Informativa sulla privacy

Ultimo aggiornamento: 10 luglio 2026

The Pot (di seguito "l'app" o "il servizio") è un'applicazione web per la gestione delle piante in vaso, gestita direttamente dal titolare su un server privato. Questa informativa descrive in modo trasparente quali dati personali trattiamo, per quali finalità e con quali strumenti, in conformità con il Regolamento UE 2016/679 (GDPR) e il D.lgs. 196/2003 (Codice Privacy italiano).

1. Titolare del trattamento

Il servizio è gestito a titolo personale da:

• Andrea Ceriani
• Email di contatto: [email protected]

Per qualsiasi richiesta relativa al trattamento dei tuoi dati personali, inclusi i diritti elencati al §7, puoi scrivere direttamente a questa email.

2. Dati che raccogliamo

The Pot tratta i seguenti dati personali, solo se forniti direttamente da te o creati dal tuo uso del servizio:

2.1 Dati di registrazione

• Nome e cognome (per personalizzare l'interfaccia)
• Email (identifica il tuo account)
• Password (memorizzata come hash PBKDF2-HMAC-SHA256, mai in chiaro)

2.2 Dati forniti dal flow "Continua con Google" (opzionale)

Se scegli di accedere via Google OAuth, riceviamo dal tuo account Google: - Indirizzo email - Nome e cognome - Subject identifier Google (sub, un ID stabile non riconducibile pubblicamente a te)

Non chiediamo né riceviamo altri dati Google (no calendario, no contatti, no foto, no Drive, ecc.).

2.3 Dati operativi creati dall'uso del servizio

• Vasi e piante: nome, specie, sostrato, dimensioni, posizione (indoor/outdoor)
• Diario delle attività: irrigazioni, concimazioni, trattamenti, rinvasi, foto, note testuali
• Fitopatie: registrazioni di malattie o parassiti
• Eventi pianificati: scadenze e ricorrenze
• Posizione geografica: latitudine, longitudine e nome località (solo se la fornisci nel Profilo, serve per gli avvisi meteo)
• Preferenze: tema chiaro/scuro, opt-in alle notifiche push
• Foto inviate per identificazione automatica (opzionale): solo se attivi l'integrazione PlantNet (§5), le foto che carichi nelle finestre "Identifica con foto" (nuovo vaso o registra fitopatia) vengono trasmesse al servizio PlantNet per la sola durata dell'elaborazione (alcuni secondi). I dati nascosti della foto (in particolare la posizione GPS) vengono rimossi prima dell'invio. La foto non viene conservata né da The Pot né da PlantNet, a meno che tu non spunti l'opzione "Salva anche in galleria" nella finestra.

2.4 Dati tecnici minimi

• Cookie di sessione (session_id): tecnico, necessario per mantenere il login. Non profilante.
• Cookie OAuth temporaneo (goauth_pending): http-only, valido 10 minuti, usato solo durante il flow Google per prevenire attacchi CSRF.
• Indirizzo IP: solo nei log del server, conservato il tempo tecnico per la diagnostica. Non aggregato, non condiviso.

Non raccogliamo: dati di geolocalizzazione automatica dal browser, fingerprinting, cookie pubblicitari, cookie di terze parti, analytics di tracciamento.

3. Finalità del trattamento

I tuoi dati vengono trattati esclusivamente per:

1. Fornire il servizio: gestire il tuo account, salvare le tue piante e diario, mostrarti il calendario, gli avvisi meteo e le notifiche che hai richiesto.
2. Sicurezza: rilevare e prevenire abusi, mantenere la sessione, proteggere il tuo account.
3. Adempimenti di legge: solo se richiesto da autorità competenti in casi specifici.
4. Identificazione automatica di specie e fitopatie (opzionale, opt-in): se attivi l'integrazione PlantNet, le foto che carichi nelle finestre "Identifica con foto" vengono trasmesse al servizio terzo PlantNet (CIRAD/INRAE, Francia) per riconoscere la specie botanica o la malattia. Vedi §5 per i dettagli.
5. Consulenza personalizzata del Giardiniere Virtuale (opzionale, opt-in): se attivi la consulenza, quando chiedi all'assistente del tuo vaso i dati di quel vaso (soprannome scelto da te, specie, stato idrico calcolato, avvisi, eventuale diario e letture dei sensori) — più le eventuali foto che invii per la diagnosi, ripulite dei metadati EXIF/GPS prima dell'invio — vengono inviati al servizio terzo Anthropic (USA) per generare la risposta. Vedi §5 per i dettagli. Senza consenso l'assistente risponde solo su informazioni generali del catalogo.

Non profileremo né venderemo mai i tuoi dati. Non ci sono cookie pubblicitari, non c'è marketing automatizzato, non c'è AI training sui tuoi contenuti.

4. Base giuridica

Il trattamento si fonda su:

• Esecuzione del contratto (art. 6.1.b GDPR): per fornire il servizio che hai esplicitamente richiesto registrandoti.
• Consenso (art. 6.1.a GDPR): per le notifiche push (opt-in separato), per l'opzionale flow Google OAuth, per l'integrazione PlantNet (riconoscimento foto, opt-in separato revocabile in qualsiasi momento da Profilo → Impostazioni) e per la consulenza personalizzata del Giardiniere Virtuale (accesso in lettura ai dati dei tuoi vasi da parte dell'assistente, opt-in separato revocabile in qualsiasi momento da Profilo). Il trasferimento dei dati del vaso verso Anthropic (USA) avviene su questa base di consenso esplicito (art. 49.1.a GDPR per il trasferimento internazionale).
• Legittimo interesse (art. 6.1.f GDPR): per la sicurezza (rilevamento abusi, logging tecnico).

5. Condivisione con terze parti

I tuoi dati restano sul server privato del titolare: un server virtuale (VPS) noleggiato con contratto annuale da IONOS, con data center nell'Unione Europea, amministrato esclusivamente dal titolare ed esposto su internet tramite tunnel Cloudflare. Non vendiamo né cediamo dati a terzi. Sono coinvolti i seguenti soggetti, solo per le funzioni tecniche elencate:

Tutti i fornitori sopra sono conformi GDPR (IONOS è una società tedesca soggetta direttamente al GDPR, con accordo di trattamento dati incluso nel contratto di hosting; Google e Cloudflare via Data Processing Agreements EU-US Privacy Framework; Open-Meteo è GDPR-native in quanto basato in EU; PlantNet è GDPR-native essendo gestito da CIRAD e INRAE, enti pubblici di ricerca francesi). Il trasferimento verso Anthropic (USA), quando attivi la consulenza del Giardiniere, si fonda sul tuo consenso esplicito (art. 49.1.a GDPR). Trasferimenti verso paesi extra-UE limitati a Google, Cloudflare e Anthropic (USA).

6. Conservazione dei dati

• Account attivo: i tuoi dati restano disponibili finché il tuo account esiste.
• Cancellazione account: dal Profilo puoi eliminare il tuo account in modo definitivo (azione irreversibile). Tutti i dati associati (vasi, diario, foto, fitopatie, eventi, preferenze) vengono cancellati immediatamente dall'archivio e dal disco del server.
• Backup: l'archivio dei dati e le foto sono sottoposti a backup automatici quotidiani, conservati sullo stesso server. I backup vengono ruotati ogni 30 giorni, dopodiché i dati cancellati spariscono anche da lì.
• Log del server: massimo 30 giorni, poi ruotati e cancellati.

7. I tuoi diritti

Ai sensi degli articoli 15-22 GDPR hai diritto a:

• Accesso (art. 15): chiedere copia dei tuoi dati. Puoi scaricare l'archivio ZIP completo (vasi, diario, foto, ecc.) direttamente dal Profilo → "Esporta i miei dati". Niente pratiche da fare con noi.
• Rettifica (art. 16): modificare nome, cognome, email, password, posizione e tutti i contenuti del diario direttamente dall'app.
• Cancellazione (art. 17, "diritto all'oblio"): cancellazione totale dell'account self-service da Profilo → "Elimina account".
• Limitazione (art. 18) e opposizione (art. 21): scrivici a [email protected].
• Portabilità (art. 20): l'export ZIP del punto 1 contiene file JSON leggibili, importabili in altre applicazioni o conservabili come backup personale.
• Revoca del consenso (art. 7): per le notifiche push puoi disattivare da Profilo → Notifiche; per il collegamento Google da Profilo → Account Google → Scollega; per l'integrazione PlantNet da Profilo → Impostazioni → Integrazione PlantNet → Disattiva.
• Reclamo (art. 77): al Garante per la protezione dei dati personali (www.garanteprivacy.it).

8. Sicurezza

Adottiamo misure tecniche e organizzative ragionevoli per proteggere i tuoi dati:

• Password salvate solo come hash PBKDF2-HMAC-SHA256 con 600.000 iterazioni (raccomandazione OWASP 2023+) e salt random per ogni utente.
• Trasmissione cifrata via HTTPS / TLS (Cloudflare tunnel).
• Sessioni firmate in cookie http-only secure SameSite=Lax.
• OAuth state CSRF + PKCE S256 per il flow Google.
• Accesso al server limitato al solo titolare.

9. Minori

Il servizio non è destinato a minori di 14 anni. Non raccogliamo consapevolmente dati di minori. Se sei un genitore o tutore e ritieni che un minore abbia fornito dati, contattaci per la rimozione.

10. Modifiche a questa informativa

Eventuali aggiornamenti saranno pubblicati a questa stessa pagina con la data di "ultimo aggiornamento" in cima. Per modifiche sostanziali, sarai informato anche tramite la finestra "Cosa c'è di nuovo" al login.

11. Contatti

Per qualsiasi domanda su questa informativa o sul trattamento dei tuoi dati, scrivi a:

[email protected]

Risponderemo entro 30 giorni come previsto dal GDPR.