Versione: 3.0 · In vigore: 2026-11-01 · Operatore: NutYet Team · Contatto: support@nutyet.com
1 Titolare e ambito di applicazione
1.1 Il titolare del trattamento dei dati personali è NutYet Team, con indirizzo e-mail di contatto support@nutyet.com. La denominazione completa del soggetto, l’indirizzo della sede legale e altre informazioni possono essere richiesti inviando un’e-mail. 1.2 La presente Informativa si applica alle attività di trattamento dei dati personali effettuate quando l’Utente utilizza il Servizio tramite il client ufficiale, il sito web ufficiale o altri canali da noi riconosciuti; non si applica alle informative privacy autonome di siti web di terzi, app di terzi o editori di contenuti di terzi. 1.3 Il Servizio è destinato esclusivamente agli adulti di età superiore a 18 anni; non forniamo il Servizio ai minori e non raccogliamo intenzionalmente dati personali di bambini di età inferiore a 14 anni.
2 Dati personali trattati
2.1 Account e identità: nome utente, hash della password, ID utente, credenziali di accesso, nickname, immagine del profilo, presentazione, preferenze di lingua/tema, configurazione del blocco dell’app (il PIN è memorizzato sul dispositivo come hash con salt). 2.2 Registrazioni sanitarie e comportamentali (sensibili): tipo di registrazione, data e ora, frequenza, durata, note, fattori scatenanti, autovalutazione dell’umore e dell’energia, nonché i giorni consecutivi, il punteggio di stato, le tendenze, l’avanzamento degli obiettivi, i punti esperienza, il livello, i risultati e la valutazione giornaliera da essi derivati. 2.3 Community e social: post, commenti, immagini, “Mi piace”, salvataggi, argomenti, parole chiave di ricerca, relazioni di amicizia/following, blocchi/oscuramenti, registrazioni delle segnalazioni. 2.4 Consumo di contenuti: avanzamento della riproduzione, playlist, salvataggi, cronologia di lettura, cronologia di navigazione. 2.5 Messaggi e promemoria: messaggi in-app, contenuto delle notifiche e stato di lettura, orari dei promemoria e regole di ricorrenza, identificatori push (ove integrati). 2.6 Dispositivo e log: modello del dispositivo, versione del sistema operativo, versione dell’App, lingua, fuso orario, tipo di rete, IP, log di accesso, log di crash, identificatori/impronta del dispositivo, elenco dei dispositivi con accesso effettuato. 2.7 Feedback e assistenza clienti: contenuto del feedback, recapito facoltativo, versione, piattaforma, storico delle comunicazioni. 2.8 Dati trattati tramite AI: testi, immagini, nickname, presentazione e immagine del profilo inviati o pubblicati dall’Utente, utilizzati per la traduzione e la moderazione dei contenuti. 2.9 Non raccogliamo attivamente: posizione geografica precisa, rubrica, SMS, cronologia delle chiamate, numero di carta d’identità, numero di carta bancaria, template biometrici grezzi, contenuto del microfono o degli appunti (salvo quanto incollato volontariamente dall’Utente).
3 Dati personali sensibili e consenso separato
3.1 Le registrazioni sanitarie/comportamentali e le autovalutazioni dell’umore e dell’energia dell’Utente costituiscono dati personali sensibili. 3.2 Trattiamo tali dati solo nella misura necessaria a fornire funzionalità essenziali quali registrazione, statistiche, obiettivi, risultati e raccomandazione dei contenuti. 3.3 Prima del primo utilizzo della funzione di registrazione, informeremo l’Utente tramite un pop-up separato circa finalità, modalità, necessità del trattamento, conseguenze per l’Utente, periodo di conservazione e diritti dell’Utente, e otterremo il Suo consenso separato; il consenso non sarà ottenuto tramite caselle preselezionate, consensi aggregati o condizionando l’accesso a tutte le funzionalità al rilascio del consenso. 3.4 L’Utente può revocare il consenso in qualsiasi momento in “Impostazioni → Privacy e sicurezza → Gestione dei consensi” o tramite support@nutyet.com; la revoca non pregiudica il trattamento effettuato prima della revoca. 3.5 Il rifiuto o la revoca possono comportare l’indisponibilità di funzionalità quali registrazione e statistiche, senza pregiudicare le funzionalità che non dipendono da tali dati, quali la consultazione e gli audio.
4 Finalità e basi giuridiche del trattamento
4.1 Finalità: registrazione, accesso e sicurezza dell’account; registrazione, statistiche, obiettivi e risultati; interazione nella community; audio/articoli; promemoria; abbinamento dei dispositivi; moderazione dei contenuti e governance della sicurezza; traduzione/moderazione/raccomandazione tramite AI; sicurezza, controllo del rischio e conformità; miglioramento del prodotto; assistenza clienti e richieste relative ai diritti; servizi a pagamento (ove introdotti in futuro). 4.2 Basi giuridiche: esecuzione del contratto o fornitura del servizio richiesto dall’Utente; consenso dell’Utente (dati sensibili, notifiche push, trattamento tramite AI, profilazione facoltativa); obblighi di legge; legittimo interesse (sicurezza, prevenzione degli abusi, miglioramento del prodotto); tutela di interessi legittimi rilevanti. 4.3 Nello SEE/Regno Unito/Svizzera ci basiamo sul GDPR/UK GDPR/FADP; per le categorie particolari di dati effettuiamo il trattamento solo previo consenso esplicito dell’Utente o in presenza di altra deroga legittima. 4.4 In California (Stati Uniti) e in altre giurisdizioni, comunichiamo le finalità commerciali, i diritti e le ipotesi di “vendita/condivisione” ai sensi della legge statale applicabile; non vendiamo dati personali.
5 Comunicazione a terzi, trattamento per conto e SDK
5.1 Non vendiamo i dati personali dell’Utente; comunichiamo solo le informazioni necessarie nella misura indispensabile al perseguimento delle finalità e imponiamo ai destinatari misure di protezione non inferiori a quelle previste dalla presente Informativa. 5.2 I destinatari includono: servizi di cloud hosting e database (AWS, Tokyo, Giappone), object storage/CDN (Cloudflare R2, globale), fornitori di servizi AI (interfaccia compatibile OpenAI, per impostazione predefinita Stati Uniti), distribuzione delle applicazioni e acquisti in-app (Apple/Google), fornitori di assistenza clienti e di servizi di posta elettronica. 5.3 Possiamo condividere le informazioni necessarie con società affiliate e fornitori di servizi; in caso di trasferimento di dati personali per fusione, acquisizione, riorganizzazione o insolvenza, imponiamo al successore di continuare a rispettare la presente Informativa o di ottenere un nuovo consenso. 5.4 Comunicheremo o forniremo informazioni solo ove richiesto dalla legge, da autorità giudiziarie o di regolamentazione, o per la tutela di interessi legittimi rilevanti. 5.5 Non abbiamo integrato SDK pubblicitari, SDK di analisi statistica di terzi o SDK di notifiche push di terzi (con riferimento alla versione attuale); qualora in futuro li integreremo, aggiorneremo la presente Informativa e l’elenco e otterremo i consensi necessari. 5.6 L’elenco completo è riportato nell’“Elenco della Raccolta dei Dati Personali e della Condivisione con Terzi”.
6 Trasferimento transfrontaliero
6.1 I nostri server principali si trovano a Tokyo (Giappone), l’object storage utilizza Cloudflare R2 (globale) e i servizi AI possono trovarsi negli Stati Uniti; i dati personali dell’Utente possono essere trasferiti tra il Giappone, gli Stati Uniti e altre giurisdizioni. 6.2 Se l’Utente è residente nello SEE/Regno Unito/Svizzera, il trasferimento transfrontaliero avviene secondo i meccanismi del Capo V del GDPR (decisioni di adeguatezza, SCC, IDTA, meccanismi FADP), con adozione di misure supplementari. 6.3 Se l’Utente si trova in altri mercati che richiedono la conformità per i trasferimenti transfrontalieri, adempiremo agli obblighi di informativa, consenso, contratto o notifica previsti dalla legge locale. 6.4 Trasferiamo solo i dati nella misura minima necessaria al perseguimento delle finalità e imponiamo ai destinatari di adottare misure di sicurezza e di non utilizzarli per scopi diversi da quelli concordati. 6.5 Non forniamo il Servizio nella Cina continentale; qualora in futuro vi accedessimo, adempiremo separatamente agli obblighi di informativa, consenso separato e notifica/valutazione previsti dal diritto cinese.
7 Periodo di conservazione
7.1 Account e profilo: per la durata dell’account; cancellazione o anonimizzazione entro 30 giorni dalla cancellazione dell’account. 7.2 Registrazioni e statistiche: per la durata dell’account; cancellazione entro 30 giorni dalla cancellazione da parte dell’Utente; in caso di cancellazione dell’account, si applica quanto sopra. 7.3 Contenuti della community: fino alla cancellazione/cancellazione dell’account, salvo obblighi di conservazione previsti dalla legge. 7.4 Log e dati di sicurezza: 6–24 mesi. 7.5 Registrazioni di segnalazioni/ricorsi/moderazione: 3 anni. 7.6 Feedback: 2 anni. 7.7 Backup: sovrascritti o distrutti entro il ciclo di backup a rotazione (massimo 90 giorni). 7.8 Transazioni e fatture (ove future): conservate a norma di legge (di norma non meno di 5 anni). 7.9 Decorsi i termini, cancelliamo o anonimizziamo i dati, salvo diversa disposizione di legge.
8 Sicurezza e notifica degli incidenti
8.1 Adottiamo misure quali crittografia TLS, hash delle password con salt, controllo degli accessi, privilegio minimo, log di audit, classificazione e graduazione dei dati, ciclo di vita dello sviluppo sicuro, valutazione della sicurezza dei fornitori, backup e prove di ripristino. 8.2 In caso di violazione, alterazione o perdita di dati personali, attuale o potenziale, attiveremo immediatamente il piano di emergenza, adotteremo misure correttive, riferiremo alle autorità competenti a norma di legge e informeremo tempestivamente gli Utenti interessati, indicando le circostanze dell’incidente, i possibili impatti, le misure adottate e le raccomandazioni di protezione. 8.3 Nei casi in cui si applica il GDPR, notificheremo all’autorità di controllo entro 72 ore dalla presa di conoscenza (salvo che sia improbabile un rischio per i diritti e le libertà dell’Utente). 8.4 Nessuna misura di sicurezza può garantire la sicurezza assoluta; l’Utente è invitato a custodire adeguatamente le credenziali dell’account, ad attivare il blocco dell’app e a non mantenere l’accesso attivo su dispositivi pubblici.
9 Diritti dell’Utente
9.1 L’Utente ha diritto all’informazione e alla determinazione, all’accesso, alla copia, alla rettifica, all’integrazione, alla cancellazione, alla revoca del consenso, alla cancellazione dell’account, alla spiegazione, alla portabilità, alla presentazione di reclami e segnalazioni. 9.2 Percorsi nell’App: Il mio profilo → Modifica dati; Il mio profilo → Impostazioni → Privacy e sicurezza → Scarica i miei dati/Gestione dei consensi/Raccomandazioni personalizzate; Il mio profilo → Impostazioni → Account → Cancella account; Dettaglio del contenuto → Segnala. 9.3 L’Utente può inoltre inviare un’email a support@nutyet.com con oggetto “Richiesta sui diritti privacy”, indicando il tipo di richiesta e informazioni identificative verificabili. 9.4 Di norma rispondiamo entro 30 giorni (nello SEE, con eventuale proroga motivata ai sensi di legge in caso di richieste complesse); in California (Stati Uniti) entro 45 giorni; nelle altre regioni entro i termini di legge locali. 9.5 Nei casi che coinvolgono la sicurezza nazionale, la sicurezza pubblica, prove giudiziarie, diritti legittimi di terzi o impossibilità tecnica, potremo non soddisfare integralmente le richieste a norma di legge, indicandone le ragioni. 9.6 Se l’Utente non è soddisfatto della nostra risposta, può presentare reclamo all’autorità di controllo locale per la protezione dei dati.
10 Processi automatizzati, raccomandazioni personalizzate e AI
10.1 Possiamo utilizzare regole o modelli per generare punteggi di stato, tendenze, grado di completamento degli obiettivi, ordinamento e raccomandazione dei contenuti; tali trattamenti sono finalizzati a migliorare l’esperienza e non costituiscono decisioni automatizzate che producono effetti giuridici o analoghi effetti significativi nei confronti dell’Utente. 10.2 Non adottiamo decisioni che producano effetti significativi sull’Utente basate unicamente su trattamenti automatizzati (ad esempio, la decisione finale di bloccare un account è soggetta a revisione umana). 10.3 L’Utente può disattivare le raccomandazioni personalizzate nelle impostazioni; dopo la disattivazione continuerà a vedere contenuti non personalizzati. 10.4 Utilizziamo l’AI per la traduzione, la moderazione di contenuti testuali e di immagini, la moderazione di nickname/presentazione/immagine del profilo e le raccomandazioni; gli output dell’AI possono contenere errori e non costituiscono consulenza medica, legale o di altra natura professionale. 10.5 Identifichiamo i contenuti generati o sintetizzati dall’AI ai sensi delle “Misure per l’Identificazione dei Contenuti Generati o Sintetizzati dall’Intelligenza Artificiale” e della legge applicabile; l’Utente non può rimuovere, alterare o falsificare tali identificazioni. 10.6 Per i contenuti classificati dall’AI come ad alto rischio effettuiamo una revisione umana; l’Utente può presentare ricorso.
11 Minori
11.1 Il Servizio è destinato esclusivamente agli adulti di età superiore a 18 anni e non è fornito ai minori. 11.2 Non raccogliamo intenzionalmente dati personali di bambini di età inferiore a 14 anni; qualora rileviamo una raccolta accidentale, provvederemo alla cancellazione il prima possibile. 11.3 Se l’Utente è un minore di età compresa tra 14 e 18 anni, è invitato a leggere la presente Informativa con il proprio tutore e a utilizzare le funzionalità non sensibili solo previo consenso del tutore; raccomandiamo comunque ai minori di non utilizzare il Servizio. 11.4 Il tutore può esercitare per conto del minore i diritti di accesso, rettifica, cancellazione, revoca e cancellazione dell’account; è invitato a contattarci tramite support@nutyet.com fornendo prova del rapporto di tutela.
12 Cookie e memoria locale
12.1 L’App utilizza la memoria locale (SharedPreferences, archivi sicuri, cache) per conservare lo stato di accesso, il tema, la lingua, le impostazioni dei promemoria, le bozze, l’avanzamento della riproduzione e la configurazione del blocco dell’app. 12.2 Il sito web ufficiale è un sito statico e attualmente non utilizza cookie di analisi statistica, pubblicitari o di tracciamento di terzi; può utilizzare la memoria locale necessaria per conservare le preferenze linguistiche. 12.3 L’Utente può cancellare i dati o la cache dell’App nelle impostazioni di sistema; dopo la cancellazione potrebbe essere necessario effettuare nuovamente l’accesso e alcune preferenze andranno perse. 12.4 Non utilizziamo la memoria locale per vendere le registrazioni delle abitudini dell’Utente a reti pubblicitarie di terzi, né effettuiamo tracciamento pubblicitario tra applicazioni.
13 Autorizzazioni del dispositivo
13.1 Rete: sincronizzazione dei dati e caricamento dei contenuti (necessaria per le funzionalità di base). 13.2 Notifiche: promemoria e notifiche push (possono essere negate). 13.3 Fotocamera: scansione del codice QR dell’orologio, scatto di immagini del profilo o dei post (può essere negata). 13.4 Galleria/foto: selezione dell’immagine del profilo, immagini dei post (può essere negata). 13.5 Riproduzione multimediale/servizio in primo piano: riproduzione in background degli audio di meditazione (può essere negata). 13.6 Bluetooth/dispositivi nelle vicinanze: abbinamento dei dispositivi (se attivato, può essere negato). 13.7 Blocco dell’app (biometria): sblocco sul dispositivo (può essere negato; è necessario utilizzare il PIN o la password di sistema). 13.8 Le richieste di autorizzazione saranno motivate al momento dell’attivazione delle funzionalità interessate; l’Utente può revocarle in qualsiasi momento nelle impostazioni di sistema.
14 Aggiornamenti dell’Informativa e contatti
14.1 Possiamo modificare la presente Informativa nel tempo; le modifiche sostanziali saranno comunicate tramite avviso evidente in-app, pop-up o messaggio in-app, con aggiornamento del numero di versione e della data di entrata in vigore. 14.2 Costituiscono modifiche sostanziali le variazioni delle finalità, delle modalità o delle categorie del trattamento, dell’identità del titolare, dei destinatari della condivisione o del trasferimento transfrontaliero, dei diritti dell’Utente o delle modalità del loro esercizio, nonché delle regole sui dati sensibili. 14.3 Se le modifiche richiedono un nuovo consenso, lo richiederemo prima che l’Utente continui a utilizzare il Servizio; le versioni precedenti possono essere richieste a noi per consultazione. 14.4 Contatti: support@nutyet.com; assistenza clienti: support@nutyet.com; segnalazioni di violazioni: support@nutyet.com. 14.5 Se l’Utente non è soddisfatto della nostra risposta, può presentare reclamo all’autorità di controllo locale per la protezione dei dati.
15 Clausole aggiuntive per regione
15.1 SEE/Regno Unito/Svizzera: il titolare del trattamento è NutYet Team; se Lei si trova in tale regione, La preghiamo di contattarci all’indirizzo support@nutyet.com. Lei ha il diritto di accesso, di rettifica, di cancellazione, di limitazione del trattamento, alla portabilità dei dati, di opposizione, di revoca del consenso, di non essere sottoposto a decisioni automatizzate e di proporre reclamo all’autorità di controllo. I trasferimenti transfrontalieri avvengono mediante i meccanismi SCC/IDTA/FADP. 15.2 Stati Uniti (California e altri Stati): raccogliamo identificatori, informazioni commerciali, attività su Internet, dati personali sensibili e informazioni inferite; le fonti sono l’Utente, la raccolta automatica e i fornitori di servizi; le finalità sono la fornitura del servizio, la sicurezza, il miglioramento e la conformità; non vendiamo dati personali e non li condividiamo per la pubblicità comportamentale cross-context; l’Utente ha diritto all’informazione, alla cancellazione, alla rettifica, alla limitazione dell’uso dei dati sensibili, alla non discriminazione e all’esercizio tramite mandatario; di norma rispondiamo entro 45 giorni. 15.3 Brasile (LGPD): l’Utente ha diritto alla conferma del trattamento, all’accesso, alla rettifica, all’anonimizzazione/cancellazione, alla portabilità, alla revoca del consenso, all’opposizione e al reclamo; i trasferimenti internazionali si basano sui meccanismi dell’art. 33 della LGPD; l’autorità di controllo è l’ANPD. 15.4 Giappone (APPI): possiamo fornire dati personali a terzi situati all’estero; otterremo il consenso a norma di legge e forniremo le informazioni sul destinatario; l’Utente può richiedere la comunicazione, la rettifica, la sospensione dell’uso e la cancellazione; l’autorità di controllo è la PPC. 15.5 Corea (PIPA): l’Utente ha diritto di accesso, rettifica, cancellazione, sospensione del trattamento e revoca del consenso; qualora sia raggiunta la soglia di legge, designeremo un rappresentante nazionale; le autorità di controllo sono la PIPC/KISA. 15.6 Sud-est asiatico: i diritti di accesso, rettifica, cancellazione, revoca, opposizione e portabilità previsti dal PDPA thailandese, dal PDPA malese, dal PDP Law indonesiano, dal PDPA vietnamita e dal PDPA di Singapore sono esercitati in conformità alla legge locale. 15.7 Turchia/Medio Oriente: i diritti di accesso, rettifica, cancellazione, revoca, opposizione e reclamo previsti dal KVKK e dal PDPL saudita/emiratino sono esercitati in conformità alla legge locale. 15.8 Canada: i diritti di accesso, rettifica, revoca e reclamo previsti dal PIPEDA e dalla Law 25 del Québec sono esercitati in conformità alla legge locale. 15.9 La presente appendice non esclude i diritti di cui l’Utente gode in virtù della legge imperativa locale; in caso di conflitto con il testo principale, per la Sua regione prevale la presente appendice.