Last updated: October 30, 2026
Flovvy is a personal expense-management app that lets you record income and expenses, scan receipts, organize budgets, accounts and shopping lists, and share expenses in groups. For the processing described here, the Data Controller — the party that decides the purposes and means of processing — is:
The providers that process data on our behalf (Section 9) act as Processors under a Data Processing Agreement (Art. 28 GDPR). You are the data subject.
| Category | Examples |
|---|---|
| Account data | User ID, email, name and the identifier of your Google or Apple account (received at sign-in with Google or Apple; with Google, the sign-in service also receives your account's profile picture, which the app does not use), the profile photo you choose to upload yourself, the household type you select (for example single, or couple with children), used only to compare your spending with reference budgets for similar households, and the country you select when you set up the app. The country is used to pre-fill your default currency, to show amounts and dates in the local format, to pick the reference budgets for your country and, when a receipt does not say which country it comes from, to place it in the price statistics (Section 6); you can change it at any time in your profile. We also keep with your account the app settings that follow you from one device to another, such as language, currency, date and number format, theme colour and favourites. |
| Expense & financial data | Expenses and income (amount, date, description, merchant, currency, category/sub-category), accounts and balances, budgets, tags, shopping lists, notes. |
| Receipt data | Photos of the receipts you choose to scan and the text/line-items extracted from them (may include a tax code printed on the receipt). |
| Special-category data (Art. 9) | Information that may reveal health or another special category, e.g. the items on a pharmacy receipt. What AI derives from the content you entrust to it is processed only with your explicit consent; what you write or classify yourself stays where you put it and is not analysed, except for the limited cases described in Section 5. |
| Shared-expense data | Groups, splits, participants and shared items you create or join. |
| Purchases & subscriptions | Subscription status, in-app purchases, AI credits and related transactions. |
| AI credit gifts | If you give AI credits with a gift code, or redeem one: the code, the credits, the dates and the names of the sender and of the recipient, so that each of them can see who the gift came from or went to (Section 11). |
| Consent records | Which consents you gave or withdrew, when, and the exact text/version and language you were shown (Section 7). |
| Technical / diagnostic data | Device model, operating system, app version, crash and error information, and a technical user identifier. We also read the device identifier provided by the operating system (Android ID, or the iOS "identifier for vendor"): in clear text, to keep your devices in sync. |
| Anonymous counts | The app reports to our server a few first-run steps and a few moments of using the app (for example: an introduction page viewed, the introduction completed, the first, third, fifth and twentieth expense added, the first group created, joining a group, the first shopping list, an AI feature tried), both before and after you have an account, together with the platform (Android or iOS) and the app's version number. The server does not keep the report: it adds 1 to a counter for that day. It receives no identifier of you, of your account or of your device: even when you are signed in, the report is sent without your account credentials. The request's IP address is not kept, except in the servers' technical logs described below. Nothing is stored on your device for this purpose. |
| Website & server logs | When you visit flovvy.app, or when the app contacts our servers, the infrastructure records the IP address, the time of the request and basic technical details (browser or app version, endpoint called), in order to deliver the page or the response and to protect the Service against attack and abuse. These logs are held by the providers listed in Section 9 for the periods given in Section 11, and are never used to build a profile of you. The sign-in service (Supabase) also keeps, for each open session of your account, the IP address and the type of app or browser, to keep the account secure (for how long, see Section 11). |
What is on our servers. Your expenses and the other data you enter are also saved on our servers only while you have an active Pro subscription, and those of a shared group while the group is covered by a member's Pro; without it, they stay on your device, and what was already saved remains readable and deletable. For anyone with an account, the profile and settings, consents, AI credits, scans and other AI requests and shopping-list comparison reports always go through our servers. Receipt photos, if you allow them to be saved, follow Section 5.
Data we do NOT collect. We do not collect your location/geolocation (the location permission has been removed from the app), we do not use advertising, analytics or cross-app tracking SDKs (the only anonymous counts are made by the app itself, with no SDK: see the table above) — the only third-party SDKs the app embeds are the error monitoring described in Section 15, the purchase management described below and the Google and Apple sign-in libraries, which come into play only if you choose to sign in with them — and we do not sell your personal data.
Sign in with Apple. If you choose to sign in with Apple, we keep on our servers an authentication token issued by Apple, for the sole purpose of revoking the app's access to your Apple ID when you delete your account. This token is not used for anything else and is permanently deleted when the account is deleted.
The website. The pages of flovvy.app are static and load fonts and scripts from our own domain. The site uses one technical cookie, which remembers your cookie choice. Only if you choose "Accept" in the banner does it also use Google Analytics 4, to count visits and page views in aggregate: in that case your browser downloads Google's script and receives the cookies listed below. Before you choose, and if you reject, nothing is sent to Google. In the banner "Accept" and "Reject" carry the same weight, and you can change your mind at any time from the "Cookie settings" link at the bottom of the pages: if you withdraw consent, the Google Analytics cookies are deleted. We have turned off Google signals and any advertising use of the data; Google Analytics uses your IP address only to derive the country and does not store it, and Google keeps the collected data for 2 months. No advertising or social-media script.
| Cookie | Set by | Purpose | Duration | Essential |
|---|---|---|---|---|
flovvy_cookie_consent | flovvy.app | Remembers your cookie choice | 6 months | Yes |
_ga | Google Analytics, on our behalf | Tells visitors apart pseudonymously, to count visits | 6 months | No: only with your consent |
_ga_<ID> | Google Analytics, on our behalf | Keeps the state of the current visit | 6 months | No: only with your consent |
cf_clearance | Cloudflare, which serves and protects the site | Remembers that you passed a security check ("I am not a robot"). Set only if an attack makes that check necessary: today it is not set | Normally 30 minutes | Yes |
As with any web server, the infrastructure that serves the site (Cloudflare, see Section 9) processes the IP
address and the browser user-agent of each request in order to deliver the page and to protect the site from
attack (for how long, see Section 11); that data is not combined with your Flovvy account and is never shared
for advertising. Cloudflare sets no cookies on the site today. If an attack made a security check necessary (the
"I am not a robot" check), it could set the technical cookie cf_clearance, which remembers for a
short time (normally 30 minutes) that you passed the check: it is essential and needs no consent.
The app. The app uses no advertising, no analytics and no cross-app tracking SDK. The only anonymous counts (see the table above) are made by the app itself, with no third-party SDK, no identifier and nothing stored on your device. It does not read the advertising identifier of your device (IDFA / Android advertising ID) and it never shows the App Tracking Transparency prompt, because there is nothing to ask you about. Besides the Google and Apple sign-in libraries, which only handle signing in when you choose them, the app embeds two third-party SDKs, both strictly necessary and neither of them for advertising or measurement. The first is the error-monitoring SDK described in Section 15 (Sentry), which keeps the app working and secure: it records crashes and errors, never your expenses, your receipts or your photos. The second is RevenueCat, which manages subscriptions and in-app purchases (Section 9): it receives the pseudonymous identifier of your account (before you sign in, an anonymous identifier it generates itself), never your email, the purchase confirmation issued by Apple or Google (product, price, dates, transaction identifier) and the technical data it needs to work (platform and system and app versions, language, store country, IP address of the request), so that what you have paid for is unlocked on every device where you sign in. Neither SDK reads the advertising identifier of your device, and neither is used to measure how you use the app or to profile you. The app also stores information on your own device — the local database of your expenses, your settings, and your sign-in token in the operating system's secure storage — which is what lets Flovvy work offline; that information stays on your device except when it syncs to your account.
The device identifier. The only device-level identifier we read is the one described in the table above (Technical / diagnostic data). We use it solely to keep your account in sync across your devices (for example so that a scan started on one phone is collected by only one of them) — never to track or profile you across other apps or websites, never as an anti-abuse fingerprint, and never shared with an advertising network.
If we add anything else. Apart from the anonymous counts described in the table above — aggregate numbers, with no identifier and nothing stored on your device — any other analytics or similar tool, on the website or in the app, will be switched on only with your prior, freely given consent, with "reject" as easy as "accept" and a way to change your mind; and we will update this section — with the exact list, provider, purpose, duration and whether it is essential — before it goes live, not after. If the list of website cookies changes, the banner asks you to choose again. The same information, with instructions for managing cookies in your browser, is also on the Cookie Policy page.
We do not use your data for marketing, profiling or automated decisions with legal or similarly significant effects (Section 12).
When you scan a receipt, the image and/or extracted text is sent to Google Cloud's artificial-intelligence services — Vertex AI for structuring and Cloud Vision for OCR — to recognize items, amounts and categories. This processing takes place within the European Union (EU endpoints of Vertex AI and Cloud Vision), so there is no transfer outside the EU for AI/OCR. The same EU Google Cloud is used for voice entry, the AI assistant and shopping-list comparison. It runs on a paid tier where, under the provider's terms, data is not used to train the models; Google acts as a data processor. To detect abuse of its services, Google runs automated checks on requests: only a request those checks flag may be kept by Google for a limited period, within the EU, and examined by its staff, solely to verify the abuse. AI credentials are held only on our secure server, never on your device.
A scan does not stop when you close the app: it finishes on our servers, and what it read from the receipt waits there until your app comes to collect it. That waiting copy holds the text read from the receipt and the items and amounts taken from it, never the photo, and it is short-lived — see Section 11.
If a receipt does not come out right and you choose to send it to support@flovvy.app, we use it only to test and fix the reading: we look at it ourselves and have it read again by the same system the app uses (Google Cloud, in the European Union: see this Section and Section 9). We do not use it to train any model.
The legal basis is your consent, given by the act of sending it. You decide whether to send a receipt and you never have to; this section is here so that you know what happens before you do.
What we keep is the photo and the text we read from it, inside the test bench we use to measure the scanner. It stays there for at most 24 months from the day we receive it, then we delete it. Write to support@flovvy.app at any time and we will delete it.
Please do not send pharmacy receipts, medical bills or any other receipt that says something about your health or other special-category data (Art. 9 GDPR, see Section 5): for these, the act of sending is not enough as consent, and we do not use them. We look at every receipt before using it: if it contains such data, we delete it at once, without running it through the scanner and without keeping it. More generally, do not send receipts you would rather not share: a receipt says more than a total, namely where you were, when, and what you bought.
When a scan does not come out right — for example the items do not add up to the total — we may set aside the text read from that receipt (what the OCR read and what the AI answered) to find out what went wrong and improve the reading. That copy does not contain your name or e-mail address: it is linked to your account only by an internal identifier, which we need in order to delete it. Only we look at it, and we keep it for at most 90 days; we delete it sooner if you delete your account, withdraw the "AI features" consent or object (below). We do not use it to train any model.
The whole copy never enters the test bench we use to measure the scanner: at most a minimal excerpt does, that is only the lines that show the problem, with no header, date, time, total, payment or identifier of any kind. An excerpt like that does not refer to anyone, so it is not affected by deleting your account.
Receipts in the Health category, and those whose category could not be determined, are left out. As with the price statistics (Section 6), that filter works on the category the AI assigned, so it is a rule, not a guarantee: if we come across health information anyway, we delete that copy at once.
To check what the receipt really says, we may also look at its photo — only if you chose to save receipt photos (Section 5) — without keeping a copy of it for this purpose.
Legal basis: our legitimate interest in improving receipt reading, for you and for every other user (Art. 6(1)(f)). You may object at any time by writing to support@flovvy.app (Art. 21): from then on, your receipts are no longer set aside, and those already set aside are deleted.
Some content you entrust to the AI features may reveal your health (for example a pharmacy receipt) or another special category of data under Art. 9 GDPR (for example religious beliefs). This is why the app asks for two separate consents, optional, never pre-ticked and revocable at any time:
With only "AI features", the photo is used temporarily to read it and is not stored; with photo saving as well, it is stored for backup and multi-device access. The "AI features" consent also covers storing the product detail, including the items you correct or add by hand in the detail, and the shopping-list comparison reports. When the wording of a consent changes substantially, the app asks you to reconfirm it, and until you do, the features that depend on it stay off.
Text you write yourself. In expense descriptions and notes you can write whatever you like, including health information (for example "cardiologist visit"). That text stays where you put it: we store and sync it for you, but we do not read it, analyse it or send it to any AI system, except in the single case, covered by the "AI features" consent, described in the next paragraph. This is why we do not ask for a specific consent: there would be nothing to stop if you refused. We still protect it as sensitive data (Section 15).
What does reach the AI, only if you use the AI features. Under the "AI features" consent, and only to understand your request or to classify what you scan or dictate, the AI also receives the names you gave to categories, sub-categories, accounts and tags, and the names of the shopping lists you compare — never amounts. The assistant also receives the language of the app, your currency, the date of your first expense, the countries your receipts most often come from (or, if you have only a few receipts, the country you chose in the app) and how many receipts with product detail you have in each year. For the built-in sub-categories, the assistant always receives the complete list, the same for everyone, not the ones you use. If you use the assistant, its previous answers, without any amounts, are sent back to the model so that it can understand your next question, and they may include the name of an expense.
Withdrawing consent. You can withdraw either consent at any time from Menu → Privacy & data → Consents. Withdrawing "AI features" turns the AI features off (you can always enter expenses by hand) and the app immediately deletes, on the device and in the cloud, the stored product detail and the shopping-list comparison reports, as well as the assistant history kept on the device. On the device where you withdraw it, the app also deletes its automatic copies of the database and offers to delete the copies you saved yourself: if you keep them, they still contain the detail. Each expense keeps its amount, date, description, account, category, subcategory, tags and photo, if you allowed it to be saved. Shopping lists stay as they are, including products you added to them from a receipt: they are content you created yourself, with an action of your own. Withdrawing photo saving deletes the photos already stored, on the device and in the cloud. A withdrawal applies to your whole account: your other devices signed in to it carry out the same deletion the next time they connect to our servers, including their automatic copies of the database, and tell you about it; for the copies you saved yourself on one of them, the app asks you there. All of this also applies to your own rows in shared groups. In a shared group each member's receipt photos follow that member's consent: without your photo-saving consent your device does not download or show the other members' receipt photos either, and withdrawing it also deletes the copies already on your device (in the cloud they stay, under the consent of whoever saved them). The product detail of a receipt scanned by another member was produced under that member's consent and stays visible in the group even without yours. You are warned first and can export your data (Section 13). We do not use AI to automatically detect or mask medicines.
From the line items of receipts scanned with product detail, we build aggregate, anonymous price statistics — for example the average price of a product at a given retailer, in a given month and country. The purpose is to be able to tell you whether what you paid is in line with the market, and to power price comparisons.
These statistics live in a physically separate database of their own, hosted in the European Union, which the app never reads and which holds no identifier of any kind: no user ID, no pseudonym, no receipt ID, no photo, and no record of when you scanned. A row describes a purchase, not a person. It holds the country, the month, the retailer, the product and the price (as printed and converted to euro), plus the category, and the quantity and unit of measure where the receipt states them; and two technical markers — how the row was produced, and the date of the nightly batch that wrote it.
The month of purchase is recorded, never the day. The batch date is a different thing: it is shared by every row written the same night and says nothing about when any particular person shopped. Rows are written in randomized order, so the items of a single receipt cannot be put back together, and there is no key that would let us — or anyone else — walk from a statistic back to you or to your basket.
Country spending averages. We may also compute average spending per country and category, so the app can tell you how your own spending compares. If we do, it is calculated on the expense data already in your account — no new archive of personal data is created — and only the aggregate result is kept, never the individual figures behind it. A result is kept only when it rests on at least 20 distinct people.
Legal basis. Producing an anonymous row still means reading a receipt, which is personal data, so that step needs a legal basis: our legitimate interest (Art. 6(1)(f)) in understanding market prices in order to offer this feature, together with Art. 5(1)(b) and Art. 89, which allow further processing for statistical purposes under appropriate safeguards — the safeguards being exactly the measures described above. We do not ask for your consent for this, and we do not rely on the Art. 9 consent described in Section 5, which covers the scanning itself and is unaffected by any of this.
To be precise rather than reassuring: this is a further use of data you have already given us. It is a light one — no new archive of personal data, no new retention period, no transfer, and the anonymous result is no longer personal data — but it is not "nothing", and we would rather say so than claim otherwise.
Your right to object (Art. 21). You can object at any time, without giving a reason and without losing any other feature, from Menu → Privacy & data → Anonymous statistics → "Don't use my data for statistics". From that moment your receipts stop feeding the price archive and your expenses are left out of any spending averages. In a shared group, an objection by any one member takes the whole group's shared expenses out.
For the Art. 9 consents and the 18+ confirmation, we keep a consent register (your identifier, the type of consent, grant/withdraw/confirm, date/time, the exact text version and language shown, and where it was given) solely to demonstrate consent under Art. 7. It is kept for the life of your account.
What happens to it when you delete your account. The register is the only proof of what you agreed to and when. If we deleted it together with your account we would have nothing left to show if that consent were ever questioned — and the person questioning it would be you. So we keep a reduced version of it for 5 years after the account is deleted, for our legitimate interest in being able to prove consent if it were challenged (Art. 6(1)(f) and, for the Art. 9 consents, Art. 9(2)(f) GDPR) — one of the cases in which Art. 17(3)(e) GDPR excludes erasure (establishment, exercise or defence of legal claims) — and then delete it automatically. What survives is only: which consent, whether it was given, withdrawn or confirmed, the version and language of the text you were shown, the date and time, and a one-way hash of your email address — computed with a secret key held server-side, so it cannot be reversed — which is what lets us find your records again if you or an authority ask about them. Your user identifier is removed, and for the Terms and this Policy we do not keep a copy of the text either, because the exact wording of every version is archived separately and permanently (Section 17). For every other entry — the Art. 9 consents, the 18+ confirmation and the specific approval described below — the exact text you were shown is kept, because it is not archived anywhere else: without it the entry would show that you agreed to something, but not to what.
The same register also records when you accepted the Terms of Service and when the Privacy Policy was presented to you: the version, the date, the language and where it happened. For these two documents we store a reference to the version — not a copy of the text, which is identical for everyone and is archived once, separately, at a permanent address (Section 17).
Accepting the Terms is a contractual step, not a consent under Art. 6(1)(a); acknowledging this Policy is a record that you were informed, not an approval. Neither of them changes the Art. 9 consents above, which stay separate and can be withdrawn at any time.
If you use Flovvy for purposes relating to your trade, business, craft or profession, you are also offered a separate tick box to specifically approve certain provisions of the Terms, as Art. 1341, second paragraph, of the Italian Civil Code requires. It is optional — it changes nothing for consumers — and it is recorded as an entry of its own, distinct from your acceptance of the Terms, because the law requires the two to be separate acts. For this entry we keep the exact text you were shown, since it is what lists the provisions approved. It is a contractual act, not a consent under the GDPR.
New users get a one-time bonus of 10 AI credits, meant to be available once per person. To stop the same person claiming it over and over by deleting and recreating an account, we keep — for up to 6 months from the deletion — only a one-way hash of your email address, never the address itself.
This hash is pseudonymous: it cannot be reversed to your email, it is never used to profile, track or contact you, and it is compared only when a new account claims the welcome credits and in the abuse investigations described below. It is deleted automatically once the 6 months have passed.
If the hash matches, you can still re-register and use the app straight away: only the welcome credits are unavailable during that period. A match on its own is never treated as wrongdoing — if you are affected for a legitimate reason, write to support@flovvy.app and we will enable them for you.
The free trial is granted by the store, not by us. The trial of the Plus plan (1 month on the App Store, 30 days on Google Play) is the subscription's introductory offer: it is granted by Apple or Google when you subscribe, and they decide who is eligible under their own rules. For this purpose we process no data about you: no hash of your Apple or Google account, no hash of your device, no check on our side. If the store does not offer you the trial, that decision is theirs — we can neither see nor change its outcome.
Investigating serious abuse. There is one further case in which we consult the email hash: when we are investigating automated, bulk or coordinated abuse — accounts created by a script, a bot or an emulator, or welcome credits and gift codes farmed across several accounts. There we use it to establish how far a single abuse extends, and the accounts we find to be part of it may be suspended or closed under Terms of Service, Section 9. If we take one of these measures, we record its date and reason on your account, where they stay for as long as the account exists. We do not suspend or close an account on the strength of a hash match alone. Legal basis: our legitimate interest in preventing abuse of the Service and in protecting its other users (Art. 6(1)(f)); you may object at any time (Art. 21), and you can contest any measure taken against you by writing to us.
We rely on the following providers acting as data processors on our behalf, each under a Data Processing Agreement (Art. 28 GDPR). The last two rows are the exception: Google and Apple, for sign-in, and the app stores, for payments, act as independent controllers, under their own terms and privacy policies:
| Provider | Role | Location / transfer |
|---|---|---|
| Supabase | Database and file storage (backend) | EU region (eu-central-1); for support and maintenance access by the provider's Singapore company (Supabase Pte. Ltd) and its staff, SCC |
| Google Cloud | AI/OCR of receipts, voice, AI assistant and list comparison — Vertex AI + Cloud Vision, via service account | EU — EU endpoints of Vertex AI and Cloud Vision (data residency in the EU) |
| RevenueCat | Managing subscriptions and in-app purchases | Outside the EU; SCC + DPA |
| Cloudflare | Hosting and protection of the flovvy.app website (static pages); processes request IP addresses in its access and security logs | Global network; SCC + DPA |
| Google (Analytics) | Website visit statistics, only with your consent | Outside the EU (USA); EU-US Data Privacy Framework + SCC |
| Sentry | Crash and error monitoring | US provider; EU ingestion; SCC + DPA |
| Zoho | Mailbox of support@flovvy.app: the emails you write to us and their attachments | EU data centre; SCC for any access from outside the EU |
| Google / Apple | "Sign in with Google/Apple" | Per the provider's terms |
| App stores (Google Play / App Store) | Payment processing (merchant of record) | Per the store's terms |
We do not sell your personal data and do not use it for third-party advertising. We disclose data to public authorities only where the law requires it (Art. 6(1)(c) GDPR): for example, on a binding order of a judicial or administrative authority, or where the Digital Services Act requires us to report a suspected serious criminal offence (Terms of Service, Section 12). If in future we add another AI provider, we will update this policy, sign the relevant DPA and assess any transfer outside the EU before it goes live.
When you share a group with the invite code, anyone who joins sees all of the group's expenses, including the items on detailed receipts, which may reveal, for example, the purchase of medicines. The app reminds you of this before you share. The other members receive this data because you chose to share it.
If someone added you to a group by name. In a group, participants can be added just by typing their name, even if they don't use Flovvy. For these people we keep only the name, as it was typed, linked to the group's expenses: no contact details, no contact, no other data. We do this to make expense splitting work (legitimate interest, Art. 6(1)(f)). Since we have no way to reach you, we inform you through this section (Art. 14(5)(b) GDPR), and the app asks whoever adds you to let you know. The name is kept as long as the group exists (Section 11). You can ask us to see, correct or delete it, or object, by writing to support@flovvy.app: tell us the group's name or who added you, so we can find it. On request we replace the name with a neutral label.
Your account and expense data is stored in the European Union (Supabase), and AI/OCR processing is also carried out in the EU (Google Cloud — EU endpoints of Vertex AI and Cloud Vision), so there is no transfer outside the EU for AI processing. Some providers — the database provider (Supabase), for support and maintenance access by its Singapore company, error monitoring (Sentry), purchase management (RevenueCat), the network serving the website (Cloudflare), website visit statistics if you accept them (Google Analytics) and, for any support access, email (Zoho) — may process data outside the EU (typically the USA), on the basis of appropriate safeguards such as the European Commission's Standard Contractual Clauses and each provider's DPA.
Account/ledger data is kept for the life of the account and deleted or anonymized on closure (not purged on a timer); technical logs are kept for a limited period and expire automatically.
| Data | Retention |
|---|---|
| Account data (expenses, income, accounts, budgets, categories, tags, lists, profile) | Life of the account; deleted or anonymized on closure (cascade). |
| Receipt photos (cloud) | Life of the account, or until you withdraw the "Saving receipt photos" consent — then deleted from cloud and device. We may in future set a maximum storage period for older photos: if we do, the period will be stated here and announced in advance in the app (see Terms of Service, Section 16). |
| Extracted receipt detail (line items) and shopping-list comparison reports | Life of the account, or until you withdraw the "AI features" consent — then deleted (of a receipt, only the header is kept). |
| Temporary result of an AI scan | A scan keeps running on our servers even if you close the app, so what it read from the receipt — the text it read and the items and amounts taken from it, never the photo — waits in a queue until your app collects it. It is deleted 24 hours after your app has collected it, and in any case within 7 days, collected or not. |
| AI credit ledger | Life of the account; deleted on closure. The receipts for credit purchases stay with the store (row "Purchases / subscriptions"). |
| AI usage log (for each AI request: the feature, the AI model, the amount of text processed, the duration, the outcome and the time — never the content) | 13 months, to check our costs against the provider's invoices, then deleted automatically. If you delete your account, it is detached from you straight away. |
| AI credit gift codes | 12 months after the code is redeemed, taken back by whoever created it, or cancelled, then deleted automatically. A code nobody has used (others can redeem it for 30 days) stays until its creator takes the credits back or deletes the account. If you delete your account, the codes you created are deleted and your name is removed from those you redeemed. |
| Consent register | Life of the account. After the account is deleted, a reduced version (consent type, action, version and language of the text, date, and a keyed one-way hash of the email — no user ID; the text shown is kept only for the entries that are not archived elsewhere, see Section 7) is kept for 5 years to defend against claims about consent (Art. 17(3)(e) GDPR), then deleted automatically. See Section 7. |
| Purchases / subscriptions | As required by accounting/tax law and to handle disputes and refunds (may be several years). The purchase history stays with the store and with RevenueCat, linked to the pseudonymous identifier of your account — never to your email or name. After your account is deleted we no longer keep anything that links that identifier to you, except for the short periods of the technical logs and server backups listed in this table. Our own copy is deleted with the account. |
| Website visit statistics (Google Analytics) | Data kept by Google for 2 months; _ga cookies up to 6 months; your cookie choice for 6 months, then you are asked again. |
| Technical / diagnostic logs (Sentry) | 30 days from receipt, then deleted automatically by the provider. |
| Anonymous counts | 24 months, then deleted automatically. They are aggregate daily numbers: they contain no data about you. |
| Server and website access logs | App servers (Supabase): up to 7 days, then deleted automatically. Website (Cloudflare): we keep no access logs; in the dashboard we see aggregate statistics and, only for requests stopped by the security filters, the details including the IP address for the last 24 hours. Cloudflare also keeps a small random, pseudonymized sample of traffic, for up to 12 months, to improve the protection of its network. |
| Sign-in sessions (IP address and type of app or browser) | As long as the session is open: deleted when you sign out or when you delete your account. A session not used for 90 days closes by itself and is deleted within the following 24 hours (this happens, for example, if you uninstall the app without signing out): to close it straight away, sign out before uninstalling the app. |
| Register of your devices (device identifier, last sign-in and last sync) | 60 days from that device's last sign-in, then deleted; sooner, when the account is deleted. |
| Anti-abuse hash of the email address | 6 months from the account deletion, then deleted automatically. See Section 8. |
| Orphaned shared groups | Purged 30 days after there are no active linked members, or 90 days without an active subscription covering the group. |
| Group invite codes | Valid for 30 days, then they expire; whoever created them can revoke them sooner. |
| Soft-deleted items ("tombstones") | When you delete something, a record of the deletion is kept until each of your devices has synchronized it — without that record, a device that had been offline would bring the deleted item back. A device we have not heard from for more than 90 days no longer holds it back, and a nightly job on our servers carries out this cleanup even if you stop opening the app. |
| Emails to support@flovvy.app | Ordinary correspondence: 24 months from the last message. Requests to exercise your rights (Section 13) and reports of illegal content or abuse, with our replies: 5 years, to be able to show how we handled them. Then deleted. |
| Server backups | Data you delete may remain in the encrypted backups of our database for up to 7 days, then it is overwritten. Backups are used only to restore the Service after a fault. If we ever had to restore one, we would first save the deletions and consent withdrawals made after that backup and then re-apply them; any we could not re-apply, we would tell you about in the app, so that you can repeat them. |
| AI assistant conversation | Only on your device, never on our servers: the last 10 questions with their answers, kept separately for each account that signs in on that device. Deleted when you clear it in the assistant, when you withdraw the "AI features" consent (on all your devices), when you delete your account from that device, or with "Delete device database". |
| Audio of dictated expenses and spoken questions | Not kept: deleted right after it is sent to the AI and in any case within 1 hour if it is never sent. |
| Receipts set aside to improve the reading | Only the text read from the receipt and the AI's answer, without your name or e-mail, never the photo: up to 90 days, then deleted; sooner if you delete your account, withdraw the "AI features" consent or object. Only a minimal excerpt, which does not refer to anyone, may stay in the test bench (Section 4). |
| Receipts you send us by email | Photo and text read: at most 24 months from the day we receive them, then deleted; sooner if you ask us. Those with health data are deleted at once (Section 4). |
| Local data on your device | Kept until you uninstall the app or delete it in the app: "Delete device database" (available when you are signed out) removes the data, but not the copies of the database kept in "In-app backups", which you delete from that list. Deleting your account from the app removes both on that device (Section 14). |
We do not carry out automated decision-making that produces legal or similarly significant effects on you (Art. 22). The AI features help you record and understand your own expenses; they do not make decisions about you.
You have the right to access your data, rectify it, erase it, receive a portable copy (a full JSON export is available in the app, Art. 20), restrict or object to processing (including the processing based on our legitimate interest described in Sections 2, 4, 6, 7, 8, 9 and 15), and to withdraw consent at any time without affecting past processing. To exercise these rights, write to support@flovvy.app. You also have the right to lodge a complaint with your competent supervisory authority (in Italy, the Garante per la protezione dei dati personali).
You can delete your account and all associated data at any time, directly in the app via Menu → Delete data options → Delete account, or by email. Full instructions are on the Delete account page. Deletion runs through a secure server function that deletes your files in storage, anonymizes your entries in shared groups (your name becomes "Deleted user"; your expenses stay, so the other members' balances do not change, while the product detail of the receipts you scanned is removed), passes the groups you own to another member (see the end of this section), and cascades the deletion across all your tables (expenses, accounts, categories, budgets, tags, lists, profile, purchases/subscriptions/credits). Apart from the server backups and technical logs described below, no trace of your user identifier remains on our servers.
On the device you delete from, the app also erases the data it keeps there, including receipt photos and copies of the database, and returns to its first-install state. On your other devices signed in to the same account, the app can no longer reach your data in the cloud, but what is saved on those devices, including the copies of the database, stays there until you delete it from those devices or uninstall the app. The app does not upload it to a new account if you sign in again with the same email.
Only two items remain on our servers, and neither contains your user identifier: the keyed one-way hash of your email used against abuse (Section 8), kept for 6 months, and the reduced version of the consent register (Section 7), kept for 5 years; both are then deleted automatically, and neither allows us to contact you. Besides these, for limited periods: deleted data may remain in the encrypted server backups for up to 7 days; technical logs and error and crash reports, which may contain your user identifier, are deleted automatically within 30 days (Sections 11 and 15); the emails you sent to support and the receipts you sent us are kept for the periods in Section 11; and the purchase history stays with the store and with RevenueCat, linked to the pseudonymous identifier of your account, for the periods required by accounting and tax law (Section 11). Members of a shared group can see the group's expense history, including items you add; after you leave the group or delete your account your entries remain with them in anonymized form. If you own a shared group and you leave it or delete your account, ownership passes to another member who has an account: first to one with an active Pro plan, otherwise to whoever has been in the group longest; if there is no such member, the group is left without an owner and is purged as described in Section 11. When you leave a group, the product detail of the receipts you scanned in it stays linked to your account on our servers: this is how it is also removed from the group if you later withdraw the "AI features" consent or delete your account. Group invite codes expire and can be revoked.
We apply, among others: private storage buckets for receipt images and avatars with per-user access control and expiring signed links; encryption at rest for the database and storage; AI credentials held only server-side; sensitive operations performed only by privileged server functions; error monitoring with EU ingestion (described below); and on-device protections you control (app lock with PIN/biometrics and "Hide amounts"). Account data is pseudonymous, not anonymous, and remains fully protected as personal data.
Error monitoring. Crash and error reports are sent to Sentry with EU ingestion
(de.sentry.io), and they are linked to your account: we attach the pseudonymous
identifier of your account — the internal user ID, not your email, your name or any receipt content — so that a
crash can be traced back to the session that produced it and so that an access or erasure request can be honoured
for these reports too. Besides the error and the device details, a report includes the last actions recorded
before the error (for example taps on buttons or a request to our servers). The reports contain no receipt content, no expense content and no photos:
the SDK runs with sendDefaultPii disabled, console breadcrumbs are discarded before sending, and
performance tracing is switched off; in our Sentry account, storage of IP addresses is disabled, automatic removal
of sensitive data (such as passwords and card numbers) is mandatory, and reports are deleted automatically after 30
days. Error monitoring is disabled entirely in development builds. Legal basis:
our legitimate interest in the security and stability of the service (Art. 6(1)(f)). Our store listings declare
the same thing: Google Play Data Safety lists User IDs as shared with Sentry, and the App Store privacy
label lists Crash Data as linked to you.
Data breach notification. If a personal-data breach occurs that is likely to affect you, we will notify the competent supervisory authority within the time limit set by Art. 33 GDPR and, where the breach is likely to result in a high risk to your rights and freedoms, we will also notify you without undue delay — directly, or, in the cases Art. 34(3) GDPR allows, through a public communication of equivalent effectiveness.
Flovvy is intended for users aged 18 or over; we ask you to confirm this during onboarding. This is not a limit set by the GDPR, which in Italy lets people consent on their own to online services from the age of 14 (Art. 2-quinquies of the Italian Privacy Code): it is our choice, because the app may process sensitive data, such as pharmacy receipts, and handles purchases. We do not knowingly collect data from anyone under 18: if we find that an account belongs to a minor, we close it and delete its data, and a parent or guardian can ask us to do so by writing to support@flovvy.app.
We may update this policy. Each version has a date, and the version in force is published at flovvy.app/privacy — the address in the app always points there, so it always shows you the current text.
Every published version is also kept at its own permanent address, in the form
flovvy.app/legal/privacy-YYYY-MM-DD. Those pages are never changed or removed: they are what lets you check
later exactly what you were shown on a given day.
When a change is significant, the app asks you to acknowledge the new version before you continue using it. Even if you do not, you can still export all of your data and delete your account — those are your rights and they never depend on accepting anything.
For any privacy-related request: support@flovvy.app.
Ultimo aggiornamento: 30 ottobre 2026
Flovvy è un'app di gestione delle spese personali che ti permette di registrare entrate e uscite, scansionare scontrini, organizzare budget, conti e liste della spesa, e dividere le spese in gruppo. Per i trattamenti descritti qui il Titolare del trattamento — chi decide finalità e mezzi del trattamento — è:
I fornitori che trattano dati per nostro conto (Sezione 9) agiscono come Responsabili del trattamento, sulla base di un accordo ai sensi dell'art. 28 GDPR. Tu sei l'interessato.
| Categoria | Esempi |
|---|---|
| Dati dell'account | Identificativo utente, email, nome e l'identificativo del tuo account Google o Apple (ricevuti dall'accesso con Google o Apple; con Google il servizio di accesso riceve anche l'immagine del profilo del tuo account, che l'app non usa), la foto del profilo che scegli di caricare tu, il tipo di nucleo che indichi (per esempio single, o coppia con figli), usato solo per confrontare le tue spese con i budget di riferimento di nuclei simili, e il paese che scegli quando configuri l'app. Il paese serve a precompilare la valuta predefinita, a mostrare importi e date nel formato del posto, a scegliere i budget di riferimento del tuo paese e, quando uno scontrino non indica da quale paese viene, a collocarlo nelle statistiche dei prezzi (Sezione 6); puoi cambiarlo quando vuoi dal profilo. Con l'account conserviamo anche le impostazioni dell'app che ti seguono da un dispositivo all'altro, come lingua, valuta, formato di date e numeri, colore del tema e preferiti. |
| Dati di spesa e finanziari | Spese ed entrate (importo, data, descrizione, esercente, valuta, categoria e sottocategoria), conti e saldi, budget, etichette, liste della spesa, note. |
| Dati degli scontrini | Fotografie degli scontrini che scegli di scansionare e il testo e le singole voci estratti da essi (può comparire un codice fiscale stampato sullo scontrino). |
| Categorie particolari di dati (art. 9) | Informazioni che possono rivelare lo stato di salute o un'altra categoria particolare, per esempio i prodotti di uno scontrino di farmacia. Quelle che l'IA ricava da ciò che le affidi sono trattate solo con il tuo consenso esplicito; quelle che scrivi o classifichi tu restano dove le metti e non vengono analizzate, salvo i casi limitati descritti nella Sezione 5. |
| Dati delle spese condivise | Gruppi, divisioni, partecipanti e voci condivise che crei o a cui aderisci. |
| Acquisti e abbonamenti | Stato dell'abbonamento, acquisti in-app, crediti AI e relative transazioni. |
| Regali di crediti AI | Se regali crediti AI con un codice, o ne riscatti uno: il codice, i crediti, le date e i nomi di chi regala e di chi riceve, perché ciascuno dei due veda da chi arriva o a chi è andato il regalo (Sezione 11). |
| Registro dei consensi | Quali consensi hai dato o revocato, quando, e la versione e la lingua esatte del testo che ti è stato mostrato (Sezione 7). |
| Dati tecnici e diagnostici | Modello del dispositivo, sistema operativo, versione dell'app, informazioni su crash ed errori, e un identificativo tecnico dell'utente. Leggiamo anche l'identificativo del dispositivo fornito dal sistema operativo (Android ID, oppure l'«identifier for vendor» di iOS): in chiaro, per tenere sincronizzati i tuoi dispositivi. |
| Conteggi anonimi | L'app segnala al nostro server alcuni passi del primo avvio e alcuni momenti dell'uso dell'app (per esempio: una pagina della presentazione vista, la presentazione conclusa, la prima, la terza, la quinta e la ventesima spesa inserita, il primo gruppo creato, l'ingresso in un gruppo, la prima lista della spesa, una funzione AI provata), sia prima sia dopo che hai un account, insieme alla piattaforma (Android o iOS) e al numero di versione dell'app. Il server non conserva la segnalazione: aggiunge 1 a un contatore di quel giorno. Non riceve alcun identificativo tuo, del tuo account o del dispositivo: anche quando hai fatto l'accesso, la segnalazione parte senza le credenziali del tuo account. L'indirizzo IP della richiesta non viene conservato, salvo nei log tecnici dei server descritti qui sotto. Sul tuo dispositivo non viene salvato nulla per questo scopo. |
| Log del sito e dei server | Quando visiti flovvy.app, o quando l'app contatta i nostri server, l'infrastruttura registra l'indirizzo IP, l'ora della richiesta e alcuni dati tecnici di base (versione del browser o dell'app, endpoint chiamato), per consegnare la pagina o la risposta e per proteggere il servizio da attacchi e abusi. Questi log restano presso i fornitori elencati nella Sezione 9 per i tempi indicati nella Sezione 11 e non vengono mai usati per costruire un profilo su di te. Il servizio di accesso (Supabase) tiene inoltre, per ogni sessione aperta del tuo account, l'indirizzo IP e il tipo di app o browser, per la sicurezza dell'account (per quanto tempo, vedi la Sezione 11). |
Cosa sta sui nostri server. Le spese e gli altri dati che inserisci si salvano anche sui nostri server solo finché hai un abbonamento Pro attivo, e quelli di un gruppo condiviso finché il gruppo è coperto dal Pro di un membro; senza, restano sul tuo dispositivo, e quelli già salvati restano leggibili e cancellabili. Per chiunque abbia un account passano invece sempre dai nostri server il profilo e le impostazioni, i consensi, i crediti AI, le scansioni e le altre richieste all'IA e i report dei confronti fra liste. Le foto degli scontrini, se ne autorizzi il salvataggio, seguono la Sezione 5.
Dati che NON raccogliamo. Non raccogliamo la tua posizione o geolocalizzazione (il permesso di localizzazione è stato rimosso dall'app), non usiamo SDK pubblicitari, di analytics o di tracciamento fra app (i soli conteggi anonimi li fa l'app stessa, senza SDK: vedi la tabella qui sopra) — gli unici SDK di terze parti che l'app incorpora sono il monitoraggio degli errori descritto nella Sezione 15, la gestione degli acquisti descritta qui sotto e le librerie di accesso di Google e Apple, che entrano in gioco solo se scegli di accedere con loro — e non vendiamo i tuoi dati personali.
Accesso con Apple. Se scegli di accedere tramite Apple, conserviamo sui nostri server un token di autenticazione fornito da Apple, al solo scopo di poter revocare l'accesso dell'app al tuo Apple ID quando elimini l'account. Questo token non è usato per altri fini ed è eliminato definitivamente al momento della cancellazione dell'account.
Il sito. Le pagine di flovvy.app sono statiche e caricano caratteri e script dal nostro dominio. Il sito usa un solo cookie tecnico, che ricorda la tua scelta sui cookie. Solo se nel banner scegli «Accetta» usa anche Google Analytics 4, per contare in forma aggregata le visite e le pagine viste: in quel caso il browser scarica lo script di Google e riceve i cookie elencati qui sotto. Prima della tua scelta, e se rifiuti, verso Google non parte niente. Nel banner «Accetta» e «Rifiuta» hanno lo stesso peso, e puoi cambiare idea quando vuoi dal link «Preferenze cookie» in fondo alle pagine: se revochi il consenso, i cookie di Google Analytics vengono cancellati. Abbiamo disattivato i segnali di Google e ogni uso pubblicitario dei dati; Google Analytics usa il tuo indirizzo IP solo per ricavare il paese e non lo conserva, e Google conserva i dati raccolti per 2 mesi. Nessuno script pubblicitario o di social network.
| Cookie | Di chi | A cosa serve | Durata | Essenziale |
|---|---|---|---|---|
flovvy_cookie_consent | flovvy.app | Ricorda la tua scelta sui cookie | 6 mesi | Sì |
_ga | Google Analytics, per nostro conto | Distingue i visitatori in forma pseudonima, per contare le visite | 6 mesi | No: solo con il tuo consenso |
_ga_<ID> | Google Analytics, per nostro conto | Tiene lo stato della visita in corso | 6 mesi | No: solo con il tuo consenso |
cf_clearance | Cloudflare, che serve e protegge il sito | Ricorda che hai superato un controllo di sicurezza («non sono un robot»). Viene impostato solo se un attacco rende necessario quel controllo: oggi non lo è | Di norma 30 minuti | Sì |
Come qualunque server web, l'infrastruttura che serve il sito (Cloudflare, vedi Sezione 9)
tratta l'indirizzo IP e lo user-agent del browser di ogni richiesta per consegnare la pagina e per proteggere
il sito dagli attacchi (per quanto tempo, vedi la Sezione 11); quei dati non vengono associati al tuo account
Flovvy e non sono mai condivisi a fini pubblicitari. Oggi Cloudflare non imposta cookie sul sito. Se un attacco
rendesse necessario un controllo di sicurezza (la verifica «non sono un robot»), potrebbe impostare il cookie
tecnico cf_clearance, che ricorda per un tempo breve (di norma 30 minuti) che la verifica è stata
superata: è essenziale e non richiede il consenso.
L'app. L'app non usa alcun SDK pubblicitario, di analytics o di tracciamento fra app. I soli conteggi anonimi (vedi la tabella qui sopra) li fa l'app stessa, senza SDK di terzi, senza identificativi e senza salvare nulla sul tuo dispositivo. Non legge l'identificativo pubblicitario del dispositivo (IDFA su iOS, ID pubblicitario su Android) e non mostra mai la richiesta di App Tracking Transparency, perché non c'è nulla su cui chiedertelo. Oltre alle librerie di accesso di Google e Apple, che servono solo ad accedere quando le scegli, l'app incorpora due SDK di terze parti, entrambi strettamente necessari e nessuno dei due pubblicitario o di misurazione. Il primo è quello di monitoraggio degli errori descritto nella Sezione 15 (Sentry), necessario a mantenere l'app funzionante e sicura: registra crash ed errori, mai le tue spese, i tuoi scontrini o le tue foto. Il secondo è RevenueCat, che gestisce abbonamenti e acquisti in-app (Sezione 9): riceve l'identificativo pseudonimo del tuo account (prima dell'accesso, un identificativo anonimo che genera lui), mai la tua email, la conferma d'acquisto emessa da Apple o Google (prodotto, prezzo, date, identificativo della transazione) e i dati tecnici che gli servono per funzionare (piattaforma e versioni di sistema e app, lingua, paese dello store, indirizzo IP della richiesta), perché quello che hai pagato si sblocchi su ogni dispositivo dove accedi. Nessuno dei due legge l'identificativo pubblicitario del tuo dispositivo, e nessuno dei due viene usato per misurare come usi l'app o per profilarti. L'app conserva inoltre informazioni sul tuo dispositivo — la banca dati locale delle tue spese, le tue impostazioni e il token di accesso nell'archivio sicuro del sistema operativo — ed è ciò che permette a Flovvy di funzionare offline; quelle informazioni restano sul tuo dispositivo, salvo quando si sincronizzano con il tuo account.
L'identificativo del dispositivo. L'unico identificativo a livello di dispositivo che leggiamo è quello descritto nella tabella qui sopra (dati tecnici e diagnostici). Lo usiamo soltanto per tenere sincronizzato il tuo account fra i tuoi dispositivi (per esempio perché una scansione iniziata su un telefono venga raccolta da uno solo) — mai per tracciarti o profilarti attraverso altre app o altri siti, mai come impronta anti-abuso e mai condiviso con un circuito pubblicitario.
Se aggiungiamo altro. A parte i conteggi anonimi descritti nella tabella qui sopra — numeri aggregati, senza alcun identificativo e senza nulla salvato sul tuo dispositivo — qualunque altro strumento di analytics o simile, sul sito o nell'app, lo attiveremo solo con il tuo consenso preventivo e libero, con «rifiuta» facile quanto «accetta» e la possibilità di cambiare idea; e aggiorneremo questa sezione — con l'elenco esatto, il fornitore, la finalità, la durata e se è essenziale — prima che entri in funzione, non dopo. Se l'elenco dei cookie del sito cambia, il banner ti chiede di nuovo la scelta. Le stesse informazioni, con le istruzioni per gestire i cookie dal browser, sono anche nella pagina Cookie Policy.
Non usiamo i tuoi dati per finalità di marketing, per profilazione o per decisioni automatizzate che producano effetti giuridici o similmente significativi (Sezione 12).
Quando scansioni uno scontrino, l'immagine e/o il testo estratto vengono inviati ai servizi di intelligenza artificiale di Google Cloud — Vertex AI per la strutturazione e Cloud Vision per l'OCR — per riconoscere voci, importi e categorie. Questo trattamento avviene all'interno dell'Unione europea (endpoint UE di Vertex AI e di Cloud Vision), quindi non c'è alcun trasferimento fuori dall'Unione per l'IA e l'OCR. Lo stesso Google Cloud europeo è usato per l'inserimento vocale, l'assistente IA e il confronto fra liste della spesa. Gira su un piano a pagamento in cui, secondo le condizioni del fornitore, i dati non vengono usati per addestrare i modelli; Google agisce come responsabile del trattamento. Per individuare gli abusi dei suoi servizi, Google sottopone le richieste a controlli automatici: solo una richiesta segnalata da quei controlli può essere conservata da Google per un periodo limitato, nell'Unione, ed esaminata dal suo personale, al solo scopo di verificare l'abuso. Le credenziali dei servizi di IA sono custodite solo sul nostro server, mai sul tuo dispositivo.
Una scansione non si interrompe quando chiudi l'app: prosegue sui nostri server, e ciò che è stato letto dallo scontrino resta lì in attesa che la tua app venga a raccoglierlo. Quella copia in attesa contiene il testo letto dallo scontrino e le voci e gli importi ricavati, mai la fotografia, e ha vita breve — vedi la Sezione 11.
Se uno scontrino non viene letto bene e scegli di mandarcelo a support@flovvy.app, lo usiamo solo per provare e correggere la lettura: lo guardiamo noi e lo facciamo rileggere dallo stesso sistema che usa l'app (Google Cloud, nell'Unione europea: vedi questa Sezione e la Sezione 9). Non lo usiamo per addestrare nessun modello.
La base giuridica è il tuo consenso, prestato con l'atto stesso di mandarlo. Decidi tu se mandare uno scontrino e non sei mai tenuto a farlo: questa sezione sta qui perché tu sappia cosa succede prima di decidere.
Quello che conserviamo è la foto e il testo che ne abbiamo letto, dentro il banco di prova con cui misuriamo lo scanner. Ci resta al massimo 24 mesi dal giorno in cui lo riceviamo, poi lo cancelliamo. Scrivi a support@flovvy.app quando vuoi e lo cancelliamo.
Non mandarci scontrini di farmacia, di visite mediche o altri che dicono qualcosa sulla tua salute o su altri dati particolari (art. 9 GDPR, vedi la Sezione 5): per questi il gesto di mandarceli non basta come consenso, e non li usiamo. Ogni scontrino lo guardiamo prima di usarlo: se ne contiene, lo cancelliamo subito, senza passarlo allo scanner e senza tenerlo. In generale non mandarci scontrini che preferiresti non condividere: uno scontrino dice più di un totale, cioè dove eri, quando e cosa hai comprato.
Quando una scansione non riesce bene, per esempio i prodotti non tornano con il totale, possiamo mettere da parte il testo letto da quello scontrino (ciò che ha letto l'OCR e ciò che ha risposto l'AI) per capire cosa non ha funzionato e migliorare la lettura. Quella copia non contiene il tuo nome né la tua email: è legata al tuo account solo da un identificativo interno, che ci serve per cancellarla. La guardiamo solo noi e la teniamo al massimo 90 giorni; la cancelliamo prima se cancelli l'account, se revochi il consenso «Funzioni AI» o se ti opponi (qui sotto). Non la usiamo per addestrare alcun modello.
Nel banco di prova con cui misuriamo lo scanner la copia intera non entra mai: entra al più un estratto minimo, cioè le sole righe che mostrano il problema, senza intestazione, data, ora, totale, pagamento né alcun identificativo. Un estratto così non si riferisce a nessuno, quindi non viene toccato dalla cancellazione del tuo account.
Restano fuori gli scontrini in categoria Salute e quelli di cui non si è potuta stabilire la categoria. Come per le statistiche dei prezzi (Sezione 6), il filtro lavora sulla categoria assegnata dall'AI, quindi è una regola, non una garanzia: se troviamo comunque informazioni sulla salute, cancelliamo subito quella copia.
Per verificare cosa dice davvero lo scontrino possiamo guardarne anche la foto, solo se hai scelto di salvare le foto degli scontrini (Sezione 5), senza conservarne una copia per questo scopo.
Base giuridica: il nostro legittimo interesse a migliorare la lettura degli scontrini, per te e per tutti gli altri utenti (art. 6(1)(f)). Puoi opporti in qualunque momento scrivendo a support@flovvy.app (art. 21): da quel momento i tuoi scontrini non vengono più messi da parte, e quelli già messi da parte vengono cancellati.
Alcuni contenuti che affidi alle funzioni di IA possono rivelare il tuo stato di salute (per esempio lo scontrino di una farmacia) o un'altra categoria particolare di dati ai sensi dell'art. 9 GDPR (per esempio le convinzioni religiose). Per questo l'app chiede due consensi distinti, facoltativi, mai preselezionati e revocabili in ogni momento:
Con il solo consenso «Funzioni AI» la foto viene usata temporaneamente per leggerla e non viene conservata; aggiungendo il salvataggio, viene conservata per il backup e per l'accesso da più dispositivi. Il consenso «Funzioni AI» copre anche la conservazione del dettaglio dei prodotti, comprese le voci che correggi o aggiungi a mano nel dettaglio, e dei report dei confronti fra liste. Quando il testo di un consenso cambia in modo sostanziale, l'app ti chiede di riconfermarlo, e finché non lo fai le funzioni che ne dipendono restano ferme.
Il testo che scrivi tu. Nelle descrizioni e nelle note delle spese puoi scrivere quello che vuoi, anche informazioni sulla salute (per esempio «visita dal cardiologo»). Quel testo resta dove l'hai messo: lo conserviamo e lo sincronizziamo per te, ma non lo leggiamo, non lo analizziamo e non lo mandiamo a nessun sistema di IA, salvo l'unico caso, coperto dal consenso «Funzioni AI», descritto nel paragrafo successivo. Per questo non ti chiediamo un consenso apposito: non ci sarebbe niente da fermare se lo negassi. Lo proteggiamo comunque come un dato sensibile (Sezione 15).
Cosa arriva comunque all'IA, solo se usi le funzioni di IA. Con il consenso «Funzioni AI», e solo per capire cosa chiedi o per classificare ciò che scansioni o detti, all'IA arrivano anche i nomi che hai dato a categorie, sottocategorie, conti ed etichette, e il nome delle liste che confronti: mai importi. L'assistente riceve anche la lingua dell'app, la tua valuta, la data della tua prima spesa, i paesi da cui vengono più spesso i tuoi scontrini (o, se gli scontrini sono pochi, il paese che hai scelto nell'app) e quanti scontrini con il dettaglio dei prodotti hai in ciascun anno. Delle sottocategorie di serie l'assistente riceve sempre l'elenco completo, lo stesso per tutti, e non quali usi. Se usi l'assistente, le sue risposte precedenti, senza importi, tornano al modello perché capisca la domanda successiva, e possono contenere il nome di una spesa.
Revoca del consenso. Puoi revocare l'uno o l'altro consenso in qualsiasi momento da Menu → Privacy e dati → Consensi. Revocando «Funzioni AI» le funzioni di IA si disattivano (puoi sempre inserire le spese a mano) e l'app cancella subito, sul dispositivo e nel cloud, il dettaglio dei prodotti già archiviato e i report dei confronti fra liste della spesa, oltre allo storico dell'assistente che sta sul dispositivo. Sul dispositivo dove revochi, l'app elimina anche le proprie copie automatiche del database e ti propone di eliminare quelle che hai salvato tu: se le tieni, contengono ancora il dettaglio. Di ogni spesa restano importo, data, descrizione, conto, categoria, sottocategoria, etichette e la foto, se ne hai autorizzato il salvataggio. Le liste della spesa restano come sono, anche i prodotti che ci hai aggiunto da uno scontrino: sono contenuti che hai creato tu, con un tuo gesto. Revocando il salvataggio delle foto, quelle già conservate vengono cancellate dal dispositivo e dal cloud. La revoca vale per tutto l'account: gli altri dispositivi collegati fanno la stessa cancellazione la prossima volta che si collegano ai nostri server, comprese le loro copie automatiche del database, e te lo dicono; per le copie che hai salvato tu su uno di loro, l'app te lo chiede lì. Tutto questo vale anche per le tue righe nei gruppi condivisi. In un gruppo condiviso le foto degli scontrini di ciascun membro seguono il suo consenso: senza il tuo consenso al salvataggio delle foto il tuo dispositivo non scarica e non mostra nemmeno le foto degli altri membri, e revocandolo vengono cancellate anche le copie già presenti sul tuo dispositivo (nel cloud restano, col consenso di chi le ha salvate). Il dettaglio dei prodotti di uno scontrino acquisito da un altro membro è stato prodotto col suo consenso e resta visibile nel gruppo anche senza il tuo. Vieni avvisato prima e puoi esportare i tuoi dati (Sezione 13). Non usiamo l'IA per individuare o mascherare automaticamente i farmaci.
Dalle singole voci degli scontrini scansionati con il dettaglio dei prodotti costruiamo statistiche aggregate e anonime sui prezzi — per esempio il prezzo medio di un prodotto presso un dato esercente, in un dato mese e in un dato paese. Lo scopo è poterti dire se quello che hai pagato è in linea con il mercato, e alimentare i confronti di prezzo.
Queste statistiche vivono in una banca dati fisicamente separata, ospitata nell'Unione europea, che l'app non legge mai e che non contiene alcun identificativo: nessun identificativo utente, nessuno pseudonimo, nessun identificativo dello scontrino, nessuna foto e nessuna traccia di quando hai scansionato. Una riga descrive un acquisto, non una persona. Contiene il paese, il mese, l'esercente, il prodotto e il prezzo (come stampato e convertito in euro), più la categoria e, dove lo scontrino le riporta, la quantità e l'unità di misura; e due indicatori tecnici: come è stata prodotta la riga e la data del lotto notturno che l'ha scritta.
Del momento dell'acquisto viene registrato il mese, mai il giorno. La data del lotto è un'altra cosa: è condivisa da tutte le righe scritte la stessa notte e non dice nulla su quando una singola persona abbia fatto la spesa. Le righe vengono scritte in ordine casuale, così le voci di uno stesso scontrino non possono essere ricomposte, e non esiste alcuna chiave che permetta a noi — o a chiunque altro — di risalire da una statistica a te o alla tua spesa.
Medie di spesa per paese. Possiamo calcolare anche la spesa media per paese e categoria, così l'app può dirti come si colloca la tua. In quel caso il calcolo avviene sui dati di spesa già presenti nel tuo account — non viene creato alcun nuovo archivio di dati personali — e si conserva solo il risultato aggregato, mai i valori individuali che lo compongono. Un risultato viene conservato solo se poggia su almeno 20 persone distinte.
Base giuridica. Produrre una riga anonima significa comunque leggere uno scontrino, che è un dato personale: quel passaggio ha quindi bisogno di una base giuridica, ed è il nostro legittimo interesse (art. 6(1)(f)) a conoscere i prezzi di mercato per poter offrire questa funzione, insieme all'art. 5(1)(b) e all'art. 89, che consentono l'ulteriore trattamento a fini statistici in presenza di garanzie adeguate — garanzie che sono esattamente le misure descritte qui sopra. Per questo non chiediamo il tuo consenso, e non ci basiamo sul consenso ex art. 9 descritto nella Sezione 5, che riguarda la scansione in sé e non è toccato da nulla di tutto questo.
Per essere precisi anziché rassicuranti: questo è un ulteriore uso di dati che ci hai già dato. È un uso leggero — nessun nuovo archivio di dati personali, nessun nuovo periodo di conservazione, nessun trasferimento, e il risultato anonimo non è più un dato personale — ma non è «niente», e preferiamo dirlo piuttosto che sostenere il contrario.
Il tuo diritto di opposizione (art. 21). Puoi opporti in qualunque momento, senza dover motivare e senza perdere alcuna altra funzione, da Menu → Privacy e dati → Statistiche anonime → «Non usare i miei dati per le statistiche». Da quel momento i tuoi scontrini smettono di alimentare l'archivio dei prezzi e le tue spese restano fuori da qualunque media. In un gruppo condiviso, l'opposizione di un solo membro esclude le spese condivise dell'intero gruppo.
Per i consensi ex art. 9 e per la conferma dei 18 anni teniamo un registro dei consensi (il tuo identificativo, il tipo di consenso, se è stato dato, revocato o confermato, data e ora, la versione e la lingua esatte del testo mostrato e dove è avvenuto) al solo scopo di dimostrare il consenso ai sensi dell'art. 7. È conservato per tutta la vita dell'account.
Cosa succede quando cancelli l'account. Il registro è l'unica prova di che cosa hai accettato e quando. Se lo cancellassimo insieme al tuo account non ci resterebbe nulla da mostrare qualora quel consenso venisse messo in discussione — e chi lo metterebbe in discussione saresti proprio tu. Per questo ne conserviamo una versione ridotta per 5 anni dopo la cancellazione dell'account, per il nostro legittimo interesse a poter dimostrare il consenso se venisse contestato (art. 6(1)(f) e, per i consensi ex art. 9, art. 9(2)(f) GDPR) — uno dei casi in cui l'art. 17(3)(e) GDPR esclude la cancellazione (accertamento, esercizio o difesa di un diritto in sede giudiziaria) — e poi la cancelliamo automaticamente. Sopravvive soltanto: quale consenso, se sia stato dato, revocato o confermato, la versione e la lingua del testo che ti è stato mostrato, la data e l'ora, e un'impronta unidirezionale del tuo indirizzo email — calcolata con una chiave segreta custodita sul server, quindi non reversibile — che è ciò che ci permette di ritrovare le tue registrazioni se tu o un'autorità ce le chiedete. Il tuo identificativo utente viene rimosso e, per i Termini e per questa informativa, non conserviamo nemmeno una copia del testo, perché il testo esatto di ogni versione è archiviato a parte e in modo permanente (Sezione 17). Per tutte le altre registrazioni — i consensi ex art. 9, la conferma dei 18 anni e l'approvazione specifica descritta qui sotto — il testo esatto che ti è stato mostrato viene invece conservato, perché non è archiviato da nessun'altra parte: senza, la registrazione proverebbe che hai accettato qualcosa, ma non che cosa.
Lo stesso registro annota anche quando hai accettato i Termini di servizio e quando ti è stata presentata questa informativa: la versione, la data, la lingua e dove è avvenuto. Per questi due documenti conserviamo un riferimento alla versione, non una copia del testo, che è identico per tutti ed è archiviato una volta sola, separatamente, a un indirizzo permanente (Sezione 17).
Accettare i Termini è un atto contrattuale, non un consenso ai sensi dell'art. 6(1)(a); prendere atto di questa informativa è la registrazione del fatto che sei stato informato, non un'approvazione. Nessuno dei due incide sui consensi ex art. 9 qui sopra, che restano separati e revocabili in ogni momento.
Se usi Flovvy per scopi riferibili alla tua attività imprenditoriale, commerciale, artigianale o professionale, ti viene proposta anche una casella separata per approvare specificamente alcune clausole dei Termini, come richiede l'art. 1341, comma 2, del codice civile. È facoltativa — per i consumatori non cambia nulla — ed è registrata come annotazione a sé, distinta dall'accettazione dei Termini, perché la norma vuole che siano due atti separati. Per questa annotazione conserviamo il testo esatto che ti è stato mostrato, perché è quello che elenca le clausole approvate. È un atto contrattuale, non un consenso ai sensi del GDPR.
I nuovi iscritti ricevono un bonus una tantum di 10 crediti AI, pensato per essere disponibile una volta per persona. Per impedire che la stessa persona lo richieda più volte cancellando e ricreando un account, conserviamo — per un massimo di 6 mesi dalla cancellazione — soltanto un'impronta unidirezionale del tuo indirizzo email, mai l'indirizzo in chiaro.
Questa impronta è pseudonima: non può essere ricondotta alla tua email, non viene mai usata per profilarti, tracciarti o contattarti, e viene confrontata solo quando un nuovo account richiede i crediti di benvenuto e nelle indagini sugli abusi descritte qui sotto. È cancellata automaticamente allo scadere dei 6 mesi.
Se l'impronta corrisponde, puoi comunque registrarti e usare l'app subito: solo i crediti di benvenuto restano indisponibili per quel periodo. Una corrispondenza, da sola, non viene mai trattata come un illecito — se ne sei toccato per un motivo legittimo, scrivi a support@flovvy.app e te li abilitiamo.
La prova gratuita la concede lo store, non noi. La prova del piano Plus (1 mese sull'App Store, 30 giorni su Google Play) è l'offerta introduttiva dell'abbonamento: la concedono Apple o Google quando sottoscrivi, e sono loro a stabilire chi ne ha diritto secondo le proprie regole. Per questa finalità non trattiamo nessun dato tuo: nessuna impronta del tuo account Apple o Google, nessuna impronta del tuo dispositivo, nessuna verifica da parte nostra. Se lo store non ti offre la prova, la decisione è sua: noi non possiamo vederne né cambiarne l'esito.
Indagini su abusi seri. C'è un ulteriore caso in cui consultiamo l'impronta dell'email: quando stiamo indagando su un abuso automatizzato, massivo o coordinato — account creati con uno script, un bot o un emulatore, oppure crediti di benvenuto e codici regalo accumulati su più account. Lì la usiamo per stabilire quanto si estende un singolo abuso, e gli account che risultano farne parte possono essere sospesi o chiusi ai sensi della Sezione 9 dei Termini di servizio. Se adottiamo una di queste misure, sul tuo account ne annotiamo la data e il motivo, che restano finché esiste l'account. Non sospendiamo né chiudiamo un account sulla sola base di una corrispondenza. Base giuridica: il nostro legittimo interesse a prevenire gli abusi del servizio e a proteggerne gli altri utenti (art. 6(1)(f)); puoi opporti in qualunque momento (art. 21) e puoi contestare qualsiasi misura adottata nei tuoi confronti scrivendoci.
Ci avvaliamo dei seguenti fornitori, che agiscono come responsabili del trattamento per nostro conto, ciascuno sulla base di un accordo ai sensi dell'art. 28 GDPR. Fanno eccezione le ultime due righe: Google e Apple, per l'accesso, e gli store, per i pagamenti, agiscono come titolari autonomi, secondo le proprie condizioni e informative:
| Fornitore | Ruolo | Ubicazione / trasferimento |
|---|---|---|
| Supabase | Banca dati e archiviazione dei file (backend) | Regione UE (eu-central-1); per gli accessi di assistenza e manutenzione della società di Singapore del fornitore (Supabase Pte. Ltd) e del suo personale, Clausole Contrattuali Standard |
| Google Cloud | IA e OCR degli scontrini, voce, assistente IA e confronto delle liste — Vertex AI e Cloud Vision, tramite service account | UE — endpoint UE di Vertex AI e di Cloud Vision (residenza dei dati nell'Unione) |
| RevenueCat | Gestione di abbonamenti e acquisti in-app | Fuori dall'UE; Clausole Contrattuali Standard e accordo sul trattamento |
| Cloudflare | Hosting e protezione del sito flovvy.app (pagine statiche); tratta gli indirizzi IP delle richieste nei propri log di accesso e sicurezza | Rete globale; Clausole Contrattuali Standard e accordo sul trattamento |
| Google (Analytics) | Statistiche di visita del sito, solo con il tuo consenso | Fuori dall'UE (Stati Uniti); EU-US Data Privacy Framework e Clausole Contrattuali Standard |
| Sentry | Monitoraggio di crash ed errori | Fornitore statunitense; ingestione nell'UE; Clausole Contrattuali Standard e accordo sul trattamento |
| Zoho | Casella di posta di support@flovvy.app: le email che ci scrivi e i loro allegati | Data center nell'UE; Clausole Contrattuali Standard per gli eventuali accessi da fuori UE |
| Google / Apple | Accesso con Google o Apple | Secondo le condizioni del fornitore |
| Store (Google Play / App Store) | Gestione dei pagamenti (venditore, merchant of record) | Secondo le condizioni dello store |
Non vendiamo i tuoi dati personali e non li usiamo per pubblicità di terze parti. Comunichiamo dati alle autorità pubbliche solo quando la legge lo impone (art. 6(1)(c) GDPR): per esempio su ordine vincolante di un'autorità giudiziaria o amministrativa, o quando il Digital Services Act ci obbliga a segnalare il sospetto di un reato grave (Termini di servizio, Sezione 12). Se in futuro aggiungeremo un altro fornitore di IA, aggiorneremo questa informativa, firmeremo il relativo accordo e valuteremo ogni trasferimento fuori dall'Unione prima che entri in funzione.
Quando condividi un gruppo con il codice invito, chi entra vede tutte le spese del gruppo, compresi i prodotti degli scontrini dettagliati, che possono rivelare per esempio l'acquisto di medicinali. L'app te lo ricorda prima della condivisione. Gli altri membri ricevono questi dati per tua scelta.
Se qualcuno ti ha aggiunto a un gruppo con il tuo nome. In un gruppo si possono aggiungere partecipanti scrivendo solo il nome, anche se non usano Flovvy. Di queste persone conserviamo soltanto il nome, così come è stato scritto, collegato alle spese del gruppo: nessun recapito, nessun contatto, nessun altro dato. Lo facciamo per far funzionare la divisione delle spese (legittimo interesse, art. 6(1)(f)). Non avendo modo di raggiungerti, ti informiamo con questa sezione (art. 14(5)(b) GDPR), e l'app invita chi ti aggiunge ad avvisarti. Il nome resta finché esiste il gruppo (Sezione 11). Puoi chiederci di vederlo, correggerlo o cancellarlo, oppure opporti, scrivendo a support@flovvy.app: indicaci il nome del gruppo o chi ti ha aggiunto, così possiamo trovarlo. Su richiesta sostituiamo il nome con una dicitura neutra.
I dati del tuo account e delle tue spese sono conservati nell'Unione europea (Supabase), e anche il trattamento di IA e OCR avviene nell'Unione (Google Cloud — endpoint UE di Vertex AI e di Cloud Vision): non c'è quindi alcun trasferimento fuori dall'Unione per il trattamento con IA. Alcuni fornitori — quello della banca dati (Supabase), per gli accessi di assistenza e manutenzione della sua società di Singapore, il monitoraggio degli errori (Sentry), la gestione degli acquisti (RevenueCat), la rete che serve il sito (Cloudflare), le statistiche di visita del sito se le accetti (Google Analytics) e, per eventuali accessi di assistenza, la posta (Zoho) — possono trattare dati fuori dall'Unione (tipicamente negli Stati Uniti), sulla base di garanzie adeguate come le Clausole Contrattuali Standard della Commissione europea e l'accordo sul trattamento dei dati di ciascun fornitore.
I dati dell'account e del registro delle spese sono conservati per tutta la vita dell'account e cancellati o anonimizzati alla chiusura (non eliminati a scadenza); i log tecnici sono conservati per un periodo limitato e scadono automaticamente.
| Dato | Conservazione |
|---|---|
| Dati dell'account (spese, entrate, conti, budget, categorie, etichette, liste, profilo) | Vita dell'account; cancellati o anonimizzati alla chiusura (a cascata). |
| Fotografie degli scontrini (cloud) | Vita dell'account, oppure fino alla revoca del consenso «Salvataggio delle foto degli scontrini» — poi cancellate dal cloud e dal dispositivo. In futuro potremmo introdurre un periodo massimo di conservazione per le foto più vecchie: se lo faremo, il periodo sarà indicato qui e annunciato in anticipo nell'app (vedi Termini di servizio, Sezione 16). |
| Dettaglio estratto dagli scontrini (singole voci) e report dei confronti fra liste | Vita dell'account, oppure fino alla revoca del consenso «Funzioni AI» — poi cancellati (dello scontrino resta la sola intestazione). |
| Risultato temporaneo di una scansione con IA | Una scansione prosegue sui nostri server anche se chiudi l'app, quindi ciò che è stato letto dallo scontrino — il testo letto e le voci e gli importi ricavati, mai la fotografia — resta in coda finché la tua app non lo raccoglie. Viene cancellato 24 ore dopo che la tua app l'ha raccolto e comunque entro 7 giorni, raccolto o no. |
| Registro dei crediti AI | Vita dell'account; cancellato alla chiusura. Le ricevute degli acquisti di crediti restano presso lo store (riga «Acquisti e abbonamenti»). |
| Registro d'uso dell'IA (per ogni richiesta all'IA: la funzione, il modello, la quantità di testo elaborata, la durata, l'esito e l'orario — mai il contenuto) | 13 mesi, per riscontrare i nostri costi con le fatture del fornitore, poi cancellato automaticamente. Se cancelli l'account, viene subito staccato da te. |
| Codici regalo di crediti AI | 12 mesi dopo che il codice è stato riscattato, ripreso da chi l'ha creato o annullato, poi cancellati automaticamente. Un codice che nessuno ha usato (gli altri possono riscattarlo per 30 giorni) resta finché chi l'ha creato non si riprende i crediti o non cancella l'account. Se cancelli l'account, i codici che hai creato vengono cancellati e il tuo nome viene tolto da quelli che hai riscattato. |
| Registro dei consensi | Vita dell'account. Dopo la cancellazione dell'account se ne conserva una versione ridotta (tipo di consenso, azione, versione e lingua del testo, data e un'impronta unidirezionale dell'email calcolata con chiave segreta — nessun identificativo utente; il testo mostrato si conserva solo per le annotazioni che non sono archiviate altrove, vedi la Sezione 7) per 5 anni, per difendersi da contestazioni sul consenso (art. 17(3)(e) GDPR), poi cancellata automaticamente. Vedi la Sezione 7. |
| Acquisti e abbonamenti | Per il tempo richiesto dalla normativa contabile e fiscale e per gestire contestazioni e rimborsi (anche diversi anni). Lo storico degli acquisti resta presso lo store e presso RevenueCat, legato all'identificativo pseudonimo del tuo account, mai alla tua email o al tuo nome. Dopo la cancellazione dell'account non conserviamo più nulla che colleghi quell'identificativo a te, salvo per i tempi brevi dei log tecnici e delle copie di sicurezza indicati in questa tabella. La nostra copia viene cancellata con l'account. |
| Statistiche di visita del sito (Google Analytics) | Dati conservati da Google per 2 mesi; cookie _ga fino a 6 mesi; la tua scelta sui cookie per 6 mesi, poi ti viene richiesta. |
| Log tecnici e diagnostici (Sentry) | 30 giorni dalla ricezione, poi cancellati automaticamente dal fornitore. |
| Conteggi anonimi | 24 mesi, poi cancellati automaticamente. Sono numeri aggregati per giorno: non contengono dati che ti riguardano. |
| Log di accesso dei server e del sito | Server dell'app (Supabase): fino a 7 giorni, poi cancellati automaticamente. Sito (Cloudflare): noi non teniamo log di accesso; nel pannello vediamo statistiche aggregate e, solo per le richieste fermate dai filtri di sicurezza, i dettagli con l'indirizzo IP delle ultime 24 ore. Cloudflare conserva inoltre un piccolo campione casuale e pseudonimizzato del traffico, fino a 12 mesi, per migliorare la protezione della sua rete. |
| Sessioni di accesso (indirizzo IP e tipo di app o browser) | Finché la sessione è aperta: si cancellano quando esci dall'account o quando cancelli l'account. Una sessione che non usi per 90 giorni si chiude da sola e si cancella entro le 24 ore successive (succede, per esempio, se disinstalli l'app senza uscire): per chiuderla subito, esci dall'account prima di disinstallare l'app. |
| Registro dei tuoi dispositivi (identificativo del dispositivo, ultimo accesso e ultima sincronizzazione) | 60 giorni dall'ultimo accesso di quel dispositivo, poi cancellato; prima, con la cancellazione dell'account. |
| Impronta anti-abuso dell'indirizzo email | 6 mesi dalla cancellazione dell'account, poi cancellata automaticamente. Vedi la Sezione 8. |
| Gruppi condivisi rimasti orfani | Eliminati 30 giorni dopo che non vi sono più membri collegati attivi, o dopo 90 giorni senza un abbonamento attivo che copra il gruppo. |
| Codici di invito ai gruppi | Validi 30 giorni, poi scadono; chi li ha creati può revocarli prima. |
| Elementi cancellati («tombstone») | Quando cancelli qualcosa, resta traccia della cancellazione finché ognuno dei tuoi dispositivi non l'ha sincronizzata: senza quella traccia, un dispositivo rimasto offline farebbe riapparire l'elemento cancellato. Un dispositivo di cui non abbiamo notizie da più di 90 giorni smette di trattenerla, e un processo notturno sui nostri server esegue questa pulizia anche se smetti di aprire l'app. |
| Email a support@flovvy.app | Corrispondenza ordinaria: 24 mesi dall'ultimo messaggio. Richieste di esercizio dei diritti (Sezione 13) e segnalazioni di contenuti illeciti o di abusi, con le nostre risposte: 5 anni, per poter dimostrare come le abbiamo gestite. Poi cancellate. |
| Copie di sicurezza del server | I dati che cancelli possono restare nelle copie di sicurezza cifrate della nostra banca dati per un massimo di 7 giorni, poi vengono sovrascritti. Le copie servono solo a ripristinare il servizio dopo un guasto. Se mai dovessimo ripristinarne una, prima salveremmo le cancellazioni e le revoche dei consensi avvenute dopo quella copia e poi le riapplicheremmo; quelle che non potessimo riapplicare te le segnaleremmo nell'app, perché tu possa ripeterle. |
| Conversazione con l'assistente | Solo sul tuo dispositivo, mai sui nostri server: le ultime 10 domande con le risposte, separate per ciascun account che accede da quel dispositivo. Si cancella quando la svuoti dall'assistente, quando revochi il consenso «Funzioni AI» (su tutti i tuoi dispositivi), quando cancelli l'account da quel dispositivo o con «Elimina database del dispositivo». |
| Audio delle spese dettate e delle domande a voce | Non conservato: cancellato subito dopo l'invio all'IA e comunque entro 1 ora, se l'invio non parte. |
| Scontrini messi da parte per migliorare la lettura | Solo il testo letto dallo scontrino e la risposta dell'AI, senza il tuo nome né la tua email, mai la foto: fino a 90 giorni, poi cancellati; prima, se cancelli l'account, revochi il consenso «Funzioni AI» o ti opponi. Nel banco di prova può restarne solo un estratto minimo, che non si riferisce a nessuno (Sezione 4). |
| Scontrini che ci mandi per email | Foto e testo letto: al massimo 24 mesi dal giorno in cui li riceviamo, poi cancellati; prima, se ce lo chiedi. Quelli con dati sulla salute li cancelliamo subito (Sezione 4). |
| Dati locali sul tuo dispositivo | Conservati finché non disinstalli l'app o non li elimini dall'app: «Elimina database del dispositivo» (disponibile quando non sei collegato) rimuove i dati, ma non le copie del database conservate in «Backup nell'app», che si eliminano da quell'elenco. La cancellazione dell'account dall'app rimuove entrambi su quel dispositivo (Sezione 14). |
Non adottiamo decisioni automatizzate che producano effetti giuridici o similmente significativi nei tuoi confronti (art. 22). Le funzioni di IA ti aiutano a registrare e a capire le tue spese; non prendono decisioni su di te.
Hai il diritto di accedere ai tuoi dati, di rettificarli, di cancellarli, di riceverne una copia portabile (nell'app è disponibile un'esportazione completa in formato JSON, art. 20), di limitare il trattamento o di opporti (compresi i trattamenti fondati sul nostro legittimo interesse descritti nelle Sezioni 2, 4, 6, 7, 8, 9 e 15) e di revocare il consenso in qualunque momento, senza che ciò pregiudichi i trattamenti già svolti. Per esercitare questi diritti scrivi a support@flovvy.app. Hai inoltre il diritto di proporre reclamo all'autorità di controllo competente (in Italia, il Garante per la protezione dei dati personali).
Puoi cancellare il tuo account e tutti i dati associati in qualunque momento, direttamente dall'app da Menu → Opzioni cancellazione dati → Elimina account, oppure via email. Le istruzioni complete sono nella pagina Cancella account. La cancellazione passa da una funzione server sicura che elimina i tuoi file dall'archivio, anonimizza le tue voci nei gruppi condivisi (il tuo nome diventa «Utente eliminato»; le spese restano, così i saldi degli altri membri non cambiano, mentre il dettaglio dei prodotti degli scontrini che hai acquisito viene tolto), passa i gruppi di cui sei proprietario a un altro membro (vedi la fine di questa sezione) e propaga la cancellazione a tutte le tue tabelle (spese, conti, categorie, budget, etichette, liste, profilo, acquisti, abbonamenti e crediti). A parte le copie di sicurezza e i log tecnici descritti qui sotto, sui nostri server non resta alcuna traccia del tuo identificativo utente.
Sul dispositivo da cui cancelli, l'app elimina anche i dati che conserva lì, comprese le foto degli scontrini e le copie del database, e torna allo stato di prima installazione. Sugli altri tuoi dispositivi collegati allo stesso account l'app non raggiunge più i tuoi dati nel cloud, ma ciò che è salvato su quei dispositivi, comprese le copie del database, resta lì finché non lo elimini da quei dispositivi o non disinstalli l'app. L'app non lo carica su un nuovo account se rientri con la stessa email.
Sui nostri server restano solo due elementi, e nessuno dei due contiene il tuo identificativo utente: l'impronta unidirezionale della tua email calcolata con chiave segreta, usata contro gli abusi (Sezione 8), conservata per 6 mesi, e la versione ridotta del registro dei consensi (Sezione 7), conservata per 5 anni; entrambi vengono poi cancellati automaticamente, e nessuno dei due ci consente di contattarti. Oltre a questi, per tempi limitati: i dati cancellati possono restare nelle copie di sicurezza cifrate del server per un massimo di 7 giorni; i log tecnici e i rapporti su errori e crash, che possono contenere il tuo identificativo utente, si cancellano da soli entro 30 giorni (Sezioni 11 e 15); le email che hai scritto all'assistenza e gli scontrini che ci hai mandato sono conservati per i tempi indicati nella Sezione 11; e lo storico degli acquisti resta presso lo store e presso RevenueCat, legato all'identificativo pseudonimo del tuo account, per i tempi della normativa contabile e fiscale (Sezione 11). I membri di un gruppo condiviso possono vedere lo storico delle spese del gruppo, comprese le voci che aggiungi tu; dopo che avrai lasciato il gruppo o cancellato il tuo account, le tue voci restano a loro in forma anonimizzata. Se sei proprietario di un gruppo condiviso e lo lasci o cancelli l'account, la proprietà passa a un altro membro che ha un account: prima a chi ha un piano Pro attivo, altrimenti a chi è nel gruppo da più tempo; se non c'è nessuno, il gruppo resta senza proprietario e viene eliminato come indicato nella Sezione 11. Quando lasci un gruppo, il dettaglio dei prodotti degli scontrini che vi hai acquisito resta collegato al tuo account sui nostri server: è così che viene tolto anche dal gruppo se in seguito revochi il consenso «Funzioni AI» o cancelli l'account. I codici di invito ai gruppi scadono e possono essere revocati.
Applichiamo, fra le altre: archivi privati per le immagini degli scontrini e per gli avatar, con controllo di accesso per singolo utente e collegamenti firmati a scadenza; cifratura a riposo della banca dati e dell'archivio; credenziali dei servizi di IA custodite solo lato server; operazioni sensibili eseguite solo da funzioni server privilegiate; monitoraggio degli errori con ingestione nell'Unione (descritto qui sotto); e protezioni sul dispositivo che controlli tu (blocco dell'app con PIN o biometria e funzione «Nascondi gli importi»). I dati dell'account sono pseudonimi, non anonimi, e restano pienamente tutelati come dati personali.
Monitoraggio degli errori. I rapporti su crash ed errori sono inviati a
Sentry con ingestione nell'Unione (de.sentry.io) e sono collegati al tuo
account: vi alleghiamo l'identificativo pseudonimo del tuo account — l'ID utente interno, non la tua
email, il tuo nome o il contenuto di uno scontrino — così che un crash possa essere ricondotto alla sessione
che lo ha prodotto e così che una richiesta di accesso o di cancellazione possa essere soddisfatta anche per
questi rapporti. Oltre all'errore e ai dati del dispositivo, un rapporto riporta le ultime azioni registrate
prima dell'errore (per esempio i tocchi sui pulsanti o una richiesta ai nostri server). I rapporti non contengono alcun contenuto di scontrini, alcun contenuto di spese e
alcuna fotografia: l'SDK gira con sendDefaultPii disattivato, le tracce della console
vengono scartate prima dell'invio e il tracciamento delle prestazioni è spento; nel nostro account Sentry la memorizzazione dell'indirizzo IP è
disattivata, la rimozione automatica dei dati sensibili (come password e numeri di carta) è obbligatoria e i
rapporti si cancellano da soli dopo 30 giorni. Nelle build di sviluppo il
monitoraggio degli errori è disattivato del tutto. Base giuridica: il nostro legittimo interesse alla sicurezza
e alla stabilità del servizio (art. 6(1)(f)). Le nostre schede negli store dichiarano la stessa cosa: la
sezione Sicurezza dei dati di Google Play indica gli ID utente come condivisi con Sentry, e
l'etichetta privacy dell'App Store indica i dati sui crash come collegati a te.
Notifica di violazione dei dati. Se si verifica una violazione dei dati personali che probabilmente ti riguarda, notificheremo l'autorità di controllo competente entro il termine stabilito dall'art. 33 GDPR e, qualora la violazione possa comportare un rischio elevato per i tuoi diritti e le tue libertà, informeremo anche te senza ingiustificato ritardo — direttamente oppure, nei casi consentiti dall'art. 34(3) GDPR, mediante una comunicazione pubblica di efficacia equivalente.
Flovvy è destinata a utenti di età pari o superiore a 18 anni; ti chiediamo di confermarlo durante la configurazione iniziale. Non è un limite imposto dal GDPR, che in Italia permette di acconsentire da soli ai servizi online dai 14 anni (art. 2-quinquies del Codice privacy): è una nostra scelta, perché l'app può trattare dati sensibili, come gli scontrini di farmacia, e gestisce acquisti. Non raccogliamo consapevolmente dati di persone sotto i 18 anni: se scopriamo che un account appartiene a una persona minorenne lo chiudiamo e ne cancelliamo i dati, e un genitore o tutore può chiedercelo scrivendo a support@flovvy.app.
Possiamo aggiornare questa informativa. Ogni versione ha una data, e la versione in vigore è pubblicata su flovvy.app/privacy — l'indirizzo presente nell'app punta sempre lì, quindi ti mostra sempre il testo corrente.
Ogni versione pubblicata resta inoltre disponibile a un proprio indirizzo permanente, nella forma
flovvy.app/legal/privacy-AAAA-MM-GG. Quelle pagine non vengono mai modificate né rimosse: sono
ciò che ti permette di verificare in seguito che cosa esattamente ti era stato mostrato in un dato giorno.
Quando una modifica è significativa, l'app ti chiede di prendere atto della nuova versione prima di continuare a usarla. Anche se non lo fai, puoi comunque esportare tutti i tuoi dati e cancellare il tuo account: sono tuoi diritti e non dipendono mai dall'accettazione di alcunché.
Per qualsiasi richiesta in materia di privacy: support@flovvy.app.