Informativa sulla privacy — app Lim3n

Ultimo aggiornamento: 31 ottobre 2026.

Cosa è cambiato il 31 ottobre 2026

• Il sito lim3n.com: la pagina iniziale ha un solo script, nostro, per le animazioni. Gira sul tuo dispositivo, non salva niente e non manda niente a nessuno. Cookie e statistiche restano fuori.

Cosa è cambiato il 30 ottobre 2026

• Le corse di Garmin in Royal Runner (dalla versione 1.9.3): una corsa di Garmin arrivata da Salute può conquistare se, entro 12 ore dalla fine, apri con Lim3n il suo file .GPX o .TCX e passa i controlli (chi l'ha scritta, niente inserimenti a mano, battito, ritmo, il file che torna con la corsa). Al nostro server va solo quello che va per le altre corse, preso dal file: i dati di Salute restano sul telefono. Punti 3 e 4.

Cosa è cambiato il 28 ottobre 2026

• I dati fuori dall'Unione europea: quali fornitori possono trattarli anche fuori, e con quale garanzia. E nei diritti, entro quando ti rispondiamo e come verifichiamo che sei tu. «Dati fuori dall'Unione europea» e «I tuoi diritti».

Cosa è cambiato il 26 ottobre 2026

• Le serie della palestra, una per una (dalla versione 1.9.2): per ogni seduta l'app tiene esercizio, chili e ripetizioni (o secondi) di ogni serie, sul telefono e nel backup che esporti; quelle fatte con l'Apple Watch passano all'iPhone col collegamento di Apple. Con il tuo account l'app scarica anche l'elenco degli esercizi, uguale per tutti, per la ricerca e la mappa dei muscoli. Punti 1 e 4 e «Apple Watch».

Cosa è cambiato il 23 ottobre 2026

• L'Apple Watch scarica i disegni degli esercizi dal nostro server, come l'iPhone (dalla versione 1.8). «Apple Watch».
• Il cambio di professionista: cosa tiene chi ti seguiva, e cosa vedi ancora tu. Punto 2.
• La foto di Royal Runner e i blocchi: chi vede la foto, e il blocco che vale nei due versi. Punto 3.
• La copia del database che facciamo noi prima di ogni aggiornamento del server, e per quanto resta. «Conservazione ed eliminazione».
• Più precisi i punti su cosa esce dal telefono (punto 4), Salute, il sensore del battito, l'attività in diretta, la voce, le notifiche e cosa resta sul telefono quando esci dall'account.

Cosa è cambiato il 22 ottobre 2026

• La posizione in pausa e dopo una chiusura (dalla versione 1.9.1): dopo 15 minuti di pausa il GPS si spegne. Se l'app si chiude durante un allenamento, sull'iPhone riparte da sola solo quando è iOS a riaprirla, e se la riapri tu ti chiede prima cosa fare; se non vuoi che riparta da sola, nel Profilo dell'app sull'iPhone spegni «Registra anche ad app chiusa». Sull'orologio riparte solo se watchOS ha tenuto aperto l'allenamento. «Quando l'app usa la posizione».

Cosa è cambiato il 14 ottobre 2026

• Più professionisti nello stesso studio (dalla versione 1.9): in uno studio ti può seguire un professionista per disciplina, ognuno con la sua scheda; la condivisione delle misure si sceglie per ognuno, e «Lascia» vale per uno solo. Punto 2.
• Gli allenamenti di Garmin Connect e WHOOP e il sensore del battito (dalla versione 1.8): se lo accendi, Lim3n legge da Salute gli allenamenti di quelle due app, col loro battito; il battito della fascia o del braccialetto che colleghi va nell'allenamento in Salute; la scheda di palestra fatta con l'iPhone va in Salute. Punto 4.
• Le foto degli altri giocatori di Royal Runner restano solo in memoria finché l'app è aperta: non si salvano più sul telefono. Punto 3.
• I file degli orologi (dalla versione 1.9.1): i .GPX e i .TCX si aprono con Lim3n e restano sul telefono; i .FIT non ancora. Punto 4.
• La lista d'attesa del sito si protegge dagli invii a raffica con un conto per indirizzo IP, che tiene Cloudflare per un minuto; la versione che salviamo è quella dell'informativa breve del modulo. «Il sito lim3n.com» e «Perché li trattiamo».

Cosa è cambiato il 12 ottobre 2026

• La lista d'attesa del sito: nuovo paragrafo in «Il sito lim3n.com», con cosa salviamo, perché e per quanto.

Cosa è cambiato il 6 ottobre 2026

• Royal Runner lo vede solo chi gioca, e degli altri giocatori si vede un identificativo di gioco, diverso da quello del tuo account: chi conosce il tuo account per un'altra strada (per esempio il tuo professionista) non può collegarlo a dove corri. Le foto messe prima di oggi le vedi solo tu finché non ne metti un'altra. Punto 3.
• Le corse di gioco restano due mesi. Alla chiusura di un mese il server cancella corse e aree dei mesi prima del precedente; restano i totali del mese e i premi. Punto 3 e «Conservazione».
• I blocchi tolgono anche dalla classifica e dalla mappa soprannome, simbolo e foto di chi blocchi. Punto 3.
• Le misure condivise restano 90 giorni sul server, e il professionista le vede nella tua scheda in LimenGest. «Esci dall'account» spegne la condivisione con tutti gli studi; una pesata tolta senza rete sparisce dal server appena la rete torna. Punto 2.
• «Lascia questo professionista» scioglie il collegamento con uno studio; il professionista può sospenderlo. Col codice generico dello studio, anche con la stessa email, il collegamento aspetta la sua conferma. Punto 2.
• Le preferenze dell'app (obiettivi, età dichiarata, nome e cognome di Apple, studio scelto) sono uscite dal backup di iCloud, come gli altri dati. Punto 4.
• Il meteo della corsa è spento: l'app non lo chiede a nessuno. Tolto il punto 6 di prima.
• Nuove sezioni su Apple Watch, notifiche e cosa si vede durante la corsa; più precisi i punti su Salute, alimentazione, documenti, backup, fotocamera, la prova del dispositivo di Royal Runner e cosa resta allo studio quando elimini l'account.

Cosa è cambiato il 1° ottobre 2026

• Foto di fine allenamento (dalla versione 1.3.2): la foto che scatti dal mirino va anche nelle Foto del tuo iPhone, da sola; l'interruttore «Salva anche nelle Foto» non c'è più. Sulla scheda da condividere il percorso c'è sempre, ma senza quello che sta entro 400 m dalla partenza e dall'arrivo. «Fotocamera e foto».
• Chi viene escluso da Royal Runner: il profilo di gioco non viene più cancellato, resta nascosto; e dopo che chi modera ha tolto una foto o cambiato un soprannome, per 30 giorni non si rimettono. Punto 3.

Cosa è cambiato il 30 settembre 2026

• Royal Runner parte con l'account (dalla versione 1.3): creando l'account entri anche nel gioco, con un soprannome provvisorio che cambi quando vuoi. Se non vuoi giocare, esci dal profilo di gioco senza chiudere l'account. Punto 3.
• Premi del mese (dalla versione 1.3): gettone, traguardi e bollini. Punto 3.

Cosa è cambiato il 29 settembre 2026

• Analisi della corsa e pacer (dalla versione 1.3): durante la corsa l'app legge anche la quota dal barometro del telefono, e salva il tipo di allenamento che confermi, com'è andata col pacer e la gara che scrivi per il livello di forma. Legge da Salute il battito delle corse, per il carico.

Cosa è cambiato il 28 settembre 2026

• Il sito lim3n.com: nuovo paragrafo su cosa succede quando lo visiti, e Cloudflare fra i fornitori.
• Royal Run ora si chiama Royal Runner: cambia solo il nome del gioco.

Cosa è cambiato il 24 settembre 2026

• Segnalazioni e blocchi in Royal Run, e le parole vietate nei soprannomi. Punto 3.

Cosa è cambiato il 23 settembre 2026

• Posizione. La versione di prima diceva «nessun accesso alla posizione», e non era vero: l'app usa la posizione durante gli allenamenti all'aperto, e con Royal Run una parte esce dal telefono.
• Royal Run, il gioco del territorio; Foto; Account obbligatorio per entrare; Salute; Età (dai 16 ai 17 anni niente calorie né macronutrienti); Cancellazione con i dati di Royal Run.
• Il gestionale dei professionisti ora si chiama LimenGest (prima MassaGEST).

Chi siamo

Lim3n è sviluppata e distribuita da Gabriele Stelitano, contatto: privacy@lim3n.com. Per qualsiasi domanda su questa informativa scrivi a privacy@lim3n.com.

Cosa fa l'app

Lim3n è l'app per chi si allena: corsa e attività all'aperto con il GPS, schede di palestra, peso e misure, diario alimentare, frasi motivazionali e un archivio di documenti di salute, anche con Apple Watch. Ha due parti in cui ci sono altre persone:

• il collegamento a un professionista (massaggiatore, fisioterapista, allenatore o altro operatore) che usa il gestionale LimenGest: prenotare le sedute, vedere le sedute svolte e le sue indicazioni, controllare i pagamenti e aprire le ricevute che ti manda;
• Royal Runner, il gioco in cui, correndo, chiudi un giro e l'area che hai racchiuso diventa tua per il mese, con una classifica per provincia.

Dove vanno i tuoi dati

La regola di fondo non cambia: quello che riguarda il tuo corpo, i tuoi allenamenti e quello che mangi resta sul telefono. Escono solo i dati che servono a qualcuno dall'altra parte (il professionista o gli altri giocatori), l'account che li tiene insieme e le poche richieste ai servizi che l'app usa (punti 1 e 5, «Quando l'app usa la posizione»).

1. Il tuo account (sul server)

Per entrare in Lim3n serve un account, che si crea solo con Accedi con Apple. Sul nostro server (Supabase, data center a Francoforte, nell'Unione Europea) restano:

• l'identificativo che Apple assegna all'app per te e l'email (o l'email di inoltro, se scegli «Nascondi la mia email»);
• un codice di Apple che serve solo a revocare l'accesso quando elimini l'account;
• il codice del tuo iPhone per le notifiche push, se le permetti (vedi «Notifiche»): arriva al server anche se non hai professionisti, e se ne va quando esci dall'account o lo elimini.

Prima dell'accesso dichiari di avere almeno 16 anni: la dichiarazione resta sul telefono, e arriva al server solo quando ti colleghi a un professionista (punto 2). Il nome e il cognome che Apple fornisce al primo accesso restano sul telefono finché non esci dall'account: partono solo se ti colleghi a un professionista.

Dal server l'app scarica anche i disegni degli esercizi della tua scheda, sull'iPhone e sull'Apple Watch: sono pubblici e si chiedono senza account, ma il server vede l'indirizzo IP e quali disegni chiedi, cioè quali esercizi hai in scheda. Con il tuo account scarica l'elenco degli esercizi, uguale per tutti, che serve alla ricerca e alla mappa dei muscoli. E quando apri l'app, o ci torni, chiede al server da che versione in su funziona ancora: con questa richiesta non parte niente di tuo, oltre ai dati tecnici di ogni collegamento.

2. Dati condivisi con il tuo professionista (sul server)

Collegarsi. Ti colleghi a un professionista con il suo codice invito, scritto o inquadrato dal QR. Con la richiesta partono il nome, il cognome e, se lo scrivi, il telefono, che servono a trovare la tua scheda nel suo studio, e la tua dichiarazione di avere almeno 16 anni. Per lo stesso motivo il server usa anche l'email del tuo account (quella di inoltro, se con Apple l'hai nascosta), che l'app non manda ma il server conosce:

• col codice che il professionista ti dà dalla tua scheda, il collegamento è attivo subito;
• col codice generico dello studio, il server cerca una scheda con la stessa email o con lo stesso telefono (le ultime 9 cifre): se la trova, o se ne nasce una nuova, il collegamento resta in attesa finché il professionista non lo conferma;
• se la scheda è nuova, ci scrive il nome, il cognome, il telefono e l'email del tuo account, e da lì il professionista li legge.

Puoi collegarti a più studi: ognuno ha la sua scheda e le sue regole.

Più professionisti nello stesso studio (dalla versione 1.9). In uno studio ti può seguire un professionista per disciplina (per esempio il massaggio sportivo, la fisioterapia, l'allenamento), ognuno con la sua scheda. Col codice di un professionista di un'altra disciplina ti colleghi anche a lui, con le regole dei codici scritte sopra; col codice di uno della stessa disciplina di chi ti segue già non ti colleghi: il cambio si chiede allo studio. Lo studio può anche proporti un professionista: lo vedi in Professionisti e scegli tu se accettarlo. Se lo studio ti passa a un altro professionista della stessa disciplina, l'app te lo dice. Gli appuntamenti già fissati passano al nuovo. Chi ti seguiva tiene i suoi appunti delle sedute fatte, nella tua scheda di prima, chiusa e senza il tuo telefono né la tua email; da quel giorno non riceve più niente, e le misure che condividevi con lui si cancellano. Al nuovo le misure vanno solo se accendi tu la condivisione. Le sedute, i pagamenti e le ricevute di prima li vedi ancora nell'app. Se chi ti seguiva lascia lo studio, quella disciplina resta da assegnare, e le misure condivise con lui si cancellano.

Cosa passa dal server, mentre sei collegato:

• le prenotazioni che fai (data, ora, trattamento richiesto, note che scrivi tu) e le disdette; se lo studio ha più sedi o più professionisti, anche la sede e con chi. Con «Chi è libero» scegli un altro professionista della stessa disciplina: vede solo quell'appuntamento;
• le sedute e le indicazioni che il professionista decide di condividere con te;
• i pagamenti registrati dal professionista e le ricevute o fatture che carica: l'app le apre con un collegamento di 5 minuti e ne tiene solo una copia temporanea, che si cancella quando chiudi l'anteprima;
• le frasi motivazionali dello studio, che l'app usa nelle notifiche della frase del giorno (se le accendi) e nella scheda di fine allenamento;
• solo se lo attivi tu, nella sezione Peso e per ogni professionista che ti segue: peso, altezza e/o BMI delle pesate che scrivi a mano. All'accensione partono quelle degli ultimi 90 giorni (per l'altezza, l'ultima che hai inserito), poi ogni pesata nuova, a chi l'hai accesa; mai a chi deve ancora confermare il collegamento. Il professionista le vede nella tua scheda in LimenGest. È spento di partenza e puoi spegnere ogni voce quando vuoi: spegnendola, i valori già inviati vengono cancellati. Sul server le pesate più vecchie di 90 giorni si cancellano ogni notte. Una pesata che togli dal telefono sparisce da tutti gli studi; se in quel momento non c'è rete, sparisce appena la rete torna. «Esci dall'account» spegne la condivisione con tutti i professionisti di tutti gli studi e cancella le misure già inviate. Le letture di Salute non si condividono mai.

Sciogliere il collegamento. Dal Profilo, «Lascia» scioglie il collegamento con un professionista, anche se nello stesso studio te ne seguono altri; se era l'ultimo, lasci lo studio. Le misure condivise con lui e gli interruttori si cancellano, e la tua scheda resta al professionista, senza più il collegamento a te. Anche il professionista può sospendere il collegamento: da quel momento non vedi più sedute, pagamenti e documenti di quello studio, le misure condivise si cancellano, e non puoi ricollegarti con un codice finché non lo riattiva lui.

Cosa resta allo studio. La scheda è del professionista: quando lasci lo studio o elimini l'account, resta a lui, scollegata, con le prenotazioni (e le tue note), le sedute, i pagamenti e le ricevute, per i suoi obblighi.

Per questi dati il titolare del trattamento è il professionista a cui ti sei collegato, che li usa per gestire il rapporto con te. Noi forniamo la piattaforma come responsabili del trattamento (art. 28 GDPR) e non li usiamo per altri scopi. Le note cliniche private del professionista non passano mai dal server e non sono visibili nell'app cliente.

3. Royal Runner: il territorio che conquisti (sul server, visibile agli altri giocatori)

Royal Runner si gioca su una mappa comune, quindi per funzionare alcuni dati devono uscire dal telefono.

Cosa parte dopo una corsa. Quando salvi una corsa all'aperto (anche dall'Apple Watch, e dalla versione 1.9.3 una corsa di Garmin arrivata da Salute e completata col suo file) in cui hai chiuso almeno un giro, l'app manda al server, entro 12 ore dalla fine:

• il perimetro degli anelli chiusi, cioè il contorno dell'area racchiusa, non il percorso punto per punto;
• l'ora di inizio e di fine, la distanza e la durata della corsa.

Il percorso dettagliato, il passo chilometro per chilometro, il dislivello, il battito e le zone restano sul telefono. Le altre attività (camminata, bici, palestra e così via) non mandano niente. Succede solo se giochi: entri in gioco quando crei l'account, e la schermata di accesso lo dice; se esci dal gioco, le tue corse restano tutte sul telefono.

La prova del dispositivo. Perché le corse vengano davvero dall'app su un iPhone vero, dalla versione 1.4.1 l'app crea una chiave nel chip di sicurezza del telefono (Secure Enclave) e la fa certificare da Apple col servizio App Attest. Ad Apple vanno, la prima volta, l'impronta (SHA-256) del tuo codice d'accesso, e a ogni corsa l'impronta della corsa (account, inizio, fine, distanza, durata e area): impronte, non i dati. Sul nostro server restano l'identificativo e la parte pubblica della chiave, un contatore, le date e, su ogni corsa, il segno «verificata». La chiave resta anche dopo «Esci» e dopo l'uscita dal gioco; si cancella con l'account.

Cosa decide il server. Il server decide se il giro vale (almeno 2 km di percorso, un'area vera e non una strada fatta avanti e indietro, un ritmo da corsa) e conserva la corsa anche quando non vale, per poterti dire perché. Le tue corse di Royal Runner le può rileggere solo il tuo account: nessun altro vede i tuoi orari.

Il territorio del mese. Dalle corse valide il server calcola il tuo territorio del mese: l'area, la superficie in metri quadrati e la provincia. Chi corre dopo di te dentro la tua area se ne prende un pezzo, tranne vicino a casa: dentro il cerchio della zona di casa (qui sotto) chi ci chiude un giro prende la sua area, ma la tua resta com'è. Ogni mese la classifica riparte.

Quanto restano corse e aree. Quando un mese si chiude (il primo del mese dopo, poco dopo le 3, ora italiana), il server cancella le corse, anche quelle che non valevano, e le aree dei mesi prima del precedente: restano solo quelle del mese in corso e del mese prima. Dei mesi chiusi restano, finché giochi e hai l'account, i totali (superficie, provincia, chilometri delle corse valide) e i premi: gettone, traguardi e bollini.

Il profilo di gioco. Nasce con l'account, con un soprannome provvisorio («giocatore-» seguito da otto cifre e lettere a caso); se l'account l'avevi già, lo scegli la prima volta che apri Royal Runner. Lo cambi quando vuoi:

• un soprannome, da 3 a 20 caratteri: è l'unico nome che vedono gli altri;
• la provincia in cui corri, perché la classifica è per provincia. Se non l'hai scelta, dopo una corsa di gioco l'app manda ad Apple il punto di partenza per sapere in che provincia è, e mette quella; se Apple non risponde, ci riprova alla corsa dopo. Se la scegli tu, non parte niente;
• un simbolo da un elenco oppure, se vuoi, una tua foto. La foto viene rimpicciolita sul telefono e salvata in un archivio privato, in una cartella che ha il nome del tuo identificativo di gioco. La vedono solo gli altri giocatori, e solo con un collegamento che scade dopo un'ora: chi non gioca non la vede, e nemmeno chi hai bloccato o chi ti ha bloccato. La può vedere anche chi modera il gioco, per far rispettare le regole (vedi «Segnalazioni e blocchi»). Le foto messe con le versioni dell'app prima della 1.7 stavano in una cartella col nome dell'account: quelle le vedi solo tu, finché non ne metti un'altra. Puoi toglierla quando vuoi, e dall'archivio si cancella. Le foto degli altri giocatori, sul tuo telefono, restano solo in memoria finché l'app è aperta: dalla versione 1.9 non si salvano;
• facoltativa, la zona di casa (qui sotto).

Cosa vedono gli altri. Royal Runner lo vede solo chi gioca, cioè chi ha un profilo di gioco: chi ha un account del nostro server ma non gioca (per esempio un professionista con LimenGest) non vede niente. Gli altri giocatori vedono il tuo soprannome, la provincia, il simbolo o la foto, il tuo territorio sulla mappa (del mese in corso e del mese prima), la superficie, la posizione in classifica e i bollini del mese prima, legati a un identificativo di gioco: un codice a caso, diverso da quello del tuo account. Non vedono il tuo nome, l'email, l'età, l'account, le tue corse né i loro orari, e nemmeno il punto di casa. La classifica di una provincia compare solo quando ci sono almeno due giocatori; la mappa no: se in una provincia giochi da solo, il tuo territorio si vede lo stesso.

La zona di casa. Se vuoi, sposti la mappa e metti una casetta dove abiti. Quel punto sta sul server ma lo può leggere solo il tuo account, e serve a una cosa sola: nascondere agli altri il tuo territorio attorno a casa. Per almeno 150 metri attorno al punto il perimetro non viene disegnato a nessuno. Il cerchio nascosto è più largo e ha il centro spostato a caso (fino a 100 metri) rispetto al punto che hai messo, così dal buco sulla mappa non si ricava dove abiti; lo spostamento si tira a sorte una volta e resta finché hai l'account, anche se esci dal gioco. L'area nascosta conta lo stesso per la classifica, e tu la vedi sempre intera. Puoi spostare o togliere la zona di casa dal profilo di gioco. Se il tuo profilo è quello nato con l'account e non ha ancora una provincia, alla prima conquista l'app mette la zona di casa nel punto esatto di partenza, che di solito è casa. Senza zona di casa, se parti da casa il territorio che chiudi lì attorno lo vedono tutti.

I premi del mese. Quando il mese si chiude, il server ricava dai territori il tuo gettone del mese, i traguardi di superficie e i bollini di classifica (oro, argento, bronzo, Top 10, corona e «il più lontano», dai chilometri delle corse valide), e li conserva. Gettone e traguardi li vedi solo tu; i bollini li vedono anche gli altri giocatori, accanto al soprannome, nella classifica del mese dopo.

Segnalazioni e blocchi. Royal Runner ha delle regole, che accetti entrando in gioco: niente soprannomi o foto che offendono, niente corse finte. Per farle rispettare:

• il server rifiuta i soprannomi che contengono parole vietate (parolacce, insulti, bestemmie);
• se segnali un giocatore dalla classifica, conserviamo chi ha segnalato, chi, quando, il motivo, la nota che scrivi tu (fino a 500 caratteri) e il soprannome e la foto di quel momento. Le legge solo chi gestisce Lim3n, per decidere cosa fare; chi è segnalato non sa chi l'ha segnalato. Una segnalazione non si ritira, e resta finché esiste il profilo di chi è segnalato. Se due persone diverse segnalano la stessa foto, la foto sparisce subito dal profilo: il file resta nell'archivio finché chi modera non la guarda, e poi la toglie o, se era un falso allarme, la rimette. Se segnalano lo stesso soprannome, viene sostituito subito con uno provvisorio;
• se blocchi un giocatore, il blocco sta sul server (così vale anche su un altro telefono) e lo sai solo tu: in classifica resta al suo posto ma senza soprannome, simbolo e foto, sulla mappa il suo territorio resta senza soprannome, e la sua foto il server non te la dà più. Chi ti blocca, invece, non ti fa più vedere dove corre: il suo territorio sparisce dalla tua mappa, e in classifica lo vedi al suo posto senza soprannome, simbolo e foto. Il blocco non viene comunicato a nessuno.

Chi non rispetta le regole può essere nascosto o escluso dal gioco e, nei casi gravi, perdere l'account. Se chi modera toglie una foto o cambia un soprannome, per 30 giorni non si possono rimettere. Ogni azione di chi modera resta in un registro, con l'identificativo dell'account del giocatore, anche dopo che l'account è stato eliminato. Le regole, cosa succede a chi non le rispetta e come contestare una decisione sono nelle condizioni d'uso.

Uscire dal gioco. Dal profilo di gioco, «Esci da Royal Runner» cancella dal server la foto (anche dall'archivio), la zona di casa, i territori e le corse di gioco di tutti i mesi, e i totali e i premi dei mesi chiusi, senza chiudere l'account. Restano, nascosti a tutti: soprannome, provincia, simbolo e le date del profilo, che tengono legate a te le segnalazioni e i blocchi che ti riguardano; lo spostamento del cerchio di casa; la chiave della prova del dispositivo. Da lì il server non accetta più tue corse di gioco, neanche da un altro telefono, finché non rientri scegliendo un soprannome: si riattiva lo stesso profilo, senza i premi di prima. Chi viene escluso perde le stesse cose. Per cancellare anche il resto, elimini l'account.

Per questi dati il titolare del trattamento siamo noi.

4. Dati che restano solo sul tuo iPhone

Questi dati restano sul tuo dispositivo, salvo le eccezioni scritte in fondo a questo punto: non vengono inviati a noi né al professionista, e sono esclusi dal backup iCloud del telefono:

• gli allenamenti: percorsi GPS con la quota del barometro, passo, parziali, dislivello, battito e zone, il carico calcolato dal battito, passi e cadenza, il tipo di allenamento che confermi e com'è andata col pacer, schede di palestra con serie, carichi e recuperi, le serie fatte una per una (esercizio, chili, ripetizioni o secondi), i numeri letti dal display degli attrezzi e la foto che scegli di legare a un allenamento;
• il tracker: pesate e misure, data di nascita, obiettivi di peso e di calorie, l'acqua e la gara recente che scrivi per il livello di forma. Il peso serve anche a stimare le calorie della palestra e delle gare HYROX;
• i documenti di salute (referti, analisi, foto) e i valori che trascrivi: li aggiungi dall'app File, e sono salvati con la protezione "Completa" di iOS, leggibili solo a telefono sbloccato;
• il diario alimentare e l'acqua, i prodotti che hai aggiunto di recente o segnato come preferiti, e le impronte numeriche delle foto dei piatti (la foto del piatto non viene salvata: resta solo il riassunto numerico con cui l'app riconosce lo stesso piatto la volta dopo);
• le preferenze dell'app: gli obiettivi dei passi e delle calorie bruciate, l'età dichiarata, il nome e il cognome di Apple, lo studio scelto e le altre scelte. Fino alla versione 1.4.2 entravano nel backup iCloud del telefono; dalla versione 1.6 non più, tranne tre scelte senza dati personali (cosa dice la voce in corsa, i colori dell'app e il blocco con Face ID).

Salute (HealthKit), se le dai il permesso:

• l'app legge passi (anche ora per ora), distanza e calorie attive di oggi, e i passi di ogni giorno degli ultimi 120 giorni, per la serie dei giorni attivi; il peso degli ultimi 90 giorni e l'altezza più recente, se nell'app non ce n'è già una (che, una volta letti, restano nell'app anche se spegni l'interruttore); il battito durante gli allenamenti, e dopo una corsa o una gara HYROX per il carico;
• l'app scrive in Salute, sull'iPhone da iOS 26, gli allenamenti all'aperto che registri col telefono (corsa, camminata, trekking e bici), con distanza, calorie e percorso; dall'Apple Watch tutti gli allenamenti, anche al chiuso, e per il nuoto in vasca distanza e bracciate;
• la scheda di palestra fatta con l'iPhone va in Salute (anche questa da iOS 26) come allenamento di forza, con la durata, le calorie che conta iOS e, se usi il sensore, il battito;
• gli allenamenti di Garmin Connect e WHOOP: se accendi Profilo › Allenamenti da altre app, l'app chiede di leggere gli allenamenti e il battito di Salute, la prima volta quelli dell'ultimo mese, e prende solo quelli scritti da quelle due app (tipo, inizio e fine, distanza, calorie, battito minimo e massimo, il nome del dispositivo). Li mette fra le tue attività, sul telefono, e al nostro server non vanno. Dalla versione 1.9.3 servono anche a Royal Runner, solo sul telefono: dicono che una corsa di Garmin c'è stata, e il suo file porta il percorso (qui sotto). Gli altri allenamenti di Salute li salta.

I file degli orologi (dalla versione 1.9.1): un file .GPX o .TCX, anche dentro uno .zip, che apri con «Apri con Lim3n» si legge sul telefono: percorso con la quota, tempi, distanza, battito, tipo di attività e dispositivo. Se lo aggiungi diventa un'attività come le altre, sul telefono e non sul nostro server, e da solo non conta per Royal Runner. Dalla versione 1.9.3, se completa una corsa di Garmin arrivata da Salute e lo apri entro 12 ore dalla fine, può conquistare: allora parte quello del punto 3, preso dal file. Il file non si tiene: la copia che iOS passa all'app si cancella appena letta, anche quando il file non si apre. I file .FIT per ora non si aprono.

Il sensore del battito: se colleghi una fascia o un braccialetto Bluetooth che trasmette il battito col servizio standard (come Polar, Garmin, Wahoo, o WHOOP con la trasmissione accesa nella sua app), l'app legge da lì solo il battito, mentre ti alleni all'aperto con l'iPhone o fai la scheda. Lo mostra sullo schermo e, se le dai il permesso, lo scrive nell'allenamento in Salute; al nostro server non va. Del sensore l'app ricorda il nome e un identificativo del Bluetooth, sul telefono, per ricollegarsi da sola la volta dopo; «Dimentica il sensore» li toglie.

Eliminare un allenamento in Lim3n non lo toglie da Salute: lì lo togli dall'app Salute. Puoi revocare i permessi in Impostazioni › Privacy e sicurezza › Salute.

Alimentazione ed età. Senza data di nascita, Alimentazione mostra solo la richiesta di scriverla. Dai 16 ai 17 anni non mostra calorie, macronutrienti né il piano, ma i valori dei cibi che scrivi si salvano lo stesso nelle voci del diario, sul telefono e nel backup che esporti. Sotto i 16 anni la data di nascita non si salva.

Il backup che esporti. Il backup («Esporta backup» nel Profilo) è un file che salvi dove vuoi tu (per esempio in iCloud Drive), e la sua conservazione dipende da dove lo metti. Esce solo cifrato, con una parola d'ordine che scegli tu e che non si salva da nessuna parte: se la dimentichi, il file non si apre più. Contiene il profilo (data di nascita, obiettivi di peso e di calorie, gara recente), le misure (anche quelle lette da Salute), la scheda, gli allenamenti con il percorso GPS intero e le serie fatte una per una, il diario, l'acqua e i documenti di salute con i file. Non contiene le foto degli allenamenti, le impronte dei piatti, i prodotti recenti né le preferenze. L'app apre ancora anche i backup in chiaro esportati prima della versione 1.4.

Le uniche eccezioni a questo punto sono: il nome, il cognome e la dichiarazione dei 16 anni quando ti colleghi a un professionista, e le misure se attivi la condivisione (punto 2); per Royal Runner il perimetro delle corse e il punto di partenza che diventa la zona di casa (punto 3); quello che va ad Apple per la provincia e per la strada fino alla partenza («Quando l'app usa la posizione»); i disegni degli esercizi che l'app chiede al server (punto 1); le ricerche del punto 5; e quello che va all'Apple Watch. Quello che l'app scrive in Salute o nelle Foto segue poi le regole di quelle app, per esempio la loro copia in iCloud. Il resto non sono dati che trattiamo noi: sono tuoi, sul tuo telefono. L'account serve per entrare nell'app, ma questi dati non ci passano.

5. Cosa esce dal telefono quando cerchi un alimento

Per trovare i valori dell'etichetta di un prodotto confezionato, l'app interroga Open Food Facts, una banca dati aperta dei prodotti alimentari gestita da un'associazione senza scopo di lucro. Dal telefono partono solo:

• il testo che scrivi in «Aggiungi alimento», da tre lettere in su, poco più di mezzo secondo dopo l'ultima lettera o quando tocchi «Cerca»: qualunque testo, anche quello di un alimento che l'app ha già nel suo elenco, o quello che l'app ti propone dalla foto del piatto, solo se tocchi «Cerca»;
• le cifre del codice a barre che inquadri o scrivi, solo se il codice è valido e il prodotto non è già fra i tuoi recenti.

Insieme partono i dati tecnici di ogni collegamento a internet (l'indirizzo IP) e il nome e la versione dell'app («Lim3n/versione (iOS)»). Non partono il tuo account, il diario, le quantità né le foto: quale prodotto scegli e la voce del diario restano sul telefono. Open Food Facts tratta queste richieste secondo la propria informativa sulla privacy.

Apple Watch

Con l'app per Apple Watch ti alleni al polso: corsa, camminata, trekking e bici col GPS, la scheda di palestra, HYROX, il nuoto in vasca e le altre attività al chiuso.

• Sull'orologio l'app usa la posizione (solo negli allenamenti all'aperto, col permesso «Mentre usi l'app»). Da Salute legge il battito e le calorie mentre ti alleni, le bracciate quando nuoti e i passi di oggi, anche quando non ti alleni, per il quadrante. Dai sensori dell'orologio prende passi e cadenza mentre ti alleni e le salite dal barometro. Scrive in Salute gli allenamenti che registri al polso.
• Dall'orologio all'iPhone l'allenamento finito passa col collegamento di Apple fra orologio e telefono, non dal nostro server: il tipo, i tempi, la distanza, le calorie, il tempo nelle zone del battito (il battito no), passi e cadenza, il dislivello, il percorso e l'area dei giri chiusi (all'aperto); della scheda di palestra le serie una per una (esercizio, chili, ripetizioni o secondi) e i carichi nuovi; della gara HYROX i tempi delle stazioni; del nuoto la vasca e le bracciate al minuto; e l'identificativo dell'account con cui è partito, perché una corsa conquisti in Royal Runner solo per chi l'ha fatta. Mentre ti alleni, l'orologio dice al telefono solo che c'è un allenamento aperto, per non farne nascere due in Salute.
• Dall'iPhone all'orologio passano la tua età in anni (non la data di nascita), l'obiettivo dei passi, se giochi a Royal Runner e, se giochi, il tuo territorio del mese (metri quadrati e numero di aree, per il quadrante), l'identificativo dell'account e la scheda di palestra della settimana, con serie, ripetizioni, carichi, recuperi e note di ogni esercizio. Lo storico delle serie resta sull'iPhone.
• Sull'orologio restano, fuori dal backup, l'allenamento in corso e quello finito, finché Lim3n sull'iPhone non lo importa; l'ultima scheda e l'identificativo dell'account dell'ultimo allenamento, finché non togli Lim3n dall'orologio; e l'ultimo messaggio dell'iPhone, che watchOS tiene per Lim3n finché non ne arriva uno nuovo. Per le complicazioni e lo Smart Stack Lim3n tiene i passi di oggi, l'obiettivo dei passi, se giochi a Royal Runner, i metri quadri e le aree del mese e quanti esercizi hai oggi, in una cartella condivisa solo fra l'app e le sue complicazioni, leggibile solo dopo il primo sblocco e fuori dal backup. I passi li legge l'orologio da Salute; il resto arriva dall'iPhone.
• Internet. L'orologio si collega a internet per conto di Lim3n solo per scaricare dal nostro server i disegni degli esercizi della scheda, come l'iPhone (punto 1): sono pubblici e si chiedono senza account, ma il server vede l'indirizzo IP e quali disegni chiedi. I disegni scaricati restano in una memoria temporanea dell'orologio, così la volta dopo si aprono senza rete. Niente mappe né altri servizi.

Quando l'app usa la posizione

• Durante un allenamento all'aperto (la corsa e le altre attività con il GPS, sull'iPhone o sull'orologio), dall'avvio a quando tocchi «Fine», per registrare percorso, distanza e passo. Continua a schermo bloccato, con l'indicatore di iOS, sempre con il solo permesso «Mentre usi l'app»: l'app non chiede mai «Sempre». In pausa i punti non si registrano, e dopo 15 minuti di pausa il GPS si spegne: si riaccende quando riprendi.
• Se l'app si chiude durante un allenamento. Sull'iPhone, con «Registra anche ad app chiusa» acceso nel Profilo (lo è di partenza), di solito iOS riapre l'app in secondo piano, anche se l'hai chiusa tu dal multitasking, e l'allenamento riparte da solo, col GPS: se andava, solo entro 15 minuti dall'ultimo punto; se era in pausa, riparte in pausa, e il GPS resta acceso solo fino ai 15 minuti di pausa. Con l'interruttore spento, la registrazione si ferma dove l'app si è chiusa. Se la riapri tu, l'app ti chiede prima cosa fare: riprenderlo (entro 15 minuti dall'ultimo punto, o se era in pausa), e solo allora il GPS riprende a registrare; salvare il percorso registrato fino a quel momento, senza GPS; oppure scartarlo. Sull'orologio un allenamento all'aperto riparte da solo, col GPS, solo se watchOS ha tenuto aperto l'allenamento in Salute, con la stessa regola dei 15 minuti; se no si salva com'era, senza GPS, e dal telefono puoi cancellarlo.
• Quando apri una mappa (la corsa, Royal Runner, la scelta della zona di casa), per inquadrarla dove sei. Le immagini della mappa le scarica da Apple.

Fuori da questi momenti l'app non legge la posizione. Della posizione escono dal telefono solo:

• verso il nostro server, il perimetro dei giri chiusi correndo e il punto di casa (punto 3);
• verso Apple, il punto di partenza di una corsa di gioco per trovare la provincia, finché non ce l'hai (punto 3);
• verso Apple, la zona della mappa che guardi, per scaricarne le immagini;
• verso Apple Mappe, dalla versione 1.6, solo se giochi e solo durante una corsa: quando il giro che stai facendo ha girato il 60% di un cerchio e sei a più di 50 metri dalla partenza, l'app chiede ad Apple la strada a piedi da dove sei alla partenza, per disegnare la linea tratteggiata che chiude il giro. Lo chiede al massimo una volta ogni 45 secondi, mai in pausa, e solo con la schermata della corsa aperta in primo piano. La strada non si salva.

Il meteo della corsa è spento: l'app non chiede il meteo a nessuno. Puoi cambiare il permesso della posizione in Impostazioni › Privacy e sicurezza › Localizzazione, sull'iPhone e sull'orologio.

Durante la corsa

• L'attività in diretta: sulla schermata di blocco e nella Dynamic Island l'app mostra tipo di attività, distanza, tempo e passo medio (in bici la velocità media), aggiornati dal telefono stesso. Li vede chiunque guardi il telefono bloccato. Spariscono 20 secondi dopo che tocchi «Fine». Se l'app si chiude e l'allenamento non riparte, la scheda dice «interrotta» e tiene gli ultimi numeri finché non riapri Lim3n; se non la riapri, dopo qualche ora la toglie iOS. Non è obbligatoria: puoi spegnerla dalle impostazioni di iOS, e l'allenamento registra lo stesso; a schermo bloccato resta solo l'indicatore blu della posizione di iOS, finché il GPS è acceso.
• La voce: è accesa di partenza; a ogni chilometro l'app dice distanza e passo medio (in bici la velocità), dall'altoparlante o nelle cuffie. Col pacer, acceso anche lui di partenza, dice anche se sei in linea, e fra un chilometro e l'altro ti può dire di rallentare o di allungare.

Notifiche

• Il permesso delle notifiche l'app lo chiede appena entri.
• Dal tuo professionista arrivano notifiche push quando conferma, rifiuta o annulla una prenotazione, con data e ora dell'appuntamento, e quando registra una seduta. Passano dal servizio push di Apple, che le tiene fino a 24 ore se il telefono è spento, e si leggono anche a telefono bloccato.
• Dal telefono stesso, senza passare da internet: la frase del giorno (spenta di partenza, alle 8, alle 12 o alle 20), il promemoria dei controlli dei documenti di salute, con un testo generico che non dice niente del referto, e, se durante la scheda di palestra metti via il telefono, l'avviso «Recupero finito», senza esercizio né peso.

Fotocamera e foto

La fotocamera serve a leggere il codice a barre delle confezioni, fotografare un piatto, fotografare il display di un attrezzo, caricare la scheda di palestra da una foto, inquadrare il QR del tuo professionista e scattare la foto di fine allenamento. Il piatto, il display e la scheda li puoi anche scegliere dalle tue Foto, e la scheda anche da un PDF. Il riconoscimento — del piatto, delle cifre sul display, degli esercizi della scheda, del codice — avviene sul telefono.

• Foto del piatto: non viene salvata; resta solo l'impronta numerica del punto 4.
• Foto del display dell'attrezzo: serve solo a leggere i numeri e l'ora dello scatto, che poi confermi o correggi tu; la foto non si salva.
• Scheda di palestra da foto o PDF (fino a 6 foto, o le prime 6 pagine di un PDF): l'app legge gli esercizi e tieni quelli che confermi; foto e PDF non si salvano.
• Codice a barre: partono solo le cifre, verso Open Food Facts (punto 5).
• Foto di fine allenamento: la scatti dal mirino, con la fotocamera davanti o con quella posteriore, oppure la scegli dalle tue Foto (in quel caso l'app legge dalla foto solo quale fotocamera l'ha scattata, davanti o dietro).
  • Resta nell'attività, sul telefono, rimpicciolita e senza i dati dello scatto (posizione compresa), e fuori dal backup che esporti.
  • La foto che scatti dal mirino va anche nelle Foto del tuo iPhone, da sola e intera, com'è uscita dalla fotocamera: così non la perdi se cambi telefono. Quella che scegli dalle Foto c'è già, e non viene salvata di nuovo.
  • Sulla foto l'app compone una scheda con i numeri dell'allenamento e, se c'è un percorso, il suo disegno, senza strade e senza nomi. Per alcuni stili ritaglia le persone dalla foto, sul telefono e senza salvare niente. Dal disegno sparisce tutto quello che sta entro 400 m, in linea d'aria, dalla partenza e dall'arrivo: un giro che parte e torna a casa direbbe dove abiti.
  • La scheda nasce sul telefono. Esce solo se tocchi «Condividi», e va dove la mandi tu; «Salva nelle Foto» la mette nelle tue Foto.
• Foto del profilo di Royal Runner: è l'unica foto che arriva al nostro server, e solo se la metti tu (punto 3).

Per scegliere una foto l'app usa il selettore di iOS, che le fa vedere solo quelle che scegli. Alle Foto chiede solo il permesso di aggiungere: serve per la foto scattata a fine allenamento e per «Salva nelle Foto». Le altre tue foto non le vede. Senza quel permesso la foto scattata resta solo nell'attività.

Cosa non facciamo

Nessun tracciamento, nessuna pubblicità, nessun analytics, nessuna vendita di dati. Nessuna foto viene mandata a servizi esterni per essere riconosciuta. La posizione serve solo agli allenamenti e a Royal Runner, come spiegato sopra. Il BMI e le fasce mostrate sono un riferimento generale (OMS) e non una valutazione medica.

Perché li trattiamo

• Account, Royal Runner e la prova del dispositivo: per darti il servizio che chiedi usando l'app (art. 6, par. 1, lett. b GDPR). Le corse partono verso il server solo se sei in gioco.
• Segnalazioni, blocchi, parole vietate e registro della moderazione: per tenere il gioco sicuro per chi partecipa, che è un nostro legittimo interesse e un impegno verso gli altri giocatori (art. 6, par. 1, lett. f GDPR).
• Dati del punto 2: li tratta il professionista per gestire il rapporto con te; peso, altezza e BMI solo con il tuo consenso, che ritiri spegnendo la condivisione.
• Lista d'attesa del sito: con il tuo consenso (art. 6, par. 1, lett. a GDPR), che ritiri quando vuoi.
• Il conto degli invii per indirizzo IP del modulo della lista d'attesa: per proteggere il sito dagli abusi, un nostro legittimo interesse (art. 6, par. 1, lett. f GDPR).

Età minima

L'app è riservata a chi ha almeno 16 anni: prima dell'accesso con Apple chiediamo di dichiararlo. La data di nascita è facoltativa, resta sul telefono e serve alle zone e al carico del battito, alle fasce del BMI, alle regole di Alimentazione e all'obiettivo di calorie bruciate, che c'è solo da 18 anni (punto 4); al Watch va solo l'età in anni. In Royal Runner l'età non compare mai.

Conservazione ed eliminazione

• I dati sul server restano finché hai un account, tranne: le corse e le aree di Royal Runner, che restano il mese in corso e quello prima (punto 3); le misure condivise, che restano 90 giorni (punto 2); le email della lista d'attesa del sito, che restano al massimo 12 mesi («Il sito lim3n.com»). La foto e la zona di casa di Royal Runner le puoi togliere prima, dal profilo di gioco.
• Da Profilo › Elimina il mio account si cancellano subito l'account, i collegamenti ai professionisti, le misure condivise e gli interruttori, il codice per le notifiche, tutti i dati di Royal Runner (corse, territori, totali, premi, profilo di gioco, zona di casa, foto, chiave della prova del dispositivo), e Apple revoca l'accesso. Restano: le schede che gli studi hanno di te, scollegate, con quello che contengono (punto 2), per gli obblighi del professionista; le segnalazioni che avevi fatto, senza più il tuo nome; e il registro della moderazione, con l'identificativo del tuo account. Se con lo stesso account Apple usi anche LimenGest come professionista, da Lim3n si cancella solo la parte cliente e Royal Runner, e l'account resta per LimenGest. In quel caso, se eri stato escluso da Royal Runner, resta anche il profilo di gioco, nascosto, perché l'esclusione valga ancora per lo stesso account.
• Il fornitore del server può fare copie di sicurezza del database, per poterlo ripristinare dopo un guasto: i dati cancellati possono restare in quelle copie per un periodo limitato, al massimo 30 giorni, poi spariscono quando le copie vengono sovrascritte. Allo stesso modo il fornitore tiene per poco tempo i registri tecnici delle richieste (indirizzo IP, ora). Anche noi, prima di ogni aggiornamento del server, facciamo una copia del database, che teniamo protetta su un computer del titolare e che si cancella da sola dopo 30 giorni: fino ad allora anche lì possono restare i dati cancellati.
• I dati sul telefono si cancellano dall'app o disinstallandola; eliminare l'account o uscire non li tocca, tranne il nome e il cognome di Apple, che si tolgono. Le eccezioni: i prodotti recenti, le impronte dei piatti, le voci del diario e l'acqua dei giorni passati non hanno un comando per cancellarli (se ne vanno disinstallando l'app); la data di nascita e l'obiettivo di calorie si cambiano ma non si tolgono. Eliminare un allenamento non lo toglie da Salute (punto 4).

I tuoi diritti

Puoi chiedere accesso, rettifica, cancellazione (anche solo dei dati di Royal Runner), limitazione, portabilità e opposizione (artt. 15–22 GDPR) scrivendo a privacy@lim3n.com per i dati della piattaforma, oppure direttamente al tuo professionista per i dati che tratta lui. Hai diritto di reclamo al Garante per la protezione dei dati personali.

Ti rispondiamo entro un mese. Se la richiesta è complessa possiamo arrivare a tre mesi, e in quel caso te lo diciamo entro il primo, col motivo. Per sapere che sei proprio tu ti scriviamo all'email del tuo account, anche se è l'indirizzo di inoltro di Apple; un documento d'identità lo chiediamo solo se c'è un dubbio vero. Molte cose le fai da solo dall'app: «Esporta backup» ed «Elimina il mio account» nel Profilo, «Esci da Royal Runner» nel profilo di gioco.

Il sito lim3n.com

Il sito lim3n.com non usa cookie né statistiche: sono pagine statiche, uguali per chiunque le apra. La pagina iniziale ha un solo script, nostro, per le animazioni: gira sul tuo dispositivo, non salva niente e non manda niente a nessuno. Il sito lo ospita Cloudflare, che per consegnarti le pagine tratta l'indirizzo IP del tuo dispositivo e conserva per poco tempo i registri tecnici delle richieste. I collegamenti verso l'App Store, TestFlight e Instagram portano a servizi di altri (Apple e Meta), dove valgono le loro informative.

La lista d'attesa

I posti della beta sono a numero chiuso. Quando è piena, dalla pagina iniziale del sito puoi lasciarci la tua email per sapere quando c'è posto o quando esce l'app.

• Cosa salviamo: l'email che scrivi, il giorno e l'ora in cui la lasci e la versione dell'informativa breve che hai accettato sotto il modulo, con la sua data (non quella scritta qui in cima). Niente nome, niente indirizzo IP, niente altro.
• Perché: solo per scriverti quando c'è posto nella beta o quando esce l'app. Non la usiamo per altro, e non la passiamo a nessuno per i suoi scopi.
• Su che base: il tuo consenso, che dai spuntando la casella del modulo (art. 6, par. 1, lett. a GDPR) e che ritiri quando vuoi.
• Dove: sul nostro server (Supabase, nell'Unione Europea), in una lista separata dagli account dell'app, che nessuna app legge. Il modulo passa da Cloudflare, che ospita il sito.
• Contro gli invii a raffica: per un minuto il sito conta quante volte lo stesso indirizzo IP manda il modulo, e dopo cinque invii lo ferma. Il conto lo tiene Cloudflare e sparisce dopo il minuto: l'indirizzo IP non arriva al nostro server e non resta con la tua email.
• Come ti scriviamo: a mano, da beta@lim3n.com, una casella su iCloud di Apple, in copia nascosta, così gli altri non vedono il tuo indirizzo.
• Per quanto: al massimo 12 mesi, poi l'email si cancella da sola; prima, se ce lo chiedi.
• Come esci: scrivi a privacy@lim3n.com, o rispondi a una nostra email, e ti togliamo dalla lista. Se ti arriva un nostro avviso e non hai mai lasciato l'email, scrivici lo stesso: qualcuno può aver messo il tuo indirizzo.

Fornitori

• Apple (Accedi con Apple, notifiche push, Salute, Mappe, App Attest): secondo i termini Apple. Per disegnare le mappe l'app scarica da Apple le immagini della zona inquadrata; per Royal Runner manda ad Apple il punto di partenza per sapere in che provincia è, durante la corsa il punto in cui sei e la partenza per la strada a piedi, e le impronte della prova del dispositivo (punto 3 e «Quando l'app usa la posizione»). La posta di lim3n.com sta su iCloud di Apple: quando ti scriviamo per la lista d'attesa, Apple riceve il tuo indirizzo e le risposte che ci mandi. Nella versione di prova distribuita con TestFlight, Apple ci inoltra i rapporti sugli arresti anomali e i commenti che decidi di inviare, con la schermata se la alleghi.
• Supabase (database, archivio file e funzioni del server; i dati stanno a Francoforte): responsabile del trattamento. Cosa può uscire dall'Unione è qui sotto.
• Open Food Facts (associazione, Francia): riceve solo il testo cercato e i codici a barre, come spiegato al punto 5; non riceve dati del tuo account né del tuo diario.
• Cloudflare, Inc. (ospita il sito lim3n.com): tratta l'indirizzo IP e i registri tecnici delle visite per consegnare e proteggere le pagine, e passa al nostro server l'email che lasci nel modulo della lista d'attesa, senza conservarla, secondo i suoi termini sulla protezione dei dati. Non riceve dati dell'app.

Dati fuori dall'Unione europea

I dati dell'app sul server stanno nell'Unione europea, a Francoforte. Alcuni fornitori però possono trattarli anche fuori dall'Unione, e per ognuno c'è una garanzia prevista dal GDPR:

• Supabase. La società che ci fornisce il server è a Singapore (Supabase Pte. Ltd.), e l'assistenza tecnica la dà anche Supabase, Inc., dagli Stati Uniti: chi fa assistenza può vedere i dati da lì, e alcuni dati tecnici, come i registri, si trattano fuori dalla regione. Le funzioni del server partono nella regione di Supabase più vicina a chi le chiama. La garanzia sono le clausole contrattuali standard della Commissione europea (art. 46 GDPR).
• Cloudflare, Inc. (Stati Uniti). Consegna le pagine del sito dal suo punto più vicino a te, che può essere fuori dall'Unione. È certificata al Data Privacy Framework UE-USA, per cui la Commissione europea ha deciso che la protezione è adeguata (art. 45 GDPR); il suo contratto ha anche le clausole contrattuali standard.
• Apple. Per chi è nell'Unione, i servizi di Apple li fornisce Apple Distribution International Ltd., in Irlanda. Quando i dati vanno ad Apple Inc., negli Stati Uniti, Apple usa le clausole contrattuali standard, come scrive nella sua informativa.

Una copia delle garanzie la puoi chiedere a privacy@lim3n.com.

Modifiche

Le modifiche a questa informativa vengono pubblicate su https://lim3n.com/privacy e segnalate nell'app.