Privacy & Cookie Policy

1. Uso dei dati dell'account Google (Google Sign-In & Google Calendar API)

1.1 Dati Google accessibili

TurniCare utilizza Google Sign-In per autenticare i Coordinatori e, facoltativamente, Google Calendar API per esportare i turni nel calendario personale dell'utente. Di seguito sono elencati tutti gli scope richiesti e i dati che ciascuno consente di accedere:

Profilo e identità

• Indirizzo email principale (email) — per identificare univocamente l'account e inviare notifiche operative.
• Nome completo (profile) — per personalizzare l'interfaccia e identificare il coordinatore.
• Immagine del profilo (profile, URL) — visualizzata nell'interfaccia. Non viene scaricata né archiviata sui nostri server.
• Genere e lingue preferite (profile) — ricevuti come parte dello scope di profilo standard Google; non vengono letti né utilizzati da TurniCare.
• Informazioni pubbliche del profilo Google (profile) — qualsiasi altra informazione resa pubblicamente disponibile dall'utente sul proprio account Google; anch'essa non viene elaborata dall'app.
• Identificatore univoco Google (UID / OpenID) (openid) — stringa opaca generata da Google, usata come chiave primaria dell'account su Firebase per associare in modo sicuro l'identità dell'utente alle sue impostazioni e ai turni del reparto.

Google Calendar (solo se l'utente autorizza esplicitamente)

• Lettura e scrittura degli eventi in tutti i calendari Google dell'utente (https://www.googleapis.com/auth/calendar) — utilizzato per creare, aggiornare o eliminare gli eventi di turno nel calendario Google del Coordinatore. L'accesso avviene solo su azione esplicita dell'utente (pulsante "Esporta su Google Calendar") e non in modo automatico o in background.

TurniCare non richiede né accede a: contatti Google, file Google Drive, cronologia delle ricerche, posizione geografica, dati di navigazione, o qualsiasi altro scope Google non elencato sopra.

1.2 Utilizzo dei dati Google

I dati ricevuti tramite Google Sign-In e Google Calendar API vengono utilizzati esclusivamente per le seguenti finalità:

• Autenticazione e accesso sicuro — verificare l'identità dell'utente e autorizzare l'accesso al gestionale.
• Identificazione dell'account — associare i turni, le configurazioni e le impostazioni del reparto all'account del coordinatore corretto.
• Comunicazioni operative — inviare email relative alla gestione dei turni (notifiche di cambio turno, assenze, promemoria) all'indirizzo email del coordinatore.
• Personalizzazione dell'interfaccia — mostrare il nome e l'avatar del coordinatore nell'app.
• Esportazione turni su Google Calendar — su richiesta esplicita dell'utente, creare o aggiornare eventi nel suo calendario Google con i turni pianificati (data, orario, tipo di turno). TurniCare non legge eventi preesistenti nel calendario dell'utente per altri scopi.

I dati Google non vengono utilizzati per: pubblicità comportamentale o profilazione, training di modelli di intelligenza artificiale, analisi di mercato, rivendita, o qualsiasi finalità non strettamente necessaria all'erogazione del servizio di gestione turni.

1.3 Condivisione dei dati Google

TurniCare non vende, non affitta e non trasferisce i dati dell'account Google a soggetti terzi a fini commerciali o pubblicitari.

I dati vengono trasmessi esclusivamente a:

• Google Firebase (Firebase Auth, Firestore, Cloud Functions) — infrastruttura tecnica su cui è costruita l'intera applicazione, soggetta alla Privacy Policy di Firebase. Firebase è un servizio di Google LLC.
• Trigger Email (estensione Firebase) — l'indirizzo email del destinatario viene utilizzato per l'invio di notifiche operative via SMTP. Nessun dato di profilazione viene trasmesso.

Non sono presenti integrazioni con servizi di analytics di terze parti (es. Google Analytics, Mixpanel) che ricevano dati dell'account Google degli utenti.

1.4 Archiviazione e protezione dei dati Google

I dati dell'account Google vengono archiviati e protetti come segue:

• Firebase Authentication gestisce le credenziali OAuth. TurniCare non archivia mai password, token di accesso Google o refresh token Google sui propri server.
• Firestore archivia il profilo minimo necessario: UID, email, nome e ruolo dell'utente, protetti da Security Rules che garantiscono l'accesso solo all'utente autenticato e ai coordinatori del medesimo reparto.
• localStorage del browser (solo gestionale web) memorizza l'UID e il nome del coordinatore per il riconoscimento alla riapertura del tab. Il token di sessione Firebase ha durata massima di 1 ora e viene rinnovato automaticamente.
• Google Calendar API — TurniCare non archivia né copia gli eventi del calendario sui propri server. Le operazioni (creazione/modifica/eliminazione di eventi) avvengono in tempo reale tramite chiamate dirette alle API di Google e i dati restano esclusivamente nell'account Google Calendar dell'utente.
• Tutte le comunicazioni avvengono su HTTPS/TLS. I dati a riposo in Firestore sono cifrati da Google con AES-256.
• L'accesso alla console Firebase e alle regole di sicurezza è limitato all'amministratore dell'applicazione (Stefano Cavallo).

Gli utenti possono richiedere in qualsiasi momento la cancellazione del proprio account e di tutti i dati associati scrivendo a info@turnicare.it. La cancellazione avviene entro 30 giorni dalla richiesta.

1.5 Come revocare l'accesso

Puoi revocare in qualsiasi momento le autorizzazioni concesse a TurniCare dal tuo Account Google, senza necessità di contattarci:

• Vai su myaccount.google.com/permissions
• Seleziona TurniCare dall'elenco delle app con accesso al tuo account.
• Clicca su Rimuovi accesso.

La revoca interrompe immediatamente l'accesso di TurniCare al tuo profilo Google e a Google Calendar. I dati già presenti in Firestore (email, nome, ruolo) rimangono fino a eventuale richiesta di cancellazione account.

2. Cosa sono i cookie

I cookie sono piccoli file di testo che un sito salva sul dispositivo dell'utente durante la navigazione. Vengono utilizzati per far funzionare il servizio, ricordare le preferenze e, in alcuni casi, mostrare annunci pertinenti.

3. Pannello gestionale web

Accessibile solo al Coordinatore. Non utilizza cookie di profilazione.

Cookie tecnici necessari (non richiedono consenso — art. 122 D.Lgs. 196/2003):

Nome	Servizio	Finalità	Durata
__session	Firebase Auth	Sessione autenticata	Sessione / 1 ora
firebase-installations-database	Firebase SDK	Identificatore installazione	Persistente

4. Applicazione mobile (PWA)

L'app può contenere annunci tramite Google AdSense / Ad Manager. Al primo accesso viene mostrato un banner di consenso (Google Funding Choices, conforme TCF IAB Europe v2.2).

Cookie tecnici (sempre attivi)

Gli stessi descritti al punto 3.

Cookie pubblicitari (solo con consenso)

Nome	Servizio	Finalità	Durata
IDDE	Google DoubleClick	Profilazione annunci personalizzati	13 mesi
DSID	Google Ad Manager	Sincronizzazione ID	2 settimane
NID / ANID	Google	Preferenze annunci	6 mesi

In caso di rifiuto, AdSense eroga annunci non personalizzati (contestuali): nessun cookie di profilazione viene scritto sul dispositivo.

5. Gestione del consenso

• Gestionale web: nessun banner cookie (solo tecnici necessari).
• App mobile: l'utente può accettare, rifiutare o modificare le preferenze in qualsiasi momento da Impostazioni → Privacy.

6. Cookie di terze parti

Google LLC gestisce i propri cookie secondo la propria Privacy Policy e le Norme per i partner pubblicitari. Il Fornitore non ha accesso né controllo sui cookie scritti direttamente da Google.

7. Dati di turnistica e cookie

I dati della turnistica (turni, assenze, desiderata) sono memorizzati su Firebase e non sono collegati in alcun modo ai cookie pubblicitari. Le due infrastrutture sono completamente separate.

8. Base giuridica del trattamento (GDPR)

Il trattamento dei dati personali si fonda sulle seguenti basi giuridiche ai sensi dell'art. 6 GDPR:

• Esecuzione del contratto (art. 6 § 1 lett. b) — per i dati necessari all'erogazione del servizio di gestione turni (email, nome, ruolo).
• Consenso (art. 6 § 1 lett. a) — per i cookie pubblicitari, revocabile in qualsiasi momento.
• Legittimo interesse (art. 6 § 1 lett. f) — per i log tecnici necessari alla sicurezza e al corretto funzionamento dell'applicazione.

Il Titolare del trattamento è Stefano Cavallo (C.F. CVLSFN71P12H205U). Gli interessati possono esercitare i diritti di cui agli artt. 15-22 GDPR (accesso, rettifica, cancellazione, portabilità, limitazione, opposizione) scrivendo a info@turnicare.it.

9. Contatti

Per qualsiasi domanda relativa a questa Privacy Policy o all'esercizio dei diritti GDPR:
info@turnicare.it  ·  Oggetto: "Privacy – TurniCare"