Política de privacitat

En tres frases

Pattio funciona sencer al teu dispositiu i sense compte: si no en fas cap, no hi ha res nostre enlloc. Si en fas un, el que sincronitzes viatja xifrat amb una clau que només tenen els teus dispositius i que nosaltres no tenim ni podem recuperar. L’única excepció, i la diem clara perquè és important, és el que tu comparteixes a posta: allò ha de ser llegible pel servidor perquè la gent convidada ho pugui obrir, i per tant nosaltres també ho podríem llegir. I és exactament allò i res més: si comparteixes un sol element, el servidor només en pot llegir aquell element i el nom del tauler d’on ve; la resta del tauler —les altres notes, les zones, els gargots— segueix xifrada. Si comparteixes el tauler sencer, llavors sí que ho és tot.

A l’app no hi ha analítica, ni publicitat, ni rastrejadors, ni venda de dades a ningú. No és un eslògan: és que al codi de l’app no hi ha cap SDK que ho faci. L’única mesura que existeix en tot el projecte és una analítica de visites a les pàgines web —la d’aquest lloc i la que s’obre amb els enllaços compartits—, només si qui hi arriba diu que sí i sense que hi viatgi mai el contingut de ningú (§3.6 i §3.8).

1. Qui és el responsable del tractament

No hi ha delegat de protecció de dades: l’activitat no està entre les que l’article 37 del RGPD obliga a tenir-ne.

• Responsable: Joan Cama Ribot
• Nom comercial: Somia Digital
• NIF: 41531670H
• Adreça: Carrer de Sant Joan, 17200 Palafrugell (Girona), Espanya
• Correu de contacte: hola@somia.digital

2. El principi: local primer

Pattio és una app local-first. Els taulers, les notes, les fotos, els dibuixos i tot el que hi posis es guarden a la base de dades del teu dispositiu. Sense compte, cap byte no surt del telèfon per anar a cap servidor nostre: no hi ha cap còpia al núvol, cap identificador nostre i cap fitxer nostre.

Crear un compte és opcional i serveix per a una sola cosa: sincronitzar entre els teus dispositius i, si vols, compartir taulers.

3.1. El compte

Si entres amb Apple, pots amagar el teu correu: Apple ens en dona un de retransmissió i nosaltres no veiem el real. Si entres amb Google, Google n’intervé la comprovació. L’app demana el nom complet a Apple però no el desa enlloc: només fa servir el testimoni d’identitat.

L’empremta de la clau és un resum criptogràfic escurçat (SHA-512 truncat). No permet reconstruir la clau ni desxifrar res: només serveix per comparar.

L’acceptació dels Termes es desa al teu dispositiu quan acabes (o saltes) la benvinguda, i conté només dues coses: la versió del document i l’instant. Cap identificador, cap idioma, cap dada personal. Si tens compte, viatja dins del vault xifrat com la resta —o sigui que nosaltres no la podem llegir—, i si no en tens, no surt del dispositiu. Qui ja tenia Pattio instal·lada abans que això existís no en té cap, i no l’hi inventem: una acceptació que ningú no ha vist no és una prova.

• Adreça de correu — identificar-te i deixar-te entrar (codi per correu, Apple o Google) — base jurídica: execució del contracte, art. 6.1.b RGPD — mentre el compte existeixi.
• Identificador d’usuari (UUID) — lligar el teu contingut al teu compte — art. 6.1.b — mentre el compte existeixi.
• Empremta de la clau (key_check) — avisar-te si un dispositiu porta una clau que no és la teva — art. 6.1.b — mentre el compte existeixi.
• Versió dels Termes acceptada i quan — poder dir quina versió del contracte vas acceptar i quin dia — art. 6.1.b (prova de l’existència del contracte) — mentre el compte existeixi.

3.2. El contingut dels taulers PRIVATS

Aquest contingut viatja i es guarda xifrat de punta a punta amb XSalsa20-Poly1305 (NaCl secretbox). La clau es genera al teu dispositiu, viu al Clauer d’iOS i no ens arriba mai. Nosaltres veiem un bloc de bytes il·legible.

Com arriba la clau al teu segon aparell, i què costa. Perquè entrar al mateix compte des de l’iPad o el Mac no t’obligui a transcriure res, la clau es desa també com a element sincronitzable del Clauer (el Clauer d’iCloud): així viatja sola entre els aparells del teu mateix compte d’Apple, xifrada d’extrem a extrem per Apple, i no passa mai pel nostre servidor. Nosaltres seguim sense veure-la.

El que això costa, i ho diem aquí i no en una nota al peu: lliga la seguretat del teu contingut a la del teu compte d’Apple —qui entri al Clauer d’iCloud d’una persona té la clau que desxifra els seus taulers—. És exactament el mateix tracte que el Clauer ja fa amb totes les seves contrasenyes, la del banc inclosa. El codi de recuperació segueix existint i segueix sent el recanvi: per a qui tingui el Clauer d’iCloud apagat, per a un canvi de compte d’Apple i per a qui vulgui una clau que no depengui d’Apple.

Si perds la clau i el codi de recuperació, ningú no pot recuperar el que hi havia — nosaltres tampoc. És el preu del xifratge de veritat i val la pena saber-ho abans, no després.

Dades tractades: contingut xifrat dels taulers, zones, elements i traços, i fitxers xifrats (fotos, vídeos, escanejos, dibuixos, documents) — finalitat: sincronitzar-te entre dispositius — base jurídica: art. 6.1.b RGPD — termini: fins que ho esborris o esborris el compte.

El que sí que veiem, encara que el contingut estigui xifrat (i que no hi ha manera d’amagar si volem que la sincronització funcioni):

• de quina taula és cada fila (un element, un tauler, una zona…);
• l’identificador de la fila (un UUID generat al teu dispositiu, sense significat);
• les marques de temps de creació, modificació i esborrat;
• el camí i la mida en bytes de cada fitxer, perquè és com comptem l’espai que ocupes i és el que et cobrem.
• O sigui: podem saber que tens 412 elements i que en vas tocar un dimarts a les onze, però no què hi diu.

3.3. El contingut del que COMPARTEIXES

Aquí el xifratge de punta a punta no hi és, i cal dir-ho sense embuts. El que s’obre al navegador d’una persona que no té la teva clau ha d’arribar-hi llegible, i per tant es desa llegible al servidor. Mentre allò estigui compartit, el seu contingut i les seves fotos els podria llegir qui administri la nostra infraestructura. Quan deixes de compartir-ho, torna a viatjar xifrat.

I «allò» és exactament el que has compartit i res més. Hi ha dues mides i les dues es diuen amb paraules abans de fer-les: si comparteixes un element sol, en surten en clar aquell element, les seves fotos i el nom (amb l’emoji i el color) del tauler d’on ve —la pàgina de qui el rep ha de poder dir d’on és—, i la resta del tauler segueix xifrada; si comparteixes el tauler sencer, llavors sí que en surt tot en clar: totes les notes, les zones, els gargots, els quaderns i les fotos.

La regla pràctica: si una cosa no la penjaries a un servidor, no la comparteixis per enllaç.

Les persones convidades reben una sessió anònima: no els demanem cap correu, cap compte i cap dada més que el nom que escriuen elles mateixes.

Qui veu el nom d’un convidat, exactament. El nom serveix perquè, en una enquesta, se sàpiga qui ha votat què — o sigui que el veuen les altres persones que puguin llegir allò mateix, i ningú més. I una precisió que va en la direcció contrària i també és certa: els vots del propietari i dels membres amb compte surten sense nom, perquè ells no són a la llista de convidats. La pàgina diu el nom quan el sap i el número sempre, i no s’inventa cap «Algú».

• Contingut EN CLAR del que comparteixes i dels seus fitxers — que la gent convidada ho pugui obrir des del navegador — art. 6.1.b — fins que deixis de compartir-ho o l’esborris.
• Correu de les persones convidades — donar-los accés quan entrin amb aquell correu — art. 6.1.b — fins que retiris la invitació.
• Nom que escriu qui obre un enllaç de convidat — que la resta sàpiga qui hi ha escrit i qui ha votat — art. 6.1.b — fins que es deixi de compartir.
• Vots de les enquestes d’un tauler compartit — comptar els vots — art. 6.1.b — el mateix.
• Testimonis d’enllaç (tokens) — obrir el tauler sense compte — art. 6.1.b — fins que el revoquis.
• Si el que està compartit és el tauler sencer, el nom del convidat el veuen qui té el tauler (propietari, membres i la resta de convidats d’aquell enllaç).
• Si el que està compartit és un element, només el veuen a través d’aquell element, i només dels convidats que hi hagin votat: qui obre l’enllaç d’una enquesta no obté la llista de convidats del tauler.
• El testimoni de l’enllaç d’un convidat no el veu mai cap altre convidat. El servidor només en serveix el nom i l’identificador del vot, mai res més de la seva fila.

3.4. Les compres

Les subscripcions les cobra Apple amb el teu compte d’App Store: nosaltres no veiem mai la teva targeta, ni el teu nom de facturació, ni la teva adreça. Qui ens diu «aquesta persona té Plus» és RevenueCat, un intermediari de subscripcions al qual li passem el teu identificador d’usuari (i res més: ni el correu, ni el nom). El seu SDK, pel seu compte, recull dades tècniques del dispositiu per a la seva funció (per exemple l’identificador de venedor d’Apple, el model i el país); això ho fa ell i està descrit a la seva pròpia política.

• Identificador d’usuari i historial de compres i renovacions — saber quin pla tens i quant d’espai et toca — art. 6.1.b — mentre el compte existeixi.

3.5. Els permisos del dispositiu

Pattio no demana micròfon, ni contactes, ni salut, ni Bluetooth, ni xarxa local, i no fa servir mai la ubicació en segon pla.

• Càmera — quan fas una foto per posar-la al tauler — la foto va al tauler, com qualsevol altra.
• Fototeca — quan tries una foto o un vídeo — el mateix.
• Ubicació (només en ús) — només quan prems «Ubicació actual» — les coordenades les tradueix a adreça Apple. Si desis la targeta a un tauler sincronitzat, hi van xifrades (o en clar si el tauler està compartit).
• Calendari i Recordatoris — quan hi poses una targeta d’agenda — es llegeixen al dispositiu i no surten d’allà. No en pugem res enlloc.

3.6. El portal web de convidats i la seva analítica

Aquesta secció parla NOMÉS de la pàgina web que s’obre quan algú et passa un enllaç de Pattio (pattio-convidats.netlify.app). L’app no hi entra per res: al binari d’iOS no hi ha cap SDK d’analítica i no n’hi haurà cap.

El que el portal desa sempre, i per què no et demanem permís. Quan obres un enllaç, el navegador desa una sessió anònima que és la que et deixa entrar al tauler. Sense ella no hi ha pàgina. És emmagatzematge estrictament necessari per prestar-te el servei que has demanat i, per això, l’article 5.3 de la Directiva ePrivacy l’eximeix de consentiment. No et demanem permís per a una cosa sense la qual l’enllaç no s’obriria.

El que el portal NO fa sense el teu permís. Si el portal té l’analítica configurada, abans de mesurar res et pregunta amb un avís que du dues opcions iguals de fàcils: acceptar i rebutjar. Mentre no contestis, i també si dius que no, no es baixa ni un byte de Google i no es desa cap cookie de mesura. La pàgina es veu i funciona exactament igual tant si dius que sí com si dius que no: no hi ha cap mur.

Dada tractada: visita de pàgina (quin dels tres tipus de pàgina, país aproximat deduït de la IP, navegador i mena de dispositiu) — finalitat: saber quanta gent obre enllaços compartits — base jurídica: art. 6.1.a, el teu consentiment, i només ell — termini: el que la propietat de Google Analytics tingui configurat.

El que MAI no s’hi envia, i és la part important: el testimoni de l’enllaç —que és la clau del tauler—, cap identificador de tauler o d’element, cap nom de convidat i cap contingut. El camí que s’envia no és el de la barra d’adreces sinó una de tres cadenes fixes (/convidat, /e o /), i està escrit al codi amb aquest únic propòsit. Tampoc no hi ha cap esdeveniment a mida: una visita i prou.

Qui ho tracta. Google Ireland Limited / Google LLC com a encarregat del tractament, amb la IP anonimitzada (Google Analytics 4 ho fa de sèrie), amb els senyals de Google i la personalització publicitària desactivats i amb Consent Mode v2 configurat amb tots els permisos denegats per defecte. Les transferències als Estats Units es fan a l’empara de les clàusules contractuals tipus i del Data Privacy Framework UE-EUA (§4).

Pots canviar d’opinió quan vulguis. Al peu de qualsevol pàgina del portal hi ha «Cookies», que torna a obrir la pregunta. La teva tria es recorda dotze mesos al teu propi navegador i porta escrita la versió de les finalitats: si algun dia canviessin, es tornaria a preguntar en comptes d’aprofitar el «sí» d’un altre moment.

I ara mateix això està apagat. Mentre no hi hagi cap propietat d’analítica configurada al portal, no hi ha ni avís ni mesura: la pàgina només desa la sessió anònima del primer paràgraf.

3.7. El que NO tractem

Perquè quedi dit i es pugui comprovar obrint el codi:

• Cap analítica a l’app. No hi ha Firebase, ni Amplitude, ni PostHog, ni Mixpanel, ni Segment, ni res que s’hi assembli. L’única mesura que existeix en tot el projecte és la de les pàgines web, va amb el teu permís i està explicada a §3.6 i §3.8.
• Cap informe d’errors automàtic. No hi ha Sentry ni Crashlytics.
• Cap publicitat i cap xarxa d’anuncis.
• Cap rastreig. L’app no demana permís de seguiment (ATT) perquè no en necessita: no fa servir l’IDFA ni cap identificador publicitari, i no comparteix cap dada teva amb tercers amb finalitat publicitària ni amb cap intermediari de dades.
• Cap perfilat ni cap decisió automatitzada amb efectes jurídics (art. 22 RGPD).
• Cap venda ni cessió de dades a ningú.

3.8. Aquest lloc web: la llista d’espera i l’analítica

Aquesta secció parla NOMÉS de pattio.app, la pàgina que presenta Pattio. Aquí no hi ha comptes d’usuari i el contingut dels teus taulers no hi passa mai.

Si t’apuntes a la llista d’espera, ens deixes el teu correu i l’idioma en què navegues, i prou. Els fem servir per avisar-te quan Pattio arribi a l’App Store, i per a res més. La base jurídica és el teu consentiment (art. 6.1.a RGPD), que pots retirar quan vulguis escrivint a hola@somia.digital. Conservem el correu fins que t’enviem l’avís de llançament i, com a màxim, dotze mesos després. Es desa a Supabase, l’encarregat de la §4.

Aquest lloc també fa servir Google Analytics 4, i només si l’acceptes a l’avís de cookies. Si no contestes, o si el rebutges, no es carrega ni un byte de Google. El detall del que es desa al teu navegador i com canviar la teva tria és a la Política de cookies (/cookies).

4. Qui més hi toca (encarregats del tractament)

Nosaltres no tenim servidors propis: llogem els d’altri. Tots tenen contracte d’encarregat del tractament (art. 28 RGPD).

Transferències internacionals. RevenueCat, Apple i Google són als Estats Units. Aquestes transferències es fan a l’empara de les clàusules contractuals tipus de la Comissió Europea i, quan aplica, del Data Privacy Framework UE-EUA. Pots demanar-nos còpia de les garanties a hola@somia.digital.

• Supabase Inc. — base de dades, autenticació i (segons la configuració) emmagatzematge dels fitxers, i la taula de la llista d’espera d’aquest lloc — Europa occidental (UE).
• Cloudflare, Inc. (R2) — emmagatzematge dels fitxers, quan està activat: avui NO ho està — xarxa global de Cloudflare.
• RevenueCat, Inc. — estat de les subscripcions — EUA.
• Apple Inc. — cobrament, inici de sessió amb Apple, mapes i cerca de cançons — EUA / global.
• Google LLC — inici de sessió amb Google, només si tries aquesta porta; i l’analítica de visites de les pàgines web, només si hi consents (§3.6 i §3.8) — EUA / global.
• Netlify — allotjament d’aquest lloc web i del portal de convidats.

Tercers que veuen la teva IP (i per què)

Hi ha tres moments en què el teu dispositiu parla directament amb algú que no som nosaltres. No els enviem res teu; hi vas tu.

• Previsualitzacions d’enllaços. Quan enganxes una adreça —o quan hi comparteixes una pàgina des d’una altra app— Pattio va a buscar-ne el títol i la imatge directament des del teu dispositiu. Aquell web veu la teva IP, com si hi haguessis entrat amb el navegador. (Ho fem així a posta: passar-ho per un servidor nostre voldria dir que nosaltres veuríem tots els enllaços que guardes.) Per a unes quantes plataformes conegudes —YouTube, Reddit, Spotify, Instagram, Facebook, TikTok, Pinterest— es demana la fitxa al seu propi servei d’incrustació en comptes de llegir la pàgina, i la imatge de portada es desa al teu dispositiu, perquè les seves adreces caduquen en pocs dies.
• Cerca de cançons. El que escrius va a la cerca d’iTunes d’Apple.
• Mapes i adreces. Els mapes i la traducció de coordenades a adreça els fa Apple.

5. Quant de temps ho guardem

• Mentre el compte existeixi, el que hi has sincronitzat.
• Si caduca o cancel·les la subscripció, no s’esborra res el mateix dia: es torna al pla gratuït, tot es continua llegint i descarregant, i l’únic que es barra és pujar-ne més mentre superis la quota. Hi ha 30 dies de gràcia amb avisos i la data escrita; passats, es retira només l’excés (del més antic cap al més nou) i el que es retira viu 30 dies més a la paperera, on encara es recupera renovant. Al dia 60 ja no hi ha marxa enrere. El calendari sencer, amb els números, és a la §9 dels Termes i condicions (/termes).
• Les làpides d’esborrat. Quan esborres un element, guardem la seva fila amb una marca «esborrat» i sense contingut, perquè els teus altres dispositius sàpiguen que ha de desaparèixer també allà. És maquinària de sincronització, no el teu contingut, i desapareix amb el compte.
• Esborrar el compte ho esborra tot de debò: les files, els fitxers, l’empremta de la clau i el teu usuari. Ho pots fer tu sol des de l’app, i el que tens al dispositiu es queda al dispositiu.
• Còpies de seguretat. El proveïdor de base de dades en fa de rutinàries; una dada esborrada pot sobreviure-hi fins que la còpia caduca (com a màxim 30 dies). Un cop caducada, ja no hi és enlloc.
• El correu de la llista d’espera d’aquest lloc, fins que t’enviem l’avís de llançament i, com a màxim, dotze mesos després (§3.8).

6. La portabilitat: el botó que sempre hi és

A Configuració ▸ Les teves dades ▸ Descarrega totes les dades hi ha un botó que et treu un ZIP amb tot: tots els taulers en JSON i tots els fitxers originals byte a byte.

Això cobreix el teu dret a la portabilitat (art. 20 RGPD) i l’obligació de l’article 119 ter del TRLGDCU, i el fa el teu dispositiu tot sol: el ZIP no passa per cap servidor nostre.

• És gratuït, també al pla gratuït i també si la subscripció ha caducat.
• És d’autoservei: no cal escriure’ns, ni esperar, ni demanar permís.
• És llegible per màquina: JSON i fitxers originals, sense necessitar Pattio.

7. Els teus drets

Tens dret a accedir a les teves dades, a rectificar-les, a suprimir-les, a limitar-ne el tractament, a oposar-t’hi i a la portabilitat. Si alguna cosa es basa en el teu consentiment, el pots retirar quan vulguis (retirar-lo no fa il·legal el que ja s’havia fet).

Per exercir-los, escriu a hola@somia.digital. Contestem en un mes com a màxim. Et podem demanar que ens confirmis qui ets, i prou.

Bona part dels drets els pots exercir tu sol i a l’instant, sense escriure a ningú: el ZIP de l’exportació (accés i portabilitat), esborrar elements (supressió), deixar de compartir un tauler (oposició), esborrar el compte (supressió total) i el botó de gestió de cookies (retirar o tornar a donar el consentiment de l’analítica, §3.6 i §3.8).

Una limitació honesta: com que el contingut privat és xifrat i nosaltres no tenim la clau, no et podem donar una còpia llegible del que hi ha al servidor ni rectificar-ne res des de fora. Qui pot fer-ho és el teu dispositiu, que és qui té la clau — i per això l’exportació la fa ell.

Si creus que no ho fem bé, pots reclamar davant l’Agència Espanyola de Protecció de Dades (www.aepd.es, C/ Jorge Juan 6, 28001 Madrid). T’agrairem que ens ho diguis abans, però no cal.

8. Seguretat

Cap sistema no és infal·lible. Si mai hi ha una violació de seguretat que et posi en risc, t’ho direm a tu i a l’AEPD dins dels terminis de l’article 33 del RGPD.

• Xifratge de punta a punta del contingut privat (NaCl secretbox, XSalsa20-Poly1305), amb la clau al Clauer del dispositiu i mai al servidor. Si el Clauer d’iCloud està actiu, la clau viatja entre els teus aparells pel transport d’Apple, xifrada d’extrem a extrem per Apple (§3.2).
• TLS en tot el trànsit.
• Row Level Security a la base de dades: cada fila comprova a la mateixa base de dades qui la pot llegir, i no depèn només que el client es porti bé. Les consultes que han de creuar la frontera d’un enllaç de convidat passen per funcions del servidor que tornen només les columnes necessàries —el nom de qui ha votat, per exemple, mai el testimoni del seu enllaç—.
• Les credencials dels fitxers no són dins de l’app: qui firma els permisos d’accés és una funció del servidor que comprova primer si tens dret a aquell tauler, i les adreces que en surten caduquen al cap de pocs minuts.
• Els enllaços de convidat es poden revocar quan vulguis.
• Cap SDK d’analítica, de publicitat ni d’informes d’errors dins de l’app: el que no hi és no es pot filtrar.

9. Menors

Pattio no s’adreça a menors de 14 anys i no els demanem dades a posta. És l’edat a partir de la qual la llei espanyola et deixa consentir el tractament de les teves dades pel teu compte (art. 7 de la LOPDGDD), i és la mateixa que demanen els Termes i condicions (§3): els dos documents diuen el mateix número a posta.

Si ens adonem que hem tractat dades d’un menor de 14 anys sense el consentiment de qui en té la pàtria potestat, les esborrarem. Si ets mare, pare o tutor i creus que ha passat, escriu-nos a hola@somia.digital.

10. Canvis en aquesta política

Si canviem alguna cosa que importi, canviarem la data de dalt i, si el canvi és substancial, t’ho direm dins de l’app abans que sigui efectiu. Les versions antigues es poden demanar per correu.

Aquesta política s’informa, no s’accepta: el RGPD no admet «acceptar la privacitat» en bloc, i els consentiments concrets —avui només l’analítica de les pàgines web (§3.6 i §3.8)— es demanen cadascun al seu lloc i es poden retirar quan vulguis. El que sí que s’accepta són els Termes i condicions (/termes), i l’app en desa la versió i la data (§3.1).