support@bikeotter.app dall'indirizzo con cui accedi. L'eliminazione dell'account è a cascata: le sessioni di tracciamento live e i loro punti di posizione, le uscite di gruppo, i messaggi che chi guardava ti ha inviato, i tuoi contatti salvati e i loro gruppi, i record di notifica e il collegamento a Strava se ne vanno con esso. Nell'app non c'è ancora un pulsante self-service — la pagina di eliminazione indica i passaggi, l'elenco completo di ciò che viene eliminato e ciò che viene conservato dopo.

4. Tracciamento live

Questa è l'unica funzione che pubblica dove ti trovi. È disattivata finché non la avvii tu, e termina quando termina l'uscita.

Cos'è un link condiviso

Avviare un'uscita live crea una sessione con un token di condivisione: 20 caratteri estratti da una sorgente casuale crittografica, che dà un link nella forma bikeotter.app/r/<token>. Chiunque abbia quel link può guardare, senza account e senza accesso. Il link è la credenziale, quindi trattalo come tale — passalo alle persone che vuoi davvero che guardino. A chi guarda viene mostrato solo quanto elencato qui sotto; non riceve mai il tuo indirizzo e-mail, l'id del tuo account né il token di un'altra sessione.

Il browser di chi guarda riceve un token di accesso di breve durata limitato a quella sola sessione e con un massimo di sei ore. Il database lo impone colonna per colonna: il proprietario della sessione e il suo token di condivisione non sono affatto leggibili da chi guarda.

L'app ti mostra in tempo reale quante persone stanno guardando. Non ti dice chi sono — nessuna identità di chi guarda viene raccolta.

Cosa contiene un punto live

I punti vengono inviati mentre pedali, limitati per tempo e distanza. Ognuno contiene:

Cosa contiene la sessione stessa

Oltre ai punti: il tuo nome da ciclista (vedi §3), il nome del percorso, la linea del percorso pianificato, la sua distanza totale, le coordinate da cui il percorso parte, i due interruttori di condivisione qui sopra, se i messaggi sono abilitati, lo stato della sessione e i suoi timestamp, e — per un'uscita di gruppo — a quale gruppo appartiene.

Quando termina e quando viene eliminata

Una sessione scade al primo di questi eventi, e la scadenza viene verificata ogni minuto:

• l'orario di scadenza impostato quando l'hai avviata — sei ore per impostazione predefinita;
• 45 minuti dopo l'ultimo punto o keep-alive dall'app, così un'uscita dimenticata non resta «live» per tutta la sera;
• 60 minuti dopo la sua creazione, se non è mai arrivata alcuna posizione.

L'eliminazione segue poi automaticamente:

• Il record della sessione viene eliminato 7 giorni dopo che è terminata o scaduta, portando con sé tutto ciò che vi è ancora collegato.
• I tuoi punti di posizione vengono eliminati con esso — gli stessi 7 giorni, non un attimo di più. Prima venivano ripuliti dopo 24 ore, in anticipo sulla sessione; ora vengono conservati per l'intera vita della sessione stessa, così un'uscita la cui registrazione sul ciclocomputer è andata persa può ancora essere ricostruita dalla traccia live dentro l'app. Nient'altro della pulizia è cambiato, e il limite massimo di conservazione di un'uscita condivisa resta invariato a 7 giorni.

Le uscite di gruppo funzionano allo stesso modo una volta che l'uscita è partita: un link di gruppo è valido per 12 ore da quando parte, contiene al massimo 10 ciclisti, e il record del gruppo viene eliminato 7 giorni dopo la sua fine. Un'uscita pianificata in anticipo è diversa: il link — con i nomi di chi ha già detto che verrà — resta aperto all'adesione fino a 30 giorni prima che qualcuno parta davvero; il conto alla rovescia di 12 ore parte solo quando il primo ciclista va in diretta. Terminare una condivisione dall'app ferma immediatamente il caricamento; le pulizie eliminano poi i dati memorizzati secondo il calendario qui sopra.

5. Messaggi da chi guarda

Se abiliti i messaggi, chi ha raggiunto il tuo link tramite una delle tue e-mail di notifica può inviarti brevi messaggi, che compaiono sul tuo ciclocomputer. Un osservatore qualsiasi che ha soltanto il link non può — l'invio richiede un token per contatto che solo il link ricevuto per e-mail contiene.

Un messaggio memorizza il suo testo, il contatto mittente e un timestamp. I mittenti sono limitati a tre messaggi all'ora. I messaggi sono collegati alla sessione e vengono eliminati con essa — quindi entro la stessa finestra di 7 giorni del §4. I messaggi sono memorizzati in forma leggibile sul server; non sono cifrati end-to-end.

6. E-mail di notifica delle uscite

Puoi salvare contatti in modo che l'avvio di un'uscita live invii loro il link per e-mail. Non viene inviato nulla a meno che tu non scelga un gruppo quando vai live; scegliendo «nessuno per questa uscita» non parte niente.

Cosa viene memorizzato per contatto: l'indirizzo e-mail (in minuscolo), un nome facoltativo, un token di annullamento dell'iscrizione, un token per i messaggi e — se applicabile — quando ha annullato l'iscrizione o quando la posta verso quell'indirizzo è stata respinta definitivamente. I contatti sono visibili solo a te; il database nega del tutto l'accesso anonimo a essi.

Cosa contiene e rivela l'e-mail: il tuo nome da ciclista, il nome e la distanza del percorso, il link per guardare, quando il link scade, e un link di annullamento dell'iscrizione. Viene inviata da [email protected] da un Cloudflare Worker per nostro conto, e il suo Reply-To è impostato sul tuo indirizzo e-mail, così che un destinatario possa risponderti direttamente — il che significa che i tuoi destinatari possono vedere l'indirizzo con cui hai effettuato l'accesso.

L'e-mail di arrivo (facoltativa e disattivata finché non la chiedi): se attivi «Avvisali quando torni» per un gruppo di contatti, le persone a cui è stato inviato il link di quella uscita — solo quelle, e solo se l'e-mail con il link è davvero arrivata — ricevono un breve avviso quando l'uscita finisce: che hai finito, la distanza e il tempo in movimento che l'uscita ha pubblicato, l'ora in cui sei rientrato e lo stesso link per guardare. In un'uscita con un percorso caricato puoi anche ricevere un preavviso facoltativo circa quindici minuti prima dell'arrivo stimato. La distanza è inclusa solo se la condivisione «Velocità e distanza» era attiva per quell'uscita: i valori sono riletti da ciò che l'uscita ha davvero pubblicato, mai ricostruiti dal percorso che avevi pianificato. Una sessione che si limita a scadere non invia nulla — una scadenza non è un arrivo. Nessuno dei due avvisi porta con sé il token per i messaggi, perché l'uscita è finita.

Limiti: al massimo una e-mail di ciascun tipo per contatto per uscita — il link, il preavviso facoltativo e l'avviso di arrivo (un contatto non può ricevere due volte lo stesso tipo per la stessa sessione), al massimo 50 membri in un gruppo, e al massimo 200 e-mail di notifica per ciclista nelle 24 ore mobili.

Annullare l'iscrizione: ogni e-mail contiene un link di annullamento nel piè di pagina e le intestazioni standard di annullamento con un clic, quindi funziona anche il pulsante «annulla iscrizione» del client di posta. L'annullamento non richiede alcun account e ferma ogni ulteriore notifica di uscita verso quell'indirizzo.

La tua responsabilità: quando aggiungi l'indirizzo e-mail di qualcun altro ci stai chiedendo di scrivere a una persona che non ha mai avuto a che fare con noi. Aggiungi solo persone che si aspettano di ricevere tue notizie. I contatti non hanno scadenza automatica — vengono conservati finché non elimini il contatto o il tuo account.

7. Strava

Collegare Strava è facoltativo. L'autorizzazione avviene nel browser di sistema sulle pagine di Strava; BikeOtter non vede mai la tua password di Strava.

• Permessi richiesti: read, read_all, activity:read_all e activity:write — quanto basta per elencare e importare i tuoi percorsi e le tue attività e per caricare le uscite.
• Dove vivono i token: i tuoi token di accesso e di aggiornamento di Strava sono memorizzati solo lato server, nel nostro backend, e sono leggibili soltanto dalla funzione server che li usa. Il telefono conserva solo un valore di breve durata tenuto in memoria durante l'handshake di accesso, mai scritto su disco.
• Cosa sale: il file dell'uscita stesso (un FIT compresso), più un nome e una descrizione facoltativi, quando carichi un'uscita.
• Cosa scende: i tuoi percorsi e le tue attività di Strava, le esportazioni GPX dei percorsi, e gli stream di posizione/altitudine/tempo di un'attività quando la importi come percorso. Le risposte vengono messe in cache legate al tuo account ed eliminate dopo 48 ore.
• Scollegare revoca il token presso Strava e rimuove il collegamento memorizzato. Finché non ti scolleghi, il record del collegamento persiste — non ha scadenza automatica.

Ciò che Strava fa poi con i tuoi dati è regolato dall'informativa sulla privacy di Strava. Strava è un'azienda statunitense e usarla comporta un trasferimento di dati negli Stati Uniti.

8. Meteo, POI, geocodifica, routing e mappe

Diverse funzioni devono interrogare un servizio esterno riguardo a un luogo. C'è una distinzione significativa nel modo in cui vengono interrogati:

• Tramite il nostro backend — previsioni meteo, ricerca di POI lungo un percorso, geocodifica e tutto ciò che riguarda Strava. Il tuo telefono interroga la nostra funzione server; la funzione server interroga il servizio esterno. Quel servizio vede quindi le coordinate o i termini di ricerca, ma non il tuo indirizzo IP.
• Direttamente dal tuo telefono — il calcolo dei percorsi (BRouter) e le tessere della mappa (il server di tessere di OpenStreetMap). Quei servizi ricevono la richiesta dal tuo dispositivo, quindi vedono il tuo indirizzo IP insieme alle coordinate o all'area della mappa che stai guardando, e possono registrarlo secondo le loro politiche.

Le risposte di meteo, POI e geocodifica vengono messe in cache dal nostro lato, così le ricerche ripetute non re-interrogano: i risultati POI per 24 ore, il meteo per 2 ore, la geocodifica per circa una settimana. Le cache sono indicizzate per luogo, non per ciclista.

Un dettaglio che vale la pena dire chiaramente: la ricerca di POI usa la Overpass API pubblica su overpass-api.de, e se questa non è disponibile ripiega su un mirror pubblico ospitato su maps.mail.ru, gestito in Russia. Vengono inviate solo l'area di ricerca e le categorie cercate, e la richiesta parte dal nostro server e non dal tuo telefono.

9. Il log diagnostico

L'app tiene un log tecnico per rendere segnalabili i problemi Bluetooth e di assistenza.

• È attivo per impostazione predefinita. Un ciclista che incontra un problema ha così un log da allegare senza aver avuto la lungimiranza di attivare prima la registrazione. Disattivalo in qualsiasi momento in Impostazioni → Diagnostica.
• Password, token e chiavi API vengono rimossi prima che qualcosa venga scritto — un bearer token, una chiave API, un token di magic link o un codice OAuth che compare in qualsiasi punto del log diventa un contrassegno unidirezionale, non la credenziale stessa.
• Resta sul telefono finché non lo alleghi a una richiesta di assistenza. Due file a rotazione nella memoria propria dell'app; niente lascia il telefono prima di allora. Non c'è alcun passaggio di composizione di un'e-mail — una richiesta di assistenza viene inviata dall'interno dell'app stessa, come messaggio in una conversazione di assistenza in corso (vedi il punto successivo). Allegare lì il log lo carica in un bucket di archiviazione privato, e quella copia caricata viene eliminata dopo 180 giorni. Puoi cancellare la copia sul telefono, o disattivare il log, in qualsiasi momento in Impostazioni → Diagnostica.
• Una richiesta di assistenza è una conversazione, non un'e-mail una tantum. Qualunque cosa tu scriva — con o senza log allegato — viene memorizzata come parte di una conversazione di assistenza in corso legata al tuo account e al tuo indirizzo e-mail di accesso. È leggibile dal personale BikeOtter che risponde alle richieste di assistenza, e da nessun altro. La conversazione stessa viene conservata finché non elimini il tuo account, momento in cui viene eliminata con esso (vedi la pagina di eliminazione); un log caricato segue comunque il suo orologio di 180 giorni, indipendente dall'account.
• Cosa contiene: versione e build dell'app, modello del telefono, versione del sistema operativo, lingua e fuso orario, più una traccia tecnica delle connessioni ai dispositivi e degli eventi dell'app. I token di condivisione live vengono troncati prima di essere scritti. Può contenere coordinate di posizione — almeno una funzione dei dispositivi registra latitudine e longitudine del ciclista — più coordinate dei percorsi, luoghi salvati e numeri di serie dei dispositivi. Questo non viene oscurato, quindi tratta un log diagnostico come dati che ti riguardano, e invialo solo a qualcuno di cui ti fidi.

10. Terze parti che usiamo

L'elenco completo dei servizi esterni contattati dall'app, dal backend e da questo sito. Non ce ne sono altri, e in particolare non c'è alcun servizio di analytics, attribuzione, pubblicità o crash reporting in nessuna parte del prodotto.

Gli store delle app sono una cosa a parte: se installi BikeOtter dall'App Store di Apple o da Google Play, tra te e loro valgono le regole di quello store su account, acquisti e crash reporting, che sono fuori dal nostro controllo.

10.1 Shorebird, e perché contatta un server senza chiedere

BikeOtter viene rilasciato tramite Shorebird, che ci permette di consegnare una correzione al codice Dart dell'app over-the-air, tra una release dello store e l'altra. È il meccanismo dietro una patch che arriva senza un aggiornamento dello store.

La parte che dovresti sapere: l'app controlla se c'è una patch all'avvio, automaticamente, e non esiste un'impostazione per disattivarlo. La nostra configurazione non disabilita il controllo automatico, e l'app non offre alcuna possibilità di rinuncia — l'unico modo per fermarlo è non avviare l'app. Preferiamo dirlo chiaramente piuttosto che nasconderlo.

Non gestiamo i server di Shorebird e non possiamo osservare cosa invia il suo updater, perché l'updater è integrato nel runtime dell'app e non in codice che scriviamo noi. Ciò che un controllo del genere comporta necessariamente, però, non è questione di opinioni: per ricevere risposta deve identificare quale app sta chiedendo (il nostro id app di Shorebird, che non è segreto ed è lo stesso per ogni installazione) e quale versione e livello di patch è già installato, e — come ogni richiesta di rete — raggiunge i server di Shorebird dal tuo indirizzo IP. Presumi che Shorebird possa vedere almeno questo, e che possa registrarlo come qualsiasi host registra le richieste.

Due cose che non siamo riusciti ad accertare e su cui non tireremo a indovinare: il contenuto esatto di quella richiesta oltre a quanto sopra, e il paese in cui si trovano i suoi server. Se ti serve una delle due prima di installare, chiedicelo e otterremo la risposta di Shorebird per iscritto invece di speculare qui.

Cosa possiamo escludere: il controllo non è legato al tuo account, e BikeOtter funziona senza accesso, quindi la richiesta non porta con sé alcuna identità che le abbiamo dato noi. Una patch cambia il codice dell'app — mai i tuoi dati, le tue uscite o i tuoi percorsi.

11. Permessi del telefono

L'app chiede il minimo possibile, e ogni permesso serve esattamente a una cosa.

L'app non chiede foto, fotocamera, la rubrica del telefono, il calendario né alcun identificatore pubblicitario, e non usa il permesso di tracciamento di Apple perché non traccia.

12. Conservazione in sintesi

I log di server e piattaforma tenuti dai nostri fornitori di hosting (Supabase, Cloudflare) seguono i valori di conservazione predefiniti di quei fornitori e possono contenere brevemente indirizzi IP come parte inevitabile del servire una richiesta.

13. Basi giuridiche

• Art. 6(1)(b) GDPR — eseguire ciò che hai chiesto. Farti accedere, gestire una condivisione live che hai avviato, inviare le e-mail di notifica che hai richiesto, caricare un'uscita su un account Strava che hai collegato, calcolare un percorso che hai disegnato, e inviare una richiesta di assistenza con il log diagnostico allegato.
• Art. 9(2)(a) GDPR — consenso esplicito per i dati sanitari. Frequenza cardiaca e potenza sono dati sanitari. Vengono caricate solo quando attivi «condividi frequenza cardiaca e potenza»; l'interruttore è disattivato per impostazione predefinita e disattivarlo ferma il caricamento. La cadenza viene caricata sotto lo stesso interruttore. Non sosteniamo che la cadenza sia un dato sanitario nel senso dell'Art. 9 — è una lettura da un sensore sulla pedivella, non dal tuo corpo — ma appartiene alla stessa famiglia e riceve la stessa protezione invece di una più debole.
• Art. 6(1)(f) GDPR — interessi legittimi a mantenere il servizio funzionante e al riparo dagli abusi: limiti di frequenza, protezioni una-e-mail-per-contatto-per-uscita, gestione dei bounce, la registrazione minima delle richieste eseguita dai nostri host, e il log diagnostico sul dispositivo attivo per impostazione predefinita così che una richiesta di assistenza possa includerne uno — puoi disattivarlo in Impostazioni → Diagnostica in qualsiasi momento.

Revocare il consenso è sempre possibile e ha effetto da quel momento in poi: termina la condivisione, disattiva l'interruttore frequenza cardiaca/potenza, disattiva il log, scollega Strava, elimina il contatto.

14. I tuoi diritti

Secondo il GDPR hai il diritto di accedere ai tuoi dati (Art. 15), di farli rettificare (Art. 16) o cancellare (Art. 17), di limitare il trattamento (Art. 18), di riceverli in forma portabile (Art. 20), e di opporti al trattamento basato su interessi legittimi (Art. 21). Dove il trattamento si basa sul consenso, puoi revocarlo in qualsiasi momento.

Scrivi a support@bikeotter.app e ce ne occuperemo. Molto puoi anche farlo da te nell'app: terminare una condivisione, eliminare un contatto, scollegare Strava, cancellare il log diagnostico.

La cancellazione (Art. 17) ha una pagina tutta sua, perché merita il dettaglio: come eliminare il tuo account — i passaggi, cosa viene cancellato con esso, cosa viene conservato dopo e per quanto tempo.

Se pensi che abbiamo sbagliato, puoi presentare reclamo a un'autorità di controllo per la protezione dei dati — nell'UE, quella del luogo in cui vivi, in cui lavori o in cui è avvenuta la presunta violazione (Art. 77 GDPR).

15. Questo sito web

bikeotter.app è un insieme di pagine statiche ospitate su Cloudflare. Non imposta nessun cookie, non esegue nessuna analytics e non memorizza nulla nel local storage del tuo browser. Qui non c'è niente a cui acconsentire, ed è per questo che non ti viene chiesto.

Ogni risorsa di cui una pagina qui ha bisogno viene servita da questo sito. I caratteri (Geist e Geist Mono) sono ospitati da noi invece che scaricati da un CDN di font, proprio perché leggere una pagina non consegni il tuo indirizzo IP a una terza parte. Non c'è alcun video incorporato, alcun tag manager, alcun widget di condivisione, alcun servizio di web font. L'unica parte che vede necessariamente la tua richiesta è Cloudflare, che ospita le pagine — inevitabile, visto che qualcosa deve pur servirle.

Il visualizzatore di tracciamento live su bikeotter.app/r/… e il visualizzatore di gruppo su /g/… caricano in aggiunta i dati dell'uscita condivisa dal nostro backend e le tessere della mappa da OpenStreetMap. Aprire un link di visualizzazione, deliberatamente, non lascia alcuna sessione nel tuo browser: il token di accesso che usa è tenuto in memoria solo per quella visita e non viene salvato. Chi guarda viene contato, non identificato.

I link di visualizzazione sono esclusi dai motori di ricerca tramite robots.txt, e ognuno porta un'istruzione noindex, quindi un'uscita condivisa non è pensata per comparire nei risultati di ricerca.

16. Minori

BikeOtter non è rivolta ai minori e non è destinata all'uso da parte di chi ha meno di 16 anni. Non raccogliamo consapevolmente dati di minori. Se ritieni che un minore abbia usato l'app con un account, scrivici e lo elimineremo.

17. Modifiche

L'app è giovane e sta ancora cambiando. Se cambia ciò che raccoglie, questa pagina cambia con essa, e la versione e la data in alto si aggiornano. Le modifiche sostanziali verranno segnalate nell'app invece di essere introdotte in sordina.

18. Contatti

Domande, richieste o una correzione a qualcosa su questa pagina: support@bikeotter.app.

Vedi anche i termini d'uso e l'avvertenza sulla sicurezza e le note legali.