Informativa privacy di Capitall

Versione 1.1 · in vigore dal 3 novembre 2026

Questa informativa spiega quali dati raccogliamo quando usi l'app Capitall o visiti il sito capitall.cc, perché, per quanto tempo li teniamo e quali diritti hai. L'abbiamo scritta nel modo più semplice possibile, perché Capitall è usata anche da ragazze e ragazzi dai 14 anni in su (art. 12 GDPR; art. 2-quinquies, comma 2, Codice Privacy).

In breve

Usiamo i tuoi dati solo per farti funzionare l'app: account, lezioni, progressi, funzioni con gli amici.
Niente pubblicità, niente tracciamento, niente vendita di dati. Né l'app né il sito usano strumenti di profilazione o pubblicità di altre aziende, e il sito non ha moduli da compilare.
I dati sono conservati in data center nell'Unione europea (Irlanda).
Puoi scaricare i tuoi dati ed eliminare l'account in qualsiasi momento, direttamente dall'app.

1. Chi tratta i tuoi dati

Il titolare del trattamento è Luca Cameroni, titolare della ditta individuale «Pink Mount Capital di Cameroni Luca», con sede in Via Monte Rosa 13, 28100 Novara (NO), P.IVA 02860150032, REA NO-326819 («Capitall», «noi»).

Per qualsiasi domanda sulla privacy o per esercitare i tuoi diritti: [email protected]. Per l'assistenza sull'app: [email protected].

Non abbiamo nominato un Responsabile della protezione dei dati (DPO): per un servizio come il nostro non è obbligatorio (art. 37 GDPR).

2. Quali dati raccogliamo, perché e su quale base

Dati raccolti, motivi, base giuridica e tempi di conservazione
Cosa facciamo	Quali dati	Base giuridica	Per quanto tempo
Creare e gestire il tuo account (registrazione, accesso, verifica dell'email, recupero della password)	email, password (salvata solo in forma cifrata non reversibile), nome visualizzato, username, avatar scelto tra le mascotte, data di registrazione	esecuzione del contratto, cioè le condizioni d'uso che accetti (art. 6.1.b GDPR)	finché hai l'account, più 30 giorni se chiedi di eliminarlo (sezione 7)
Adattare l'app al tuo fuso orario (per capire quando inizia e finisce la tua giornata di studio)	fuso orario del telefono, letto una volta alla registrazione	contratto (art. 6.1.b)	finché hai l'account
Proporti un percorso adatto a te	l'obiettivo che scegli (es. «comprare casa») e il punteggio delle 4 domande iniziali. Delle domande conserviamo solo il punteggio totale, non le singole risposte (nemmeno la fascia d'età)	contratto (art. 6.1.b)	finché hai l'account
Farti studiare e salvare i progressi	lezioni completate e numero di errori, ripassi, termini del glossario sbloccati e letti, XP, stelle, streak, cariche, badge, titoli, oggetti del negozio comprati con le stelle (moneta virtuale, non denaro)	contratto (art. 6.1.b)	finché hai l'account
Funzioni con gli amici (ricerca per username, profilo, amicizie, feed delle attività, reazioni, classifica tra amici, missioni a coppie, streak condivise, colpi di gomito, inviti)	nome, username, avatar, streak, XP, badge, lezioni completate, eventi di attività, amicizie, codice invito	contratto (art. 6.1.b). Decidi tu chi ti vede, con gli interruttori in Impostazioni → Privacy e sicurezza (sezione 4)	feed: 30 giorni; il resto finché hai l'account
Sicurezza della community (bloccare utenti, segnalare comportamenti scorretti, filtrare nomi offensivi)	utenti che blocchi, segnalazioni che fai (con il motivo che scrivi) e quelle che altri utenti fanno su di te	legittimo interesse a proteggere gli utenti e il servizio (art. 6.1.f)	blocchi: finché hai l'account; segnalazioni (fatte o ricevute): 12 mesi
Funzionamento tecnico e sicurezza	indirizzo IP, tipo e versione del sistema operativo, orari di accesso, registri tecnici (log)	legittimo interesse a tenere il servizio sicuro e funzionante (art. 6.1.f)	i registri tecnici del nostro fornitore di infrastruttura si cancellano dopo 1 giorno
Provare i consensi	data in cui hai confermato di avere almeno 14 anni e accettato i Termini, con la versione	obbligo di dimostrare il consenso (art. 5.2 e 7.1 GDPR)	finché hai l'account
Rispondere alle tue richieste (assistenza, esercizio dei diritti, esportazione dei dati)	quello che ci scrivi, il file di esportazione dei tuoi dati	obbligo legale per i diritti (art. 12-22 GDPR); contratto per l'assistenza	file di esportazione: link valido 24 ore, file cancellato dopo 7 giorni (e sostituito se ne chiedi uno nuovo); email con le tue richieste: 24 mesi dalla nostra risposta
Mostrarti il sito capitall.cc	indirizzo IP, tipo di browser e di dispositivo, pagina richiesta, data e ora: dati che ogni browser invia per forza a ogni visita	legittimo interesse a pubblicare il sito e a proteggerlo da abusi (art. 6.1.f)	li tratta il nostro fornitore di hosting per consegnare le pagine e per la sicurezza, e li conserva per il tempo necessario a questi scopi secondo la propria informativa privacy. Nel pannello di Cloudflare possiamo consultare per almeno 31 giorni statistiche delle visite ed eventi di sicurezza, che possono includere l'indirizzo IP: li usiamo solo per proteggere il sito
Statistiche del sito	numero di visite per pagina, provenienza, tipo di dispositivo, tempi di caricamento, in forma aggregata: secondo il fornitore senza cookie, senza memoria del browser e senza conservare il tuo indirizzo IP	legittimo interesse a capire come viene usato il sito (art. 6.1.f)	solo totali anonimi
Le email che ci scrivi	il tuo indirizzo email, quello che ci scrivi e gli eventuali allegati	richieste sull'app: contratto; esercizio dei diritti: obbligo legale; il resto: legittimo interesse a risponderti	24 mesi dalla nostra risposta

Non trattiamo dati particolari (salute, religione, opinioni politiche, origine etnica, ecc.) e non te li chiediamo mai. Se segnali un utente, non scrivere informazioni di questo tipo tue o di altre persone.

Non raccogliamo dati finanziari reali: Capitall insegna la finanza, ma non ti chiede mai conti, stipendi, investimenti o patrimonio.

3. Cosa è obbligatorio e cosa no

Obbligatori: email, password, nome visualizzato, username, conferma di avere almeno 14 anni, accettazione dei Termini. Servono per creare l'account: senza, non possiamo farti usare l'app.
Necessari per la personalizzazione: obiettivo e domande iniziali. Servono a scegliere da dove partire.
Facoltativi: notifiche, codice invito. Se non li dai, l'app funziona lo stesso.

4. Chi può vedere i tuoi dati dentro l'app

Tutti gli utenti che ti cercano per username (scrivendone almeno le prime 3 lettere) vedono nome, username, avatar, streak, XP, numero di lezioni e badge, solo se è attivo l'interruttore «Profilo ricercabile». Gli amici lo vedono sempre.
I tuoi amici vedono anche la tua attività nel feed e la tua posizione in classifica, solo se è attivo «Visibile agli amici».
Quando crei l'account entrambi gli interruttori sono accesi: puoi spegnerli in ogni momento in Impostazioni → Privacy e sicurezza.
Se un evento del feed nomina un'altra persona (per esempio una streak condivisa), lo vedi solo se quella persona ha lasciato acceso «Visibile agli amici».
Il colpo di gomito: se un amico te lo manda, la notifica mostra il suo nome. Se lo mandi tu, il tuo amico vede il tuo nome.
Missioni settimanali: ogni settimana l'app può abbinarti a caso a uno dei tuoi amici per una missione da completare insieme. Il tuo compagno vede il tuo nome, il tuo avatar e quanto hai contribuito alla missione, anche se hai spento «Visibile agli amici»: la missione è un'attività che fate in due.
Inviti: se ti sei iscritto con il codice d'invito di qualcuno, quella persona vede nel suo elenco degli inviti il tuo nome, il tuo avatar e se hai completato la prima lezione (è ciò che fa scattare il premio per entrambi).
Nessun utente vede mai la tua email, il tuo obiettivo, le tue risposte iniziali, il tuo abbonamento o le segnalazioni.
Se blocchi qualcuno, non potete più trovarvi, vedere i rispettivi profili o interagire.

5. A chi affidiamo i dati (fornitori)

Non vendiamo né cediamo i tuoi dati a nessuno. Li affidiamo solo a fornitori che ci servono per far funzionare l'app e il sito, con un contratto che li obbliga a proteggerli e a usarli solo per noi (art. 28 GDPR):

Fornitori, cosa fanno per noi e dove si trovano
Fornitore	Cosa fa per noi	Dove
Supabase Inc.	ospita il database, gestisce gli accessi, esegue le funzioni del server, conserva i file di esportazione e invia le email di servizio dell'app	data center nell'Unione europea (Irlanda), su infrastruttura Amazon Web Services
Cloudflare Inc.	ospita il sito capitall.cc, lo protegge da attacchi e calcola le statistiche del sito	rete globale, società negli USA
Google — Google Workspace	gestisce le caselle di posta a cui ci scrivi (privacy@ e [email protected])	UE e USA

Questi soggetti trattano i dati in modo autonomo, secondo le proprie informative:

Apple (App Store, acquisti in-app, Accedi con Apple, consegna delle notifiche su iPhone);
Google (Google Play, pagamenti Play, Accedi con Google).

Quando paghi un abbonamento o accedi con il loro account, il rapporto per quella parte è direttamente con loro.

Potremmo dover comunicare dati alle autorità se lo impone la legge.

6. Trasferimenti fuori dall'Unione europea

Il database dell'app è nell'UE. Alcuni fornitori sono società statunitensi e potrebbero accedere ai dati dagli Stati Uniti, per esempio per assistenza tecnica; la rete di Cloudflare, che ospita il sito, è distribuita in tutto il mondo. In questi casi il trasferimento è protetto da almeno una di queste garanzie:

la decisione di adeguatezza UE-USA (EU-US Data Privacy Framework), per i fornitori certificati;
le clausole contrattuali standard approvate dalla Commissione europea (art. 46 GDPR).

Per Supabase il contratto di trattamento dei dati include le clausole contrattuali standard della Commissione europea (decisione 2021/914). Per Cloudflare il contratto prevede le clausole contrattuali standard e Cloudflare dichiara di aderire al Data Privacy Framework UE-USA. Per Google (Google Workspace) il contratto di trattamento dei dati prevede le clausole contrattuali standard.

Puoi chiederci una copia delle garanzie scrivendo a [email protected].

7. Per quanto tempo teniamo i dati ed eliminazione dell'account

Finché hai l'account conserviamo i dati che servono a farti usare l'app. Non cancelliamo automaticamente gli account inattivi: se smetti di usare Capitall, i tuoi progressi restano lì per quando tornerai, finché non decidi tu di eliminare l'account.
Il feed delle attività si cancella da solo dopo 30 giorni.
Le segnalazioni che fai si cancellano dopo 12 mesi; le richieste di amicizia rifiutate dopo 90 giorni.
Le registrazioni non completate (email mai verificata, oppure configurazione iniziale mai finita senza nessuna lezione) si cancellano da sole dopo 30 giorni.
Eliminazione dell'account. Puoi chiederla in Impostazioni → Elimina account. Funziona così:
1. ti disconnettiamo subito;
2. hai 30 giorni per cambiare idea: basta accedere di nuovo e toccare «Riattiva account». In questi 30 giorni il tuo profilo non è visibile agli altri (ricerca, amici, feed, classifica) e non ricevi notifiche; il compagno di una missione settimanale già in corso può continuare a vedere il tuo nome fino alla fine di quella settimana, e chi ti ha invitato lo vede ancora nel suo elenco degli inviti;
3. passati i 30 giorni, entro le 24 ore successive cancelliamo definitivamente l'account e tutti i dati collegati: progressi, statistiche, amicizie, impostazioni, file di esportazione;
4. restano solo informazioni non più collegabili a te, per esempio il fatto che una missione settimanale sia stata completata.
Copie di sicurezza: oggi non teniamo copie di sicurezza del database: un dato cancellato non è più recuperabile, nemmeno da noi.
Abbonamento: eliminare l'account non disdice l'abbonamento. Lo disdici dalle impostazioni abbonamenti dell'App Store o di Google Play. L'app te lo ricorda al momento dell'eliminazione.
Senza l'app: puoi chiedere l'eliminazione anche dalla pagina capitall.cc/elimina-account.

8. I tuoi diritti

Hai diritto di:

accedere ai tuoi dati e averne una copia (art. 15): in Impostazioni → Privacy e sicurezza → Scarica i miei dati ricevi un file con i tuoi dati. Per proteggere chi li ha fatti, il file non contiene le segnalazioni e i blocchi che altri utenti hanno fatto su di te: se vuoi sapere cosa abbiamo, scrivici e ti rispondiamo senza rivelare chi è stato (art. 15.4 GDPR);
portarli altrove in un formato leggibile da un computer (art. 20): lo stesso file, in formato JSON;
correggerli (art. 16): nome, username e avatar li cambi da Impostazioni. Per cambiare l'email scrivici;
cancellarli (art. 17): Impostazioni → Elimina account (sezione 7);
limitarne l'uso (art. 18): scrivici;
revocare il consenso in ogni momento, senza conseguenze su quanto fatto prima (art. 7.3): le notifiche si spengono da Impostazioni.

Diritto di opposizione (art. 21 GDPR). Puoi opporti in qualsiasi momento ai trattamenti basati sul nostro legittimo interesse (sicurezza della community, funzionamento tecnico, sito e sue statistiche, email che ci scrivi): scrivici e smettiamo, salvo che ci siano motivi legittimi più importanti dei tuoi interessi, per esempio proteggere gli altri utenti, oppure che quei dati servano a difendere un diritto in giudizio.

Per tutto ciò che non puoi fare dall'app scrivi a [email protected], indicando il Codice account (Impostazioni → Info). Ti rispondiamo entro un mese (art. 12.3 GDPR). Prima di cambiare l'email dell'account, limitarne o fermarne il trattamento o inviarti una copia dei tuoi dati, ti mandiamo sempre una conferma all'indirizzo con cui ti sei registrato e procediamo solo dopo la tua risposta da quell'indirizzo: il Codice account da solo non basta.

Se pensi che trattiamo i tuoi dati in modo non corretto, puoi presentare reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità del paese UE in cui vivi o lavori (art. 77 GDPR).

9. Ragazze e ragazzi tra 14 e 18 anni

Capitall è per persone dai 14 anni in su. L'app è disponibile solo in Italia, dove dai 14 anni si può dare da soli il consenso per i servizi online (art. 2-quinquies Codice Privacy). Sotto i 14 anni non è possibile registrarsi. Se scopriamo che un account appartiene a una persona più giovane, lo eliminiamo.

Per questo:

non mostriamo pubblicità;
non usiamo strumenti di tracciamento;
ti chiediamo solo i dati che servono.

10. Decisioni automatiche

L'app sceglie automaticamente il percorso di lezioni da consigliarti (in base all'obiettivo e alle domande iniziali), sblocca le lezioni man mano che le completi e calcola streak, XP e badge; ogni settimana abbina a caso due amici per una missione; un filtro automatico rifiuta nomi e username che contengono parole offensive (in quel caso ne scegli un altro). Sono regole di gioco e di studio: non producono effetti giuridici su di te e non incidono in modo significativo sulla tua vita (art. 22 GDPR). Puoi sempre scegliere liberamente quali categorie studiare tra quelle sbloccate.

Capitall non usa intelligenza artificiale sui tuoi dati.

11. App mobile: permessi e dati sul telefono

Permessi: l'app usa solo la connessione a Internet. Non accede a fotocamera, microfono, posizione, contatti o foto.
ID pubblicità: non lo usiamo.
Dati sul telefono: l'app salva sul dispositivo solo ciò che serve a farla funzionare: la sessione di accesso (nella cassaforte protetta del telefono: Keychain su iPhone, Keystore su Android, esclusa dai backup), il tema scelto (chiaro/scuro), se hai già visto la schermata di benvenuto. I dettagli sono nella sezione 12.
Librerie di altre aziende: l'app usa le librerie ufficiali di Supabase per collegarsi al server. Nessuna libreria di statistiche, pubblicità o tracciamento.

Il sito capitall.cc non imposta cookie e non usa la memoria del browser: non ci sono moduli, pubblicità, video, mappe o strumenti di altre aziende, e i caratteri tipografici sono caricati dal sito stesso. Il nostro fornitore di hosting (Cloudflare) può impostare cookie tecnici di sicurezza (per esempio __cf_bm o cf_clearance) solo quando deve distinguere una persona da un programma automatico: servono a proteggere il sito e non richiedono il consenso. Le statistiche del sito, secondo Cloudflare, non usano cookie né memoria del browser e non seguono le persone nel tempo. Per questo il sito non ha un banner dei cookie.

L'app Capitall non usa cookie. Per funzionare salva sul telefono alcune piccole informazioni, in uno spazio riservato a lei che le altre app non possono leggere. Sono tutte strettamente necessarie al servizio che chiedi, o ricordano una scelta che hai fatto tu: per questo la legge non richiede il tuo consenso (art. 122, comma 1, Codice Privacy; Linee guida del Garante sui cookie del 10 giugno 2021).

Informazioni salvate dall'app sul telefono, a cosa servono e per quanto tempo
Cosa viene salvato sul telefono	A cosa serve	Per quanto tempo
Sessione di accesso (nella cassaforte protetta del telefono: Keychain su iPhone, Keystore su Android; esclusa dai backup)	tenerti connesso senza reinserire la password a ogni apertura	fino a quando esci dall'account
Codice temporaneo di sicurezza dell'accesso	proteggere la procedura di login e di recupero password	solo durante la procedura
«Benvenuto già visto»	non mostrarti di nuovo la schermata iniziale e la domanda sull'età	finché l'app è installata
Tema chiaro/scuro	ricordare la tua scelta	finché l'app è installata
Email in attesa di verifica	permetterti di reinviare l'email di conferma durante la registrazione	fino al completamento della registrazione o all'uscita dall'account
Codice invito in attesa	applicare il codice invito quando completi la registrazione	fino al completamento della registrazione o all'uscita dall'account
Risposta «No» alla domanda sull'età	non riproporre subito la domanda a chi ha appena detto di avere meno di 14 anni	24 ore
«Benvenuto Premium già visto»	mostrarti una sola volta la schermata di benvenuto all'abbonamento	finché l'app è installata

Puoi cancellare queste informazioni in qualsiasi momento disinstallando l'app o cancellandone i dati dalle impostazioni del telefono.

13. Sicurezza

Proteggiamo i dati con:

connessioni cifrate (HTTPS);
password salvate solo in forma non reversibile;
regole di accesso per cui ogni utente vede solo i propri dati, salvo ciò che sceglie di condividere con gli amici;
conservazione dei dati nell'UE;
accesso amministrativo limitato al titolare.

Se si verificasse una violazione che mette a rischio i tuoi dati, la segnaleremo al Garante entro 72 ore e, se il rischio è elevato, avviseremo anche te (art. 33-34 GDPR).

14. Modifiche a questa informativa

Possiamo aggiornare questa informativa, per esempio quando aggiungiamo una funzione o cambiamo fornitore. In cima trovi sempre la versione e la data. Se il cambiamento è importante te lo diciamo nell'app prima che entri in vigore. Se riguarda un trattamento basato sul consenso, ti chiediamo di nuovo il consenso.