Informativa sul Trattamento dei Dati

In vigore dal: 14 maggio 2026 · v1.0 · GDPR art. 13 · D.lgs. 196/2003

1. Titolare del Trattamento

Gökhan Camcı (imprenditore individuale con marchio SOU) — Istanbul, Türkiye
Contatti: kvkk@souprivate.com

Modello operativo: SOU non conserva dati personali appartenenti a categorie particolari (modelli biometrici, certificati del casellario giudiziale) sui propri sistemi. Le verifiche di identità e di affidabilità sono effettuate da terzi autorizzati (Persona KYC, sistema QR E-Devlet del Ministero della Giustizia turco); SOU conserva esclusivamente l'esito della verifica («verificato / non verificato»). In caso di modifica del modello di conservazione, la presente informativa sarà aggiornata di conseguenza.

2. Dati Personali Trattati

Categoria	Tipo di dato	Base giuridica
Identificativi	Nome e cognome, data di nascita	GDPR art. 6/1/b · esecuzione del contratto
Contatto	Indirizzo e-mail, numero di telefono	GDPR art. 6/1/b · esecuzione del contratto
Posizione (approssimativa)	Città, quartiere (dichiarazione dell'utente). Inoltre, quando sono attive le funzioni «membri nelle vicinanze» / check-in automatico, viene utilizzata la posizione approssimativa del dispositivo: sul server non viene conservata la coordinata GPS esatta; la posizione viene arrotondata a una precisione di ~111 m e conservata in modo temporaneo (al massimo 5 minuti). Il testo di posizione inserito durante l'aggiunta di un luogo viene inviato a OpenStreetMap Nominatim (UE).	GDPR art. 6/1/a · consenso
Immagini	Fotografie del profilo (metadati EXIF rimossi)	GDPR art. 6/1/a · consenso
Esito della verifica di identità	Output Persona KYC: flag verified=true/false. Il documento d'identità, il numero d'identità nazionale e il selfie biometrico non vengono conservati sui sistemi SOU — trattati da Persona, l'esito viene restituito.	GDPR art. 6/1/b · esecuzione del contratto
Esito della verifica del casellario	L'utente carica un documento QR E-Devlet; il sistema QR del Ministero della Giustizia turco effettua la verifica. SOU conserva solo l'esito clean=true/false; il documento stesso non viene conservato.	GDPR art. 6/1/b · esecuzione del contratto
Preferenze d'intento	Intento (conoscenza / amicizia / professionale / conversazione), risposte ai prompt	GDPR art. 6/1/a · consenso
Comportamentali	Drop reactions, metriche di affidabilità, vouch graph	GDPR art. 6/1/f · legittimo interesse
Profilazione (inferenze)	Categorie dedotte dal testo del tuo profilo e dalle tue preferenze in-app (valori, interessi, stile di comunicazione), nonché un indicatore di affidabilità calcolato dalle tue decisioni di drop — utilizzati esclusivamente per l'abbinamento. Un editor umano è nel processo decisionale (nessuna decisione esclusivamente automatizzata).	GDPR art. 6/1/f · legittimo interesse
Transazionali	Metadati abbonamento Apple, stato del pagamento (nessun dato di carta conservato)	GDPR art. 6/1/b · esecuzione del contratto
Tecnici	Tipo di dispositivo, versione OS, versione app, IP, token push	GDPR art. 6/1/f · legittimo interesse

Nota: SOU non conserva documenti d'identità, modelli biometrici, certificati del casellario o altri dati grezzi di categorie particolari. La verifica è effettuata con il consenso dell'utente da sub-responsabili autorizzati (Persona, sistema QR del Ministero della Giustizia turco); SOU tratta solo il flag-esito. Base giuridica: GDPR art. 13.

3. Finalità del Trattamento

Valutazione e approvazione della candidatura di iscrizione
Preparazione dell'incontro curato (Drop)
Apertura dell'abbinamento e del canale di messaggistica
Trust & Safety (verifica dell'identità, gestione delle segnalazioni, ban)
Adempimento di obblighi di legge
Risposta alle richieste di esercizio dei diritti dei consumatori

4. Trasferimenti verso Paesi Terzi (GDPR artt. 44–49)

I seguenti fornitori di servizi terzi operano come responsabili del trattamento al di fuori dello Spazio Economico Europeo. I trasferimenti avvengono sulla base del consenso esplicito e delle Clausole Contrattuali Standard (SCC) approvate dalla Commissione europea:

Fornitore	Sede	Dati	Base giuridica
Firebase / Google Cloud	europe-west3 (Francoforte)	Tutto Firestore + Storage	SCC + residenza UE
OpenAI	USA	Contenuto dei messaggi (moderazione di sicurezza + analisi della salute della conversazione), testo bio/prompt del profilo (embedding di abbinamento), registrazione vocale di presentazione (trascrizione Whisper), categorie di profilo raggruppate in bucket (testo editoriale del Drop)	Consenso esplicito (AI Consent Sheet) + DPA/SCC
Google Cloud Vision	USA / globale	Fotografie caricate (scansione di sicurezza per contenuti inappropriati / NSFW + rilevamento volti)	Consenso esplicito + DPA/SCC
OpenStreetMap Nominatim	UE	Testo di posizione/ricerca inserito durante l'aggiunta di un luogo (conversione coordinate→indirizzo)	Legittimo interesse + condizioni d'uso pubbliche dell'API
Persona (KYC)	USA	Documento d'identità, selfie biometrico	Consenso esplicito + SOC2 Type II + DPA
RevenueCat	USA	UID, metadati abbonamento	SCC + contratto
Resend (e-mail)	UE	Indirizzo e-mail di contatto	DPA UE
Sentry	UE (regione DE sentry.io)	Log degli errori (PII oscurati)	DPA UE
Apple App Store	USA/UE	Apple ID, ricevute di acquisto	Apple Developer Agreement
Twilio (SMS, opzionale)	UE/UK	OTP telefono	DPA + SCC

5. Periodo di Conservazione (GDPR art. 5, par. 1, lett. e)

Dati della waitlist web: conservati dalla data della candidatura fino al lancio dell'app + 6 mesi. Se il lancio non avviene, vengono eliminati entro e non oltre il 31 dicembre 2027. Le candidature rifiutate vengono eliminate 90 giorni dopo la decisione.
Dati dei membri attivi: per tutta la durata dell'iscrizione
Dopo la chiusura dell'account: 30 giorni di grace period in soft-delete
Dopo 30 giorni: eliminazione definitiva (anonimizzazione di messaggi, drop e vouch)
Report (T&S): 3 anni in forma anonima (obbligo di legge)
Audit log: 3 anni (onere della prova ai sensi del GDPR art. 5, par. 2)

6. Diritti dell'Interessato (GDPR artt. 15–22)

I seguenti diritti possono essere esercitati scrivendo a kvkk@souprivate.com oppure tramite Impostazioni → Richiesta Privacy nell'applicazione:

Diritto di sapere se i propri dati personali vengono trattati (art. 15)
Diritto di ottenere informazioni sul trattamento (art. 15)
Diritto di conoscere le finalità del trattamento (art. 15)
Diritto di conoscere i destinatari nazionali e internazionali (art. 15)
Diritto di rettifica dei dati incompleti o inesatti (art. 16)
Diritto alla cancellazione (art. 17) (Impostazioni → Chiudi Account)
Diritto alla portabilità dei dati in formato leggibile da macchina (Impostazioni → Scarica i miei dati, GDPR art. 20)
Diritto di opposizione alle decisioni automatizzate (GDPR art. 22 — per opporsi alla logica di selezione dei Drop: kvkk@souprivate.com)

La risposta alla richiesta sarà fornita entro 30 giorni.

7. Utilizzo dell'Intelligenza Artificiale

Il nostro principale fornitore di intelligenza artificiale è OpenAI (USA). Per la sicurezza del servizio e la qualità dell'abbinamento, vengono trattati i seguenti dati:

Messaggi della conversazione: i messaggi di testo che invii vengono trasmessi a OpenAI per la sicurezza della community (moderazione) e per l'analisi della salute/del rischio della conversazione.
Bio del profilo / risposte ai prompt: vengono convertiti in un vettore numerico tramite il modello di embedding di OpenAI per il calcolo della similarità di abbinamento. Questa operazione viene effettuata solo se hai prestato il tuo consenso esplicito; se non lo presti o lo revochi, il tuo testo non viene trasmesso a OpenAI.
Presentazione vocale: la registrazione vocale di presentazione viene inviata a OpenAI Whisper per essere trascritta in testo.
Fotografie: le fotografie caricate vengono trasmesse a Google Cloud Vision per la scansione di contenuti inappropriati (NSFW).
Testo editoriale del Drop: per il testo "perché sei stato selezionato" vengono trasmesse a OpenAI categorie raggruppate in bucket (fascia d'età, gruppo professionale, quartiere) prive di nome e fotografia.

Con questi fornitori sono applicati accordi sul trattamento dei dati (DPA) e Clausole Contrattuali Standard (SCC). La decisione finale di abbinamento spetta a un editor umano (House Council); l'AI non produce decisioni automatizzate in modo autonomo (in conformità al GDPR art. 22). Puoi rifiutare il trattamento tramite AI dalla schermata AI Consent all'interno dell'applicazione.

8. Misure di Sicurezza (GDPR art. 32)

I token di autenticazione sono conservati in iOS Keychain / Android Keystore
I metadati EXIF delle fotografie vengono rimossi prima del caricamento
L'accesso alle fotografie avviene tramite URL firmati con TTL di 5 minuti
Nessun dato personale viene trasmesso a Sentry (lista di redaction a 45 chiavi)
Comunicazione dispositivo-server tramite TLS 1.3
Firebase Security Rules con whitelist a livello di campo

9. Protezione dei Minori

SOU è destinato a utenti di età pari o superiore a 21 anni. La verifica dell'età è obbligatoria tramite KYC Persona. Le candidature di utenti miori di 21 anni vengono rifiutate e i relativi dati eliminati.

10. Contatti e Reclami

Richieste in materia di protezione dei dati: kvkk@souprivate.com · risposta entro 30 giorni
In caso di mancata risposta, l'interessato ha il diritto di proporre reclamo al Garante per la protezione dei dati personali (GDPR artt. 13, 77).