Informativa privacy

Informativa sul trattamento dei dati personali. La presente informativa è resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 («GDPR») e del d.lgs. 196/2003, come modificato dal d.lgs. 101/2018, e descrive il trattamento dei dati personali degli utenti dell'applicazione RingChat e dei visitatori del sito ringchat.cc.

1. Titolare del trattamento

RingChat è un progetto indipendente, sviluppato e gestito in Italia da una persona fisica, che ne è il titolare del trattamento (di seguito il «Titolare»). Non si tratta di una società: non vi è alcuna organizzazione commerciale dietro il servizio.

Ogni comunicazione inerente al trattamento, comprese le istanze di esercizio dei diritti, va indirizzata a privacy@ringchat.cc. Le generalità complete del Titolare sono comunicate su richiesta a chiunque ne faccia istanza, nonché all'autorità di controllo.

Non è stato designato un Responsabile della protezione dei dati, non ricorrendo i presupposti di cui all'art. 37 GDPR: il recapito sopra indicato costituisce il punto di contatto per ogni questione relativa alla protezione dei dati personali.

2. Categorie di dati trattati

Il trattamento è informato al principio di minimizzazione: raccogliamo unicamente i dati strettamente necessari alle finalità dichiarate.

• Dati identificativi dell'account — nickname e identificativo pubblico, liberamente scelti dall'interessato e visibili agli altri utenti, che ne consentono la reperibilità all'interno del servizio.
• Materiale crittografico pubblico — le chiavi pubbliche dei dispositivi associati all'account, per loro natura destinate alla divulgazione e prive di contenuto informativo sulle conversazioni.
• Indirizzo di posta elettronica — conferito su base facoltativa per ricevere comunicazioni relative alla fase di beta; la sua mancata indicazione non preclude l'uso del servizio.
• Dati di connessione — indirizzo IP e marcatori temporali delle richieste, trattati in via transitoria per finalità di sicurezza.
• Identificativi per il recapito delle notifiche — il codice rilasciato dal servizio di notifica del sistema operativo del dispositivo, che consente di inoltrare un avviso privo di contenuto.
• Metadati di recapito — le informazioni minime necessarie a instradare un messaggio cifrato verso i dispositivi del destinatario e ad accertarne la consegna.
• Dichiarazione relativa all'età minima — l'attestazione resa in sede di registrazione (cfr. § 9), senza raccolta della data di nascita.
• Segnalazioni — quando l'interessato segnala dall'applicazione un altro utente o un malfunzionamento: il motivo o la categoria scelti e il testo eventualmente scritto, collegati all'account di chi segnala; per un malfunzionamento, anche la piattaforma e la versione dell'applicazione. Le segnalazioni non contengono mai il contenuto delle conversazioni.
• Dati di pagamento — nessuno. Il servizio è attualmente erogato senza corrispettivo: non acquisiamo, non trattiamo e non conserviamo dati relativi a strumenti di pagamento. Ove fosse in futuro introdotta un'offerta a pagamento, i dati della carta sarebbero raccolti direttamente dal prestatore di servizi di pagamento, che opera quale titolare autonomo, senza mai transitare per i nostri sistemi; la presente informativa verrebbe aggiornata di conseguenza.
• Dati di navigazione sul sito — trattati esclusivamente previo consenso, nei termini del § 10.

3. Dati che non sono oggetto di trattamento

• Il contenuto dei messaggi, degli allegati e dei messaggi vocali: è cifrato prima di lasciare il dispositivo e per noi resta indecifrabile.
• Le chiavi private, che non abbandonano in alcun caso il dispositivo dell'interessato.
• La rubrica dei contatti e i dati di geolocalizzazione.
• Strumenti di analisi o di segnalazione degli errori di parti terze: l'applicazione non ne integra alcuno.
• Tracciatori pubblicitari, identificatori pubblicitari e tecniche di rilevamento dell'impronta del dispositivo.

4. Finalità, basi giuridiche e periodi di conservazione

Ciascun trattamento persegue una finalità determinata, esplicita e legittima, ed è sorretto da una distinta base giuridica.

a) Erogazione del servizio

Creazione e mantenimento dell'account, instradamento e recapito dei messaggi cifrati, sincronizzazione fra i dispositivi collegati.
Base giuridica: esecuzione del contratto di cui l'interessato è parte — art. 6, par. 1, lett. b) GDPR.
Conservazione: i dati dell'account per l'intera durata del rapporto; i messaggi cifrati in attesa di recapito sono rimossi entro 30 giorni dalla consegna a tutti i dispositivi del destinatario e, in ogni caso, allo spirare del medesimo termine.

b) Recapito delle notifiche

Inoltro al dispositivo di un avviso privo di contenuto informativo.
Base giuridica: esecuzione del contratto — art. 6, par. 1, lett. b) GDPR.
Conservazione: per il tempo in cui il dispositivo resta associato all'account, ovvero sino alla disattivazione delle notifiche.

c) Sicurezza del servizio e prevenzione degli abusi

Contenimento della frequenza delle richieste, individuazione di usi anomali o fraudolenti, tutela dell'integrità e della disponibilità dell'infrastruttura.
Base giuridica: legittimo interesse del Titolare — art. 6, par. 1, lett. f) GDPR — alla protezione del servizio e dei suoi utenti; l'interesse è stato ponderato rispetto ai diritti degli interessati, tenuto conto della natura tecnica dei dati e della brevità della conservazione.
Conservazione: non oltre 7 giorni.

d) Comunicazioni facoltative sulla beta

Invio di aggiornamenti sullo stato del servizio all'indirizzo eventualmente conferito.
Base giuridica: consenso — art. 6, par. 1, lett. a) GDPR — revocabile in qualsiasi momento senza pregiudizio per la liceità del trattamento effettuato anteriormente alla revoca.
Conservazione: sino alla revoca del consenso o alla richiesta di cancellazione.

e) Verifica dell'età minima

Acquisizione della dichiarazione richiesta per la registrazione.
Base giuridica: adempimento di un obbligo legale — art. 6, par. 1, lett. c), in combinato disposto con l'art. 8 GDPR e con l'art. 2-quinquies del d.lgs. 196/2003.
Conservazione: per l'intera durata dell'account.

f) Misurazione statistica del sito

Comprensione dell'utilizzo delle pagine pubbliche al fine di migliorarne struttura e contenuti.
Base giuridica: consenso — art. 6, par. 1, lett. a) GDPR e art. 122 del d.lgs. 196/2003.
Conservazione: non oltre 12 mesi, decorsi i quali i dati sono cancellati o resi irreversibilmente anonimi.

g) Adempimenti di legge e tutela in sede giudiziaria

Riscontro a richieste legittime dell'autorità e accertamento, esercizio o difesa di un diritto.
Base giuridica: adempimento di un obbligo legale — art. 6, par. 1, lett. c) — e legittimo interesse — art. 6, par. 1, lett. f) GDPR.
Conservazione: per il tempo prescritto dalla norma applicabile o, in difetto, sino allo spirare dei termini di prescrizione dell'azione.

h) Gestione delle segnalazioni

Esame delle segnalazioni di comportamenti abusivi di altri utenti, per la moderazione del servizio, e dei malfunzionamenti segnalati, per correggerli.
Base giuridica: legittimo interesse del Titolare — art. 6, par. 1, lett. f) GDPR — alla sicurezza del servizio e al suo corretto funzionamento; l'interesse è stato ponderato rispetto ai diritti degli interessati, tenuto conto che la segnalazione è un'iniziativa dell'interessato e che i dati sono limitati a quanto egli stesso indica.
Conservazione: le segnalazioni di altri utenti sino alla cancellazione dell'account di chi le ha inviate o di chi ne è oggetto; quelle di malfunzionamento finché servono a correggere il difetto, e dopo l'eliminazione dell'account restano senza più alcun collegamento a esso.

5. Modalità del trattamento

I dati sono trattati con strumenti automatizzati, per il tempo e nei limiti strettamente funzionali alle finalità di cui al § 4. In concreto: gli identificativi dell'account consentono agli altri utenti di raggiungerti; le chiavi pubbliche permettono ai dispositivi di negoziare fra loro una cifratura che esclude il Titolare; i metadati di recapito servono a consegnare un messaggio e sono rimossi a consegna avvenuta; i dati di connessione alimentano esclusivamente i controlli di sicurezza.

Non effettuiamo profilazione, non adottiamo processi decisionali interamente automatizzati produttivi di effetti giuridici ai sensi dell'art. 22 GDPR, non correliamo i dati di navigazione del sito con quelli dell'account, non cediamo dati a fini commerciali e non impieghiamo dati degli utenti per l'addestramento di modelli di intelligenza artificiale. Il contenuto delle comunicazioni non è analizzato, né a fini pubblicitari né ad alcun altro fine: l'architettura del servizio rende tale accesso tecnicamente precluso.

6. Categorie di destinatari

I dati possono essere resi conoscibili, nei limiti di quanto strettamente necessario, ai seguenti soggetti:

• Fornitore di infrastruttura — il gestore dei server sui quali il servizio è ospitato, designato responsabile del trattamento ai sensi dell'art. 28 GDPR e vincolato da istruzioni documentate.
• Google LLC e Apple Inc. — limitatamente ai rispettivi servizi di notifica, ai quali sono trasmessi l'identificativo del dispositivo e un avviso privo di contenuto; in nessun caso il testo del messaggio.
• Fornitore di servizi di posta transazionale — il solo indirizzo di posta elettronica, al fine di recapitare le comunicazioni richieste.
• Autorità giudiziarie e di pubblica sicurezza — esclusivamente in presenza di una richiesta legittima e circostanziata, e nei soli limiti dei dati di cui disponiamo, che non comprendono il contenuto delle comunicazioni.
• Professionisti e consulenti vincolati al segreto professionale, ove necessario per adempimenti contabili o per la tutela di un diritto.

Non sono previsti destinatari ulteriori. I dati personali non sono oggetto di cessione, vendita o comunicazione a terzi per finalità pubblicitarie, di profilazione o di ricerca di mercato, né sono diffusi al di fuori di quanto l'interessato stesso renda visibile agli altri utenti.

7. Luogo del trattamento e trasferimenti extra-SEE

Il trattamento ha luogo su server ubicati nel territorio dell'Unione europea.

Alcuni servizi accessori comportano un trasferimento limitato verso paesi terzi, in particolare gli Stati Uniti: è il caso dei servizi di notifica dei sistemi operativi e della posta transazionale. Tali trasferimenti hanno a oggetto esclusivamente identificativi tecnici e indirizzi di posta elettronica e mai il contenuto delle comunicazioni, che resta cifrato e indecifrabile per chiunque non sia il destinatario.

I trasferimenti avvengono in presenza di una decisione di adeguatezza della Commissione europea ai sensi dell'art. 45 GDPR, ove il fornitore vi aderisca, ovvero sulla base delle clausole contrattuali tipo adottate dalla Commissione ai sensi dell'art. 46, par. 2, lett. c) GDPR, integrate ove necessario da misure supplementari di natura tecnica e organizzativa. Copia delle garanzie adottate può essere richiesta all'indirizzo indicato al § 1.

8. Misure di sicurezza

Adottiamo misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR, tenuto conto dello stato dell'arte e dei rischi presentati dal trattamento:

• Cifratura end-to-end del contenuto delle conversazioni, con chiavi generate e custodite sul dispositivo dell'interessato e rinnovate nel corso della conversazione, così da preservare la riservatezza dei messaggi pregressi anche in caso di compromissione successiva di una chiave. Il Titolare non detiene le chiavi private e non dispone di alcun meccanismo di accesso ai contenuti.
• Cifratura dei dati in transito mediante protocolli di trasporto sicuri e cifratura dell'archivio locale sui dispositivi.
• Minimizzazione e protezione fin dalla progettazione (art. 25 GDPR): il dato che non viene raccolto non può essere violato, ed è la misura sulla quale facciamo il maggiore affidamento.
• Controllo degli accessi secondo il principio del privilegio minimo, con separazione fra ambienti di sviluppo e di produzione.
• Cancellazione programmata dei dati allo spirare dei termini indicati al § 4.
• Verifiche periodiche di sicurezza sul codice e sulle configurazioni, e aggiornamento tempestivo delle componenti impiegate.

Nessuna misura elimina integralmente il rischio. In caso di violazione dei dati personali che presenti un rischio per i diritti e le libertà degli interessati provvederemo alla notifica al Garante ai sensi dell'art. 33 GDPR e, ove il rischio sia elevato, alla comunicazione agli interessati ai sensi dell'art. 34 GDPR, senza ingiustificato ritardo.

9. Età minima

La registrazione è riservata a chi ha compiuto quattordici anni. La soglia è quella fissata dall'art. 8 GDPR come recepito in Italia dall'art. 2-quinquies del d.lgs. 196/2003: al di sotto di tale età il consenso al trattamento dei dati per i servizi della società dell'informazione deve essere prestato da chi esercita la responsabilità genitoriale.

La dichiarazione è richiesta in sede di registrazione, unitamente all'accettazione delle condizioni d'uso, e in sua assenza l'account non viene creato. Non raccogliamo la data di nascita e non disponiamo di strumenti di verifica dell'età dichiarata: non richiediamo documenti, non ne effettuiamo stime biometriche o comportamentali e non sottoponiamo i minori ad alcuna profilazione.

Chiunque abbia notizia di un account riconducibile a un minore di quattordici anni può segnalarlo a privacy@ringchat.cc: vi daremo corso con la cancellazione dell'account e dei metadati collegati.

10. Cookie e strumenti di misurazione

Il sito ringchat.cc non impiega cookie: né tecnici, né di profilazione, né di parti terze. Utilizziamo due aree di memoria del browser: localStorage, per ricordare la preferenza di tema e la scelta espressa sul banner, e sessionStorage, per un identificativo casuale di sessione che si cancella alla chiusura della scheda. Nessuno dei due è leggibile da soggetti diversi dal sito.

In presenza di consenso raccogliamo statistiche di navigazione mediante uno strumento di nostra realizzazione, ospitato sulla nostra infrastruttura. Le informazioni raccolte attengono alle pagine consultate e alla loro provenienza, alle interazioni con gli elementi della pagina, all'invio di moduli, alla profondità di scorrimento e al tempo di permanenza, nonché alle caratteristiche tecniche del dispositivo e del browser.

L'indirizzo IP è privato della porzione identificativa prima della memorizzazione e non viene né ricostruito né associato all'account RingChat. Nessun dato è trasmesso a terzi: non impieghiamo strumenti di analisi esterni, pixel di tracciamento o tecnologie di correlazione fra siti diversi.

Poiché la rilevazione ha a oggetto anche il comportamento dell'utente sulla pagina, e non conteggi meramente aggregati, essa non ricade nell'esenzione prevista per le statistiche anonime dalle Linee guida del Garante del 10 giugno 2021 ed è pertanto subordinata a un consenso espresso, libero e revocabile. Il rifiuto — proposto con pari evidenza rispetto all'accettazione — non comporta alcuna limitazione: nulla viene trasmesso e il sito funziona in modo identico. Il consenso può essere revocato in ogni momento cancellando i dati del sito dal browser; alla visita successiva la richiesta viene riproposta.

Quanto precede riguarda il sito. L'applicazione RingChat non integra strumenti di analisi né di segnalazione degli errori.

11. Diritti dell'interessato

In relazione ai trattamenti descritti, l'interessato può esercitare i seguenti diritti:

• Accesso (art. 15) — ottenere conferma dell'esistenza di un trattamento e copia dei dati.
• Rettifica (art. 16) — correggere dati inesatti o integrare dati incompleti.
• Cancellazione (art. 17) — ottenere la rimozione dei dati nei casi previsti.
• Limitazione (art. 18) — ottenere la sospensione del trattamento, segnatamente in pendenza della verifica di una contestazione.
• Portabilità (art. 20) — ricevere in formato strutturato, di uso comune e leggibile da dispositivo automatico i dati trattati sulla base del consenso o del contratto.
• Opposizione (art. 21) — opporsi, per motivi connessi alla propria situazione particolare, ai trattamenti fondati sul legittimo interesse di cui al § 4, lett. c) e g).
• Revoca del consenso (art. 7, par. 3) — in ogni momento e senza pregiudizio per la liceità del trattamento anteriore.
• Reclamo all'autorità di controllo (art. 77) — nei termini del § 13.

Due precisazioni sui limiti oggettivi dell'esercizio. La cancellazione dell'identità rimuove nickname, identificativo pubblico, chiavi pubbliche, identificativi di notifica e ogni metadato collegato; i messaggi cifrati già inviati e in attesa di recapito permangono sino alla scadenza del termine di cui al § 4, lett. a), non potendo il Titolare disporre della copia altrui. Quanto all'accesso e alla portabilità, il contenuto delle conversazioni risiede sui dispositivi e non rientra nella nostra disponibilità: può essere esportato direttamente dall'applicazione.

12. Modalità di esercizio dei diritti

Le istanze vanno indirizzate a privacy@ringchat.cc, indicando il diritto esercitato e l'identificativo pubblico dell'account. L'esercizio dei diritti è gratuito.

Forniamo riscontro senza ingiustificato ritardo e comunque entro un mese dal ricevimento, termine prorogabile di due mesi in ragione della complessità o del numero delle richieste, dandone motivata comunicazione entro il primo mese (art. 12, par. 3, GDPR). In caso di ragionevole dubbio sull'identità del richiedente potremo domandare le sole informazioni aggiuntive necessarie a confermarla, quali la prova del controllo dell'account.

13. Reclamo all'autorità di controllo

Chi ritenga che il trattamento dei propri dati violi la normativa vigente può proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it), fatta salva ogni altra azione amministrativa o giurisdizionale.

14. Modifiche all'informativa

La presente informativa può essere aggiornata per riflettere mutamenti del servizio o del quadro normativo. Ogni versione reca in testa il proprio numero e la data di entrata in vigore. La versione 2.0 è stata pubblicata il 22 settembre 2026; sino al 21 ottobre 2026 resta applicabile la versione 1.0 del 20 settembre 2026. La versione 2.1, pubblicata il 10 ottobre 2026, aggiunge le segnalazioni (§ 2 e § 4, lett. h).

Le modifiche sostanziali — quelle che incidono su finalità, basi giuridiche, destinatari o periodi di conservazione — sono annunciate con un avviso sul sito almeno 30 giorni prima dell'entrata in vigore; ove riguardino trattamenti fondati sul consenso, questo sarà nuovamente richiesto e il trattamento non avrà luogo in difetto di nuova manifestazione. Le modifiche meramente formali hanno effetto dalla pubblicazione. Le versioni precedenti possono essere richieste all'indirizzo di cui al § 1.