Informativa privacy dell’app Breakapp

Versione 3.0 · in vigore dal 30 ottobre 2026

Generazione app di Giacomo Buzzitta · Viale Europa 40, 91019 Valderice (TP) · P.IVA 02663700819 · assistenza@breakapp.eu · 0923 478728

Lo stesso testo è disponibile in PDF: Informativa privacy di Breakapp, versione 3.0 (PDF).

Resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 («GDPR») e del D.lgs. 30 giugno 2003, n. 196 («Codice privacy»), come modificato dal D.lgs. 10 agosto 2018, n. 101.

1. Titolare del trattamento e contatti

Il titolare del trattamento è GENERAZIONE APP DI GIACOMO BUZZITTA, impresa individuale con sede in Viale Europa 40, 91019 Valderice (TP), Italia, partita IVA 02663700819 (VAT IT02663700819), codice fiscale BZZGCM98D21D423A, numero di iscrizione al Registro delle imprese coincidente con il codice fiscale, REA TP-190284 (di seguito «Breakapp» o «noi»).

Responsabile della protezione dei dati (DPO). Non abbiamo designato un DPO: per ogni questione sulla protezione dei dati scrivi a assistenza@breakapp.eu.

2. A chi si rivolge questa informativa

Questa informativa riguarda le persone i cui dati trattiamo attraverso l’App Breakapp per Android e iOS e i servizi collegati:

• gli utenti registrati: studenti che hanno compiuto 14 anni, genitori o tutori, personale scolastico e altri adulti che ordinano per sé;
• gli studenti destinatari degli ordini, anche minori di 14 anni, i cui dati (per esempio nome e classe) sono indicati dal genitore che ordina per loro. Per loro questa informativa vale anche come informativa ai sensi dell’articolo 14 del GDPR: chiediamo ai genitori di spiegarla ai figli in modo adatto alla loro età;
• chi contatta l’assistenza o ci invia una segnalazione;
• chi si era registrato con la versione precedente dell’App, i cui dati sono passati sulla piattaforma attuale (punto 17).

Il sito www.breakapp.eu ha una propria informativa. Esercenti, loro collaboratori e amministratori che usano il pannello gestionale ricevono un’informativa distinta.

3. Quali dati trattiamo e da dove provengono

Dati che non trattiamo. Posizione geografica, rubrica, foto e galleria, microfono, indirizzo di casa, identificativi pubblicitari (IDFA, ID pubblicità Android). Face ID, Touch ID e impronta digitale restano sul tuo dispositivo: a noi non arriva alcun dato biometrico.

4. Perché trattiamo i dati, su quale base e per quanto tempo

Dati obbligatori e facoltativi. I dati richiesti per l’account, la data di nascita, la scuola, gli ordini e i pagamenti sono necessari: senza, non puoi usare Breakapp. Sono invece facoltativi, e il rifiuto non toglie nulla al servizio, le note sui prodotti, i consensi per statistiche e diagnostica e per le promozioni, la partecipazione ai sondaggi.

Legittimo interesse. Dove la base è il legittimo interesse, abbiamo verificato che il trattamento sia necessario e che non prevalgano i tuoi diritti, considerando anche la presenza di minori. Puoi chiederci come lo abbiamo valutato e opporti in qualsiasi momento (punto 13).

Le spunte della registrazione. Spuntando la casella sull’Informativa confermi di averla letta: non è un consenso. Lo stesso vale per il pulsante che ti mostriamo quando l’informativa cambia: premendolo confermi solo di averla letta. I consensi, quando servono, li chiediamo separatamente e puoi revocarli quando vuoi.

5. Statistiche e diagnostica (Firebase Analytics e Crashlytics)

Le statistiche d’uso (Google Firebase Analytics) e la diagnostica dei crash (Google Firebase Crashlytics) sono spente per impostazione predefinita.

• Su Android l’App ti chiede il consenso al primo avvio, prima di attivare statistiche e diagnostica.
• Su iOS non c’è alcuna richiesta all’avvio: puoi attivarle da Menu › Privacy › Analisi e diagnostica.
• Puoi cambiare idea in qualsiasi momento dalla stessa voce. Se revochi il consenso la raccolta si ferma subito e i report di crash non ancora inviati vengono eliminati; la revoca non tocca ciò che è stato raccolto prima.

Cosa raccogliamo con il consenso. Le schermate visitate; la visualizzazione di un prodotto, l’aggiunta al carrello, l’avvio dell’ordine e l’acquisto (con nome del prodotto, quantità, prezzo e totale); l’apertura dei link informativi pubblicati dalla scuola (titolo e indirizzo del link); i dati tecnici dei crash e degli errori, con l’identificativo dell’installazione assegnato da Firebase. Prima dell’invio gli errori di rete vengono ripuliti: si tolgono i dati di accesso e il contenuto delle chiamate su autenticazione e pagamenti.

Cosa non raccogliamo. Nessun identificativo del tuo account, nessuna caratteristica del tuo profilo e nessun identificativo pubblicitario. Nel progetto Firebase sono disattivati Google Signals e la personalizzazione degli annunci.

Google agisce come nostro responsabile del trattamento e tratta questi dati anche negli Stati Uniti (punto 10). Senza consenso l’App funziona allo stesso modo. Le aperture dei link informativi sono contate anche in un contatore complessivo per ciascun link, che non registra chi lo apre: è un dato anonimo e non richiede consenso.

6. Notifiche push

Le notifiche arrivano tramite Google Firebase Cloud Messaging. Il token di notifica viene creato solo dopo l’accesso, e se le notifiche si vedono lo decide il permesso del sistema operativo, che puoi negare o revocare in qualsiasi momento dalle impostazioni del telefono. I canali li scegli dall’App, in Menu › Account › Notifiche › Impostazioni.

Le notifiche contengono importi, nome dell’esercente e stato dell’ordine, quindi possono comparire sulla schermata di blocco: dalle impostazioni del telefono puoi nasconderne il contenuto. Quando esci dall’account, il token di quel dispositivo viene eliminato.

7. Minori

Soglie di età. Gli studenti possono registrarsi da soli dai 14 anni compiuti: è l’età fissata in Italia per il consenso ai servizi della società dell’informazione (art. 8 GDPR e art. 2-quinquies Codice privacy). Genitori, tutori e personale scolastico devono essere maggiorenni. La data di nascita si inserisce una sola volta ed è il sistema a verificarla rispetto alle soglie; alla registrazione confermi anche di avere l’età richiesta o, se sei un genitore, la responsabilità genitoriale.

Perché non chiediamo documenti. Per verificare l’età non chiediamo documenti d’identità né usiamo il riconoscimento del volto: significherebbe raccogliere dati più delicati di quelli che servono. Se la legge introdurrà obblighi diversi, adegueremo la verifica e te lo diremo.

Sotto i 14 anni l’account è del genitore, che ordina per il figlio indicando i dati necessari alla consegna, per esempio nome e classe. Questi dati servono solo a consegnare l’ordine allo studente giusto (base: legittimo interesse, punto 4, riga 3). Se scopriamo che un account è stato creato da un minore di 14 anni, lo sospendiamo; se un genitore non lo prende a proprio nome, lo cancelliamo e restituiamo il credito residuo a chi lo ha versato.

Diritti dei minori. Chi ha almeno 14 anni può esercitare da solo i propri diritti (punto 13). Per i minori di 14 anni li esercitano i genitori o il tutore, che possono farlo anche per i figli più grandi.

Le tutele che applichiamo:

• nessuna profilazione a fini commerciali, niente pubblicità di altre aziende, nessun identificativo pubblicitario;
• promozioni spente e statistiche disattivate finché non c’è una scelta esplicita;
• solo i dati necessari: niente posizione, contatti, foto, microfono o indirizzo di casa;
• i dati del minore li vedono solo l’esercente che prepara l’ordine e il personale autorizzato, e le operazioni sono registrate;
• un genitore può ordinare per il figlio senza che il figlio abbia un account;
• testi brevi e semplici, come il riquadro «In breve» all’inizio.

8. Informazioni sulla salute

Non ti chiediamo dati sulla salute. Gli allergeni che vedi nell’App descrivono i prodotti, non le persone: li indica l’esercente.

Prodotti per esigenze alimentari specifiche. Alcuni esercenti offrono prodotti come «senza glutine» o «senza lattosio». Se li ordini, questa scelta serve a preparare e consegnare l’ordine: non la usiamo per profilarti né per pubblicità.

Le note dei prodotti non sono il posto per le informazioni sulla salute. Per un’allergia scegli prodotti adatti o contatta l’esercente prima di ordinare. Se scrivi comunque un’informazione del genere, la nota la vede solo l’esercente per preparare quell’ordine e non la usiamo per nient’altro.

Nei messaggi all’assistenza non scriverci informazioni sulla salute. Se lo fai, non le usiamo e cancelliamo il messaggio quando la richiesta è chiusa.

9. Chi riceve i dati

9.1 Gli esercenti: responsabili del trattamento

L’esercente presso cui ordini vende i prodotti, li prepara e li consegna. Per i dati che riceve attraverso Breakapp agisce per nostro conto, come responsabile del trattamento (art. 28 GDPR), in base a un accordo scritto che gli permette di usarli solo per preparare, consegnare e gestire il tuo ordine e il credito che hai presso di lui, e per adempiere ai propri obblighi di legge. Non può usarli per pubblicità, non può darli ad altri se non al personale che lo aiuta a preparare e consegnare gli ordini, che autorizza e vincola alla riservatezza; deve proteggerli, avvisarci subito di ogni violazione e, a fine rapporto, cancellarli o restituirceli.

Se contatti l’esercente direttamente, o gli chiedi una fattura, i dati che gli fornisci in quel modo li tratta come titolare autonomo, secondo la propria informativa.

9.2 I fornitori tecnologici

9.3 Altri destinatari

• le persone che lavorano con noi per l’assistenza e la gestione del servizio, autorizzate e tenute alla riservatezza;
• il nostro commercialista e gli altri consulenti, per i rispettivi compiti;
• le autorità, quando la legge lo richiede;
• in caso di cessione o trasformazione dell’attività, chi subentra, che resterà vincolato a questa informativa; te lo comunicheremo prima.

Le scuole non ricevono dati personali attraverso Breakapp: con l’istituto possiamo condividere solo statistiche aggregate e anonime. Non vendiamo i tuoi dati, non li cediamo a nessuno per pubblicità e non li diffondiamo. L’elenco aggiornato dei fornitori è disponibile su richiesta.

10. Trasferimenti fuori dallo Spazio economico europeo

I dati del servizio risiedono nell’Unione europea. Alcuni fornitori appartengono però a gruppi con sede negli Stati Uniti e possono trattarli anche lì.

Il Data Privacy Framework è la decisione di adeguatezza della Commissione europea del 10 luglio 2023 per le imprese statunitensi che vi aderiscono; le clausole contrattuali standard sono quelle approvate dalla Commissione con la decisione (UE) 2021/914. Statistiche e diagnostica, che comportano necessariamente un trattamento negli Stati Uniti, avvengono solo con il tuo consenso. Puoi chiederci copia delle garanzie ai recapiti del punto 1.

11. Per quanto tempo conserviamo i dati

Scaduti questi termini, i dati vengono cancellati o resi anonimi in modo irreversibile. Un dato cancellato può restare nelle copie di sicurezza fino a quando vengono sovrascritte, quindi per al massimo 30 giorni: in quel periodo non è usato per nessuno scopo e serve solo a ripristinare il servizio dopo un guasto. Se un dato serve per una contestazione in corso, lo conserviamo fino alla sua conclusione.

12. Cancellazione dell’account e account inattivi

Come. Dall’App: Menu › Account › Profilo › Elimina account, e conferma. Senza l’App, scrivi a assistenza@breakapp.eu o alla PEC generazioneapp@pec.it indicando il numero di telefono dell’account: per proteggerti verificheremo che il numero sia tuo, per esempio con un codice via SMS. Eseguiamo la richiesta senza ingiustificato ritardo e comunque entro un mese.

Cosa viene cancellato subito:

• l’account e i dati del profilo: nome, cognome, numero di telefono, data di nascita, tipo di profilo;
• le classi associate e i campi di consegna, compreso il nome dello studente destinatario;
• le passkey, le sessioni aperte su tutti i dispositivi e i token di notifica;
• le registrazioni delle accettazioni e dei consensi;
• i profili cliente presso Stripe, con le carte salvate;
• il tuo numero nel registro degli SMS.

I registri di sistema. Le righe del registro delle operazioni e dei registri tecnici che ti riguardano restano, solo per la sicurezza, al massimo 12 mesi (punto 11); poi vengono cancellate.

Cosa resta, senza identificarti. Ordini e ricariche restano registrati perché la legge ci obbliga a conservare la documentazione contabile per 10 anni, ma senza nome, cognome, numero di telefono, nome dello studente e note: restano data, esercente, scuola, classe, prodotti, importi, metodo di pagamento e stato.

Le copie di sicurezza vengono sovrascritte entro 30 giorni (punto 11).

Il credito. Prima di cancellare l’account usa il credito o chiedine la restituzione (Termini e Condizioni, art. 12): la cancellazione elimina i dati che collegano il credito a te, e dopo non possiamo più rintracciarlo.

Account inattivi. Se per 5 anni non accedi all’App, cancelliamo l’account entro i 12 mesi successivi, con gli stessi effetti appena descritti. Almeno 30 giorni prima ti avvisiamo con una notifica nell’App e, se possibile, con un SMS: basta accedere per mantenere l’account. Se hai credito residuo, nell’avviso ti spieghiamo come farti restituire la somma.

13. I tuoi diritti e come esercitarli

Hai diritto di:

• accedere ai tuoi dati e riceverne copia (art. 15 GDPR);
• correggerli se sono sbagliati o incompleti (art. 16);
• cancellarli, salvo quelli che la legge ci obbliga a conservare (art. 17);
• limitarne il trattamento (art. 18);
• riceverli in un formato strutturato e leggibile da un computer, e farli trasmettere a un altro titolare (portabilità, art. 20);
• opporti ai trattamenti basati sul legittimo interesse, per esempio statistiche interne e avvisi generali (art. 21);
• revocare i consensi in qualsiasi momento, senza conseguenze su ciò che è stato fatto prima (art. 7.3).

Direttamente nell’App puoi: cambiare numero di telefono (con verifica via SMS) e password; gestire le classi da Menu › Account › Le mie classi; gestire passkey, notifiche e carte salvate (Menu › Account); dare o revocare i consensi da Menu › Privacy; chiedere una copia dei tuoi dati da Menu › Privacy › Richiedi i tuoi dati, indicando l’e-mail a cui riceverla: ti mandiamo un file in formato strutturato (CSV o JSON) con profilo, classi, ordini, ricariche e accettazioni, con modalità protette, di norma entro 30 giorni; cancellare l’account (punto 12).

Per tutto il resto scrivi a assistenza@breakapp.eu o alla PEC generazioneapp@pec.it: per esempio per correggere nome e cognome, data di nascita o tipo di profilo, che dall’App si impostano una sola volta.

Tempi e modi. Ti rispondiamo senza ingiustificato ritardo e comunque entro un mese, prorogabile di altri due mesi se la richiesta è complessa: in quel caso te lo diciamo entro il primo mese, spiegando perché. È gratuito. Se la richiesta non arriva dall’App con il tuo account, possiamo chiederti di confermare la tua identità con mezzi proporzionati, per esempio un codice via SMS, senza chiederti documenti quando non serve. Ogni richiesta viene registrata, con la data e l’esito.

Poiché gli esercenti trattano i dati per nostro conto, le richieste vanno fatte a noi; se le invii a un esercente, ce le inoltra.

Reclamo. Puoi proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it) o all’autorità di controllo del paese dell’Unione europea in cui vivi o lavori, e puoi rivolgerti al giudice.

14. Sicurezza dei dati

Proteggiamo i dati con misure tecniche e organizzative adeguate ai rischi (art. 32 GDPR). Senza dare dettagli che aiuterebbero chi vuole aggirarle:

• tutte le comunicazioni sono cifrate (TLS);
• le password sono conservate solo come hash con un algoritmo robusto (Argon2id) e una chiave segreta aggiuntiva;
• le sessioni usano token cifrati; i token di rinnovo sono conservati solo come hash, cambiano a ogni uso e un loro riutilizzo chiude la sessione;
• con le passkey (standard FIDO2/WebAuthn) la chiave privata non lascia mai il tuo dispositivo;
• prima delle operazioni più delicate verifichiamo che l’App sia autentica e integra (Play Integrity su Android, App Attest su iOS);
• limitiamo la frequenza delle richieste e blocchiamo gli abusi automatizzati;
• l’accesso ai dati è riservato a chi ne ha bisogno per il proprio ruolo, e le operazioni sui dati sono registrate, senza mai registrare password e codici di verifica;
• i servizi interni sono raggiungibili solo attraverso un punto d’ingresso protetto, e le chiavi segrete stanno in un sistema dedicato;
• facciamo una copia di sicurezza al giorno, conservata 30 giorni;
• abbiamo una procedura per le violazioni dei dati: se una violazione presenta un rischio, la notifichiamo al Garante entro 72 ore e, se il rischio è elevato, avvisiamo anche te.

Nessun sistema è sicuro al cento per cento: se pensi che qualcuno abbia usato il tuo account, cambia la password e scrivici subito.

15. Decisioni automatizzate, profilazione e statistiche

Non prendiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici su di te o che ti riguardino in modo analogo (art. 22 GDPR). Le sole regole automatiche sono uguali per tutti: l’orario limite oltre il quale un ordine non si può più annullare, previsto dai Termini, e i limiti contro gli abusi, che possono rifiutare per qualche minuto una richiesta. Se una di queste regole ti crea un problema, scrivici: ti risponde una persona.

Non facciamo profilazione a fini commerciali o pubblicitari e non personalizziamo prezzi o contenuti in base a chi sei.

Statistiche interne. Elaboriamo i dati di ordini e ricariche per ottenere statistiche sull’andamento del servizio: per esempio ordini per scuola, giorno e fascia oraria, andamento dei prodotti, numero di clienti per fascia di frequenza, di recenza o di spesa. Per farlo, ogni notte il sistema assegna ciascun cliente a un gruppo (per esempio nuovi, fedeli, a rischio o persi) e a una fascia d’età. Il calcolo è automatico e il risultato è aggregato: le statistiche le consulta solo il nostro personale autorizzato, non sono usate per prendere decisioni su di te né per inviarti offerte, e quelle che comunichiamo all’esterno (a scuole, esercenti o al pubblico) riguardano sempre almeno 5 persone e non consentono di identificare nessuno. La base è il nostro legittimo interesse a migliorare e organizzare il servizio: puoi opporti (punto 13).

16. Dati salvati sul dispositivo e permessi dell’App

L’App non chiede accesso a posizione, microfono, contatti, foto o calendario e non ti traccia tra app e siti di altre aziende (su iOS non chiede il permesso di tracciamento, perché non traccia).

Cosa salviamo sul telefono (art. 122 Codice privacy). Nell’area protetta del sistema (Keychain su iOS, Keystore su Android): i dati della sessione e l’identificativo del dispositivo generato dall’App. Nelle preferenze dell’App: la scelta sul consenso, la lingua, scuola e classe selezionate, i filtri di ricerca, il carrello non ancora inviato, le iscrizioni ai canali di notifica. In una memoria temporanea: immagini dei prodotti e PDF consultati. Servono tutti a fornirti il servizio che hai chiesto e non richiedono consenso; gli identificativi di Firebase per statistiche e diagnostica, invece, si salvano e si leggono solo con il tuo consenso (punto 5). Tutto viene eliminato se disinstalli l’App o ne cancelli i dati.

Orario. Per calcolare bene gli orari limite l’App sincronizza l’orologio con un servizio pubblico di riferimento (time.google.com); la richiesta non contiene dati del tuo account.

17. Passaggio dalla versione precedente dell’App

Se ti eri registrato con la versione precedente dell’App, abbiamo trasferito sulla piattaforma attuale i dati necessari a continuare il servizio: account, classi, ordini, ricariche, credito e accettazioni. Il trasferimento è avvenuto per le stesse finalità e con la stessa base giuridica (il contratto), e il titolare del trattamento resta Breakapp. Come prevedono il contratto e l’articolo 28 del GDPR, il precedente fornitore tecnologico, che trattava i dati per nostro conto, è tenuto a cancellare le copie in suo possesso.

Al primo accesso ti chiediamo di accettare i nuovi Termini, di leggere questa informativa e, se manca, di inserire la data di nascita, che serve a rispettare le soglie di età del punto 7. Se il tuo numero non era stato verificato, ti chiediamo di verificarlo.

18. Modifiche a questa informativa

Possiamo aggiornare questa informativa per cambiamenti della legge, del servizio o dei fornitori. Te lo diciamo nell’App e, per le modifiche importanti, ti chiediamo di prenderne visione prima di continuare a usarla. La versione in vigore, con numero e data, è sempre disponibile nell’App, alla voce Privacy Policy del menu; le versioni precedenti te le inviamo su richiesta.