Informativa privacy

1. Titolare del trattamento

Nesso Labs S.r.l., Via Carlo Cattaneo 3, 25121 Brescia (BS), Italia, P.IVA IT04754860981. Per qualunque richiesta sui tuoi dati: [email protected].

2. Quali dati trattiamo

API key e La mia API: l'indirizzo email; le risposte che dai quando chiedi la chiave, cioè come ci hai trovato, per chi sono i dati e se usi già un'altra fonte di dati di volo e con che ruolo (e quale, se lo scrivi) e, se ci hai trovato tramite un assistente AI, cosa gli avevi chiesto, se lo scrivi; il nome del progetto e l'uso dichiarato se li inserisci; l'impronta della chiave (la chiave in chiaro non viene conservata), le date di creazione e di ultimo utilizzo e il numero di richieste al giorno per chiave. Per l'accesso a La mia API usiamo link monouso e sessioni temporanee, salvati anch'essi solo come impronta.

Abbonamenti: il piano, lo stato e gli identificativi del cliente e dell'abbonamento presso il fornitore dei pagamenti. Per i piani venduti tramite Link, i dati di pagamento (carta, indirizzo di fatturazione, partita IVA) li raccoglie e li tratta direttamente Link: noi non li vediamo. Per i piani venduti direttamente da Nesso Labs S.r.l. (aziende dell'Unione europea e del Regno Unito con partita IVA e clienti degli Stati Uniti, come dice il punto 4 delle condizioni del servizio) trattiamo anche nome o ragione sociale, indirizzo di fatturazione, paese e partita IVA, per emettere e conservare la fattura; i dati della carta li tratta Stripe e noi non li vediamo.

Richieste al servizio: indirizzo IP, data e ora, percorso richiesto e user agent, nei log tecnici di Cloudflare e dei nostri server, per sicurezza, limiti di utilizzo e diagnosi dei guasti.

Feeder: l'indirizzo IP da cui il ricevitore invia i dati e, se la indichi, la posizione del ricevitore per la multilaterazione. La pagina "I miei dati arrivano?" usa l'indirizzo IP della richiesta solo per rispondere a quella domanda. Se attivi il vantaggio feeder da La mia API, conserviamo insieme alla tua email la rete (indirizzo IP) da cui il ricevitore invia dati, la data della verifica e quella dell'ultimo dato visto, per sapere finché il vantaggio vale.

Lightcone, la pagina del proprio ricevitore: per riconoscerti confrontiamo l'indirizzo IP della richiesta con quello da cui arriva il feed, senza conservarlo. Se colleghi il ricevitore con il codice, conserviamo il codice e la sessione (solo come impronta) con l'identità del ricevitore (UUID o nome MLAT). Dalla posizione dichiarata del ricevitore calcoliamo e conserviamo l'orizzonte del terreno; dai tempi di arrivo dei suoi messaggi, confrontati con quelli degli altri ricevitori, stimiamo dove si trova l'antenna rispetto alla posizione dichiarata; ogni giorno salviamo per ricevitore la distanza massima, gli aerei ricevuti solo da lui, le posizioni MLAT a cui ha contribuito e le ore in linea. Orizzonte, stima della posizione e record li vede solo chi ha collegato il ricevitore con il codice. Per il confronto con i ricevitori vicini usiamo le posizioni dichiarate degli altri ricevitori entro 40 km e mostriamo solo quanti sono, la mediana e la posizione in classifica, e solo se sono almeno 3; chi usa l'opzione privacy di mlat-client non entra nei confronti degli altri.

Pagina pubblica della stazione (facoltativa): se la attivi da Lightcone, chi ha il link o vede il badge vede la quota di aerei ricevuti, il record di distanza, i giorni con dati, le ore in linea, la regione MLAT e la posizione fra i ricevitori vicini; mai il nome MLAT, la posizione, la mappa o direzioni. La disattivi quando vuoi: la pagina sparisce subito, il badge si aggiorna entro 10 minuti. Le copie del badge che altri siti salvano per conto loro (per esempio alcuni forum) restano sotto il loro controllo. Conserviamo l'indirizzo della pagina e se è attiva, così riattivandola i badge già pubblicati tornano a funzionare.

Posizione per «aerei vicino a me» (facoltativa): se la salvi da La mia API o la dici all'assistente collegato, la posizione che indichi, arrotondata a circa 1 km prima di salvarla, con il nome che le dai. Una sola per account: una nuova sostituisce la vecchia. Il server MCP la usa per rispondere alle domande sugli aerei vicino a te; come ogni argomento delle chiamate degli assistenti, compare anche nelle statistiche del server MCP (sotto). Se la domanda arriva da ChatGPT e non hai una posizione salvata, usiamo la posizione approssimativa (la città) che ChatGPT allega alla richiesta, solo per quella risposta e senza conservarla.

Ricerche dei sorvoli (/v2/overflights): il punto e l'intervallo che indichi servono a rispondere e non li salviamo nel database. Come ogni richiesta compaiono nei log tecnici; se la ricerca arriva da un assistente AI, anche nelle statistiche del server MCP (sotto).

Webhook (piani a pagamento, facoltativi): l'URL a cui mandare gli avvisi, la zona (punto e raggio) e i tipi di evento che scegli, una descrizione se la scrivi, il segreto di firma e l'esito di ogni consegna (codice HTTP, errore, durata), mai il contenuto delle risposte del tuo server.

Dati degli aerei: pubblichiamo quello che i ricevitori captano via radio, senza filtri: gli aerei militari, PIA e LADD sono segnalati, non nascosti. Per gli aerei PIA e LADD i profili non aggiungono link a foto. Se un aereo è tuo e ti opponi alla pubblicazione dei suoi dati, scrivi a [email protected].

Navigazione del sito e della mappa (map.flyitalyadsb.com): pagine visitate, clic, provenienza (sito di origine e parametri della campagna), tipo di dispositivo e browser, posizione approssimativa ricavata dall'indirizzo IP, le ricerche nelle domande frequenti e gli esiti dei moduli API (richiesta di una chiave, accesso a La mia API, avvio e conclusione di un acquisto), mai il contenuto dei campi. Usiamo un cookie di statistica e registriamo le visite (movimenti, clic e contenuto delle pagine; i campi dei moduli restano sempre nascosti e le pagine che mostrano la chiave e quelle di Lightcone non vengono mai registrate). Se inserisci la tua email nei moduli API, colleghiamo la navigazione a quell'email. Se ti opponi (punto 7) ti contiamo solo in forma anonima: nessun cookie, nessuna registrazione, e per distinguere i visitatori un codice irreversibile calcolato da indirizzo IP e browser insieme a un valore casuale che cambia ogni giorno.

Uso dell'API e del server MCP: colleghiamo all'email della chiave gli eventi del servizio (chiave emessa e riscattata, cambi di piano, richieste al giorno e quelle respinte per i limiti, assistenti collegati).

Chiamate degli assistenti AI al server MCP: per ogni chiamata lo strumento usato, gli argomenti con i loro valori (compresa una posizione, se c'è), la risposta, la durata e gli errori, il nome e la versione dell'assistente e del modello, e una breve frase che l'assistente scrive su cosa vuoi sapere (senza nomi né indirizzi, glielo chiediamo noi). Se ti colleghi con il tuo account le leghiamo alla tua email; le chiamate con una chiave nell'header X-Api-Key restano senza email.

3. Perché e su quale base

Fornire il servizio che chiedi (chiave, piano, La mia API, email di servizio): esecuzione del contratto, art. 6.1.b GDPR. Proteggere il servizio da abusi e far rispettare i limiti: legittimo interesse, art. 6.1.f. Adempiere a obblighi di legge (contabili e fiscali): art. 6.1.c. Statistiche del sito, della mappa e dell'uso del servizio, compresi il cookie di statistica, la registrazione delle visite e il collegamento all'email: legittimo interesse a capire come vengono usati e a migliorarli, art. 6.1.f; puoi opporti in ogni momento (punto 7), senza conseguenze sull'uso del sito. Non usiamo i tuoi dati per pubblicità e non li vendiamo. Le risposte che dai quando chiedi la chiave non hanno nessun fine pubblicitario e non le vendiamo né le cediamo: servono a gestire la chiave, a verificare che l'uso rispetti i termini e la licenza dei dati (per esempio se i dati finiscono in un prodotto), agli obblighi di legge e a capire come viene usato il servizio, per migliorarlo e consigliarti il piano adatto (legittimo interesse, art. 6.1.f). La posizione salvata la indichi tu per avere quella funzione (art. 6.1.b), e i webhook servono solo a mandarti gli avvisi che chiedi (art. 6.1.b). Lightcone serve al feeder che la usa (art. 6.1.b) e la pagina pubblica la attivi tu (art. 6.1.b). La pubblicazione dei dati degli aerei si basa sul legittimo interesse a offrire dati aperti sul traffico aereo (art. 6.1.f).

4. A chi li affidiamo

Cloudflare (rete di distribuzione, protezione da attacchi, statistiche aggregate del sito senza cookie); PostHog Inc. (statistiche del sito, della mappa e dell'uso del servizio e registrazione delle visite, con i dati ospitati nell'Unione europea); Stripe, tramite il servizio Link, che vende per nostro conto i piani che non vendiamo direttamente, come merchant of record, e tratta i dati di pagamento come titolare autonomo secondo la propria informativa; Stripe, che elabora il pagamento con carta dei piani venduti direttamente da Nesso Labs S.r.l.; l'intermediario che trasmette le nostre fatture elettroniche al Sistema di Interscambio dell'Agenzia delle Entrate; il fornitore del servizio di invio delle email transazionali. Alcuni di questi fornitori trattano dati anche fuori dall'Unione europea, con le garanzie previste dal GDPR (clausole contrattuali tipo o decisione di adeguatezza).

Servizi esterni della mappa: quando apri la mappa, anche quella incorporata nelle pagine degli aeroporti, è il tuo browser a contattare direttamente alcuni servizi di terzi. Ricevono il tuo indirizzo IP e i dati tecnici della richiesta (browser, pagina di provenienza) e li trattano come titolari autonomi, secondo le proprie informative. Sono i fornitori delle tessere della mappa (OpenStreetMap Foundation e FOSSGIS e.V. per OpenStreetMap, CARTO, Esri ArcGIS, NASA GIBS); Planespotters.net, per la foto dell'aereo che selezioni, che riceve il codice dell'aereo; adsb.im, per le rotte (aeroporto di partenza e di arrivo), che riceve nominativo e posizione degli aerei in vista. Foto e rotte si spengono dalle impostazioni della mappa («Pictures planespotters.net» e «Lookup route»). Non passiamo loro altri dati.

5. Per quanto tempo

I dati di una chiave e del suo utilizzo finché la chiave è attiva o l'abbonamento è in corso, e poi per il tempo necessario a gestire eventuali contestazioni e gli obblighi di legge. I log tecnici delle richieste per un periodo limitato, legato a sicurezza e diagnosi. I link di accesso a La mia API valgono 15 minuti, le sessioni 2 ore. Statistiche del sito e del servizio: le registrazioni delle visite 90 giorni, gli altri dati di navigazione e le statistiche dell'API e del server MCP per il periodo di conservazione del servizio di statistica (oggi fino a 7 anni), salvo tua richiesta di cancellazione. La posizione salvata finché non la cancelli. I webhook e il registro delle loro consegne come i dati della chiave. Lightcone: i codici valgono 10 minuti, le sessioni 90 giorni; orizzonte del terreno e record giornalieri finché non ne chiedi la cancellazione; della stima della posizione dell'antenna teniamo solo l'ultima.

6. I tuoi diritti

Puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità e opporti al trattamento basato sul legittimo interesse scrivendo a [email protected]. Puoi rigenerare o revocare la tua chiave da La mia API e opporti alle statistiche dal punto 7. Hai inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it). La posizione salvata la cancelli quando vuoi da La mia API o chiedendolo all'assistente.

7. Cookie

Statistica: il cookie di PostHog ph_…_posthog (1 anno, comune a sito e mappa), il suo cookie __ph_opt_in_out_… e i dati salvati nel browser per la registrazione delle visite.

Necessari: la sessione di La mia API (sessionStorage, che il browser cancella alla chiusura della scheda), la sessione di Lightcone con il ricevitore e l'ultimo ricevitore scelto (localStorage, 90 giorni o finché non dimentichi il dispositivo dalla pagina) e, se ti opponi alle statistiche, il cookie fia_consent che lo ricorda per 13 mesi, sul sito e sulla mappa.

Non usiamo cookie di terze parti per pubblicità.