Informativa sulla privacy
Versione 1.12 · 1 novembre 2026 · vale per l'app Filò (telefono dei bambini e app dei grandi, per iPhone, iPad e Android) e per il sito filoapp.app
Filò è un telefono per bambini: con un tasto chiamano gli amici e i grandi della loro famiglia, dentro una rete chiusa che decidono gli adulti che se ne occupano («i grandi»: genitori, tutori, chi ne ha la responsabilità o l'autorizzazione). Per farlo funzionare trattiamo pochi dati, quasi tutti scelti e inseriti da loro. Questa pagina spiega quali, perché, per quanto tempo e quali diritti avete. L'abbiamo scritta per essere letta, non solo accettata.
In breve. Le conversazioni non vengono registrate né ascoltate: la voce viaggia cifrata da un dispositivo all'altro. Teniamo i nomi che scegliete voi, chi è amico di chi, e un registro delle chiamate (con chi, quando, quanto) che si cancella da solo dopo 90 giorni. Nessuna pubblicità, nessuna profilazione, nessuna vendita di dati. L'account è sempre di una persona maggiorenne. Il sito non usa cookie e conta le visite solo in totale, senza sapere chi le fa. La newsletter arriva solo a chi la chiede e la conferma, e si lascia con un tocco.
- Chi tratta i dati
- Quali dati e perché
- I dati dei bambini
- Le chiamate e la voce
- Basi giuridiche
- Per quanto tempo
- Chi vede i dati
- Sicurezza
- I vostri diritti
- Cosa resta sul dispositivo
- Il sito filoapp.app
- La newsletter
- Modifiche
1. Chi tratta i dati
Il titolare del trattamento è Federico Bertoni, Viale Leonida Tonelli 68, Roma, raggiungibile all'indirizzo email assistenza@filoapp.app. Il servizio è gratuito; questa informativa verrà aggiornata quando cambierà qualcosa di rilevante (vedi punto 13).
2. Quali dati e perché
| Dati | A cosa servono | Da dove arrivano |
|---|---|---|
| Account dei grandi: indirizzo email, password (conservata solo come impronta dal servizio di accesso), eventuale verifica in due passaggi, nome; le famiglie di cui fa parte e il ruolo in ciascuna (responsabile, gestisce insieme, grande di fiducia); la dichiarazione di avere almeno 18 anni e l'accettazione di privacy e termini, con la data e la versione dei documenti; i messaggi del servizio che avete scelto di non vedere più. Se entrate con Apple o con Google: l'email che ci comunicano (con Apple anche quella anonima di «Nascondi la mia email»), il nome se lo condividete e, con Apple, un codice tecnico che serve a revocare il collegamento quando eliminate l'account | Riconoscervi quando entrate nell'app, recuperare la password, scrivervi per cose che riguardano il servizio (anche con i messaggi che compaiono nell'app dei grandi); poter dimostrare che l'account è di un maggiorenne e che i documenti sono stati accettati | Li inserite voi all'iscrizione, o ce li comunicano Apple o Google se entrate con loro |
| Famiglia: un nome di fantasia scelto da un elenco (per esempio «I Pinguini Ballerini»: niente cognomi) | Raggruppare i grandi e i bambini della stessa famiglia | Lo scegliete voi |
| Inviti: il codice, il ruolo proposto, il nome con cui i bambini vedranno chi è invitato, i bambini scelti, il nome di chi invita, la scadenza | Far entrare nella famiglia l'adulto invitato, con il ruolo deciso da chi l'ha creata | Li crea chi ha creato la famiglia; si cancellano quando vengono usati o scadono (7 giorni) |
| Il telefono di casa dei grandi: il nome con cui i bambini lo vedono sul tasto (uno per famiglia, per esempio «Mamma» o «Zio Marco»), la faccia disegnata se la scegliete, l'identificativo tecnico del dispositivo | Far chiamare i grandi dai bambini e i bambini dai grandi | Li scegliete voi quando lo attivate |
| Bambini: soprannome, faccia disegnata (solo le scelte di un disegno: capelli, colori, occhiali; mai foto), numero Filò (6 cifre interne), codice amico, tasti rapidi, orari di silenzio, facce di Filò accese o spente, amici e contatti bloccati | Far funzionare il telefono del bambino e le regole che decidete | Li inserite voi. Soprannome e faccia disegnata sono visibili alle famiglie con cui stringete amicizia |
| Le scelte nelle storie «La storia sei tu» e il loro video: quando il bambino finisce una di queste storie, le parti che ha ascoltato (cioè che cosa ha scelto con i tasti); il video fatto con il suo soprannome, la sua faccia disegnata e le sue scelte (per esempio «Il mio primo Halloween con Filò»), la sua copertina e chi dei grandi l'ha già aperto | Mostrarvi con un video che cosa ha scelto il bambino nella storia, perché lo possiate guardare e, se volete, condividere | Dal Filò del bambino, alla fine della storia. Il video si può spegnere per ogni bambino nell'app |
| Registro delle chiamate e delle facce: data e ora, con chi, esito (risposta, persa, rifiutata, non partita), durata; per le facce di Filò, quale faccia (per esempio «un abbraccio») | Mostrarvi nell'app con chi parla il bambino; risolvere problemi | Generato dal servizio a ogni chiamata e a ogni faccia |
| Dispositivi: identificativo tecnico del telefono del bambino, stato acceso/spento e da quando, impronta del codice segreto del dispositivo, chiavi pubbliche | Collegare il Filò del bambino alla famiglia giusta, impedire che si colleghi qualcun altro | Generati dal servizio quando configurate un dispositivo |
| Avvisi: richieste di amicizia, telefoni collegati o scollegati, blocchi, grandi che entrano o escono dalla famiglia | Tenervi informati di ciò che cambia nella famiglia | Generati dal servizio |
| Notifiche push: il «recapito» tecnico del vostro telefono presso Apple, Google o il browser | Far squillare l'app dei grandi e avvisarvi quando serve, se attivate le notifiche | Fornito dal vostro dispositivo quando acconsentite |
| Dati tecnici: registri di servizio con identificativi tecnici, orari, esiti ed errori; indirizzi di rete necessari a far passare la voce | Far funzionare la rete, capire e correggere i guasti, prevenire abusi | Generati automaticamente |
| Conteggi d'uso e versione dell'app: per ogni giorno, solo dei totali senza nomi (quante chiamate e con quale esito, quanti minuti in tutto, quante verso telefoni veri, in quante la voce è partita, quante facce, quante volte una storia è stata avviata, ripresa o finita, quanti telefoni e account hanno usato l'app, quante persone hanno toccato «Filò Egg» nell'app dei grandi); per ogni dispositivo e ogni account, la versione dell'app e il giorno (senza l'ora) in cui l'ha usata l'ultima volta | Capire se il servizio funziona e migliorarlo; sapere chi deve aggiornare l'app e avvisarvi quando c'è una versione nuova | Generati dal servizio e dall'app mentre la usate. Non dicono chi ha chiamato chi, né chi ha ascoltato una storia |
Non raccogliamo la posizione, i contatti del telefono, dati di altre app, né dati per pubblicità o profilazione. Non chiediamo la data di nascita né il nome vero del bambino: il soprannome lo scegliete voi. Per chi visita il sito filoapp.app vale il punto 11; per chi chiede la newsletter, il punto 12.
3. I dati dei bambini
Filò è fatto per essere usato dai bambini, ma è governato dagli adulti che se ne occupano: l'account è sempre di una persona maggiorenne (lo dichiara con una spunta quando accetta questa informativa, anche se entra con un invito), che inserisce i dati del bambino, sceglie gli amici, i tasti e gli orari, e può vedere il registro delle chiamate. Trattiamo i dati dei bambini sulla base del consenso di chi esercita la responsabilità genitoriale o la tutela, o di chi ne ha da lui l'autorizzazione, espresso quando crea la famiglia e accetta questa informativa (art. 8 del Regolamento UE 2016/679 e art. 2-quinquies del Codice privacy italiano). È lui a decidere quali altri adulti invitare nella famiglia e con quale ruolo.
Nelle storie «La storia sei tu» il bambino decide come continua la storia premendo i tasti. Quando la finisce, con le sue scelte, il soprannome e la faccia disegnata prepariamo un video per i grandi che gestiscono la famiglia: lo vedono solo loro, non lo pubblichiamo e non usiamo le scelte per nient'altro (niente profili né pubblicità). Condividerlo, per esempio con i nonni, è una vostra scelta: il video che mandate segue le regole dell'app con cui lo mandate. Potete spegnere il video per ogni bambino, nell'app, e togliere un video quando volete.
Un bambino può chiamare solo chi i grandi della sua famiglia hanno approvato; le richieste di amicizia tra due bambini devono essere approvate da entrambe le famiglie. Non ci sono chat, messaggi, foto o contenuti pubblici. Il telefono del bambino non mostra numeri di telefono veri.
4. Le chiamate e la voce
La voce passa direttamente tra i due dispositivi con il protocollo WebRTC, cifrata (DTLS-SRTP) in modo che solo i due dispositivi possano ascoltarla. Quando i dispositivi non riescono a parlarsi direttamente, i pacchetti passano da un nostro server di inoltro («postino») che li consegna così come sono, cifrati: non può ascoltarli. Non registriamo le conversazioni, non le trascriviamo e non le analizziamo, e non conserviamo alcun contenuto audio. Il servizio vede soltanto i segnali necessari a far partire e chiudere la chiamata (chi chiama chi, quando, con quale esito), che finiscono nel registro di cui al punto 2.
5. Basi giuridiche
- Esecuzione del contratto (art. 6.1.b): tutto ciò che serve a fornire il servizio che avete chiesto: account, famiglia, chiamate, registro, avvisi.
- Consenso di chi esercita la responsabilità genitoriale (artt. 6.1.a e 8): per i dati dei bambini; vostro consenso per le notifiche push, che potete disattivare in qualsiasi momento dalle impostazioni del dispositivo, e per la newsletter (punto 12), che potete lasciare quando volete.
- Legittimo interesse (art. 6.1.f): sicurezza del servizio, prevenzione di abusi e limiti all'uso (per esempio il numero di tentativi di accesso o di chiamate in poco tempo), sospensione degli account che violano i termini (punto 8), diagnosi dei guasti, conteggi d'uso in forma aggregata e versione dell'app (punto 2), statistiche del sito in forma aggregata (punto 11), risposte alle email che ci scrivete. Il nostro interesse non prevale mai sulla tutela dei bambini: questi trattamenti usano identificativi tecnici e durano il minimo necessario.
- Obbligo di legge (art. 6.1.c): se una norma o un'autorità ce lo impone.
6. Per quanto tempo
| Dati | Conservazione |
|---|---|
| Account, famiglia, bambini, amicizie, tasti, orari | Finché l'account esiste. Si cancellano quando eliminate il bambino o l'account dall'app |
| Registro delle chiamate e delle facce | 90 giorni, poi si cancella da solo |
| Video delle storie «La storia sei tu» e le scelte con cui sono fatti | 90 giorni, poi si cancellano da soli (i file al più un giorno dopo); prima, se li togliete dall'app o eliminate il bambino o l'account. Le scelte di una storia finita servono solo a fare il video e restano soltanto nel video |
| Facce di Filò non ancora viste (il telefono dell'amico era spento) | Un giorno, poi si cancellano da sole |
| Avvisi | Per un periodo limitato, poi si cancellano da soli |
| Registri tecnici di servizio | Al massimo 90 giorni |
| Recapito per le notifiche push | Finché le notifiche sono attive su quel dispositivo o l'account esiste |
| Codice tecnico di Apple (chi entra con Apple) | Finché l'account esiste: quando lo eliminate lo usiamo per revocare il collegamento con Apple e lo cancelliamo |
| Email all'assistenza e segnalazioni dall'app | Il tempo necessario a rispondere e a seguire la richiesta, al massimo 24 mesi dall'ultimo scambio |
| Conteggi delle visite al sito (già anonimi) | 13 mesi, poi si cancellano da soli |
| Iscrizione alla newsletter | Finché non uscite (con il link in fondo a ogni mail, con l'interruttore nell'app o scrivendoci) o non eliminate l'account. Se non la confermate, 3 giorni |
| Conteggi d'uso giornalieri (senza nomi); versione dell'app e giorno dell'ultimo uso di ogni dispositivo e account | 13 mesi, poi si cancellano da soli; quelli di un account si cancellano subito con l'account, quelli di un dispositivo 13 mesi dopo il suo ultimo uso |
Eventuali copie di sicurezza vengono sovrascritte nei cicli ordinari dell'infrastruttura, entro poche settimane.
7. Chi vede i dati
I dati sono conservati e trattati su infrastruttura Amazon Web Services nella regione Europa (Milano), da Amazon Web Services EMEA SARL in qualità di responsabile del trattamento, con le garanzie contrattuali previste dal Regolamento. Il server di inoltro della voce si trova nella stessa regione. Anche le email che vi mandiamo (i codici dell'accesso, la newsletter) partono da lì, con Amazon SES. Le email che scrivete all'assistenza, le segnalazioni dall'app e gli avvisi dei nuovi iscritti alla newsletter arrivano nella nostra casella di posta presso Zoho, con data center nell'Unione europea, in qualità di responsabile del trattamento.
Per le notifiche push il recapito tecnico del vostro dispositivo viene comunicato ad Apple (Apple Push Notification service, su iPhone e iPad), a Google (Firebase Cloud Messaging, su Android) o al servizio del vostro browser: solo se attivate le notifiche. Questi fornitori possono trattare dati fuori dall'Unione europea, con le garanzie del Data Privacy Framework UE-USA o delle clausole contrattuali standard; nelle notifiche inseriamo il minimo indispensabile (per esempio «Sofia ti chiama»).
Dentro la famiglia, chi la gestisce (chi l'ha creata e chi gestisce insieme) vede i dati dei bambini, il registro delle chiamate e gli avvisi. I video delle storie «La storia sei tu» li vede solo chi gestisce la famiglia, con indirizzi che valgono un'ora. Un grande di fiducia vede soltanto il soprannome e la faccia disegnata dei bambini con cui può parlare, e se il loro telefono è acceso; nel registro di quei bambini compaiono le chiamate e le facce scambiate con lui. Chi ha creato la famiglia vede nome ed email dei grandi che ne fanno parte; chi la gestisce insieme ne vede nome e ruolo.
Le altre famiglie con cui stringete amicizia vedono il soprannome del vostro bambino, la sua faccia disegnata, il suo numero Filò e lo stato dell'amicizia: niente altro. Non cediamo dati a terzi per fini commerciali e non usiamo servizi di pubblicità o di analisi del comportamento: anche le statistiche del sito le contiamo noi (punto 11).
Se scegliete Continua con Apple o Continua con Google, l'accesso avviene presso Apple o Google, che ci confermano chi siete con un'email verificata (e il nome, se lo condividete). Non riceviamo la vostra password né altri dati del vostro account Apple o Google. Apple e Google trattano i dati dell'accesso secondo le loro informative, anche fuori dall'Unione europea, con le garanzie del Data Privacy Framework UE-USA o delle clausole contrattuali standard.
L'app si scarica dall'App Store di Apple (iPhone e iPad) e da Google Play (Android). Per lo scaricamento, gli aggiornamenti e le recensioni valgono le condizioni e le informative di Apple e di Google; a noi mostrano soltanto statistiche complessive (per esempio quanti scaricamenti) e, se lo permettete nelle impostazioni del dispositivo, rapporti anonimi sugli errori dell'app.
L'app ha dentro di sé tutto il programma che le serve: non scarica codice da altri siti e, mentre funziona, si collega solo al nostro servizio (e, per le notifiche e per entrare con Apple o con Google, ad Apple o Google).
Potremmo comunicare dati alle autorità se la legge lo impone.
8. Sicurezza
Tutte le comunicazioni sono cifrate in transito (TLS; DTLS-SRTP per la voce) e i dati sono cifrati a riposo. L'accesso dei grandi è protetto da password, con verifica in due passaggi attivabile, oppure avviene con Apple o con Google. Lo strumento con cui gestiamo il servizio (i conteggi, gli account) lo usa solo chi gestisce Filò, con password e un codice che arriva ogni volta per email. Ogni dispositivo del bambino ha un proprio segreto, conservato dal servizio solo come impronta, e può parlare soltanto sul proprio canale. L'accesso ai sistemi è limitato alle persone che gestiscono il servizio, per le sole operazioni necessarie. Se dovesse verificarsi una violazione che comporta rischi per voi o per i bambini, vi avviseremo e informeremo il Garante nei termini di legge.
Se un account viola i termini di servizio o mette a rischio altri utenti possiamo sospenderlo: finché è sospeso non si entra nell'app, e si fermano il suo telefono di casa e i Filò delle famiglie che ha creato (gli altri grandi di quelle famiglie non le possono gestire). I dati restano dove sono e la sospensione si può togliere. Per chiedere spiegazioni o contestarla scrivete ad assistenza@filoapp.app.
9. I vostri diritti
Potete in ogni momento: accedere ai dati che vi riguardano e che riguardano i vostri bambini; correggerli (nomi, tasti, orari si cambiano direttamente nell'app); cancellarli (un bambino si elimina dalla sua scheda; il vostro account da Famiglia → Account → Elimina account: per chi ha creato la famiglia cancella famiglia, bambini, amicizie e registro, e i grandi invitati ne escono; per chi è stato invitato, l'uscita dalle famiglie in cui era; un account sospeso lo eliminiamo noi, su richiesta ad assistenza@filoapp.app); uscire da una famiglia in cui siete stati invitati (Famiglia → Esci da questa famiglia); ottenerne una copia (il registro delle chiamate si scarica in formato CSV; il resto su richiesta); limitare il trattamento o opporvi nei casi previsti; revocare il consenso alle notifiche dalle impostazioni del dispositivo, e quello alla newsletter con il link in fondo a ogni mail o con l'interruttore nell'app; proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).
Per esercitare i diritti scrivete a assistenza@filoapp.app: rispondiamo entro un mese. Non prendiamo decisioni automatizzate che producano effetti giuridici su di voi.
10. Cosa resta sul dispositivo
L'app non usa cookie di tracciamento. Sul dispositivo restano solo informazioni tecniche necessarie: la sessione di accesso dei grandi, la famiglia che state guardando (se fate parte di più famiglie), la configurazione del telefono del bambino (il suo codice segreto e il bambino a cui appartiene), l'impronta del PIN dei grandi, le preferenze dell'app. Si cancellano eliminando l'app o uscendo dall'account. Tutti i dettagli su cookie e strumenti simili sono nella pagina Cookie.
11. Il sito filoapp.app
Il sito presenta Filò e ospita queste pagine. Non usa cookie, non ha pubblicità né pulsanti, video o mappe di altri siti, e il carattere tipografico arriva dal nostro server.
Per sapere quante persone lo visitano e cosa le interessa contiamo le visite da noi, in forma aggregata: per ogni giorno quante visite, da dove arrivano (per esempio da Instagram, da Google o da un link diretto), se dallo schermo di un telefono, di un tablet o di un computer, quali parti della pagina vengono viste, fin dove si scorre e quali pulsanti si toccano. Non registriamo l'indirizzo IP né altri identificativi, non salviamo niente sul vostro dispositivo per contarvi, e le visite non si possono collegare tra loro né a una persona: restano solo dei totali. I conteggi stanno nello stesso archivio del servizio, a Milano, e si cancellano da soli dopo 13 mesi. La base giuridica è il nostro legittimo interesse a capire se il sito è utile (art. 6.1.f).
Se il browser chiede di non essere tracciato («Do Not Track» o «Global Privacy Control») non contiamo nemmeno la visita. Per escludervi da soli aprite filoapp.app/?statistiche=no (per tornare indietro, ?statistiche=si): i dettagli sono nella pagina Cookie.
Se ci scrivete dal sito, usiamo il vostro indirizzo email e quello che ci scrivete solo per rispondervi e, se ci chiedete di provare una novità prima che esca per tutti (per esempio l'app per Android), per organizzare la prova.
12. La newsletter
Se ve la chiedete, vi scriviamo per email quando arrivano storie nuove, quando l'app cambia e quando Filò Egg è pronto. La potete chiedere dal sito, lasciando l'indirizzo email e mettendo la spunta, oppure dall'app dei grandi, con l'interruttore in Famiglia → Account.
Dal sito l'iscrizione vale solo dopo che la confermate con il link che vi mandiamo per email: finché non lo fate l'indirizzo resta in attesa, e si cancella da solo dopo 3 giorni. Dall'app basta l'interruttore, perché l'email del vostro account è già verificata. Teniamo l'indirizzo email, da dove vi siete iscritti (il sito o l'app), quando l'avete chiesto e confermato e la versione di questo testo, per poter dimostrare il vostro consenso (artt. 6.1.a e 7). Quando qualcuno si iscrive ci arriva una mail con il suo indirizzo e il numero degli iscritti. Perché il modulo del sito non si possa usare per mandare mail a indirizzi di altri, per qualche ora contiamo le richieste che arrivano dalla stessa connessione: al posto dell'indirizzo IP teniamo un codice ricavato da lui, che poi si cancella da solo (è il nostro legittimo interesse, art. 6.1.f).
La newsletter parte dal nostro servizio a Milano (Amazon SES): non usiamo servizi esterni per le liste, e nelle mail non ci sono immagini o link che contano chi le apre o che cosa tocca. Uscire è facile: in fondo a ogni mail c'è il link per non riceverla più (molti programmi di posta mostrano anche «Annulla iscrizione»), nell'app si spegne l'interruttore, oppure ci scrivete. Se eliminate l'account, l'iscrizione si cancella con lui. Il vostro indirizzo non lo usiamo per altro e non lo diamo a nessuno.
13. Modifiche
Se cambiamo questa informativa in modo rilevante, ve lo diciamo nell'app e vi chiediamo di leggerla di nuovo prima di continuare. La versione in vigore è sempre quella pubblicata a questo indirizzo, con la data in alto. La versione 1.4 ha aggiunto il punto 11 sul sito e le sue statistiche senza cookie e la durata delle email all'assistenza al punto 6. La versione 1.5 toglie jsDelivr: dalla versione 0.9.16 l'app non scarica più una sua libreria da cdn.jsdelivr.net (lo facevano le versioni precedenti, a ogni apertura del telefono del bambino). La versione 1.6 aggiunge i conteggi d'uso giornalieri e la versione dell'app (punti 2 e 6) e la sospensione degli account (punti 8 e 9): sono precisazioni, non serve accettarla di nuovo. La versione 1.7 aggiunge i messaggi del servizio nell'app dei grandi e la scelta «Non mostrarmelo più» (punto 2): anche questa è una precisazione. La versione 1.8 aggiunge ai conteggi d'uso quante persone toccano «Filò con i tasti» (solo un totale del giorno, senza nomi): è una precisazione, non serve accettarla di nuovo. La versione 1.9 aggiunge l'accesso con Apple e con Google (punti 2, 6, 7 e 8): anche questa è una precisazione. La versione 1.10 aggiunge la newsletter (punto 12, e i punti 5, 6, 7 e 9), che riguarda solo chi la chiede: non serve accettarla di nuovo. La versione 1.11 aggiunge i video delle storie «La storia sei tu» (punti 2, 3, 6 e 7): riguarda una funzione che si può spegnere per ogni bambino, non serve accettarla di nuovo. La versione 1.12 toglie la fase pilota (il servizio è gratuito) e precisa che l'app c'è per iPhone, iPad e Android, si scarica dall'App Store e da Google Play e riceve le notifiche con Apple e con Google (punti 1, 7 e 11); il Filò tutto suo che stiamo preparando si chiama Filò Egg (punti 2 e 12): sono precisazioni, non serve accettarla di nuovo.