Privacy Policy

Last updated: July 27, 2026

Introduction

This Privacy Policy (hereinafter "Policy") describes how personal data of users (hereinafter "User" or "You") are collected, used, processed and protected in connection with the use of the Receipt+ mobile application (hereinafter "Application").

Data Controller:
Alain S. M. Lima
Registered Office: Palermo, Italy
Email: info@aldeveloping.it

The Controller has not appointed a Data Protection Officer (DPO), as the conditions under Article 37 of Regulation (EU) 2016/679 (GDPR) do not apply. For any matters relating to the processing of personal data, the User may contact the Controller at the email address above.

This Policy is provided pursuant to Article 13 of Regulation (EU) 2016/679 (hereinafter "GDPR"), and, where applicable, Italian Legislative Decree 196/2003 (Personal Data Protection Code) and the California Consumer Privacy Act (CCPA) for residents of California, USA.

1. Personal Data Collected

1.1 Data voluntarily provided by the User

Authentication (only if the User chooses to create an account):

Name and email address — collected exclusively through the authentication provider chosen by the User (Sign in with Apple or Google Sign-In).
Unique profile identifier (User ID) generated by the authentication provider.

The Controller does NOT collect the User's password: authentication is managed entirely by the third-party provider (Apple or Google).

Receipt Content:

Images of receipts, invoices and documents captured through the device camera or imported from the photo library.
Text and data extracted from receipts through OCR, which may include: merchant name, address, VAT number, date, amounts, payment methods, receipt numbers, product categories and purchased item details.
This data may contain personal information of third parties (e.g., names, addresses) appearing on the receipts.

1.2 Automatically collected data

Analytics and diagnostic data (Firebase Analytics + Firebase Crashlytics):

Anonymous installation identifier (App Instance ID) — this is NOT the Apple IDFA advertising identifier.
Application interactions (screens visited, features used, session duration).
Device type, model, operating system version.
Application crash and error reports (Crashlytics).
Approximate geographic region (country-level, not precise location data).

The Controller does NOT collect:

Credit card numbers or payment data (managed exclusively by Apple through StoreKit);
Advertising identifier (IDFA/AAID);
Web browsing or other app activity data;
Biometric data (including Face ID data — processed locally by iOS, not transmitted to the Controller).

1.3 System permissions requested

The Application may request the following permissions; each is optional and may be revoked by the User at any time through device settings:

Permission	Purpose	Mandatory?
Camera	Capturing receipts through scanning	NO (alternative: import from library)
Photo Library	Importing saved receipt images	NO
Push Notifications	Warranty expiration reminders	NO
Location	Receipt geolocation (future feature)	NO
Face ID / Touch ID	Application security lock (future feature)	NO

2. Purposes of Processing and Legal Basis

2.1 Processing Purposes

A. Service Provision (legal basis: Performance of a contract — Art. 6(1)(b) GDPR)

Providing the Application's features (scanning, OCR, storage, organization, dashboard, export);
Managing authentication and cloud synchronization (if activated by the User);
Providing technical support and assistance.

B. Compliance with Legal Obligations (legal basis: Legal obligation — Art. 6(1)(c) GDPR)

Compliance with accounting, tax and regulatory obligations;
Responding to legitimate requests from competent authorities.

C. Legitimate Interest (legal basis: Legitimate interest — Art. 6(1)(f) GDPR)

Improving the Application and user experience;
Preventing fraud and abuse;
System security.

D. Consent (legal basis: Consent — Art. 6(1)(a) GDPR)

Activation of specific device permissions (camera, notifications, etc.);
Collection of analytics data (where required);
International transfer of data to countries outside the EEA (USA).

2.2 International Data Transfer

User data may be transferred to countries outside the European Economic Area (EEA), in particular to the United States of America (Firebase servers located in us-east1).

The transfer is based on the Standard Contractual Clauses (SCC) adopted by the European Commission, incorporated into Google Firebase's Data Processing Agreement (DPA), which the Controller has accepted. A copy of the SCC is available upon request.

For residents of California (USA), the protections of the California Consumer Privacy Act (CCPA) also apply.

3. Third-Party Services and Data Sharing

3.1 Data Processors

Service	Provider	Data Processed	Data Location
Firebase (Auth, Firestore, Storage, Analytics, Crashlytics)	Google LLC	User identifiers, receipt content, analytics data, crash reports	USA (us-east1)
RevenueCat	RevenueCat, Inc.	Subscription status, anonymous purchase identifier	USA
OpenAI API	OpenAI, LLC	Receipt text for AI structuring	USA (feature currently inactive — will require separate consent)
Google Sign-In	Google LLC	Name, email, authentication token	USA
Sign in with Apple	Apple Inc.	Name, email, authentication token	USA

3.2 Separate Data Controllers

Some services integrated into the Application act as separate data controllers:

Apple Inc. — for in-app payments (StoreKit) and Sign in with Apple;
Google LLC — for Google Sign-In and Firebase Analytics.

For these services, Users are invited to consult the respective privacy policies:

Apple: https://www.apple.com/legal/privacy/
Google: https://policies.google.com/privacy
RevenueCat: https://www.revenuecat.com/privacy

3.3 No Sale of Personal Data

The Controller does NOT sell, NOT trade and NOT commercialize Users' personal data to third parties. The Application is not a service based on monetizing user data. This includes compliance with the CCPA's "right to opt-out of sale of personal information" for California users.

4. Data Retention Period

Data Category	Retention Period
Account data (if account created)	Until account deletion by the User
Receipt content and processed data	Until deletion by the User or App uninstallation
Analytics data (Firebase)	Up to 13 months (Firebase default setting)
Crash reports (Crashlytics)	Up to 90 days
Payment data	Not retained by the Controller (handled by Apple/Google)

5. User Rights (GDPR)

Pursuant to Articles 15-22 of the GDPR, the User has the following rights:

5.1 Right of Access (Art. 15)

The User has the right to obtain confirmation as to whether or not personal data concerning them are being processed, and, where that is the case, to access the personal data.

5.2 Right to Rectification (Art. 16)

The User has the right to obtain the rectification of inaccurate personal data concerning them without undue delay.

5.3 Right to Erasure ("Right to be Forgotten") (Art. 17)

The User has the right to obtain the erasure of personal data concerning them without undue delay where the grounds of the GDPR apply.

5.4 Right to Restriction of Processing (Art. 18)

The User has the right to obtain restriction of processing where the grounds of the GDPR apply.

5.5 Right to Data Portability (Art. 20)

The User has the right to receive the personal data concerning them, which they have provided to the Controller, in a structured, commonly used and machine-readable format, and the right to transmit those data to another controller without hindrance.

5.6 Right to Object (Art. 21)

The User has the right to object at any time, on grounds relating to their particular situation, to processing of personal data concerning them which is based on legitimate interest.

5.7 Right to Withdraw Consent (Art. 7)

The User has the right to withdraw their consent at any time, without affecting the lawfulness of processing based on consent before its withdrawal.

5.8 Right to Lodge a Complaint (Art. 77)

The User has the right to lodge a complaint with the Italian Data Protection Authority (Garante per la Protezione dei Dati Personali — https://www.garanteprivacy.it) or the supervisory authority of the EU Member State where they habitually reside, work or where the alleged infringement occurred.

5.9 How to Exercise Rights

To exercise their rights, the User may contact the Controller at any time at: info@aldeveloping.it. The Controller will respond to the request within 30 days, extendable by a further 60 days for particularly complex requests, informing the User of such extension within 30 days of receiving the request.

6. California User Rights (CCPA)

For residents of California, USA, the California Consumer Privacy Act (CCPA) grants the following additional rights:

6.1 Right to Know

The right to request disclosure of the categories and specific pieces of personal data collected, the sources, the purpose and the third parties with whom data is shared.

6.2 Right to Delete

The right to request deletion of collected personal data, subject to certain exceptions.

6.3 Right to Non-Discrimination

The right not to receive discriminatory treatment for exercising CCPA rights.

6.4 No Sale of Data

The Controller does NOT sell personal data of any User, including California users. A "Do Not Sell My Personal Information" link is therefore not required.

To exercise CCPA rights, contact info@aldeveloping.it.

7. Security Measures

The Controller adopts appropriate technical and organizational security measures to protect personal data from unauthorized access, destruction, loss, alteration or disclosure. These include:

Encryption in transit: all communications between the Application and servers occur over TLS/HTTPS.
Encryption at rest: data saved on the User's device benefits from iOS Data Protection (NSFileProtection). Data on Firebase is encrypted at rest through Google-managed AES-256 encryption.
Secure authentication: access to cloud data is protected by authentication through trusted providers (Sign in with Apple, Google Sign-In).
Data minimization: the Controller collects only data strictly necessary for the stated purposes.

8. Children's Data

The Application is not specifically directed to children under the age of 13 (or 16 for residents of certain EU Member States). The Controller does not knowingly collect personal data of minors without parental or guardian consent. If a User is a parent or guardian and believes that a minor has provided personal data to the Controller, please contact info@aldeveloping.it to request deletion of such data.

The Application does not implement an age verification mechanism.

9. Policy Updates

This Policy may be subject to periodic updates. The Controller will inform Users of material changes through the Application or other appropriate channels. The date of the last update is indicated at the top of the document.

10. Contact

For any questions, requests or exercise of rights relating to this Privacy Policy, the User may contact:

Data Controller:
Alain S. M. Lima
Email: info@aldeveloping.it
Registered Office: Palermo, Italy

For in-app purchase and subscription management: Apple App Store support
For Firebase account management: Google Privacy Policy

Informativa sulla Privacy

Ultimo aggiornamento: 27 luglio 2026

Premessa

La presente Informativa sulla Privacy (di seguito "Informativa") descrive le modalità con cui vengono raccolti, utilizzati, trattati e protetti i dati personali degli utenti (di seguito "Utente" o "Lei") in relazione all'utilizzo dell'applicazione mobile Receipt+ (di seguito "Applicazione").

Titolare del Trattamento:
Alain S. M. Lima
Sede: Palermo, Italia
Email: info@aldeveloping.it

Il Titolare non ha nominato un Data Protection Officer (DPO), in quanto non ricorrono i presupposti di cui all'Art. 37 del Regolamento (UE) 2016/679 (GDPR). Per qualsiasi questione relativa al trattamento dei dati personali, l'Utente può contattare il Titolare all'indirizzo email sopra indicato.

La presente Informativa è resa ai sensi dell'Art. 13 del Regolamento (UE) 2016/679 (di seguito "GDPR") e, per quanto applicabile, del D.Lgs. 196/2003 (Codice in materia di protezione dei dati personali) e del California Consumer Privacy Act (CCPA) per gli utenti residenti in California, USA.

1. Dati Personali Raccolti

1.1 Dati forniti volontariamente dall'Utente

Autenticazione (solo se l'Utente sceglie di creare un account):

Nome e indirizzo email — raccolti esclusivamente tramite il provider di autenticazione scelto dall'Utente (Sign in with Apple o Google Sign-In).
Identificativo univoco del profilo (User ID) generato dal provider di autenticazione.

Il Titolare NON raccoglie la password dell'Utente: l'autenticazione è gestita interamente dal provider terzo (Apple o Google).

Contenuto delle ricevute:

Immagini di ricevute, scontrini e documenti acquisiti tramite la fotocamera del dispositivo o importati dalla libreria fotografica.
Testo e dati estratti dalle ricevute tramite OCR, che possono includere: nome dell'esercente, indirizzo, Partita IVA, data, importi, metodi di pagamento, numeri di scontrino, categorie merceologiche e dettagli dei prodotti acquistati.
Questi dati possono contenere informazioni personali di terze parti (es. nomi, indirizzi) presenti sulle ricevute.

1.2 Dati raccolti automaticamente

Dati di analytics e diagnostica (Firebase Analytics + Firebase Crashlytics):

Identificatore anonimo dell'installazione (App Instance ID) — non è l'IDFA pubblicitario Apple.
Interazioni con l'Applicazione (schermate visitate, funzionalità utilizzate, durata delle sessioni).
Tipo di dispositivo, modello, versione del sistema operativo.
Report di crash e errori dell'Applicazione (Crashlytics).
Regione geografica approssimativa (a livello di paese, non dati precisi di localizzazione).

Il Titolare NON raccoglie:

Numeri di carte di credito o dati di pagamento (gestiti esclusivamente da Apple tramite StoreKit);
Identificatore pubblicitario (IDFA/AAID);
Dati di navigazione su siti web o altre app;
Dati biometrici (inclusi dati Face ID — elaborati localmente da iOS, non trasmessi al Titolare).

1.3 Permessi di sistema richiesti

L'Applicazione può richiedere i seguenti permessi; ciascuno è opzionale e può essere revocato dall'Utente in qualsiasi momento dalle impostazioni del dispositivo:

Permesso	Finalità	Obbligatorio?
Fotocamera	Acquisizione di ricevute tramite scansione	NO (alternativa: import da libreria)
Libreria foto	Importazione di immagini di ricevute salvate	NO
Notifiche push	Promemoria per scadenze garanzie	NO
Posizione	Geolocalizzazione delle ricevute (funzionalità futura)	NO
Face ID / Touch ID	Blocco di sicurezza dell'Applicazione (funzionalità futura)	NO

2. Finalità del Trattamento e Base Giuridica

2.1 Finalità del trattamento

A. Erogazione del servizio (base giuridica: Esecuzione di un contratto — Art. 6(1)(b) GDPR)

Fornire le funzionalità dell'Applicazione (scansione, OCR, archiviazione, organizzazione, dashboard, esportazione);
Gestire l'autenticazione e la sincronizzazione cloud (se attivata dall'Utente);
Fornire supporto tecnico e assistenza.

B. Adempimento di obblighi legali (base giuridica: Obbligo legale — Art. 6(1)(c) GDPR)

Adempimento di obblighi contabili, fiscali e normativi;
Risposta a richieste legittime delle autorità competenti.

C. Interesse legittimo (base giuridica: Interesse legittimo — Art. 6(1)(f) GDPR)

Miglioramento dell'Applicazione e dell'esperienza utente;
Prevenzione di frodi e abusi;
Sicurezza dei sistemi.

D. Consenso (base giuridica: Consenso — Art. 6(1)(a) GDPR)

Attivazione di permessi specifici del dispositivo (fotocamera, notifiche, ecc.);
Raccolta di dati di analytics (dove richiesto);
Trasferimento internazionale dei dati verso paesi extra-UE (USA).

2.2 Trasferimento internazionale dei dati

I dati dell'Utente possono essere trasferiti verso paesi al di fuori dello Spazio Economico Europeo (SEE), in particolare verso gli Stati Uniti d'America (server Firebase ubicati in us-east1).

Il trasferimento si basa sulle Clausole Contrattuali Standard (SCC) adottate dalla Commissione Europea, integrate nel Data Processing Agreement (DPA) di Google Firebase, che il Titolare ha accettato. Copia delle SCC è disponibile su richiesta.

Per gli utenti residenti in California (USA), si applicano anche le tutele del California Consumer Privacy Act (CCPA).

3. Servizi Terzi e Condivisione dei Dati

3.1 Responsabili del trattamento

Servizio	Fornitore	Dati trattati	Sede dati
Firebase (Auth, Firestore, Storage, Analytics, Crashlytics)	Google LLC	Identificativi utente, contenuto ricevute, dati di analytics, crash report	USA (us-east1)
RevenueCat	RevenueCat, Inc.	Stato abbonamento, identificativo anonimo di acquisto	USA
OpenAI API	OpenAI, LLC	Testo delle ricevute per strutturazione AI	USA (funzionalità attualmente non attiva — richiederà consenso separato)
Google Sign-In	Google LLC	Nome, email, token di autenticazione	USA
Sign in with Apple	Apple Inc.	Nome, email, token di autenticazione	USA

3.2 Titolari autonomi del trattamento

Alcuni servizi integrati nell'Applicazione agiscono come titolari autonomi del trattamento (separate data controller):

Apple Inc. — per i pagamenti in-app (StoreKit) e Sign in with Apple;
Google LLC — per Google Sign-In e Firebase Analytics.

Per tali servizi, si invitano gli Utenti a consultare le rispettive informative privacy:

Apple: https://www.apple.com/legal/privacy/
Google: https://policies.google.com/privacy
RevenueCat: https://www.revenuecat.com/privacy

3.3 Nessuna vendita di dati personali

Il Titolare NON vende, NON cede e NON commercializza i dati personali degli Utenti a terzi. L'Applicazione non è un servizio che si basa sulla monetizzazione dei dati degli utenti. Questo include, per gli utenti californiani, la conformità al CCPA in materia di "right to opt-out of sale of personal information".

4. Periodo di Conservazione dei Dati

Categoria di dati	Periodo di conservazione
Dati di account (se account creato)	Fino alla cancellazione dell'account da parte dell'Utente
Contenuto ricevute e dati elaborati	Fino alla cancellazione da parte dell'Utente o disinstallazione dell'App
Dati di analytics (Firebase)	Fino a 13 mesi (impostazione predefinita Firebase)
Report di crash (Crashlytics)	Fino a 90 giorni
Dati di pagamento	Non conservati dal Titolare (gestiti da Apple/Google)

5. Diritti dell'Utente (GDPR)

Ai sensi degli Articoli 15-22 del GDPR, l'Utente ha i seguenti diritti:

5.1 Diritto di accesso (Art. 15)

L'Utente ha il diritto di ottenere la conferma che sia in corso o meno un trattamento di dati personali che lo riguardano e, in tal caso, di ricevere una copia dei dati personali oggetto del trattamento.

5.2 Diritto di rettifica (Art. 16)

L'Utente ha il diritto di ottenere la rettifica dei dati personali inesatti che lo riguardano senza ingiustificato ritardo.

5.3 Diritto alla cancellazione ("diritto all'oblio") (Art. 17)

L'Utente ha il diritto di ottenere la cancellazione dei dati personali che lo riguardano, senza ingiustificato ritardo, nei casi previsti dal GDPR.

5.4 Diritto di limitazione del trattamento (Art. 18)

L'Utente ha il diritto di ottenere la limitazione del trattamento nei casi previsti dal GDPR.

5.5 Diritto alla portabilità dei dati (Art. 20)

L'Utente ha il diritto di ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali che lo riguardano forniti al Titolare, e ha il diritto di trasmettere tali dati a un altro titolare senza impedimenti.

5.6 Diritto di opposizione (Art. 21)

L'Utente ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, al trattamento dei dati personali che lo riguardano basato sull'interesse legittimo.

5.7 Diritto di revoca del consenso (Art. 7)

L'Utente ha il diritto di revocare il proprio consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento basata sul consenso prima della revoca.

5.8 Diritto di proporre reclamo all'autorità di controllo (Art. 77)

L'Utente ha il diritto di proporre reclamo al Garante per la Protezione dei Dati Personali (https://www.garanteprivacy.it) o all'autorità di controllo dello Stato membro dell'UE in cui risiede abitualmente, lavora o del luogo in cui si è verificata la presunta violazione.

5.9 Come esercitare i diritti

Per esercitare i propri diritti, l'Utente può contattare il Titolare in qualsiasi momento all'indirizzo email: info@aldeveloping.it. Il Titolare risponderà alla richiesta entro 30 giorni, prorogabili di ulteriori 60 giorni per richieste particolarmente complesse, informando l'Utente di tale proroga entro 30 giorni dal ricevimento della richiesta.

6. Diritti degli Utenti Californiani (CCPA)

Per gli utenti residenti in California, USA, il California Consumer Privacy Act (CCPA) riconosce i seguenti diritti aggiuntivi:

6.1 Diritto di conoscere

Diritto di richiedere la divulgazione delle categorie e dei dati specifici raccolti, delle fonti, della finalità e dei terzi con cui i dati sono condivisi.

6.2 Diritto di cancellazione

Diritto di richiedere la cancellazione dei dati personali raccolti, soggetto a determinate eccezioni.

6.3 Diritto di non discriminazione

Diritto a non ricevere trattamenti discriminatori per l'esercizio dei diritti previsti dal CCPA.

6.4 Nessuna vendita di dati

Il Titolare NON vende dati personali di alcun Utente, inclusi gli utenti californiani. Non è pertanto necessario un link "Do Not Sell My Personal Information".

Per esercitare i diritti CCPA, contattare info@aldeveloping.it.

7. Misure di Sicurezza

Il Titolare adotta misure di sicurezza tecniche e organizzative adeguate per proteggere i dati personali dell'Utente da accessi non autorizzati, distruzione, perdita, alterazione o divulgazione. Tra queste:

Crittografia in transito: tutte le comunicazioni tra l'Applicazione e i server avvengono tramite protocollo TLS/HTTPS.
Crittografia a riposo: i dati salvati sul dispositivo dell'Utente beneficiano della protezione dati di iOS (iOS Data Protection). I dati su Firebase sono crittografati a riposo tramite crittografia Google-managed AES-256.
Autenticazione sicura: l'accesso ai dati cloud è protetto da autenticazione tramite provider fidati (Sign in with Apple, Google Sign-In).
Minimizzazione dei dati: il Titolare raccoglie solo i dati strettamente necessari alle finalità dichiarate.

8. Dati dei Minori

L'Applicazione non è specificamente destinata a minori di età inferiore a 13 anni (o 16 anni, per i residenti in alcuni Stati membri dell'UE). Il Titolare non raccoglie consapevolmente dati personali di minori senza il consenso dei genitori o tutori. Se l'Utente è un genitore o tutore e ritiene che un minore abbia fornito dati personali al Titolare, è pregato di contattare info@aldeveloping.it per richiedere la cancellazione di tali dati.

L'Applicazione non richiede né implementa un meccanismo di verifica dell'età.

9. Aggiornamenti dell'Informativa

La presente Informativa può essere soggetta ad aggiornamenti periodici. Il Titolare informerà l'Utente di eventuali modifiche sostanziali tramite l'Applicazione o altri canali appropriati. La data dell'ultimo aggiornamento è indicata all'inizio del documento.

10. Contatti

Per qualsiasi domanda, richiesta o esercizio dei diritti relativi alla presente Informativa sulla Privacy, l'Utente può contattare:

Titolare del Trattamento:
Alain S. M. Lima
Email: info@aldeveloping.it
Sede: Palermo, Italia

Per la gestione degli acquisti in-app e abbonamenti: supporto Apple App Store
Per la gestione dell'account Firebase: Google Privacy Policy