Informativa privacy di Cittadella

Ultimo aggiornamento: 14 ottobre 2026 Contatti: support@cittadella.app

Chi siamo

Data Controller (titolare del trattamento)

Geometry Lab L.L.C-FZ, Licence No. 2651608.01 · Formation No. 2651608, Meydan Grandstand, 6th floor, Meydan Road, Nad Al Sheba, Dubai, United Arab Emirates.

EU Representative (Art 27 GDPR) (rappresentante nell'Unione europea)

Prighter EU Rep GmbH, Schellinggasse 3/10, 1010 Vienna, Austria.

UK Representative (Art 27 UK GDPR) (rappresentante nel Regno Unito)

Prighter Ltd, 20 Mortlake High Street, London, SW14 8JN, United Kingdom.

Puoi esercitare i tuoi diritti dal portale di Prighter, scrivendo a support@cittadella.app oppure a privacy@geometryapps.com. L'elenco delle app di Geometry è su geometryapps.com.

In breve

• Cittadella è un'app per praticare la filosofia stoica in italiano: il passo del giorno, la preparazione del mattino, l'esame della sera, i percorsi guidati, la biblioteca e un diario.
• Il diario resta sul tuo dispositivo. Arriva al nostro server solo se accedi con un account e scegli di sincronizzarlo, e lì è conservato cifrato.
• Quello che scrivi nel diario può riguardare il tuo stato d'animo o la tua salute. Per questo lo inviamo a un fornitore di intelligenza artificiale solo quando lo chiedi tu, con Chiedi agli Stoici o La tua settimana, e solo dopo il tuo consenso esplicito.
• Le risposte di Chiedi agli Stoici e di La tua settimana sono create da un modello di OpenAI tramite il nostro server. OpenAI non riceve il tuo nome, la tua email o il tuo account e, secondo i suoi termini, non usa questi dati per addestrare i suoi modelli. Il nostro server non conserva il tuo testo né la risposta dopo avertela inviata.
• Puoi usare Cittadella senza account. In Cittadella non c'è pubblicità, non vendiamo i tuoi dati e non ti seguiamo nelle app o nei siti di altre aziende.
• Cittadella non è un servizio medico o psicologico. Se sei in crisi chiama il 112 o Telefono Amico Italia al 02 2327 2327.
• Cittadella è per chi ha almeno 14 anni.

Cosa resta sul tuo dispositivo

Cittadella salva queste informazioni nello spazio privato dell'app sul tuo iPhone o iPad (e, quando sarà disponibile, sul tuo telefono Android):

• il diario: le preparazioni del mattino, gli esami della sera, le riflessioni dei percorsi e le note libere, ciascuna con la sua data;
• le risposte di Chiedi agli Stoici e le riflessioni di La tua settimana che hai ricevuto;
• i progressi: i giorni in cui hai praticato, i percorsi e i giorni completati, i segnalibri e il punto di lettura nella biblioteca;
• le impostazioni: gli orari dei promemoria, la dimensione e il tipo di carattere per la lettura, l'aspetto chiaro o scuro;
• le risposte che dai all'inizio (cosa ti porta qui, quanto conosci lo stoicismo), che servono a proporti passi e percorsi. Delle risposte su cosa ti porta qui le statistiche ricevono solo quante ne hai scelte, mai quali;
• il conteggio delle domande gratuite a Chiedi agli Stoici, le tue scelte sul consenso per l'intelligenza artificiale e sulle statistiche di utilizzo;
• un identificativo casuale di installazione, salvato nel portachiavi del dispositivo, che serve a contare le domande gratuite e resta anche se elimini e reinstalli l'app.

I testi della biblioteca sono inclusi nell'app e funzionano senza connessione. Il widget mostra il passo del giorno leggendolo dall'app, sul dispositivo. Come gli altri dati delle app, i dati di Cittadella possono finire nei backup del dispositivo che fai con iCloud, con Google o sul computer.

Cittadella chiede un solo permesso, quello per le notifiche, e solo se vuoi i promemoria. Non chiede la tua posizione, i tuoi contatti, le foto, la fotocamera, il microfono, i dati dell'app Salute o l'identificativo pubblicitario (IDFA). Non ti chiede la data di nascita.

Il diario e i dati delicati

Quello che scrivi nel diario può rivelare informazioni sulla tua salute, per esempio ansia, tristezza o un lutto, o sulle tue convinzioni. Per il Regolamento europeo sulla protezione dei dati (GDPR) possono essere categorie particolari di dati personali (art. 9). Per questo:

• il diario resta sul tuo dispositivo, a meno che tu non scelga di sincronizzarlo;
• conserviamo una copia del diario sul server solo se accedi con un account e dai il tuo consenso esplicito alla sincronizzazione del diario;
• inviamo il testo del diario, o la situazione che descrivi, al fornitore di intelligenza artificiale solo quando usi Chiedi agli Stoici o La tua settimana e solo dopo il tuo consenso esplicito;
• non usiamo il diario per le statistiche, per la pubblicità o per addestrare modelli di intelligenza artificiale, e non lo vendiamo;
• Cittadella non fa diagnosi, non misura il tuo umore e non ti assegna punteggi.

Puoi ritirare ciascun consenso in qualsiasi momento nelle Impostazioni. Ritirarlo non cancella quello che hai già scritto sul dispositivo e non toglie le altre funzioni dell'app.

Chiedi agli Stoici e La tua settimana

Sono le due funzioni che usano l'intelligenza artificiale. Prima di usarle per la prima volta, l'app ti spiega cosa viene inviato e ti chiede il consenso.

Chiedi agli Stoici. Quando fai una domanda, l'app invia al server di Cittadella (api.cittadella.app, su Cloudflare) il testo che hai scritto (al massimo 2.000 caratteri) e, se scegli di includerle, alcune note recenti del tuo diario. Il server sceglie dai testi di Cittadella i passi più vicini alla tua situazione e manda il tuo testo e quei passi a un modello di intelligenza artificiale di OpenAI tramite la sua API. OpenAI restituisce una risposta in italiano che cita alcuni di quei passi e propone un esercizio. Il server controlla che ogni passo citato esista davvero nei testi di Cittadella e lo mostra con il testo della traduzione di Cittadella, non con parole generate.

La tua settimana. Con Cittadella Pro, l'app invia al server le voci del diario della settimana. Il server le manda allo stesso modello di OpenAI, che restituisce i temi che ritornano, cosa è cambiato e un passo da portare nella settimana dopo.

In entrambi i casi:

• OpenAI non riceve il tuo nome, la tua email, il tuo account o gli identificativi del dispositivo. La richiesta parte con l'archiviazione delle risposte disattivata. Secondo i suoi termini, OpenAI non usa i dati inviati tramite API per addestrare i suoi modelli e li può conservare per un periodo limitato per controllare gli abusi.
• Il nostro server non salva il testo che mandi né la risposta dopo avertela inviata, e non li scrive nei suoi registri tecnici. La risposta resta sul tuo dispositivo e, se sincronizzi il diario, nella copia sincronizzata.
• Se quello che scrivi sembra parlare di un pericolo per te o per altri, Cittadella non scrive una risposta: ti indica il 112 e Telefono Amico Italia. Questa richiesta non conta nei tuoi limiti.
• Le risposte sono generate da un sistema di intelligenza artificiale, sono parole di Cittadella e non dei filosofi, e possono contenere errori. Non sono consigli medici, psicologici o di altro tipo.
• Cittadella non prende decisioni automatizzate che producono effetti giuridici o simili su di te.

Segnalare una risposta

Se segnali una risposta di Chiedi agli Stoici o di La tua settimana perché è sbagliata o offensiva, l'app invia al server il motivo, il testo della risposta segnalata e la nota che scrivi, se c'è. La segnalazione è collegata all'impronta crittografica del dispositivo e, se hai effettuato l'accesso, al tuo account. La tua domanda e il tuo diario non vengono inviati con la segnalazione. Usiamo le segnalazioni per controllare e correggere il servizio. Se elimini l'account, la segnalazione resta, ma senza il collegamento al tuo account.

Limiti del piano e sicurezza

Ogni richiesta a Chiedi agli Stoici o a La tua settimana porta con sé:

• una verifica dell'integrità dell'app: App Attest di Apple su iPhone e iPad, Play Integrity di Google su Android, che dimostra che la richiesta arriva dall'app Cittadella;
• l'identificativo casuale di installazione;
• il token del tuo account, se hai effettuato l'accesso;
• se non hai effettuato l'accesso, l'identificativo anonimo di RevenueCat descritto più sotto, per riconoscere un abbonamento Pro.

Il server tiene il conto delle domande di ogni settimana (e di ogni giorno con Pro) e delle riflessioni di La tua settimana. I contatori del dispositivo usano un'impronta crittografica (hash) della chiave di verifica e dell'identificativo di installazione, non il valore originale, e non sono collegati al tuo account. Se hai effettuato l'accesso, c'è anche un contatore del tuo account. Per questo eliminare l'app o l'account non azzera la domanda gratuita della settimana.

L'indirizzo IP serve a limitare il numero di richieste e a proteggere il servizio: non viene salvato insieme ai tuoi dati. I registri tecnici del server contengono codici e conteggi, non i tuoi testi.

Account (facoltativo) e sincronizzazione

Puoi usare Cittadella senza account. L'account serve a salvare una copia dei tuoi dati, a ritrovarli su un altro dispositivo e a usare lo stesso abbonamento su iPhone e Android. Se accedi con Apple, con Google o con un codice via email, trattiamo:

• un identificativo casuale del tuo account Cittadella;
• l'identificativo che ci comunica Apple o Google e l'indirizzo email, se il servizio lo fornisce (con Apple può essere un indirizzo anonimo di inoltro);
• i metodi di accesso collegati e i dati di sessione, salvati come impronte crittografiche;
• per l'accesso con Apple, un token cifrato che ci permette di revocare l'accesso quando elimini l'account;
• la data di scadenza di Cittadella Pro, se sei abbonato.

Il codice di accesso via email ha 6 cifre, vale 10 minuti e viene inviato da Resend. Sul server il codice è salvato solo come impronta crittografica. Gli account non vengono mai uniti solo perché hanno la stessa email. Puoi aggiungere o togliere metodi di accesso nelle Impostazioni, purché ne resti almeno uno.

Quando hai effettuato l'accesso, il server salva nel tuo account una copia dei progressi dei percorsi, dei segnalibri, del punto di lettura e delle impostazioni (comprese le risposte che hai dato all'inizio su cosa ti porta qui) e, solo con il tuo consenso esplicito, del diario. Tutte queste copie sono conservate cifrate. Le chiavi sono gestite dal nostro server, quindi non si tratta di una cifratura end-to-end: la cifratura protegge le copie conservate, e usiamo il contenuto solo per restituirlo ai tuoi dispositivi. Quando elimini una voce, sul server resta solo un segnale senza contenuto, così anche gli altri dispositivi la eliminano.

Il database del server è su Cloudflare, con indicazione di localizzazione nell'Europa occidentale. Se esci dall'account, i dati restano sul dispositivo e la copia resta nell'account. Se disattivi la sincronizzazione del diario, eliminiamo dal server le copie delle voci del diario; il diario resta sul tuo dispositivo. Se elimini tutti i dati da un dispositivo, l'app esce anche dall'account; la copia nell'account resta finché non elimini l'account.

Notifiche

Se le attivi, Cittadella ti manda un promemoria al mattino e uno alla sera, agli orari che scegli, per la preparazione del mattino e l'esame della sera. Le notifiche sono programmate sul dispositivo: il server non manda notifiche e non riceve un token per le notifiche.

Abbonamenti

Il pagamento di Cittadella Pro è gestito da Apple sull'App Store e da Google su Google Play (e da Samsung sul Galaxy Store, quando l'app sarà disponibile lì). RevenueCat riceve dallo store le informazioni sull'acquisto e sull'abbonamento, collegate a un identificativo anonimo di RevenueCat, per sbloccare e ripristinare Pro. Se accedi, quell'identificativo viene collegato al tuo account Cittadella. Se non hai effettuato l'accesso, l'app manda l'identificativo anonimo al nostro server, che chiede a RevenueCat se Pro è attivo e conserva la risposta per al massimo un giorno, salvando l'identificativo solo come impronta crittografica. Il server riceve da RevenueCat anche gli eventi dell'abbonamento (tipo di evento e data di scadenza) collegati al tuo account. Non riceviamo mai il numero della tua carta o la password del tuo account Apple o Google.

Statistiche di utilizzo e diagnostica

L'app non contiene strumenti di analisi o di pubblicità di terze parti (come PostHog, Firebase, Amplitude, Mixpanel, Segment o strumenti di attribuzione). Invia eventi fissi, senza contenuti, al nostro server per le statistiche (e.cittadella.app), che li inoltra a PostHog Cloud EU. Gli eventi descrivono le schermate aperte e le azioni fatte con valori fissi: per esempio "pratica del mattino completata", il giorno raggiunto in un percorso, il passo della biblioteca aperto, salvato o condiviso (i passi su temi delicati sono indicati solo come "sensibile"), il tipo di app scelta per condividere (per esempio WhatsApp), "risposta di Chiedi agli Stoici ricevuta", quanto conosci lo stoicismo secondo la risposta che dai all'inizio. Le misure viaggiano in fasce, non come valori esatti: la lunghezza di quello che scrivi (per esempio "tra 50 e 199 caratteri"), il numero di voci, di risultati o di passi letti, i tempi di attesa e le durate. Gli eventi portano anche il contesto dell'app e del dispositivo: versione dell'app e del sistema, modello del dispositivo, lingua, aspetto chiaro o scuro, dimensione del testo, riduzione del movimento, se le notifiche e il widget sono attivi, se hai Pro e se hai effettuato l'accesso (sì o no), da quanto tempo hai installato l'app (in fasce). Quando inizi una prova o un abbonamento, l'evento riporta il piano, il prezzo e la valuta. Gli eventi non contengono mai il diario, le tue domande, le risposte, il testo delle ricerche, le risposte che dai all'inizio su cosa ti porta qui, la tua email o l'identificativo del tuo account.

L'app decide sul dispositivo, prima di inviare qualunque evento:

• in Germania e in Austria, e sui dispositivi di cui non si conosce la regione, le statistiche partono solo se scegli Consenti;
• nelle altre regioni, Italia compresa, le statistiche sono attive e le puoi disattivare nelle Impostazioni, nella sezione sulla privacy. Quando le disattivi, gli eventi si fermano e l'app cancella l'identificativo statistico e gli eventi in attesa.

Il server per le statistiche applica poi una di due regole:

• per lo Spazio economico europeo, il Regno Unito, la Svizzera e le regioni sconosciute, ogni evento riceve un identificativo casuale nuovo, l'indirizzo IP e il paese non vengono inoltrati e non viene creato alcun profilo: gli eventi non si possono collegare tra loro. Restano solo il nome dell'evento, le sue etichette fisse, la versione dell'app, il tipo di dispositivo e la lingua; il resto del contesto, le durate e i conteggi personali vengono tolti, e gli eventi su acquisti e abbonamenti non vengono inoltrati;
• per gli altri paesi, l'app crea un identificativo casuale dedicato alle statistiche dopo che il server ha confermato questa regola. Non è il tuo nome, la tua email, il tuo account o l'IDFA. Gli eventi di una stessa apertura dell'app portano anche un identificativo di sessione casuale, nuovo ogni volta che apri l'app.

I rapporti su arresti anomali e prestazioni di Apple (MetricKit: numero di arresti, blocchi ed eccezioni, con la versione dell'app e del sistema) sono sempre attivi e non hanno identificativi. Quando un'azione non riesce, l'app può inviare un rapporto fisso (schermata, azione, codice dell'errore, versioni, se avevi effettuato l'accesso), senza testo libero e senza identificativi. Questi rapporti sono conservati fino a 90 giorni.

Misurazione delle pubblicità senza tracciamento. Quando completi alcuni passaggi (fine della presentazione iniziale, prima pratica, inizio della prova o acquisto), l'app può aggiornare un valore numerico di SKAdNetwork, un sistema di Apple. Se hai installato Cittadella dopo aver visto una pubblicità, Apple comunica alla rete pubblicitaria solo quel valore, senza alcun identificativo tuo o del dispositivo. Cittadella non usa l'IDFA, non mostra la richiesta di tracciamento di Apple e non contiene strumenti di attribuzione di terze parti.

Perché trattiamo i dati

• Per darti il servizio che chiedi (art. 6, par. 1, lett. b GDPR): account, sincronizzazione dei progressi, dei segnalibri e delle impostazioni, abbonamento, assistenza, esportazione ed eliminazione.
• Con il tuo consenso esplicito (art. 6, par. 1, lett. a e art. 9, par. 2, lett. a GDPR): la copia del diario sul server quando sincronizzi, e l'invio della tua situazione e del diario al fornitore di intelligenza artificiale per Chiedi agli Stoici e La tua settimana. Puoi ritirarlo in qualsiasi momento; il ritiro non rende illecito il trattamento fatto prima.
• Per il nostro legittimo interesse (art. 6, par. 1, lett. f GDPR): sicurezza, prevenzione degli abusi, limiti del piano gratuito e uso corretto di Pro, stabilità del servizio, gestione delle segnalazioni, statistiche senza contenuti fuori da Germania e Austria, rapporti sugli arresti anomali, misurazione delle pubblicità senza identificativi. Per questi scopi usiamo solo dati senza contenuti e, nello Spazio economico europeo, senza identificativi che colleghino gli eventi a una persona. Puoi opporti in qualsiasi momento.
• Con il tuo consenso (art. 6, par. 1, lett. a GDPR): statistiche di utilizzo in Germania e in Austria.
• Per obblighi di legge (art. 6, par. 1, lett. c GDPR).

Fornitori e trasferimenti internazionali

Cittadella usa questi fornitori:

• Cloudflare: server, database, archivio dei backup, statistiche, sito web e posta di assistenza;
• OpenAI: risposte di Chiedi agli Stoici e riflessioni di La tua settimana;
• PostHog Cloud EU: statistiche di utilizzo e diagnostica;
• Apple: App Store, accesso con Apple, App Attest, MetricKit, SKAdNetwork;
• Google: accesso con Google, se lo scegli; Google Play e Play Integrity su Android;
• Samsung: Galaxy Store, quando l'app sarà disponibile lì;
• RevenueCat: gestione degli abbonamenti;
• Resend: invio delle email con il codice di accesso;
• Slack: notifiche interne su assistenza e funzionamento del servizio.

Il trattamento può avvenire nell'Unione europea, nel Regno Unito, in Svizzera, negli Emirati Arabi Uniti, negli Stati Uniti e negli altri paesi indicati negli elenchi dei sub-responsabili di ciascun fornitore. Quando si applicano le regole europee o britanniche sui trasferimenti, ci basiamo sulle clausole contrattuali standard o sugli accordi di trasferimento britannici dei fornitori, insieme a minimizzazione dei dati, cifratura in transito e controllo degli accessi.

Per quanto tempo conserviamo i dati

• Sul dispositivo: finché non elimini i dati o l'app.
• Testo inviato a Chiedi agli Stoici o a La tua settimana e relativa risposta: non conservati dal nostro server dopo la risposta. OpenAI li può conservare secondo i suoi termini, per un periodo limitato.
• Contatori del piano: quelli settimanali 26 settimane, quelli giornalieri di Pro 3 giorni.
• Verifica di Pro senza account: al massimo un giorno.
• Codici di accesso via email: 10 minuti. Sessioni: 1 ora per il token di accesso, 30 giorni per il token di rinnovo.
• Account e dati sincronizzati, diario compreso: finché l'account esiste o finché non ritiri il consenso alla sincronizzazione del diario.
• Backup giornalieri del database: circa 35 giorni.
• Registro delle eliminazioni: l'identificativo casuale dell'account eliminato e la data, conservati 90 giorni dopo che l'eliminazione è completa, come prova e per impedire che arrivino dati a un account eliminato.
• Rapporti di errore: fino a 90 giorni.
• Segnalazioni di risposte: 24 mesi; dopo l'eliminazione dell'account restano senza collegamento all'account.
• Chiave di verifica del dispositivo: 12 mesi dopo l'ultimo uso.
• Statistiche: gli eventi dello Spazio economico europeo non si possono collegare a te; gli altri seguono le impostazioni di conservazione del progetto PostHog.
• Acquisti: i dati di Apple, Google, Samsung e RevenueCat seguono i loro obblighi di conservazione.

Esportare ed eliminare i tuoi dati

• Esportare: nelle Impostazioni puoi esportare il diario e i progressi in un file. Per avere anche i dati del tuo account (email, metodi di accesso, contatori), scrivi a support@cittadella.app.
• Eliminare una voce del diario: la elimini dal dispositivo e, se sincronizzi il diario, anche dalla copia sincronizzata.
• Eliminare i dati dal dispositivo: nelle Impostazioni puoi eliminare tutti i dati di Cittadella da quel dispositivo. Se hai un account, la copia nell'account resta.
• Eliminare l'account: nelle Impostazioni, in fondo, tocca Elimina account. Eliminiamo il tuo account, il diario e gli altri dati sincronizzati, le impostazioni, i metodi di accesso, i contatori del tuo account, gli eventi dell'abbonamento e le sessioni di accesso, e revochiamo l'accesso con Apple se lo usavi. L'app elimina anche i dati su quel dispositivo: se vuoi tenerli, esportali prima. I contatori del dispositivo non sono collegati al tuo account e restano fino alla loro scadenza. Le segnalazioni che hai inviato restano senza il collegamento al tuo account. I backup che contengono l'account scadono entro circa 35 giorni.
• Senza l'app: scrivi a support@cittadella.app dall'indirizzo del tuo account, con oggetto "Elimina il mio account Cittadella". Prima di eliminare verifichiamo che l'account sia tuo. Le istruzioni complete sono su cittadella.app/elimina-account.

Eliminare l'account non disdice Cittadella Pro. Per non pagare più, disdici l'abbonamento nelle impostazioni del tuo account Apple o in Google Play.

I tuoi diritti

Puoi chiedere di accedere ai tuoi dati, correggerli, cancellarli, limitarne il trattamento, riceverli in un formato leggibile da un computer (portabilità), opporti al trattamento e ritirare il consenso in qualsiasi momento. Puoi anche presentare un reclamo al Garante per la protezione dei dati personali (garanteprivacy.it) o all'autorità del paese in cui vivi.

Per esercitare i tuoi diritti usa il portale di Prighter o scrivi a support@cittadella.app. Prima di mostrare o cancellare i dati di un account verifichiamo chi fa la richiesta. Rispondiamo entro un mese.

Cittadella non vende dati personali e non li condivide per pubblicità basata sul comportamento.

Età minima

Cittadella è per chi ha almeno 14 anni, l'età a partire dalla quale in Italia si può dare da soli il consenso ai servizi online (art. 2-quinquies del Codice in materia di protezione dei dati personali, D.Lgs. 196/2003). Se hai meno di 14 anni non usare Cittadella. Se un genitore ci segnala che un minore di 14 anni usa Cittadella, eliminiamo l'account e i dati sul server.

Non è un servizio medico

Cittadella è una pratica di lettura e di riflessione. Non è un servizio medico, psicologico o di emergenza, non fa diagnosi e non sostituisce un professionista. Se sei in pericolo o pensi di farti del male, chiama il 112 o Telefono Amico Italia al 02 2327 2327.

Sicurezza

Cittadella usa connessioni cifrate (TLS), la verifica dell'integrità dell'app, limiti alle richieste e alla spesa, autorizzazioni legate al singolo account, impronte crittografiche per codici e token, la cifratura del token di Apple e delle voci del diario sincronizzate, e la protezione dei file del sistema operativo. Nessuna misura elimina ogni rischio.

Modifiche a questa informativa

Aggiorniamo questa informativa quando cambiano il trattamento, i fornitori o la legge. La data in alto indica la versione in vigore. Se una modifica riguarda il diario o le funzioni di intelligenza artificiale, te lo diciamo nell'app.

Contatti

• Assistenza e privacy: support@cittadella.app
• Richieste sulla protezione dei dati: privacy@geometryapps.com
• Portale per i diritti: app.prighter.com/portal/geometry