Privacy

Ultimo aggiornamento: 3 ottobre 2026 · versione 4

Questa pagina c'è in spagnolo, in italiano e in inglese. Se una frase non dice la stessa cosa nelle tre lingue, vale lo spagnolo.

In una frase

contigo conserva quello che serve per farti studiare in due: il nome che ti dà chi ti fa entrare, le tue carte, i tuoi ripassi, e quello che scambi con l'altra persona mentre impari. Non conserviamo la tua email quando entri nell'app. Non c'è pubblicità, non c'è tracciamento, non c'è nessun banner dei cookie perché non ci sono cookie da accettare.

contigo è una versione di prova personale e gratuita. Se un giorno diventerà a pagamento, lo dirà prima, qui e nell'app, e nessun dato che raccogliamo oggi servirà a pagamenti o a pubblicità senza una nuova informativa. Le regole del servizio stanno nelle condizioni.

Chi tratta i tuoi dati, e come lo raggiungi

Il titolare del trattamento è Eugenio Nerelli, persona fisica residente in Spagna.

Per qualunque cosa riguardi i tuoi dati, o per segnalare un contenuto o un comportamento: Mostra l'email. Premi il bottone per vedere l'indirizzo: non lo scriviamo in chiaro perché i robot dello spam lo raccolgono.

È anche il punto di contatto unico per gli utenti e per le autorità (regolamento UE 2022/2065, artt. 11 e 12), in spagnolo, italiano o inglese. Non c'è un indirizzo postale: contigo non è un'attività economica, perché non incassa niente e non mostra pubblicità.

contigo è fatta da una persona sola. Rispondo io, di solito in pochi giorni, comunque entro un mese (art. 12 GDPR).

Non c'è un responsabile della protezione dei dati: non è obbligatorio (art. 37 GDPR, art. 34 LOPDGDD).

Durante la prova, l'accesso può essere limitato o solo su invito. Se hai un invito e non riesci a entrare, scrivi a Mostra l'email.

Come entri

Ci sono quattro modi di entrare: con Google, con Apple, con una passkey (Face ID o Touch ID, senza password), oppure senza nessuno dei tre, con un link personale. Non c'è una registrazione con email: scegli uno di questi modi, e basta.

La tua email arriva insieme al resto, con Google e Apple, e non la scriviamo da nessuna parte. Verifichiamo la firma, prendiamo l'identificatore e il nome, e il resto lo lasciamo cadere. Questo ha un rovescio scomodo, ed è giusto che tu lo sappia: non abbiamo nessun modo di scriverti, e se perdi l'accesso al tuo account Google o Apple non possiamo verificare che quell'account contigo sia tuo. Vedi «I tuoi diritti» più sotto.

Se entri con il link personale, la chiave sei tu. Sta nel tuo telefono, e in Profilo puoi copiare il link per conservarlo (nel tuo gestore di password, per esempio). Se perdi il link e non hai né Google, né Apple, né una passkey, non c'è modo di recuperarlo: noi non conserviamo la chiave, non abbiamo la tua email e non possiamo verificare che l'account sia tuo. L'account e tutto quello che c'è dentro si perdono. Dal web puoi aggiungere Google o una passkey più tardi, per non dipendere solo dal link.

Per come Google e Apple trattano i tuoi dati rispondono loro, con le loro informative. In quel passaggio sono titolari autonomi: decidono loro, non noi.

Cosa raccogliamo, davvero

Una riga per ogni cosa. «Base» è il motivo per cui la legge ci permette di trattarla: contratto vuol dire che senza quel dato l'app non fa quello che hai chiesto (art. 6.1.b); interesse legittimo vuol dire che serve a proteggere il servizio (art. 6.1.f); consenso vuol dire che decidi tu, e puoi cambiare idea quando vuoi (art. 6.1.a).

Il tuo profilo

Quello che studi

Nel corso nuovo, quello che tocchi o scrivi in un esercizio viaggia fino al nostro server, che è quello che lo corregge: nella Tarea si conserva la tua risposta; nel ripasso si conserva solo il voto. Su questi dati non decide nessuna macchina al posto tuo (art. 22): la ripetizione spaziata è una formula, non un giudizio, e la correzione di un esercizio è una regola scritta a mano che confronta la tua risposta con quelle accettate. Nessuna delle due produce un effetto legale su di te.

Quello che succede in due

Questa è la parte che vale la pena leggere due volte, perché è quella in cui un'altra persona vede cose tue.

Detto senza giri: chi ti insegna vede su cosa fai più fatica, e può cambiare quando rivedrai una carta. È il motivo per cui l'app esiste, e per cui una classe è di due persone che si sono scelte, mai di sconosciuti abbinati da noi. Chi guida può aprire una classe e darne il codice a chi vuole; nessuno viene abbinato senza averlo deciso.

Se dentro una nota vocale nomini una terza persona, quel dato lo conserviamo per recapitare il messaggio (interesse legittimo), e non abbiamo modo ragionevole di avvisare quella persona (art. 14.5.b).

Le notifiche e la casella degli avvisi

La casella si scrive sempre, che tu abbia acceso o no l'interruttore del web, perché è l'unico modo di avvisare l'iPhone. Si svuota da sola dopo 7 giorni, e con l'account.

Cosa porta un avviso: un testo breve con il nome di chi lo causa, mai il contenuto di una nota vocale o di una frase. Lo stesso testo viaggia nell'avviso push del web, cifrato con una chiave che ha solo il tuo dispositivo (il servizio push non lo legge), e può comparire nella schermata di blocco, secondo le impostazioni del tuo telefono.

Il permesso che ti chiede il sistema operativo non è il consenso dell'avviso push: il consenso è l'interruttore dentro contigo, e toglierlo cancella la sottoscrizione. L'iPhone non usa il servizio push: è il telefono stesso che mostra gli avvisi della casella, finché gli dai il permesso in Impostazioni, e che programma il promemoria delle 20:00, senza passare dal nostro server.

Sicurezza

I log persistenti di Cloudflare sono spenti: non restano registrazioni delle richieste che passano dal nostro servizio.

Un indirizzo IP è un dato personale. Puoi opporti (art. 21) scrivendo a Mostra l'email: valuteremo, ma senza questi contatori non possiamo tenere l'app in piedi, quindi l'opposizione può voler dire non poterla usare.

Cookie e memoria del dispositivo

contigo non usa cookie e non ha un banner, e questa sezione spiega perché non è una svista.

L'app tiene alcune cose nella memoria del browser o del telefono. Tutte servono a far funzionare quello che hai chiesto, e nessuna serve a seguirti:

La legge spagnola (art. 22.2 della Ley 34/2002, LSSI-CE, che recepisce la direttiva ePrivacy) chiede il consenso per conservare informazioni sul dispositivo di chi naviga, tranne quando servono esclusivamente a fornire un servizio espressamente richiesto dall'utente. È il caso di tutte le voci qui sopra: senza il gettone non sei dentro, senza la cassetta perdi i ripassi fatti in metropolitana. Per questo non c'è nessuna finestra da accettare: chiedere un consenso che la legge non richiede è rumore, e abitua le persone a premere «accetto» senza leggere.

Il giorno in cui questo cambierà, cambierà anche questa pagina, prima. Se contigo mostrerà pubblicità, quella pubblicità userà identificatori di terzi, e allora il consenso servirà davvero: comparirà una richiesta in cui rifiutare costa esattamente un tocco come accettare, senza caselle già spuntate e senza vie strette, e la scelta resterà cambiabile da dentro l'app. Finché leggi questa frase, non è ancora successo.

Il sito di presentazione tiene una cosa sola: la lingua che hai scelto in alto a destra.

Quello che non raccogliamo

Non è una promessa di marketing: è come è fatta l'app.

• Nessuna email quando entri nell'app. Chi ti fa entrare ce la manda e noi la lasciamo cadere. Non ce l'abbiamo, non possiamo scriverti. Il sito di presentazione non chiede nessun indirizzo.
• Nessuna password. Si entra con Google, Apple, una passkey o un link personale. Resta un residuo di quando esisteva l'accesso con password: negli account più vecchi ci sono ancora un nome utente e l'impronta irreversibile (PBKDF2) della password di allora. Nessuna parte di contigo li legge più; si cancellano con il tuo account, e sono previsti in sparizione tutti insieme con una pulizia che toglie quella tabella intera.
• Nessun numero di telefono, nessuna data di nascita. Il limite di età è nella sezione «Minori»; una data di nascita non la conserviamo, solo il momento in cui hai spuntato la casella dei 18 anni.
• Nessuna posizione. Niente GPS. Dall'indirizzo IP si capisce grosso modo da che paese arrivi, e lo usiamo solo per il contatore anti-abuso.
• Nessuna rubrica, nessun accesso ai tuoi contatti.
• Nessuna pubblicità, nessun profilo pubblicitario, nessun data broker. Oggi non vendiamo niente a nessuno.
• Nessun analytics, nessun SDK di terzi dentro l'app. Non sappiamo quanti schermi hai aperto ieri.
• Il contenuto dei tuoi dati non esce verso nessuna intelligenza artificiale. Il correttore che ti dice se hai scritto giusto è una regola scritta a mano, non un modello di IA. Nel corso di sempre gira dentro il tuo dispositivo: quello che digiti mentre ripassi non esce di lì. Nel corso nuovo gira sul nostro server: quello che tocchi o scrivi in un esercizio arriva fin lì per essere corretto e si conserva come dice «Quello che studi», ma non passa a nessuno se non a Cloudflare, che ospita il server. Lo sviluppo di contigo usa un assistente di programmazione (Anthropic): legge solo conteggi e identificativi tecnici, mai le tue carte, le tue frasi o le tue note vocali.

Le note vocali e i messaggi

contigo funziona a due. Quello che mandi, lo mandi a una persona precisa.

• Chi lo vede: solo l'altra persona della tua classe. Non c'è una bacheca, non c'è un feed, non c'è un abbinamento con sconosciuti: una classe nasce da un codice che dai tu a chi vuoi. Nessuno può mandarti niente se non l'hai accettato.
• Chi non lo vede: noi. Non ascoltiamo le note vocali, non le trascriviamo, non le analizziamo, non ci alleniamo sopra niente. Il file viene messo in archivio e riconsegnato all'altro, e si scarica solo da dentro la tua sessione, dopo un controllo che tu sia della classe giusta. C'è un'eccezione: il file dei dati che scarichi tu (vedi «I tuoi diritti») porta un link per ogni nota vocale. Quei link valgono 7 giorni, e in quei 7 giorni chiunque li abbia può ascoltare la nota senza essere entrato. Tratta quel file come privato.
• Quanto restano: finché esiste l'account di chi le ha mandate; quando quell'account si cancella, si cancellano anche loro. Un limite di 90 giorni dall'invio è deciso ma non ancora attivo, come i 24 mesi per gli account che non si usano più (vedi la tabella qui sotto). Il file audio non entra nelle copie di sicurezza: se dobbiamo mai ripristinare un guasto da lì, gli audio non tornano indietro con il resto. La riga di ogni nota nel database (chi l'ha mandata, a quale classe, quando, quanto dura, se è stata ascoltata, il tipo e la dimensione del file) invece entra nelle copie, come il resto del database.
• Se qualcosa non va: scrivi a Mostra l'email. Leggiamo quello che segnali e decidiamo cosa fare caso per caso.
• Gli avvisi non ripetono quello che dice la nota. L'avviso dice «Nota vocale di X», con il nome di chi l'ha mandata, mai quello che dice la nota. Vedi «Le notifiche e la casella degli avvisi».

Il volto e la voce

contigo non tratta dati biometrici. Non abbiamo la tua impronta digitale, non abbiamo un modello del tuo volto, non abbiamo un'impronta vocale.

Quando sblocchi il telefono con Face ID o Touch ID, il riconoscimento avviene dentro il tuo telefono, nel chip che il produttore riserva a questo. contigo non riceve niente di biometrico: il tuo volto e la tua impronta non lasciano il dispositivo, non passano da noi, non esistono nei nostri archivi.

L'avatar è un'emoji o le iniziali del tuo nome: non chiediamo e non accettiamo fotografie. Le note vocali sono file audio: non estraiamo impronte vocali, non identifichiamo chi parla, non facciamo riconoscimento del parlato. Finché è così, e se cambierà lo scriveremo qui prima di farlo, non c'è nessun dato della categoria dell'art. 9 in mezzo.

La voce negli esercizi resta sul tuo telefono. Quando ti registri per ripetere una frase, la registrazione sta nella memoria del telefono: non va a nessun server, non si salva nell'account e sparisce quando esci dall'esercizio. Se il tuo telefono sa riconoscere il parlato senza uscire dal dispositivo, l'app può mostrarti le parole che il telefono ha sentito; se non lo sa, quel bottone non esiste. In nessun caso c'è un servizio di terzi: l'audio non esce dal telefono, e nessuno ti dà un voto per come pronunci. In un esame, quello che dici viaggia solo come testo, e solo quando lo confermi tu.

Dove stanno i dati e chi li tocca

Cloudflare è il nostro fornitore di infrastruttura e tratta i dati per nostro conto, con le istruzioni che gli diamo, sotto l'accordo previsto dall'art. 28. Il database e i file audio stanno lì.

Cloudflare è un'azienda americana con una rete mondiale. Il codice di contigo viene eseguito nel punto della rete più vicino a te. I trasferimenti fuori dall'Unione europea sono coperti dal Data Privacy Framework, a cui Cloudflare aderisce, e dalle clausole contrattuali standard della Commissione europea per quello che resta fuori. Se vuoi una copia di queste garanzie, scrivi a Mostra l'email.

Google e Apple ti fanno entrare. In quel passaggio sono titolari autonomi del trattamento: rispondono loro, con le loro informative, e ricevono da te i dati che riceve chiunque acceda a un servizio con il loro accesso.

Il servizio push del tuo sistema operativo o del tuo browser (Apple su iPhone e iPad, Google o Mozilla altrove) riceve gli avvisi del web per consegnarteli, e quindi vede a quale installazione stanno andando e quando. Il contenuto viaggia cifrato con una chiave che ha solo il tuo dispositivo: loro non lo leggono. Questo succede solo se hai acceso le notifiche sul web; l'app per iPhone non usa nessun servizio push.

Le copie di sicurezza. Il primo ripristino, quello di tutti i giorni, è D1 Time Travel di Cloudflare: rimette in piedi il database da solo, fino a 7 giorni indietro, sempre acceso. Fuori da Cloudflare teniamo una copia in più su GitHub, cifrata con una chiave che GitHub stesso non ha: serve solo per un disastro più grande, resta 7 giorni ed è nominata qui perché tocca tutti i tuoi dati. I file audio delle note vocali non ci sono in nessuna delle due copie; la riga di ogni nota, sì.

L'amministratore. Il titolare accede ai dati solo per guasti e sicurezza, con comandi fissi e un motivo scritto per ogni accesso, che si registra. Non legge il contenuto delle tue carte, delle tue frasi o delle tue note vocali con query libere.

Nessun altro. Non ci sono partner, non ci sono inserzionisti, non ci sono strumenti di misurazione.

Come li proteggiamo

Tutto passa da connessioni cifrate. Non si chiedono più password, quindi non ci sono password nuove da rubare: delle vecchie resta solo, in alcuni account, un'impronta irreversibile. Il gettone di sessione lo conserviamo solo come impronta SHA-256: dall'impronta non si torna indietro. Il refresh token di Google e di Apple è cifrato prima di essere scritto. Le note vocali si scaricano solo dentro una sessione autenticata e dopo un controllo che tu appartenga a quella classe. L'eccezione sono i link del file dei dati che chiedi tu: valgono 7 giorni.

Se succede una violazione che mette a rischio i tuoi dati, la segnaliamo all'autorità entro 72 ore (art. 33). Se il rischio per te è alto, ti avvisiamo (art. 34): siccome non abbiamo la tua email, lo facciamo con un avviso in cima alla schermata iniziale dell'app, nella tua lingua, che resta lì finché non lo chiudi. Lo vedrai la prossima volta che apri l'app.

Quanto teniamo le cose

I tuoi diritti, e come si esercitano davvero

Hai diritto di sapere quali dati abbiamo (art. 15), correggerli (16), cancellarli (17), limitarne l'uso (18), portarli via in un formato leggibile da un'altra app (20), opporti ai trattamenti fondati sul nostro interesse legittimo (21), e ritirare un consenso quando lo hai dato (7.3).

In contigo si fanno quasi tutti da dentro l'app, in Profilo:

• Modifica il profilo: nome, lingue, tetto giornaliero.
• Notifiche: l'interruttore che dà e toglie il consenso.
• Scarica i miei dati: il file con tutto quello che abbiamo di te.
• Cancella il mio account: vedi la sezione qui sotto. Sta anche nell'app per iPhone, identico.

Una copia dei tuoi dati. Dal profilo, con «Scarica i miei dati», ricevi subito un file (JSON) che copre tutto quello che conserviamo di te: il profilo, le carte, i ripassi, gli esami, gli esercizi del corso nuovo, le frasi, le lezioni, i giudizi ricevuti e la casella degli avvisi (e il tuo vecchio nome utente, se lo avevi), più i link alle tue note vocali (quei link valgono 7 giorni, e chi li ha può ascoltare la nota finché valgono). Restano fuori solo i segreti tecnici (le impronte del tuo gettone, le chiavi cifrate e la chiave pubblica della tua passkey). Copre insieme l'accesso e la portabilità (art. 15, 20). Se non riesci a entrare, scrivi a Mostra l'email.

Non abbiamo la tua email, quindi per tutto il resto l'unico modo che abbiamo di essere sicuri che sei tu è che tu sia entrato nel tuo account (art. 12.6), o che tu ci scriva da lì. Non ti chiederemo mai un documento d'identità: sarebbe raccogliere più dati di quanti ne stiamo cancellando.

Se hai perso l'accesso al tuo account Google o Apple, scrivi comunque a Mostra l'email e vediamo insieme se c'è un modo di verificare che l'account sia tuo. Se non c'è, dobbiamo dirtelo apertamente: non possiamo identificarti, e quindi non possiamo darti i dati di quell'account né cancellarlo su richiesta (art. 11). Non è una scusa, è la conseguenza di non avere un tuo recapito.

Per tutto il resto (opposizione, limitazione, reclami, domande) scrivi a Mostra l'email. Rispondiamo entro un mese, prorogabile di due se la richiesta è complicata, e in quel caso ti spieghiamo perché (art. 12.3). Non costa niente.

Se pensi che stiamo sbagliando puoi rivolgerti all'Agencia Española de Protección de Datos (AEPD, aepd.es), che è l'autorità del paese in cui il titolare è stabilito, oppure all'autorità del paese in cui vivi tu o in cui è avvenuto il fatto (art. 77). Puoi anche rivolgerti al giudice.

Cancellare l'account

Si fa dal tuo profilo, con Cancella il mio account, dentro l'app (sul web e sull'iPhone è lo stesso), senza scriverci e senza chiedere il permesso a nessuno. Devi essere entrato, e devi riscrivere il tuo nome per confermare: serve a essere sicuri che non sia un tocco per sbaglio.

Non c'è ripensamento e non c'è periodo di grazia. Quando confermi, succede subito.

Sparisce: il tuo profilo e il nome, il collegamento con Google o Apple e il refresh token cifrato, il tuo mazzo intero, tutti i ripassi, le iscrizioni, gli esami e le risposte, gli esercizi del corso nuovo, le frasi che hai scritto, le tue note vocali, le amicizie, gli applausi, gli eventi, le notifiche e la casella degli avvisi, le sessioni aperte su ogni dispositivo.

Il tuo numero interno sparisce dal database. Non resta nessuna riga con il tuo identificatore, in nessuna tabella: né le classi che hai aperto, né i codici di classe e gli inviti che hai creato, né gli inviti a lezione con la nota che hai scritto, né il tuo vecchio nome utente se ne avevi uno. Tutto questo si cancella con l'account.

Ma resta un segno, ed è solo il tuo numero. Quando si cancella un account lasciamo nell'archivio dei file (Cloudflare R2) un file vuoto il cui nome è la data della cancellazione e il tuo numero interno: né il tuo nome né altro. Serve a una cosa sola: se un giorno dobbiamo rimettere in piedi il database da una copia che ti includeva ancora, quel segno permette di cancellarti di nuovo. La pulizia automatica che toglie i segni dopo 8 giorni non è ancora accesa (la accende il titolare), quindi oggi i segni restano fino ad allora.

Sparisce anche per l'altra persona: le note vocali che le hai mandato spariscono anche dalla sua conversazione. Al posto tuo, l'altra persona si ritrova senza un compagno nella classe, senza il tuo nome.

Resta: il mazzo dell'altra persona, i suoi ripassi, i suoi progressi: sono suoi, anche le carte che hai riprogrammato tu giudicandola. Resta il contatore anti-abuso, che non è legato al tuo account ma al tuo indirizzo IP, e il segno di sopra: le registrazioni per IP e giorno si tengono 7 giorni, e i tentativi di accesso falliti 30 giorni (vedi la tabella «Quanto teniamo le cose»). Una cancellazione si propaga alle copie di sicurezza entro 7 giorni.

Una cosa che non possiamo fare noi. Con Apple, cancellare l'account revoca già da sola l'autorizzazione (a meno di un guasto di Apple in quel momento). Con Google, il collegamento fra contigo e il tuo account resta anche nelle impostazioni del tuo account Google: se vuoi toglierlo, vai su myaccount.google.com › Sicurezza › App di terze parti e revoca l'accesso a contigo.

Minori

Per usare contigo bisogna avere almeno 18 anni. Quando crei l'account ti chiediamo di dichiarare che li hai, con una spunta: senza, l'account non nasce, e il server rifiuta la nascita che arriva senza quella dichiarazione. Non ti chiediamo la data di nascita né un documento: ci basta la tua dichiarazione, e conserviamo il momento in cui l'hai spuntata, non la tua età. Le regole del servizio stanno nelle condizioni.

Il motivo: contigo fa scambiare a due persone messaggi e note vocali private, con voce e appuntamenti veri, e un adulto abbinato con un minore è esattamente la situazione da evitare. La fissiamo a 18, non più in basso, anche perché in Spagna sta salendo un progetto di legge sull'età del consenso digitale.

Quello che l'app fa per proteggere chi la usa vale a tutte le età: nessun abbinamento con sconosciuti. Una classe nasce da un codice che dai tu a una persona precisa, quindi non può arrivarti niente da qualcuno che non hai scelto.

Se scopriamo un account di qualcuno più giovane, lo cancelliamo. Se sei un genitore e pensi che tuo figlio abbia un account, scrivi a Mostra l'email.

Se cambiamo questa pagina

Se cambia qualcosa di sostanziale (un dato nuovo, una finalità nuova, un fornitore nuovo, la pubblicità) lo scriviamo qui prima di farlo, cambiamo la data in cima e mettiamo un avviso in cima alla schermata iniziale dell'app, che resta lì finché non lo chiudi, non una riga nascosta a fondo pagina.

Le versioni precedenti restano disponibili: chiedile a Mostra l'email.

Questo documento è scritto per essere accurato su come contigo funziona davvero, e ogni riga corrisponde a qualcosa che sta nel codice. Non è stato rivisto da un avvocato: prima di accendere la pubblicità, che cambia le basi giuridiche e fa entrare terze parti, va fatto rivedere.