Privacy

Per usare Tacca serve un account (con un codice d’invito puoi entrare anche come ospite, senza email: vedi «Se entri come ospite»). I conti li fa il telefono, quindi l'app funziona anche senza rete, ma quello che scrivi viene copiato sul nostro server appena c'è connessione: è quello che tiene i tuoi gruppi al sicuro anche se il telefono si rompe, e che li porta alle persone con cui li condividi.

Raccogliamo la tua email per farti accedere e i dati dei tuoi gruppi per sincronizzarli. Niente pubblicità, niente profilazione, niente rivendita di dati: non è una promessa di buone intenzioni, è che non esiste codice per farlo.

La sezione Personale è facoltativa. Conti, movimenti, budget, ricorrenze e scontrini personali restano su questo dispositivo e non vengono sincronizzati con il nostro server. Le spese ricorrenti di un gruppo sono un’altra cosa: stanno nel gruppo e si sincronizzano come le altre sue spese (vedi «Cosa raccogliamo»). Il CSV serve a consultare i dati; il backup JSON permette di ripristinarli e comprende le foto degli scontrini personali. Quando esporti o condividi un file, scegli tu dove conservarlo e con chi condividerlo. Il file contiene dati leggibili: proteggilo. Il backup personale non comprende le foto degli scontrini dei gruppi. Uscire dall’account, svuotare i dati o disinstallare l’app può eliminare questi dati locali: conserva un backup prima di farlo.

Il titolare del trattamento è IPGS ENERGY SRL, con sede in Via Ugo Ojetti 7, 20151 Milano, Italia, partita IVA 07006920966.

Per qualunque domanda o per esercitare i tuoi diritti puoi scrivere a privacy@usetacca.com. Rispondiamo entro trenta giorni, come previsto dal Regolamento europeo.

Le statistiche d’uso, se le accetti, le elabora Supabase per nostro conto: lo trovi in «Le statistiche d’uso».

Prima di accedere, i contenuti che scrivi restano nel database sul telefono. Il gruppo d’esempio non viene sincronizzato. Se scegli le statistiche facoltative, possono partire soltanto gli eventi minimi descritti nella sezione dedicata, anche durante il benvenuto; mai i contenuti che scrivi.

Finché non accedi e finché non acconsenti a nulla, non parte nessuno dei contenuti che scrivi. Restano alcune richieste tecniche che l’app fa da sola e che, come ogni connessione, mostrano l’indirizzo IP al servizio contattato: Expo Updates, per gli aggiornamenti dell’app; Frankfurter, per i cambi di valuta (solo le valute richieste); e, se dai il permesso della posizione, Open-Meteo, per il meteo della home. Dopo l’accesso partono, in più, quelle elencate qui sotto: le cose che servono a farti accedere e a portare i tuoi gruppi a te e alle persone con cui li condividi, due piccoli registri tecnici sul nostro server (vedi «I dati tecnici sul nostro server») e — solo se dici di sì — le statistiche d’uso (vedi «Le statistiche d’uso»), che vale anche per chi non ha un account.

Se apri un codice d’invito senza registrarti, l’app ti fa entrare come ospite: sul nostro server nasce un utente anonimo, senza email né password, con un identificativo casuale. Serve a reclamare il tuo posto nel gruppo, a sincronizzarlo e a farti arrivare gli avvisi del gruppo, se concedi il permesso per le notifiche. Per il resto, quello che dice questo documento vale anche per te.

Come ospite puoi stare in al massimo due gruppi; per entrare in un terzo devi registrarti. Se ti registri, l’identificativo resta lo stesso e i gruppi restano con lui: non c’è niente da trasferire. Se non ti registri e cambi telefono, non c’è modo di ritrovarli, perché non c’è un’email a cui ricondurti.

Se hai concesso il permesso per le notifiche, tre giorni dopo il tuo ingresso l’app programma sul telefono — senza che passi dal nostro server — un promemoria che ti ricorda che puoi registrarti. È uno solo, e sparisce se nel frattempo ti registri.

Un accesso da ospite non ha un comando per essere eliminato dall’app, e non lo cancelliamo da soli dopo un periodo di inattività: uscire o disinstallare l’app non lo toglie dal server. Se vuoi che sparisca, scrivi a privacy@usetacca.com dicendoci in quale gruppo sei e con che nome, così lo riconosciamo: lo eliminiamo entro trenta giorni. Se ti registri, da quel momento puoi usare «Elimina l’account» come chiunque altro.

L'account serve a tre cose: tenere i tuoi gruppi al sicuro fuori da questo telefono, ritrovarli su un altro, e condividerli con altre persone. Per farlo raccogliamo:

La sincronizzazione è per account, non per gruppo: appena c'è rete, ogni gruppo che hai su questo telefono viene copiato sul server, anche quello che non hai mai condiviso con nessuno. Non c'è un interruttore per tenerne uno fuori, e preferiamo scriverlo qui piuttosto che lasciartelo scoprire.

È il rovescio di quello che l'account ti dà: se il telefono si rompe o lo cambi, i tuoi conti sono ancora lì. Quello che le altre persone possono leggere resta però limitato ai gruppi di cui fanno parte — un gruppo solo tuo lo vedi solo tu — e a farlo rispettare sono le regole del database, non l'app.

Due fotografie possono uscire da questo telefono, e le scegli tu: il ritratto del tuo profilo e la copertina di un gruppo. Le prendi dalla galleria — la copertina puoi anche scattarla sul momento — e prima che partano l’app le rimpicciolisce e le comprime qui, senza mandare l’originale. Il ritratto lo vedono le persone che condividono un gruppo con te; la copertina la vede chi è in quel gruppo. Le togli quando vuoi dal profilo o dal gruppo, e spariscono anche dal server; se cancelli l’account o il gruppo se ne vanno con lui.

Le foto degli scontrini e il testo riconosciuto restano sul dispositivo. Il riconoscimento viene eseguito localmente, con Apple Vision su iOS e Google ML Kit su Android; su Android il modello lo scarica Google Play Services, che invia a Google statistiche d’uso e di funzionamento, ma non le foto né il testo letto. Su iOS 26, se hai attivato Apple Intelligence, le righe lette — non la foto — passano anche al modello linguistico di Apple che gira sul telefono, per proporre totale, esercente, data e categoria: nessun dato esce dal dispositivo e non usiamo il Private Cloud Compute di Apple. Sono solo proposte: prima di creare la spesa le controlli e le correggi. Nei gruppi sincronizziamo i dati della spesa confermata, non la foto né il testo integrale dello scontrino. La foto viene conservata nella bozza o allegata alla spesa sul dispositivo e viene rimossa svuotando i dati locali o uscendo dall’account. Su iPhone, se hai attivo il backup iCloud o fai un backup sul computer, i dati locali di Tacca — foto degli scontrini comprese — entrano nel tuo backup, che resta tuo: noi non lo vediamo.

Se lo scontrino è la conferma di un alloggio Airbnb o Booking, la foto non viene conservata, nemmeno sul telefono: serve solo a leggere struttura, indirizzo, date e importo, e appena letta viene scartata. Il codice di prenotazione e l’eventuale PIN che la conferma riporta non li salviamo da nessuna parte.

Se un domani offriremo un archivio in cloud a pagamento, sarà una scelta esplicita e separata, e questo documento verrà aggiornato prima che esista.

La fotocamera serve a leggere i QR degli inviti e quelli di pagamento, scattare copertine di gruppo e fotografare scontrini. Dei QR leggiamo il codice senza conservare immagini; un IBAN o un link di pagamento letto resta sullo schermo finché lo guardi, e non lo salviamo né lo inviamo a nessuno. Se tocchi «Incolla un IBAN» leggiamo gli appunti del telefono in quel momento e solo per quello. Il microfono non viene utilizzato.

La galleria si apre quando scegli una foto per il profilo, una copertina o uno scontrino: riceviamo solo il file selezionato. Il sensore di movimento nasconde gli importi quando metti il telefono a faccia in giù; i dati del movimento non vengono salvati né inviati.

La posizione è facoltativa e si chiede solo «mentre usi l’app»: se la attivi, quando apri la home leggiamo dove sei per mostrarti temperatura e cielo sotto il saluto. Le coordinate, arrotondate a circa un chilometro, vanno a Open-Meteo per la previsione, e il nome della città lo ricava il servizio di localizzazione del telefono (Apple su iPhone, Google su Android). Non le salviamo sul nostro server, non finiscono nelle spese e non le vede nessun altro; non leggiamo mai la posizione in sottofondo. L’indirizzo di un alloggio letto da una conferma è un’altra cosa: per metterlo sulla carta del gruppo, il servizio di localizzazione del telefono (Apple su iPhone, Google su Android) lo trasforma in coordinate. È un indirizzo, non la tua posizione: su Android il sistema chiede comunque il permesso della posizione per farlo, ma dove sei non lo leggiamo. Puoi spegnerla in qualsiasi momento dal Profilo o dalle impostazioni del telefono.

Alcuni promemoria nascono dal tempo che passa — un debito che resta aperto, il riepilogo di fine mese — e li costruisce e li programma il tuo telefono, senza che passino da nessuna parte.

Gli avvisi su quello che fanno gli altri invece sì, e va detto per esteso. Se hai un account e concedi il permesso, il telefono registra presso di noi un token del dispositivo, insieme a piattaforma, lingua, fuso orario e preferenze di silenzio. Quando qualcuno aggiunge o corregge una spesa in un gruppo che condividi, il nostro server prepara il testo e lo consegna a Expo, che lo instrada ad Apple (su iPhone) o Google (su Android) per il recapito.

Dal nostro server nascono anche due promemoria legati alle date di un gruppo: il giorno in cui finisce — «siete tornati, aggiungete le ultime spese» — e qualche giorno dopo, se i conti sono rimasti aperti. Li prepara il server e non il telefono perché devono arrivare anche a chi l’app non la apre da giorni, e viaggiano per la stessa strada degli altri avvisi.

Nel testo della notifica ci sono il nome di battesimo di chi ha fatto l’azione, il nome del gruppo, la descrizione della spesa e gli importi. Il messaggio contiene anche un identificativo tecnico interno per aprire la schermata giusta nell’app. Mai cognomi, mai il tuo indirizzo email, mai un IBAN o un contatto di pagamento — perché una notifica si legge su uno schermo bloccato, in mano a chiunque lo raccolga.

Rimuoviamo il token quando esci dall’account o elimini l’account; se l’app viene disinstallata, Expo può segnalarci in seguito che il dispositivo non è più registrato e allora lo rimuoviamo. Puoi spegnere ogni tipo di avviso — o tutti insieme — da «Notifiche» dentro «Tu». Senza il permesso non registriamo il token e Tacca funziona per intero lo stesso.

Se il tuo account ha un indirizzo email, ti scriviamo quando qualcuno entra nel tuo account: è il modo in cui ti accorgi in tempo di un accesso che non hai fatto tu. Non ti scriviamo per l’accesso con cui l’account nasce, né due volte in un giorno per lo stesso dispositivo dallo stesso indirizzo IP.

Nell’email ci sono i dati tecnici che il nostro server riceve comunque a ogni accesso: l’indirizzo IP e il tipo di dispositivo (app per iPhone o Android, oppure browser e sistema), con l’ora scritta nel fuso del tuo telefono. Non ricaviamo il luogo dall’IP. L’email la consegna Resend.

L’IP e il dispositivo restano trenta giorni e poi si cancellano da soli. La base è il nostro legittimo interesse, e il tuo, a tenere al sicuro l’account (art. 6.1.f del GDPR).

Il feedback è facoltativo. Ogni messaggio diventa un ticket numerato: lo legge il nostro team di assistenza insieme all’identificativo dell’account e alla sua email, per gestire la richiesta, e può risponderti dal pannello di amministrazione. Le risposte ti arrivano per email, con il numero del ticket nell’oggetto, e se rispondi a quell’email la tua risposta entra nello stesso ticket. Se dopo una nostra risposta non scrivi per 48 ore, il ticket si chiude da solo e ti avvisiamo con un’email; se rispondi dopo, si riapre. Le email dei ticket le consegna e le riceve Resend. Se scegli di allegare la diagnostica, controlla il testo prima dell’invio: gli ultimi messaggi tecnici potrebbero contenere informazioni che hai inserito nell’app.

Per distribuire gli aggiornamenti dell’app usiamo Expo Updates: il suo servizio può ricevere i dati tecnici necessari a individuare la versione compatibile. Per la conversione visuale fra valute l’app interroga Frankfurter con le sole valute richieste; non invia gruppi, spese o identificativi dell’account, ma il fornitore della rete può comunque vedere i normali dati tecnici della richiesta, come l’indirizzo IP.

Sono facoltative e spente finché non dici sì. Puoi scegliere all’inizio del benvenuto e cambiare idea in Tu › Privacy e dati. Senza consenso non raccogliamo eventi, neppure retroattivamente; Tacca funziona comunque.

Raccogliamo le statistiche direttamente sul nostro server Supabase, senza Google Analytics. Il campione comprende solo i dispositivi che acconsentono.

Non raccogliamo importi, descrizioni, categorie personali, nomi, email, foto, posizione o contatti attraverso questi eventi. Le foto profilo restano dati del profilo, separati dalle statistiche.

Supabase tratta questi dati per conto nostro. L’infrastruttura può ricevere dati tecnici di rete, compreso l’IP: non promettiamo che nessun fornitore lo veda. Per limitare gli abusi conserviamo per due giorni un HMAC giornaliero dell’IP, non l’IP negli eventi.

Se sei autenticato, il server verifica temporaneamente il ruolo e la classificazione dell’account per escludere staff, test e demo. Non conserva l’identificativo dell’account negli eventi; i rapporti del pannello contengono aggregati.

Il consenso è facoltativo e revocabile. Spegnendo le statistiche l’invio si ferma subito e chiediamo la cancellazione degli eventi associati al codice di questo dispositivo. Senza rete la richiesta rimane in attesa e si riprova alla successiva apertura in primo piano. Una nuova attivazione usa un codice nuovo. Gli eventi scadono comunque dopo 90 giorni, con pulizia giornaliera.

Se hai un account, il nostro server (Supabase, nell’Unione europea) tiene due piccoli registri tecnici. Non richiedono un consenso a parte e non servono a profilarti.

Dispositivi. Per ogni installazione con cui accedi: un identificativo casuale dell’installazione, il tuo account, la piattaforma, il modello del telefono (per esempio «iPhone 16»), la versione e la build dell’app, la versione del sistema, l’identificativo dell’aggiornamento in uso, la prima e l’ultima apertura e lo scarto fra l’orologio del telefono e quello del server. Servono a capire quali versioni sono in circolazione — per avvisarti o bloccare quelle troppo vecchie — e a diagnosticare gli errori di data. Restano finché esiste l’account, e si cancellano con lui; le installazioni che non vediamo da 12 mesi le eliminiamo.

Rifiuti di sincronizzazione. Quando il server rifiuta una modifica: il tuo account, il tipo di dato e di operazione, il motivo del rifiuto, la versione dell’app e la data. Mai il contenuto della modifica. Li conserviamo 90 giorni.

La base è il nostro legittimo interesse (art. 6.1.f del GDPR) a mantenere il servizio funzionante e sicuro, a diagnosticare i guasti e a garantire che le versioni dell’app e il server restino compatibili.

Nell’app non c’è nessuna verifica anti-robot: per entrare bastano email e password, e gli abusi li frenano i limiti al numero di tentativi che il nostro server accetta da uno stesso indirizzo di rete.

Sul sito, la pagina da cui si chiede la cancellazione dell’account usa invece Turnstile, di Cloudflare: un controllo automatico che distingue una persona da un programma. Per farlo, Cloudflare osserva alcuni segnali tecnici della richiesta — non il contenuto di quello che scrivi, solo cose come l'indirizzo IP e le caratteristiche del dispositivo — secondo il suo Addendum sulla privacy di Turnstile (www.cloudflare.com/turnstile-privacy-policy). Serve a impedire che qualcuno usi quella pagina per far arrivare in massa codici a indirizzi altrui.

Questo documento vale anche per usetacca.com, dove forse lo stai leggendo adesso. Il sito è fatto di pagine già scritte, senza nessun processo acceso dietro. Di suo non mette cookie e non carica niente da altri: l’unica eccezione sono le statistiche del sito, descritte qui sotto, che partono solo se le accetti. Non sono quelle dell’app, che stanno sul nostro server, senza Google, e hanno il loro consenso (vedi «Le statistiche d’uso»).

Quando apri il sito (se le statistiche sono attive) compare un banner con tre scelte: Accetta, Rifiuta o Scegli. Accetta e Rifiuta hanno lo stesso peso e lo stesso posto; Scegli apre il pannello con l’interruttore delle statistiche. Finché non scegli, o se rifiuti, non viene caricato nessuno script di Google e non viene salvato nessun cookie di misurazione (Google Consent Mode: tutti i segnali restano su «negato»). La scelta resta nel tuo browser, non sui nostri server, per sei mesi: poi te la chiediamo di nuovo. La cambi quando vuoi dal link «Cookie» in fondo a ogni pagina: revocarla ferma la misurazione e cancella i cookie di Analytics.

Se accetti, carichiamo Google Analytics 4, di Google Ireland Limited, che ci dice, in forma aggregata, quante persone visitano quali pagine e da che tipo di dispositivo. La base è il tuo consenso (art. 6.1.a del GDPR e art. 122 del Codice privacy, secondo le Linee guida cookie e altri strumenti di tracciamento del Garante). I dati possono essere trasferiti anche a Google LLC, negli Stati Uniti, con le garanzie previste dal Regolamento: la decisione di adeguatezza del Data Privacy Framework UE-USA o, in alternativa, le clausole contrattuali standard; puoi chiederci copia delle garanzie scrivendo a privacy@usetacca.com. Dentro Analytics i dati si conservano per il periodo impostato nella nostra proprietà Google Analytics, che non supera 14 mesi. Non usiamo Analytics per la pubblicità né per profilarti.

Fino al 9 ottobre 2026 il sito permetteva di lasciare un indirizzo email per sapere quando Tacca sarebbe uscita (la «lista d’attesa»); da quel giorno non raccoglie più indirizzi. Chi ne ha lasciato uno in passato l’ha fatto sulla base del proprio consenso (art. 6.1.a del GDPR). Gli indirizzi già raccolti stanno in una tabella che nessuno può leggere dall’esterno, insieme alla lingua in cui la persona stava leggendo e al giorno in cui l’ha lasciato; niente nome, niente IP. Non li usiamo per altro né li diamo a nessuno: se e quando manderemo l’email dell’annuncio, sarà una sola, e subito dopo cancelliamo l’indirizzo. Per chiederne la cancellazione prima, scrivi a privacy@usetacca.com: la facciamo entro trenta giorni.

Trattiamo i dati dei gruppi sincronizzati per eseguire il servizio che ci hai chiesto (art. 6.1.b del GDPR): senza di essi la sincronizzazione non può funzionare.

Trattiamo la tua email per lo stesso motivo: è lo strumento con cui ti autentichiamo. I dati dei feedback volontari sono trattati per gestire la tua richiesta e per la sicurezza e il miglioramento del servizio; dove necessario, la base è il nostro legittimo interesse (art. 6.1.f del GDPR).

Alcune cose le trattiamo soltanto sulla base del tuo consenso (art. 6.1.a del GDPR): le statistiche d’uso dell’app e quelle del sito con Google Analytics, la posizione e le notifiche (che dai con il permesso del sistema del telefono) e, per chi ne aveva lasciato uno in passato, l’indirizzo della lista d’attesa del sito. Puoi revocare ogni consenso in qualsiasi momento (art. 7.3 del GDPR), dalle impostazioni dell’app o del telefono, dal banner del sito o scrivendoci: la revoca non toglie validità a ciò che è avvenuto prima.

Le statistiche d’uso, se le accetti, si basano sul tuo consenso (art. 6.1.a del GDPR), che puoi revocare in ogni momento da «Tu › Privacy e dati». I due registri tecnici sul server (dispositivi e rifiuti di sincronizzazione) si basano sul nostro legittimo interesse (art. 6.1.f) a mantenere il servizio funzionante e sicuro, a diagnosticare i guasti e a garantire la compatibilità fra app e server.

Le foto del profilo e dei gruppi, i metodi di pagamento e il budget sono scelte tue e li togli quando vuoi: li trattiamo per eseguire il servizio che ci hai chiesto (art. 6.1.b). Il nickname serve a farti riconoscere nei gruppi, e lo trattiamo per lo stesso motivo. Gli inviti diretti si basano sul nostro legittimo interesse (art. 6.1.f) a far funzionare gli inviti fra persone che si conoscono; puoi opporti in qualsiasi momento spegnendoli dalle impostazioni delle notifiche, alla voce «Inviti diretti». Le amicizie si basano sullo stesso legittimo interesse; puoi opporti chiudendo «Accetta richieste» in «Tu › Tabmates», e togliere un amico quando vuoi.

Dare il tuo indirizzo email è obbligatorio per avere un account: senza non possiamo farti accedere né sincronizzare i gruppi (come ospite non serve). Tutto il resto è facoltativo e Tacca funziona anche senza: foto, posizione, notifiche, statistiche, feedback, budget e metodi di pagamento.

Non ti profiliamo e non prendiamo decisioni automatizzate sul tuo conto.

I dati applicativi sincronizzati stanno su Supabase, ospitato su infrastruttura Amazon Web Services. Il database è configurato nella regione eu-west-1, Irlanda.

Supabase agisce come responsabile del trattamento: tratta i dati per conto nostro e secondo le nostre istruzioni, e non per finalità proprie.

Ogni tabella è protetta da regole di accesso applicate dal database stesso: una persona autenticata può leggere soltanto i dati dei gruppi di cui fa parte. Non è un controllo scritto nell'app — che si potrebbe aggirare — ma nel database.

Per l’accesso usiamo Supabase Auth e, se li scegli, Google e Apple; i codici di accesso via email Supabase Auth li spedisce con Resend. Resend consegna tutte le nostre email di servizio: i codici di accesso, gli avvisi di accesso, le ricevute di cancellazione dell’account, le risposte ai ticket di feedback (e riceve le tue risposte) e le comunicazioni di servizio. Per la verifica anti-robot del sito e per ospitare il sito e il pannello di amministrazione usiamo Cloudflare; per notifiche e aggiornamenti, Expo e, per il recapito push, Apple o Google; per le statistiche d’uso dell’app, se le accetti, Supabase; per quelle del sito, se le accetti, Google Analytics; per il meteo, Open-Meteo; per i cambi di valuta, Frankfurter; per leggere gli scontrini su Android, Google, tramite Google Play Services, che scarica il modello di riconoscimento e riceve statistiche d’uso e di funzionamento (non le foto né il testo letto).

Il database sta nell’Unione europea. Alcuni fornitori di servizio — l’email (Resend), le notifiche (Expo, Apple, Google), l’accesso con Google e Apple, Cloudflare e, sul sito, Google Analytics — possono trattare dati tecnici anche fuori dallo Spazio economico europeo, con le garanzie previste dal Regolamento (decisioni di adeguatezza, come il Data Privacy Framework UE-USA, o clausole contrattuali standard) e secondo le proprie condizioni: per questo non dichiariamo un’assenza assoluta di trasferimenti verso paesi terzi. Puoi chiederci copia delle garanzie scrivendo a privacy@usetacca.com. In mezzo non c’è nessuna rete pubblicitaria.

Le altre persone leggono solo i dati dei gruppi di cui fanno parte, e a farlo rispettare sono le regole del database. Dalla nostra parte, ai dati possono accedere solo le persone autorizzate di IPGS ENERGY SRL, e solo per assistenza, sicurezza e funzionamento del servizio.

Lo fanno da un pannello di amministrazione, ospitato su Cloudflare e protetto da un accesso con credenziali. Questo è ciò che il pannello mostra:

Il pannello non mostra i nomi dei tuoi gruppi, né le descrizioni o gli importi delle singole spese, né niente di ciò che scrivi dentro i gruppi: non guardiamo il contenuto dei tuoi gruppi.

L’accesso diretto al database, fuori dal pannello, è riservato agli amministratori tecnici del servizio e serve solo per la manutenzione e per risolvere i guasti.

Ogni consultazione dell’anagrafica degli account da parte del personale (la scheda di un account, l’esportazione dell’elenco) e le altre azioni degli amministratori sul pannello vengono registrate — chi, cosa, su quale account, quante righe — in un registro che non si può modificare e che si conserva 24 mesi, poi si cancella.

I dati di un gruppo sincronizzato restano finché il gruppo esiste. Quando l’eliminazione dall’app va a buon fine, il profilo, l’email, i token dei dispositivi, i dispositivi registrati e i feedback associati vengono cancellati dal server; le richieste ricevute via email sono gestite nei termini previsti dalla legge.

Gli eventi delle statistiche interne si conservano per 90 giorni, con pulizia giornaliera, o fino alla cancellazione richiesta alla revoca. La revoca riguarda questo dispositivo; sugli altri dispositivi va effettuata separatamente. I dispositivi tecnici non visti da 12 mesi si eliminano; i rifiuti di sincronizzazione restano 90 giorni.

Attenzione a una cosa, perché è una conseguenza del funzionare in gruppo: le spese che hai inserito in un gruppo condiviso restano visibili agli altri partecipanti anche dopo che tu sei uscito. Sono parte del loro storico contabile, non solo del tuo, e cancellarle unilateralmente falserebbe i conti di altre persone.

I ticket di feedback restano finché servono a gestire la richiesta e a mantenere uno storico di assistenza: la chiusura automatica dopo 48 ore li chiude ma non li cancella, e al momento non esiste una cancellazione automatica separata per questi messaggi.

Da "Tu → Dati" puoi svuotare questo telefono quando vuoi, ma è una pulizia locale: finché l'account esiste, i tuoi gruppi sono ancora sul server e tornano al primo collegamento. Per cancellarli davvero serve eliminare l'account, da "Tu → Profilo".

Gli indirizzi lasciati in passato sulla lista d’attesa del sito restano finché non ne chiedi la cancellazione scrivendo a privacy@usetacca.com (la facciamo entro trenta giorni) o finché non li usiamo per l’unica email dell’annuncio, dopo la quale li cancelliamo.

L’indirizzo IP e il dispositivo di un accesso restano trenta giorni, il tempo di mandarti l’avviso e di non ripeterlo; poi li cancelliamo in automatico.

Alcuni registri tecnici si puliscono da soli: la coda tecnica delle notifiche (con il testo dell’avviso e il destinatario) sette giorni dopo l’invio; un invito diretto a cui non si risponde scade dopo trenta giorni e da lì non si può più accettare; la richiesta di cancellazione dell’account e i dati della sua ricevuta (indirizzo, lingua, data) restano fino all’eliminazione dell’account e spariscono con lui. Il registro degli accessi del personale (vedi «Chi può accedere ai dati») si conserva 24 mesi.

Questo elenco è la parte più utile del documento, perché è dove le app di solito sono vaghe:

Sui dati che ci hai affidato puoi esercitare i diritti previsti dagli articoli 15-22 del GDPR: sapere quali dati abbiamo, ottenerne una copia, correggerli, cancellarli, limitarne il trattamento, opporti e portarli altrove in un formato leggibile. Puoi anche revocare in qualsiasi momento un consenso che ci hai dato (art. 7.3 del GDPR), senza che questo tolga validità a ciò che è avvenuto prima.

Per esercitarli scrivi a privacy@usetacca.com. Per la cancellazione non serve chiederlo: sta in "Tu → Profilo → Elimina l'account", e se non hai più l'app installata la puoi avviare da https://usetacca.com/it/cancella-account/: confermi un codice monouso inviato al tuo indirizzo email, poi ricevi una ricevuta. La richiesta è irreversibile e il cron cancella account e dati associati entro trenta giorni.

Quando cancelli l'account spariscono il tuo profilo, il tuo nickname, l'indirizzo email e gli identificativi dei tuoi dispositivi. Nei gruppi che hai condiviso con altre persone resta il tuo posto — un nome dentro un elenco di spese — senza più nessun account collegato: quelle spese sono anche loro, e le quote già divise devono continuare a tornare. I gruppi in cui non resta nessun altro vengono cancellati insieme all'account.

Se ritieni che stiamo trattando i tuoi dati in modo scorretto puoi rivolgerti al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all’autorità del paese in cui vivi — per esempio la CNIL in Francia o l’AEPD in Spagna.

Per registrarti devi avere almeno 14 anni, che è l'età prevista dalla legge italiana per acconsentire da solo al trattamento dei propri dati nei servizi digitali. Sotto quell'età serve il consenso di chi esercita la responsabilità genitoriale. Dove la legge del tuo paese fissa un’età più alta, vale quella.

Il gruppo d’esempio si può guardare senza account: in quel caso non ti chiediamo nessun dato e non c’è limite d’età.

Se cambiamo qualcosa in modo che conta per te — i dati che raccogliamo, chi li riceve, i tuoi diritti — ti scriviamo per email dicendo cosa cambia e, alla prossima apertura dell’app, ti chiediamo di accettare di nuovo i Termini e di prendere visione di questa informativa, che ti dice come trattiamo i dati e non è un consenso. Finché non confermi non puoi continuare a usare l’app con il tuo account. Per i ritocchi che non cambiano nulla di sostanziale, come un refuso, non ti scriviamo e non ti chiediamo niente. Non facciamo valere una modifica per il solo fatto di averla pubblicata.

Ogni versione porta la sua data, e quella a cui hai acconsentito resta registrata sul tuo dispositivo e, se hai un account, anche sul nostro server, con la data in cui l'hai accettata e il sistema del telefono (iOS o Android). Se elimini l'account, sparisce anche questa.