Cosa so di te, e cosa ne faccio

HESTIA tiene la dispensa, il frigo e i medicinali di casa tua. Sono cose che dicono parecchio di te, quindi vale la pena scrivere per intero cosa finisce dove.

Chi tratta i dati

GIADA. Per qualsiasi cosa — una domanda, una copia dei tuoi dati, la cancellazione — scrivi a privacy@giadalabs.com.

Cosa raccolgo

• Il tuo accesso: l'indirizzo email, il nome che scegli, e la password (che non conservo in chiaro). Se entri con Google o con Apple, l'indirizzo me lo dà il fornitore — e Apple può darmi un indirizzo mascherato che gira la posta al tuo vero.
• Quel che metti in casa: i prodotti, le quantità, le scadenze, i contenitori, la lista della spesa. E chi in casa ha fatto cosa, perché una dispensa condivisa deve poterlo dire.
• I medicinali, se decidi di metterli. Sono dati sulla salute— categoria particolare, articolo 9 del GDPR — e per questo te li chiedo con una spunta a parte, al primo medicinale, non alla registrazione. Se dici di no, la dispensa funziona lo stesso e l'armadietto non c'è.
• Le bottiglie, se apri la cantina. Vino, birra, amari e distillati sono roba di casa come la passata: un inventario, non un profilo. Non conto quanto bevi e non ci sono badge, serie o traguardi — è la riga che tiene la cantina fuori dalla categoria dei dati sulla salute. La cantina è un mobile privato: la vedi solo tu, anche se in casa siete in quattro, e finché non la apri la parola «vino» non compare da nessuna parte. Quel che HESTIA sa dire di una bottiglia — la denominazione, i vitigni — viene dal registro pubblico dell'Unione europea, non da te. E non c'è nessun collegamento con l'armadietto dei medicinali: una riga fissa ricorda che l'alcol non va d'accordo con molti farmaci, e non guarda i tuoi.
• I buoni sconto e le tessere fedeltà che decidi di tenere qui: il numero del codice, il negozio e — sui buoni — la scadenza. Niente altro: non so cosa compri con quella tessera, non lo chiedo al negozio e non ho nessun modo di saperlo. Un numero di tessera è un dato personale come il tuo indirizzo, non un dato sulla salute; quel che lo farebbe diventare qualcosa di più sarebbe lo storico degli acquisti, e qui dentro non entra.
• Le foto che scatti a uno scontrino o a una confezione, per il tempo di leggerle. Non le conservo.
• L'indirizzo di casa, se decidi di scriverlo: serve solo a trovare i supermercati vicini per le offerte, e senza quella parte resta vuota. Lo vede chi abita con te, lo cambia chi è titolare della casa. Ne tengo anche il punto sulla mappa che ne ricavo.
• Le email che ti mando: a quale indirizzo, di che tipo (verifica, invito, promemoria…) e se sono partite. Le tengo novanta giorni, per capire perché una non è arrivata. Mai il contenuto.

Cosa esce da qui, e verso chi

Sei fornitori, e nient'altro. Nessuno di loro riceve i tuoi dati per farci pubblicità, e a nessuno li vendo.

• Google (Places), mentre scrivi l'indirizzo di casa: escono le lettere che stai scrivendo, tornano i suggerimenti; quando ne scegli uno, torna anche il punto sulla mappa. Niente altro di tuo, e niente se non tocchi quel campo.
• OpenStreetMap (Nominatim), una volta, quando salvi o cambi l'indirizzo di casa senza scegliere un suggerimento: esce l'indirizzo, torna il punto sulla mappa. Niente di periodico e niente altro di tuo.
• OpenRouter, quando fotografi uno scontrino o una confezione o chiedi cosa cucinare. Escono la foto e i nomi dei prodotti in scadenza. I medicinali no: sono tenuti fuori apposta. Quel che torna è un suggerimento di una macchina, e nell'app è segnato come tale — controllalo prima di fidartene.
• TikTok, solo se incolli l'indirizzo di un video per farne una ricetta: esce quell'indirizzoe torna la didascalia che l'autore ci ha scritto sotto. Niente di tuo, e niente se non incolli quel link.
• Resend, per mandarti le email: la verifica dell'indirizzo, gli inviti, i promemoria del mattino.
• Railway, dove l'app e il database stanno accesi.

Per quanto tempo

Finché usi HESTIA. Per ora non c'è una cancellazione automatica per inattività: il conto resta finché non lo cancelli tu. Il giorno che la metterò, te lo dirò prima.

Se te ne vai tu, hai trenta giorni per ripensarci. Passati quelli la cancellazione è vera, e per tornare ti registri di nuovo — anche con lo stesso indirizzo.

Ogni notte faccio una copia di sicurezza del database, tenuta sei giorni; una copia settimanale resta un mese. Dentro una copia non si opera: quello che cancelli sparisce subito dal vivo, e dalle copie entro un mese, quando scadono da sole.

Chi può vedere le tue cose

Chi abita nelle tue stesse case, e basta: è il senso di una dispensa condivisa. Poi c'è chi amministra HESTIA — oggi una persona, con un indirizzo scritto a mano nella configurazione — e vale la pena dire per esteso cosa vede.

Senza aprire nientevede l'anagrafica del tuo conto: nome, foto, indirizzo email, se l'hai confermato, se entri con Google o con una password, il giornoin cui hai usato HESTIA l'ultima volta (il giorno, non l'ora né da dove), in quali case abiti e con chi, gli inviti che hai mandato e ricevuto, in quali liste hai aperto da un link e con che permesso (non come si chiama la lista, e non cosa c'è scritto dentro), quante scatole e quante cose ci sono nelle tue case e il giorno dell'ultimo movimento — un numero, non un nome — se hai un telefono con le notifiche accese e quante sessioni tieni aperte, quali email ti ho mandato negli ultimi novanta giorni e se sono partite, e se hai chiesto di cancellare il conto. Serve a rispondere quando scrivi che qualcosa non funziona, e a niente altro.

Per guardare dentrouna casa — i contenitori, cosa c'è, quanto, con che scadenza — deve aprire una sessione scrivendo il motivo, che dura mezz'ora e non si prolunga; vede quello che vedi tu, e non può cambiare niente. I medicinali in quella vista sono coperti: compare «un medicinale» con quantità e scadenza, e per leggerne il nome serve un gesto in più, che resta scritto a parte.

Non vede maila tua password, i link di conferma e d'invito, da quale rete o telefono entri, l'indirizzo di casa, le voci delle liste, le tessere, le ricette. Ogni volta che guarda resta scritto per due anni — chi, cosa, quando e perché, mai cosa ha visto — e puoi chiedermi l'estratto di quel che riguarda il tuo conto scrivendo a privacy@giadalabs.com.

Le liste condivise con un link

Una lista della spesa la puoi condividere con un link, anche con chi non abita con te. Chi lo apre vede il nome della lista, le voci con la quantità e chi le ha prese; se glielo permetti, aggiunge le sue. Non vede la casa, chi ci abita, la dispensa, i medicinali, le carte, le ricette, l’indirizzo né le altre liste. Il link vale trenta giorni e lo puoi revocare quando vuoi; chi è entrato lo puoi togliere dalla lista.

Le voci sono testo libero: il nome di un farmaco scritto in una lista condivisa lo leggono tutti quelli che hanno la lista.

Chi entra dal link senza un accesso a HESTIA scrive solo come si chiama: ha un accesso legato a quel telefono e a quel browser, senza indirizzo email, con cui vede e spunta quella lista e nient’altro. Se poi crea un accesso vero, o entra con uno che ha già, quello col solo nome viene cancellato e le voci che aveva scritto restano senza firma: la lista la riapre dal link, con il suo nome.

Chi amministra HESTIA vede che hai accesso a una lista e con che permesso; né il nome della lista né le voci.

Cosa puoi chiedermi

Tre cose le fai da solo, da Opzioni, senza chiedere niente a nessuno: cambiare il tuo indirizzo, scaricare una copia di tutto quello che so di te, e cancellare l'account. Una quarta la chiedi a me: l'elenco delle volte in cui chi amministra ha guardato qualcosa di tuo, con giorno, ora e motivo. La cancellazione ha 30 giornidi ripensamento: in quei giorni i tuoi dati ci sono ancora e smetto di scriverti, dal trentesimo non ci sono più. Se in una casa condivisa sei l'unica persona che la possiede te lo dico subito, non dopo un mese.

Quel che resta della tua roba in una casa divisa con altri è la storia della dispensa — che una certa cosa è entrata e quando — perché è la giacenza di chi ci abita ancora: quella resta, ma senza il tuo nome attaccato. Per tutto il resto — di correggere qualcosa, di sapere cosa ho fatto finora — scrivi a privacy@giadalabs.com: ti rispondo entro un mese, che è il tempo che dà l'articolo 12. E se pensi che stia sbagliando, puoi rivolgerti al Garante per la protezione dei dati personali.

I biscotti

Uno per tenerti dentro dopo l'accesso, uno per ricordare quale casa stai guardando, uno per il tema chiaro o scuro. Servono a far funzionare l'app e non a seguirti: non c'è nessuna misurazione, nessuna pubblicità, nessuno che guarda da fuori. Il giorno del tuo ultimo accesso lo vede chi amministra, per l'assistenza — non per sapere quanto usi l'app.

Cosa è cambiato in questa versione

Chi amministra vede più anagrafica (il giorno dell'ultimo uso, come entri, in quali liste sei, quante cose nelle tue case, la posta mandata per novanta giorni) e, con motivo e per mezz'ora, il contenuto dei contenitori con i medicinali coperti. La posta che ti mando è un dato raccolto, per novanta giorni. La potatura del registro a due anni è eseguita davvero. La promessa dei diciotto mesi non c'era e non c'è più. Te l'ho scritto il giorno prima, come promesso.

Versione del 2026-09-20. Se cambia qualcosa che ti riguarda, te lo dico prima.