Informativa sulla privacy

Last updated: 2026-10-30

Questa informativa spiega cosa fa con i dati Hello Pantry: il bot di Telegram (@hello_pantry_bot), la sua mini app, l’app web e l’app Android.

In breve: non c’è nessuna password. In Telegram, Telegram sa già chi sei; l’app web e l’app Android ti fanno entrare con un codice o un link che ti viene mandato, o con Google. Quello che scrivi viene conservato su un solo server per potertelo mostrare di nuovo, e non è usato per nient’altro. L’unica eccezione è quello che scegli di dare al catalogo condiviso: i dati di un prodotto confezionato, mostrati a chi inquadra lo stesso codice, e, solo se lo spunti, un prodotto nuovo che mandi anche a Open Food Facts o una correzione a un prodotto che conosce già. Non ci sono analytics, né pubblicità, né profilazione, né terzi con una copia di qualsiasi altra cosa, nel bot, nella mini app e nell’app web, tranne un assistente AI che colleghi tu: quello che legge va all’azienda che lo gestisce. L’unica eccezione è la versione di Google Play dell’app Android, che manda a Google segnalazioni di arresti anomali e statistiche d’uso, ma solo se dici di sì.

Chi è il responsabile

Gabriele Proietti Mattia (https://gpm.name), raggiungibile a apps@gpm.name, è il titolare del trattamento. Il server è in Germania.

Cosa viene conservato

Tutto quello che segue è conservato perché il bot non può fare il suo lavoro senza, e non viene conservato niente di cui possa fare a meno.

Chi sei su TelegramIl tuo id numerico di Telegram, nome e cognome, username e codice della lingua. L'id è ciò che lega la tua casa a te; il nome è quello con cui il bot ti saluta, e quello che vedono gli altri membri di una casa condivisa; la lingua stabilisce quale delle due traduzioni leggi.
Cosa tieni in casaLe case, le loro dispense, e i prodotti al loro interno: nome, marca, codice a barre, dimensione, immagine, categoria, quantità, date di scadenza, il giorno in cui qualcosa è stato congelato, le impostazioni degli avvisi, e la lista della spesa. Per una casa condivisa, chi sono i membri, il loro ruolo, e chi ha aggiunto o consumato cosa. Per proporti la dispensa, il numero di confezioni e la scadenza la prossima volta che aggiungi un prodotto, la casa ricorda anche le sue ultime aggiunte di ogni prodotto: il giorno, il tipo di dispensa, quante confezioni e di che formato, e la scadenza data, senza chi le ha aggiunte.
Le tue impostazioni di notificaQuali case e quali persone hai silenziato, se ricevi un riepilogo, quando è stato mandato l'ultimo avviso di scadenza per ogni prodotto, in modo che non venga mandato due volte, e se gli avvisi di scadenza ti arrivano sul telefono o su Telegram.
A che punto sei della conversazioneLa schermata in cui ti trovi e l'ultimo messaggio che il bot ti ha mandato, in modo che un tasto premuto domani sappia ancora a cosa si riferisce.
Se sei abbonatoSe Pro è attivo e fino a quando, se si rinnova, come è stato pagato (Stelle di Telegram o Google Play), e l'identificativo del pagamento che Telegram dà al bot perché un rimborso sia possibile. Per Google Play, il token di acquisto che Google dà all'app, e se Google segnala un problema di pagamento. Vedi sotto.
Il tuo account Google, se lo usiFacoltativo. Se accedi con Google o lo colleghi, l'identificativo dell'account Google (il "sub") e l'indirizzo email verificato di quell'account, per riconoscerti la volta dopo. Quando è Google a creare un nuovo account, il nome e il cognome che Google fornisce diventano il nome dell'account, che vedono gli altri membri di una casa condivisa, come per il nome di Telegram, e che sparisce quando l'account viene eliminato. Vedi sotto.
Cosa tieni in un armadioSe ne crei uno: i suoi spazi e le sue categorie, e di ogni capo nome, marca, taglia, colore, note, quantità e foto. Per un armadio condiviso, i membri e chi ha aggiunto o tolto cosa, come per una casa.
Le foto che scegli di allegareLa foto della confezione di un prodotto, di un prodotto senza codice a barre, o di un capo in un armadio, solo quando la alleghi tu. Viene rimpicciolita, e tutto il resto del file viene tolto, posizione compresa. Prima della tua prima foto di una confezione per il catalogo condiviso ti viene chiesto di accettare le regole per le foto, e viene conservato il giorno in cui le hai accettate. Vedi il catalogo condiviso qui sotto.
Quello che dai al catalogo condivisoPer un prodotto con codice a barre che Open Food Facts non conosce: nome, marca, dimensione, categoria e foto della confezione, quale account l'ha aggiunto, e le segnalazioni che le persone fanno su di esso. Vedi sotto.
Quello che invii a Open Food FactsSolo se spunti "Invia anche alle banche dati di Open Food Facts" per un prodotto nuovo: una registrazione della richiesta (quale scheda del catalogo, quando è stata inviata o perché no, e quale account l'ha chiesta, finché non elimini i tuoi dati), e quello che il controllo successivo ha trovato sulla pagina pubblica del prodotto. Cosa viene inviato, e cosa significa, è qui sotto.
Quello che correggi su Open Food FactsSolo se scegli di correggere un prodotto che Open Food Facts già conosce: una registrazione della correzione (quale prodotto, cosa hai proposto, cosa aveva Open Food Facts in quel momento, l'esito per ogni dettaglio, quando è stata inviata o perché no, e quale account l'ha chiesta, finché non elimini i tuoi dati). Cosa viene inviato, e cosa significa, è qui sotto.
Gli assistenti AI che colleghiSolo se ne colleghi uno: il nome dell'app e gli indirizzi a cui torna, quale account l'ha collegata e quando, quando è stata usata l'ultima volta, e le sue chiavi di accesso, conservate solo come impronta (hash). Mai quello che l'assistente ha chiesto o a cui ha avuto risposta. Vedi Assistenti AI (MCP).
La tua email, se la daiFacoltativa. Vedi sotto.
Le segnalazioni che mandiIl testo di una segnalazione di un problema o di un'idea, e uno screenshot se ne allegi uno. Vedi sotto.

Cosa non viene mai conservato

Nessun dato di pagamento. Pro si paga in Stelle di Telegram o tramite Google Play. Telegram dice al bot che un pagamento è avvenuto e gli dà un identificativo; Google Play dà all’app un token di acquisto. Un numero di carta, un nome sulla carta o un indirizzo di fatturazione non arrivano mai al bot, perché né Telegram né Google li mandano.
Nessuna posizione. Il bot non la chiede mai e non ha dove metterla.
Nessun contatto, e nessun file.
Nessuna immagine che tu non abbia scelto di tenere. La foto di un codice a barre che mandi al bot viene letta per il numero che contiene e non viene salvata. La scansione dal vivo con la fotocamera nella mini app e nell’app web avviene sul tuo dispositivo e nessun video o immagine lo lascia. Una foto viene conservata solo quando la alleghi tu a un prodotto.
Nessun analytics e nessun identificativo pubblicitario nel bot, nella mini app e nell’app web. Non c’è nessun SDK di terze parti: niente misura come li usi e niente riferisce su di te. L’unica eccezione è la versione di Google Play dell’app Android, e solo se acconsenti: vedi L’app Android.
Nessuna cronologia dei messaggi. Il bot legge un messaggio per agire e conserva ciò di cui quel messaggio parlava — un prodotto, una quantità — non il messaggio.
Nessuna traccia di cosa un assistente AI chiede o si sente rispondere. Hello Pantry conserva che un assistente è collegato, non il contenuto delle sue richieste né delle risposte.

Open Food Facts

Quando inquadri o scrivi un codice a barre, il numero può essere cercato su Open Food Facts, un database libero e aperto di prodotti alimentari. Se non ha il codice, la ricerca passa ai progetti gemelli, che raccolgono quello che non è cibo: Open Products Facts (detersivi e cose per la casa), Open Beauty Facts (igiene e cosmetici) e Open Pet Food Facts (cibo per animali). Hanno la stessa licenza aperta (ODbL). Per cercare un codice viene inviato solo il codice a barre: niente che dica chi sei, per quale casa è, o cos’altro c’è dentro. Quello che torna indietro (nome, marca, dimensione, immagine) ti viene mostrato da confermare. Open Food Facts gestisce quella richiesta secondo la propria informativa sulla privacy, non secondo questa.

Cercare per nome. Quando scrivi un nome per aggiungere un prodotto, il bot e le app cercano solo nei propri dati, e non viene inviato nulla all’esterno. Le parole che hai scritto vengono inviate a Open Food Facts solo se tocchi “Cerca su Open Food Facts”, e sono solo quelle parole: niente che dica chi sei. I risultati di quella ricerca vengono conservati per 7 giorni per non ripetere la stessa ricerca; quello che resta sono i risultati, non chi ha cercato. I codici che un negozio stampa da sé, come le etichette dei banchi di frutta, gastronomia e formaggi, significano una cosa diversa in ogni negozio, quindi non vengono mai inviati a Open Food Facts: il bot ti chiede il nome.

Il catalogo condiviso

Quando aggiungi un prodotto il cui codice a barre Open Food Facts non conosce, quello che hai scritto — nome, marca, dimensione, categoria e, se la aggiungi, una foto della confezione — entra nel catalogo di Hello Pantry, così chi inquadra quel codice dopo di te lo trova già compilato. È condiviso a meno che tu non dica di no: prima di salvare, il bot lo dice e offre “Non condividere”, e la mini app e l’app web hanno un interruttore. Si condividono solo i prodotti con un codice a barre, e mai i codici che un negozio stampa da sé.

Quello che vedono gli altri è il prodotto: mai chi l’ha aggiunto, in quale casa sta, o qualsiasi altra cosa di quella casa. Quale account ha aggiunto una scheda viene conservato perché chi l’ha aggiunta possa correggerla e gli abusi si possano fermare; lo vedono solo gli amministratori. La foto di una confezione viene mostrata agli altri dopo un controllo automatico: un classificatore di immagini che gira sullo stesso server cerca nudità e contenuti sessuali, e per questo la foto non viene mandata da nessuna parte. Una foto che il controllo trattiene viene mostrata solo dopo che un amministratore l’ha approvata. Chiunque può segnalare una scheda, e una scheda segnalata da tre persone viene nascosta finché un amministratore non la guarda. Niente del catalogo viene mandato a Open Food Facts a meno che tu non lo chieda, come descritto qui sotto.

Le foto. Una foto è conservata sullo stesso server di tutto il resto. Viene rimpicciolita, e tutto il resto del file viene tolto, compreso il luogo in cui è stata scattata. La foto di un prodotto senza codice a barre, e ogni foto di un armadio, la vedono solo i membri di quella casa o di quell’armadio, attraverso link che smettono di funzionare dopo un giorno. La foto di un vestito può mostrare chi lo indossa: resta dentro l’armadio, non va mai nel catalogo né a nessun altro, e se ne va quando si eliminano il capo, l’armadio o i tuoi dati.

Inviare un nuovo prodotto a Open Food Facts

Quando aggiungi un prodotto che Open Food Facts non conosceva e che entra nel catalogo condiviso, il bot e le app ti chiedono anche se inviarlo alle banche dati di Open Food Facts, e che cos’è: cibo o bevanda, igiene e cosmetici, cibo per animali, oppure casa e altro. Va al progetto di quel tipo: Open Food Facts, Open Beauty Facts, Open Pet Food Facts o Open Products Facts. È spento a meno che tu non lo spunti, viene chiesto ogni volta, e non viene proposto per quello che non entra nel catalogo. Se non lo spunti, non viene inviato nulla.

Se lo spunti:

Cosa viene inviato, e quando. Circa un’ora dopo, il nome, la marca e la dimensione della confezione del prodotto, e la foto della confezione se ha passato il controllo o un amministratore l’ha approvata, vengono inviati a quel progetto, dove diventano pubblici. L’ora serve a poter correggere un errore di battitura.
A nome di chi. Sono attribuiti all’account di Hello Pantry, non a te. Il tuo nome, il tuo id di Telegram e la tua casa non vengono inviati.
Un identificativo pseudonimo. A ogni contributo si accompagna un identificativo derivato dal tuo account. Non può essere ricondotto a te; permette ai moderatori di Open Food Facts di fermare i contributi di una persona senza fermare l’app.
Licenze. I dati sono pubblicati con la Open Database Licence e le foto con CC BY-SA: chiunque può riusarli a queste condizioni.
Annullare. Prima che venga inviato, si può annullare: annullare l’aggiunta lo cancella, e Impostazioni → Elimina tutti i dati cancella tutto ciò che non è ancora stato inviato. Una volta inviato, non possiamo ritirarlo da Open Food Facts: lì è pubblico.
Riguardarlo dopo. Perché tu possa vedere che fine ha fatto, un giorno, una settimana e un mese dopo l’invio Hello Pantry apre la pagina pubblica del prodotto su Open Food Facts e annota se è online, se è stato migliorato da altri o se è stato tolto. Legge soltanto una pagina pubblica: non viene inviato nulla su di te. I tuoi contributi e il loro stato li vedi nella Mini App (Impostazioni), nelle Impostazioni del bot e nell’app Android (Contributi, in Impostazioni). Elimina tutti i dati li stacca da te, quindi non li vedi più, come prima.
La parte di Open Food Facts. Una volta lì, è coperto da la loro informativa sulla privacy e dalle condizioni d’uso, non da questa pagina.

Correggere un prodotto su Open Food Facts

Quando aggiungi o apri un prodotto il cui codice a barre Open Food Facts già conosce, e la tua versione del nome, della marca, della dimensione o della foto è migliore della loro, la Mini App e l’app Android ti propongono di mandare la correzione anche a Open Food Facts. Non parte niente se non lo scegli: i dettagli che differiscono sono elencati, e spunti quelli da mandare. Partono spuntati, tranne la foto, che solo tu puoi spuntare.

Cosa viene inviato, e quando. Solo i dettagli che hai spuntato: il nome, la marca, la dimensione, la categoria (solo per i cibi, e solo se Open Food Facts non ne ha una) e la foto frontale. Circa un’ora dopo vengono scritti nella pagina del prodotto su Open Food Facts, dove le modifiche sono pubbliche. Prima di scrivere, Hello Pantry rilegge il prodotto, e un dettaglio che nel frattempo qualcun altro ha cambiato non viene toccato.
A nome di chi. Le modifiche sono attribuite all’account condiviso di Hello Pantry, non a te, con lo stesso identificativo pseudonimo dei prodotti nuovi. Il tuo nome, il tuo id di Telegram e la tua casa non vengono inviati.
La foto. È spenta a meno che tu non la spunti, accanto all’avviso sulla licenza: una foto che mandi viene pubblicata con CC BY-SA e sostituisce la foto frontale su Open Food Facts, dopo aver passato lo stesso controllo automatico delle foto del catalogo condiviso. Il testo della correzione è pubblicato con la Open Database Licence.
Cambiarla o annullarla. In quell’ora puoi cambiare quello che viene inviato o annullare, dalla pagina del prodotto. Annullare l’aggiunta, eliminare il prodotto o cambiargli il codice la annulla, e così fa Impostazioni → Elimina tutti i dati.
Cosa conserviamo. Una registrazione della correzione: quale prodotto, cosa hai chiesto e cosa hai proposto, cosa aveva Open Food Facts in quel momento (così non si sovrascrive niente di più recente) e l’esito per ogni dettaglio (scritto, già presente, cambiato da altri, non inviato). È quello che vedi nella pagina del prodotto e in «I tuoi contributi». A Open Food Facts non arriva nient’altro su di te oltre all’identificativo qui sopra.
Dieci al giorno. Puoi mandare fino a 10 correzioni al giorno; oltre, una correzione aspetta il giorno dopo, e l’app ti dice quando partirà.
Una volta inviata. Una correzione già inviata resta su Open Food Facts: lì è pubblica e non possiamo ritirarla. Si annulla solo quello che non è ancora partito.
Elimina tutti i dati. Annulla le correzioni ancora in attesa e ti toglie da tutte le registrazioni delle correzioni, anche da quelle già inviate; quello che è stato inviato resta pubblico su Open Food Facts.
La parte di Open Food Facts. Una volta lì, è coperto da la loro informativa sulla privacy e dalle condizioni d’uso, non da questa pagina.

Email, licenze e segnalazioni: apps-management

Un indirizzo email è facoltativo. Il bot funziona, e Pro si può acquistare, senza.

Se scegli di collegarne uno (lo confermi con un codice inviato a quell’indirizzo), viene usato con apps-management, il servizio che gestisce licenze e feedback per le app di questa famiglia. Viene usato solo per tre cose: la tua licenza, in modo che Pro possa seguirti su un nuovo account Telegram (vale per un account Telegram alla volta); le risposte alle segnalazioni che mandi; e i voti che dai alle funzioni ancora da costruire. apps-management conosce le persone solo tramite un’email verificata e non riceve il tuo id di Telegram.

Altre due cose vengono registrate lì che tu abbia collegato un’email o no:

Gli acquisti di Pro. Un acquisto fatto con le Stelle di Telegram viene registrato in apps-management con l’identificativo di pagamento di Telegram, ed è così che una licenza viene verificata e un rimborso rintracciato. Non c’entra nessun dato di carta o di fatturazione, perché non ce ne sono. Per un abbonamento comprato su Google Play, il server di Hello Pantry manda il token di acquisto ad apps-management insieme alla tua email verificata, se ne hai collegata una, e apps-management lo verifica con Google. Vedi Pro su Google Play.
Segnalazioni di problemi e idee. Quello che mandi dalla sezione informazioni del bot o dell’app viene inoltrato ad apps-management, insieme alla versione che stavi usando e all’email, se ne hai collegata una. Una segnalazione senza un’email collegata è anonima.

La parte di Telegram

Stai parlando con questo bot attraverso Telegram, e Telegram trasporta ciò che mandi. Quello che Telegram ne fa è coperto da l’informativa sulla privacy di Telegram, non da questa.

Due conseguenze che vale la pena dire chiaramente:

Telegram sa che usi questo bot, e quando.
Una chat di Telegram con un bot non è cifrata end-to-end. Telegram può leggerla, nello stesso modo in cui può leggere qualsiasi chat nel cloud.

Case condivise

In una casa condivisa gli altri membri vedono il contenuto, il tuo nome su Telegram, e chi ha aggiunto o consumato ogni cosa. Ricevono anche una notifica quando lo fai tu, a meno che non l’abbiano silenziata. Solo un proprietario può invitare o rimuovere persone. Uscire da una casa, o essere rimossi, pone fine al tuo accesso.

Assistenti AI (MCP)

Puoi collegare Hello Pantry a un assistente AI che supporta i connettori (MCP), come Claude, di Anthropic, o ChatGPT, di OpenAI, o qualunque altro client che parli il protocollo. Non succede nulla se non aggiungi tu Hello Pantry in quell’assistente e non premi Permetti sulla pagina di Hello Pantry nell’app web, con l’accesso al tuo account. Quella pagina mostra il nome dell’app e l’indirizzo a cui torna, ti avverte se l’app non è tra quelle che riconosciamo, elenca le case a cui arriverà con il tuo ruolo in ciascuna e dice cosa non potrà mai fare. Collegare è libero per chiunque; l’assistente può usare il contenuto di una casa solo finché quella casa ha Pro.

Cosa può fare. Da quel momento, quando glielo chiedi, l’assistente agisce con il tuo ruolo in ciascuna delle tue case. Può leggere le case, le dispense, i prodotti, le scadenze, le liste della spesa, le statistiche e i membri (nome e username Telegram, nient’altro). Con il ruolo di editor o di proprietario può aggiungere, spostare, modificare, consumare o buttare confezioni, cambiare la lista della spesa e le dispense; da proprietario può anche cambiare le impostazioni della casa, invitare persone, cambiarne il ruolo o rimuoverle. Ogni modifica è fatta a nome tuo: gli altri membri di una casa condivisa la vedono, e ricevono la notifica, come una modifica tua. Con il ruolo di sola lettura può solo leggere. Non può mai eliminare, creare o ripristinare una casa, trasferirne la proprietà, rispondere a un invito, cambiare le tue impostazioni di notifica a parte i tuoi avvisi di scadenza, vedere i contatti di qualcuno, modificare il catalogo condiviso, mandare qualcosa a Open Food Facts, toccare Pro o i pagamenti, esportare o eliminare i tuoi dati o il tuo account.

Cosa va dove. Quello che l’assistente legge viene mandato all’azienda che lo gestisce (per esempio Anthropic per Claude, OpenAI per ChatGPT) e trattato secondo i termini e l’informativa di quell’azienda: è un servizio che hai scelto di collegare, non uno che lavora per noi, e Hello Pantry non ha alcun controllo su cosa ne faccia. Se cerchi un codice a barre o un nome tramite un assistente, a Open Food Facts vanno solo il codice o le parole, come descritto sopra. Un assistente non manda mai contributi né correzioni a Open Food Facts o al catalogo condiviso.

Cosa conserviamo. Per ogni app: il nome che si è dato, gli indirizzi a cui torna e, per un’app che si presenta con un documento sul proprio sito, l’indirizzo di quel documento. Per ogni collegamento: il tuo account, quale app, quando è stato approvato e quando è stato usato l’ultima volta. Delle chiavi di accesso: solo l’impronta (hash), mai la chiave. Nient’altro. Non conserviamo il contenuto di ciò che l’assistente chiede o si sente rispondere. Il registro del nostro server annota soltanto che c’è stata una richiesta, di quale account e collegamento, con quale strumento, quanto è durata e se è riuscita: niente argomenti, niente risultati. Contiamo anche, per giorno, quante richieste sono arrivate dagli assistenti e quante di queste hanno modificato qualcosa, solo in totale; per ogni account annotiamo soltanto se quel giorno ha usato un assistente. Chi amministra vede quante app sono collegate e, nella scheda di una persona, quali app ha collegato, quando e l’ultimo uso di ciascuna.

Per quanto tempo. Una chiave di accesso dura 1 ora. Una chiave di rinnovo dura 90 giorni dall’ultimo uso e viene sostituita a ogni uso. Per quanto la si rinnovi, un collegamento finisce un anno dopo la tua approvazione, e l’assistente va collegato di nuovo. Una richiesta di collegamento in attesa dura 30 minuti e il suo codice monouso 2 minuti. Ogni ora il server elimina ciò che è scaduto: richieste e codici dopo un giorno, le chiavi un mese dopo la scadenza o la revoca, un collegamento revocato dopo un mese, uno non usato da 120 giorni, e un’app che non ha mai ottenuto un collegamento dopo un giorno.

Scollegare. Impostazioni → App collegate, nell’app web e nella mini app, elenca ogni collegamento. Scollega lo ferma subito: dalla richiesta successiva l’assistente viene rifiutato. Puoi anche togliere il connettore dall’assistente stesso. Eliminare l’account elimina tutti i collegamenti e le loro chiavi. Elimina tutti i dati no: svuota le tue case, e un assistente collegato resta collegato, a un account senza niente dentro, finché non lo scolleghi.

Un avviso ogni volta. A ogni nuovo collegamento ricevi un avviso, su Telegram se l’hai collegato e per email se ne hai data una, con il nome dell’app e come scollegarla, così ti accorgi di un collegamento che non hai fatto tu.

La mini app e l’app web

La mini app è una pagina servita da https://hello-pantry-tg.gpm.name. Conserva una sola cosa nel tuo browser: una nota che hai visto la schermata di benvenuto. Quella nota non lascia mai il dispositivo e non è leggibile da nessun altro.

Dentro Telegram, ogni richiesta che la mini app fa porta con sé la sessione che Telegram firma per lei, ed è ciò che prova che la richiesta è tua.

L’app web su https://hello-pantry-app.gpm.name è la stessa pagina, aperta in un browser, con un accesso suo: un link mandato alla tua email, Google, o il pulsante di accesso di Telegram. Ha bisogno degli stessi dati, e tiene un cookie di sessione nel browser così resti connesso finché non esci. Accedere con un’email o con Google conserva quell’indirizzo, o l’identificativo dell’account Google, per riconoscerti la volta dopo.

La pagina carica i suoi font da Google Fonts, il che significa che Google vede la richiesta di quei file. Con quella richiesta non viene inviato niente di te oltre a quello che qualsiasi browser invia quando scarica un file.

L’app Android

L’app Android è un altro modo di entrare nello stesso account e negli stessi dati del bot: case, dispense, prodotti, lista della spesa, i membri di una casa condivisa e gli inviti, le impostazioni delle notifiche e le statistiche di una casa. Parla con lo stesso server, in Germania. Accedi con un codice di 6 cifre mandato alla tua email, con un codice che ottieni dal bot o, nella versione di Google Play, con Google. Quello che viene conservato sulla tua casa è quello che descrivono le sezioni qui sopra.

Inquadrare un codice a barre con la fotocamera avviene sul tuo dispositivo: la versione di Google Play lo legge con la libreria ML Kit di Google e quella senza Google con ZXing, entrambe dentro l’app, senza scaricare né inviare niente. Le immagini della fotocamera vengono guardate in memoria e mai salvate o caricate; al server arrivano solo le cifre del codice, per cercare il prodotto. La fotocamera viene chiesta solo quando apri lo scanner, leggi una data di scadenza o scatti la foto di una confezione, e scrivere funziona anche senza.

Leggere una data di scadenza. Nella versione di Google Play l’app può leggere con la fotocamera la data di scadenza stampata su una confezione, quando lo scegli tu. Il testo viene riconosciuto sul tuo telefono da ML Kit di Google, attraverso Google Play services, che fornisce il modello di riconoscimento e lo scarica la prima volta se il telefono non ce l’ha ancora. Le immagini della fotocamera e il testo letto vengono guardati in memoria e mai salvati o caricati: viene salvata solo la data che confermi, come scadenza di ciò che aggiungi. Come le altre funzioni di Google Play services, ML Kit può inviare a Google informazioni tecniche sul dispositivo e su come funziona la lettura, mai le immagini né il testo. La versione senza Google non legge le date: la scrivi o la scegli dal calendario.

Le foto di una confezione. La fotocamera serve anche, dentro l’app, quando scegli di scattare la foto di una confezione; in alternativa ne scegli una dalla galleria, con il selettore foto del sistema, e l’app non chiede l’accesso alle tue foto. La foto viene elaborata sul tuo dispositivo prima di essere caricata: viene ridotta e raddrizzata, e tutto il resto del file, posizione compresa, viene tolto. Viene caricata solo quando la alleghi tu, con le stesse regole di Le foto che scegli di allegare e del catalogo condiviso.

Accedere con Google e collegare gli account. Nella versione di Google Play puoi accedere con Google, e nelle Impostazioni puoi collegare il tuo account Google, il tuo account Telegram e un indirizzo email all’account che hai già. Per Google, l’app chiede a Google una prova firmata di chi sei e la manda al server, che la verifica con Google e conserva l’identificativo dell’account Google (il “sub”) e l’indirizzo email verificato, per riconoscerti la volta dopo, come fa l’app web, più il tuo nome se è Google a creare l’account. Per collegare Telegram, l’app apre il bot, il bot ti manda un codice di 6 cifre e tu lo scrivi nell’app; il server lega poi il tuo id di Telegram allo stesso account. Collegare un’email funziona con un codice mandato a quell’indirizzo, come sopra. Una versione senza i servizi di Google Play non ha l’accesso con Google.

Pro su Google Play. Nella versione di Google Play, Pro si può comprare nell’app come abbonamento di Google Play, mensile o annuale, con una prova gratuita. Il pagamento lo incassa Google, come responsabile del trattamento dell’acquisto, secondo i termini e l’informativa di Google: i dati della carta e di fatturazione restano a Google e non arrivano mai a Hello Pantry. Google dà all’app un token di acquisto, e l’app lo manda al server di Hello Pantry. Il server conserva il token e il suo hash, a quale account appartiene, e se Google segnala un problema di pagamento, e manda il token ad apps-management, che verifica con Google se l’abbonamento è attivo e fino a quando. Lo stato e le date che tornano indietro vengono conservati sul tuo account. È ciò che rende Pro valido anche nel bot, nella mini app e nell’app web, oltre che nell’app. Annullamenti e rimborsi passano da Google Play (vedi i termini); quando Google segnala il cambiamento, Pro lo segue. Il record dell’acquisto viene rimosso quando il tuo account viene eliminato; eliminare i tuoi dati non annulla un abbonamento, che si annulla in Google Play. Una versione senza i servizi di Google Play non vende Pro; rimanda al bot.

Avvisi di scadenza sul telefono. L’app può avvisarti dei prodotti prossimi alla scadenza con notifiche di Android. Vengono calcolati sul tuo telefono, a partire dai dati che l’app ha già dal server e tiene per funzionare offline: per questo non viene inviato niente a nessuno, e non c’è nessun servizio di notifiche push. Android ti chiede il permesso di mostrare le notifiche, e puoi disattivarle nell’app o nelle impostazioni di Android. Il canale che preferisci, telefono o Telegram, è conservato sul tuo account, così il bot non manda anche lo stesso avviso.

I tuoi dati, dall’app. L’app può eliminare tutti i tuoi dati (Impostazioni → Elimina tutti i dati), con lo stesso effetto che nel bot e come descritto in Conservazione, e il proprietario di una casa può esportarne i dati in un file, salvato dove scegli sul telefono.

La domanda sulla diagnostica. Dopo il primo accesso alla versione di Google Play, l’app ti chiede della “diagnostica”, con due interruttori: segnalazioni di arresti anomali e statistiche d’uso. Entrambi sono mostrati attivi, e non viene inviato nulla finché non hai risposto. Puoi cambiare la risposta in qualsiasi momento nelle Impostazioni dell’app.

Segnalazioni di arresti anomali (Firebase Crashlytics)Quando l'app si arresta: lo stack trace (dove nel codice si è fermata), il modello del dispositivo, la versione di Android, la versione dell'app e un identificativo dell'installazione.
Statistiche d'uso (Firebase Analytics)Quali schermate e funzioni vengono usate, come eventi, con un identificativo dell'istanza dell'app e l'ID pubblicitario di Android. L'ID pubblicitario serve solo per queste statistiche, mai per la pubblicità: in Hello Pantry non c'è pubblicità da nessuna parte.

Cosa non viene mai inviato. Cosa c’è in una casa, i nomi dei prodotti, la lista della spesa, le foto, la tua email e il tuo nome su Telegram non fanno parte di nessuna delle due.

La parte di Google. Entrambi i servizi sono di Google. Google tratta i dati per conto di Hello Pantry come fornitore di servizi (responsabile del trattamento), e può trattarli fuori dall’UE. Vedi l’informativa sulla privacy di Google e le informazioni sulla privacy di Firebase.

Cambiare idea. Spegni l’uno o l’altro nelle Impostazioni dell’app e l’app smette di inviarlo. Quello che è già stato inviato resta e viene cancellato da Google secondo i suoi tempi di conservazione, come descritto in Cancellare l’account.

Una versione senza i servizi di Google Play non contiene né Crashlytics né Analytics, e non ha la domanda sulla diagnostica.

Conservazione

Quello che tieni in casa viene conservato finché non lo elimini.

Impostazioni → Elimina tutti i dati, dentro il bot e nell’app Android, elimina le tue case, i tuoi armadi, i prodotti, i capi e le liste della spesa, e le foto allegate, in modo permanente e immediato. Non è una richiesta che viene elaborata: le righe sono sparite quando arriva la conferma, e i file delle foto le seguono entro un giorno. Quello che hai dato al catalogo condiviso resta lì, come dati su un prodotto confezionato, senza più niente che lo leghi a te; le segnalazioni che hai fatto vengono eliminate. Quello che non è ancora stato inviato a Open Food Facts, prodotti nuovi e correzioni, viene annullato, e le registrazioni di ciò che è stato inviato non ti nominano più; quello che è stato inviato resta pubblico lì. Il tuo profilo e la conversazione stessa restano, così il bot funziona ancora dopo; eliminare anche quelli è una richiesta all’indirizzo qui sopra.

Gli assistenti AI collegati sono conservati come descritto in Assistenti AI (MCP): al massimo un anno dalla tua approvazione. Scollegarne uno lo ferma subito e la sua registrazione viene eliminata entro circa un mese; eliminare l’account li elimina tutti.

Eliminare una casa o un armadio. Un proprietario può eliminare una casa o un armadio. Sparisce subito per tutti i membri e viene tenuto per 30 giorni, in modo che un proprietario possa ripristinarlo. Fino ad allora contiene ancora i suoi prodotti, le foto e l’attività. Passati i 30 giorni viene eliminato per sempre, insieme a prodotti, foto e attività. Se non vuoi aspettare, Elimina tutti i dati elimina i tuoi subito, come descritto sopra.

Esistono backup del server per il ripristino in caso di disastro, conservati per un periodo limitato. I dati eliminati dal database attivo non vengono ripristinati da quei backup.

Cosa viene eliminato, cosa resta e per quanto, e come chiedere di eliminare anche il profilo, sta in una pagina sola: Cancellare l’account.

Esecuzione di un contratto per tutto quello che scrivi: un’app che tiene il conto di quello che hai non può funzionare senza conservarlo.
Legittimo interesse per i log operativi che il server conserva per continuare a funzionare e per indagare sugli abusi, e per conservare quale account ha aggiunto una scheda del catalogo o una foto e chi ne ha segnalata una, così che gli abusi del catalogo condiviso si possano fermare.
Consenso per inviare un prodotto a Open Food Facts: lo dai spuntando la casella, ogni volta, e senza non viene inviato nulla. Puoi ritirarlo finché il prodotto non è stato inviato, come descritto sopra; dopo non si può più annullare.
Consenso per correggere un prodotto su Open Food Facts: lo dai spuntando cosa mandare, ogni volta, e senza non viene inviato nulla. Puoi ritirarlo nell’ora prima dell’invio; dopo non si può più annullare.
Consenso per le segnalazioni di arresti anomali e le statistiche d’uso nella versione di Google Play dell’app Android: lo dai lasciando attivi gli interruttori quando l’app lo chiede, prima della tua risposta non viene inviato nulla, e puoi ritirarlo in qualsiasi momento nelle Impostazioni dell’app.
Esecuzione di un contratto per l’identificativo dell’account Google e l’email, che servono a farti accedere, e per il token di acquisto e lo stato dell’abbonamento, che servono a darti il Pro che hai comprato.
Esecuzione di un contratto per collegare un assistente AI: è una funzione che chiedi tu, e il collegamento, le sue chiavi e l’avviso che ti mandiamo sono ciò che serve a farla funzionare. Il registro delle richieste del server rientra nel legittimo interesse, qui sopra.
Obbligo di legge per le registrazioni che un pagamento lascia dietro di sé.

I tuoi diritti

Puoi chiedere una copia dei tuoi dati, la loro rettifica o la loro cancellazione, e puoi opporti al loro trattamento. Una di queste cose non ha bisogno dell’aiuto di nessuno: Impostazioni → Elimina tutti i dati è la cancellazione, e Cancellare l’account spiega il resto. Per qualsiasi altra cosa, scrivi a apps@gpm.name.

Hai anche il diritto di presentare reclamo a un’autorità di controllo.

Minori

Hello Pantry non è rivolto ai minori e non chiede niente che ne identificherebbe uno.

Modifiche

Questa pagina riporta la data dell’ultima modifica sostanziale. Una modifica che riguarda ciò che viene raccolto sarà detta anche nel changelog, e non solo qui.