Protezione dei dati

Trattiamo i dati personali con parsimonia. Questa dichiarazione dice che cosa viene effettivamente raccolto quando pianifichi una gita, crei un conto e carichi la mappa, e che cosa no.

1. Titolare del trattamento

Responsabile del trattamento dei dati personali ai sensi della legge svizzera sulla protezione dei dati (LPD) è il gestore indicato nelle note legali. Le richieste inviate a info@mofamaps.ch ricevono risposta entro 30 giorni.

2. Alla semplice visita

Il server web registra gli accessi in file di protocollo: indirizzo IP, momento, pagina richiamata, pagina di provenienza, browser e sistema operativo. Ciò serve all'esercizio, alla sicurezza e alla ricerca degli errori. Questi dati non vengono collegati ad altri.

Non ci sono pixel di tracciamento, né reti pubblicitarie, né statistiche di visita di terzi. I caratteri sono forniti dal nostro server; non avviene alcun collegamento a Google Fonts.

L'app per iPhone e Android mostra lo stesso sito. Aggiunge la dicitura «ToeffliRouteApp/1» all'identificazione del browser. Questa identificazione figura come ogni altra nei file di protocollo del server web.

3. Conto

Chi crea un conto indica un indirizzo e-mail e una password. La password non viene mai conservata in chiaro, ma soltanto come impronta Argon2id. Anche i link di conferma e di reimpostazione esistono solo come impronta e scadono in breve tempo.

Nell'app per iPhone l'acquisto è possibile anche senza conto. In tal caso creiamo un conto del dispositivo, senza indirizzo e-mail e senza nome. L'acquisto, i tuoi itinerari e le tue uscite sono collegati a esso. Il dispositivo resta collegato fino a 400 giorni; poi «Ripristina acquisti» ti ricollega con la ricevuta d'acquisto di Apple. Puoi aggiungere e-mail e password in qualsiasi momento in «Il mio conto», a tua scelta. Cancelliamo un conto del dispositivo senza acquisti né itinerari se non è usato per 30 giorni. Conserviamo la chiave d'acquisto per Apple, perché un acquisto pagato arrivi anche più tardi. È un numero casuale senza legame con te.

L'accesso memorizza un identificativo di sessione in un cookie. Serve unicamente a restare collegati e diventa non valido al momento della disconnessione.

Per eliminare il tuo conto: accedi, apri «Il mio conto» e in basso, sotto «Chiudere il conto», tocca «Elimina il conto». Se il conto ha una password, te la chiediamo. Se un abbonamento è ancora attivo, disdicilo prima sotto «Gestisci l'abbonamento». Senza accesso basta un'e-mail a info@mofamaps.ch.

Con il conto spariscono subito e definitivamente: gli itinerari salvati, i link tour (punto 18), i viaggi registrati con le loro pagine pubbliche, le sessioni, il collegamento con Google o Apple, il secondo fattore e le voci di abbonamento presso di noi. Restano le ricevute di pagamento (dieci anni, cifra 10) e i messaggi di contatto fino a dodici mesi dopo la loro evasione, poi senza riferimento al conto.

4. Accesso tramite Google o Apple

Chi accede tramite Google o Apple viene indirizzato alla loro pagina di accesso. Da lì riceviamo un identificativo duraturo e l'indirizzo e-mail, non la password. Con Apple può trattarsi di un indirizzo di inoltro se si sceglie la riservatezza dell'indirizzo; anche così funziona tutto.

Google e Apple vengono così a sapere che avviene un accesso su questo sito. Google Ireland Limited ha sede a Dublino, Apple Distribution International Limited a Cork, entrambe in Irlanda. Chi non lo desidera accede con indirizzo e-mail e password.

Per Google e Apple l'app apre una finestra di accesso del dispositivo. Il nostro server consegna poi all'app un codice che scade dopo 60 secondi o al primo utilizzo. Esiste solo come impronta e serve unicamente a trasferire l'accesso nell'app.

5. Gite pianificate

Un itinerario salvato è composto dai luoghi che hai definito tu stesso, con la scelta del veicolo. Appartiene al tuo conto e non è visibile ad altri, a meno che tu non crei per esso un link tour (punto 18): allora lo vede chiunque abbia il link. Non lo analizziamo e non lo trasmettiamo.

6. Posizione

Solo quattro funzioni richiedono la posizione del dispositivo: il navigatore e la registrazione della gita, quando li avvii, la pagina di navigazione, non appena la apri, e il pulsante «La mia posizione» nel pianificatore, quando lo tocchi. Il navigatore e la registrazione della gita la richiedono di continuo finché sono attivi; la navigazione registra allora anche il percorso, vedi punto 16. La pagina di navigazione la richiede di continuo finché è aperta, affinché la mappa mostri la tua posizione, anche prima della partenza e dopo la fine di un viaggio. Questa richiesta continua mostra la posizione solo sulla mappa e non la invia al nostro server; le immagini della mappa attorno alla tua posizione il tuo browser le carica dai servizi cartografici del punto 7. Se sulla pagina di navigazione scegli una destinazione o carichi un itinerario, la pagina richiede la posizione in più una volta. «La mia posizione» la richiede una sola volta. Al di fuori della pagina di navigazione, della navigazione e della registrazione della gita non c'è alcuna richiesta continua. Ciò che digiti nei campi di ricerca raggiunge il nostro server come termine di ricerca, non come posizione.

Con «La mia posizione» nel pianificatore, la posizione diventa il punto di partenza del tuo itinerario. Sulla pagina di navigazione ciò avviene senza pulsante: se scegli una destinazione, la tua posizione diventa sempre il punto di partenza; se carichi un giro, una gita salvata o l'ultimo itinerario pianificato, solo se questo inizia a più di 500 m da te. Per un giro della raccolta di cui senza accesso completo vedi solo la prima tappa, la pagina di navigazione non richiede la posizione a questo scopo. La posizione così richiesta raggiunge il nostro server, per due vie. Primo, per il nome del luogo: il nostro server interroga a questo scopo il servizio Nominatim della OpenStreetMap Foundation con la posizione, senza il tuo indirizzo IP. La richiesta che il tuo browser invia a questo scopo al nostro server contiene la posizione nell'indirizzo e compare quindi anche nei nostri file di protocollo (punto 2). Sulla pagina di navigazione ciò avviene anche quando un itinerario caricato inizia abbastanza vicino e la posizione quindi non diventa il punto di partenza. Conserviamo il nome trovato per 30 giorni in una memoria intermedia, con una chiave ricavata dalla posizione arrotondata a circa undici metri, senza legame con te o con il tuo conto. Secondo, come punto di passaggio per il calcolo dell'itinerario, quando la posizione è il punto di partenza e l'itinerario ha un secondo punto; il calcolo avviene sul nostro servizio di itinerari (punto 7). Nel browser la posizione resta come parte dell'ultimo itinerario inserito, vedi punto 8.

7. Mappe, itinerari e ricerca di località

Le immagini delle mappe provengono direttamente dai server dell'Ufficio federale di topografia (swisstopo, Wabern BE) e della OpenStreetMap Foundation (Regno Unito). Questi vengono a conoscenza dell'indirizzo IP del tuo dispositivo. Una mappa non può essere caricata diversamente.

Il calcolo dell'itinerario e la ricerca di località passano invece dal nostro server. Il servizio di calcolo gira su una macchina che gestiamo in Svizzera. Per la ricerca di località interroghiamo il servizio Nominatim della OpenStreetMap Foundation, con il termine cercato, ma senza il tuo indirizzo IP.

8. Memoria nel browser

Affinché un itinerario resti leggibile anche senza rete, il sito deposita pagine e porzioni di mappa nella memoria del tuo browser. Questi dati restano sul tuo dispositivo. Le risposte dell'interfaccia non vengono volutamente conservate. Tramite il browser questi dati possono essere cancellati in qualsiasi momento.

Il pianificatore e la navigazione memorizzano inoltre l'ultimo itinerario inserito: tappe con nomi e coordinate, il veicolo scelto e le impostazioni del percorso. Sulla pagina di navigazione la prima di queste tappe è di regola la tua posizione al momento della scelta della destinazione; vi è contrassegnata come posizione. Se ricarichi l'itinerario più tardi e ti trovi a più di 500 m da questo punto, la tua posizione attuale lo sostituisce. Anche questi dati restano sul tuo dispositivo e dopo 30 giorni non vengono più utilizzati.

9. Modulo di contatto

Chi ci scrive tramite il modulo della pagina di aiuto vede il proprio messaggio conservato con l'indirizzo e-mail, il nome facoltativo, la lingua e la pagina di provenienza, per gli utenti collegati anche con il riferimento al conto. Serve unicamente a rispondere.

I messaggi evasi vengono cancellati dodici mesi dopo la chiusura. Chi chiede di essere avvisato all'avvio del pagamento riceverà allora un solo messaggio. Non usiamo l'indirizzo per altro.

10. Pagamento

Si paga tramite il servizio Stripe, e precisamente su una pagina di Stripe: i dati della carta o TWINT restano esclusivamente lì. Non raggiungono mai il nostro server. Stripe riceve da noi il tuo indirizzo e-mail e il numero interno del tuo conto, perché il pagamento possa essere attribuito; noi riceviamo la conferma del pagamento e un identificativo cliente. Chi non acquista nulla non lascia nulla nemmeno presso Stripe.

Destinataria è Stripe Payments Europe Ltd a Dublino (Irlanda); i dati possono giungere a Stripe Inc. negli USA, sulla base dello Swiss-U.S. Data Privacy Framework (art. 16 cpv. 1 LPD). I giustificativi di pagamento sottostanno all'obbligo di conservazione di dieci anni (art. 958f CO) e non sono toccati dalla cancellazione di un conto.

Nell'app per iPhone l'acquisto avviene tramite l'App Store di Apple. Apple gestisce il pagamento; non riceviamo dati di pagamento. Apple ci trasmette una conferma firmata di ogni acquisto con prodotto, data di acquisto, durata e identificativi dell'acquisto presso Apple. Affinché l'acquisto sia attribuito al tuo account, il nostro server consegna all'app prima dell'acquisto un identificativo casuale, che Apple scrive nella conferma; non contiene né il tuo nome né il tuo indirizzo e-mail. In seguito Apple ci segnala rinnovo, disdetta e rimborso. Del pagamento stesso è responsabile Apple (Apple Distribution International Ltd., Cork, Irlanda), secondo la propria informativa sulla protezione dei dati.

Nell'app per Android l'acquisto avviene tramite Google Play. Google gestisce il pagamento; non riceviamo dati di pagamento. Su richiesta Google ci trasmette lo stato di ogni acquisto con prodotto, data di acquisto, durata e identificativo dell'acquisto presso Google. Affinché l'acquisto sia attribuito al tuo account, il nostro server consegna all'app prima dell'acquisto un identificativo casuale, che Google registra nell'acquisto; non contiene né il tuo nome né il tuo indirizzo e-mail. In seguito Google ci segnala rinnovo, disdetta, pausa e rimborso tramite il servizio di notifica Cloud Pub/Sub. Del pagamento stesso è responsabile Google (Google Commerce Limited, Dublino, Irlanda, risp. Google Ireland Limited per i servizi Play), secondo la propria informativa sulla protezione dei dati.

11. Trasmissione

Al di fuori dei soggetti sopra indicati (hosting presso Infomaniak Network SA a Ginevra, servizi cartografici, servizi di accesso) non trasmettiamo alcun dato. Restano riservati gli obblighi di legge nei confronti delle autorità.

12. Per quanto tempo

Il conto con le gite salvate resta finché non lo cancelli. I messaggi di contatto vengono cancellati dodici mesi dopo la chiusura. I protocolli di accesso sono tenuti dall'hoster; le voci più vecchie vi decadono progressivamente e non ne conserviamo copie.

13. I tuoi diritti

Puoi chiedere informazioni sui tuoi dati, farli rettificare o cancellare, opporti al trattamento e chiedere la consegna dei tuoi dati in un formato corrente. L'autorità di vigilanza competente è l'Incaricato federale della protezione dei dati e della trasparenza.

14. Sicurezza e modifiche

La trasmissione è cifrata da un capo all'altro, le password sono conservate solo come impronta e l'accesso alla banca dati è limitato. Contro i tentativi ripetuti li contiamo per indirizzo IP del mittente; questi contatori decadono dopo 24 ore. Se questa dichiarazione cambia, la nuova versione figura qui, con un nuovo stato.

15. Registrazione della gita e pagine pubbliche

La registrazione GPS di una gita avviene sul tuo dispositivo. Conserviamo sul nostro server la linea attenuata dell'itinerario e i dati chiave come durata, distanza e dislivello. La velocità massima è visibile solo a te.

Una pagina pubblica con codice QR viene creata solo su tua esplicita richiesta. Mostra l'itinerario e i valori giornalieri come distanza, durata e dislivello. La zona di partenza e arrivo è troncata per circa 500 m, salvo disattivi questa opzione al momento della condivisione. È una sfocatura approssimativa, non un'anonimizzazione: la direzione del primo tratto resta riconoscibile. Gli accessi vengono conteggiati senza riferimento personale. Puoi ritirare la pagina in qualsiasi momento dal tuo account; d'ora in poi risponde con «410, non più pubblicata».

L'eliminazione dell'account rimuove anche tutte le pagine e i loro dati in modo permanente.

16. Navigazione

Durante la navigazione il dispositivo richiede la tua posizione in continuazione, per mostrare la tua posizione sulla mappa e annunciare le manovre in tempo. Se il tragitto si discosta dall'itinerario previsto o se cambi destinazione durante il viaggio, il dispositivo invia la posizione ATTUALE al nostro servizio di instradamento, per ricalcolare il percorso. Queste posizioni inviate al servizio di instradamento non vengono salvate. Sulla pagina di navigazione la mappa mostra la tua posizione già prima della partenza e di nuovo dopo la fine di un viaggio, vedi punto 6. Gli annunci, il ricalcolo e la registrazione iniziano lì solo con «Via».

Dall'11 settembre 2026 la navigazione registra inoltre il percorso effettuato e lo deposita nel tuo conto all'arrivo, come una registrazione della gita secondo il punto 15. L'impostazione predefinita è ATTIVA. La disattivi nel menu del navigatore; se la disattivi durante il viaggio, anche la registrazione in corso viene scartata e non viene salvato nulla. Non viene mai pubblicato nulla: un indirizzo pubblico nasce solo se condividi una gita espressamente.

17. Link partner verso alloggi

Presso le tappe di un giro di più giorni si trova un link alla ricerca di alloggi su Booking.com. È contrassegnato come pubblicità. Se prenoti tramite quel link riceviamo una provvigione; per te il prezzo non cambia.

Prima del clic non viene caricato nulla da Booking.com o Commission Junction: nessuno script, nessuna immagine, nessuna finestra incorporata. Finché non tocchi il link, questi servizi non sanno nulla della tua visita.

Se lo tocchi, il percorso passa da Commission Junction (Commission Junction LLC, Stati Uniti) a Booking.com (Booking.com B.V., Paesi Bassi). Vengono trasmessi a questi servizi l'indirizzo IP, i dati del browser e la pagina di provenienza; Commission Junction imposta un identificativo di clic per attribuire la provvigione. Valgono le loro informative sulla privacy.

Non riceviamo indietro alcun dato personale, ma solo rapporti aggregati su clic e provvigioni.

18. Link tour per i partecipanti

Un conto con accesso completo può creare, per una gita salvata propria, un link che permette ad altri di navigarla senza un conto, ad esempio i partecipanti di una gita di gruppo. Il link vale dalla creazione fino al settimo giorno dopo il giorno di gita scelto incluso; puoi revocarlo in qualsiasi momento. Un conto tiene al massimo venti link validi contemporaneamente. Vengono conservati: l'identificativo del link, la gita, il tuo conto, il giorno di gita, la scadenza, un'eventuale revoca, il numero di aperture e il momento della creazione. Un link scaduto o revocato resta in questo elenco finché non elimini la gita o il tuo conto.

Chi apre il link non ha bisogno di un proprio conto. Il browser riceve per questo un cookie di sessione tecnico (__Host-tr_gast), firmato e con il numero interno del link, la gita e la scadenza al suo interno; scade con il link. Sblocca esclusivamente la navigazione di questa unica gita. Non viene creato né un conto né un indirizzo e-mail. Come per ogni visita, contiamo l'indirizzo IP del mittente contro gli abusi (punto 14, fino a 24 ore), e compare, come per ogni accesso, nel file di protocollo del server (punto 2). In più aumenta il numero di aperture del link. Senza conto non c'è nemmeno la registrazione della gita secondo il punto 15 o 16.

Per la posizione durante la navigazione vale lo stesso dei punti 6 e 16: se il tragitto si discosta dall'itinerario, il dispositivo invia la posizione attuale al nostro servizio di instradamento per ricalcolare; queste posizioni non vengono salvate. Le richieste tramite un link tour sono inoltre limitate, per link e indirizzo IP del mittente e in totale per link. A tale scopo contiamo l'indirizzo IP insieme al numero interno del link (punto 14, fino a 24 ore). Come per ogni calcolo di itinerario, conta anche l'indirizzo IP da solo.

La pagina del link mostra a chiunque lo conosca il nome della gita, le sue tappe con nomi e coordinate, il veicolo scelto e, se indicato nel conto, il nome dell'organizzatore. La prima tappa è spesso il luogo di partenza dell'organizzatore stesso. I motori di ricerca non devono indicizzarla (noindex); proseguendo con un clic, il browser non trasmette l'indirizzo (no-referrer).

Alla creazione puoi indicare in più, se vuoi: un punto d'incontro, l'ora di partenza, una nota per i partecipanti e le tappe in cui finisce un giorno. Queste indicazioni vengono conservate con il link. Se la gita dura più giorni, il link vale fino al settimo giorno dopo l'ultimo giorno di gita incluso.

Se hai fatto tali indicazioni, la pagina del link le mostra anche a chiunque conosca il link: giorno di gita, punto d'incontro, ora di partenza, nota e suddivisione in giorni. Scrivi nella nota solo ciò che possono leggere tutti quelli che ricevono il link.

Se il link viene condiviso in una messaggistica, questa recupera un'anteprima: nome della gita, giorno di gita, punto d'incontro, ora di partenza, chilometri e un'immagine della mappa del percorso con codice QR. Calcoliamo l'immagine al primo accesso e la conserviamo in una memoria temporanea; le immagini vecchie vengono eliminate regolarmente. Un link revocato o scaduto non la fornisce più; un'anteprima già mostrata in una messaggistica vi resta. Gli accessi di questi servizi di anteprima non contano come apertura del link.

Se elimini il tuo conto o la gita corrispondente, spariscono anche tutti i link tour collegati.

Stato: 19 settembre 2026