Informative

Informativa sulla privacy

Farview e i tuoi dati: cosa resta sul telefono, cosa no.

Ultimo aggiornamento: 12 ottobre 2026

1. Chi tratta i dati

Il titolare è Ubiquitous S.r.l., Via Ariosto 25, 00185 Roma, Italia, P.IVA 17584931004. Per qualsiasi questione relativa a questa informativa scrivi a [email protected].

2. Cosa resta sul tuo dispositivo

Farview salva nella memoria privata dell'app, sul tuo telefono:

• l'indirizzo e la porta ONVIF di ogni telecamera che salvi, con il nome che le dai
• le credenziali delle telecamere e il token del companion relay, cifrati con una chiave AES-256/GCM custodita nell'Android Keystore: il materiale della chiave non entra mai nel processo dell'app né in un backup
• l'URL dell'ultimo flusso RTSP risolto e le tue preferenze di tema

Questi dati non ci vengono trasmessi. Disinstallando l'app spariscono con lei.

3. Cosa passa in rete

Il video va dalla telecamera al tuo telefono. Sulla stessa rete la connessione è diretta; fuori rete passa dal companion relay, che sei tu a installare su una macchina dentro la rete delle telecamere. Il relay è tuo: gira sul tuo hardware, usa la tua banda, e noi non lo vediamo. Nessun flusso video transita da server Synapsi, perché server Synapsi in questo prodotto non ce ne sono.

Diagnostica: arresti anomali e statistiche d'uso

L'app usa due servizi Google: Firebase Crashlytics e Firebase Analytics (Google Ireland Limited).

Quando l'app va in crash, Crashlytics riceve un rapporto tecnico che usiamo per capire cosa si è rotto: lo stack trace, il modello di dispositivo, la versione di Android e quella dell'app. Analytics riceve eventi anonimi su come l'app viene usata — quali schermate si aprono, quali funzioni si toccano — insieme a un identificatore che Google assegna all'installazione, non a te.

Né l'uno né l'altro ricevono video, audio, credenziali, indirizzi delle tue telecamere o il contenuto di ciò che riprendi. Quelli non lasciano il dispositivo, come descritto sopra.

Il trattamento da parte di Google è regolato dalla sua informativa. Puoi chiederci la cancellazione dei dati diagnostici scrivendo a [email protected].

4. L'account, il vault e il relay

Farview per il desktop e il companion relay sono lo stesso prodotto su un computer. Sia l'app desktop sia l'app Android possono tenere la lista delle telecamere su un account invece che solo sul dispositivo, dentro quello che chiamiamo un vault: lo crei su uno dei due, e la stessa lista si apre su entrambi.

Cosa contiene il vault, e cosa ne possiamo leggere

Un vault è una lista di telecamere legata al tuo account. Viene cifrata sul tuo dispositivo prima di partire, con una chiave generata sul dispositivo stesso, a caso — non derivata da niente che tu scriva. Quella chiave viene poi sigillata con una seconda chiave, derivata con Argon2id da una password del vault che scegli tu; quello che conserviamo è la chiave sigillata e il testo cifrato, mai la password né l'una né l'altra chiave. Sul nostro server c'è una stringa di byte che non possiamo leggere, dentro un involucro che non possiamo aprire nemmeno quello. Una copia del nostro database è un elenco di indirizzi email e un mucchio di testo cifrato.

La password del vault serve solo ad aprirlo: non è come si accede all'account, e non c'entra con l'accesso via Google o via link email. Il prezzo di tutto questo non è negoziabile e preferiamo dirlo qui piuttosto che in una risposta all'assistenza: una password del vault dimenticata è un vault irrecuperabile. Non esiste un ripristino che conservi i dati, perché dalla nostra parte non c'è niente con cui ripristinarli; «Ricomincia da zero», nell'app, svuota il vault, e ogni telecamera va riconfigurata da zero.

Un account può avere più siti — «Casa», «Ufficio» — e ognuno è un vault a sé: la sua chiave, la sua password, le sue telecamere, le sue persone. La password di un sito non apre gli altri, e quello che abbiamo scritto qui sopra vale per ognuno separatamente. Del sito in sé conserviamo in chiaro soltanto il nome che gli dai, gli indirizzi email di chi lo condivide con te e quali delle tue macchine adottate servono quel sito: il nome serve perché chi riceve un sito veda di quale si tratta prima di aprirlo, esattamente come il nome di una macchina che adotti è in chiaro; il legame fra sito e macchine serve perché ogni tuo dispositivo mandi a ciascuna macchina l'elenco giusto di telecamere anche quando quel sito non è aperto lì. Le telecamere che contiene per noi restano testo cifrato.

Puoi eliminare l'account, e con esso i vault, dall'app o dalla pagina di eliminazione dell'account.

Accedere dal telefono, e il vault lì

L'app Android accede allo stesso account del desktop — con Google o con un link via email, mai con una password — per il vault, il tunnel e per adottare una macchina su cui fai girare il relay. È facoltativo, e niente di quello che succede sulla tua rete ne ha bisogno.

• Con Google: Google consegna al nostro server una dichiarazione firmata del tuo indirizzo email e di un identificativo del tuo account Google, a cui l'account viene poi legato. Contiene anche il tuo nome, che non conserviamo. Non otteniamo alcun accesso a quello che c'è nel tuo account Google.
• Con un link via email: l'indirizzo che scrivi arriva al nostro server, che ti manda un link di accesso tramite Mailjet (Sinch Email, Francia). La risposta è la stessa sia che per quell'indirizzo esista un account, sia che non esista.

In entrambi i casi il telefono conserva una sessione — cifrata con una chiave custodita nell'Android Keystore, come le credenziali delle telecamere — e il tuo indirizzo email, per mostrarti chi ha fatto accesso. Dopo l'accesso con Google conserva anche il tuo nome e la foto del profilo, per l'avatar nell'angolo dello schermo: la foto viene scaricata una volta, da Google, e nessuno dei due arriva a noi.

Al primo accesso crei un vault sul telefono, oppure apri quello già fatto sul desktop, così la stessa lista di telecamere è su entrambi. Finché sei autenticato, il telefono conserva anche la chiave del vault — cifrata con una chiave custodita nell'Android Keystore, come per le credenziali delle telecamere — e il desktop conserva la propria copia nel portachiavi del sistema operativo. Uscire dimentica subito la sessione sul telefono e chiude quella sul nostro server ogni volta che è raggiungibile, e toglie anche dal telefono la chiave del vault e le sue telecamere: dal vault non si cancella niente, solo dal telefono da cui sei uscito. Senza un account, tutto resta sul telefono esattamente come è sempre stato.

Condividere un vault (Pro)

Se sei Pro, puoi dare ad altre persone accesso al tuo vault indicando il loro indirizzo email, come membro che può solo vedere le telecamere o come membro che può anche modificarle. Conserviamo ogni indirizzo invitato, il ruolo che gli hai dato e quando l'hai invitato, e mandiamo alla persona invitata un'unica email — tramite Mailjet (Sinch Email, Francia) — che dice che qualcuno ha condiviso un vault con lei. Quell'email non contiene mai la password del vault: gliela dai tu, in un altro modo.

Un membro vede il tuo indirizzo email. Con la password, un membro possiede la chiave del vault, quindi tecnicamente può leggere tutto ciò che il vault contiene, comprese le password delle telecamere; le app non gliele mostrano mai. Cambiare la password del vault genera sempre una nuova chiave, ed è così che tagli fuori chi rimuovi. Un membro può conservare la chiave sul proprio telefono, dietro l'impronta digitale — mai inviata a noi. Quando un membro guarda una telecamera attraverso il tunnel, quell'uso conta sul piano del proprietario e compare nel suo registro d'uso del tunnel, non nel proprio.

Un invito viene rimosso quando togli il membro, ricominci il vault da capo o elimini l'account; eliminare l'account rimuove anche ogni appartenenza che quell'indirizzo aveva nei vault di altre persone. Se il tuo Pro finisce, i membri restano nell'elenco ma il loro accesso resta sospeso finché non torna.

Guardare da fuori: il relay e il tunnel

Il relay gira sul tuo hardware, usa la tua banda, e noi non lo vediamo mai. Se la tua connessione è di quelle che nessuna connessione in entrata può raggiungere — il carrier-grade NAT, che è la quasi totalità delle linee mobili e fisse senza filo — puoi attivare il tunnel, e allora il tuo video attraversa davvero una nostra macchina. Quella macchina copia byte fra due socket e non ne legge nessuno; con TLS attivo sul tuo relay, che raccomandiamo ed è per questo, quello che passa è testo cifrato di cui non abbiamo la chiave. È spento se non lo accendi tu, e fa parte di un piano a pagamento.

Il registro d'uso del tunnel. Il tunnel dà a ogni telecamera un tempo al giorno, e per rispettarlo teniamo un registro: per ogni flusso, il tuo account, quale relay, quando è iniziato, quanto è durato, quanti byte ha portato e come è finito; per ogni giorno, il tempo e i byte di ciascuna telecamera. La telecamera non vi compare con il suo indirizzo ma con un identificativo derivato da una chiave segreta, da cui l'indirizzo non si ricava. Del contenuto dei flussi il registro non contiene niente, perché non lo leggiamo. Serve a far rispettare i limiti del piano e a sapere quanto ci costa il servizio, e lo vede solo chi lo gestisce. Le righe dei flussi si cancellano dopo 90 giorni, i totali giornalieri dopo 400. Se elimini l'account restano fino a quella scadenza, senza più niente che le colleghi a te.

Rilevare movimento, persone e animali (Pro)

Se sei Pro, un relay che registra una telecamera può anche tenerla d'occhio per movimento, persone e animali, così che le app disegnino un riquadro intorno a loro e li segnino sulla linea del tempo delle registrazioni. Succede sulla macchina su cui gira il relay e da nessun'altra parte. L'analisi è un programma a parte, accanto al relay, senza accesso alla rete per conto suo. Non riceve mai l'indirizzo, il nome utente o la password della telecamera, e a noi non viene mandata nessuna immagine, nessun riquadro, nessun risultato. Quello che trova viene scritto sul disco del relay accanto alla registrazione a cui appartiene, e cancellato insieme a lei. Le app lo leggono dal tuo relay come leggono il video: direttamente sulla tua rete, e da fuori attraverso il tunnel, dove passa da una nostra macchina come byte che non leggiamo, come il video.

L'unico download. Al programma servono un decodificatore, un motore per reti neurali e un modello, circa 15 MB, che il relay scarica una volta, la prima volta che una telecamera ne ha bisogno e poi solo quando una release del relay porta un pacchetto nuovo, da https://farview.synapsi.ai/download/detect/. È una sola richiesta di un file. Non porta nessun account, nessuna telecamera, nessun identificativo e nessun parametro; il nostro server vede il file richiesto, il nome e la versione del relay nello user agent e l'indirizzo di rete che vedrebbe per qualunque download. Il relay confronta il file con un checksum compilato al suo interno prima di aprire qualunque cosa, e non installa niente che non coincida. Del rilevamento non viene mandato altro: che il tuo piano lo includa arriva con la lista delle telecamere che il relay già scarica, e quali tipi di rilevamento hai acceso e con che sensibilità (che fanno parte del tuo vault, quindi testo cifrato per noi) arrivano al relay con quella lista, come le impostazioni di registrazione. Imposta detect a false nella configurazione del relay e non scarica mai il pacchetto e non analizza mai una telecamera.

Notifiche (Pro)

Una telecamera può avvisarti quando vede qualcuno, oppure un animale, un veicolo o del movimento, se lo accendi per lei. Decide il relay, sulla tua macchina, in base a ciò che il rilevamento ha trovato; gli avvisi restano sul disco del relay per sette giorni, e le app li leggono dal tuo relay come leggono le registrazioni. Con l'app aperta non c'è nient'altro di mezzo.

Con l'app chiusa un telefono può essere avvisato lo stesso, attraverso il servizio di notifiche push di Google, Firebase Cloud Messaging. Per questo il telefono registra presso il nostro server un token push che gli dà Google, una chiave pubblica che crea da sé e un nome per il telefono (il suo modello). Quando nasce un avviso, il tuo relay chiede al nostro server quali telefoni possono riceverlo — i tuoi e quelli delle persone con cui condividi il sito — e cifra l'avviso sul relay, per ogni telefono, con la chiave di quel telefono. Il nostro server passa il messaggio cifrato a Google con il token, e Google lo consegna. Né noi né Google possiamo leggere quale telecamera ha visto cosa: ciò che sappiamo è che uno dei tuoi relay ha mandato una notifica a uno dei tuoi telefoni, e quando — cioè, più o meno, quando è successo qualcosa. Non conserviamo i messaggi. Uscire dall'account, spegnere «Notifiche con Farview chiusa» nelle impostazioni o eliminare l'account toglie la registrazione del telefono.

Farview per TV

Puoi collegare una TV Android al tuo account dal telefono. Per ogni TV collegata il nostro server conserva il nome che la TV si dà, la piattaforma, i siti che le hai dato, la data di collegamento e quella dell'ultimo uso, e la sessione. La TV riceve le chiavi di quei siti cifrate per sé, e noi non possiamo leggerle. Scolleghi una TV dal telefono o dalla TV, e i suoi dati vengono cancellati. A ogni TV collegata ti mandiamo un'email per avvisarti.

Farview per Wear OS

L'orologio parla solo con il telefono, tramite il canale Wearable di Google sul dispositivo. Le immagini viaggiano dal telefono all'orologio; non vengono conservate né mandate al nostro server. Sull'orologio non c'è nessun account.

Verificare se il relay è raggiungibile da fuori

Per dirti se raggiungere le telecamere da fuori funzionerà, il relay chiede due cose, una volta all'avvio e poi ogni trenta minuti. A un server STUN pubblico (di Google o di Cloudflare) chiede con quale indirizzo la tua connessione si vede su internet. Poi chiede al nostro server di ricollegarsi a quell'indirizzo, sulla porta del relay, e di dire se ha raggiunto il tuo relay. Si collega solo all'indirizzo da cui arriva la richiesta, e quello che ne ricava è quell'indirizzo e se la porta ha risposto — la stessa cosa che vede qualsiasi sito quando lo visiti. Non è legato al tuo account e resta solo nei normali log di accesso del nostro server. Imposta reachabilityCheck a false nella configurazione del relay e nessuna delle due richieste parte.

Il controllo versione

L'app desktop e il relay si scaricano da questo sito e non da uno store, quindi niente sul tuo computer ti direbbe mai che è uscita una versione nuova. Una volta per avvio, ciascuno dei due chiede https://farview.synapsi.ai/appcast.json — un file statico con dentro un numero di versione e l'indirizzo della pagina di download — confronta in locale, e lo dice se c'è qualcosa di più recente.

La richiesta non porta nessun identificativo, nessuna versione e nessun parametro. Il nostro server vede la richiesta di un file e l'indirizzo di rete che vedrebbe per qualunque download. Non viene scaricato né installato niente senza di te. Il relay non fa nessuna richiesta del genere quando updateCheck è impostato a false nella sua configurazione.

5. Autorizzazioni, e perché

• Internet e stato della rete — per raggiungere le telecamere e, se lo configuri, il tuo companion relay
• Stato del Wi-Fi e multicast — la discovery ONVIF è una richiesta in multicast sulla rete locale: senza il multicast lock Android la silenzierebbe
• Fotocamera — solo per leggere il codice QR che l'app desktop mostra quando configuri un relay, e solo mentre quello schermo è aperto. Viene chiesta in quel momento e non all'avvio. Non viene fotografato niente e non viene conservato niente: ogni fotogramma è decodificato in memoria e buttato, nessuna immagine viene scritta sul dispositivo e nessuna esce da lì. Dire di no non costa nulla se non la comodità: lo stesso indirizzo e lo stesso token si possono digitare a mano.
• Notifiche — per mostrare gli avvisi di una telecamera. Vengono chieste quando accendi le notifiche per una telecamera, non all'avvio; dire di no lascia gli avvisi nell'elenco dell'app.

6. Acquisti in-app

L'abbonamento Farview Plus è venduto e gestito da Google Play. Il pagamento avviene sul tuo account Google: non vediamo mai il numero di una carta, e non conserviamo dati di pagamento. Google ci comunica soltanto se un abbonamento è attivo, in forma anonima rispetto alla tua identità. Il trattamento dei dati da parte di Google è regolato dalla sua informativa.

7. Assistenza: segnalazioni e licenze

Da Info → Assistenza l'app può mandare una segnalazione — qualcosa che non ha funzionato, o qualcosa che vorresti — a apps-management, un nostro servizio su apps-management.synapsi.ai. È l'unica parte di Farview che parla con un nostro server, e non parte niente se non lo avvii tu.

Cosa viene mandato quando invii una segnalazione:

• il titolo e la descrizione che hai scritto
• la versione dell'app, la versione di Android, il modello del dispositivo e la lingua in cui è impostata l'app — quello che rende un difetto riproducibile
• solo se accendi l'interruttore: un blocco di diagnostica sull'app e sul dispositivo, ripulito prima che tu lo veda. Te lo mostriamo sullo schermo prima che parta: puoi leggerlo e decidere
• solo se ne scegli una: una schermata, scelta da te dalla galleria
• solo se lo scrivi: un indirizzo email, per poterti rispondere. Senza, la segnalazione parte lo stesso e non è possibile risponderti
• un numero estratto a caso per quella singola segnalazione, così che rimandarla dopo una connessione persa sia un nuovo tentativo e non una seconda segnalazione in coda. Viene buttato via con la schermata e non identifica niente e nessuno

Cosa non viene mandato mai: nessun account, nessuna password e nessun identificativo — né un id pubblicitario, né un id di installazione. Niente viene raccolto di nascosto: viaggia quello che hai scritto o acceso.

Leggere la risposta e chiedere funzioni. Per leggere una risposta, o per votare quello che altri hanno chiesto, dalla versione 2026.9.8 serve l'accesso al tuo account Farview — con Google o con un link per email. L'app manda quelle richieste al servizio di Farview con la sessione del tuo account, e il servizio di Farview le passa al nostro servizio di assistenza dicendo da quale indirizzo arrivano: quello del tuo account. Nessun codice a parte, nessuna seconda password. Le versioni precedenti chiedevano l'indirizzo email e ci mandavano un codice di sei cifre, e conservavano la chiave così ottenuta nell'archivio privato dell'app; dalla 2026.9.8 quella chiave viene cancellata dal telefono.

Licenze. Se ti abbiamo dato Farview Plus o Pro a mano — un tester, un traduttore, qualcuno il cui pagamento è fallito per un motivo non suo — l'app chiede al servizio di Farview, all'avvio e quando fai l'accesso, se quel permesso vale ancora per l'indirizzo del tuo account. Non viene mandato altro che la sessione. Quando esci dall'account, l'app smette di considerare tuo quel permesso su quel telefono.

Quanto resta il tuo indirizzo. È conservato per poterti scrivere, e dove serve solo per un confronto è conservato come impronta e non come indirizzo. Dopo cinque mesi in cui non è successo niente — nessuna segnalazione, nessuna risposta, nessun accesso — ti scriviamo per dirti che l'indirizzo verrà cancellato entro un mese, e che basta aprire l'app per tenerlo. Un mese dopo se ne va. Non viene mai cancellato niente senza quell'avviso prima: un indirizzo che ha passato i sei mesi mentre la nostra posta non funzionava viene avvisato allora, e cancellato un mese dopo.

Come farlo cancellare prima. Dall'app: Info → Assistenza → I tuoi messaggi → Chiudi il mio account, che te lo chiede una volta e poi lo fa. Chiude l'indirizzo dell'assistenza e non il tuo account Farview, e cancellare l'account Farview non chiude l'indirizzo dell'assistenza: il nostro servizio di assistenza è in comune fra le nostre app, e lo stesso indirizzo può essere in uso in un'altra. Funziona anche scrivere a [email protected], ed è la strada che resta quando l'app non ce l'hai più (tutte e due, per esteso). In entrambi i casi le segnalazioni restano, senza più il collegamento a te: un difetto resta un difetto una volta segnalato, e quello che rimane non è riconducibile a nessuno.

Il servizio gira su una macchina nostra a Milano (Google Cloud, europe-west8), dietro Cloudflare. Le email di verifica e di risposta partono da Mailjet (Sinch Email, Francia).

8. I tuoi diritti

Il GDPR ti riconosce accesso, rettifica, cancellazione, limitazione, portabilità e opposizione. Nel caso di quest'app la risposta pratica è quasi sempre la stessa: i dati sono già solo tuoi e già solo sul tuo dispositivo. Per i dati diagnostici, scrivici e li facciamo cancellare. Puoi comunque scriverci a [email protected], e hai diritto di reclamo al Garante per la protezione dei dati personali.

Per rimuovere quello che l'app contiene, o per chiedere la cancellazione dei dati diagnostici, vedi Elimina il tuo account.

9. Minori

L'app non è destinata a minori di 13 anni e non raccoglie consapevolmente dati che li riguardino.

10. Modifiche

Se questa informativa cambia, la data in cima cambia con lei. Le modifiche sostanziali le annunciamo anche nelle note di rilascio su Google Play.