Couchu

Informativa privacy

Bozza — da validare legalmente

Ultimo aggiornamento:

Questa informativa spiega quali dati personali tratta Couchu (l'app per iPhone e Android e il sito couchu.app), perché, per quanto tempo e con quali diritti per te. È scritta per essere letta davvero: se qualcosa non è chiaro, scrivici.

1. Titolare del trattamento

Titolare è Luca Santonastasi, Via Venturini 4, 40126 Bologna, Italia (P.IVA in attivazione), che offre Couchu. Non abbiamo nominato un responsabile della protezione dei dati (RPD/DPO), perché non ricorrono le condizioni dell'art. 37 GDPR. Per qualsiasi richiesta sulla privacy: [email protected].

2. In breve

  • Non ti chiediamo né email né nome: al primo avvio l'app crea un account anonimo identificato da un codice casuale.
  • Sul server teniamo ciò che serve a darti i consigli su più telefoni: titoli visti, voti e lista "Da vedere".
  • Le richieste che scrivi servono a rispondere e non si conservano per altri scopi. La cronologia delle conversazioni resta sul tuo telefono; se colleghi Apple o Google la salviamo anche sul tuo account, cifrata, per ritrovarla sugli altri telefoni.
  • Nel piano gratuito annunci segnati come tali tra i consigli, negli elenchi e in fondo ad alcune schermate, e a volte uno a schermo intero quando chiudi una scheda, un match o un mazzo; video con premio solo se li chiedi; sempre dopo le tue scelte sul consenso. Con Premium nessun annuncio. Statistiche d'uso solo se le attivi.
  • Quando gli utenti sono molti, i voti di tutti servono anche, in forma aggregata e senza codici account, a capire quali titoli piacciono insieme; puoi opporti con un interruttore nelle Impostazioni (punto 3.2).
  • Puoi esportare i dati ed eliminare l'account in qualsiasi momento dall'app.

3. Quali dati trattiamo, perché e su quale base

Le basi giuridiche sono quelle dell'art. 6 del Regolamento UE 2016/679 ("GDPR"): contratto (par. 1, lett. b: fornirti il servizio che chiedi usando l'app), consenso (lett. a), obbligo di legge (lett. c) e legittimo interesse (lett. f).

3.1 Account anonimo

Al primo avvio l'app chiede al server un nuovo account: un identificativo casuale (il codice account che vedi nelle Impostazioni) e un token di accesso che resta nel portachiavi sicuro del telefono; sul server il token è salvato solo come impronta crittografica (hash). Registriamo anche la data di creazione e il giorno dell'ultimo utilizzo. Base: contratto.

3.2 Visti, voti e "Da vedere"

I titoli che segni come visti, con il voto facoltativo, la data e, per le serie, l'ultima stagione che hai visto, e quelli salvati in "Da vedere" si sincronizzano con il server, così non li perdi cambiando telefono, i consigli escludono quello che hai già visto, Couchu ti indica le nuove stagioni e i nuovi episodi delle serie che segui e il consiglio su quale abbonamento ti conviene (Premium) li usa per contare i titoli su ogni piattaforma; il consiglio calcolato resta salvato sul server per 6 ore, legato al tuo account, al paese, alle piattaforme e al giorno, così non lo ricalcoliamo a ogni apertura; poi si cancella (al più tardi nella pulizia della notte successiva) e, finché c'è, rientra nell'esportazione dei dati. Contiamo inoltre, in forma anonima, quanti consigli calcoliamo ogni giorno. Quando su una delle tue piattaforme esce una stagione o un episodio nuovo di una serie che hai visto, il server la riapre: nei visti registriamo che è stata riaperta, con la stagione o l'episodio nuovi e la data, e la serie compare in "Da vedere" mantenendo il tuo voto. Non inviamo a terzi nessun dato nuovo per questo. Base: contratto.

Consigli da gusti simili. Quando gli utenti sono molti, usiamo i voti di tutti, in forma aggregata, per capire quali titoli piacciono insieme («chi ha amato X ha amato anche Y»). Ogni notte il server calcola, dai voti da 1 a 5, un elenco di coppie di titoli; una coppia entra solo se almeno 25 persone diverse hanno votato entrambi i titoli, e l'elenco non contiene codici account né altri dati su chi ha votato. Quell'elenco serve a ordinare i consigli di tutti, compresi i tuoi. Non usiamo i titoli visti senza voto, le richieste, "Da vedere" né «Non mi piace», e non ricaviamo dai voti informazioni su salute, religione, orientamento o altre categorie particolari. Base: legittimo interesse (art. 6, par. 1, lett. f GDPR) a migliorare i consigli per tutti gli utenti, che abbiamo bilanciato con i tuoi diritti: il calcolo parte solo quando i voti sono molti e i risultati non riguardano persone. Puoi opporti in qualsiasi momento spegnendo Impostazioni › Privacy e dati › Cosa condividi › «Usa i miei voti per i consigli di tutti»: dalla notte successiva i tuoi voti non entrano più nel calcolo, e i tuoi consigli continuano a funzionare.

I titoli che hai detto di non volere («Non mi piace» o «Non mi interessa», dalle card o dal dettaglio) si salvano sul server e si sincronizzano tra i tuoi telefoni, con il tipo di segnale e la data. Servono a non riproporteli e, per «Non mi piace», ad abbassare i titoli simili nei consigli; restano finché non li ripristini da Impostazioni › Cosa guardi › «Esclusi» o non elimini l'account, e sono inclusi nell'esportazione dei tuoi dati. Contiamo in forma anonima, senza codice account, quante volte si usa ciascuna azione. Non inviamo a terzi nessun dato nuovo per questo. Base: contratto.

Giochi da tavolo. Se usi la modalità giochi da tavolo, i giochi che segni come «Ce l'abbiamo», «Giocati» o «Da provare», con il voto facoltativo, si sincronizzano con il server come i visti, così ritrovi la collezione su ogni telefono e i consigli possono limitarsi ai giochi che avete. Le schede dei giochi vengono da Wikidata, Wikipedia e Wikimedia Commons e non contengono dati su di te. Base: contratto.

Se importi la tua collezione da BoardGameGeek, scarichi tu da boardgamegeek.com il file della tua collezione e lo scegli sul telefono. Il file viene letto una sola volta, prima sul telefono e poi dal nostro server, solo per riconoscere i giochi dal loro numero BoardGameGeek: non lo conserviamo e non ne scriviamo il contenuto nei registri, né sul telefono né sui nostri server. Restano soltanto i giochi che aggiungi alla tua collezione, con «Ce l'abbiamo», «Giocati» o «Da provare» e il voto. Non salviamo nessun altro dato di BoardGameGeek. Base: contratto.

Videogiochi. Se usi la modalità videogiochi, salviamo le piattaforme su cui giochi (per esempio PC, PS5 o Switch) e, se li indichi, gli abbonamenti di gioco che hai (per esempio Game Pass): restano sul telefono e, con l'account collegato ad Apple o Google, tra le preferenze dell'account (punto 3.3.1). Quando chiedi un videogioco inviamo al server, oltre alla richiesta, le piattaforme e i filtri scelti, così i consigli riguardano solo giochi che puoi giocare. I videogiochi che segni come «Ce l'ho», «Giocati» o «Da provare», con il voto facoltativo, entrano nella stessa collezione dei giochi da tavolo e si sincronizzano allo stesso modo. Le schede vengono da Wikidata e Wikipedia e non contengono dati su di te. Base: contratto.

Prezzi e negozi. Per i giochi PC mostriamo i prezzi correnti del tuo paese forniti da IsThereAnyDeal, così come arrivano, e gli abbonamenti che includono il gioco: li chiede ogni notte il nostro server per tutto il catalogo, senza inviare alcun dato su di te. Couchu non vende giochi e non è affiliata ai negozi. Se tocchi un prezzo o «Apri su…», si apre il sito del negozio (il link può passare da IsThereAnyDeal): da lì valgono le regole di quel sito, che riceve il tuo indirizzo IP come per qualsiasi pagina che apri. Base: contratto.

Se importi la tua libreria Steam, scrivi nell'app il link del tuo profilo Steam, il nome personalizzato o lo SteamID. Il nostro server lo usa una sola volta: chiede a Steam (Valve) quale profilo corrisponde al nome e quali giochi possiedi, con il tempo di gioco, che serve solo a segnare come «Giocati» quelli con più di due ore; per questo i dettagli dei giochi del profilo devono essere pubblici, e dopo puoi rimetterli com'erano. Lo SteamID non lo conserviamo e non lo scriviamo nei registri, né sul telefono né sui nostri server; a Steam arriva la richiesta del nostro server, non il tuo indirizzo IP. Restano soltanto i giochi che aggiungi alla tua collezione, con «Ce l'ho» e «Giocati». Non salviamo nessun altro dato di Steam. Base: contratto.

Con Premium puoi organizzare visti e "Da vedere" in liste personali: salviamo il nome che dai a ogni lista e quali titoli contiene, per sincronizzarli tra i tuoi telefoni. I nomi delle liste non finiscono nei consigli, nei registri, nelle statistiche né negli strumenti di amministrazione; se Premium termina restano salvati ma nascosti finché non rinnovi. Base: contratto.

Se importi i tuoi gusti da un file di IMDb, Letterboxd o Netflix che hai scaricato tu, il file viene letto dal server solo per riconoscere i titoli e poi scartato: non lo salviamo e non scriviamo nei registri il suo contenuto. Al server arrivano al massimo le prime 5.000 righe; la cronologia di Netflix, che ha una riga per ogni episodio, il telefono la riduce prima a una riga per film o serie. Sul telefono la copia temporanea si cancella subito dopo la lettura. Restano soltanto i titoli che scegli di aggiungere ai visti, con il voto e la data del file. Base: contratto.

Se colleghi Trakt (Impostazioni › Account e piano › «Collega Trakt»), scrivi su trakt.tv un codice che ti mostra l'app: Trakt dà al nostro server un'autorizzazione a leggere, che conserviamo cifrata (con la data di scadenza e dell'ultimo aggiornamento) e che non arriva mai al telefono, nei registri o nell'esportazione dei dati. Con essa il server legge da Trakt il tuo storico dei visti, i voti e la watchlist, li abbina al nostro catalogo con il codice IMDb e aggiunge ai visti e a "Da vedere" solo quello che manca (un voto o un titolo che hai già in Couchu non cambia); poi, ogni notte, legge solo le novità. Non scriviamo nulla su Trakt. «Scollega» cancella subito l'autorizzazione e il collegamento; i titoli già importati restano tra i tuoi visti finché non li togli. Per il tuo account su Trakt, Trakt è titolare autonomo. Base: contratto.

3.3 Accesso con Apple o Google (facoltativo)

Se colleghi l'account ad Apple o Google, riceviamo da loro un token firmato e ne conserviamo solo l'identificativo del provider (il campo sub): mai email o nome, e la foto di Google solo come spiegato sotto («Foto dell'account Google»). Serve a ritrovare i tuoi dati su un altro telefono. Puoi scollegarlo dalle Impostazioni; l'account resta anonimo con i suoi dati. Se colleghi Apple conserviamo anche, cifrato, un token rilasciato da Apple che usiamo solo per revocare l'accesso quando scolleghi o elimini l'account; Apple può inoltre avvisarci se smetti di usare l'ID Apple con Couchu, e in quel caso scolleghiamo l'account. Perché lo stesso token di Apple o Google non possa essere usato due volte, ne conserviamo solo un'impronta crittografica (SHA-256), con il codice account, fino alla scadenza del token stesso (al massimo qualche ora); la pulizia notturna la cancella. Base: contratto. Per il login Apple e Google sono titolari autonomi dei dati del tuo account presso di loro.

3.3.1 Preferenze e conversazioni sull'account collegato

Solo mentre l'account è collegato ad Apple o Google salviamo sul server, per ritrovarle su ogni telefono collegato:

  • le tue preferenze: paese, piattaforme, lingua, tema, lingue di audio e sottotitoli, cosa ti interessa e, se usi i videogiochi, le piattaforme su cui giochi e i tuoi abbonamenti di gioco;
  • la cronologia delle conversazioni: le ultime 100, con i messaggi che hai scritto, le risposte e i filtri.

Le conversazioni sono cifrate con una chiave che sta solo sui nostri server: nel database non si leggono, e non le usiamo per altro, nemmeno per statistiche o per addestrare modelli.

Collegando un nuovo telefono a un account che esiste già, il telefono prende le preferenze dell'account e le conversazioni dei due si uniscono.

Restano invece sul telefono le scelte sul consenso, gli avvisi e gli ospiti della "Serata di gruppo". Se scolleghi l'ultimo provider, cancelliamo dal server preferenze e conversazioni, che restano sul telefono.

Base: contratto.

3.4 Richieste di consigli e ricerca dei titoli

Quando chiedi un consiglio inviamo al server il testo che scrivi, i filtri scelti (tipo, umore, generi, con chi, tempo, note), il paese, le piattaforme e la lingua; insieme ai messaggi precedenti della stessa conversazione (i tuoi e le risposte di Couchu), così puoi affinare la richiesta. Il server aggiunge un profilo dei gusti calcolato da visti e voti e dai segnali deboli di «Affina i gusti» («Lo voglio vedere» e «Mi piace, ma passo») (fino a 8 titoli amati e 5 da evitare, senza il tuo codice account). Questi segnali li conserviamo sul server, un titolo alla volta, finché non elimini l'account o finché un segnale più recente non lo sostituisce, e rientrano nell'esportazione dei dati. Per scegliere e motivare i titoli usiamo modelli di intelligenza artificiale su Amazon Bedrock nell'Unione europea (regione eu-south-1, Milano, e altre regioni AWS dell'UE per il bilanciamento del carico). Amazon non usa questi dati per addestrare i modelli e non li condivide con chi li ha sviluppati.

«Il tuo gusto» ti mostra lo stesso profilo calcolato dai tuoi voti (generi, registi, interpreti, decenni, lingue che ami o eviti): lo calcoliamo quando apri la schermata e lo teniamo solo nella memoria di lavoro del server, senza salvarlo nel database. Con Premium i gruppi di titoli che ami ricevono un nome breve scritto da un modello di intelligenza artificiale su Amazon Bedrock nell'UE, a partire solo dai titoli e dai loro generi, senza alcun tuo dato personale; l'app indica quando un nome è scritto dall'IA. Base: contratto.

«Il tuo anno su Couchu» (dal 1° dicembre al 15 gennaio): quando apri la schermata il server calcola dai tuoi visti e voti i numeri dell'anno (titoli visti, ore stimate, generi, titoli più votati, piattaforma più usata, serie finite, match vinti). Con almeno 10 titoli visti un modello di intelligenza artificiale su Amazon Bedrock nell'UE scrive una frase a partire solo da numeri, generi, titoli e piattaforma, senza il tuo nome né il codice account; la frase, con i numeri da cui è scritta, si conserva per anno e lingua (così non la riscriviamo a ogni visita), è nell'esportazione dei dati e si cancella con l'account. L'immagine da condividere si crea sul telefono e contiene numeri, generi, titoli e una piattaforma, mai i nomi dei tuoi amici; la condividi tu, dove vuoi. Base: contratto.

«Cosa ricordo»: quando in una richiesta dici una preferenza che vale sempre (per esempio «basta anime» o «mai horror»), Couchu ti propone sotto la risposta «Ricorderò: …». Solo se tocchi «Ok» salviamo sul server la regola: il tipo (genere, tema, durata massima, audio, film o serie, lingua), il valore, la data e se l'hai aggiunta dalla chat o a mano; il testo della richiesta non si salva. Le regole valgono per i consigli successivi finché non le togli: le vedi e le cancelli in Il tuo gusto › «Cosa ricordo», sono nell'esportazione dei dati e si cancellano con l'account. Base: contratto.

Il testo delle richieste non si conserva per rispondere: non lo salviamo tra i dati dei consigli e non lo scriviamo nei registri. Fa eccezione solo la cronologia delle conversazioni sull'account collegato, cifrata (punto 3.3.1). Una risposta identica resta in una cache temporanea per 10 minuti, ritrovata con un'impronta crittografica della richiesta, e viene cancellata al più tardi nella pulizia della notte successiva. Per non rifare lo stesso lavoro, il server tiene inoltre per un'ora, solo nella sua memoria di lavoro (mai nel database né nei registri), l'interpretazione della richiesta fatta dal modello (per esempio generi, persone o titoli citati, esclusioni) e la sua rappresentazione numerica usata per la ricerca, ritrovate con un'impronta crittografica e non con il testo; si perdono anche a ogni riavvio del server; le statistiche tecniche sulle risposte (modello, tempi, costo, numero e codici dei titoli proposti) non contengono né il testo, né il tuo codice account, né un'impronta della richiesta. I nomi degli ospiti della "Serata di gruppo" restano sul telefono: al server arrivano solo i titoli che amano. Ti consigliamo comunque di non scrivere nelle note dati personali tuoi o di altri. Il testo che cerchi aggiungendo un titolo serve solo a cercarlo e non si conserva; se il nostro catalogo trova pochi risultati, lo inviamo anche al servizio di ricerca di Wikidata (Wikimedia Foundation, Stati Uniti), senza alcun tuo identificativo. Base: contratto.

«Cerca per trama»: quando descrivi un titolo che non ricordi, inviamo la frase al server, che la trasforma in una rappresentazione numerica con Cohere Embed e chiede a un modello Amazon Nova di scegliere i titoli più adatti, entrambi su Amazon Bedrock nell'Unione europea, senza il tuo codice account. La frase non si conserva: per 7 giorni teniamo in una cache solo i risultati, ritrovati con un'impronta crittografica della frase (insieme a paese e lingua), e per 2 giorni il numero di ricerche per trama fatte nel giorno, per applicare il limite giornaliero. «Pianifica il weekend» è una richiesta di consigli come le altre: il tempo che scegli per sabato e domenica serve solo a rispondere. Base: contratto.

«Che titolo è?»: quando condividi a Couchu un link, un testo o uno screenshot (per esempio quello che ti ha mandato un amico), il server cerca i titoli nel nostro catalogo. Di un link legge solo l'indirizzo (il codice IMDb, il nome nell'indirizzo di Letterboxd, le parole del percorso) e non apre mai la pagina; di un testo solo le parole. Uno screenshot, ridotto sul telefono (al massimo 1024 pixel e 1 MB), viene inviato a un modello Claude su Amazon Bedrock nell'Unione europea che ne legge titoli e anni, senza il tuo codice account: l'immagine non si conserva, non si scrive nei registri e non serve ad addestrare modelli. Link, testo e immagine non si salvano; per applicare il limite giornaliero degli screenshot contiamo per 2 giorni quanti ne hai inviati. Ti consigliamo di non condividere screenshot con dati personali tuoi o di altri. Base: contratto.

«Cosa non troviamo»: per capire cosa manca nel catalogo, quando una risposta trova pochi titoli conserviamo per 30 giorni solo i criteri strutturati capiti dalla richiesta (generi, anni, lingua, durata, persone e titoli citati come codici del catalogo), con paese e piano, senza il testo e senza alcun collegamento a te. Una volta alla settimana un modello di intelligenza artificiale su Amazon Bedrock nell'UE ne ricava un riepilogo per noi. Base: legittimo interesse a migliorare il servizio.

Le risposte, le motivazioni e le sinossi segnate come generate automaticamente sono scritte da un sistema di intelligenza artificiale, e l'app lo indica nella conversazione (Regolamento UE 2024/1689, art. 50). Quando i modelli non sono disponibili o è stato raggiunto il limite di spesa giornaliero, la risposta è semplificata, l'app lo dice e la ricerca non viene contata.

«Affina i gusti»: quando chiudi un mazzo l'app invia, per ogni scheda, le risposte date e il tempo impiegato a rispondere. Il server li usa per scartare le risposte date a raffica e per assegnare il Couchu Coin regalato del giorno; di ogni mazzo conserva solo i conteggi (risposte valide, scartate ed esito del Coin) per 30 giorni, per non assegnare due volte lo stesso Coin. Base: contratto.

3.5 Ricerche, abbonamento e ricerche acquistate

Per applicare i limiti dei piani (al giorno nella prima settimana, poi sugli ultimi 7 giorni) contiamo le ricerche di ogni giorno, le risposte rapide non contate, i video con premio guardati, gli sblocchi ottenuti con i video e il saldo delle ricerche acquistate, e usiamo la data di creazione dell'account. Abbonamento Premium e ricerche extra si acquistano tramite App Store o Google Play e sono gestiti con RevenueCat, che riceve come identificativo il tuo codice account casuale (il suo SDK nell'app invia anche dati tecnici del dispositivo, come modello, sistema, lingua e indirizzo IP) e registra la cronologia degli acquisti (prodotto, prezzo e valuta, date, identificativi delle transazioni dello store). Noi riceviamo da RevenueCat lo stato dell'abbonamento e le transazioni, che usiamo per attivare il Premium e accreditare le ricerche una volta sola. Non vediamo mai i dati di pagamento: li trattano Apple e Google, che vendono gli abbonamenti come titolari autonomi. Base: contratto; dopo l'eliminazione dell'account, obbligo di legge (vedi il punto 5).

Teniamo anche il saldo dei Couchu Coin regalati dall'app (per «Affina i gusti» e per i video con premio) e il registro dei regali (giorno e tipo), finché non elimini l'account. I Coin regalati non sono acquisti e non allungano la conservazione prevista per i Coin acquistati.

Coin tra amici. Quando regali Couchu Coin a un amico, o gliene chiedi uno, salviamo chi li manda e chi li riceve, quanti, quando, quanti venivano dai Coin regalati e quanti da quelli acquistati (serve se lo store rimborsa un acquisto), il messaggio scelto da una lista fissa (mai un testo libero) e, per le richieste, lo stato (aperta, accolta, rifiutata, ritirata o scaduta: una richiesta scade dopo 24 ore). Se uno store rimborsa un pacchetto che avevi in parte regalato, teniamo anche l'eventuale debito di Coin. L'amico vede il tuo nome con la richiesta o il regalo e, se l'ha permessa, riceve una notifica (interruttore «Amici e liste»); in «Mandati e ricevuti» ognuno vede gli ultimi 90 giorni. Se uno dei due elimina l'account, la riga resta all'altro con «Account eliminato» al posto del nome, senza più alcun collegamento all'account cancellato. Conserviamo trasferimenti e richieste per 400 giorni, per i limiti giornalieri, lo storico e i rimborsi degli store. Base: contratto.

3.6 Annunci e video con premio (Google AdMob)

Nel piano gratuito l'app mostra annunci segnati come "Annuncio": uno tra i consigli, un banner sotto le card dell'ultima risposta e nella scheda di ogni titolo e gioco, annunci negli elenchi (Cerca, Piattaforme, attività degli amici, cronologia, In arrivo) e banner in fondo ad alcune schermate di sola lettura (per esempio Il tuo mese, Il tuo gusto, I tuoi match); mai in "Da vedere", nelle liste condivise, nelle impostazioni o mentre voti. A volte, quando chiudi la scheda di un titolo o di un gioco, il risultato di un match o il riepilogo di «Affina i gusti», compare un annuncio a schermo intero: mai nei primi 7 giorni dall'iscrizione, al massimo 4 al giorno, almeno 4 minuti l'uno dall'altro e mai subito dopo l'apertura da una notifica o da un link. Un video pubblicitario parte solo se lo chiedi: per avere un Couchu Coin regalato (al massimo 3 al giorno) o per sbloccare per un tempo limitato una funzione indicata nell'app; dopo ogni video guardato fino alla fine, per un'ora non vedi annunci. Con Premium non ci sono annunci. Alla fine della configurazione, se scegli "Continua", e poi all'avvio dell'app finché usi il piano gratuito, ti chiediamo le tue scelte con il modulo di consenso di Google (UMP) quando serve e, su iPhone, con la richiesta di Apple sul tracciamento (ATT) se non hai ancora risposto; senza un consenso che lo permetta non chiediamo annunci. Il componente di Google si avvia solo quando deve mostrare il primo annuncio. Gli annunci sono limitati a contenuti adatti a un pubblico dai 13 anni in su. Google AdMob può trattare identificativi del dispositivo (l'ID pubblicità solo se lo consenti), l'indirizzo IP e la posizione approssimativa che se ne ricava, e dati sull'interazione con l'annuncio; con il consenso gli annunci possono essere personalizzati. Per accreditarti il premio di un video comunichiamo a Google il tuo codice account casuale e, per un video di sblocco, il tipo di sblocco, che Google ci restituisce con una conferma firmata. Visti, voti e richieste non vanno mai agli inserzionisti: gli annunci non dipendono da cosa hai chiesto né dai titoli che apri. Base: consenso per la pubblicità personalizzata e per l'accesso ai dati del dispositivo; puoi cambiare le scelte da Impostazioni › Privacy e dati › Consensi per gli annunci. Google è titolare autonomo dei dati trattati per la pubblicità (come Google usa i dati).

3.7 Notifiche push (avvisi su serie, avvisi Premium, riepilogo mensile, notifica serale e novità dell'app)

Puoi attivare, con due interruttori separati, gli avvisi sulle nuove stagioni e i nuovi episodi delle serie che segui (quelle che hai visto, con un voto di almeno 3 stelle o senza voto, o che hai in "Da vedere"), disponibili per tutti, e gli avvisi (Premium) sui titoli della lista "Da vedere" che arrivano o lasciano le tue piattaforme. Salviamo il token delle notifiche del telefono, il tipo di sistema (iOS o Android), il paese, le piattaforme scelte e la lingua, e registriamo quali avvisi ti abbiamo mandato (per le serie, anche la stagione e l'episodio) per non ripeterli, e quali tipi di avviso hai attivi. Con gli avvisi di arrivi e uscite (Premium) ricevi anche, il primo di ogni mese, il riepilogo "Il tuo mese su Couchu" con il consiglio su quali abbonamenti tenere, mettere in pausa o provare, calcolato dalla tua lista "Da vedere" e dai tuoi voti come nella schermata "Il tuo mese"; registriamo il mese in cui te l'abbiamo mandato per non ripeterlo, e se non c'è nessun consiglio non ti scriviamo. Se Premium termina, gli avvisi su arrivi e uscite si fermano e vengono tolti dall'iscrizione dopo 30 giorni (se rinnovi prima, riprendono); gli avvisi sulle serie restano finché li lasci attivi, e l'iscrizione si cancella solo quando non ne resta nessuno. Gli avvisi partono una volta al giorno, dalle 9 (ora italiana), mai di notte. Le notifiche passano dal servizio push di Expo e poi da Apple o Google. Per ogni notifica inviata conserviamo l'identificativo della ricevuta di Expo con il codice account finché non leggiamo l'esito della consegna (al massimo 2 giorni): serve solo a togliere i telefoni che non esistono più e non contiene né il testo né il token. Se Expo ci dice che un telefono non è più registrato, togliamo subito il suo token da tutte le iscrizioni (avvisi, notifica serale, match, amici e liste, novità dell'app). Base: consenso (il permesso del sistema e l'interruttore nelle Impostazioni), che puoi revocare spegnendo l'interruttore.

Trailer. Per trovare i trailer, ogni notte il nostro server cerca su YouTube Data API (Google) il titolo e l'anno dei film e delle serie del catalogo: non invia alcun tuo dato. Conserviamo solo l'identificativo del video e la data dell'ultimo controllo, e lo ricontrolliamo almeno ogni 30 giorni. Nell'app il trailer si carica da youtube-nocookie.com solo quando lo avvii: prima del tocco nessuna richiesta arriva a Google. Da quel momento YouTube riceve l'indirizzo IP e i dati del dispositivo come titolare autonomo, e si applicano i Termini di servizio di YouTube e le Norme sulla privacy di Google. Base: contratto (lo avvii tu).

Se attivi la notifica serale (anche senza Premium), salviamo il token delle notifiche del telefono, il tipo di sistema, il paese, le piattaforme scelte, la lingua, l'ora scelta e il fuso orario del telefono (la notifica arriva a quell'ora nel tuo fuso), e registriamo il giorno in cui te l'abbiamo mandata per non ripeterla. I tre titoli di "Per te stasera" si calcolano dagli stessi dati dei consigli (piattaforme, paese, lingua, voti) e si conservano 7 giorni per non riproporteli. Base: consenso (il permesso del sistema e l'interruttore nelle Impostazioni), che puoi revocare spegnendo l'interruttore: l'iscrizione si cancella subito.

Novità da sfogliare. Con la notifica serale attiva, il venerdì sera (nella stessa fascia della notifica serale) ricevi al suo posto una notifica quando nella settimana sono arrivati sulle tue piattaforme almeno 8 titoli che non hai votato: apre «Affina i gusti» con quei titoli. Il 1° dicembre, sempre al posto della notifica serale, se nell'anno hai visto almeno 10 titoli una notifica annuncia «Il tuo anno su Couchu». Registriamo il giorno e il tipo di notifica inviata per mandarne al massimo una di queste (o una serale) al giorno; il registro si cancella dopo 60 giorni. Base: consenso, che revochi con l'interruttore «Novità da sfogliare» (Impostazioni › Notifiche) per quella del venerdì, o spegnendo la notifica serale per entrambe.

Novità dell'app. Quando pubblichiamo una nuova versione dell'app ti mandiamo una notifica («Couchu si è aggiornata»), al massimo una ogni 3 giorni, solo fra le 9 e le 22 (ora italiana). Se il telefono ha già il permesso delle notifiche, l'interruttore «Novità dell'app» (Impostazioni › Notifiche › Per te) è acceso e l'app registra da sola il token delle notifiche, il tipo di sistema e la lingua; altrimenti lo accendi tu e il sistema ti chiede il permesso. La notifica va al telefono più recente fra quelli che ci hai dato per le altre notifiche. Registriamo quale aggiornamento ti abbiamo annunciato, quando e se la notifica è partita, per non ripeterla e rispettare i 3 giorni; il registro si cancella dopo 90 giorni. La notifica non contiene dati tuoi. Base: consenso (il permesso del sistema e l'interruttore), che puoi revocare spegnendo l'interruttore: le notifiche si fermano per il tuo account, su tutti i telefoni, e il token registrato per questo si cancella.

Progressi. Se accendi l'interruttore «Progressi» (Impostazioni › Notifiche › Per te), che è spento finché non lo accendi tu, la domenica sera (dalle 18, nel fuso del telefono) ti mandiamo al massimo una notifica quando ti manca un solo obiettivo per la settimana riuscita, mai nello stesso giorno di un'altra notifica di scoperta, della sera o degli avvisi. Salviamo il token delle notifiche del telefono, il tipo di sistema e la lingua, e registriamo il giorno in cui te l'abbiamo mandata nello stesso registro delle «Novità da sfogliare» (60 giorni). Base: consenso, che revochi spegnendo l'interruttore.

3.8 Sondaggio per gli ospiti e "Match per due"

Se crei un sondaggio (Premium), salviamo i titoli proposti, il paese, la lingua e le date di creazione, scadenza e chiusura, collegati al tuo account. Chi apre il link vota dal browser senza app e senza account: salviamo i titoli scelti, il nome facoltativo (al massimo 30 caratteri, visibile solo a chi ha creato il sondaggio) e un identificativo casuale del votante generato dal browser, conservato sul server solo come hash. Per limitare i voti dalla stessa rete salviamo un'impronta dell'indirizzo IP (o della sua rete) calcolata con una chiave segreta che cambia a ogni riavvio del server: non permette di risalire all'indirizzo. La pagina del sondaggio salva quell'identificativo, le scelte e il nome nella memoria locale del browser (localStorage) solo per permetterti di cambiare il voto: è strettamente necessario al servizio che chiedi e non è un cookie di profilazione. Il sondaggio si chiude dopo 48 ore (o prima, se lo chiude chi l'ha creato) e viene cancellato 7 giorni dopo la scadenza. Chiunque abbia il link può vedere titoli e numero di voti. Base: contratto.

Il "Match per due" funziona allo stesso modo: salviamo i titoli della risposta da cui parte (o quelli che scegli tu), il paese, la lingua e le date, collegati al tuo account; chi apre il link vota dal browser senza account e salviamo solo i titoli a cui ha detto "sì", se ha finito e l'eventuale nome che sceglie di scrivere. Il tuo voto si registra con un identificativo derivato dal tuo account. Il match scade dopo 24 ore. Chi l'ha creato e chi l'ha ricevuto nell'app lo ritrovano in «Match per due» fino a 7 giorni dopo la scadenza, poi si cancella. Se avete scelto un titolo, dopo quei 7 giorni cancelliamo i voti e gli altri titoli e teniamo solo il titolo scelto, chi c'era e le date, per 90 giorni dalla scadenza: è la sezione «Avete scelto». Base: contratto.

Notifiche del match. Quando crei un match, ne apri uno che ti è stato mandato o colleghi un partner, e il telefono ha già il permesso delle notifiche (o lo dai toccando «Avvisami»), salviamo il token delle notifiche del telefono, il tipo di sistema e la lingua, per avvisarti quando l'altra persona ha votato, quando è un match o quando non avete titoli in comune, e un'ora prima che scada un match che non hai finito (mai fra le 22 e le 8): al massimo una notifica di ciascun tipo per match. La notifica può contenere il nome che l'altra persona ha scritto e il titolo del match. Registriamo quali notifiche abbiamo mandato per non ripeterle; il registro si cancella con il match. Lo stesso token serve anche alle notifiche di amici e liste condivise. Base: consenso (il permesso del sistema e l'interruttore «Match per due» nelle Impostazioni), che puoi revocare spegnendo l'interruttore: le notifiche del match si fermano subito, e il token si cancella quando sono spente anche quelle di amici e liste (e viceversa).

Partner di casa. Se colleghi un partner (serve un account Apple o Google), salviamo il nome che scegli (solo il nome di battesimo, al massimo 30 caratteri: Apple o Google possono proporlo, ma lo confermi o lo cambi tu; mai l'email), il collegamento fra i due account e, finché non viene usato o non scade dopo 48 ore, il codice d'invito. Il tuo partner vede il tuo nome e tu il suo; i match che vi mandate si votano nell'app e chi lo riceve vede il risultato e il proprio voto, non i "sì" degli altri. Puoi scollegarti in ogni momento dalle Impostazioni: il collegamento si cancella subito per entrambi, e si cancella anche eliminando l'account. Base: contratto.

«Per noi due» e i voti del partner. Con «Per noi due» chi chiede un consiglio usa anche i gusti del partner: il server aggiunge alla richiesta, verso il modello di intelligenza artificiale su Amazon Bedrock nell'UE, i 5 titoli più recenti che il partner ha amato e quelli che ha votato male, indicandolo solo come «Partner», mai con il nome o il codice account. Lo facciamo solo dopo il sì del partner: finché non risponde, o se dice no, i suoi voti non si usano. Chi vuole usare i voti dell'altro gli manda una richiesta (una riga in Stasera e in Partner di casa e, se le ha permesse, una notifica); salviamo la risposta di ciascuno (sì, no o nessuna risposta) e la data dell'ultima richiesta. Il partner cambia idea in ogni momento con l'interruttore in Impostazioni › Partner e amici › Partner di casa, e la scelta vale dalla richiesta successiva; collegando o scollegando un partner le risposte si azzerano. Chi riceve i consigli vede i titoli scelti, non i voti del partner. Base: consenso del partner (art. 6, par. 1, lett. a GDPR), revocabile dallo stesso interruttore; per chi chiede, contratto.

Amici. Se ti colleghi a un amico con un codice (serve un account Apple o Google e un nome), salviamo il collegamento fra i due account e, per 48 ore o fino a 10 usi, il tuo codice d'invito. Il partner di casa diventa anche un amico. I tuoi amici vedono il tuo nome, i titoli che segni come visti dall'app con le stelle e quelli che aggiungi a "Da vedere" negli ultimi 30 giorni; non vedono le ricerche, le conversazioni, i titoli importati da altri servizi, quelli valutati nell'onboarding o nel mazzo «Affina i gusti», i titoli che hai escluso né le tue liste personali. Con l'interruttore «Condividi la mia attività» (Impostazioni › Partner e amici) smetti di mostrarla, e smetti anche di vedere quella degli altri. Puoi rimuovere un amico in ogni momento: il collegamento si cancella subito per entrambi. Quando qualcuno accetta il tuo invito ti mandiamo una notifica, se l'hai permessa. Per non mostrare ad altri l'identificativo del tuo account, gli amici ti vedono con un codice derivato da esso con una chiave segreta. Puoi mandare un Match per due a un amico: riceve il tuo nome con il match, lo vota nell'app e tutti e due ricevete il risultato. Sotto un consiglio, l'app può scrivere «Piace a…» con il nome di al massimo due amici che hanno dato 4 o 5 stelle a quel titolo dall'app: solo se tutti e due condividete l'attività, con le stesse regole qui sopra (niente titoli importati, dell'onboarding o del mazzo), e senza salvarlo insieme al consiglio. Gli inviti a partner, amici e liste si mandano anche come link couchu.app/l/…: la pagina del sito legge solo il tipo di invito dal link e non riceve nomi. Base: contratto.

Liste condivise. Se crei una lista condivisa o ci entri (con un codice valido 7 giorni o perché un amico ti aggiunge), salviamo il nome della lista, chi ne fa parte e da quando, i titoli con chi li ha aggiunti e i cuori. Tutte le persone della lista vedono il nome della lista, i nomi dei membri, i titoli, chi li ha aggiunti e i cuori; nient'altro di te. Se esci, i titoli che hai aggiunto restano nella lista senza il tuo nome e i tuoi cuori si cancellano; se esce o elimina l'account chi l'ha creata, la lista passa a chi è entrato per primo, e si cancella quando esce l'ultima persona. Ti mandiamo una notifica quando qualcuno ti aggiunge a una lista, quando qualcuno entra in una tua lista e quando vengono aggiunti titoli (al più una ogni 3 ore per lista, mai tra le 22 e le 8, ora italiana: aspettano le 8), se l'hai permessa; l'interruttore «Amici e liste» nelle Impostazioni le spegne. Finché una di queste notifiche aspetta di partire conserviamo il nome di chi l'ha causata, la lista e il titolo; la cancelliamo un giorno dopo l'invio, o prima insieme all'account di chi la riceve o di chi l'ha causata. Una lista può essere di film e serie, di giochi da tavolo o di videogiochi: per i giochi vale lo stesso. Base: contratto.

Foto dell'account Google. Se colleghi un account Google, a ogni accesso salviamo l'indirizzo della foto del profilo che Google ci dà (Apple non ne dà, quindi a chi usa solo Apple non chiediamo nulla). La mostriamo ai tuoi amici, alle persone delle tue liste condivise e nei match solo dopo che hai scelto «Mostra la foto», quando l'app te lo chiede o con «Mostra la foto del mio account Google» (Impostazioni › Partner e amici); finché non rispondi vedono solo l'iniziale del tuo nome. Se scegli «Usa l'iniziale», o spegni l'interruttore, cancelliamo l'indirizzo salvato e non lo salviamo più ai prossimi accessi; se poi cambi idea, la foto torna al prossimo accesso con Google. L'immagine viene caricata dai server di Google, che ricevono così l'indirizzo IP di chi la guarda. Si cancella anche con l'account. Base: consenso, revocabile in ogni momento dallo stesso interruttore.

3.9 Segnalazioni di errore (Sentry)

Solo se l'app si blocca o va in errore inviamo a Sentry (organizzazione nell'Unione europea) un rapporto tecnico (tipo di errore, punto del codice, modello del telefono, versione del sistema e dell'app) senza codice account, testi scritti, corpi delle richieste, parametri delle ricerche o schermate; non inviamo misure di prestazioni né dati sulle sessioni, e Sentry non conserva l'indirizzo IP. Base: legittimo interesse a correggere gli errori; leggere questi dati dal telefono è strettamente necessario a fornire il servizio che chiedi (art. 122 Codice privacy).

3.10 Statistiche d'uso (PostHog, solo con consenso)

Le statistiche d'uso sono spente finché non le attivi nelle Impostazioni. Se le attivi inviamo a PostHog (server nell'Unione europea) eventi fissi con codici, numeri e valori sì/no, più i dati tecnici che il suo SDK aggiunge (modello del telefono, sistema, versione dell'app, lingua), legati a un identificativo casuale diverso dal codice account: mai testi, titoli o dati che ti identificano direttamente. Sono dati pseudonimi, non anonimi: non li colleghiamo al tuo account, né attiviamo la geolocalizzazione o la registrazione delle sessioni. Base: consenso, revocabile spegnendo l'interruttore.

3.11 Sicurezza e registri tecnici

Come ogni servizio online, i nostri server e Cloudflare ricevono l'indirizzo IP del dispositivo per consegnare i contenuti e proteggerli da abusi: lo usiamo per limitare il numero di richieste, di nuovi account (al massimo per 24 ore) e di voti ai sondaggi. I registri tecnici dei server non contengono email, indirizzi IP completi, testi delle richieste né altri dati che ti identificano. Base: legittimo interesse alla sicurezza del servizio.

3.12 Verifica dell'integrità dell'app

Per proteggere il servizio da app modificate e da richieste automatiche, quando crei l'account, lo colleghi ad Apple o Google e chiedi un consiglio l'app allega una prova firmata dal sistema del telefono: App Attest di Apple su iPhone, Play Integrity di Google su Android. Su Android la prova viene verificata con il servizio di Google; su iPhone conserviamo la chiave pubblica generata dal telefono per questa installazione, con la data di creazione e dell'ultimo uso. Le prove non contengono il tuo nome né il tuo account Apple o Google. Base: legittimo interesse alla sicurezza del servizio; è strettamente necessario per fornirlo in modo sicuro (art. 122 Codice privacy).

3.13 Aggiornamenti dell'app e locandine

All'avvio l'app controlla se c'è un aggiornamento presso il servizio di aggiornamenti di Expo, che riceve l'indirizzo IP, il sistema, la versione dell'app e un identificativo casuale dell'installazione. Locandine e loghi delle piattaforme si caricano dai server di Movie of the Night, il fornitore della Streaming Availability API, che riceve l'indirizzo IP del telefono (o del browser, nella pagina del sondaggio) come per qualsiasi immagine scaricata da Internet; non riceve il tuo codice account. Base: legittimo interesse a far funzionare e aggiornare l'app.

3.14 Sito e iscrizione alla beta

Il sito non usa cookie di profilazione, strumenti di analisi né pubblicità. Cloudflare, che protegge il sito, può impostare cookie tecnici (per esempio __cf_bm) per distinguere le persone dai bot: sono strettamente necessari e non richiedono consenso. Se ti iscrivi alla beta conserviamo l'indirizzo email, la lingua della pagina e la data del consenso, e lo usiamo solo per scriverti sulla beta e sul lancio. Finora non abbiamo inviato email; quando lo faremo, ognuna avrà un link per disiscriversi. Base: consenso, che puoi revocare in qualsiasi momento scrivendoci; la revoca non rende illecito quanto fatto prima.

3.15 Progressi, badge e sorprese

Per gli obiettivi della settimana, la serie, i punti, i livelli e i badge («La tua settimana», «I tuoi progressi») il server conta per ogni giorno (ora italiana) le ricerche, i mazzi di «Affina i gusti» completati, i match che crei o voti dall'app, i titoli che aggiungi e i cuori che metti nelle liste condivise e i giri della ruota (con le volte in cui scegli il titolo estratto), più i totali di sempre per i badge; salva punti, serie, pause e i badge ottenuti con la data. Alla prima apertura dei progressi alcuni badge si calcolano una volta dai dati che hai già (voti, mazzi, match, liste). Gli amici vedono il tuo livello e i badge che ottieni solo se tutti e due condividete l'attività (punto 3.8), mai i conteggi. Per le sorprese di alcuni giorni dell'anno e delle uscite che aspetti, l'app salva sul server il fuso orario del telefono (per esempio «Europe/Rome»), così il giorno è quello giusto anche se non usi le notifiche; registriamo quali sorprese ti abbiamo proposto ogni giorno, quelle che trovi e le caselle di «Aspettando le feste» che apri, con i tre titoli della prima casella. Le frasi che accennano a un'uscita senza nominarla sono scritte dal modello di intelligenza artificiale del piano gratuito su Amazon Bedrock nell'UE una volta per titolo o gioco e lingua, uguali per tutti e a partire solo dai dati del catalogo: non contengono dati personali. Niente di tutto questo dà Coin o Premium. Base: contratto.

4. Dati che restano sul telefono

Non arrivano al nostro server, salvo quanto serve a ogni singola richiesta e quanto salviamo sull'account collegato (punto 3.3.1): preferenze (paese, piattaforme, lingua, tema), la cronologia delle conversazioni (le ultime 100), gli ospiti della "Serata di gruppo", la richiesta rimandata a domani, le scelte sul consenso e i tre titoli del giorno con le loro piattaforme che l'app passa al widget "Per te stasera", se lo aggiungi alla schermata Home. Sul telefono restano anche i badge che hai già visto, per segnarti quelli nuovi. Si cancellano eliminando l'account dall'app o disinstallandola.

5. Per quanto tempo

  • Titoli proposti in "Per te stasera" e giorni in cui ti abbiamo mandato la notifica serale: 7 giorni; iscrizione alla notifica serale: finché non la spegni o non elimini l'account.
  • Account, visti, voti, "Da vedere", liste personali, collezione dei giochi (da tavolo e videogiochi), collegamento Apple o Google, conteggi delle ricerche e saldo delle ricerche acquistate: finché non elimini l'account. Eliminandolo dall'app li cancelliamo subito dal database.
  • Preferenze e conversazioni sull'account collegato: finché l'account resta collegato e non le cancelli; una conversazione cancellata sparisce dal server alla sincronizzazione successiva (ne teniamo solo l'identificativo e la data per 90 giorni, per cancellarla anche sugli altri telefoni). Si cancellano anche scollegando l'ultimo provider o eliminando l'account.
  • Elenco delle coppie di titoli simili (punto 3.2): ricalcolato ogni notte; non contiene dati personali.
  • Segnali di «Affina i gusti», saldo dei Coin regalati e registro dei regali: finché non elimini l'account. Esiti dei mazzi di «Affina i gusti»: 30 giorni.
  • Account inutilizzati: cancellati con tutti i loro dati dopo 24 mesi senza uso, o 60 mesi se hanno ancora ricerche acquistate (mai con Premium attivo).
  • Testo delle richieste: non conservato; risposte in cache: 10 minuti, cancellate entro la notte successiva; interpretazione della richiesta nella memoria del server: un'ora.
  • Regole di «Cosa ricordo»: finché non le togli o non elimini l'account. «Il tuo anno su Couchu»: la frase con i suoi numeri finché non elimini l'account. «Che titolo è?»: link, testi e screenshot non conservati; conteggio giornaliero degli screenshot 2 giorni. «Cerca per trama»: la frase non si conserva; risultati in cache 7 giorni, conteggio giornaliero 2 giorni. Criteri delle risposte con pochi risultati («Cosa non troviamo»): 30 giorni, senza testo e senza collegamento all'account.
  • Chiavi della verifica d'integrità (iPhone): 12 mesi dall'ultimo uso.
  • Eventi ricevuti da RevenueCat, conferme dei video con premio e sblocchi ottenuti con i video: 90 giorni.
  • Token delle notifiche e impostazioni degli avvisi: finché gli avvisi sono attivi (gli avvisi Premium, al massimo 30 giorni dopo la fine di Premium); registro degli avvisi inviati: 60 giorni; mesi in cui ti abbiamo mandato il riepilogo mensile: 13 mesi; notifiche delle novità dell'app inviate: 90 giorni (il token, finché l'interruttore resta acceso); ricevute delle notifiche (identificativo del ticket di Expo): fino alla lettura dell'esito, al massimo 2 giorni.
  • Consiglio sugli abbonamenti salvato (punto 3.2): 6 ore. Impronte dei token di Apple o Google già usati (punto 3.3): fino alla scadenza del token.
  • Sondaggi e voti: fino a 7 giorni dopo la scadenza (48 ore dalla creazione).
  • Collegamento con Trakt e la sua autorizzazione cifrata: finché non lo scolleghi o non elimini l'account (i titoli importati restano come gli altri visti). Risposta al partner sull'uso dei voti: finché non la cambi, non cambi partner o non elimini l'account. Registro delle «Novità da sfogliare» inviate: 60 giorni.
  • Nome, collegamento con il partner e iscrizione alle notifiche del match e di amici e liste: finché non li togli o non elimini l'account; codici d'invito del partner: 48 ore, poi cancellati nella pulizia notturna; registro delle notifiche del match: fino alla cancellazione del match.
  • Amici, liste condivise (con titoli e cuori), foto dell'account Google e scelta di condividere l'attività: finché non li togli, non esci dalla lista o non elimini l'account; codici d'invito degli amici: 48 ore (al più 10 usi); codici delle liste: 7 giorni; i codici scaduti si cancellano nella pulizia notturna; notifiche di amici e liste: al più 10 minuti dopo che dovevano partire (alle 8, per quelle trattenute di notte), poi un giorno dall'invio, quindi si cancellano.
  • Coin mandati e ricevuti e richieste di Coin: 400 giorni, poi cancellati nella pulizia notturna (nell'app si vedono gli ultimi 90 giorni); debito di Coin: finché non è coperto o non elimini l'account. Contatori delle attività, punti, serie, livello, badge, sorprese trovate, caselle di «Aspettando le feste» aperte e fuso orario salvato: finché non elimini l'account; sorprese proposte ogni giorno: 14 giorni; frasi delle sorprese delle uscite: non sono dati personali. Interruttore «Progressi»: finché non lo spegni.
  • Registri tecnici dei server: 14 giorni. Rapporti di errore (Sentry): fino a 90 giorni. Statistiche d'uso (PostHog): fino a 12 mesi.
  • Cronologia degli acquisti presso RevenueCat: resta anche dopo l'eliminazione dell'account, per 10 anni, perché documenta vendite e rimborsi che siamo tenuti a conservare per obblighi fiscali e contabili (art. 2220 c.c. e art. 22 DPR 600/1973; art. 17, par. 3, lett. b ed e, GDPR). È legata solo al codice account casuale, che dopo l'eliminazione non ci permette più di risalire a te. Apple e Google conservano i propri dati sugli acquisti secondo le loro regole.
  • Copie di sicurezza cifrate del database: si sovrascrivono a rotazione; un dato cancellato può restarvi fino alla scadenza della copia, senza essere usato.
  • Email della beta: finché non revochi il consenso e comunque non oltre 24 mesi dall'iscrizione, poi cancellata in automatico; dopo la revoca la cancelliamo entro 30 giorni.

6. Fornitori e trasferimenti

Questi fornitori trattano dati per nostro conto come responsabili del trattamento, salvo dove indicato:

  • Amazon Web Services (regione eu-south-1, Milano, Italia): server, database, registri e modelli di Amazon Bedrock nell'UE.
  • Cloudflare: DNS, protezione e consegna del sito e dell'API.
  • RevenueCat: gestione di abbonamenti e ricerche acquistate.
  • Google AdMob: annunci del piano gratuito e video con premio (titolare autonomo per la pubblicità).
  • Sentry: segnalazioni di errore.
  • PostHog (regione UE): statistiche d'uso, solo con il tuo consenso.
  • Expo: consegna delle notifiche push e degli aggiornamenti dell'app.
  • Apple e Google: accesso facoltativo, store, pagamenti, notifiche e verifica d'integrità dell'app (titolari autonomi).

Ricevono inoltre l'indirizzo IP, come titolari autonomi, Movie of the Night quando l'app o la pagina del sondaggio scaricano locandine e loghi, e Wikimedia Foundation per le ricerche dei titoli inoltrate a Wikidata (punto 3.4). Google riceve l'indirizzo IP di chi guarda la foto di un account Google (punto 3.8) o avvia un trailer (punto 3.7). Se colleghi Trakt, Trakt (Stati Uniti) riceve dal nostro server, come titolare autonomo, le richieste di lettura fatte con la tua autorizzazione (punto 3.2). Se importi la tua libreria Steam, Valve (Stati Uniti) riceve dal nostro server, come titolare autonomo, il link o l'identificativo del profilo che hai scritto (punto 3.2).

Alcuni di questi fornitori hanno sede negli Stati Uniti e possono trattare dati tecnici fuori dall'Unione europea: il trasferimento è coperto dall'EU-US Data Privacy Framework, dove il fornitore vi aderisce, o dalle clausole contrattuali standard della Commissione europea. Non vendiamo i tuoi dati a nessuno.

7. I tuoi diritti

Puoi chiederci in qualsiasi momento di accedere ai tuoi dati, correggerli, cancellarli, limitarne il trattamento, riceverli in un formato leggibile (portabilità) o opporti al trattamento basato sul legittimo interesse. Molto lo puoi fare da solo nell'app: Impostazioni › Privacy e dati › Esporta i miei dati (file JSON con tutto ciò che il server conserva sul tuo account, compresi i match ricevuti come partner, le preferenze delle notifiche del match e di amici e liste senza il token, i titoli di "Per te stasera", gli esiti dei mazzi di «Affina i gusti», il consiglio sugli abbonamenti salvato, il nome, il partner, gli amici, le liste condivise con la data in cui sei entrato e quella in cui è stato aggiunto ogni titolo, la foto dell'account Google con la tua scelta e l'interruttore, il registro delle novità dell'app, la tua risposta sull'uso dei voti da parte del partner, le frasi di «Il tuo anno», l'interruttore e il registro delle «Novità da sfogliare» e se Trakt è collegato, senza la sua autorizzazione, i Coin mandati e ricevuti con le richieste e l'eventuale debito, progressi, badge, contatori delle attività, sorprese trovate e caselle di «Aspettando le feste»), Impostazioni › Privacy e dati › Elimina account, gli interruttori di statistiche e avvisi, l'interruttore «Usa i miei voti per i consigli di tutti» per opporti all'uso dei tuoi voti nei consigli da gusti simili (legittimo interesse, art. 21 GDPR) e Consensi per gli annunci. In Impostazioni › Partner e amici correggi il nome che vedono gli altri, scolleghi il partner, rimuovi gli amici, spegni «Condividi la mia attività», revochi il consenso alla foto («Mostra la foto del mio account Google») e, in Partner di casa, quello all'uso dei tuoi voti in «Per noi due»; in Impostazioni › Account e piano scolleghi Trakt; in Impostazioni › Notifiche spegni ciascun tipo di notifica. Revocare un consenso non rende illecito il trattamento fatto prima (art. 7, par. 3, GDPR). Per le richieste via email scrivi a [email protected] indicando il codice account che trovi nelle Impostazioni: rispondiamo entro un mese. Vedi anche la pagina Elimina account.

Se ritieni che il trattamento violi il GDPR puoi presentare reclamo al Garante per la protezione dei dati personali o all'autorità di controllo del paese dell'Unione europea in cui vivi o lavori (art. 77 GDPR).

8. Decisioni automatizzate

I consigli sono generati automaticamente, ma servono solo a suggerirti cosa guardare: non prendiamo decisioni automatizzate che producano effetti giuridici o che incidano in modo analogo su di te (art. 22 GDPR). Il profilo dei gusti e i consigli da gusti simili (punto 3.2) sono una forma di profilazione (art. 4, punto 4, GDPR) che serve solo a scegliere e ordinare i titoli da suggerirti, non a valutarti: puoi ignorare i consigli, cercare i titoli da solo e opporti all'uso dei tuoi voti per i consigli di tutti.

9. Minori

Couchu è pensata per chi ha almeno 14 anni, l'età dalla quale in Italia si può acconsentire da soli ai servizi online (art. 2-quinquies Codice privacy) e usare sistemi di intelligenza artificiale senza il consenso dei genitori (art. 4 L. 132/2025). Negli altri paesi dello Spazio economico europeo vale l'età fissata dal tuo paese per acconsentire da soli ai servizi online, tra 13 e 16 anni (art. 8 GDPR). Se sei più giovane, puoi usarla solo con il consenso di un genitore. Negli store l'app è classificata per un pubblico dai 16 anni in su.

10. Fonti dei dati su film e serie

Le informazioni sui titoli non sono dati personali e provengono da fonti esterne, che ringraziamo:

11. Modifiche

Se cambiamo questa informativa aggiorniamo la data in alto; per modifiche importanti ti avviseremo nell'app prima che si applichino.