Tracker Comms

Privacy Policy

Tracker Comms (the “Comms” iPhone app, the radios and comms.skibidicode.com) · Last updated 29 October 2026

Who is responsible

Tokio Studio SRL, Milano, Italy, is the data controller. Contact: simone@tokiostudio.it.

What the service is

Comms is a push-to-talk and team-map service for organised events (for example ski races): people talk to each other through LoRa radios and the internet, and the event operator sees the team on a map. You only take part in an event after joining it with its QR code, code or invite.

Data we process

Device and name: a random device identifier generated by the app, the name you choose (or the name in your invite), the phone model and app version.
Location and motion: GPS position, accuracy, speed and an activity estimate (still, walking, skiing, lift, vehicle), sent only while you are in an event, so that your team can see you on the event map. If the event operator turns on the export to a TAK server (used by rescue and civil protection teams), your name, position and any SOS are also sent to the TAK server the operator chose, while the event runs.
SOS: if you send an SOS, your name, position and the time go to the phones of the event and to the event operator and directors (also as a notification), until you cancel it.
Technical telemetry: battery level, network quality (round-trip time, loss), radio status and the radio links between devices, used to route voice and show the network.
Voice: when you talk (push-to-talk or VOX), your voice is compressed and encrypted on your device with the key of the event (AES-128), and it travels and is stored only in encrypted form. The event key is kept by our server and given only to the devices of the event and to the event operator. We do not decrypt or listen to your voice, except when the event operator plays recordings from the dashboard. This is not end-to-end encryption.
Recordings: if the event operator keeps recording on (the default), the server stores the encrypted voice of each talk, with who talked, channel and time, so that the event operator can listen to it later for debriefing and safety. Recordings are decrypted and played in the event operator’s dashboard. Recording can be turned off per event.
Notifications: the notification token of your device (Apple Push Notification service, or the Web Push address of your browser), to tell you that something new arrived. Notifications contain no message content: only a generic text and an id; the app shows the preview after decrypting it on your device. On iPhone, when someone talks on your channel while the app is closed, a walkie-talkie notification (Apple Push to Talk) wakes the app and carries the name of who is talking.
Account (if you create one): the handle you choose (for example @anna), the public keys of your account and of your devices, the list of your devices signed by your account key (with the name and type you give each device) and when each device last connected. Private keys stay on your devices: we never receive them.
Account messages: chats between accounts are end-to-end encrypted on your devices (MLS, the IETF Messaging Layer Security standard): we cannot read them, and we have no keys for them. Our server only checks the public part of each message (signatures and who is in the group, as the standard requires), orders and delivers the encrypted messages, keeping each one until every recipient device confirms it got it (at most 30 days), and holds the public keys your devices publish so that others can start a chat with you. We do see which devices are in a conversation, and when and how much they write.
Passkeys: if you protect your account with a passkey, we store the passkey’s public key and counter, and your backup key in a form wrapped by the passkey, which we cannot open.
Encrypted backup: if you turn it on, your backup is encrypted on your device before upload; we store only the encrypted file (the last two versions) and cannot read it.
Event community: if you link your account to an event, the event operator and its organizers see your handle next to your name, role and team, so that they can add you to the announcements and team chats (which stay end-to-end encrypted); the other people in the event see your handle too, so that they can write to you. Unlink it in the app to hide it.
Profile: your profile (name, photo) is encrypted on your device with a key that only your contacts receive inside your encrypted chats; we store only the encrypted file.
Recovery code: if you set one, we store your backup key locked with that code, which we never see; without the code it is useless. Recovery attempts are limited.
Reports: if you report someone, we receive who reported whom, the reason, your note and the messages you choose to attach (your device decrypts them for the report: this is the only way we can see chat content). We use it to handle abuse.
Linking a browser with a QR code: the server only relays the exchange between your phone and the browser for at most one minute; the keys travel encrypted between the two devices and nothing is kept.
Media and files: what you send is encrypted on your device with a random key (AES-256-GCM). We store only the encrypted file; the key travels inside your message and is not sent to our server on its own.
Calls: calls are end-to-end encrypted with a key that only the people in the conversation receive. Our server only relays the encrypted audio while the call lasts and never stores it; to make your phone ring when the app is closed we send Apple a call notification with the conversation identifier only (no names, no content). The chat keeps a line with the call’s duration.
Contacts: only if you tap “Add to Contacts”, the app saves that person’s name, photo and handle in your address book on your phone. Your address book is never sent to us.
Privacy Mode (Tor): if you turn it on, the app’s internet traffic goes through the Tor network, so our server does not see your IP address. The bridges you enter stay on your phone.
Server logs: IP address, time and requested address, for security and troubleshooting.

We do not use advertising, analytics or third-party trackers, we do not sell or share data for marketing, and we do not use tracking cookies. The dashboard uses one technical cookie only for the event operator’s login. The web version stores a random device identifier and your name in your browser.

Why, and on what legal basis

To provide the event communications and the team map you joined (Art. 6(1)(b) GDPR, performance of the service).
Recordings and the event map history: legitimate interest of the event in safety and debriefing (Art. 6(1)(f) GDPR). You can object by writing to us.
Server logs: legitimate interest in keeping the service secure (Art. 6(1)(f) GDPR).
Reports: legitimate interest in keeping the service free of abuse (Art. 6(1)(f) GDPR).

How long we keep data

Location history, telemetry, network links and statistics: 30 days, then deleted automatically.
Recordings (encrypted voice): 30 days, then deleted automatically.
Your device identifier and name in an event: until the event is deleted by its operator; deleting an event deletes all its data at once (people, radios, history, recordings).
Encrypted media and files: 30 days, then deleted automatically.
Notification tokens: until you sign out or remove the device, or until Apple or the browser says the token is no longer valid.
Encrypted account messages waiting for delivery: until every device confirms them, at most 30 days. Published public keys for starting chats: at most 84 days.
Reports: until they are handled, then 30 days.
Encrypted chat messages passed between the radios and the internet: 24 hours, so that phones that were offline get them.
Account, devices, passkeys and backups: until you delete the account from the app, which deletes them all at once (a removed device loses access immediately). After deletion your handle stays reserved for 30 days, so that nobody else can take it and pose as you, together with a note that the account was deleted; then both are removed.
Server logs: rotated automatically and limited in size; not kept long-term.

Where the data is

The server runs in the European Union, at Hetzner Online GmbH in Germany (hosting provider acting on our behalf). We do not transfer the data outside the EU (the TAK export goes only where the event operator points it). Notifications are delivered by the push service of your platform (Apple, or the one of your browser, e.g. Google or Mozilla), which receives only the token and the content-free notification. If you use the beta through Apple TestFlight, Apple processes crash and feedback data under its own privacy policy.

Your rights

You can ask for access, correction, deletion, restriction, portability of your data, or object to its processing, by writing to simone@tokiostudio.it. We delete your data on request. You can also complain to the Italian data protection authority (Garante per la protezione dei dati personali) or the one where you live.

Informativa privacy

Tracker Comms (l’app iPhone «Comms», le radio e comms.skibidicode.com) · Aggiornata il 26 ottobre 2026

Titolare

Tokio Studio SRL, Milano, è il titolare del trattamento. Contatto: simone@tokiostudio.it.

Il servizio

Comms è un servizio di comunicazione push-to-talk e di mappa della squadra per eventi organizzati (per esempio gare di sci): le persone parlano tra loro con radio LoRa e internet e l’operatore dell’evento vede la squadra sulla mappa. Partecipi a un evento solo dopo esserci entrato con il QR, il codice o un invito.

Dati trattati

Dispositivo e nome: un identificativo casuale del dispositivo creato dall’app, il nome che scegli (o quello dell’invito), modello del telefono e versione dell’app.
Posizione e movimento: posizione GPS, precisione, velocità e una stima dell’attività (fermo, cammina, scia, impianto, veicolo), inviate solo mentre sei in un evento, perché la squadra ti veda sulla mappa dell’evento. Se l’operatore dell’evento attiva l’esportazione verso un server TAK (usato da soccorso e protezione civile), nome, posizione ed eventuali SOS vanno anche al server TAK scelto dall’operatore, finché l’evento è in corso.
SOS: se mandi un SOS, nome, posizione e ora vanno ai telefoni dell’evento, all’operatore e alla regia (anche come notifica), finché non lo annulli.
Telemetria tecnica: batteria, qualità della rete (tempo di risposta, perdite), stato della radio e collegamenti radio fra i dispositivi, per instradare la voce e mostrare la rete.
Voce: quando parli (push-to-talk o VOX) la voce è compressa e cifrata sul tuo dispositivo con la chiave dell’evento (AES-128), e viaggia e si archivia solo cifrata. La chiave dell’evento è custodita dal nostro server e consegnata solo ai dispositivi dell’evento e all’operatore. Noi non decifriamo né ascoltiamo la voce, salvo quando l’operatore usa le registrazioni dalla dashboard. Non è una cifratura end-to-end.
Registrazioni: se l’operatore dell’evento lascia attiva la registrazione (impostazione predefinita), il server conserva la voce cifrata di ogni parlato, con chi ha parlato, canale e ora, perché l’operatore possa riascoltarla per il debriefing e la sicurezza. Le registrazioni si decifrano e si ascoltano nella dashboard dell’operatore. La registrazione si può disattivare per evento.
Notifiche: il token di notifica del dispositivo (Apple Push Notification service, o l’indirizzo Web Push del browser), per avvisarti che è arrivato qualcosa. Le notifiche non contengono il messaggio: solo un testo generico e un id; l’app mostra l’anteprima dopo averla decifrata sul dispositivo. Su iPhone, quando qualcuno parla sul tuo canale con l’app chiusa, una notifica da walkie-talkie (Apple Push to Talk) risveglia l’app e porta il nome di chi parla.
Account (se ne crei uno): l’handle che scegli (per esempio @anna), le chiavi pubbliche dell’account e dei dispositivi, la lista dei tuoi dispositivi firmata con la chiave dell’account (con il nome e il tipo che dai a ciascuno) e quando ogni dispositivo si è collegato l’ultima volta. Le chiavi private restano sui tuoi dispositivi: non le riceviamo mai.
Messaggi dell’account: le chat fra account sono cifrate end-to-end sui tuoi dispositivi (MLS, lo standard IETF Messaging Layer Security): non possiamo leggerle e non abbiamo chiavi per farlo. Il nostro server controlla solo la parte pubblica di ogni messaggio (firme e chi è nel gruppo, come prevede lo standard), ordina e consegna i messaggi cifrati, tenendo ciascuno finché ogni dispositivo destinatario non conferma di averlo ricevuto (al massimo 30 giorni), e conserva le chiavi pubbliche che i tuoi dispositivi pubblicano perché altri possano scriverti. Vediamo invece quali dispositivi sono in una conversazione, e quando e quanto scrivono.
Passkey: se proteggi l’account con una passkey, conserviamo la sua chiave pubblica e il contatore, e la chiave del tuo backup avvolta dalla passkey, che noi non possiamo aprire.
Backup cifrato: se lo attivi, il backup è cifrato sul tuo dispositivo prima dell’invio; conserviamo solo il file cifrato (le ultime due versioni) e non possiamo leggerlo.
Community dell’evento: se colleghi il tuo account a un evento, l’operatore e gli organizzatori vedono il tuo handle accanto a nome, ruolo e squadra, per aggiungerti agli annunci e alle chat di squadra (che restano cifrate end-to-end); anche le altre persone dell’evento vedono il tuo handle, per poterti scrivere. Scollegalo nell’app per nasconderlo.
Profilo: il tuo profilo (nome, foto) è cifrato sul tuo dispositivo con una chiave che ricevono solo i tuoi contatti dentro le chat cifrate; conserviamo solo il file cifrato.
Codice di recupero: se lo imposti, conserviamo la chiave del tuo backup chiusa con quel codice, che non vediamo mai; senza il codice non serve a nulla. I tentativi di recupero sono limitati.
Segnalazioni: se segnali qualcuno, riceviamo chi ha segnalato chi, il motivo, la tua nota e i messaggi che scegli di allegare (li decifra il tuo dispositivo per la segnalazione: è l’unico modo in cui possiamo vedere il contenuto di una chat). Li usiamo per gestire gli abusi.
Collegare un browser con il QR: il server si limita a inoltrare lo scambio fra telefono e browser per al massimo un minuto; le chiavi viaggiano cifrate fra i due dispositivi e non conserviamo nulla.
Media e file: quello che mandi è cifrato sul tuo dispositivo con una chiave casuale (AES-256-GCM). Conserviamo solo il file cifrato; la chiave viaggia dentro il messaggio e non arriva da sola al nostro server.
Chiamate: le chiamate sono cifrate end-to-end con una chiave che ricevono solo le persone della conversazione. Il nostro server inoltra l’audio cifrato solo mentre la chiamata dura e non lo conserva mai; per far squillare il telefono con l’app chiusa mandiamo ad Apple una notifica di chiamata con il solo identificativo della conversazione (niente nomi né contenuti). Nella chat resta una riga con la durata della chiamata.
Contatti: solo se tocchi «Aggiungi ai Contatti», l’app salva nome, foto e handle di quella persona nella rubrica del tuo telefono. La tua rubrica non ci viene mai mandata.
Privacy Mode (Tor): se la accendi, il traffico internet dell’app passa dalla rete Tor e il nostro server non vede il tuo indirizzo IP. I bridge che inserisci restano sul telefono.
Log del server: indirizzo IP, ora e indirizzo richiesto, per sicurezza e diagnosi.

Niente pubblicità, statistiche o tracciamento di terze parti; non vendiamo né cediamo dati a fini commerciali; nessun cookie di tracciamento. La dashboard usa un solo cookie tecnico per l’accesso dell’operatore. La versione web conserva nel browser un identificativo casuale e il tuo nome.

Finalità e base giuridica

Fornire le comunicazioni e la mappa dell’evento a cui hai aderito (art. 6.1.b GDPR, esecuzione del servizio).
Registrazioni e storico della mappa: legittimo interesse dell’evento alla sicurezza e al debriefing (art. 6.1.f GDPR). Puoi opporti scrivendoci.
Log del server: legittimo interesse alla sicurezza del servizio (art. 6.1.f GDPR).
Segnalazioni: legittimo interesse a tenere il servizio libero da abusi (art. 6.1.f GDPR).

Conservazione

Storico delle posizioni, telemetria, collegamenti e statistiche: 30 giorni, poi cancellati automaticamente.
Registrazioni (voce cifrata): 30 giorni, poi cancellate automaticamente.
Identificativo e nome del dispositivo in un evento: fino alla cancellazione dell’evento da parte dell’operatore, che cancella in un colpo tutti i suoi dati (persone, radio, storico, registrazioni).
Media e file cifrati: 30 giorni, poi cancellati automaticamente.
Token di notifica: finché non esci o rimuovi il dispositivo, o finché Apple o il browser non lo dichiarano non più valido.
Messaggi cifrati dell’account in attesa di consegna: finché ogni dispositivo non li conferma, al massimo 30 giorni. Chiavi pubbliche pubblicate per avviare le chat: al massimo 84 giorni.
Segnalazioni: finché non sono gestite, poi 30 giorni.
Messaggi di chat cifrati passati fra le radio e internet: 24 ore, perché li ricevano anche i telefoni che erano offline.
Account, dispositivi, passkey e backup: finché non elimini l’account dall’app, che li cancella tutti insieme (un dispositivo rimosso perde subito l’accesso). Dopo l’eliminazione il tuo handle resta riservato per 30 giorni, perché nessun altro lo prenda e si spacci per te, insieme a una nota che l’account è stato eliminato; poi si cancellano entrambi.
Log del server: ruotati automaticamente e limitati in dimensione, non conservati a lungo.

Dove sono i dati

Il server è nell’Unione europea, presso Hetzner Online GmbH in Germania (fornitore di hosting che agisce per nostro conto). Non trasferiamo i dati fuori dall’UE (l’esportazione TAK va solo dove la indirizza l’operatore dell’evento). Le notifiche le consegna il servizio push della tua piattaforma (Apple, o quello del browser, es. Google o Mozilla), che riceve solo il token e la notifica senza contenuto. Se usi la beta tramite Apple TestFlight, Apple tratta i dati di crash e i feedback secondo la propria informativa.

I tuoi diritti

Puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità dei tuoi dati od opporti al trattamento scrivendo a simone@tokiostudio.it. Su richiesta cancelliamo i tuoi dati. Puoi anche rivolgerti al Garante per la protezione dei dati personali o all’autorità del tuo paese.