Privacy Policy
Ultimo aggiornamento: 17 ottobre 2026
1. Titolare del trattamento
Alberto Olivieri, che gestisce BubbleNotes
Via Rio de Janeiro 15, 10141 Torino (TO), Italia
Email: assistenza@bubblenotes.it
Non è stato nominato un Responsabile della Protezione dei Dati (DPO), non ricorrendone i presupposti dell'art. 37 GDPR.
2. Dati che raccogliamo
2.1 Dati che fornisci tu
- Account: indirizzo email; in caso di accesso con Google o Apple, anche nome e immagine del profilo forniti dal provider.
- Profilo: nome visualizzato, immagine del profilo, biografia, sito web, data di nascita, scuola o università frequentata.
- Accettazioni e scelte: l'accettazione dei Termini di servizio, la conferma di aver letto questa informativa, la conferma all'invio dei contenuti ai fornitori di AI (punto 6) e la tua scelta sulle statistiche d'uso, con la versione e la data.
- Contenuti: testo delle note, registrazioni audio, immagini, fotografie, PDF, documenti e video che carichi.
- Interazioni con l'AI: messaggi scambiati con il Tutor, trascrizioni delle interrogazioni vocali e relative valutazioni.
- Recensioni: voto, criteri facoltativi e testo delle recensioni che scrivi sugli appunti che hai sbloccato, e le risposte che scrivi, se vendi, alle recensioni dei tuoi appunti. Sono pubbliche: accanto compaiono il tuo nome visualizzato e la tua immagine del profilo.
- Vendita: se vendi appunti, l'accettazione delle condizioni di vendita, con la data e la tua età in quel momento; se hai meno di 16 anni, la conferma che un tuo genitore acconsente. Non raccogliamo dati del genitore.
- Utenti bloccati: l'elenco degli utenti che hai bloccato.
- Segnalazioni: motivo e descrizione dei contenuti che segnali, e nome e città delle scuole che ci suggerisci di aggiungere.
2.2 Dati generati dall'uso del servizio
- Attività: numero di generazioni AI effettuate, visualizzazioni e acquisti delle tue note.
- Acquisti: cronologia delle transazioni in crediti e in denaro, identificativi delle transazioni Apple e Google, identificativi Stripe.
- Statistiche d'uso (solo app per iPhone e Android, e solo se acconsenti): le schermate e le funzioni che usi, raccolte con Firebase Analytics, con l'identificativo dell'installazione, la zona approssimativa ricavata dall'indirizzo IP, il modello del dispositivo e la lingua. Non le usiamo per la pubblicità, che nell'app non c'è, né per profilarti.
- Diagnostica: errori e crash dell'applicazione, con modello di dispositivo e versione del sistema operativo.
- Notifiche: token push del dispositivo.
2.3 Dati che non ci dai tu
- Google e Apple: se accedi con il loro account, il nome, l'email e l'immagine del profilo che autorizzi; per gli acquisti in-app e gli abbonamenti, lo stato dell'acquisto o dell'abbonamento (attivo, rinnovato, scaduto, rimborsato).
- Stripe: se colleghi un conto per i prelievi, lo stato della sua verifica.
- Altri utenti: le segnalazioni e i blocchi che ti riguardano e le recensioni dei tuoi appunti.
2.4 Dati che non raccogliamo
Non raccogliamo posizione GPS precisa, rubrica dei contatti, dati sanitari, dati biometrici, cronologia di navigazione web né numero di telefono. Non vediamo né conserviamo i numeri delle carte di pagamento: gli acquisti passano da App Store e Google Play e non transitano dai nostri sistemi.
2.5 Devi fornirci i dati?
Per usare BubbleNotes servono un indirizzo email con una password, oppure l'accesso con Google o Apple; la data di nascita, per verificare che tu abbia almeno 14 anni; e la scuola o l'università che frequenti, che scegli nelle schermate di benvenuto. Senza questi dati non puoi usare il servizio. Gli altri dati del profilo (nome visualizzato, immagine, biografia, sito web) sono facoltativi, e i contenuti li carichi solo se vuoi. Per prelevare i guadagni servono anche i dati che Stripe chiede per la normativa antiriciclaggio: senza, il prelievo non è possibile.
2.6 Permessi del dispositivo
L'app ti chiede l'accesso alla fotocamera e alle foto (per allegare immagini e, se lo scegli, salvare gli allegati), al microfono e al riconoscimento vocale (per le interrogazioni a voce) e alle notifiche. Li usa solo quando usi la funzione che ne ha bisogno, e puoi revocarli in qualsiasi momento dalle impostazioni del dispositivo.
3. Perché trattiamo questi dati e su quale base giuridica
| Finalità | Dati | Base giuridica (art. 6 GDPR) |
|---|---|---|
| Creazione e gestione dell'account | Email, identità OAuth, profilo | 6.1.b — esecuzione del contratto |
| Pubblicazione e ricerca degli appunti nel marketplace | Contenuti, scuola frequentata | 6.1.b — esecuzione del contratto |
| Funzioni AI: materiali di studio, Tutor, interrogazioni, podcast e indicizzazione dell'audio delle lezioni | I contenuti che scegli: testo degli appunti, allegati, audio delle lezioni, domande al Tutor, risposte trascritte | 6.1.b — esecuzione del contratto (vedi anche il punto 6) |
| Pagamenti, crediti e accrediti ai venditori | Dati di transazione, identificativi Stripe, condizioni di vendita accettate con età e consenso del genitore | 6.1.b — contratto; 6.1.c — obblighi fiscali |
| Pubblicazione di recensioni e risposte | Voto, testo, nome visualizzato, immagine del profilo, acquisto che dà diritto alla recensione | 6.1.b — esecuzione del contratto |
| Controllo automatico dei file caricati, dell'immagine del profilo e del testo di recensioni e risposte (contenuti vietati, contatti, insulti), prima della pubblicazione e indipendentemente dall'uso delle funzioni AI | File caricati e il testo che contengono o che ne ricaviamo (anche dall'audio), immagine del profilo, testo della recensione o della risposta | 6.1.f — legittimo interesse a proteggere gli utenti, molti dei quali minorenni, e a garantire recensioni autentiche |
| Blocco di altri utenti e avviso ai moderatori a ogni nuovo blocco | Chi blocca chi, nomi visualizzati | 6.1.b — esecuzione del contratto; 6.1.f — legittimo interesse a individuare gli abusi |
| Notifiche push su acquisti, vendite, recensioni e generazioni; avviso di aggiornamento obbligatorio (configurazione remota) | Token FCM, identificativo dell'installazione, versione dell'app | 6.1.b — esecuzione del contratto |
| Statistiche d'uso dell'app per iPhone e Android (Firebase Analytics) e messaggi nell'app legati all'uso (Firebase In-App Messaging) | Schermate e funzioni usate, identificativo dell'installazione, zona approssimativa ricavata dall'indirizzo IP, modello del dispositivo, lingua | 6.1.a — consenso, revocabile in ogni momento dall'app senza pregiudicare la liceità del trattamento precedente |
| Sicurezza, prevenzione abusi e frodi, stabilità tecnica | Diagnostica, log, contatori d'uso | 6.1.f — legittimo interesse a proteggere il servizio e gli utenti da abusi e frodi e a correggere gli errori |
| Moderazione dei contenuti segnalati | Segnalazioni, contenuto segnalato | 6.1.c — obbligo di legge (Reg. UE 2022/2065, DSA); 6.1.f — legittimo interesse a rimuovere i contenuti illeciti segnalati |
| Comunicazioni promozionali | Email e notifiche nell'app | 6.1.a — consenso, revocabile in ogni momento |
| Conservazione dei documenti contabili | Dati di transazione | 6.1.c — obbligo di legge |
4. Contenuti che riguardano altre persone
Gli appunti che carichi possono contenere dati personali di terzi: nomi di docenti, di compagni di classe, voci registrate durante una lezione. Quando questo accade sei tu a determinare cosa caricare, e i Termini di servizio ti vietano di pubblicare dati personali altrui senza che ne abbia diritto. Se ricevi una richiesta da una persona citata in un tuo appunto, o se sei la persona citata, scrivi a assistenza@bubblenotes.it: rimuoveremo il contenuto.
5. A chi comunichiamo i dati
Non vendiamo i tuoi dati e non li cediamo a data broker. Li comunichiamo solo ai fornitori che ci servono per far funzionare il servizio. La maggior parte li tratta per nostro conto, come responsabile del trattamento (art. 28 GDPR). Apple e Google, per gli acquisti in-app e per l'accesso con il loro account, e Google Fonts sono invece titolari autonomi e trattano i dati secondo le proprie informative; Cloudflare lo è solo per la sicurezza della propria rete.
| Fornitore | Cosa riceve | Paese | Garanzia per il trasferimento |
|---|---|---|---|
| Supabase, Inc. | Database, autenticazione, edge function | Svizzera (Zurigo) | Decisione di adeguatezza per la Svizzera (2000/518/CE); Clausole Contrattuali Standard per l'accesso da fuori UE |
| Hetzner Online GmbH | Il nostro server di elaborazione: ricomprime i file caricati, ne calcola le impronte anti-copia e li prepara al controllo automatico (pagine, fotogrammi, trascrizione dell'audio fatta sul server stesso) | Germania (Norimberga) | Nessun trasferimento fuori dall'UE |
| Cloudflare, Inc. | File caricati (R2): audio, immagini, allegati; consegna del sito e della web app, con l'indirizzo IP di chi li visita | Europa (area orientale) per i file; rete globale per la consegna delle pagine | EU-US Data Privacy Framework / Clausole Contrattuali Standard |
| Google — Gemini API | I contenuti che scegli quando usi le funzioni AI: testo degli appunti, allegati (foto e PDF), audio delle lezioni, domande al Tutor e risposte alle interrogazioni (solo testo), per generare materiali, risposte e trascrizioni | USA | EU-US Data Privacy Framework / Clausole Contrattuali Standard |
| Google — Cloud Text-to-Speech | Il testo da leggere con la voce: copioni dei podcast, domande e commenti delle interrogazioni | USA | EU-US Data Privacy Framework / Clausole Contrattuali Standard |
| OpenAI Ireland Limited | Il testo ricavato dall'audio delle lezioni, per indicizzarlo e permettere la ricerca nei contenuti; i file e le immagini che carichi, il testo che contengono o che ne ricaviamo e il testo di recensioni e risposte, per bloccare i contenuti vietati | Irlanda; elaborazione negli USA | Clausole Contrattuali Standard |
| Stripe Payments Europe, Limited | Per chi vende: dati di identificazione richiesti dalla normativa antiriciclaggio e dati per l'accredito dei compensi | Irlanda; possibile trasferimento negli USA | EU-US Data Privacy Framework / Clausole Contrattuali Standard; certificazione PCI-DSS |
| Apple Distribution International Ltd., Google Ireland Limited (acquisti in-app) | Ricevute e stato degli acquisti in-app e degli abbonamenti | Irlanda; possibile trasferimento negli USA | Titolari autonomi; EU-US Data Privacy Framework / Clausole Contrattuali Standard |
| Google, Apple (accesso con il tuo account) | Ricevono la richiesta di accesso e ci inviano nome, email e immagine del profilo che autorizzi | Irlanda (Google Ireland Limited; Apple Distribution International Ltd.); possibile trasferimento negli USA | Titolari autonomi; EU-US Data Privacy Framework / Clausole Contrattuali Standard |
| Google Firebase (Google Ireland Limited per Analytics e Crashlytics; Google LLC per notifiche, configurazione remota e messaggi nell'app) | Solo app per iPhone e Android: statistiche d'uso e messaggi nell'app, solo se acconsenti; crash; notifiche push; avviso di aggiornamento obbligatorio (configurazione remota) | Irlanda; USA | EU-US Data Privacy Framework / Clausole Contrattuali Standard |
| Functional Software, Inc. (Sentry) | Errori e diagnostica dell'app e del server | USA | EU-US Data Privacy Framework / Clausole Contrattuali Standard |
| Plus Five Five, Inc. (Resend) | Indirizzo email e testo delle email di servizio: conferma dell'indirizzo, reimpostazione della password, conferme d'acquisto, avvisi della moderazione e sui guadagni | Invio dall'Unione europea (Irlanda); società con sede negli USA | Clausole Contrattuali Standard |
| Google Fonts (Google Ireland Limited) | L'indirizzo IP e i dati del browser di chi usa la web app, che scarica da fonts.gstatic.com alcuni caratteri tipografici | Irlanda; possibile trasferimento negli USA | Titolare autonomo; EU-US Data Privacy Framework / Clausole Contrattuali Standard |
| Google Workspace API | Contenuto della nota che scegli di esportare su Documenti o Fogli Google | USA | EU-US Data Privacy Framework / Clausole Contrattuali Standard (solo su tua azione esplicita) |
I fornitori che trattano dati per nostro conto sono vincolati da accordi (art. 28 GDPR) che li obbligano a garantire un livello di protezione equivalente a quello descritto in questa informativa.
Possiamo inoltre comunicare dati all'autorità giudiziaria o alle forze dell'ordine quando la legge lo impone.
Puoi chiederci copia delle garanzie per i trasferimenti scrivendo ad assistenza@bubblenotes.it.
6. Trattamento tramite intelligenza artificiale
Quando usi le funzioni AI (riassunti, quiz, mappe, podcast, Tutor, interrogazioni e le altre) inviamo a fornitori esterni i contenuti che scegli: testo degli appunti, allegati (foto e PDF), audio delle lezioni, domande al Tutor e risposte alle interrogazioni. Delle risposte a voce inviamo solo il testo: la voce la trascrive il servizio di riconoscimento vocale del tuo dispositivo o del tuo browser (per esempio di Apple o di Google), non noi.
- Google Gemini li elabora e genera materiali e risposte.
- Google Cloud Text-to-Speech crea la voce di podcast e interrogazioni. Se il servizio non è disponibile, la voce la crea Gemini.
- OpenAI indicizza il testo ricavato dall'audio delle lezioni, per la ricerca nei contenuti.
Indipendentemente dalle funzioni AI, OpenAI controlla anche in automatico i file che carichi, compresa l'immagine del profilo, e il testo di recensioni e risposte, per bloccare i contenuti vietati (punto 3).
I fornitori elaborano i contenuti per nostro conto e ci restituiscono il risultato. Non usiamo i tuoi contenuti per addestrare modelli di AI e non autorizziamo i fornitori a farlo.
Base giuridica e consenso. Inviare i contenuti a questi fornitori è necessario per darti le funzioni AI che chiedi: la base giuridica è l'esecuzione del contratto (art. 6.1.b GDPR). Prima di usare l'app ti chiediamo anche di confermare espressamente, con una casella separata da quella dei Termini, che acconsenti a questo invio: serve a farti sapere prima a chi vanno i tuoi contenuti e non cambia la base giuridica del trattamento. I contenuti partono solo quando usi una funzione AI: se non vuoi che arrivino a questi fornitori, non usare le funzioni AI. Il controllo automatico dei file e delle recensioni vale invece per tutti, perché serve a proteggere gli utenti.
I materiali generati dall'AI possono contenere errori: non sostituiscono lo studio né una verifica delle fonti.
7. Quanto conserviamo i dati
| Dato | Conservazione |
|---|---|
| Account, profilo e contenuti | Fino alla cancellazione dell'account |
| Conversazioni con il Tutor e interrogazioni vocali | Fino alla cancellazione dell'account |
| Recensioni e risposte | Finché non le elimini tu o non elimini l'account; spariscono anche se l'appunto viene cancellato o se l'acquisto viene rimborsato |
| Testo di recensioni e risposte e file bloccati dal controllo automatico | Il testo bloccato non viene conservato. Di testi e file bloccati restano un'impronta (hash SHA-256), il motivo e i punteggi del blocco, per il tempo necessario a riconoscere e gestire gli abusi; se cancelli l'account restano senza il collegamento al tuo account |
| Utenti bloccati | Finché non togli il blocco o finché uno dei due account non viene cancellato |
| Accettazione delle condizioni di vendita | Fino alla cancellazione dell'account |
| Statistiche d'uso (Firebase Analytics) | Secondo le impostazioni di conservazione di Google Analytics (al massimo 14 mesi). Se revochi il consenso la raccolta si ferma e i dati delle statistiche sul dispositivo vengono azzerati |
| Log tecnici e diagnostica | 90 giorni |
| Documenti contabili e transazioni | 10 anni (art. 2220 c.c.; D.P.R. 633/1972); dopo la cancellazione dell'account, senza il tuo nome e senza il tuo identificativo |
| Segnalazioni di contenuti | Per il tempo necessario a gestire la segnalazione e a dimostrare il rispetto degli obblighi di legge; quelle che hai inviato tu vengono cancellate con il tuo account |
8. I tuoi diritti
Puoi esercitare in ogni momento i diritti previsti dagli artt. 15–22 GDPR:
- Accesso ai dati che ti riguardano: dall'app, in Account → Privacy e sicurezza → Scarica i miei dati, oppure scrivendoci.
- Rettifica dei dati inesatti, direttamente dal profilo nell'app. La data di nascita non si può modificare dall'app: per correggerla scrivici.
- Cancellazione dell'account e dei dati: vedi Come cancellare l'account e i dati.
- Portabilità: la copia che ottieni con «Scarica i miei dati» è in un formato strutturato (JSON); se ti serve in un'altra forma, scrivici.
- Limitazione e opposizione al trattamento fondato sul legittimo interesse.
- Revoca del consenso, senza che ciò pregiudichi la liceità del trattamento precedente: per le comunicazioni promozionali, in Account → Modifica profilo → «Consenso marketing» (e, per le notifiche, in Account → Notifiche → «Novità e offerte»); per le statistiche d'uso, in Account → Privacy e sicurezza → «Statistiche d'uso (Firebase Analytics)».
Decisioni automatizzate. I controlli automatici descritti al punto 3 possono impedire la pubblicazione di un file, dell'immagine del profilo o di una recensione. Se pensi che sia un errore, scrivici: una persona riesamina la decisione. Non prendiamo altre decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici che ti riguardano o che incidano in modo analogo significativamente sulla tua persona (art. 22 GDPR).
Scrivi a assistenza@bubblenotes.it. Rispondiamo entro un mese. Se ritieni che il trattamento violi il GDPR puoi rivolgerti al Garante per la protezione dei dati personali.
Come cancellare l'account e i dati
Puoi cancellare il tuo account BubbleNotes in due modi:
- Dall'app: Account → Privacy e sicurezza → Elimina account. La cancellazione è immediata.
- Senza l'app: scrivi a assistenza@bubblenotes.it indicando l'email dell'account e chiedendone la cancellazione. Provvediamo entro un mese.
Se hai un abbonamento attivo, cancellare l'account non lo disdice: va disdetto dall'App Store o da Google Play, dove l'hai attivato.
Cosa viene cancellato: l'account, il profilo e i contenuti che hai caricato, insieme alle conversazioni con l'AI, alle recensioni, agli utenti che hai bloccato e alle condizioni di vendita che hai accettato (vedi punto 7).
Cosa resta: gli appunti che qualcuno ha già comprato restano disponibili a chi li ha acquistati, senza il tuo nome e fuori dal marketplace; se vuoi togliere anche da quelli l'audio o altri tuoi dati personali, scrivici. Le registrazioni contabili delle transazioni già concluse sono conservate per il periodo indicato al punto 7, senza il tuo nome e senza il tuo identificativo, perché la legge lo impone.
9. Minori
BubbleNotes è riservato a chi ha compiuto 14 anni. È la soglia fissata dall'art. 2-quinquies del D.Lgs. 196/2003, che in Italia consente al minore di prestare da solo il consenso al trattamento dei dati per i servizi della società dell'informazione.
Alla registrazione chiediamo la data di nascita e non creiamo l'account se risulta un'età inferiore ai 14 anni. Non trattiamo consapevolmente dati di minori di 14 anni. Se ci accorgiamo che un account è stato aperto da un minore di 14 anni lo chiudiamo e cancelliamo i dati associati.
Se sei un genitore o un tutore e ritieni che un minore di 14 anni abbia aperto un account, scrivi a assistenza@bubblenotes.it: interveniamo senza bisogno di ulteriori formalità.
Per vendere appunti a pagamento, chi ha 14 o 15 anni deve avere il consenso di un genitore, che raccogliamo con una casella senza chiedere dati del genitore; i guadagni si possono prelevare solo dai 18 anni.
La data di nascita è usata soltanto per queste verifiche e per le regole dei Termini di servizio sulla vendita degli appunti e sui prelievi, per esempio per avvisarti, quando compi 18 anni, se hai guadagni nel portafoglio. Non la usiamo per profilazione né per personalizzare i contenuti.
10. Sicurezza
I dati sono cifrati in transito (TLS) e a riposo. L'accesso al database è regolato da politiche per riga che confinano ogni utente ai propri dati. Le chiamate alle funzioni server richiedono un token di autenticazione valido.
11. Modifiche a questa informativa
Se apportiamo modifiche sostanziali te lo comunichiamo in app o via email e, al primo accesso successivo, ti chiediamo di confermare di aver letto la nuova versione. La data in cima al documento indica sempre l'ultimo aggiornamento.
12. Legge applicabile
Regolamento UE 2016/679 (GDPR) e D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018.