Informativa sul trattamento dei dati personali — App Drive

Ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 ("GDPR") e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018.

Ultimo aggiornamento: 8 ottobre 2026 — versione del servizio 1.0.0 (accettazione dei termini, cookie policy)

1. Chi tratta i tuoi dati

App Drive è un servizio per pubblicare e consultare piattaforme web (siti e applicazioni web) dall'app per iPhone e Android e dal browser. È fornito da:

Somio S.r.l., Via Cadorna 141, 74014 Laterza (TA), P.IVA 03403980737, e-mail tickets@somio.it, PEC somio@pec.poste.it — di seguito il "Fornitore".

Chi decide sui tuoi dati dipende da come usi App Drive:

Se usi App Drive tramite la tua azienda o un'organizzazione cliente (sei stato invitato da un suo amministratore), il titolare del trattamento è quell'organizzazione: decide chi ha un account, quali piattaforme pubblicare e chi può vederle. Il Fornitore tratta i dati per conto dell'organizzazione, come responsabile del trattamento (art. 28 GDPR), secondo un accordo scritto (DPA). Per esercitare i tuoi diritti puoi rivolgerti all'organizzazione o al Fornitore, che la informerà.
Per i dati dei clienti stessi (referenti, amministrazione, fatture) e per la sicurezza del servizio nel suo insieme (registro degli accessi, prevenzione degli abusi), il titolare è il Fornitore.

2. Quali dati trattiamo

Dati dell'account

indirizzo e-mail (è anche il nome utente);
password, conservata solo come impronta irreversibile (bcrypt): nessuno, neppure il Fornitore, può leggerla;
ruolo (membro, amministratore), organizzazione e team di appartenenza;
data di creazione e dell'ultimo accesso; eventuali limiti di spazio o di numero di piattaforme; stato di sospensione.

Accettazione dei Termini di servizio e dell'informativa

alla registrazione, e a ogni nuova versione dei documenti: e-mail dell'account, versione dei Termini e dell'informativa accettate, data e ora, indirizzo IP e browser utilizzato, conservati come prova dell'accettazione.

Inviti e codici

per gli inviti: l'eventuale e-mail del destinatario, una nota scelta da chi invita (es. il nome), chi l'ha creato, scadenza e stato;
per il recupero della password: un codice monouso, conservato solo come impronta, valido 1 ora se inviato per e-mail o 72 ore se creato da un amministratore.

Contenuti

i file delle piattaforme pubblicate (le "build"), con le versioni precedenti, il nome, l'icona e le impostazioni di condivisione;
il logo, il nome e il colore scelti dall'organizzazione.

App Drive non legge e non analizza il contenuto delle piattaforme: le conserva e le pubblica. Se una piattaforma contiene dati personali di altre persone, ne risponde chi la pubblica (o la sua organizzazione).

Collegamento a GitHub (solo se lo usi)

il tuo nome utente GitHub e l'account (personale o organizzazione) su cui hai installato l'app App Drive;
i repository collegati (nome, ramo, cartella) e lo stato delle build. App Drive non riceve né conserva la tua password GitHub; le chiavi che GitHub rilascia al servizio sono conservate cifrate.

Registro attività (sicurezza) Per le operazioni rilevanti: data e ora, tipo di evento, account coinvolto, indirizzo IP e una breve descrizione. Ad esempio: accessi riusciti e falliti, accessi alle piattaforme private, caricamenti, eliminazioni, inviti, cambi di password, sospensioni.

Dati tecnici

log tecnici del server (data, ora, tipo di richiesta, indirizzo chiamato, esito, durata): non contengono l'indirizzo IP né la password;
per le piattaforme private aperte nel browser, un cookie tecnico (__Host-appdrive_access) che ricorda per 30 giorni che hai già fatto l'accesso a quella piattaforma. È strettamente necessario al servizio che hai chiesto e non richiede consenso (art. 122 Codice privacy); non viene usato per altro.

Segnalazioni ("Segnala") Se invii una segnalazione da una piattaforma: il tipo (bug, modifica, altro) e il testo che scrivi, con la piattaforma e la pagina aperta, la tua e-mail, il tuo ruolo e la tua organizzazione, e dati tecnici del dispositivo (dimensione dello schermo e della finestra, browser o sistema operativo, lingua, fuso orario, versione dell'app). Li vedi prima di inviare. App Drive la inoltra subito allo strumento scelto dalla tua organizzazione (es. Slack, Trello, Linear, tramite un "webhook") oppure per e-mail a chi gestisce la piattaforma; resta l'esito dell'ultimo invio e, nel registro attività, che una segnalazione è partita. Se il monitoraggio è attivo, App Drive conserva anche tipo, testo, pagina e autore per 90 giorni, per collegarla agli errori della piattaforma.

Monitoraggio delle piattaforme (se attivo) Le piattaforme ospitate da App Drive contengono uno script di App Drive (non di terzi) che, perché chi le gestisce sappia se funzionano, registra quando vengono aperte e gli errori tecnici che le loro pagine mostrano (messaggio dell'errore, file e pagina, browser e sistema operativo, versione della piattaforma). Per contare i visitatori il browser conserva un codice casuale (__appdrive_v nel localStorage), che App Drive salva solo come impronta; nelle piattaforme con login viene associato il tuo account. Non salviamo l'indirizzo IP, non registriamo cosa scrivi o clicchi e non usiamo questi dati per altro.

AI (se attiva per la tua organizzazione) Quando qualcuno della tua organizzazione preme un pulsante AI (es. "Analizza con l'AI", "Correggi", "Perché?"), App Drive invia ad Anthropic (Claude) gli errori, le segnalazioni o il log della build necessari, e per una correzione su GitHub i file del progetto. Non inviamo e-mail, password né i valori delle variabili di build. Anthropic non usa questi dati per addestrare i propri modelli. Gli amministratori possono spegnere l'AI in Integrazioni › AI.

Pagamenti Se paghi un preordine dal sito o l'abbonamento della tua organizzazione, il pagamento avviene sulle pagine di Stripe: i dati della carta li tratta solo Stripe e il Fornitore non li vede mai. Il Fornitore conserva il riferimento del cliente e dell'abbonamento Stripe, il piano, lo stato dei pagamenti e, per il preordine, data e importo; nome dell'azienda, indirizzo e partita IVA indicati nel pagamento servono alla fatturazione e sono conservati per il tempo previsto dalle norme fiscali (10 anni).

Lista d'attesa (sito) Se chiedi un invito dal sito: l'e-mail e, se li indichi, nome, azienda, ruolo, numero di clienti, come consegnate oggi le web app e la risposta alla domanda sul prezzo della beta, con la data della richiesta. L'indirizzo IP non viene salvato. Usiamo questi dati solo per mandarti l'invito, per chiederti qualche dettaglio sulla richiesta e, in forma aggregata, per capire a chi serve il servizio. Il sito non usa cookie di profilazione, marketing o analisi: solo strumenti tecnici, descritti nella Cookie policy.

Sul tuo telefono l'app conserva le credenziali di sessione nel portachiavi protetto del sistema (Keychain su iPhone, Keystore su Android), l'ultimo elenco delle piattaforme e le eventuali copie offline che scegli di scaricare. Puoi cancellarle disinstallando l'app o dal menu dell'app.

Cosa non facciamo: nessuna pubblicità, nessuna profilazione, nessun cookie o strumento di analisi o tracciamento di terze parti nell'app o nelle pagine del servizio, nessuna vendita o cessione di dati.

3. Perché e su quale base giuridica

Finalità	Base giuridica
Creare e gestire l'account, pubblicare e mostrare le piattaforme, condividerle con i team, inviare i codici di recupero password	Esecuzione del contratto (art. 6.1.b GDPR); per gli utenti invitati da un'organizzazione, il contratto tra organizzazione e Fornitore
Sicurezza del servizio: registro attività, limiti ai tentativi di accesso, sospensione di account, backup	Legittimo interesse a proteggere il servizio e i dati di tutti gli utenti (art. 6.1.f) e obbligo di sicurezza (art. 32)
Collegamento a GitHub	Esecuzione del contratto, solo su tua richiesta
Monitoraggio delle piattaforme e AI (se attivi)	Per conto della tua organizzazione, che li attiva: legittimo interesse a far funzionare le proprie piattaforme e correggerne gli errori (art. 6.1.f)
Lista d'attesa: rispondere alla tua richiesta di invito	Consenso (art. 6.1.a), che puoi revocare quando vuoi scrivendoci: cancelliamo la richiesta
Registrare l'accettazione dei Termini di servizio e la presa visione dell'informativa	Esecuzione del contratto (art. 6.1.b) e legittimo interesse a dimostrarne la conclusione (art. 6.1.f)
Adempimenti amministrativi e fiscali verso i clienti	Obbligo di legge (art. 6.1.c)

Fornire l'e-mail è necessario per avere un account; senza, il servizio non può essere usato. Non ci sono decisioni automatizzate né profilazione.

4. Per quanto tempo

Dato	Conservazione
Account e contenuti	Finché l'account esiste. Puoi eliminarlo quando vuoi dall'app (Account → Elimina account): account e piattaforme vengono cancellati subito
Versioni di una piattaforma	Le ultime 3, compresa quella attuale; le più vecchie si cancellano a ogni nuova pubblicazione
Registro attività	90 giorni, poi cancellato automaticamente
Monitoraggio (se attivo)	Errori 30 giorni, segnalazioni 90, aperture 400; cancellati automaticamente e con la piattaforma
Codici di invito e di recupero	90 giorni dopo la scadenza, poi cancellati automaticamente
Sessioni di accesso dell'app	30 giorni di inattività al massimo; cancellate dopo la scadenza
Log tecnici del server	A rotazione, al massimo 50 MB per componente (in genere pochi giorni o settimane)
Backup	7 giorni, poi sovrascritti: un dato cancellato sparisce anche dai backup entro 7 giorni
Richieste di invito (lista d'attesa)	Fino all'invito e poi 90 giorni; senza invito, al massimo 12 mesi. Cancellate automaticamente
Prove di accettazione dei Termini e dell'informativa	Per la durata del rapporto e 10 anni dalla sua cessazione (prescrizione ordinaria), anche dopo l'eliminazione dell'account
Dati di fatturazione dei clienti	10 anni (obbligo civilistico e fiscale)

Se un'organizzazione cliente cessa il contratto, i suoi dati vengono restituiti su richiesta e poi cancellati come previsto dal DPA.

5. Chi può vedere i dati

Se usi lo stesso account in più organizzazioni, ognuna vede solo la tua presenza nella propria (ruolo, piattaforme, attività lì); i suoi amministratori sanno che l'account è usato anche altrove, non dove.
Dentro App Drive: gli amministratori della tua organizzazione vedono l'elenco degli utenti (e-mail, ruolo, spazio usato, ultimo accesso) e gestiscono inviti e sospensioni; i membri dei tuoi team vedono la tua e-mail e le piattaforme che condividi con loro. Le organizzazioni sono separate: nessuno vede utenti o piattaforme di un'altra.
Il Fornitore, come amministratore tecnico del server, solo per gestire il servizio, l'assistenza richiesta e la sicurezza.
Fornitori tecnici (sub-responsabili), solo per quanto serve al loro compito e con contratti conformi all'art. 28 GDPR:

Fornitore	Cosa fa	Dove
IONOS SE	Server (hosting) e backup	Unione europea — [data center: verifica nel pannello IONOS, es. Germania]
Aruba S.p.A.	Nomi a dominio (DNS) e invio delle e-mail di servizio	Italia
GitHub, Inc.	Solo se colleghi un repository: compila e invia le build	USA — vedi §6
Anthropic, PBC	Solo se l'AI è attiva e qualcuno preme un pulsante AI: spiega build ed errori e propone la correzione	USA — vedi §6
Stripe Payments Europe, Ltd.	Pagamenti (preordini e abbonamenti), come titolare autonomo per i dati di pagamento	Irlanda (UE); trasferimenti a Stripe, Inc. (USA) con Data Privacy Framework e clausole standard

Non sono destinatari di dati personali: Let's Encrypt (rilascia i certificati HTTPS e riceve solo i nomi a dominio) e UptimeRobot (controlla che il server sia acceso interrogando una pagina senza dati personali). Lo scaricamento dell'app da App Store o Google Play è regolato dalle informative di Apple e Google.

Le segnalazioni vanno allo strumento che la tua organizzazione ha collegato (webhook) o all'e-mail di chi gestisce la piattaforma: è l'organizzazione a sceglierlo, e quello strumento tratta i dati secondo i suoi termini con l'organizzazione.

I dati possono essere comunicati alle autorità solo se la legge lo impone.

6. Trasferimenti fuori dall'UE

Il servizio e i dati restano nell'Unione europea. L'unica eccezione è il collegamento facoltativo a GitHub (USA): se lo usi, GitHub tratta il tuo nome utente e i tuoi repository secondo i propri termini. GitHub aderisce all'EU-U.S. Data Privacy Framework (decisione di adeguatezza della Commissione europea del 10 luglio 2023) e adotta le Clausole contrattuali standard. Lo stesso vale per l'AI (Anthropic, USA), usata solo se attiva e solo quando si preme un pulsante AI, con le Clausole contrattuali standard del suo accordo sul trattamento dei dati. Se non colleghi GitHub e non usi l'AI, nessun dato lascia l'UE. Per i pagamenti, Stripe Payments Europe (Irlanda) può trasferire dati a Stripe, Inc. (USA), anch'essa aderente al Data Privacy Framework e con Clausole contrattuali standard.

7. Come proteggiamo i dati

Connessioni sempre cifrate (HTTPS), password conservate solo come impronta bcrypt, sessioni brevi con rinnovo e revoca automatica al cambio password, limiti ai tentativi di accesso, organizzazioni separate, permessi per ruolo, piattaforme private accessibili solo a chi ne ha diritto, segreti cifrati, controlli sui file caricati, backup giornalieri, revisioni di sicurezza. L'elenco completo è nell'allegato C del DPA.

8. I tuoi diritti

Puoi chiedere in ogni momento di:

accedere ai tuoi dati e averne copia (art. 15);
correggerli (art. 16);
cancellarli (art. 17) — anche da solo, dall'app;
limitarne il trattamento (art. 18);
riceverli in un formato leggibile da una macchina, la portabilità (art. 20): le piattaforme si possono scaricare in qualsiasi momento;
opporti al trattamento basato sul legittimo interesse (art. 21).

Scrivi a tickets@somio.it (o via PEC a somio@pec.poste.it). Rispondiamo entro un mese. Se usi App Drive tramite un'organizzazione, inoltriamo la richiesta anche a lei.

Hai anche il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità del Paese UE in cui vivi o lavori.

9. Contenuti pubblicati e piattaforme pubbliche

Una piattaforma pubblica è raggiungibile da chiunque conosca il suo indirizzo (https://<nome>.apps.somio.it). Se contiene dati personali, rendila privata (accesso solo con account) e pubblicali solo se hai una base giuridica per farlo. In caso di abuso il Fornitore o l'amministratore dell'organizzazione può sospendere l'account e mettere offline le sue piattaforme.

10. Minori

App Drive è rivolto ad aziende e professionisti e non è destinato a minori di 14 anni.

11. Modifiche

Se l'informativa cambia in modo rilevante, lo segnaliamo agli utenti prima che le modifiche si applichino. La versione in vigore è sempre disponibile all'indirizzo https://drive.somio.it/privacy.