{% if tlp_banner %}{{ tlp_banner }}

{% endif %}Oggetto: Esercizio diritti GDPR — {{ app_name }} ({{ package_name }}) — Audit tecnico indipendente

Spettabile {{ publisher }},
All'attenzione del Responsabile della Protezione dei Dati

Con la presente, in qualità di utente dell'applicazione {{ app_name }} (pacchetto: {{ package_name }}, versione: {{ version }}), esercito i diritti riconosciutimi dal Regolamento (UE) 2016/679 (GDPR) e segnalo le seguenti criticità rilevate tramite audit tecnico indipendente condotto in data {{ date }}.

1. TRACKER E SDK DI TERZE PARTI — art. 5(1)(a), 13 GDPR
{% if trackers %}
L'analisi statica dell'APK (SHA256: {{ sha256 }}) ha rilevato i seguenti tracker/SDK:
{% for tracker in trackers %}
  → {{ tracker.name }} ({{ tracker.package }})
{% endfor %}

La presenza di questi SDK comporta la trasmissione di dati personali a soggetti terzi. Si richiede di specificare la base giuridica ex art. 6 GDPR per ciascun trasferimento e di verificare che il consenso sia stato acquisito prima dell'attivazione di tali SDK.
{% else %}
Non sono stati rilevati tracker o SDK di terze parti noti.
{% endif %}

2. PERMESSI SENSIBILI — art. 5(1)(c), 6 GDPR
{% if sensitive_permissions %}
L'applicazione dichiara i seguenti permessi con rilevanza GDPR:
{% for perm in sensitive_permissions %}
  → {{ perm.permission.split('.')[-1] }}: {{ perm.description }}
{% endfor %}

Si richiede di specificare la base giuridica e la finalità del trattamento per ciascun permesso, nonché i tempi di conservazione dei dati raccolti.
{% if special_category_permissions %}

Fra questi, i seguenti permessi possono riguardare categorie particolari di dati ai sensi dell'art. 9(1) GDPR:
{% for perm in special_category_permissions %}
  → {{ perm.permission.split('.')[-1] }}: {{ perm.reason }}
{% endfor %}

Non si afferma che tale trattamento abbia luogo. L'audit legge il manifest dell'applicazione, che dichiara la facoltà di accedere al dato e non la finalità per cui esso è trattato, e l'art. 9 dipende dalla finalità. Si richiede pertanto di indicare se i dati raccolti tramite tali permessi siano trattati per finalità che li qualificano come categorie particolari e, in caso affermativo, quale delle condizioni di cui all'art. 9(2) GDPR sia invocata.
{% endif %}
{% else %}
Non sono stati rilevati permessi sensibili.
{% endif %}

3. TRASFERIMENTI EXTRA-UE — art. 44-49 GDPR
{% if extra_eu_transfers %}
Sono stati rilevati trasferimenti di dati verso i seguenti soggetti extra-UE:
{% for transfer in extra_eu_transfers %}
  → {{ transfer.entity }}
{% endfor %}

Si richiede di indicare le garanzie adeguate adottate ai sensi dell'art. 46 GDPR (Clausole Contrattuali Standard, Binding Corporate Rules, o altro).
{% else %}
Non sono stati rilevati trasferimenti di dati extra-UE noti.
{% endif %}

4. MISURE TECNICHE — art. 32 GDPR
{% if not publisher_domain_verified %}
Non è stato possibile accertare quale dominio internet sia riferibile al titolare del trattamento: il nome del package Android è il reverse-DNS di chi ha compilato l'applicazione e non prova la titolarità di alcun dominio. Non viene pertanto formulato alcun rilievo ai sensi dell'art. 32 GDPR in merito alle misure tecniche di un dominio la cui titolarità non risulti accertata. Ciò non costituisce accertamento di conformità: la verifica non è stata effettuata.
{% elif mail_poor %}
L'analisi della sicurezza email del dominio {{ publisher_domain }} ha prodotto un punteggio di {{ mail_score }}/100 — {{ mail_grade }}, indicando misure tecniche inadeguate per la protezione delle comunicazioni.
{% elif mail_score is not none %}
L'analisi della sicurezza email del dominio {{ publisher_domain }} ha prodotto un punteggio di {{ mail_score }}/100 — {{ mail_grade }}.
{% endif %}
{% if publisher_domain_verified and ssl_status == "expired" %}
Il certificato SSL del sito {{ publisher_domain }} risulta scaduto, in violazione del principio di sicurezza del trattamento ex art. 32 GDPR.
{% elif publisher_domain_verified and ssl_status == "self_signed" %}
Il certificato SSL del sito {{ publisher_domain }} è autofirmato e non verificabile dagli utenti, in violazione del principio di sicurezza del trattamento ex art. 32 GDPR.
{% elif publisher_domain_verified and ssl_status == "unknown_ca" %}
Il certificato SSL del sito {{ publisher_domain }} è emesso da un'autorità di certificazione non riconosciuta, in violazione del principio di sicurezza del trattamento ex art. 32 GDPR.
{% endif %}
{% if publisher_domain_verified and not mail_poor and not ssl_issue %}
Non sono state rilevate criticità nelle misure tecniche del publisher.
{% endif %}

5. RICHIESTE FORMALI

Ai sensi del GDPR richiedo formalmente:

Art. 15 — Conferma del trattamento e copia dei dati personali raccolti tramite i tracker sopra indicati
Art. 13 — Informazioni complete sulle finalità, basi giuridiche e destinatari del trattamento
Art. 17 — Cancellazione dei dati raccolti senza base giuridica valida
Art. 21 — Opposizione al trattamento per finalità di profilazione e marketing

6. ESCALATION

In assenza di risposta entro 30 giorni dalla presente, mi riservo di presentare reclamo all'autorità di controllo competente ai sensi dell'art. 77 GDPR.
{% if noyb_id %}
Mi riservo inoltre di rivolgermi a NOYB — None Of Your Business in qualità di sostenitore gold #{{ noyb_id }} per il supporto nell'esercizio dei diritti.
{% elif noyb %}
Mi riservo inoltre di rivolgermi a NOYB — None Of Your Business per il supporto nell'esercizio dei diritti.
{% endif %}

Distinti saluti,

{{ sender_name }}{% if sender_org %}
{{ sender_org }}{% endif %}
{{ sender_email }}
{{ date }}

---
Report generato da APKRadar v{{ apkradar_version }}
https://github.com/maksimtech/apkradar
