Política de privacitat

En tres frases

Pattio funciona sencera al teu dispositiu i sense compte: si no en fas cap, no hi ha res nostre enlloc. Si en fas un, el que sincronitzes viatja xifrat amb una clau que només tenen els teus dispositius i que nosaltres no tenim ni podem recuperar. L’única excepció, i la diem clara perquè és important, és el que tu comparteixes a posta: allò ha de ser llegible pel servidor perquè la gent convidada ho pugui obrir, i per tant nosaltres també ho podríem llegir. I és exactament allò i res més: si comparteixes un sol element, el servidor només en pot llegir aquell element i el nom del tauler d’on ve; la resta del tauler —les altres notes, les zones, els gargots— segueix xifrada. Si comparteixes el tauler sencer, llavors sí que ho és tot.

A l’app no hi ha publicitat, ni rastrejadors, ni venda de dades a ningú, i això no canviarà. El que sí que hi ha des de l’agost de 2026 és una analítica de producte pseudònima: uns quants noms d’acció —«s’ha obert l’app», «s’ha afegit una targeta de tipus enquesta»— sense cap text teu, cap identificador TEU i cap xifra, en servidors de la Unió Europea i amb un interruptor per apagar-la a Configuració ▸ Les teves dades ▸ Privadesa (§3.7). Diem «pseudònima» i no «anònima» perquè hi viatja un identificador aleatori d’aquesta instal·lació —que no és el teu nom, ni el teu correu, ni el teu compte, i que s’esborra en apagar l’interruptor—. A part d’això, la pàgina web que s’obre amb els enllaços compartits té la seva pròpia analítica de visites, que només funciona si qui hi arriba diu que sí (§3.6), i aquest mateix lloc té la seva (§3.11).

1. Qui és el responsable del tractament

No hi ha delegat de protecció de dades: l’activitat no està entre les que l’article 37 del RGPD obliga a tenir-ne.

• Responsable: Joan Cama Ribot
• Nom comercial: Somia Digital
• NIF: 41531670H
• Adreça: Carrer de Sant Joan, 17200 Palafrugell (Girona), Espanya
• Correu de contacte: hola@somiadigital.com

2. El principi: local primer

Pattio és una app local-first. Els taulers, les notes, les fotos, els dibuixos i tot el que hi posis es guarden a la base de dades del teu dispositiu. Sense compte, cap byte no surt del telèfon per anar a cap servidor nostre: no hi ha cap còpia al núvol, cap identificador nostre i cap fitxer nostre.

Crear un compte és opcional i serveix per a una sola cosa: sincronitzar entre els teus dispositius i, si vols, compartir taulers.

3.1. El compte

Si entres amb Apple, pots amagar el teu correu: Apple ens en dona un de retransmissió i nosaltres no veiem el real. Si entres amb Google, Google n’intervé la comprovació. L’app demana el nom complet a Apple però no el desa enlloc: només fa servir el testimoni d’identitat.

L’empremta de la clau és un resum criptogràfic escurçat (SHA-512 truncat). No permet reconstruir la clau ni desxifrar res: només serveix per comparar.

L’acceptació dels Termes es desa al teu dispositiu quan acabes (o saltes) la benvinguda, i conté només dues coses: la versió del document i l’instant. Cap identificador, cap idioma, cap dada personal. Si tens compte, viatja dins del vault xifrat com la resta —o sigui que nosaltres no la podem llegir—, i si no en tens, no surt del dispositiu. Qui ja tenia Pattio instal·lada abans que això existís no en té cap, i no l’hi inventem: una acceptació que ningú no ha vist no és una prova.

• Adreça de correu — identificar-te i deixar-te entrar (codi per correu, Apple o Google) — base jurídica: execució del contracte, art. 6.1.b RGPD — mentre el compte existeixi.
• Identificador d’usuari (UUID) — lligar el teu contingut al teu compte — art. 6.1.b — mentre el compte existeixi.
• Empremta de la clau (key_check) — avisar-te si un dispositiu porta una clau que no és la teva — art. 6.1.b — mentre el compte existeixi.
• Versió dels Termes acceptada i quan — poder dir quina versió del contracte vas acceptar i quin dia — art. 6.1.b (prova de l’existència del contracte) — mentre el compte existeixi.

3.2. El contingut dels taulers PRIVATS

Aquest contingut viatja i es guarda xifrat de punta a punta amb XSalsa20-Poly1305 (NaCl secretbox). La clau es genera al teu dispositiu, viu al Clauer d’iOS i no ens arriba mai. Nosaltres veiem un bloc de bytes il·legible.

Com arriba la clau al teu segon aparell, i què costa. Perquè entrar al mateix compte des de l’iPad o el Mac no t’obligui a transcriure res, la clau es desa també com a element sincronitzable del Clauer (el Clauer d’iCloud): així viatja sola entre els aparells del teu mateix compte d’Apple, xifrada d’extrem a extrem per Apple, i no passa mai pel nostre servidor. Nosaltres seguim sense veure-la.

El que això costa, i ho diem aquí i no en una nota al peu: lliga la seguretat del teu contingut a la del teu compte d’Apple —qui entri al Clauer d’iCloud d’una persona té la clau que desxifra els seus taulers—. És exactament el mateix tracte que el Clauer ja fa amb totes les seves contrasenyes, la del banc inclosa. El codi de recuperació segueix existint i segueix sent el recanvi: per a qui tingui el Clauer d’iCloud apagat, per a un canvi de compte d’Apple i per a qui vulgui una clau que no depengui d’Apple.

Si perds la clau i el codi de recuperació, ningú no pot recuperar el que hi havia — nosaltres tampoc. És el preu del xifratge de veritat i val la pena saber-ho abans, no després.

Dades tractades: contingut xifrat dels taulers, zones, elements i traços, i fitxers xifrats (fotos, vídeos, escanejos, dibuixos, documents) — finalitat: sincronitzar-te entre dispositius — base jurídica: art. 6.1.b RGPD — termini: fins que ho esborris o esborris el compte.

El que sí que veiem, encara que el contingut estigui xifrat (i que no hi ha manera d’amagar si volem que la sincronització funcioni):

• de quina taula és cada fila (un element, un tauler, una zona…);
• l’identificador de la fila (un UUID generat al teu dispositiu, sense significat);
• les marques de temps de creació, modificació i esborrat;
• el camí i la mida en bytes de cada fitxer, perquè és com comptem l’espai que ocupes i és el que et cobrem.
• O sigui: podem saber que tens 412 elements i que en vas tocar un dimarts a les onze, però no què hi diu.

3.3. El contingut del que COMPARTEIXES

Aquí el xifratge de punta a punta no hi és, i cal dir-ho sense embuts. El que s’obre al navegador d’una persona que no té la teva clau ha d’arribar-hi llegible, i per tant es desa llegible al servidor. Mentre allò estigui compartit, el seu contingut i les seves fotos els podria llegir qui administri la nostra infraestructura. Quan deixes de compartir-ho, torna a viatjar xifrat.

I «allò» és exactament el que has compartit i res més. Hi ha dues mides i les dues es diuen amb paraules abans de fer-les: si comparteixes un element sol, en surten en clar aquell element, les seves fotos i el nom (amb l’emoji i el color) del tauler d’on ve —la pàgina de qui el rep ha de poder dir d’on és—, i la resta del tauler segueix xifrada; si comparteixes el tauler sencer, llavors sí que en surt tot en clar: totes les notes, les zones, els gargots, els quaderns i les fotos.

La regla pràctica: si una cosa no la penjaries a un servidor, no la comparteixis per enllaç.

Les persones convidades reben una sessió anònima: no els demanem cap correu, cap compte i cap dada més que el nom que escriuen elles mateixes.

Qui veu el nom d’un convidat, exactament. El nom serveix perquè, en una enquesta, se sàpiga qui ha votat què — o sigui que el veuen les altres persones que puguin llegir allò mateix, i ningú més. I una precisió que va en la direcció contrària i també és certa: els vots del propietari i dels membres amb compte surten sense nom, perquè ells no són a la llista de convidats. La pàgina diu el nom quan el sap i el número sempre, i no s’inventa cap «Algú».

• Contingut EN CLAR del que comparteixes i dels seus fitxers — que la gent convidada ho pugui obrir des del navegador — art. 6.1.b — fins que deixis de compartir-ho o l’esborris.
• Correu de les persones convidades — donar-los accés quan entrin amb aquell correu — art. 6.1.b — fins que retiris la invitació.
• Nom que escriu qui obre un enllaç de convidat — que la resta sàpiga qui hi ha escrit i qui ha votat — art. 6.1.b — fins que es deixi de compartir.
• Vots de les enquestes d’un tauler compartit — comptar els vots — art. 6.1.b — el mateix.
• Testimonis d’enllaç (tokens) — obrir el tauler sense compte — art. 6.1.b — fins que el revoquis.
• Si el que està compartit és el tauler sencer, el nom del convidat el veuen qui té el tauler (propietari, membres i la resta de convidats d’aquell enllaç).
• Si el que està compartit és un element, només el veuen a través d’aquell element, i només dels convidats que hi hagin votat: qui obre l’enllaç d’una enquesta no obté la llista de convidats del tauler.
• El testimoni de l’enllaç d’un convidat no el veu mai cap altre convidat. El servidor només en serveix el nom i l’identificador del vot, mai res més de la seva fila.

3.4. Les compres

Les subscripcions les cobra Apple amb el teu compte d’App Store: nosaltres no veiem mai la teva targeta, ni el teu nom de facturació, ni la teva adreça. Qui ens diu «aquesta persona té Plus» és RevenueCat, un intermediari de subscripcions al qual li passem el teu identificador d’usuari (i res més: ni el correu, ni el nom). El seu SDK, pel seu compte, recull dades tècniques del dispositiu per a la seva funció (per exemple l’identificador de proveïdor (IDFV) d’Apple, el model i el país); això ho fa ell i està descrit a la seva pròpia política.

• Identificador d’usuari i historial de compres i renovacions — saber quin pla tens i quant d’espai et toca — art. 6.1.b — mentre el compte existeixi.

3.5. Els permisos del dispositiu

Pattio no demana contactes, ni salut, ni Bluetooth, ni xarxa local, i no fa servir mai la ubicació en segon pla.

Els avisos són LOCALS, i això vol dir una cosa concreta. Quan demanes que un compte enrere, un proper esdeveniment o un hàbit t’avisin, Pattio li diu al sistema operatiu del teu telèfon que et desperti a una hora. No hi ha cap servidor pel mig, cap token de notificació, cap registre del teu dispositiu i cap enviament remot: no rebem mai cap avís teu i no podem saber si te n’ha arribat cap ni si l’has obert. El que surt a la pantalla de bloqueig és el títol de l’element i res més —mai el que la targeta duu a dins—.

L’índex de Spotlight du títols i prou. Perquè puguis trobar un tauler o una targeta des de la cerca de la pantalla d’inici, Pattio deixa a l’índex de Spotlight el nom del tauler, el títol de l’element, el seu emoji i l’adreça que l’obre. Res més: ni el cos d’una nota, ni les línies d’una llista, ni cap transcripció, ni cap miniatura. Aquell índex és del sistema operatiu del teu telèfon: viu al mateix aparell, no el sincronitza ningú i no en rebem mai res. Si desinstal·les l’app, se’n va.

El bloqueig de l’app el gestiona iOS, i de tu no en rebem res. Si encens el bloqueig (Ajustos ▸ Privadesa ▸ Bloqueig), Pattio li demana al SISTEMA que et reconegui amb el Face ID, el Touch ID o el codi del dispositiu. Pattio no rep mai cap dada biomètrica —ni la teva cara, ni la teva empremta, ni el teu codi—: el que li arriba és un sí o un no, i no se’n desa res ni en surt res del telèfon. L’única cosa que es desa és si el bloqueig està encès i quant triga a tornar-t’ho a demanar, i totes dues són tries d’aquest aparell que no viatgen enlloc.

I el bloqueig es pot apagar sol, en un cas i només un. Si et treus el codi de desbloqueig del telèfon amb el bloqueig de Pattio encès, en aquest aparell ja no hi ha cap clau que el pugui obrir: llavors Pattio s’obre igualment, t’ho diu amb un avís i desa l’ajust apagat. És deliberat i ho diem aquí perquè és una decisió i no un error —un bloqueig local és una cortina davant de qui té el telèfon a la mà, no una caixa forta contra tu—: la lectura estricta et deixaria tancat per sempre fora de les teves pròpies notes, i sense poder arribar ni a l’interruptor que ho apaga. Pel mateix motiu, si l’ajust no es pot llegir, l’app s’obre.

• Càmera — quan fas una foto per posar-la al tauler — la foto va al tauler, com qualsevol altra.
• Fototeca — quan tries una foto o un vídeo — el mateix.
• Ubicació (només en ús) — només quan prems «Ubicació actual» — les coordenades les tradueix a adreça Apple. Si desis la targeta a un tauler sincronitzat, hi van xifrades (o en clar si el tauler està compartit). El temps no demana mai aquest permís: si ja el tens donat, en llegeix l’últim punt guardat i l’arrodoneix (§3.10).
• Micròfon i reconeixement de veu — quan prems «Grava» per posar una nota de veu al tauler o per dictar una llista — el so es queda al teu dispositiu: la transcripció la fa el teu propi telèfon i no s’envia ni a nosaltres ni a Apple.
• Calendari i Recordatoris — quan hi poses una targeta d’agenda — es llegeixen al dispositiu i no surten d’allà. No en pugem res enlloc.
• Notificacions — la primera vegada que encens un avís d’un element, mai a l’arrencada — res: l’avís el programa i el lliura el teu propi dispositiu.

3.6. El portal web de convidats i la seva analítica

Aquesta secció parla NOMÉS de la pàgina web que s’obre quan algú et passa un enllaç de Pattio (app.pattio.app). El que aquesta secció descriu —Google Analytics, cookies i banner— NO existeix dins de l’app i no hi existirà. L’app té la seva pròpia analítica de producte, que és una altra cosa, amb un altre proveïdor i amb el seu propi interruptor: §3.7.

El que el portal desa sempre, i per què no et demanem permís. Quan obres un enllaç, el navegador desa una sessió anònima que és la que et deixa entrar al tauler. Sense ella no hi ha pàgina. És emmagatzematge estrictament necessari per prestar-te el servei que has demanat i, per això, l’article 5.3 de la Directiva ePrivacy l’eximeix de consentiment. No et demanem permís per a una cosa sense la qual l’enllaç no s’obriria.

El que el portal NO fa sense el teu permís. Si el portal té l’analítica configurada, abans de mesurar res et pregunta amb un avís que du dues opcions iguals de fàcils: acceptar i rebutjar. Mentre no contestis, i també si dius que no, no es baixa ni un byte de Google i no es desa cap cookie de mesura. La pàgina es veu i funciona exactament igual tant si dius que sí com si dius que no: no hi ha cap mur.

Dada tractada: visita de pàgina (quin dels tres tipus de pàgina, país aproximat deduït de la IP, navegador i mena de dispositiu) — finalitat: saber quanta gent obre enllaços compartits — base jurídica: art. 6.1.a, el teu consentiment, i només ell — termini: el que la propietat de Google Analytics tingui configurat.

El que MAI no s’hi envia, i és la part important: el testimoni de l’enllaç —que és la clau del tauler—, cap identificador de tauler o d’element, cap nom de convidat i cap contingut. El camí que s’envia no és el de la barra d’adreces sinó una de tres cadenes fixes (/convidat, /e o /), i està escrit al codi amb aquest únic propòsit. Tampoc no hi ha cap esdeveniment a mida: una visita i prou.

Qui ho tracta. Google Ireland Limited / Google LLC com a encarregat del tractament, amb la IP anonimitzada (Google Analytics 4 ho fa de sèrie), amb els senyals de Google i la personalització publicitària desactivats i amb Consent Mode v2 configurat amb tots els permisos denegats per defecte. Les transferències als Estats Units es fan a l’empara de les clàusules contractuals tipus i del Data Privacy Framework UE-EUA (§4).

Pots canviar d’opinió quan vulguis. Al peu de qualsevol pàgina del portal hi ha «Cookies», que torna a obrir la pregunta. La teva tria es recorda dotze mesos al teu propi navegador i porta escrita la versió de les finalitats: si algun dia canviessin, es tornaria a preguntar en comptes d’aprofitar el «sí» d’un altre moment.

I ara mateix això està apagat. Mentre no hi hagi cap propietat d’analítica configurada al portal, no hi ha ni avís ni mesura: la pàgina només desa la sessió anònima del primer paràgraf.

3.7. L’analítica de producte de l’app

Què és. Des de l’agost de 2026 l’app envia un grapat de mesures d’ús pseudònimes que serveixen per a una sola cosa: saber quines funcions es fan servir de debò i decidir on val la pena posar-hi feina. No és publicitat, no és rastreig i no té res a veure amb la mesura del portal web (§3.6), que és un altre sistema, en un altre lloc i amb una altra pregunta.

Ho pots apagar en un toc, i no perds res. L’interruptor és a Configuració ▸ Les teves dades ▸ Privadesa. Ve encès de sèrie, i aquella mateixa pantalla t’ensenya —llegida del codi i no escrita a mà— la llista sencera i literal dels noms que l’app sap enviar. Apagar-ho no treu cap funció de l’app.

El que MAI no s’envia, i és la part important: cap text i cap contingut teu (ni títols, ni notes, ni fotos, ni fitxers, ni dibuixos), cap identificador de tauler, d’element ni d’enllaç compartit, cap nom ni adreça de correu, cap xifra (ni quants taulers tens, ni quant espai ocupes, ni cap coordenada) i res sobre qui comparteix amb qui. Al codi hi ha un filtre amb una llista tancada del que pot sortir del dispositiu, no hi ha cap camí que se’l salti, i hi ha proves automàtiques que ho comproven a cada canvi.

I tampoc no hi va res del teu aparell. Els serveis de mesura envien de sèrie la mida de la pantalla, el model i el tipus de dispositiu, el sistema operatiu i la seva versió, l’idioma i la zona horària. Pattio ho retalla tot això abans que surti del dispositiu, amb el mateix filtre de llista tancada.

Pseudònima, i la paraula importa. No s’envia cap identificador d’usuari, no s’envia el teu correu i no es crea cap perfil de persona. La geolocalització a partir de la IP està desactivada i la gravació de sessió («session replay») també: l’app no grava mai la pantalla. Ara bé, l’identificador aleatori d’instal·lació és el mateix mentre l’interruptor estigui encès, i per tant les mesures d’un mateix aparell es poden agrupar entre elles. Això no és anonimat en el sentit del RGPD —és pseudonimització—, i és la raó per la qual la base jurídica és l’interès legítim (art. 6.1.f) amb dret d’oposició.

On va. A PostHog (EU Cloud, Frankfurt, Alemanya, Unió Europea), a eu.i.posthog.com, com a encarregat del tractament (§4). I si l’app no en porta clau, no envia res: una versió compilada sense la clau del servei es queda «en espera» i no s’inicialitza res, encara que l’interruptor es vegi encès.

• El nom d’una acció feta a l’app, i prou: obrir l’app, acabar la benvinguda, obrir la guia i crear un tauler no duen res més. Quatre en porten una etiqueta d’una llista tancada: canviar de vista (suro o graella), afegir una targeta (nota, enquesta, foto…), canviar el tema (clar, fosc o el del sistema) i començar o completar una compra (Plus o Pro) — finalitat: saber quines funcions es fan servir, per decidir on treballem — base jurídica: art. 6.1.f, interès legítim, amb dret d’oposició, que és literalment l’interruptor de Privadesa — termini: la retenció d’esdeveniments configurada al projecte de PostHog.
• La versió de l’app que ha enviat la mesura — saber de quina versió ve el senyal — art. 6.1.f — el mateix termini.
• Un identificador aleatori d’aquesta instal·lació, que crea el servei de mesura i que no és el teu nom, ni el teu correu, ni el teu compte — que dues mesures del mateix aparell no es comptin com dues persones — art. 6.1.f — el mateix termini, i s’esborra del dispositiu quan apagues l’interruptor.

3.8. El que NO tractem

Perquè quedi dit i es pugui comprovar obrint el codi:

• Cap analítica que et faci seguiment. No hi ha Firebase, ni Amplitude, ni Mixpanel, ni Segment, ni res que et segueixi d’una app a una altra o pel web. Les úniques mesures que existeixen en tot el projecte són l’analítica de producte de l’app (§3.7), pseudònima, amb interruptor i basada en l’interès legítim, la de visites del portal de convidats (§3.6) i la d’aquest lloc web (§3.11); aquestes dues últimes, només amb el teu permís.
• Cap informe d’errors automàtic. No hi ha Sentry ni Crashlytics.
• Cap notificació push i cap token de dispositiu. Els avisos de Pattio els programa i els lliura el teu propi telèfon (§3.5): no hi ha cap servei d’enviament pel mig i no registrem cap aparell enlloc.
• Cap publicitat i cap xarxa d’anuncis.
• Cap rastreig. L’app no demana permís de seguiment (ATT) perquè no en necessita: no fa servir l’IDFA ni cap identificador publicitari, i no comparteix cap dada teva amb tercers amb finalitat publicitària ni amb cap intermediari de dades.
• Cap perfilat ni cap decisió automatitzada amb efectes jurídics (art. 22 RGPD).
• Cap venda ni cessió de dades a ningú.

3.9. La intel·ligència artificial: tota al teu dispositiu

En aquesta versió, cap camí d’IA cap al núvol no és actiu. Ni s’ofereix de llegir una foto, un escaneig o un enllaç per proposar-te què n’ha de sortir (la «captura intel·ligent»), ni hi ha cap assistent dins de l’app. Les dues funcions són escrites i provades, però no s’ensenyen enlloc —cap botó, cap fila, cap ordre—, i per tant no hi ha res que pugui enviar cap text a cap servidor d’IA. Per això aquesta versió tampoc no et demana cap permís per fer-ho: no hi ha res a permetre. El dia que tornin, aquesta secció ho tornarà a explicar sencer i abans que passi res.

El que sí que fa Pattio ho fa sencer DINS del teu telèfon, i són tres coses: llegir el text de les teves fotos i dels teus escanejos perquè els puguis tornar a trobar per les paraules que hi surten (ho fa Vision, el reconeixedor de text d’Apple, al dispositiu i en segon pla); la cerca per significat, amb el model d’incrustacions d’Apple al dispositiu; i el dictat d’una nota o d’una llista, amb el reconeixedor de veu d’Apple obligat a treballar sense connexió. De cap de les tres no en surt res del telèfon.

El text de les fotos, amb detall. El que se’n llegeix es desa dins de la targeta, al teu vault xifrat, i és per tant una dada teva com el peu d’una foto: no es mostra com a text a cap pantalla —ni a la targeta, ni al PDF, ni a la pàgina web d’un tauler compartit—, i l’única cosa que en fa l’app és deixar-te’l cercar. Si comparteixes el tauler, viatja amb la targeta pel mateix camí que ja hi fa viatjar la foto sencera.

Amb un matís que val més dir sencer: el resum d’un tauler compartit —la llista de temes que el convidat veu a dalt de la pàgina— es fa amb les paraules que més surten a les targetes, i les d’una foto llegida hi compten com les de qualsevol altra. Només pot passar si has compartit el tauler sencer.

Ho pots apagar a Configuració ▸ Privadesa ▸ «Llegir el text de les fotos». Aleshores no se’n llegeix cap més; el text que ja s’hagi llegit es queda dins de les seves targetes, i per treure’l s’esborra la foto.

3.10. El temps que fa

Pattio ensenya el temps a dos llocs: el giny de la pantalla d’inici i l’element «El temps» que pots clavar a un suro. Els dos funcionen igual i aquest paràgraf val per als dos.

Qui dona la previsió és Apple WeatherKit, el servei del sistema operatiu. No hi ha cap altre proveïdor: quan WeatherKit no contesta, no es truca a ningú més i la targeta ho diu amb paraules.

Què surt del dispositiu: dues coordenades arrodonides i res més. Abans de consultar res, la posició s’arrodoneix a un decimal de grau (uns 11 km) —prou per encertar el temps que fa i massa poc per dir on ets—. No hi va cap identificador, ni el teu compte, ni cap dada del tauler. La consulta la fa iOS en nom de l’app i la governa la política de dades de WeatherKit d’Apple.

On surt la posició, i què NO fem per aconseguir-la. El temps «d’on siguis» llegeix l’últim punt que el sistema ja tenia guardat: no encén el GPS, no demana cap permís i no fa servir mai la ubicació en segon pla. Si no hi ha permís d’ubicació concedit, no hi ha consulta: la targeta ho explica i pots triar un lloc fix, que és l’únic que es desa a la fila.

El que es desa. Del temps no se’n desa res, tret d’una còpia de l’última lectura (els graus, la condició i l’hora) dins de la targeta, perquè el PDF que exportis i la pàgina web de convidats puguin ensenyar alguna cosa. Res d’això s’envia a cap servidor nostre, i la resta de la previsió viu només en memòria i caduca en una hora.

3.11. Aquest lloc web: el formulari de suport i l’analítica

Aquesta secció parla NOMÉS de pattio.app, la pàgina que presenta Pattio. Aquí no hi ha comptes d’usuari i el contingut dels teus taulers no hi passa mai.

Si ens escrius des del formulari de suport, ens deixes el correu, el missatge i l’idioma en què navegues; el nom és opcional i el pots deixar en blanc. Els fem servir per respondre’t, i per a res més. La base jurídica és el teu consentiment (art. 6.1.a RGPD), que pots retirar quan vulguis escrivint a hola@somiadigital.com. El formulari el gestiona Netlify, l’encarregat de la §4 que allotja el lloc: el missatge queda al seu panell i ens arriba per correu. El conservem mentre calgui per atendre la consulta i, com a màxim, dotze mesos després d’haver-la tancada.

Aquest lloc també fa servir Google Analytics 4, i només si l’acceptes a l’avís de cookies. Si no contestes, o si el rebutges, no es carrega ni un byte de Google. El detall del que es desa al teu navegador i com canviar la teva tria és a la Política de cookies (/cookies).

4. Qui més hi toca (encarregats del tractament)

Nosaltres no tenim servidors propis: llogem els d’altri. Tots tenen contracte d’encarregat del tractament (art. 28 RGPD).

Transferències internacionals. RevenueCat, Apple i Google són als Estats Units. Aquestes transferències es fan a l’empara de les clàusules contractuals tipus de la Comissió Europea i, quan aplica, del Data Privacy Framework UE-EUA. Netlify també és als Estats Units, i la base d’aquesta transferència són les clàusules contractuals tipus de la Comissió Europea incorporades al seu acord de tractament de dades. Pots demanar-nos còpia de les garanties a hola@somiadigital.com.

• Supabase Inc. — base de dades, autenticació i (segons la configuració) emmagatzematge dels fitxers de l’app — eu-central-1 (Frankfurt, Alemanya), dins la Unió Europea.
• Cloudflare, Inc. (R2) — emmagatzematge dels fitxers, quan està activat: avui NO ho està — xarxa global de Cloudflare.
• RevenueCat, Inc. — estat de les subscripcions — EUA.
• Apple Inc. — cobrament, inici de sessió amb Apple, mapes, cerca de cançons i el temps que fa (WeatherKit, §3.10) — EUA / global.
• Google LLC — inici de sessió amb Google, només si tries aquesta porta; i l’analítica de visites de les pàgines web, només si hi consents (§3.6 i §3.11). Gemini no hi intervé en aquesta versió: no hi ha cap camí d’IA cap al núvol (§3.9) — EUA / global.
• PostHog, Inc. — analítica de producte de l’app, pseudònima i només mentre no l’apaguis (§3.7) — EU Cloud, Frankfurt, Alemanya, Unió Europea (eu.i.posthog.com).
• Netlify, Inc. (San Francisco, Estats Units) — allotjament d’aquest lloc web i del portal de convidats, i el formulari de suport d’aquest lloc (§3.11).

Tercers que veuen la teva IP (i per què)

Hi ha tres moments en què el teu dispositiu parla directament amb algú que no som nosaltres. No els enviem res teu; hi vas tu.

• Previsualitzacions d’enllaços. Quan enganxes una adreça —o quan hi comparteixes una pàgina des d’una altra app— Pattio va a buscar-ne el títol i la imatge directament des del teu dispositiu. Aquell web veu la teva IP, com si hi haguessis entrat amb el navegador. (Ho fem així a posta: passar-ho per un servidor nostre voldria dir que nosaltres veuríem tots els enllaços que guardes.) Per a unes quantes plataformes conegudes —YouTube, Reddit, Spotify, Instagram, Facebook, TikTok, Pinterest— es demana la fitxa al seu propi servei d’incrustació en comptes de llegir la pàgina, i la imatge de portada es desa al teu dispositiu, perquè les seves adreces caduquen en pocs dies.
• Cerca de cançons. El que escrius va a la cerca d’iTunes d’Apple.
• Mapes i adreces. Els mapes i la traducció de coordenades a adreça els fa Apple.

5. Quant de temps ho guardem

• Mentre el compte existeixi, el que hi has sincronitzat.
• Si caduca o cancel·les la subscripció, no s’esborra res el mateix dia: es torna al pla gratuït, tot es continua llegint i descarregant, i l’únic que es barra és pujar-ne més mentre superis la quota. Hi ha 30 dies de gràcia amb avisos i la data escrita; passats, es retira només l’excés (del més antic cap al més nou) i el que es retira viu 30 dies més a la paperera, on encara es recupera renovant. Al dia 60 ja no hi ha marxa enrere. El calendari sencer, amb els números, és a la §9 dels Termes i condicions (/termes).
• Les làpides d’esborrat. Quan esborres un element, guardem la seva fila amb una marca «esborrat» i sense contingut, perquè els teus altres dispositius sàpiguen que ha de desaparèixer també allà. És maquinària de sincronització, no el teu contingut, i desapareix amb el compte.
• Buidar la paperera esborra els fitxers del servidor, i no només d’aquest aparell. Quan treus un element de la paperera «del tot», les fotos i els fitxers que només fossin seus s’alliberen de seguida en aquest dispositiu i la seva còpia del núvol s’esborra del magatzem tan bon punt aquest aparell s’hagi sincronitzat. Ho decideix el teu dispositiu i no nosaltres, i el motiu és el mateix xifratge: no podem saber quins fitxers encara fas servir. Els fitxers que també siguin d’un altre element que conserves no s’esborren.
• Esborrar el compte ho esborra tot de debò: les files, els fitxers, l’empremta de la clau i el teu usuari. Ho pots fer tu sol des de l’app, i el que tens al dispositiu es queda al dispositiu.
• Còpies de seguretat. El proveïdor de base de dades en fa de rutinàries; una dada esborrada pot sobreviure-hi fins que la còpia caduca (com a màxim 30 dies). Un cop caducada, ja no hi és enlloc.
• El missatge que ens enviïs pel formulari de suport d’aquest lloc, mentre calgui per atendre la consulta i, com a màxim, dotze mesos després d’haver-la tancada (§3.11).

6. La portabilitat: el botó que sempre hi és

A Configuració ▸ Les teves dades ▸ Descarrega totes les dades hi ha un botó que et treu un ZIP amb tot: tots els taulers en JSON i tots els fitxers originals byte a byte.

Això cobreix el teu dret a la portabilitat (art. 20 RGPD) i l’obligació de l’article 119 ter del TRLGDCU (el text refós de la llei de consumidors), i el fa el teu dispositiu tot sol: el ZIP no passa per cap servidor nostre.

• És gratuït, també al pla gratuït i també si la subscripció ha caducat.
• És d’autoservei: no cal escriure’ns, ni esperar, ni demanar permís.
• És llegible per màquina: JSON i fitxers originals, sense necessitar Pattio.

7. Els teus drets

Tens dret a accedir a les teves dades, a rectificar-les, a suprimir-les, a limitar-ne el tractament, a oposar-t’hi i a la portabilitat. Si alguna cosa es basa en el teu consentiment, el pots retirar quan vulguis (retirar-lo no fa il·legal el que ja s’havia fet).

Per exercir-los, escriu a hola@somiadigital.com. Contestem en un mes com a màxim. Et podem demanar que ens confirmis qui ets, i prou.

Bona part dels drets els pots exercir tu sol i a l’instant, sense escriure a ningú: el ZIP de l’exportació (accés i portabilitat), esborrar elements (supressió), deixar de compartir un tauler (oposició), esborrar el compte (supressió total), l’interruptor de Privadesa de l’app (oposició a l’analítica de producte, §3.7) i el botó de gestió de cookies (retirar o tornar a donar el consentiment de l’analítica web, §3.6 i §3.11).

Una limitació honesta: com que el contingut privat és xifrat i nosaltres no tenim la clau, no et podem donar una còpia llegible del que hi ha al servidor ni rectificar-ne res des de fora. Qui pot fer-ho és el teu dispositiu, que és qui té la clau — i per això l’exportació la fa ell.

Si creus que no ho fem bé, pots reclamar davant l’Agència Espanyola de Protecció de Dades (www.aepd.es, C/ Jorge Juan 6, 28001 Madrid). Si vius en un altre país, també pots reclamar davant l’autoritat de control del teu. T’agrairem que ens ho diguis abans, però no cal.

8. Seguretat

Cap sistema no és infal·lible. Si mai hi ha una violació de seguretat que et posi en risc, t’ho direm a tu i a l’AEPD dins dels terminis de l’article 33 del RGPD.

• Xifratge de punta a punta del contingut privat (NaCl secretbox, XSalsa20-Poly1305), amb la clau al Clauer del dispositiu i mai al servidor. Si el Clauer d’iCloud està actiu, la clau viatja entre els teus aparells pel transport d’Apple, xifrada d’extrem a extrem per Apple (§3.2).
• TLS en tot el trànsit.
• Row Level Security a la base de dades: cada fila comprova a la mateixa base de dades qui la pot llegir, i no depèn només que el client es porti bé. Les consultes que han de creuar la frontera d’un enllaç de convidat passen per funcions del servidor que tornen només les columnes necessàries —el nom de qui ha votat, per exemple, mai el testimoni del seu enllaç—.
• Les credencials dels fitxers no són dins de l’app: qui firma els permisos d’accés és una funció del servidor que comprova primer si tens dret a aquell tauler, i les adreces que en surten caduquen al cap de pocs minuts.
• Els enllaços de convidat es poden revocar quan vulguis.
• Cap SDK de publicitat ni d’informes d’errors dins de l’app: el que no hi és no es pot filtrar. L’única cosa que l’app envia a un tercer és l’analítica de producte de §3.7, que passa per un filtre amb llista tancada que no deixa sortir ni text, ni identificadors, ni xifres.

9. Menors

Pattio no s’adreça a menors de 14 anys i no els demanem dades a posta. És l’edat a partir de la qual la llei espanyola et deixa consentir el tractament de les teves dades pel teu compte (art. 7 de la LOPDGDD), i és la mateixa que demanen els Termes i condicions (§3): els dos documents diuen el mateix número a posta.

Si ens adonem que hem tractat dades d’un menor de 14 anys sense el consentiment de qui en té la pàtria potestat, les esborrarem. Si ets mare, pare o tutor i creus que ha passat, escriu-nos a hola@somiadigital.com.

10. Canvis en aquesta política

Si canviem alguna cosa que importi, canviarem la data de dalt i, si el canvi és substancial, t’ho direm dins de l’app abans que sigui efectiu. Les versions antigues es poden demanar per correu.

Aquesta política s’informa, no s’accepta: el RGPD no admet «acceptar la privacitat» en bloc. Les tries concretes es fan cadascuna al seu lloc i es poden canviar quan vulguis: el consentiment de l’analítica de les pàgines web (§3.6 i §3.11) i l’oposició a l’analítica de producte de l’app, que és l’interruptor de Privadesa (§3.7). El que sí que s’accepta són els Termes i condicions (/termes), i l’app en desa la versió i la data (§3.1).