Informativa sulla privacy — Step Swap

Versione: 2.4 · Data di entrata in vigore: 2026-11-02

Step Swap aiuta le persone con taglie di scarpe diverse a trovare una corrispondenza e a scambiare scarpe. Questa informativa spiega quali dati personali trattiamo e i tuoi diritti su di essi.

Titolare del trattamento: Vitalii Bartashchuk (imprenditore individuale, živnostník), con sede professionale in Za vodou 161/2, 032 03 Liptovský Ján, Repubblica Slovacca, IČO 54225337 (registro delle imprese individuali: Živnostenský register Okresného úradu Liptovský Mikuláš, n. 540-24297). Contatto: info@vaet.sk, telefono: +421 952 681 072. Non abbiamo designato un responsabile della protezione dei dati; per qualsiasi questione sulla privacy, scrivi a info@vaet.sk.

1. Dati che raccogliamo

Non vendiamo i tuoi dati personali.

Indicare le tue taglie di scarpe è necessario per abbinarti; il tuo indirizzo e telefono sono necessari per spedire uno scambio. Senza di essi puoi usare l’app, ma non completare uno scambio.

2. Come li usiamo

• Creare il tuo account e autenticarti (accesso Google o Apple, oppure un link o codice monouso che inviamo al tuo indirizzo email).
• Abbinarti ad altri membri per taglia di scarpa (lo stile è un segnale di ordinamento).
• Abilitare la chat e il flusso di scambio delle scarpe.
• Generare etichette di spedizione per uno scambio (indirizzo + telefono sono condivisi con il nostro partner di spedizione solo per lo scambio che avvii).
• Addebitare la commissione di spedizione per scambio quando applicabile (i dati della carta si inseriscono nel checkout ospitato da Stripe e non arrivano mai ai nostri server; conserviamo solo lo stato del pagamento, l’importo e gli identificativi di Stripe).
• Diagnosticare i crash (i report sono ripuliti da indirizzi, telefoni, nomi e testo dei messaggi).
• Mantenere sicuro il sito: le segnalazioni di sicurezza automatiche del tuo browser, ridotte come descritto al §10, vengono inoltrate a Sentry per trovare e correggere ciò che la nostra politica di sicurezza blocca.
• Gestire richieste di assistenza, controversie e verifiche di fiducia e sicurezza. A tal fine, i nostri amministratori per la fiducia e la sicurezza possono consultare il tuo account in sola lettura (vedi §6).
• Comprendere l’uso aggregato per migliorare l’app.
• Prima dell’accesso, permetterti di esplorare la homepage, cercare per taglia di scarpa e vedere conteggi ed esempi di corrispondenze anonimi, oltre alle spese di spedizione pubbliche. Le ricerche per taglia sono inviate ai nostri server solo per calcolare le anteprime e non sono salvate finché non accedi; le taglie in sospeso possono essere conservate nel sessionStorage del browser fino ad allora. Gli esempi non includono mai nomi, foto, email, indirizzo o telefono.
• Se ti iscrivi alla lista d’attesa per taglia, scriverti una sola volta quando si registra un membro con una taglia corrispondente. A quell’indirizzo non inviamo nient’altro — nessuna newsletter, nessuna pubblicità — e ogni email contiene un link di disiscrizione.
• Se ti invitiamo alla domanda sul prezzo delle paia miste, chiederti se vorresti che venisse composto per te un paio misto e con quale commissione di servizio, così da valutare la domanda prima di creare o offrire un servizio del genere. Tramite essa non viene venduto, ordinato né addebitato nulla. Per scegliere chi invitare usiamo dati già presenti nel tuo profilo: le tue taglie di scarpe e su quale piede indossi la scarpa, i modelli che hai segnato come posseduti o desiderati, e i nostri controlli su blocchi, frodi (sybil) e account collegati, così da invitare solo due membri le cui taglie sono speculari tra loro. Le tue risposte non vengono mai mostrate ad altri membri.
• Mostrare un’indicazione di tariffa tipica di scambio a partire dalla regione della lingua del tuo browser — non usiamo GPS né posizione precisa.
• Non usiamo decisioni automatizzate che producano effetti giuridici o similmente significativi su di te — l’abbinamento per taglia è un suggerimento non vincolante che decidi tu se seguire.

3. Basi giuridiche (GDPR)

Ci basiamo su basi diverse per finalità diverse (art. 6 GDPR):

• Esecuzione di un contratto (art. 6.1.b) — il tuo account, l’accesso (con Google, Apple o un link o codice monouso inviato al tuo indirizzo email), l’abbinamento, la chat, il flusso di scambio, le etichette di spedizione e la commissione per scambio. L’accesso è il modo in cui prestiamo il servizio, quindi si basa sul contratto, non sul consenso.
• Consenso (art. 6.1.a) — diagnostica facoltativa di crash/errori, qualsiasi analisi o archiviazione non essenziale (vedi §10) e l’email della lista d’attesa per taglia a cui ti iscrivi (disiscrivendoti lo revochi). Puoi revocarlo in qualsiasi momento.
• Consenso esplicito per dati di categoria particolare (art. 9(2)(a)) — Se indossi una scarpa su un solo piede, usiamo questo fatto per l’abbinamento solo dopo un consenso esplicito nell’app. Ti invitiamo alla domanda di prezzo sulle paia miste solo se prima hai acconsentito, in Profilo → Impostazioni, che usiamo a questo scopo la differenza tra la tua taglia sinistra e destra; conserviamo la tua risposta (e le tue taglie con essa) solo con questo consenso. Puoi rifiutare o ritirare qualsiasi consenso in qualsiasi momento in Profilo → Impostazioni: allora smettiamo quell’uso e, per la domanda di prezzo, cancelliamo la tua riga comprese le taglie salvate.
• Legittimo interesse (art. 6.1.f) — mantenere il servizio sicuro, prevenire abusi e frodi, e correggere errori; bilanciato rispetto ai tuoi diritti. Ciò include le segnalazioni di sicurezza ridotte descritte al §10. Ciò include la consultazione in sola lettura dell’account di un membro da parte dei nostri amministratori per la fiducia e la sicurezza, per gestire richieste di assistenza, controversie e verifiche di fiducia e sicurezza, nonché il registro che teniamo di queste consultazioni (vedi §5 e §6). Ciò include anche la domanda sul prezzo delle paia miste (§2): il nostro interesse a capire se i membri vogliono che venga composto per loro un paio misto, e con quale commissione di servizio, prima di creare o offrire quel servizio. Rispondere è facoltativo, e puoi ignorare o nascondere la domanda. Puoi opporti in qualsiasi momento nell’app (« Non chiedetemelo più ») o scrivendo a info@vaet.sk, e in tal caso cancelleremo le tue risposte.
• Obbligo legale (art. 6.1.c) — conservare i registri di pagamenti e spedizioni per motivi fiscali e contabili (vedi §5).

4. Con chi li condividiamo

Responsabili che agiscono seguendo le nostre istruzioni: Supabase (autenticazione, database, archiviazione degli avatar, hosting), Sightengine (analisi automatica dei caricamenti facoltativi di avatar per rilevare contenuti espliciti od offensivi prima di salvarli; le immagini sono inviate a Sightengine per l’analisi e, secondo la sua policy, non le conserva oltre la chiamata API), Google (accesso), Apple (accesso con Apple (OAuth); con Nascondi la mia e-mail, il relay di Apple inoltra le nostre e-mail al tuo indirizzo reale), Sentry (diagnostica di errori/crash ripulita dai dati personali; solo nella versione web si registrano registrazioni di sessione mascherate delle sessioni che hanno subìto un errore — tutto il testo, i campi e i media sono mascherati; l’app installata non registra registrazioni di sessione; sul web, anche segnalazioni ridotte sulla politica di sicurezza, che non richiedono consenso (vedi §10)), il corriere della tua rotta (attualmente Packeta/Zásielkovňa per Slovacchia/Europa centrale; Sendcloud con il suo corriere, es. Österreichische Post, per Austria/Europa occidentale; Packlink per i pacchi spediti dalla Germania, Posti dalla Finlandia, Hrvatska pošta dalla Croazia e Econt dalla Bulgaria) (nome del destinatario, indirizzo, telefono e, per la consegna a domicilio, email — per generare l’etichetta e consegnare il pacco), Resend (invio delle email: link e codici di accesso, notifiche sugli scambi, email di corrispondenza della lista d’attesa per taglia, conferme di recesso e avvisi operativi al nostro stesso team; Resend tratta l’indirizzo email del destinatario e il contenuto di ogni messaggio, e conserva i messaggi e i registri di consegna negli Stati Uniti) e Vercel (hosting web e analisi rispettose della privacy).

Titolari autonomi. Stripe elabora la commissione di spedizione per scambio e tratta i dati della tua carta come titolare autonomo, in base alla propria informativa sulla privacy — non vediamo mai il numero della tua carta e riceviamo solo lo stato del pagamento, l’importo e gli identificativi della transazione. Per quel pagamento è Stripe — non Step Swap — a decidere come vengono utilizzati i dati della tua carta.

Gli altri membri vedono solo il tuo nome visibile, il tuo avatar, le tue taglie e i tuoi stili. Il tuo indirizzo postale e il tuo numero di telefono non sono mostrati agli altri membri — sono usati unicamente per generare l’etichetta di spedizione e sono condivisi con il corriere per consegnare il pacco.

5. Conservazione dei dati

• Token di revoca Apple — conservato solo per poter chiedere ad Apple di revocare l’accesso di Step Swap quando elimini il tuo account (Apple lo richiede); mai usato per leggere dati, non leggibile dagli altri membri né dall’app, eliminato insieme al tuo account.
• Profilo e dati generali dell’account — il tuo profilo (nome, avatar, taglie di scarpe, stile), dati di contatto e token push, e qualsiasi chat che non abbia fatto parte di uno scambio giunto alla fase di pagamento o di etichetta di spedizione — sono conservati finché il tuo account è attivo e vengono eliminati senza indugio quando elimini il tuo account (vedi §7), a parte il collegamento di identità limitato che manteniamo con i registri sottostanti.
• Registri di pagamenti, spedizioni e scambi — dobbiamo conservare i registri di fatturazione e transazioni ai sensi della normativa fiscale e contabile slovacca, generalmente fino a 10 anni, anche dopo che elimini il tuo account. Poiché quel registro deve identificare a chi si riferisce — perché un pagamento possa essere collegato alla persona che l’ha effettuato, per contabilità, chargeback e frode — li conserviamo con un collegamento limitato alla tua identità durante tale periodo; l’accesso è limitato a tali fini. Basi giuridiche: obbligo legale (art. 6.1.c) e il nostro legittimo interesse a un servizio sicuro e senza frodi (art. 6.1.f).
• Chat di scambi pagati/spediti — per uno scambio giunto alla fase di pagamento o spedizione conserviamo anche i messaggi di chat scambiati per esso, con il collegamento di identità limitato, fino a 3 anni (il termine generale di prescrizione del diritto slovacco) dopo l’eliminazione dell’account — e più a lungo solo finché è aperta una specifica controversia, una pretesa legale o una richiesta di un’ autorità — e successivamente vengono eliminati. Sono mantenuti sotto accesso limitato e usati unicamente per gestire segnalazioni, controversie, frodi e pretese legali. Base giuridica: legittimo interesse a un servizio sicuro e senza frodi e all’accertamento, all’esercizio o alla difesa di un diritto in sede giudiziaria (art. 6.1.f GDPR). L’art. 17.3.e GDPR non è una base giuridica per il trattamento; è l’eccezione che ci consente di conservare questi dati nonostante una richiesta di cancellazione, per gli stessi diritti.
• Registro dei messaggi di assistenza — quando un membro del nostro team di assistenza invia un messaggio in una chat per aiutare a risolvere un problema, conserviamo traccia di quale operatore lo ha fatto e quando — un registro di responsabilità delle azioni di assistenza (non aggiunge alcun nuovo dato personale su di te oltre alla chat stessa). Questo registro è conservato fino a 3 anni, non è leggibile dai membri e — poiché registra un’azione di un operatore — è conservato anche se tale operatore in seguito lascia l’azienda. Base giuridica: il nostro legittimo interesse a un servizio responsabile e resistente agli abusi (art. 6.1.f GDPR).
• Registro degli accessi del personale — quando uno dei nostri amministratori per la fiducia e la sicurezza cerca membri o apre l’account di un membro (vedi §6), registriamo quale amministratore lo ha fatto, quando, di quale account si tratta, quale parte ne ha consultato, il motivo che ha indicato e i termini di ricerca usati. Il registro è conservato fino a 3 anni, non è leggibile dai membri ed è conservato anche se quell’amministratore in seguito lascia l’azienda. Se chiedi una copia dei tuoi dati (art. 15 GDPR), includiamo le voci del registro relative al tuo account. Base giuridica: il nostro legittimo interesse a un servizio responsabile, in grado di dimostrare chi ha consultato i dati dei membri e perché (art. 6.1.f GDPR).
• Diagnostica — i report di errore sono conservati per un periodo limitato (normalmente fino a 90 giorni) e non contengono indirizzi, telefoni, nomi o testo dei messaggi.
• Lista d’attesa per taglia — eliminata entro un giorno dalla tua disiscrizione, 30 giorni dopo che è stata trovata una corrispondenza e ti è stata inviata via email, e al più tardi 12 mesi dopo la tua iscrizione.
• Domanda sul prezzo delle paia miste — le tue risposte, insieme al modello, alle taglie e alle commissioni che ti sono state mostrate, vengono cancellate 12 mesi dopo la chiusura della domanda (si chiude 14 giorni dopo che te l’abbiamo inviata), che tu abbia risposto o no, oppure prima se elimini il tuo account. Base giuridica: il nostro legittimo interesse (art. 6.1.f GDPR, vedi §3).
• Contatori antiabuso — per limitare spam e abusi, contiamo quante volte determinate azioni (ad esempio messaggi, segnalazioni, ricerche o iscrizioni alla lista d’attesa) vengono eseguite in una breve finestra temporale e rifiutiamo ulteriori tentativi una volta raggiunto un limite. Un contatore contiene l’azione, il conteggio e l’inizio della finestra, insieme all’ID del tuo account — oppure, se non hai effettuato l’accesso, un hash del tuo indirizzo IP anziché l’indirizzo stesso (per il modulo di recesso online: l’ID del tuo account o l’indirizzo email che hai inserito). Ogni contatore viene eliminato automaticamente al più tardi 3 giorni dopo l’inizio della sua finestra. Base giuridica: il nostro legittimo interesse a un servizio sicuro e privo di abusi (art. 6.1.f GDPR).

6. Sicurezza

I dati sono cifrati in transito e a riposo. L’accesso al database usa la sicurezza a livello di riga, così che un membro possa leggere solo i propri dati e quelli delle persone con cui condivide una chat, e l’accesso ai nostri sistemi è limitato a quanto necessario per gestire il servizio. Se una violazione di dati personali potesse comportare un rischio per i tuoi diritti, lo notificheremo a te e all’autorità slovacca per la protezione dei dati (Úrad na ochranu osobných údajov SR), come richiesto dal GDPR.

L’accesso del personale agli account dei membri è riservato ai nostri amministratori per la fiducia e la sicurezza. Per aprire l’account di un membro, un amministratore deve accedere con un secondo fattore (un codice di un’app di autenticazione) e indicare un motivo. La consultazione è in sola lettura: non consente di accedere al tuo account, di agire per tuo conto né di modificare i tuoi dati. Mostra il tuo profilo (compresi indirizzo, numero di telefono e indirizzo email), la data della tua registrazione e del tuo ultimo accesso, le tue taglie di scarpe, le scarpe spaiate che offri, le scarpe che hai segnato nel catalogo (come la tua lista dei desideri), i tuoi scambi e il loro stato, e un elenco delle tue chat senza il contenuto dei messaggi. Ogni ricerca e ogni consultazione vengono registrate (vedi §5), e ogni amministratore può effettuare solo un numero limitato di consultazioni all’ora.

Per la domanda sul prezzo delle paia miste, un amministratore che ha effettuato l’accesso con un secondo fattore può vedere anche le risposte date da ciascun membro invitato, elencate per ID del membro con le taglie e le commissioni mostrate a quel membro, senza nomi né dati di contatto. Quell’elenco non fa parte della consultazione dell’account, quindi non viene annotato nel registro degli accessi del personale.

7. I tuoi diritti e l’eliminazione dell’account

Puoi accedere ai tuoi dati e correggerli nell’app, ed eliminare il tuo account in qualsiasi momento — eliminiamo i tuoi dati associati senza indugio, a parte i registri limitati che dobbiamo o possiamo conservare ai sensi del §5 (registri fiscali/contabili e registri necessari per sicurezza, prevenzione delle frodi o pretese legali): nell’app tramite Profilo → Impostazioni → Elimina account, oppure su richiesta — vedi eliminazione dell’account. A seconda di dove vivi, puoi avere anche diritti di portabilità, opposizione/limitazione, revoca del consenso e di presentare un reclamo alla tua autorità per la protezione dei dati. La nostra autorità di controllo capofila sotto il meccanismo dello sportello unico del GDPR è l’Úrad na ochranu osobných údajov SR slovacca (dataprotection.gov.sk). Se vivi in Italia, puoi rivolgerti anche al Garante per la protezione dei dati personali (garanteprivacy.it). Se vivi in un altro paese dell’UE o dello SEE, puoi presentare un reclamo alla tua autorità nazionale — il Comitato europeo per la protezione dei dati tiene un elenco di tutte queste autorità (edpb.europa.eu).

8. Trasferimenti internazionali

Alcuni dei fornitori sopra indicati (es. Google, Stripe, Sentry, Vercel, Resend) possono trattare dati fuori dal SEE, compresi gli Stati Uniti. Resend conserva negli Stati Uniti le email che recapita per nostro conto e i relativi registri di consegna. Tali trasferimenti si basano su garanzie adeguate — le clausole contrattuali tipo dell’UE e/o il Data Privacy Framework UE–USA quando il fornitore è certificato. Puoi richiedere dettagli scrivendo a info@vaet.sk.

9. Minori

Step Swap non è rivolto ai minori di 18 anni e non raccogliamo consapevolmente i loro dati.

10. Cookie e archiviazione locale

Riduciamo al minimo i cookie e l’archiviazione locale:

• Strettamente necessari — Supabase imposta archiviazione/cookie per mantenere la tua sessione attiva e proteggere l’app. Sono indispensabili perché il servizio funzioni e non richiedono consenso.
• Segnalazioni di sicurezza (strettamente necessarie) — quando il tuo browser trova sul sito un contenuto che la nostra politica di sicurezza non consente, invia automaticamente una segnalazione al nostro server. Conserviamo solo la regola attivata, l’origine del contenuto bloccato (ad es. https://example.com, senza il resto dell’indirizzo) e il percorso della nostra pagina, senza query né frammento. Scartiamo il tuo indirizzo IP, i dati del browser, i cookie e la pagina di provenienza, e inoltriamo questo record ridotto a Sentry per poter correggere il sito; Sentry lo conserva per lo stesso periodo delle segnalazioni di errore (§5). Nulla viene salvato sul tuo dispositivo né letto da esso, quindi non serve il consenso.
• Navigazione come ospite (comodità) — se cerchi taglie prima di accedere, le taglie in sospeso possono essere conservate nel sessionStorage del browser finché non accedi o chiudi la scheda; la preferenza di lingua può essere salvata nel localStorage. Nessun account viene creato finché non accedi con Google, Apple o un link o codice monouso che inviamo al tuo indirizzo email.
• Scheda della domanda sul prezzo (comodità) — se nascondi la domanda sul prezzo delle paia miste, l’app lo ricorda sul tuo dispositivo nel localStorage (stepswap-price-question-dismissed, gli ID delle domande che hai nascosto) e non ci invia nulla. Serve solo a tenere la scheda nascosta, quindi non richiede consenso.
• Diagnostica e analisi (consenso) — i report di crash/errori (Sentry) e le analisi di prodotto (Vercel Analytics) sono usati solo con il tuo consenso, ai sensi della Legge slovacca sulle comunicazioni elettroniche (Legge n. 452/2021 Racc.). Quando richiesto, chiediamo prima di impostare qualsiasi archiviazione non essenziale, e puoi cambiare o revocare la tua scelta in qualsiasi momento: alla voce «Analisi d’uso e diagnostica» nel piè di pagina della pagina iniziale, oppure in Profilo → Impostazioni quando hai effettuato l’accesso. Non usiamo cookie pubblicitari o di tracciamento tra siti.

11. Modifiche

Possiamo aggiornare questa informativa. Il numero di versione vigente e la data di entrata in vigore figurano in alto, e conserviamo le versioni precedenti disponibili su richiesta. Annunceremo le modifiche sostanziali nell’app o sul nostro sito web prima che abbiano effetto. L’uso continuato dopo la data di entrata in vigore comporta l’accettazione dell’ informativa aggiornata.

12. Contatto

Richieste o domande: info@vaet.sk.