Informativa sulla Privacy

1. Chi siamo

Qrious Technologies Inc. è una Delaware C-Corporation con sede in 251 Little Falls Drive, Wilmington, DE 19808, USA. Gestiamo l'applicazione mobile QRIOUS, il sito qrious.social e i servizi correlati.

Per richieste relative alla privacy, ci contatti all'indirizzo privacy@qrious.social.

2. Ambito di applicazione

La presente informativa si applica sia all'applicazione mobile QRIOUS sia al sito qrious.social (collettivamente, il «Servizio»). qrious.social è la sede pubblica della nostra app: segue le stesse prassi in materia di privacy ed è il luogo di riferimento per i documenti legali relativi all'app.

Si applica a tutti gli utenti del Servizio indipendentemente dalla loro ubicazione, fermo restando che diritti aggiuntivi potranno applicarsi in base alla Sua giurisdizione (si veda I Suoi diritti più avanti).

3. Requisito di età

QRIOUS è destinato a utenti di età pari o superiore a 18 anni. Non raccogliamo consapevolmente dati personali da persone di età inferiore a 18 anni. Qualora venissimo a conoscenza del fatto che un utente è minorenne, provvederemo a eliminare tempestivamente il suo account e i dati ad esso associati. Se ritiene che un minore ci abbia fornito dati personali, La preghiamo di contattarci all'indirizzo privacy@qrious.social.

4. Dati che raccogliamo

Informazioni dell'account

Quando crea un account, raccogliamo il Suo indirizzo email, il numero di telefono, il nome, la data di nascita e il genere. Tali informazioni sono necessarie per fornire il Servizio e verificare la Sua idoneità.

Contenuti del profilo

È Lei a decidere cosa condividere nel Suo profilo. Ciò include foto, testo biografico e dettagli delle persone che crea per ciascuno dei sette contesti di QRIOUS (Romance, Community, Career, Adventure, Learn, Create e Family). Ogni persona è configurata da Lei in modo indipendente.

Dati di geolocalizzazione

Raccogliamo dati di geolocalizzazione per alimentare matching, scoperta e suggerimenti di locali. La posizione viene rilevata mentre l'app è in uso attivo. Il tracciamento della posizione in background non è attivo se non viene espressamente consentito nelle impostazioni del dispositivo. Può revocare le autorizzazioni alla geolocalizzazione in qualsiasi momento.

Dati sugli incontri

QRIOUS utilizza conferme tramite QR code (IRL Bridge) per verificare gli incontri di persona tra utenti. Raccogliamo i dati di conferma degli incontri (timestamp e utenti partecipanti) per calcolare i livelli di fiducia e migliorare la qualità dei match.

Informazioni sul dispositivo e tecniche

Raccogliamo automaticamente identificatori del dispositivo, versione del sistema operativo, versione dell'app, indirizzo IP e log di crash e diagnostica. Questi dati ci aiutano a mantenere, risolvere problemi e migliorare il Servizio.

Dati di utilizzo

Raccogliamo informazioni su come Lei interagisce con il Servizio: schemi di utilizzo delle funzionalità, cambi di contesto, interazioni di matching e dati di sessione. Questi dati sono utilizzati a fini di analisi e miglioramento del prodotto.

Comunicazioni

I messaggi che invia ad altri utenti tramite il Servizio vengono conservati per consentirne la consegna e fornire lo storico delle conversazioni. Anche le richieste di supporto e le comunicazioni con il nostro team vengono conservate.

Informazioni di pagamento

Se effettua acquisti tramite il Servizio, le transazioni di pagamento sono elaborate da Apple, Google o Stripe. Non vediamo né conserviamo mai il numero della Sua carta di credito, la data di scadenza o le credenziali di pagamento complete. Riceviamo dai nostri provider di pagamento solo informazioni limitate sulle transazioni (conferma del pagamento, livello di abbonamento, data di rinnovo, piattaforma di acquisto).

5. Dati che non raccogliamo

Vi sono alcuni dati che abbiamo deliberatamente scelto di non raccogliere né conservare:

• Il numero della Sua carta. I pagamenti transitano attraverso Apple, Google o Stripe. Non vediamo mai la carta in sé, soltanto la conferma che un acquisto è avvenuto.
• I Suoi contatti, il calendario o l'intera libreria fotografica. Non importiamo la Sua rubrica, non leggiamo il Suo calendario e non scansioniamo la Sua libreria fotografica. Le uniche foto che ci pervengono sono quelle che Lei sceglie espressamente di caricare nel Suo profilo.
• Dati biometrici. Non riceviamo mai il Suo Face ID o le Sue impronte digitali. I dati biometrici del dispositivo restano sul Suo dispositivo e sbloccano l'app localmente; non ci vengono mai trasmessi.
• Dati sanitari o di fitness. Non richiediamo né leggiamo dati da Apple Health, Google Fit, HealthKit o da qualsiasi altro archivio di dati sanitari presente sul Suo dispositivo.
• Navigazione cross-app o identificatori pubblicitari. Non utilizziamo l'iOS Advertising Identifier (IDFA) né l'Android Advertising ID per il tracciamento cross-app. Non vendiamo né condividiamo dati personali con reti pubblicitarie.
• Il contenuto dei Suoi messaggi a fini pubblicitari. Non analizziamo il contenuto delle Sue conversazioni per profilare la pubblicità o costruire un profilo dei Suoi interessi a uso di inserzionisti.

6. Come utilizziamo i Suoi dati

• Matching e scoperta: Per metterLa in contatto con altri utenti nei contesti di QRIOUS sulla base delle Sue persone, preferenze e posizione.
• Calcolo del livello di fiducia: Per determinare i livelli di fiducia a partire dagli incontri di persona confermati tramite IRL Bridge, migliorando la qualità e la sicurezza delle connessioni.
• Suggerimenti di locali: Per suggerire luoghi e locali rilevanti in base alla Sua posizione e alle Sue preferenze.
• Sicurezza e moderazione: Per rilevare e prevenire frodi, abusi, molestie e altre violazioni dei nostri termini di servizio.
• Analisi e miglioramento: Per comprendere come viene utilizzato il Servizio e per migliorare funzionalità, prestazioni ed esperienza utente.
• Comunicazioni: Per inviarLe notifiche relative al servizio, rispondere alle richieste di supporto e fornire aggiornamenti sul Servizio.
• Conformità normativa: Per rispettare leggi, regolamenti, procedimenti legali o richieste delle autorità applicabili.

7. Base giuridica del trattamento (GDPR)

Per gli utenti nello Spazio Economico Europeo, nel Regno Unito e in altre giurisdizioni che richiedono una base giuridica per il trattamento dei dati personali, ci fondiamo sulle seguenti basi:

• Consenso (Art. 6, par. 1, lett. a) GDPR): Lei presta il consenso al momento della creazione dell'account e all'attivazione di funzionalità opzionali quali il tracciamento della posizione in background o specifiche condivisioni di dati.
• Esecuzione del contratto (Art. 6, par. 1, lett. b) GDPR): Trattamento necessario per fornire il Servizio da Lei richiesto: gestione dell'account, matching, messaggistica e suggerimenti di locali.
• Legittimo interesse (Art. 6, par. 1, lett. f) GDPR): Trattamento necessario per i nostri legittimi interessi, inclusi sicurezza della piattaforma, prevenzione delle frodi, rilevamento degli abusi e analisi del servizio, ove tali interessi non siano prevalsi dai Suoi diritti.
• Obbligo legale (Art. 6, par. 1, lett. c) GDPR): Trattamento necessario per adempiere alle leggi applicabili, comprese le risposte a richieste legali valide provenienti da autorità di polizia o di vigilanza.

8. Servizi che utilizziamo

Siamo trasparenti su chi altro entra in contatto con i Suoi dati. Ciascun fornitore elencato di seguito ha un compito specifico, riceve solo ciò che gli serve ed è vincolato da un contratto di trattamento dei dati che vieta qualsiasi altro utilizzo.

• Supabase: database, autenticazione, archiviazione file. Conserva il Suo account, i dati di profilo, le foto e i contenuti dei messaggi. Il nostro progetto Supabase è ospitato su AWS us-east-1 (Virginia del Nord, Stati Uniti).
• Firebase Cloud Messaging (Google): notifiche push. Consegna le notifiche push al Suo dispositivo. Riceve un token del dispositivo, il payload della notifica e metadati temporali. Gestito da Google sull'infrastruttura Google Cloud.
• PostHog: analisi di prodotto. Registra eventi di utilizzo anonimizzati per aiutarci a capire quali funzionalità vengono usate e dove gli utenti incontrano difficoltà. Non inviamo a PostHog i contenuti dei Suoi messaggi, le foto o i dettagli del profilo.
• Sentry: segnalazione di crash ed errori. Quando l'app va in crash o incontra un errore imprevisto, Sentry riceve uno stack trace, lo stato dell'app e le informazioni del dispositivo (versione del sistema operativo, modello, versione dell'app) per aiutarci a diagnosticare il bug. Prima dell'invio, rimuoviamo i dati personali (email, contenuti dei messaggi, campi del profilo) dai report di errore. Sentry è ospitato negli Stati Uniti.
• RevenueCat: gestione degli abbonamenti. Gestisce lo stato dei Suoi abbonamenti Flash, Glow e Aura su iOS, Android e web. Riceve un ID utente anonimizzato, il livello di abbonamento, la data di rinnovo e la piattaforma di acquisto. Non riceve mai il numero della Sua carta di pagamento: quello resta presso Apple, Google o Stripe. RevenueCat è ospitato negli Stati Uniti.
• Apple App Store, Google Play, Stripe: elaborazione dei pagamenti. Tutti gli acquisti passano attraverso uno di questi tre fornitori. Gestiscono il numero della carta, l'indirizzo di fatturazione e le imposte. Noi riceviamo soltanto una conferma dell'avvenuto acquisto, il livello acquistato e la data di rinnovo.
• Nominatim (OpenStreetMap): ricerca di località. Converte le coordinate in nomi di luoghi leggibili. Riceve solo una richiesta anonimizzata contenente le coordinate.
• Google Places API: dati sui locali. Utilizzato per visualizzare bar, ristoranti e altri locali nella funzionalità Places. Riceve solo la query relativa al luogo, non il Suo account o la Sua identità.
• Klipy: libreria GIF. Fornisce il selettore di GIF in chat. Riceve il termine di ricerca digitato, non il Suo account o il contesto del messaggio.
• Brevo: e-mail transazionali. Invia e-mail transazionali (conferma account, reset password, avvisi importanti). Riceve la tua e-mail e il contenuto del messaggio. Operato da Sendinblue SAS in Francia. Base giuridica: art. 6, par. 1, lett. b (esecuzione del contratto).
• Brevo: lista marketing. Quando ti iscrivi su qrious.social per ricevere aggiornamenti sul lancio, aggiungiamo la tua e-mail a una lista Brevo con double opt-in. Base giuridica: art. 6, par. 1, lett. a (consenso). Puoi disiscriverti in qualsiasi momento da ogni e-mail.
• AWS Amplify (Amazon Web Services): hosting del sito. qrious.social è ospitato su AWS Amplify nella regione ap-southeast-1 (Singapore). Riceve solo ciò che serve a consegnare il sito: URL della richiesta, indirizzo IP, user-agent. Base giuridica: art. 6, par. 1, lett. f (interesse legittimo a consegnare e proteggere il sito).
• Cloudflare: rete di distribuzione dei contenuti (CDN). Utilizziamo Cloudflare, Inc. (USA) come CDN davanti al nostro hosting per la distribuzione di contenuti statici, il routing perimetrale e la protezione DDoS. Cloudflare riceve l’URL richiesto, il tuo indirizzo IP e le intestazioni HTTP standard, ma non accede al tuo account né al contenuto dei messaggi. Base giuridica: art. 6, par. 1, lett. f, legittimo interesse alla consegna e alla sicurezza del sito.
• Modifiche ai sub-responsabili. Quando aggiungiamo, rimuoviamo o sostituiamo un sub-responsabile che tratta dati personali, aggiorniamo questo elenco. Dove richiesto, daremo ai clienti UE/UK un preavviso ragionevole.

9. Dove risiedono i Suoi dati

Qrious Technologies Inc. ha sede negli Stati Uniti, ma il Servizio opera su infrastruttura in più regioni. I nostri data center principali si trovano nell'Unione Europea (Francoforte) e nella regione Asia-Pacifico (Singapore), mentre alcuni fornitori operano negli Stati Uniti.

Per gli utenti dell'Area Economica Europea, del Regno Unito e della Svizzera, i trasferimenti internazionali di dati personali avvengono nel rispetto della normativa applicabile, con garanzie adeguate: clausole contrattuali tipo della Commissione europea (SCC), International Data Transfer Addendum del Regno Unito (IDTA) e, per i trasferimenti negli Stati Uniti, affidandoci a fornitori certificati nell'ambito dell'EU-U.S. Data Privacy Framework (DPF) e delle sue estensioni UK e Svizzera, ove disponibili. Sono applicate misure tecniche e organizzative aggiuntive se necessario.

10. I Suoi diritti

SEE, Regno Unito e Svizzera (GDPR e UK GDPR)

A seconda della Sua giurisdizione, Le spettano i seguenti diritti in relazione ai Suoi dati personali:

• Accesso: Richiedere una copia dei dati personali che La riguardano in nostro possesso.
• Rettifica: Richiedere la correzione di dati personali inesatti o incompleti.
• Cancellazione: Richiedere la cancellazione dei Suoi dati personali, fatti salvi gli obblighi legali di conservazione.
• Portabilità: Richiedere i Suoi dati in un formato strutturato, di uso comune e leggibile da dispositivo automatico.
• Revoca del consenso: Ove il trattamento si basi sul consenso, può revocarlo in qualsiasi momento, senza pregiudicare la liceità del trattamento precedente.
• Opposizione al trattamento: Opporsi al trattamento basato sul legittimo interesse, inclusa la profilazione.
• Limitazione del trattamento: Richiedere che limitiamo il trattamento dei Suoi dati in determinate circostanze.
• Decisioni automatizzate: Non essere sottoposto a una decisione basata unicamente su un trattamento automatizzato, compresa la profilazione, che produca effetti giuridici nei tuoi confronti o incida in modo analogo significativamente sulla tua persona (art. 22 GDPR). Vedi la sezione 11 per l’applicazione a QRIOUS.
• Reclamo: Presentare reclamo alla Sua autorità locale di protezione dei dati. Gli utenti del Regno Unito possono rivolgersi all'Information Commissioner's Office (ICO) su ico.org.uk.

California (CCPA / CPRA)

Se è residente in California, il California Consumer Privacy Act Le riconosce diritti aggiuntivi:

• Categorie raccolte: Identificatori, dati dell'account, geolocalizzazione, attività su Internet e inferenze tratte dai dati precedenti.
• Fonti: Direttamente da Lei, automaticamente dal Suo dispositivo e dai fornitori di servizi elencati sopra.
• Finalità: Far funzionare il Servizio, comunicare con Lei, proteggere da frodi e abusi e rispettare la legge.
• Destinatari: Esclusivamente i fornitori di servizi elencati nella sezione 8. Non vendiamo né condividiamo dati personali per pubblicità comportamentale cross-context.
• I Suoi diritti: Diritto di sapere, diritto di cancellazione, diritto di rettifica, diritto di opt-out dalla vendita o condivisione (non vendiamo), diritto a non subire discriminazioni per l'esercizio di tali diritti.
• Dati personali sensibili (Cal. Civ. Code §1798.121): Trattiamo geolocalizzazione precisa e inferenze sulle tue preferenze nel contesto Romance. Hai il diritto di limitare l'uso di queste informazioni sensibili a quanto necessario per fornire il Servizio. Scrivi a privacy@qrious.social con oggetto «Limit SPI» per esercitare questo diritto.
• Riepilogo dei 12 mesi precedenti (§1798.130(a)(5)): Le categorie di dati personali sopra elencate riflettono ciò che abbiamo raccolto, utilizzato e divulgato per finalità commerciali nei dodici mesi precedenti la data di efficacia della presente informativa. In tale periodo non abbiamo venduto né condiviso dati personali per pubblicità comportamentale intercontestuale.
• Global Privacy Control (GPC): Trattiamo un segnale Global Privacy Control inviato dal tuo browser come una richiesta valida di opt-out da qualsiasi vendita o condivisione di dati personali per pubblicità comportamentale intercontestuale, in linea con le indicazioni dell’Attorney General della California. Attualmente non vendiamo né condividiamo, ma il segnale viene registrato per la tua sessione.

Per esercitare uno qualsiasi di questi diritti, scriva a privacy@qrious.social. Risponderemo entro 30 giorni.

11. Categorie particolari di dati e decisioni automatizzate

Categorie particolari di dati (Art. 9 GDPR)

QRIOUS include un contesto Romance. La tua decisione di condividere contenuti in questo contesto può, per inferenza, rivelare informazioni sull'orientamento sessuale, categoria particolare ai sensi dell'art. 9 del GDPR. Trattiamo questi dati solo sulla base del tuo consenso esplicito ai sensi dell'art. 9, par. 2, lett. a. Il consenso è raccolto tramite uno step dedicato nell'app quando attivi la persona Romance per la prima volta: lo schermo spiega cosa viene dedotto, perché lo chiediamo e che puoi revocare il consenso in qualsiasi momento disattivando la persona o eliminando l'account. Senza consenso il contesto Romance non si attiva.

Decisioni automatizzate (Art. 22 GDPR)

Non prendiamo decisioni esclusivamente automatizzate con effetti giuridici o effetti analogamente significativi. Due sistemi usano algoritmi a supporto decisionale: (a) il punteggio Trust Tier, calcolato dagli incontri confermati via IRL Bridge e da alcuni segnali comportamentali, e (b) la classifica dei match, che suggerisce contatti possibili all'interno di un contesto. Entrambi possono essere riesaminati da un essere umano su richiesta. Le azioni di moderazione (avvisi, sospensioni, ban) sono riviste da un essere umano prima di diventare definitive. Puoi richiedere il riesame umano di qualsiasi decisione che ti riguardi scrivendo a privacy@qrious.social.

12. Conservazione dei dati

• Account attivi: Conserviamo i Suoi dati finché il Suo account è attivo e per il tempo necessario alla fornitura del Servizio.
• Account eliminati: Quando elimina il Suo account, cancelliamo i dati di profilo, le persone e i match entro 30 giorni. Alcuni dati potranno essere conservati più a lungo ove richiesto dalla legge o per legittime finalità di sicurezza (ad esempio, registrazioni relative a segnalazioni di abusi).
• Messaggi: I messaggi vengono eliminati quando entrambi i partecipanti hanno cancellato i propri account. Se solo un partecipante elimina l'account, l'altro utente conserva l'accesso alla conversazione.
• Dati anonimizzati: I dati aggregati e anonimizzati che non possono essere utilizzati per identificarLa possono essere conservati a tempo indeterminato a fini di analisi e miglioramento del prodotto.

13. Sicurezza dei dati

Adottiamo misure di sicurezza conformi agli standard del settore per proteggere i Suoi dati personali da accessi non autorizzati, alterazioni, divulgazione o distruzione:

• Cifratura dei dati in transito (TLS) e a riposo.
• Controlli di accesso e autenticazione per i sistemi interni.
• Valutazioni di sicurezza e monitoraggio periodici.
• Procedure di risposta agli incidenti in caso di potenziali violazioni dei dati.

Nessun metodo di trasmissione su Internet o di archiviazione elettronica è sicuro al 100%. Non possiamo garantire una sicurezza assoluta, ma ci impegniamo a gestire tempestivamente eventuali incidenti.

Violazioni di dati personali: ove siamo tenuti a notificare un’autorità di controllo ai sensi dell’art. 33 GDPR, lo faremo senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza della violazione. Qualora la violazione presenti un rischio elevato per i tuoi diritti e libertà, ti informeremo senza ingiustificato ritardo ai sensi dell’art. 34, descrivendo natura della violazione, probabili conseguenze, misure adottate e un punto di contatto per ulteriori informazioni. Notifiche equivalenti sono effettuate ai sensi del UK GDPR, del PDPA thailandese e del Cal. Civ. Code § 1798.82, ove tali leggi siano applicabili.

14. Cookie e archiviazione locale (solo sito web)

Questa sezione si applica al sito qrious.social. L’app mobile QRIOUS non utilizza cookie. Alla prima visita viene mostrato un banner di consenso con tre pulsanti (Accetta tutto, Rifiuta tutto, Personalizza). La tua scelta è memorizzata solo nel browser e può essere modificata in qualsiasi momento tramite «Gestisci cookie» nel footer.

Cosa è in esecuzione oggi su qrious.social:

Tutti e quattro sono strettamente necessari per il funzionamento del sito. Oggi non sono impostati cookie di analisi o marketing. Eventuali fornitori aggiunti verranno caricati solo previo consenso.

Categorie di consenso visualizzate nel banner:

• Strettamente necessari: Indispensabili per il funzionamento del sito (i quattro elencati sopra). Non possono essere disattivati.
• Analisi (disattivati per impostazione predefinita): Ci aiuterebbero a capire quali pagine si caricano e quali no. Oggi non è installato alcun fornitore di analisi.
• Marketing (disattivati per impostazione predefinita): Ci permetterebbero di misurare l’efficacia delle campagne. Al momento non vengono eseguiti script di marketing.
• Nessun cookie pubblicitario, nessun tracciamento tra siti. Non utilizziamo cookie pubblicitari di terze parti e non consentiamo il tracciamento comportamentale tra siti. Questo è indipendente dalla scelta sopra.

Ove richiesto dalla legge (SEE, Regno Unito), chiediamo il tuo consenso prima di impostare cookie non essenziali e non presumiamo il consenso dalla semplice continuazione della navigazione. Puoi revocare il consenso in qualsiasi momento dal link «Gestisci cookie» nel footer.

15. Rappresentante UE (art. 27 GDPR)

Essendo stabiliti al di fuori dell'Unione europea ma offrendo il Servizio a persone nell'UE, abbiamo designato un rappresentante ai sensi dell'art. 27 del GDPR. Gli interessati nell'UE e le autorità di controllo possono rivolgersi al nostro rappresentante per ogni questione relativa al trattamento dei dati personali.

Rappresentante: Pablo Daniel Oba

Indirizzo: Berlino, Germania

E-mail: dpo@qrious.social

16. Contatti

In caso di domande, dubbi o richieste relative alla presente Informativa sulla Privacy o alle nostre prassi sul trattamento dei dati, ci contatti ai seguenti recapiti:

Richieste sulla privacy: privacy@qrious.social

Indirizzo postale: Qrious Technologies Inc., 251 Little Falls Drive, Wilmington, DE 19808, USA

17. Thailandia (PDPA)

Se accedi al Servizio dalla Thailandia, oltre ai diritti elencati sopra si applica il Personal Data Protection Act B.E. 2562 (2019). Una versione in lingua thai della presente informativa seguirà; nel frattempo, questa sezione riassume i diritti e le basi giuridiche applicabili agli utenti in Thailandia.

• Basi giuridiche (sez. 24 e 26). Trattiamo i dati personali sulla base del tuo consenso, della necessità contrattuale, del nostro legittimo interesse o di un’altra base riconosciuta dal PDPA.
• I tuoi diritti. Puoi richiedere l’accesso, la rettifica, la cancellazione, la limitazione o l’opposizione al trattamento, la portabilità dei dati e la revoca del consenso. Puoi presentare reclamo al Personal Data Protection Committee (PDPC) della Thailandia.
• Trasferimenti transfrontalieri (sez. 28). Trasferiamo dati personali a fornitori negli Stati Uniti, a Singapore e nell’Unione europea. I trasferimenti si basano su adeguatezza, sul tuo consenso, sulla necessità contrattuale o su garanzie adeguate ai sensi della sezione 28 del PDPA.
• Dati sensibili (sez. 26). Le informazioni che possono essere dedotte sul tuo orientamento sessuale tramite il persona Romance sono trattate esclusivamente sulla base del tuo consenso esplicito.

Contatto privacy: privacy@qrious.social