Informativa sulla privacy

Ultimo aggiornamento: 10 ottobre 2026

Prendiamo sul serio la protezione dei tuoi dati. In questa informativa sulla privacy spieghiamo in modo trasparente quali dati trattiamo, per cosa li usiamo e quali diritti hai. Se hai domande, scrivici in qualsiasi momento.

1. Titolare del trattamento

Il titolare del trattamento dei dati personali ai sensi dell'art. 4, punto 7, del GDPR è:

bloomnow FlexCo in Gründung (in fase di costituzione)
Amministratrice: Anna Christine Enzinger, MA BA
Azaleenweg 6
4048 Puchenau, Austria
E-mail: ace@bloomnow.app

L'iscrizione di bloomnow FlexCo nel registro delle imprese austriaco è in corso. Aggiungeremo il numero di registrazione e la partita IVA non appena saranno assegnati.

2. Referente per la protezione dei dati

Roxane Hunot, cofondatrice di bloomnow, è la referente interna per tutte le questioni di protezione dei dati. Non siamo tenuti a nominare un responsabile della protezione dei dati ai sensi dell'art. 37 del GDPR e non ne abbiamo nominato uno; questo non cambia nulla dei tuoi diritti.

E-mail: rh@bloomnow.app

Puoi rivolgere direttamente a lei qualsiasi domanda sul trattamento dei tuoi dati.

3. Principi generali

Trattiamo dati personali solo nella misura necessaria per mettere a disposizione il nostro sito e i nostri servizi e per adempiere agli obblighi di legge. Il trattamento avviene solo sulla base di una delle seguenti basi giuridiche dell'art. 6, paragrafo 1, del GDPR:

• (a) consenso
• (b) esecuzione di un contratto o di misure precontrattuali
• (c) adempimento di un obbligo legale
• (f) legittimo interesse

Le categorie particolari di dati personali ai sensi dell'art. 9 del GDPR (ad esempio i dati sulla salute) le trattiamo esclusivamente sulla base del tuo consenso esplicito ai sensi dell'art. 9, paragrafo 2, lettera a, del GDPR.

4. I trattamenti nel dettaglio

4.1 Visita al sito (log del server)

Quando visiti il nostro sito, il nostro fornitore di hosting registra automaticamente i dati tecnici che il tuo browser trasmette:

• indirizzo IP (abbreviato o anonimizzato quando tecnicamente possibile)
• data e ora della richiesta
• pagina o file richiesto
• browser e sistema operativo utilizzati
• URL di provenienza (referrer)

Questi dati servono a mettere tecnicamente a disposizione il sito, a garantirne stabilità e sicurezza e a difenderlo dagli attacchi. La base giuridica è l'art. 6, paragrafo 1, lettera f, del GDPR (legittimo interesse). I log del server vengono cancellati al più tardi dopo 30 giorni.

4.2 Cookie e gestione del consenso

Il nostro sito usa cookie, piccoli file di testo salvati nel tuo browser. Distinguiamo tra:

• cookie strettamente necessari, di cui il sito ha bisogno per funzionare. Base giuridica: art. 6, paragrafo 1, lettera f, del GDPR.
• cookie facoltativi (ad esempio per l'analisi web, la misurazione delle prestazioni o i contenuti incorporati), che vengono impostati solo con il tuo consenso. Base giuridica: art. 6, paragrafo 1, lettera a, del GDPR.

I cookie facoltativi (in particolare per l'analisi web e la misurazione del pubblico, e per misurare l'efficacia della pubblicità) vengono impostati solo dopo che hai dato il consenso tramite il nostro banner dei cookie. Per questo non usiamo uno strumento di terzi, ma una soluzione di consenso leggera sviluppata da noi, combinata con Google Consent Mode v2. Finché non dai il consenso, gli accessi alla memoria legati all'analisi e alla pubblicità (in particolare i cookie) restano disattivati; in questo stato i servizi Google funzionano senza cookie e senza riconoscerti. La misurazione delle prestazioni con Dynatrace ha una propria categoria nel banner, che puoi scegliere indipendentemente da Google (vedi la sezione 4.9).

Salviamo la tua scelta localmente nel tuo browser (localStorage), così il banner non ricompare a ogni visita. Puoi revocare o modificare in qualsiasi momento un consenso dato, con effetto per il futuro, tramite il link «Cookie settings» in fondo a ogni pagina. Revocare il consenso è semplice quanto darlo.

4.3 Analisi web e marketing (servizi Google)

Sulla base del tuo consenso (art. 6, paragrafo 1, lettera a, del GDPR) usiamo i seguenti servizi di Google Ireland Ltd. (Gordon House, Barrow Street, Dublino 4, Irlanda; società madre Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, Stati Uniti). Puoi revocare il consenso in qualsiasi momento tramite «Cookie settings» in fondo alla pagina.

Google Tag Manager. Usiamo Google Tag Manager per gestire la distribuzione dei tag (script) descritti qui sotto. Tag Manager di per sé non imposta cookie e non raccoglie dati personali a scopo di analisi; si limita a controllare il caricamento, subordinato al consenso, degli altri servizi.

Google Analytics 4. Usiamo Google Analytics 4 per capire come viene usato il nostro sito (ad esempio le pagine visitate, il tempo di permanenza, la posizione approssimativa, le informazioni su dispositivo e browser, e se ti sei registrato in anticipo o hai toccato un link all'App Store o a Google Play). Vengono trattati un identificativo pseudonimo (client ID) e il tuo indirizzo IP abbreviato; non li colleghiamo direttamente a te. Usiamo Google Analytics con l'abbreviazione dell'IP attiva e senza combinarlo con altre fonti di dati. Google cancella automaticamente questi dati di utilizzo dopo 14 mesi.

Google Ads (monitoraggio delle conversioni e remarketing). Misuriamo l'efficacia dei nostri annunci (ad esempio se a un clic su un annuncio segue una registrazione) e su questa base possiamo mostrare pubblicità. Google può impostare cookie a questo scopo, se hai dato il consenso.

I dati raccolti da questi servizi possono essere trasferiti negli Stati Uniti. Per questo ci basiamo sull'EU-US Data Privacy Framework (Google LLC è certificata) e, in aggiunta, su clausole contrattuali tipo ai sensi dell'art. 46 del GDPR. Trovi maggiori informazioni nell'informativa sulla privacy di Google all'indirizzo policies.google.com/privacy.

4.4 Registrazione anticipata per il lancio

L'app bloomnow è in una beta chiusa. Quando ti registri in anticipo per il lancio, trattiamo i seguenti dati per informarti del lancio pubblico di bloomnow e inviarti una conferma:

• nome (facoltativo)
• indirizzo e-mail
• preferenza linguistica (la lingua della pagina su cui ti registri)
• momento della registrazione

Dopo la registrazione anticipata ricevi un'e-mail di conferma. La base giuridica è il tuo consenso ai sensi dell'art. 6, paragrafo 1, lettera a, del GDPR. Puoi ritirare la registrazione in qualsiasi momento con un messaggio a rh@bloomnow.app. Dopo il ritiro cancelliamo i tuoi dati entro 30 giorni, salvo obblighi legali di conservazione.

Per gestire le registrazioni anticipate salviamo i dati nel nostro database presso Supabase (server a Francoforte, UE); l'e-mail di conferma viene inviata dal nostro responsabile del trattamento Resend Inc. (Stati Uniti). Trovi maggiori informazioni su entrambi i fornitori nella sezione 6.

Inoltre registriamo per ogni registrazione anticipata come è avvenuta (ad esempio la categoria del sito di provenienza o un codice di campagna anonimo da un link di tracciamento) e il paese di provenienza approssimativo (solo il codice paese di due lettere, senza salvare l'indirizzo IP). Valutiamo questi dati solo in forma aggregata, per capire quali canali funzionano. La base giuridica è il nostro legittimo interesse a una misurazione efficace della portata ai sensi dell'art. 6, paragrafo 1, lettera f, del GDPR.

4.5 Video incorporati e contenuti social

Il nostro sito contiene video di YouTube incorporati (ad esempio video di presentazione e voci del nostro comitato consultivo). Quando fai clic sull'anteprima del video, carichiamo il player di YouTube e il tuo browser stabilisce una connessione con i server di YouTube, trasmettendo almeno il tuo indirizzo IP.

Fornitori e possibili trasferimenti verso paesi terzi:

• YouTube: Google Ireland Ltd., Gordon House, Barrow Street, Dublino 4, Irlanda; società madre Google LLC, Stati Uniti

La base giuridica è il tuo consenso ai sensi dell'art. 6, paragrafo 1, lettera a, del GDPR, che dai facendo clic sull'anteprima. Per i trasferimenti negli Stati Uniti ci basiamo sull'EU-US Data Privacy Framework, se il fornitore in questione è certificato, e in aggiunta su clausole contrattuali tipo ai sensi dell'art. 46 del GDPR.

4.6 Comunicazione via e-mail

Se ci scrivi via e-mail, ad esempio a beta@bloomnow.app, ace@bloomnow.app o rh@bloomnow.app, trattiamo i dati personali contenuti nel tuo messaggio per gestire la tua richiesta.

Per rispondere più in fretta, le richieste di supporto in arrivo (e-mail e messaggi nell'app) vengono pre-ordinate con l'aiuto dell'IA e per il nostro team vengono preparate bozze di risposta. A questo scopo l'oggetto, un'anteprima e gli ultimi messaggi della tua richiesta vengono trasmessi a uno dei nostri fornitori di IA (trattamento nell'UE; vedi la sezione 6.2), elaborati in modo transitorio, non salvati lì e non usati per addestrare modelli di IA. La classificazione serve solo a ordinare la nostra coda di lavoro interna; ogni risposta viene letta, controllata e inviata da una persona del nostro team (nessuna decisione automatizzata ai sensi dell'art. 22 del GDPR). Sotto ogni risposta di supporto inviata via e-mail trovi inoltre due link con cui puoi dirci con un clic se la risposta ti è stata utile. Questo riscontro serve a misurare la qualità del nostro servizio (art. 6, paragrafo 1, lettera f, del GDPR), viene salvato solo con la richiesta di supporto in questione e cancellato insieme a essa; la pagina di conferma funziona senza cookie e senza tracciamento.

Trattiamo le recensioni pubbliche della nostra app negli store (Google Play, Apple App Store), con nome visualizzato, valutazione in stelle e testo, per rispondere e garantire la qualità della nostra app. La fonte sono gli store stessi; la base giuridica è il nostro legittimo interesse al supporto e alla garanzia della qualità (art. 6, paragrafo 1, lettera f, del GDPR). Modifiche e cancellazioni nello store vengono riprese quando sincronizziamo; diamo seguito anche direttamente alle richieste di cancellazione.

La base giuridica è l'art. 6, paragrafo 1, lettera b, del GDPR (misure precontrattuali o esecuzione di un contratto) oppure l'art. 6, paragrafo 1, lettera f, del GDPR (legittimo interesse a rispondere).

Le e-mail vengono cancellate quando il motivo della comunicazione è venuto meno e non vi si oppongono obblighi legali di conservazione.

4.7 La nostra misurazione del pubblico senza cookie

Per capire quante persone visitano il nostro sito e da quali canali arrivano, usiamo una nostra misurazione del pubblico leggera. A ogni pagina visualizzata salviamo un record anonimo nel nostro database presso Supabase (server a Francoforte, UE): la pagina visitata, la categoria della fonte di provenienza (ad esempio un motore di ricerca, un social network o un codice di campagna anonimo da un link di tracciamento) e il paese di provenienza approssimativo.

Questa misurazione funziona senza cookie e senza riconoscerti da una visita all'altra. Non impostiamo identificativi, non creiamo profili utente e non salviamo nessun indirizzo IP: il paese viene ricavato dall'indirizzo IP dal nostro fornitore di hosting (Vercel) e ci viene passato solo come codice paese di due lettere; per il resto non trattiamo l'indirizzo IP a questo scopo. Ne risultano solo statistiche aggregate anonime, che non permettono conclusioni su di te come persona. La base giuridica è il nostro legittimo interesse a una misurazione del pubblico rispettosa della privacy ai sensi dell'art. 6, paragrafo 1, lettera f, del GDPR.

4.8 La chat con bloomie sul sito

Nella finestra di bloomie sul nostro sito puoi fare domande su bloomnow. Quello che scrivi nella chat viene trasmesso a uno dei nostri fornitori di IA (trattamento nell'UE; vedi la sezione 6.2) per generare le risposte, e salvato insieme alle risposte nel nostro database presso Supabase (server a Francoforte, UE), così una conversazione in corso può continuare. Quello che scrivi non viene usato per addestrare modelli di IA. bloomie è indicato come IA, risponde solo a domande su bloomnow, non fa diagnosi e non prende decisioni automatizzate con effetti giuridici (art. 22 del GDPR). Per proteggerci dagli abusi, per ogni sessione di chat salviamo, al posto del tuo indirizzo IP, solo un valore di controllo con sale (hash) che non permette di risalire a te. Se lasci volontariamente nome e indirizzo e-mail per essere contattato dal nostro team, li trattiamo per rispondere alla tua richiesta. Ti chiediamo di non inserire nella chat dati sulla salute o altre informazioni particolarmente sensibili.

Base giuridica: art. 6, paragrafo 1, lettera f, del GDPR (legittimo interesse a rispondere alla tua richiesta e a un funzionamento sicuro); se ci contatti attivamente, art. 6, paragrafo 1, lettera b, del GDPR.

4.9 Misurazione delle prestazioni del sito (Dynatrace)

Se accetti la categoria «Misurazione delle prestazioni» nel banner dei cookie, usiamo Dynatrace per misurare quanto velocemente si caricano le nostre pagine e se si verificano errori. Solo allora il tuo browser carica uno script di Dynatrace e invia misurazioni tecniche: tempi di caricamento, messaggi di errore del browser, le pagine che apri durante una visita senza parametri di query, la pagina da cui arrivi, il fatto che hai fatto clic (senza l'etichetta dell'elemento), browser, sistema operativo, dimensione dello schermo e il tuo indirizzo IP, che Dynatrace maschera completamente prima di salvarlo. I dati inseriti nei moduli e i testi della pagina non vengono rilevati, e non registriamo le sessioni. Sulle pagine il cui indirizzo contiene parametri di query (come i link di conferma o di disiscrizione di un'e-mail) la misurazione non viene eseguita affatto. Non la colleghiamo al tuo account nell'app né a una registrazione anticipata, e non la usiamo per misurare da quale canale sei arrivato da noi.

Senza il tuo consenso lo script non viene caricato. Con il consenso, Dynatrace imposta cookie (tra cui dtCookie, dtPC, dtSa, rxVisitor e rxvt) e salva valori nella memoria del tuo browser; i cookie persistenti sono disattivati, quindi i cookie durano solo per la sessione del browser in corso. Se il tuo browser invia il segnale «Do Not Track», Dynatrace non misura nulla. Puoi revocare il consenso in qualsiasi momento tramite «Cookie settings» in fondo alla pagina; la misurazione si ferma e i cookie e i valori salvati vengono cancellati.

Destinatario: Dynatrace come responsabile del trattamento (vedi la sezione 6.2), trattamento nell'UE.
Base giuridica: il tuo consenso, art. 6, paragrafo 1, lettera a, del GDPR e § 165, comma 3, della legge austriaca sulle telecomunicazioni del 2021 (TKG 2021).
Conservazione: 35 giorni, poi cancellazione automatica.

5. Trattamento dei dati nell'app bloomnow

I trattamenti seguenti riguardano l'app bloomnow (iOS, Android, web app). Tutti i dati dell'app sono salvati nel nostro database presso Supabase, su server a Francoforte (AWS eu-central-1), nell'UE.

5.1 Account e profilo

Quando ti registri, trattiamo il tuo indirizzo e-mail, il tuo nome e, se vuoi, un'immagine del profilo. Puoi accedere con e-mail e password oppure tramite Google OAuth (Google LLC, Stati Uniti); se accedi con Google, riceviamo l'indirizzo e-mail e il nome salvati presso Google. Per la community puoi usare un alias e un avatar della community separato, così il tuo vero nome lì non deve essere visibile.

Base giuridica: art. 6, paragrafo 1, lettera b, del GDPR (esecuzione del contratto).
Conservazione: fino alla cancellazione del tuo account.

5.2 Impostazioni dell'app

Salviamo le tue impostazioni (ad esempio modalità colore, lingua, dimensione del testo, preferenze di notifica) per renderle disponibili su tutti i tuoi dispositivi.

Base giuridica: art. 6, paragrafo 1, lettera b, del GDPR.

5.3 Funzioni di cura di sé (dati sulla salute)

Se usi funzioni come il diario dell'umore (umore, qualità del sonno, etichette, note), i successi o gli strumenti salvati, trattiamo i contenuti che inserisci. Queste informazioni possono permettere conclusioni sulla tua salute e costituiscono quindi categorie particolari di dati personali (art. 9 del GDPR).

Base giuridica: il tuo consenso esplicito (art. 9, paragrafo 2, lettera a, del GDPR), che puoi revocare in qualsiasi momento con effetto per il futuro, cancellando i contenuti o il tuo account nell'app.

5.4 Questionari e autovalutazioni

L'app offre questionari (ad esempio sulla tua situazione familiare) e autovalutazioni: una su attenzione e attività (orientata all'ADHD) e una sulla possibilità che qualcuno sia nello spettro autistico, quest'ultima in una versione per adulti e una per bambini. Salviamo le tue risposte e i risultati calcolati da esse per consigliarti contenuti adatti e mostrarti i tuoi risultati. I test non sono strumenti diagnostici e non sostituiscono una valutazione professionale. Le informazioni che dai possono riguardare anche tuo figlio o tua figlia; vengono inserite esclusivamente da te, come genitore o titolare della responsabilità genitoriale.

Sulla modalità bambini: i bambini non hanno un account proprio e non accedono da nessuna parte. L'app ha però un'area bambini protetta che apri sul tuo dispositivo, con esercizi, lo spazio sonoro per bambini e giochi. Quello che nasce lì appartiene al tuo account: lo stato dei giochi (sezione 5.17) e gli eventi di utilizzo tecnici (sezione 5.9). I questionari e le autovalutazioni continui a compilarli tu, non il bambino.

Base giuridica: il tuo consenso esplicito (art. 9, paragrafo 2, lettera a, del GDPR), che dai prima del tuo primo questionario e puoi revocare in qualsiasi momento.

5.5 bloomie (assistente IA)

bloomie è un assistente basato sull'IA. Per generare le risposte, quello che scrivi nella chat viene trasmesso a uno dei nostri fornitori di IA con server nell'UE (vedi la sezione 6.2), e salvato insieme alle risposte come cronologia delle conversazioni nel tuo account, così puoi riprendere conversazioni precedenti. Quello che scrivi non viene usato per addestrare modelli di IA. bloomie è indicato espressamente come IA nell'app, non fa diagnosi e non prende decisioni automatizzate con effetti giuridici (art. 22 del GDPR). Puoi cancellare le cronologie delle conversazioni nell'app; se cancelli il tuo account, vengono rimosse completamente.

Perché le risposte si adattino alla tua situazione, insieme alla tua domanda trasmettiamo un piccolo estratto del tuo profilo: indicazioni sul neurotipo come sono emerse dai tuoi questionari, e i temi che finora ti hanno interessato. Queste informazioni vanno allo stesso responsabile del trattamento della domanda stessa. Fanno la differenza tra una risposta generica e una adatta, e poiché provengono dai questionari, si basano sullo stesso consenso esplicito di questi (vedi la sezione 5.4).

Base giuridica: art. 6, paragrafo 1, lettera b, del GDPR; nella misura in cui inserisci contenuti legati alla salute, e per la personalizzazione descritta sopra, il tuo consenso esplicito (art. 9, paragrafo 2, lettera a, del GDPR).

5.6 Community e messaggi privati

Post, commenti e reazioni nella community sono visibili agli altri utenti che hanno effettuato l'accesso (con il tuo alias della community, se impostato). Nelle community pubbliche la tua iscrizione è inoltre visibile pubblicamente, anche ai visitatori che non hanno effettuato l'accesso: vengono mostrati solo l'alias che hai scelto e il tuo avatar della community, mai il tuo vero nome né il tuo indirizzo e-mail. Gli elenchi dei membri dei gruppi privati o nascosti restano riservati agli utenti autorizzati che hanno effettuato l'accesso. I messaggi privati sono visibili solo a te e al rispettivo destinatario. Conserviamo questi contenuti finché non li cancelli tu, oppure il tuo account.

Base giuridica: art. 6, paragrafo 1, lettera b, del GDPR.

5.7 Notifiche push

Se attivi le notifiche push, salviamo un token del dispositivo e inviamo i messaggi tramite Firebase Cloud Messaging (Google LLC, Stati Uniti; trasferimento sulla base dell'EU-US Data Privacy Framework e di clausole contrattuali tipo). Puoi disattivare le notifiche push in qualsiasi momento nell'app o nelle impostazioni del sistema; il token viene rimosso quando cancelli il tuo account.

Una notifica può mostrare contenuti che hai inserito tu o che ti sono stati scritti, ad esempio il titolo di un appuntamento, i punti ancora aperti di una checklist, un messaggio diretto o il titolo di un post della community. In quel caso è visibile anche sulla schermata di blocco del tuo dispositivo. Se non lo desideri, puoi nascondere l’anteprima nelle impostazioni di sistema del dispositivo.

Quando consenti per la prima volta le notifiche sul tuo dispositivo, ti mostriamo una volta quali tipi di notifiche ti arriveranno da quel momento: i tuoi promemoria e appuntamenti, le risposte, le menzioni e i messaggi rivolti a te, i nuovi post e le reazioni nei tuoi gruppi, il consiglio del giorno, i promemoria di bloomnow quando non passi da un po', e le novità sull'app. Puoi disattivare ciascuno di questi tipi direttamente lì e in qualsiasi momento più tardi nell'app, nelle notifiche. Quello che confermi lì viene registrato nel registro descritto nella sezione 5.11.

Base giuridica: per le notifiche che fanno parte di una funzione che usi (i tuoi promemoria e appuntamenti, risposte, menzioni e messaggi, post e reazioni nei tuoi gruppi), art. 6, paragrafo 1, lettera b, del GDPR; per il consiglio del giorno, i promemoria dopo una pausa e le novità sull'app, il tuo consenso (art. 6, paragrafo 1, lettera a, del GDPR), che dai consentendo le notifiche e confermando la panoramica, e che revochi in qualsiasi momento con l'interruttore di quel tipo.

5.8 Appuntamenti, promemoria e tempo di percorrenza

La funzione appuntamenti ti permette di creare appuntamenti e promemoria, anche dettandoli a voce o facendoli riconoscere da una foto o da uno screenshot, e ti mostra una panoramica giornaliera. Salviamo nel tuo account i contenuti che inserisci (titolo, data, ora, luogo, note). Trattiamo il riconoscimento vocale e delle immagini solo per crearne un appuntamento. Il trattamento avviene sulla nostra infrastruttura nell'UE (Supabase, Francoforte); il riconoscimento del testo in una foto è svolto dal modello di visione di uno dei nostri fornitori di IA (trattamento nell'UE, vedi la sezione 6.2). La foto viene elaborata solo per questo singolo passaggio e non viene salvata da noi; il fornitore di IA non la usa per l'addestramento. Quello che resta è l'appuntamento che ne è nato.

Quando chiedi il tempo di percorrenza per un appuntamento, trasmettiamo il luogo dell'appuntamento a due servizi cartografici europei: Photon (gestito da Komoot GmbH, Germania) per la geocodifica, cioè la conversione dell'indirizzo in coordinate, e Valhalla (fornito da FOSSGIS e. V. sulla base di OpenStreetMap, Germania) per il calcolo del percorso e del tempo di percorrenza. Vengono trasmessi solo i dati di luogo necessari al calcolo, senza identificativo utente e senza collegamento al tuo account. Il trattamento avviene nell'UE; non c'è alcun trasferimento verso un paese terzo.

Base giuridica: art. 6, paragrafo 1, lettera b, del GDPR (esecuzione del contratto); il calcolo del tempo di percorrenza avviene solo su tua richiesta.

5.9 Statistiche di utilizzo e rapporti sugli arresti anomali (gestiti da noi)

Per sapere quali funzioni vengono usate e dove l'app incontra errori, raccogliamo due registrazioni tecniche. Entrambe restano esclusivamente sulla nostra infrastruttura nell'UE (Supabase, server a Francoforte). Dal 6 agosto 2026 non è coinvolto alcun fornitore terzo di analisi: PostHog e Firebase Crashlytics sono stati rimossi dall'app. Usiamo Firebase ormai solo per le notifiche push (vedi la sezione 5.7). Inoltre misuriamo gli arresti anomali e i tempi di caricamento dell'app con Dynatrace; quello che arriva lì è descritto nella sezione 5.24.

• Eventi di utilizzo. Quando apri una funzione o completi un passaggio, salviamo il nome dell'evento, l'area corrispondente dell'app, la versione dell'app, il numero di build e la piattaforma (iOS, Android, web), collegati all'identificativo del tuo account. Il contenuto di quello che inserisci, dei test o delle conversazioni non viene trasmesso, né ID pubblicitari o identificativi che ti renderebbero riconoscibile in altre app. Non c'è registrazione della sessione, quindi il contenuto del tuo schermo non viene registrato.
• Rapporti sugli arresti anomali. Quando l'app incontra un errore, salviamo il messaggio di errore, la cronologia tecnica delle chiamate (stack trace), la libreria interessata, la versione dell'app, il numero di build, la piattaforma e l'ora. Se in quel momento era attiva una sessione, l'identificativo del tuo account viene allegato al rapporto; altrimenti viene salvato senza alcun riferimento a un account. I contenuti che hai inserito non fanno parte del rapporto.

Base giuridica: art. 6, paragrafo 1, lettera f, del GDPR. Il nostro legittimo interesse è un'app stabile di cui possiamo trovare e correggere gli errori. Queste due registrazioni restano nel nostro database presso Supabase (sezione 6.1), nessun altro fornitore è coinvolto e non c'è alcun trasferimento verso un paese terzo.

Opposizione: puoi disattivare i rapporti sugli arresti anomali in qualsiasi momento nell'app, nella parte privacy e note legali del tuo profilo, con l'interruttore dei rapporti sugli arresti anomali (attivo per impostazione predefinita). Da quel momento non viene più raccolto alcun rapporto, anche da Dynatrace (sezione 5.24). Puoi opporti alle statistiche di utilizzo ai sensi dell'art. 21 del GDPR con una semplice e-mail a rh@bloomnow.app.

Conservazione: entrambe le registrazioni vengono cancellate insieme al tuo account. I rapporti sugli arresti anomali senza riferimento a un account non portano alcun identificativo e non possono essere ricondotti a te.

Termini di ricerca: se una ricerca nell'app non trova nulla, salviamo la richiesta, abbreviata a 80 caratteri e senza alcun riferimento al tuo account. Contiamo anche quali termini del nostro vocabolario tematico vengono cercati, anche questo senza riferimento al tuo account e solo con il giorno, mai l'ora. Entrambi servono solo a individuare contenuti mancanti e vengono cancellati dopo 90 giorni.

Fino al 6 agosto 2026 basavamo l'analisi di utilizzo e degli arresti anomali sul tuo consenso (art. 6, paragrafo 1, lettera a, del GDPR). I consensi già dati restano invariati, solo come prova ai sensi dell'art. 7, paragrafo 1, del GDPR. Non servono più come base per alcun trattamento.

5.10 Riscontri dall'app

Con il pulsante per i riscontri nell'app puoi dirci in qualsiasi momento cosa manca, cosa si blocca o cosa ti piace. Ogni messaggio ci aiuta a trovare gli errori più in fretta e a migliorare l'app per ogni famiglia. Per capire di cosa si tratta, lo salviamo con il tuo account e i dettagli tecnici che ci servono, ad esempio in quale punto dell'app ti trovavi. Alleghi uno screenshot solo se lo decidi tu. Se ci scrivi durante una conversazione con bloomie, alleghiamo la tua ultima domanda e la risposta di bloomie; il modulo te lo dice.

Per questo non ci servono informazioni sulla salute tua o di tuo figlio o tua figlia. Se sono comunque nel tuo messaggio o nello scambio con bloomie allegato, le usiamo solo per gestire il tuo riscontro, sulla base del tuo consenso esplicito, che dai inviandolo (art. 9, paragrafo 2, lettera a, del GDPR).

Base giuridica: art. 6, paragrafo 1, lettera f, del GDPR (il nostro interesse a correggere gli errori e migliorare l'app). Conservazione: finché ci serve il riscontro per migliorare l'app. Se cancelli il tuo account, rimuoviamo il tuo nome, il tuo indirizzo e-mail e lo screenshot; il testo resta, senza alcun collegamento al tuo account (vedi la sezione 5.14). Se vuoi che venga cancellato anche il testo, basta un messaggio a rh@bloomnow.app.

Salviamo inoltre quando hai accettato le condizioni d'uso e quale versione del testo hai accettato, per poter dimostrare questa accettazione (art. 7, paragrafo 1, del GDPR). Base giuridica: art. 6, paragrafo 1, lettera f, del GDPR (interesse alla prova).

5.11 Consenso per e-mail e notifiche

Decidi tu come possiamo raggiungerti: per le e-mail alla fine della configurazione, per le notifiche sul tuo dispositivo non appena le consenti, e per entrambe in qualsiasi momento più tardi nell'app, nelle notifiche. La decisione è separata per canale (e-mail o notifica sul dispositivo) e per occasione: un promemoria se la vita quotidiana prende il sopravvento; le novità di bloomnow; suggerimenti scelti sui tuoi temi. Per le e-mail non esiste volutamente un «sì a tutto» generale, perché non sarebbe un consenso informato. Le notifiche sul tuo dispositivo ti arrivano solo dopo che le hai consentite sul dispositivo; allora ti mostriamo ogni tipo separatamente, con il suo interruttore (vedi la sezione 5.7).

Di tutto questo teniamo un registro. Salviamo l'identificativo del tuo account, il canale, l'occasione, se hai dato o revocato il consenso, in quale punto dell'app è avvenuto, l'identificativo del testo che ti veniva mostrato in quel momento, e l'ora. Ogni consenso e ogni revoca è una voce a sé; non modifichiamo mai una voce esistente. Solo così possiamo mostrare più tardi a cosa esattamente hai detto sì, e cosa c'era sullo schermo in quel momento.

Base giuridica: per l'invio in sé il tuo consenso (art. 6, paragrafo 1, lettera a, del GDPR e, per le e-mail promozionali, inoltre il § 174 TKG 2021, il recepimento austriaco dell'art. 13 della direttiva 2002/58/CE); per il registro il nostro obbligo di dimostrazione ai sensi dell'art. 7, paragrafo 1, del GDPR (art. 6, paragrafo 1, lettera c, del GDPR).
Revoca: in qualsiasi momento nel tuo profilo o tramite il link di disiscrizione in ogni e-mail, con effetto per il futuro. La disiscrizione tramite il link ha effetto immediato e prevale su tutto ciò che è nel registro.
Conservazione: fino alla cancellazione del tuo account.

5.12 Sondaggi nell'app

Ogni tanto mostriamo una breve domanda, ad esempio se consiglieresti bloomnow a qualcuno. Puoi rispondere o rimandarla a più tardi. Entrambe le cose sono facoltative e non hanno conseguenze sul modo in cui usi l'app.

Per ogni domanda salviamo una riga: l'identificativo del tuo account, di quale domanda si trattava, se è stata mostrata, scartata o ha ricevuto risposta, la tua risposta (un valore sulla scala o un'opzione scelta), il tuo commento libero facoltativo, più lingua, versione dell'app, numero di build, piattaforma e gli orari. Questa riga ci serve anche per ricordarci di non chiedertelo di nuovo. Senza di essa, la stessa domanda ti aspetterebbe alla prossima apertura dell'app.

Base giuridica: art. 6, paragrafo 1, lettera f, del GDPR. Il nostro legittimo interesse è capire se l'app aiuta davvero, senza disturbarti più volte con la stessa domanda.
Opposizione: in qualsiasi momento con una semplice e-mail a rh@bloomnow.app ai sensi dell'art. 21 del GDPR.
Conservazione: fino alla cancellazione del tuo account.

5.13 Consigliare bloomnow (link di invito)

Nel tuo profilo trovi un link personale per far conoscere bloomnow. Se qualcuno si registra in anticipo per il lancio tramite il tuo link, ti accreditiamo punti nella community. Il link lo invii tu; non scriviamo mai a nessuno a nome tuo e non salviamo nessuno dei tuoi contatti.

Per questo salviamo il tuo codice personale insieme all'identificativo del tuo account, e una voce per ogni registrazione accreditata con il codice, un identificativo interno della registrazione e l'ora. Vedi sempre e solo numeri, cioè quante registrazioni e quanti punti sono arrivati. Non vedi mai i nomi né gli indirizzi e-mail delle persone che hanno seguito il tuo link. La registrazione anticipata in sé viene trattata come qualsiasi altra (vedi la sezione 4.4).

Base giuridica: art. 6, paragrafo 1, lettera b, del GDPR nella misura in cui usi la funzione; altrimenti art. 6, paragrafo 1, lettera f, del GDPR (un accredito tracciabile e resistente agli abusi).
Conservazione: fino alla cancellazione del tuo account.

5.14 Esportazione dei dati e cancellazione dell'account

Puoi esercitare entrambi i diritti direttamente nell'app (nel tuo profilo, con l'esportazione dei dati o la cancellazione dell'account). L'esportazione viene inviata come file leggibile da una macchina all'indirizzo e-mail verificato del tuo account (inviata dal nostro responsabile del trattamento Resend Inc., Stati Uniti). La cancellazione dell'account rimuove subito e in modo irreversibile tutti i tuoi dati dal nostro database, compresi profilo, dati del diario e dei test, cronologie delle conversazioni, contenuti della community e messaggi privati. Le copie residue nei backup cifrati scadono automaticamente al termine del periodo di conservazione dei backup. Come prova della cancellazione conserviamo solo un valore di controllo anonimo (hash) con data e ora, che non permette di risalire a te. I riscontri che ci hai inviato con il pulsante per i riscontri restano senza il tuo nome, il tuo indirizzo e-mail o lo screenshot e non possono più essere collegati al tuo account (vedi la sezione 5.10).

L'esportazione contiene tutti i dati conservati nel tuo account, compresi espressamente quelli che non hai scritto tu. Oltre a profilo, impostazioni, dati del diario e dei test, conversazioni con bloomie, contenuti della community e messaggi privati, questo significa i tuoi eventi di utilizzo, i rapporti sugli arresti anomali attribuiti a te, le tue voci nel registro dei consensi, le tue risposte ai sondaggi e i punti di invito accreditati. Per il diritto di accesso ai sensi dell'art. 15 del GDPR non importa chi abbia prodotto i dati: ne fanno parte anche i dati osservati e dedotti, purché ti riguardino.

Prima di cancellare ti chiediamo, in modo facoltativo, il motivo, con una scelta di risposte fisse e un campo di testo libero facoltativo. Salviamo questa risposta senza alcun riferimento alla tua persona: solo il motivo scelto, il tuo testo libero, la lingua dell'interfaccia e la data al giorno. Nessun identificativo dell'account, nessun indirizzo e-mail, nessun orario, e non la colleghiamo a nulla, nemmeno al record della cancellazione. In seguito non può essere ricondotta a te, ed è proprio per questo che può sopravvivere alla cancellazione. Puoi saltare la domanda; non ha alcun effetto sulla cancellazione.

Base giuridica di questa domanda: art. 6, paragrafo 1, lettera f, del GDPR (capire perché le persone se ne vanno). Poiché la risposta salvata non ha alcun riferimento a una persona, una volta registrata non è più un dato personale.

5.15 Momenti

Con i «momenti» annoti cosa succedeva in una determinata situazione: la situazione stessa, cosa l'ha preceduta, come si è manifestata, quanto è stata intensa, cosa ha aiutato, più una nota facoltativa e, se vuoi, la qualità del sonno della notte prima. Col tempo lì emerge uno schema che un singolo giorno nasconde.

Ogni momento porta anche dati ambientali per quell'istante. Sono lì perché tu possa vedere da solo se c'è un collegamento; oltre a questo non li valutiamo. I due valori lunari, fase lunare e illuminazione, vengono calcolati dall'app sul tuo dispositivo. Per questi nulla lascia il dispositivo.

Diverso è il caso di condizioni meteo, pressione atmosferica e temperatura, ed è per questo che lo spieghiamo qui: l'app li ottiene da un servizio meteo, Open-Meteo GmbH, con sede a Bürglen (cantone di Uri, Svizzera). Viene trasmessa solo la tua posizione approssimativa, arrotondata a due decimali, cioè circa un chilometro. Non viene inviato alcun identificativo dell'account, nessun identificativo del dispositivo e nessun nome. Poiché la richiesta parte dal tuo dispositivo, Open-Meteo vede il tuo indirizzo IP; secondo le loro indicazioni, gli indirizzi IP vengono registrati solo per scopi tecnici e di sicurezza, non vengono collegati a persone e vengono cancellati dopo 90 giorni.

Questo avviene solo se hai attivato il permesso meteo nello strumento sulla sensibilità al meteo, e per i momenti solo per il giorno in corso. Lo stesso servizio fornisce anche le previsioni meteo della settimana. Se disattivi il permesso, non viene più richiesto nulla e i momenti fanno a meno dei valori meteo. La ricerca di professionisti vicino a te non è interessata: lì la tua posizione resta sul dispositivo e la distanza viene calcolata lì.

Base giuridica: il tuo consenso esplicito (art. 9, paragrafo 2, lettera a, del GDPR), perché queste voci permettono conclusioni sulla salute. Puoi revocarlo in qualsiasi momento con effetto per il futuro cancellando le voci o il tuo account. Per la richiesta meteo la base giuridica è il tuo consenso (art. 6, paragrafo 1, lettera a, del GDPR), che dai con il permesso meteo e revochi con esso.
Conservazione: finché non cancelli la voce, al più tardi fino alla cancellazione del tuo account.

5.16 Test iniziati

Se interrompi un questionario o un'autovalutazione a metà, ricordiamo dove ti sei fermato: di quale test si trattava, per chi in famiglia, a quante domande hai risposto, quante sono in totale, a che punto sei, e quando hai iniziato e ripreso l'ultima volta. Le tue risposte non fanno parte di questo segnaposto, e da esso non viene ricavato alcun risultato.

È il motivo per cui puoi riprendere un test invece di ricominciare. Se cancelli il test iniziato nell'app, il segnaposto se ne va con lui.

Base giuridica: art. 6, paragrafo 1, lettera b, del GDPR (esecuzione del contratto). Già il fatto di sapere quale test hai iniziato può riguardare la salute, perciò basiamo inoltre questo salvataggio sullo stesso consenso esplicito che dai prima del primo questionario (art. 9, paragrafo 2, lettera a, del GDPR, vedi la sezione 5.4).
Conservazione: finché il test non è completato o cancellato, al più tardi fino alla cancellazione del tuo account.

5.17 Progressi nei giochi

Per i giochi nell'app salviamo un salvataggio per gioco: di quale gioco si tratta, gli slot di salvataggio con i progressi raggiunti, e quando è stato salvato l'ultima volta. Così un gioco riprende dallo stesso punto su un altro dispositivo. I contenuti di altre parti dell'app non ne fanno parte.

Base giuridica: art. 6, paragrafo 1, lettera b, del GDPR.
Conservazione: fino alla cancellazione del tuo account.

5.18 Famiglia e condivisione

Puoi creare una famiglia nell'app e invitarvi delle persone. Per questo salviamo la famiglia stessa e chi l'ha creata, e per ogni persona invitata l'invito con indirizzo e-mail, ruolo e stato, la chiave d'invito e il momento in cui è stato accettato. A questo si aggiunge il profilo che crei per ogni membro della famiglia: nome visualizzato, tipo di membro, anno di nascita o fascia d'età, colore, avatar e interessi. Di regola queste informazioni riguardano altre persone, di solito tuo figlio o tua figlia, e le inserisci tu come titolare della responsabilità genitoriale.

Cosa diventa visibile all'interno della famiglia lo decidi tu e nessun altro: per ogni membro, se viene condiviso con la famiglia, e per ogni account, se i momenti vengono condivisi. Puoi anche condividere deliberatamente singoli contenuti. Per questo salviamo di cosa si tratta, a chi è andata la condivisione, quali diritti comprende, la chiave di condivisione, lo stato e le date. Puoi revocare una condivisione in qualsiasi momento.

Base giuridica: art. 6, paragrafo 1, lettera b, del GDPR; nella misura in cui vengono condivisi contenuti legati alla salute, il tuo consenso esplicito (art. 9, paragrafo 2, lettera a, del GDPR), che sta nell'atto deliberato di condividere.
Conservazione: finché non cancelli la famiglia, il membro o la condivisione, al più tardi fino alla cancellazione del tuo account.

5.19 Verifica dei diritti e aiuto per le richieste

La verifica dei diritti ti mostra quali sostegni esistono nel tuo paese, cosa offrono, dove si richiedono, quali scadenze sono in corso e a chi rivolgerti, più schede sui mezzi di ricorso, ad esempio quando una domanda è stata respinta. Questo contenuto è uguale per tutti, non è un'affermazione su di te. Il paese su cui si basa è impostato nel tuo profilo.

L'aiuto per le richieste ne compone un testo che invii tu stesso, a un ufficio, a una scuola o a qualsiasi altro destinatario tu scelga. La formulazione è prodotta da un modello di IA, quindi le informazioni che fornisci a questo scopo vanno a uno dei nostri fornitori di IA (trattamento nell'UE, vedi la sezione 6.2): di cosa tratta la richiesta, a quale ente è rivolta e quale paese riguarda.

Altre tre informazioni sta a te aggiungerle o tralasciarle: il nome di tuo figlio o tua figlia, il tuo nome e una breve descrizione della tua vita quotidiana. Rendono la lettera più personale e in quel caso vengono inviate anch'esse al fornitore di IA. Le citiamo qui una per una perché le prime due sono informazioni su un'altra persona e la descrizione può riguardare la salute. Lo strumento funziona senza tutte e tre.

Per questo strumento non salviamo alcuna riga nostra su di te: né le tue informazioni, né il testo prodotto, né a chi lo invii. Anche presso il fornitore di IA non resta nulla. Il fatto che hai aperto lo strumento può essere registrato come evento di utilizzo secondo la sezione 5.9.

Base giuridica: art. 6, paragrafo 1, lettera b, del GDPR; per le tre informazioni facoltative il tuo consenso (art. 6, paragrafo 1, lettera a, del GDPR) e, se la descrizione riguarda la salute, il tuo consenso esplicito ai sensi dell'art. 9, paragrafo 2, lettera a, del GDPR. Sta nel fatto che compili quei campi; se restano vuoti, non viene trasmesso nulla.

5.20 Un promemoria dopo una pausa più lunga

Se non entri nell'app da un po', ti inviamo al massimo un promemoria gentile. Per questo salviamo una riga per promemoria: l'identificativo del tuo account, di quale fase si trattava, quando è stato inviato e se è stato trattenuto. Questa riga fa anche da freno. Senza di essa riceveresti lo stesso promemoria più volte.

Via e-mail, un promemoria del genere ti arriva solo se l'hai accettato. Come notifica sul tuo dispositivo, ti arriva dopo che hai consentito le notifiche e finché non disattivi questo tipo. Puoi modificare entrambe le cose in qualsiasi momento nell'app, nelle notifiche (vedi le sezioni 5.7 e 5.11).

Base giuridica: per l'invio via e-mail e come notifica, il tuo consenso (art. 6, paragrafo 1, lettera a, del GDPR, vedi le sezioni 5.7 e 5.11); per la registrazione, il nostro legittimo interesse a non scriverti ripetutamente (art. 6, paragrafo 1, lettera f, del GDPR).
Revoca: in qualsiasi momento nell'app, nelle notifiche, o tramite il link di disiscrizione nell'e-mail, con effetto per il futuro.
Conservazione: fino alla cancellazione del tuo account.

5.21 Professionisti elencati e resoconti di esperienze su di loro

L'app e questo sito contengono un elenco di professionisti: nome, titolo, professione, indirizzo dello studio, recapiti, lingue, ambiti di attività e una breve descrizione. Queste informazioni provengono da fonti accessibili al pubblico, da segnalazioni degli utenti o dal professionista stesso. In parte, quindi, non le raccogliamo presso la persona interessata ma tramite terzi; questa sezione è al tempo stesso l'informativa richiesta dall'art. 14 del GDPR.

Finalità e base giuridica: le famiglie devono poter trovare aiuto professionale vicino a loro. La base giuridica è l'art. 6, paragrafo 1, lettera f, del GDPR: l'interesse delle famiglie che cercano a un elenco consultabile di persone che agiscono in ambito professionale, e il nostro interesse a offrirlo loro. Vengono trattati solo dati della sfera professionale, nessun indirizzo privato e nessun dato sulla salute del professionista.

Resoconti di esperienze. Gli utenti possono consigliare un professionista e scrivere come hanno vissuto il sostegno ricevuto. Sono affermazioni su una persona con nome e cognome, per questo le esaminiamo prima della pubblicazione. Fino ad allora nessuno le vede, tranne chi le ha scritte, e noi. Ciò che viola le nostre regole, o afferma un fatto che non possiamo verificare, non viene pubblicato. Le voci segnalate vengono riesaminate e rimosse se la segnalazione è fondata.

Se sei tu a essere elencato: hai diritto di accesso ai dati salvati su di te, di rettifica, di cancellazione e di opposizione ai sensi dell'art. 21 del GDPR. Non devi motivare l'opposizione a essere elencato; in quel caso rimuoviamo la voce dall'app e dal sito, insieme ai resoconti di esperienze collegati. Basta un'e-mail a rh@bloomnow.app, e rispondiamo entro un mese. Lo stesso vale se ritieni che un singolo resoconto sia inesatto.

Conservazione: fino a un'opposizione o finché la voce non viene meno per un altro motivo; i resoconti di esperienze al massimo quanto la voce a cui appartengono.

5.22 Abbonamenti e acquisti

Sottoscrivi gli abbonamenti tramite lo store del tuo dispositivo. I tuoi dati di pagamento (numero di carta, conto bancario) li vedono solo Apple o Google; a noi non arrivano. Per sbloccare il tuo accesso e ripristinarlo su un altro dispositivo, per un acquisto trattiamo: l'identificativo del tuo account, un identificativo anonimo dell'acquirente assegnato dallo store, l'identificativo del prodotto del pacchetto scelto, la durata, l'inizio e la fine del periodo in corso, se si tratta di un periodo di prova, lo stato (attivo, disdetto, scaduto) e, per verificare l'acquisto, la ricevuta d'acquisto dello store.

Per gestire gli abbonamenti usiamo RevenueCat (RevenueCat, Inc., 633 Taraval St., Suite 101, San Francisco, CA 94116, Stati Uniti). RevenueCat verifica le ricevute d'acquisto presso Apple e Google e ci comunica lo stato del tuo abbonamento. Lì vengono trasmessi i dati d'acquisto indicati sopra, l'identificativo del tuo account e i dati tecnici della chiamata (indirizzo IP, tipo di dispositivo, sistema operativo e versione dell'app, paese e valuta dello store). Nessun contenuto dell'app, nessun nome e nessun indirizzo e-mail.

Dagli eventi di abbonamento (acquisto, rinnovo, disdetta, rimborso) salviamo inoltre una riga senza dati di pagamento nelle nostre statistiche di utilizzo (sezione 5.9), così sappiamo quante famiglie usano quale pacchetto. Quanto di un volume limitato hai già usato nella settimana in corso (ad esempio i minuti nello spazio sonoro) lo contiamo per account e per settimana, così l'app può dirti cosa ti resta.

Base giuridica: art. 6, paragrafo 1, lettera b, del GDPR (esecuzione del contratto); per le statistiche art. 6, paragrafo 1, lettera f, del GDPR.
Conservazione: lo stato dell'abbonamento fino alla fine dell'abbonamento e poi per la durata degli obblighi legali di conservazione (sette anni per i documenti contabili in Austria); i contatori settimanali fino alla fine della settimana in questione, al più tardi fino alla cancellazione del tuo account.

5.23 Log operativi delle nostre funzioni server

Per accorgerci quando qualcosa smette di funzionare dietro le quinte, il nostro ambiente server tiene un log tecnico: se una funzione server fallisce o impiega un tempo insolitamente lungo, viene scritta una riga con il nome della funzione, il metodo della richiesta, il percorso senza parametri di query, lo stato della risposta, la durata e il testo tecnico dell'errore. Lo stesso log registra quando un servizio da cui dipendiamo non funziona.

Lo indichiamo qui espressamente perché riguarda il nostro funzionamento e non i tuoi dati: nessun identificativo del tuo account, nessun indirizzo IP, nessuna intestazione della tua richiesta, nessun contenuto. Non ci permette di sapere chi ha fatto qualcosa, solo che qualcosa non ha funzionato. Il log stesso è conservato sulla nostra infrastruttura nell'UE.

Per il monitoraggio tecnico, anche misurazioni delle nostre funzioni server vanno a Dynatrace (sezione 6.2): per ogni richiesta il nome della funzione, il metodo, il percorso senza parametri di query, lo stato, la durata, un testo di errore abbreviato, se la richiesta proveniva da una persona, dai nostri account di prova o da un controllo automatico, e l'identificativo tecnico della richiesta, che ci permette di collegare un errore sul server all'arresto anomalo corrispondente nell'app (sezione 5.24). Anche lì non arriva alcun identificativo del tuo account, nessun indirizzo IP della tua richiesta e nessun contenuto. A questo si aggiungono dati sull'uso dell'app che prima riassumiamo da parte nostra: totali che vengono trasmessi solo a partire da cinque account, e singoli eventi di acquisto e di attivazione senza alcun identificativo (come pacchetto, store, piattaforma e versione dell'app).

Base giuridica: art. 6, paragrafo 1, lettera f, del GDPR. Il nostro legittimo interesse è un servizio sicuro e stabile, i cui guasti non passano inosservati.
Conservazione: 30 giorni, poi cancellazione automatica; presso Dynatrace 35 giorni.

5.24 Stabilità e tempi di caricamento dell'app (Dynatrace)

Per trovare rapidamente arresti anomali e punti lenti nell'app, nell'app funziona un modulo di misurazione di Dynatrace. Invia i rapporti sugli arresti anomali del dispositivo (tipo di errore e cronologia tecnica delle chiamate), valori tecnici di prestazione come i tempi di avvio e di caricamento, modello del dispositivo, sistema operativo, versione dell'app e l'indirizzo IP del tuo dispositivo, che Dynatrace maschera completamente prima di salvarlo.

Il modulo funziona al livello più basso al quale Dynatrace misura qualcosa: nessun nome, nessun indirizzo e-mail, nessun identificativo del tuo account, niente di ciò che inserisci o leggi, nessun nome di schermate o contenuti e nessuna registrazione della tua sessione. Quando l'app chiama i nostri server, aggiunge solo un identificativo tecnico della richiesta, così possiamo collegare un errore sul server all'arresto anomalo nell'app (sezione 5.23); la richiesta stessa e il suo indirizzo non vengono comunicati a Dynatrace.

Destinatario: Dynatrace come responsabile del trattamento (vedi la sezione 6.2), trattamento nell'UE.
Base giuridica: art. 6, paragrafo 1, lettera f, del GDPR. Il nostro legittimo interesse è un'app stabile di cui possiamo trovare e correggere gli errori.
Opposizione: lo stesso interruttore dei rapporti sugli arresti anomali, nella parte privacy e note legali del tuo profilo, ferma anche questo modulo; da quel momento l'app non invia più nulla dal tuo dispositivo a Dynatrace.
Conservazione: 35 giorni, poi cancellazione automatica.

5.25 Recesso da un contratto (funzione di recesso online)

Su bloomnow.app/it/withdrawal puoi recedere da un abbonamento sottoscritto tramite Google Play. A questo scopo trattiamo ciò che scrivi nel modulo: il tuo nome e il tuo indirizzo e-mail, facoltativamente il numero d’ordine Google Play, l’e-mail del tuo account bloomnow e la data di acquisto, oltre alla data e all’ora di ricezione. Da qui nasce una richiesta nella nostra casella di assistenza nell’UE (vedi la sezione 4.6), tramite la quale disponiamo il rimborso presso Google. La conferma di ricezione te la inviamo via e-mail. Se la creazione della richiesta non riesce, registriamo le tue informazioni in un registro degli errori, così che il tuo recesso non vada perso. Cancelliamo il registro non appena la richiesta è stata creata, al più tardi dopo 30 giorni.

La base giuridica è l’art. 6, paragrafo 1, lettera b) GDPR (esecuzione del tuo contratto) e, per la conservazione, l’art. 6, paragrafo 1, lettera c) GDPR. Conserviamo queste informazioni per sette anni, quanto gli altri documenti contrattuali e contabili (sezione 8).

6. Hosting e responsabili del trattamento

6.1 Hosting

Il nostro sito viene distribuito da Vercel Inc. (340 S Lemon Ave #4133, Walnut, CA 91789, Stati Uniti) tramite i suoi nodi edge europei. Abbiamo stipulato con Vercel un accordo sul trattamento dei dati ai sensi dell'art. 28 del GDPR. Poiché Vercel è un'azienda con sede negli Stati Uniti, per ogni trasferimento di dati ci basiamo inoltre sull'EU-US Data Privacy Framework e su clausole contrattuali tipo ai sensi dell'art. 46 del GDPR.

L'infrastruttura della nostra app (database, autenticazione, archiviazione) funziona presso Supabase (Supabase Inc., 970 Toa Payoh North, Singapore), su server a Francoforte nella regione AWS eu-central-1. I dati personali degli utenti della nostra app sono salvati esclusivamente nell'UE. Abbiamo stipulato con Supabase un accordo sul trattamento dei dati ai sensi dell'art. 28 del GDPR. Poiché Supabase ha una società madre statunitense, ci basiamo inoltre sull'EU-US Data Privacy Framework e su clausole contrattuali tipo ai sensi dell'art. 46 del GDPR.

6.2 Panoramica dei responsabili del trattamento

Ci avvaliamo di responsabili del trattamento per questi compiti: l'hosting del sito web; database, accesso e archiviazione per l'app; i modelli di IA per bloomie e i nostri strumenti assistiti dall'IA; l'invio di e-mail; le notifiche push; l'accesso con Google; la gestione degli abbonamenti; il monitoraggio tecnico; e, solo con il tuo consenso, l'analisi web e la misurazione dell'efficacia pubblicitaria. A questi si aggiungono servizi aperti di mappe e meteo, che ricevono solo una posizione senza alcun identificativo.

Quali sono questi fornitori, per cosa li usiamo, dove hanno sede e dove trattano i dati è indicato nell'elenco dei nostri fornitori. L'elenco fa parte della presente informativa sulla privacy. Quando cambia un fornitore, aggiorniamo l'elenco e vi indichiamo la data della modifica.

Abbiamo stipulato accordi sul trattamento dei dati ai sensi dell'art. 28 del GDPR con ogni responsabile che salva o tratta dati per nostro conto. Photon, Valhalla e Open-Meteo, invece, sono servizi aperti di mappe e meteo che interroghiamo: lì arrivano solo i dati di luogo necessari al calcolo, senza alcun identificativo e senza collegamento al tuo account.

Le statistiche di utilizzo dell'app e i suoi rapporti sugli arresti anomali funzionano senza alcun fornitore terzo di analisi, nel nostro database nell'UE (vedi la sezione 5.9). Per il monitoraggio tecnico dell'app, delle nostre funzioni server e, con il tuo consenso, del sito usiamo Dynatrace (vedi le sezioni 4.9, 5.23 e 5.24).

7. Trasferimenti verso paesi terzi

I tuoi dati vengono trasferiti verso paesi terzi (fuori dall'UE o dal SEE) solo se è necessario per fornire il servizio richiesto, ad esempio per contenuti incorporati di fornitori statunitensi, e se hai dato il consenso o si applica un'altra base giuridica.

In questi casi ci basiamo su:

• l'EU-US Data Privacy Framework (per i fornitori statunitensi certificati), oppure
• clausole contrattuali tipo ai sensi dell'art. 46 del GDPR, insieme a misure tecniche e organizzative supplementari.

Per RevenueCat (Stati Uniti, sezione 5.22) ci basiamo su clausole contrattuali tipo ai sensi dell'art. 46 del GDPR, che fanno parte dell'accordo sul trattamento dei dati; vengono trasferiti solo l'identificativo dell'account e i dati d'acquisto.

Un caso particolare è il servizio meteo Open-Meteo, con sede in Svizzera (sezione 5.15). La Commissione europea ha riconosciuto alla Svizzera un livello adeguato di protezione dei dati (decisione di adeguatezza ai sensi dell'art. 45 del GDPR). Non servono clausole contrattuali tipo, ma si tratta comunque di un trasferimento verso un paese terzo, e per questo è indicato qui.

8. Periodi di conservazione

Conserviamo i dati personali solo per il tempo necessario al rispettivo trattamento o richiesto dalla legge:

• Registrazione anticipata per il lancio: fino al lancio pubblico dell'app e fino a 6 mesi dopo se non viene creato un account; ritiro possibile in qualsiasi momento, seguito dalla cancellazione entro 30 giorni
• Dati dell'app: finché esiste il tuo account; quando cancelli il tuo account, tutti i tuoi dati vengono cancellati subito e a cascata dal nostro database; copie residue restano solo nei backup cifrati fino alla scadenza del periodo di conservazione dei backup del nostro fornitore di hosting
• Eventi di utilizzo e rapporti sugli arresti anomali dell'app: fino alla cancellazione del tuo account; i rapporti sugli arresti anomali senza riferimento a un account non portano alcun identificativo e non possono essere ricondotti a nessuno
• Registro dei consensi dell'app, risposte ai sondaggi e voci di invito: fino alla cancellazione del tuo account
• Momenti, test iniziati, progressi nei giochi, voci di famiglia e condivisione e registro dei promemoria: finché non cancelli la voce in questione, al più tardi fino alla cancellazione del tuo account
• Voci dell'elenco dei professionisti con i resoconti di esperienze collegati: finché il professionista non si oppone o la voce non viene meno per un altro motivo
• Motivo indicato per la cancellazione di un account: conservato a tempo indeterminato, perché non ha alcun riferimento a una persona e non può essere ricondotto a nessuno
• Dati di utilizzo del sito in Google Analytics 4: 14 mesi, poi cancellazione automatica
• Log del server: massimo 30 giorni
• Log operativi delle nostre funzioni server (sezione 5.23): 30 giorni
• Misurazioni tecniche presso Dynatrace (sezioni 4.9, 5.23 e 5.24): 35 giorni
• Comunicazione via e-mail: fino alla chiusura della questione, poi al massimo 3 anni
• Dati contabili e fiscali: secondo gli obblighi legali di conservazione (di norma 7 anni in Austria)
• Recesso tramite la funzione di recesso online (sezione 5.25): 7 anni

9. I tuoi diritti

Nei nostri confronti hai in qualsiasi momento i seguenti diritti:

• Diritto di accesso ai sensi dell'art. 15 del GDPR: ti diciamo quali dati abbiamo su di te.
• Diritto di rettifica ai sensi dell'art. 16 del GDPR: puoi far correggere dati inesatti.
• Diritto alla cancellazione ai sensi dell'art. 17 del GDPR: puoi chiedere la cancellazione dei tuoi dati, salvo obblighi legali di conservazione. Puoi cancellare tu stesso il tuo account e tutti i dati collegati in qualsiasi momento, anche senza l'app, su bloomnow.ai/it/delete-account.
• Diritto di limitazione del trattamento ai sensi dell'art. 18 del GDPR
• Diritto alla portabilità dei dati ai sensi dell'art. 20 del GDPR: ricevi i tuoi dati in un formato strutturato, di uso comune e leggibile da una macchina.
• Diritto di opposizione ai sensi dell'art. 21 del GDPR: puoi opporti in qualsiasi momento a un trattamento basato sul legittimo interesse.
• Diritto di revocare il consenso ai sensi dell'art. 7, paragrafo 3, del GDPR: puoi revocare qualsiasi consenso in qualsiasi momento con effetto per il futuro.

Puoi esercitare il diritto di accesso o alla portabilità e il diritto alla cancellazione anche direttamente nell'app, nel tuo profilo, con l'esportazione dei dati o la cancellazione dell'account (vedi la sezione 5.14).

Basta una breve e-mail a rh@bloomnow.app. Rispondiamo entro il termine di legge di un mese.

10. Diritto di proporre reclamo

Hai il diritto di proporre reclamo a un'autorità di controllo per la protezione dei dati se ritieni che il trattamento dei tuoi dati violi il GDPR. L'autorità di controllo competente per noi è:

Autorità austriaca per la protezione dei dati (Datenschutzbehörde)
Barichgasse 40 a 42, 1030 Vienna, Austria
www.dsb.gv.at

Puoi rivolgerti anche all'autorità di controllo del luogo in cui risiedi o lavori.

11. Sicurezza dei dati

Proteggiamo i tuoi dati con misure tecniche e organizzative, in particolare la cifratura in transito (TLS) e a riposo, accessi limitati all'interno del team, obblighi contrattuali di riservatezza e verifiche di sicurezza periodiche.

12. Processo decisionale automatizzato

La nostra app comprende bloomie, un assistente basato sull'IA (vedi la sezione 5.5). Tuttavia non avviene alcuna decisione automatizzata con effetti giuridici o effetti analoghi significativi ai sensi dell'art. 22 del GDPR, né tramite bloomie né in altre parti dell'app. Raccomandazioni e contenuti servono solo a informarti e sostenerti.

13. Trattamento di categorie particolari di dati (dati sulla salute)

bloomnow si rivolge alle famiglie di bambini neurodivergenti. I dati legati alla salute rientrano nelle categorie particolari di dati personali ai sensi dell'art. 9 del GDPR e godono di una protezione speciale.

Trattiamo questi dati esclusivamente sulla base del tuo consenso esplicito ai sensi dell'art. 9, paragrafo 2, lettera a, del GDPR. Questo riguarda in particolare le funzioni di cura di sé (ad esempio il diario dell'umore), i questionari e le autovalutazioni, e i contenuti legati alla salute che condividi con bloomie; per i dettagli vedi le sezioni 5.3 a 5.5. Puoi revocare il consenso in qualsiasi momento con effetto per il futuro, ad esempio cancellando i contenuti in questione o il tuo account nell'app.

14. Informazioni aggiuntive per chi usa bloomnow dalla Svizzera

Se usi bloomnow dalla Svizzera, si applica a te in aggiunta la legge federale sulla protezione dei dati riveduta (nLPD). Cosa trattiamo, perché e per quanto tempo resta invariato rispetto alle sezioni precedenti; si aggiungono i punti seguenti.

• Titolare e contatto: bloomnow FlexCo in Gründung, Azaleenweg 6, 4048 Puchenau, Austria. Il punto di contatto per tutto ciò che riguarda la protezione dei dati è rh@bloomnow.app.
• Dati personali degni di particolare protezione: i dati sulla salute sono considerati degni di particolare protezione ai sensi dell'art. 5 lett. c nLPD. Li trattiamo solo con il tuo consenso esplicito, esattamente come descritto nelle sezioni 5.3, 5.4, 5.5, 5.15 e 5.18.
• I tuoi diritti: accesso (art. 25 nLPD), rettifica (art. 32 nLPD), consegna e trasmissione dei tuoi dati (art. 28 nLPD), cancellazione e opposizione a un trattamento. Nella sostanza corrispondono ai diritti della sezione 9, e li eserciti allo stesso modo.
• Comunicazione all'estero: i nostri server si trovano nell'UE (Francoforte). La Svizzera e l'UE si riconoscono a vicenda un livello adeguato di protezione dei dati. Per i responsabili del trattamento con sede negli Stati Uniti indicati nella sezione 6.2 ci basiamo inoltre su clausole contrattuali tipo.
• Autorità di vigilanza: puoi rivolgerti in qualsiasi momento all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT), Feldeggweg 1, 3003 Berna.

15. Modifiche a questa informativa sulla privacy

Possiamo aggiornare questa informativa sulla privacy, ad esempio quando introduciamo nuove funzioni o quando cambiano la situazione giuridica o gli strumenti che usiamo. Ti informiamo attivamente delle modifiche sostanziali, ad esempio via e-mail agli utenti registrati. La versione aggiornata è sempre disponibile su bloomnow.ai.

16. Contatto

Puoi scriverci in qualsiasi momento per qualsiasi domanda sulla protezione dei dati:

Roxane Hunot
Referente per la protezione dei dati
rh@bloomnow.app

Richieste generali: beta@bloomnow.app