Informativa privacy.

1 Titolare del trattamento

BSNS GmbH è il titolare del trattamento descritto in questa informativa, che copre i siti yourkata.com e docs.yourkata.com, la web app Kata su app.yourkata.com e le app mobili Kata per iOS e Android, compresi l’app per Apple Watch e i widget che accompagnano l’app iOS.

BSNS GmbH non ha nominato, e non è tenuta a nominare, un responsabile della protezione dei dati previsto dalla legge. Per qualsiasi questione di privacy, contact@yourkata.com è la linea diretta con le persone responsabili.

2 La versione breve

I tuoi dati di salute appartengono a te. Tutti i log, le chat, le foto e la memoria di Kata vengono scritti sul tuo dispositivo, non in un database di contenuti nostro: nel browser come nelle app mobili. Non ti mostriamo mai pubblicità, non vendiamo mai dati e non profiliamo mai i tuoi dati di salute. L’unica misurazione che facciamo è un’analisi delle visite di base e aggregata su questo sito di marketing (Google Analytics), che puoi rifiutare nel banner e che non tocca mai i tuoi dati di salute o dell’account (sezione 4). Oltre all’indirizzo email e all’identificativo dell’account con cui accedi, e ai dati operativi descritti nelle sezioni da 9 a 11 e 16, due cose lasciano il tuo dispositivo: il tuo messaggio a Kata, inviato al nostro fornitore AI per generare la tua risposta, che non lo usa per l’addestramento e lo cancella entro 30 giorni, mentre noi non ne conserviamo alcuna copia; e, nella web app e nell’app Android, uno snapshot di ripristino del tuo account, cifrato sul tuo dispositivo prima di essere caricato, con una chiave che non riceviamo mai. Quello snapshot lo teniamo come testo cifrato, non abbiamo alcun mezzo tecnico per aprirlo, e le tue foto non ci sono mai dentro (sezione 7). Due funzioni che accendi tu stesso aggiungono qualcosa, di proposito: Kata Duo condivide un valore sì o no al giorno con le persone che inviti, e nulla su che cosa hai fatto (sezione 14), e una condivisione sicura ti permette di inviare un riepilogo che componi tu a una persona che indichi tu: viene sigillato sul tuo dispositivo e il suo link parte dal tuo dispositivo, quindi resta illeggibile anche per noi (sezione 15).

3 Quadro giuridico

Trattiamo i dati personali in conformità alla Legge federale svizzera sulla protezione dei dati (LPD, versione riveduta in vigore dal 1° settembre 2023) e, dove si applica agli utenti dello Spazio economico europeo, al Regolamento generale sulla protezione dei dati dell’UE (GDPR). Dove questa informativa cita una base giuridica, il riferimento è all’art. 6(1) GDPR; secondo la LPD, i trattamenti qui descritti rientrano nei principi dell’art. 6 LPD e non si fondano sul consenso, salvo dove indicato.

4 Visite al sito

• Analisi: questo sito usa Google Analytics (fornito da Google Ireland Limited) per misurare visite e traffico in forma aggregata: pagine viste, regione approssimativa da un indirizzo IP abbreviato, tipo di dispositivo e browser e come sei arrivato. Imposta cookie propri. Sono dati d’uso anonimi e aggregati riferiti solo al sito; non vengono mai collegati al tuo account Kata e non includono mai dati di salute o dell’account personale. Si carica solo se lo accetti nel banner del consenso, e puoi rifiutare. Base giuridica: il tuo consenso (art. 6 (1) (a) GDPR; LPD svizzera).
• Banner del consenso: l’analisi si carica solo dopo la tua accettazione. La tua scelta, accettata o rifiutata, è ricordata come un unico flag nel localStorage del tuo browser, e finché non accetti non viene impostato alcun cookie di analisi né inviato alcun dato di analisi. Cancellando quella memoria puoi scegliere di nuovo.
• Hosting: Vercel Inc., USA, distribuisce il sito e tratta log tecnici del server (indirizzo IP, orario della richiesta, user agent) per far funzionare e proteggere il servizio (interesse legittimo). Il trattamento può avvenire nell’UE e negli USA; i trasferimenti sono coperti dalle clausole contrattuali standard dell’UE e dalle regole svizzere sui flussi transfrontalieri di dati.
• I font sono ospitati da noi e serviti dallo stesso hosting delle pagine. Nessun servizio di font di terze parti viene contattato, e nessuna tua richiesta lo raggiunge.

5 Moduli del sito (contatti e partnership)

Se usi il modulo di contatto o di partnership, trattiamo i dati che invii (nome, indirizzo email, tema, azienda dove indicata e il tuo messaggio) per rispondere alla tua richiesta (esecuzione di un contratto o misure precontrattuali; interesse legittimo per le richieste generali). I messaggi vengono recapitati alle nostre caselle da Resend, Inc., USA, che agisce come nostro responsabile del trattamento, e sono conservati per il tempo necessario a gestire la conversazione e gli eventuali seguiti. I dati dei moduli non vengono mai usati per pubblicità e mai condivisi oltre questo scopo.

6 App: dati dell’account

Per creare e proteggere il tuo account trattiamo il tuo indirizzo email, un identificativo utente (l’ID del tuo account), il metodo di autenticazione e gli orari di autenticazione, su ogni superficie (web e app mobili). L’autenticazione è fornita da Supabase, che agisce come nostro responsabile del trattamento, con il progetto ospitato in Svizzera (regione di Zurigo). Puoi accedere con email e password, Google, Apple o un magic link; quando usi un accesso di terze parti, quel fornitore ci conferma la tua identità e noi conserviamo solo il tuo indirizzo email e questo ID account. Se accedi con Apple e scegli «Nascondi la mia email», Apple ci fornisce un indirizzo relay privato invece della tua email reale; le nostre email transazionali vengono inviate a quel relay e inoltrate da Apple fino a te. Supabase non conserva dati di salute leggibili. Che cosa altro si trovi in quel database è descritto nelle sezioni 7 e da 9 a 16: lo snapshot sigillato della web app e dell’app Android, che non possiamo aprire, i dati operativi elencati in quelle sezioni e, se usi Kata Duo o Kata Groups, un valore sì o no al giorno.

La prova gratuita di Kata Plus e i premi di Invita un amico (sezione 13) vengono concessi una sola volta per persona. Perché questo valga anche dopo l’eliminazione di un account, conserviamo impronte con chiave dell’indirizzo email dell’account eliminato e degli account di accesso Apple o Google che vi erano collegati. Un’impronta con chiave è un HMAC, un hash unidirezionale calcolato con una nostra chiave segreta: non può essere ritrasformata nell’indirizzo o nell’account di accesso, e tutto ciò che può mostrare è che lo stesso valore è tornato. Conserviamo queste impronte per 24 mesi dopo l’eliminazione e le usiamo per un solo scopo: verificare se un nuovo account appartiene a qualcuno che ha già avuto la prova o un premio da invito, nel qual caso il nuovo account non riceve più né l’una né l’altro. Base giuridica: il nostro legittimo interesse a prevenire l’abuso delle nostre offerte gratuite (art. 6 (1) (f) GDPR; LPD svizzera).

7 I tuoi dati di salute e dove vivono

Kata è local-first su ogni superficie. Tutti i log di salute (peso, cibo, acqua, allenamento, sonno, integratori), la tua cronologia della chat, la memoria di Kata, le tue foto e il tuo registro delle decisioni vengono scritti sul tuo dispositivo: nella memoria del browser nella web app (localStorage per impostazioni e log strutturati, IndexedDB per i contenuti più grandi come le foto) e nella memoria locale dell’app su iOS e Android. È l’unico posto in cui tutto questo esiste in chiaro. Non gestiamo alcun database di contenuti, e dalla nostra parte non c’è nulla che potremmo aprire, leggere o consegnare. Se elimini l’app o cancelli i suoi dati del sito, spariscono; l’export integrato esiste perché tu possa prima farne un backup.

Nella web app e nell’app Android una cosa il tuo dispositivo la lascia davvero, ed è esattamente questa. Perché un browser svuotato, un computer nuovo o un telefono nuovo non significhino una storia persa, queste due app tengono un unico snapshot di ripristino del tuo account, che conserviamo come una riga per account, perché né un browser né un telefono Android offrono a Kata un cloud privato per persona su cui appoggiarsi. L’app iOS non ci invia alcuno snapshot di questo tipo: scrive un file di backup nella propria cartella Documenti sul tuo iPhone (sezione 11). Prima che lo snapshot lasci il tuo dispositivo, lì viene cifrato con AES-256-GCM, con una chiave casuale a 256 bit generata sul tuo dispositivo, custodita nella sua memoria sicura e mostrata a te una volta come codice di recupero. Quella chiave non ci viene mai inviata in nessuna forma: non nella riga, non in una colonna, non in un header della richiesta, non in un log.

Nell’app Android quella chiave è custodita in due posti, nessuno dei quali è nostro: sul telefono, sigillata con una chiave che custodisce l’Android Keystore, e in Google Block Store, uno spazio per piccoli segreti che i servizi Google Play tengono insieme al tuo Account Google, secondo le condizioni di Google. È questa seconda copia a permettere a un nuovo telefono Android, configurato dal tuo Account Google, di riavere la chiave da solo e di aprire il tuo snapshot; dove il tuo telefono lo supporta, Google cifra quella copia end-to-end con il blocco schermo. Eliminare il tuo account nell’app rimuove la chiave da entrambi i posti. Dove Block Store non è disponibile, è il tuo codice di recupero ad aprire lo snapshot su un altro dispositivo.

La riga contiene la busta sigillata e nient’altro: un marcatore di formato, un numero di versione, il nome dell’algoritmo, il vettore di inizializzazione casuale, il testo cifrato, l’ora del sigillo e la versione di schema dei dati all’interno. Accanto non è conservata alcuna chiave, alcun identificativo della chiave, alcun hash della chiave, alcun sale e alcun valore di controllo: dalla nostra parte non c’è quindi nulla contro cui un tentativo possa nemmeno essere provato. Teniamo testo cifrato che non abbiamo alcun mezzo tecnico di leggere, e solo tu tieni ciò che lo apre. Le tue foto non fanno mai parte di questo snapshot, e nemmeno i valori che importi da Apple HealthKit o Google Health Connect. La row-level security è la seconda serratura: la riga è legata al tuo account connesso e nessun altro account può raggiungerla. Viene aggiornata dopo una modifica, al massimo una volta ogni quarto d’ora (ogni due minuti nella prima ora di un account nuovo), e ogni sei ore quando non è cambiato nulla; ogni aggiornamento sostituisce il precedente, ed è eliminata insieme al tuo account. Se il tuo dispositivo non può cifrare, non viene caricato nulla.

I dati di salute che importi da Apple HealthKit o Google Health Connect sono trattati come ogni altra voce di salute: vivono sul tuo dispositivo e non vengono mai conservati sui nostri server. Quando fai una domanda a Kata, i valori importati che servono a quella domanda vengono inviati con essa al nostro fornitore AI per rispondere (sezione 8). Non li conserviamo mai, non li vendiamo mai e non li usiamo mai per pubblicità.

8 Coach AI

Quando parli con Kata, il tuo messaggio e il minimo contesto necessario a rispondere, compresi gli eventuali valori di Apple HealthKit, Google Health Connect o WHOOP che servono alla domanda, vengono trasmessi su una connessione cifrata al nostro fornitore AI (attualmente Anthropic PBC, USA) per generare la risposta. Anthropic non usa queste richieste per addestrare i propri modelli e le cancella entro 30 giorni. Non conserviamo il contenuto di queste richieste sui nostri server; registriamo solo conteggi aggregati di token per account, per il controllo dei costi. Le domande che fai su Apple Watch sono trattate allo stesso modo. L’input vocale viene trasformato in testo prima di raggiungerci: dal riconoscimento vocale di Apple nell’app iOS, dal riconoscimento vocale del tuo telefono nell’app Android, che sulla maggior parte dei telefoni Android è fornito da Google e può elaborare l’audio sui server di Google, e dal riconoscimento vocale del tuo browser nella web app, ciascuno secondo le condizioni proprie del suo fornitore. Le foto sono analizzate allo stesso modo dei messaggi, solo quando le invii tu.

9 Segnali di prodotto astratti

Per migliorare Kata, capire il nostro pubblico e far rispettare il fair use, conserviamo per account un piccolo insieme di segnali astratti. Sono collegati all’identificativo del tuo account, quindi sono dati personali pseudonimizzati, ma non contengono nomi né contenuti: un segnale giornaliero con la piattaforma, la versione dell’app e un codice paese ricavato dal nostro server; conteggi di apertura dell’app e orario dell’ultima attività; numeri aggregati di utilizzo dell’AI (conteggi di token per account, mai il contenuto dei messaggi); un riassunto astratto di persona che l’app calcola sul tuo dispositivo (una parola archetipo più tratti grossolani come livello di attività, sport principali, regolarità alimentare, ritmo del sonno, fase attuale, genere autodichiarato facoltativo, paese e fuso orario); l’attribuzione di inviti e voucher; e il tuo piano di abbonamento.

Esplicitamente mai conservati in chiaro sui nostri server: le tue chat e la cronologia delle conversazioni, i tuoi log di salute, la memoria di Kata e il tuo registro delle decisioni. Le tue foto non vengono mai conservate sui nostri server. Il resto ci raggiunge solo dentro lo snapshot dell’account cifrato descritto alla sezione 7, come testo cifrato che non possiamo aprire. Il riepilogo della persona è calcolato sul tuo dispositivo, e nessuno dei segnali elencati qui può essere usato per ricostruire nulla di tutto ciò. Base giuridica: il nostro interesse legittimo a far funzionare e migliorare il servizio (art. 6 (1) (f) GDPR; LPD svizzera).

Altre due cose sui nostri server derivano dalla salute senza essere segnali di prodotto, perché esistono solo finché le chiedi tu: il valore quotidiano sì o no di Kata Duo (sezione 14) e il riepilogo sigillato di una condivisione sicura (sezione 15). Sono nominate qui perché questa sezione resti un quadro completo di ciò che deteniamo, e ciascuna è descritta per intero nella propria sezione.

10 Registri dei consensi

Quando accetti i Termini di servizio o dai un consenso nell’app, conserviamo la registrazione di quell’accettazione: la versione del documento, la marca temporale, la superficie (web, iOS o Android) e la lingua in cui hai accettato. Questi registri provano la conclusione del contratto e i consensi che hai dato. Base giuridica: esecuzione di un contratto e adempimento di obblighi legali (art. 6 (1) (b) e (c) GDPR; LPD svizzera). Sono conservati finché esiste il tuo account. Quando elimini il tuo account, vengono conservati separati da tutto il resto, collegati solo all’impronta con chiave del tuo indirizzo email (sezione 6) e al tuo ex ID account, per dieci anni, il termine di prescrizione generale del diritto svizzero, e poi eliminati.

11 App mobili: autorizzazioni e notifiche push

• Notifiche push: se le attivi, viene trattato un token push legato al tuo account per recapitare le notifiche, tramite Google Firebase Cloud Messaging sia su iOS sia su Android (su iOS si appoggia sotto all’Apple Push Notification service). Il token è un identificativo usato esclusivamente per recapitare le notifiche scritte da Kata: mai per tracciamento o pubblicità, non usiamo alcun Firebase Analytics e a Firebase non vengono inviati dati personali o di salute, solo il token e il testo della notifica. I token vengono eliminati quando disattivi le notifiche o elimini il tuo account. Perché le notifiche arrivino come le hai impostate, conserviamo con il tuo account anche le tue preferenze di notifica: le categorie che hai scelto, le ore di quiete, la frequenza, la tua lingua e il tuo fuso orario. Un registro degli invii, che annota quale notifica è partita e quando, è conservato per 21 giorni, così niente arriva due volte.
• File di backup (iOS): l’app iOS scrive un backup dei tuoi dati Kata locali, foto comprese e valori HealthKit esclusi, come file nella cartella Documenti dell’app sul tuo iPhone. Non ci viene inviato, e Kata non salva nulla nel tuo iCloud personale. Se il backup iCloud del dispositivo del tuo iPhone è attivo, Apple vi include quel file come qualsiasi altro dato delle app, sotto il tuo Account Apple e secondo le condizioni di Apple. Puoi anche esportarne tu stesso una copia.
• File di backup e backup Google (Android): l’app Android scrive backup dei tuoi dati Kata locali, foto comprese e valori di Health Connect esclusi, come file nella propria memoria privata sul tuo telefono, una volta alla settimana, a meno che tu non scelga un’altra frequenza. Non ci vengono inviati. Se il backup di Android sul tuo Account Google è attivo, porta con sé questi file e nient’altro di Kata: la memoria corrente dell’app, che contiene i valori di Health Connect, ne resta fuori, così come la copia della chiave dello snapshot sigillata dall’Android Keystore (sezione 7). Quel backup sta sotto il tuo Account Google e segue le condizioni di Google. Quando passi direttamente a un tuo nuovo telefono, via cavo o tramite Wi-Fi, Android trasferisce i file di backup e la memoria corrente dell’app senza salvarli da nessuna parte nel mezzo. Puoi anche esportarne tu stesso una copia.
• Fotocamera, microfono e libreria foto: l’accesso avviene solo quando scatti o alleghi attivamente una foto, scansioni un codice a barre o parli con Kata. L’accesso avviene in locale sul tuo dispositivo; i contenuti vengono trasmessi solo nel momento in cui li invii a Kata (sezione 8) e non vengono conservati da noi. Quando parli, la tua voce viene trasformata in testo dal riconoscimento vocale di Apple (iOS), da quello del tuo telefono (Android), che sulla maggior parte dei telefoni Android è fornito da Google e può elaborare l’audio sui server di Google, o da quello del tuo browser (web). Ciascuno può trattare l’audio secondo le condizioni proprie del suo fornitore; Kata riceve solo il testo che ne risulta.
• Scanner di codici a barre: i codici a barre vengono letti sul tuo dispositivo da Google ML Kit, e per questo nessuna immagine della fotocamera viene inviata altrove. Per cercare il prodotto, il tuo dispositivo invia poi il numero del codice a barre a Open Food Facts, che, come per qualsiasi richiesta web, riceve anche il tuo indirizzo IP. Il punteggio viene calcolato sul tuo dispositivo.
• Apple HealthKit e Google Health Connect: i dati di salute che scegli di importare restano sul tuo dispositivo come tutti i contenuti di salute (sezione 7). Quando fai una domanda a Kata, i valori che servono a quella domanda vengono inviati con essa al nostro fornitore AI per rispondere (sezione 8). Non li conserviamo mai sui nostri server, non li vendiamo mai e non li usiamo mai per pubblicità.
• Google Health Connect (Android): se lo colleghi, Kata legge, senza mai scriverci, i tipi che consenti tra questi: passi, energia attiva, distanza, allenamenti con la loro frequenza cardiaca, peso, altezza, sonno con le sue fasi, frequenza cardiaca a riposo e variabilità della frequenza cardiaca. Kata legge solo mentre l’app è aperta, e non oltre i 30 giorni precedenti la tua prima autorizzazione, perché non chiede a Health Connect una cronologia più vecchia. I valori sono conservati nella memoria locale dell’app sul tuo telefono. Non entrano mai nel backup Google né nello snapshot cifrato, e non alimentano mai il riepilogo della persona della sezione 9. Lasciano il tuo telefono solo con una domanda a Kata che ne ha bisogno, inviati con essa al nostro fornitore AI esattamente come i valori di Apple Health (sezione 8), oppure in un export o in un trasferimento diretto a un nuovo telefono che avvii tu. Scollegare Health Connect nell’app restituisce a Health Connect le autorizzazioni di Kata e, se lo scegli, rimuove da Kata i valori importati; puoi anche revocare l’accesso in Health Connect in qualsiasi momento.
• App per Apple Watch: l’app dell’orologio accede riprendendo la sessione del tuo iPhone abbinato, oppure con un accesso via email dove questo non è possibile. Legge sull’orologio i dati HealthKit, come battito cardiaco e HRV, per risponderti, e non vi scrive mai. Una domanda che fai sull’orologio viene inviata, con i valori che le servono, al nostro fornitore AI esattamente come un messaggio nell’app (sezione 8).
• Le etichette privacy mostrate nell’Apple App Store e su Google Play descrivono le stesse prassi di questa informativa. Se un’etichetta e questa informativa dovessero mai sembrare divergere, questa informativa è la descrizione autorevole di ciò che facciamo.

12 Integrazione WHOOP

Collegare WHOOP è facoltativo. I token OAuth sono conservati sul tuo dispositivo, illeggibili per gli script dove la piattaforma lo consente, e legati al tuo account Kata, così funzionano solo per l’account che li ha collegati; non vengono salvati in alcun database sul server. Servono esclusivamente a recuperare i tuoi dati di recupero, sonno, sforzo, HRV, battito a riposo, temperatura cutanea e allenamenti dalla WHOOP API (WHOOP, Inc., USA) tramite il nostro server, che passa i dati al tuo dispositivo senza conservarli. Quando fai una domanda a Kata, i valori WHOOP che le servono vengono inviati con essa al nostro fornitore AI come contesto (sezione 8). Puoi revocare la connessione in qualsiasi momento nell’app o nelle impostazioni del tuo account WHOOP.

13 Invita un amico

Se inviti un amico, trattiamo l’indirizzo email invitato e lo stato del premio (mesi regalati e guadagnati) per far funzionare Invita un amico. Gli indirizzi invitati servono solo all’invito e all’abbinamento del premio, mai a liste di marketing.

14 Kata Duo e Kata Groups

Kata Duo è facoltativo ed esiste solo dal momento in cui lo avvii: condividi un link di invito e chi lo accetta diventa uno dei tuoi cinque partner di duo al massimo. Per far funzionare un abbinamento conserviamo i due identificativi di account, il codice di invito casuale, se l’abbinamento è ancora in attesa o attivo, un contrassegno per lato per nascondere un partner sul tuo profilo e i momenti di creazione e di adesione. Il nome che dai a un partner non ne fa parte: resta sul dispositivo su cui lo hai scritto, il tuo partner non lo vede mai e nemmeno noi.

Ciò che Duo condivide davvero è una riga per persona e per giorno, con il tuo identificativo di account, la data e un solo valore sì o no: se quel giorno hai tenuto la tua forma. Il tuo dispositivo ricava quel valore dalla tua giornata locale, e non dice nulla su che cosa hai fatto. Nessun registro, nessun numero, nessun punteggio, nessuna serie, nessun contenuto di alcun tipo e nulla su che cosa sia stato tenuto. Un giorno senza registrazioni non produce alcuna riga, ed è per questo che il terzo stato che il tuo partner vede è un grigio onesto anziché un’affermazione. Solo un account con cui hai un abbinamento attivo può leggere le tue righe, e questo confine è imposto dal database stesso; quando una delle due parti chiude il duo, l’abbinamento e la visibilità cadono subito, in entrambe le direzioni.

Base giuridica: il tuo consenso, dato quando crei o accetti un invito di duo e revocato chiudendo il duo (art. 6 (1) (a) e, poiché il valore deriva dal tuo uso in ambito salute, art. 9 (2) (a) GDPR; LPD svizzera). Conservazione: nell’ambito della sua scrittura quotidiana l’app cancella le tue righe non appena superano i 21 giorni, così che non esistano mai più di circa tre settimane di valori sì o no. Chiudere un duo rimuove subito l’abbinamento, e tutto scompare quando elimini il tuo account.

Kata Groups è lo stesso meccanismo per più di due persone, e non conserva più di quanto faccia Kata Duo. Quando avvii un gruppo conserviamo un identificativo di gruppo, un nome del gruppo e un’etichetta per l’unica cosa che il gruppo segue, i codici di invito casuali e, per ogni membro, un identificativo di account, un nome visualizzato specifico del gruppo e se quel membro nasconde il proprio valore al gruppo. Ciò che un gruppo condivide è lo stesso singolo valore sì o no per membro al giorno, se quel membro ha tenuto la giornata, e nulla su ciò che qualcuno ha fatto: nessun log, nessun numero, nessun punteggio, nessun contenuto di alcun tipo. Solo i membri di un gruppo possono leggere le righe di quel gruppo, e questo confine è imposto nel database stesso. Se nascondi il tuo valore a un gruppo lo sai solo tu: agli altri membri questa scelta non viene mai mostrata, e per loro un valore nascosto appare esattamente come un giorno senza nulla registrato. I tuoi valori e la tua appartenenza vanno via nel momento in cui lasci il gruppo o elimini il tuo account. La base giuridica, e la derivazione del valore dal tuo uso di salute, sono le stesse di Kata Duo qui sopra.

15 Condivisione sicura con un medico o un’altra persona che scegli tu

Puoi inviare un riepilogo di esattamente ciò che selezioni a una persona che indichi tu, di solito un medico. Accade solo se lo chiedi, e accade così. Il riepilogo viene composto sul tuo dispositivo e lì cifrato con AES-256-GCM. La chiave finisce nel link di condivisione stesso, nella parte dell’indirizzo che i browser non trasmettono mai a un server. Quel link viene composto sul tuo dispositivo e lo invii tu, dal tuo dispositivo, nel messaggio e sul canale che scegli: né il link né la chiave passano mai dai nostri server. Conserviamo una riga per condivisione: il testo cifrato, il tuo identificativo di account come proprietario, un hash SHA-256 con sale dell’indirizzo email del destinatario, la scadenza e i momenti di creazione e di prima apertura.

L’indirizzo in sé non viene conservato, solo quell’hash, salato con l’identificativo della condivisione stessa, così che non possa essere risolto rispetto a un elenco di indirizzi comuni. Esiste perché il codice di accesso arrivi nella casella invitata e in nessun’altra. Non inviamo noi alcun invito: l’unica email che inviamo per una condivisione è quel codice di accesso, quando il destinatario lo chiede. Per aprire una condivisione il destinatario conferma l’indirizzo invitato con un codice a 6 cifre, perciò teniamo anche la contabilità che quella verifica richiede: un hash del codice attivo, la sua validità di dieci minuti, il numero di tentativi errati, limitato a cinque, il numero di codici inviati e il momento dell’ultimo. Il codice vale una volta sola e il codice stesso non viene mai conservato. Tutto il resto è testo cifrato: non abbiamo alcun mezzo tecnico per leggere il riepilogo, e senza il link non lo ha nessun altro.

Base giuridica: il tuo consenso, dato ogni volta che crei una condivisione e revocato ritirandola (art. 6 (1) (a) e art. 9 (2) (a) GDPR; LPD svizzera). Conservazione: una condivisione scade 14 giorni dopo la creazione, e una riga scaduta viene cancellata del tutto al primo accesso successivo. Puoi ritirare una condivisione in qualsiasi momento nell’app, il che elimina la riga e con essa il testo cifrato, e le condivisioni se ne vanno con il tuo account. Quando una condivisione è finita conserviamo solo il suo identificativo casuale e il momento in cui è finita, legati a nessuno, perché il suo link non possa mai più aprire nulla. La creazione è limitata a dieci condivisioni per account e giorno.

16 Dati di pagamento e abbonamento

Quando scegli un piano a pagamento, trattiamo i dati necessari per il tuo abbonamento: il tuo piano e il suo stato, il periodo di fatturazione, la valuta e il paese usati ai fini fiscali, un identificativo cliente e di abbonamento e una registrazione di pagamenti e rimborsi. Non riceviamo né conserviamo il numero completo della tua carta; i dati della carta sono gestiti dal fornitore di pagamento.

• Acquisti sul web: i pagamenti sono elaborati da Stripe (Stripe Payments Europe, Ltd., Irlanda, con Stripe, Inc., USA), che gestisce i dati della tua carta e calcola l’imposta applicabile. Riceviamo la conferma dell’abbonamento e i dati di fatturazione limitati sopra indicati, mai il numero completo della carta.
• Acquisti nell’App Store, nell’app iOS dalla versione 1.0.1 per iPhone: Apple è il venditore ed elabora il pagamento; riceviamo lo stato dell’abbonamento verificato (prodotto, periodo, rinnovo e cancellazione) necessario per sbloccare il tuo piano, non i tuoi dati di pagamento.
• Acquisti su Google Play, nell’app Android da una versione successiva: Google è il venditore ed elabora il pagamento; riceviamo lo stato dell’abbonamento verificato necessario per sbloccare il tuo piano, non i tuoi dati di pagamento.

Base giuridica: esecuzione del tuo contratto di abbonamento e adempimento dei nostri obblighi di legge, inclusa la conservazione fiscale e contabile (art. 6 (1) (b) e (c) GDPR; LPD svizzera). I registri di fatturazione sono conservati per i termini di conservazione di legge.

Benessere aziendale: se un’organizzazione, per esempio il tuo datore di lavoro, copre il tuo piano, memorizziamo la tua appartenenza a quell’organizzazione (l’indirizzo email che ha invitato, se il posto è invitato, attivo o rimosso, la data di ciascuno di questi passaggi, e il piano che il suo accordo concede) così che la copertura possa essere applicata e revocata. Per un invito inviato via email memorizziamo anche quando è stato spedito l’ultima volta e quante volte. Teniamo un registro di ogni modifica all’adesione (invito, ingresso, uscita, rimozione) e all’accordo dell’organizzazione, così che posti e fatture possano essere verificati; contiene identificativi di account, mai il tuo indirizzo email e nulla sulla tua salute. Su una singola persona il responsabile dell’organizzazione vede solo l’adesione: per ogni persona che ha invitato, l’indirizzo email invitato (chi è entrato tramite link o codice compare senza), se il posto è invitato, attivo o rimosso, la data di questi passaggi e, per un invito in sospeso, se è scaduto o è stato ritirato, quando e quante volte è stato spedito. Per il gruppo vede i posti occupati rispetto a quelli coperti dall’accordo, e attivazione e coinvolgimento come numeri. Ogni numero sull’attività viene calcolato solo dai membri che hanno confermato il proprio indirizzo email e usato davvero Kata nel periodo mostrato, mai dai responsabili stessi, e compare solo quando dietro ci sono almeno cinque di questi membri, così che nessuno possa essere isolato. L’organizzazione non vede mai i tuoi dati di salute, i tuoi log, le tue chat o la memoria che Kata ha di te: nulla di tutto questo esiste in forma leggibile sui nostri server, per l’organizzazione non più che per noi. Base giuridica: esecuzione del contratto che copre il tuo posto (art. 6 (1) (b) GDPR; LPD svizzera). Lasciare l’organizzazione, o esserne rimossi, chiude la copertura e lascia intatti i tuoi dati.

Regali. Quando regali Kata Plus, trattiamo ciò che inserisci: la durata, il design del biglietto e la sua lingua, il tuo nome e quello della persona che lo riceve come li vuoi sul biglietto, il tuo messaggio, come arriva il regalo, l’indirizzo email della persona che lo riceve se dobbiamo inviarlo per email, e il giorno di invio. Il fornitore dei pagamenti ci trasmette il tuo indirizzo email e il tuo nome per la ricevuta e, per un biglietto per posta, l’indirizzo postale. Se hai effettuato l’accesso, il regalo è collegato al tuo account perché tu lo veda lì. A differenza dei tuoi dati sanitari, un regalo è conservato sui nostri server (Supabase, regione di Zurigo), perché la persona a cui lo regali lo apre da lì. Lo usiamo solo per consegnare il regalo: mostrare il biglietto e il tuo messaggio a chi lo apre, inviarlo per email, stampare e spedire il biglietto, inviarti la ricevuta e gli avvisi che è stato riscattato e che il biglietto è stato spedito, e gestire rimborsi e domande. Vieni a sapere solo che il tuo regalo è stato riscattato, e quando, mai nulla dell’account che l’ha riscattato. Base giuridica: il contratto con te (art. 6 (1) (b) GDPR; LPD svizzera).

Ricevere un regalo. Se qualcuno ti fa un regalo per email, usiamo il tuo indirizzo email e il nome che ha scritto solo per inviarti quell’unica email regalo, e il suo messaggio solo per mostrartelo; il tuo indirizzo non viene aggiunto a nessuna lista. Quando riscatti il regalo, registriamo quale account l’ha riscattato e quando, per aggiungere i mesi. Non leggiamo il messaggio per nessun altro scopo e non lo usiamo mai per il coaching, la personalizzazione o il marketing. Base giuridica: il nostro legittimo interesse a consegnare un regalo acquistato per te (art. 6 (1) (f) GDPR; LPD svizzera), e il contratto con te una volta che lo riscatti (art. 6 (1) (b) GDPR).

17 Destinatari e trasferimenti all’estero

• Supabase (autenticazione, e il database che ospita i dati operativi descritti in questa informativa, lo snapshot cifrato dell’account della web app e dell’app Android, gli abbinamenti e i valori giornalieri di Kata Duo e Kata Groups e le condivisioni sicure sigillate): progetto ospitato in Svizzera, regione di Zurigo.
• Anthropic (elaborazione AI per il coach): USA; le richieste non vengono usate per l’addestramento e sono cancellate entro 30 giorni.
• ElevenLabs (voci Kata, solo nei piani a pagamento: la lettura ad alta voce del tuo riepilogo settimanale e delle tue lettere, le occasionali note vocali di Mégane, e le risposte parlate quando usi Talk con Kata): USA, solo elaborazione transitoria, il testo viene trasformato in audio e non conservato.
• Resend (email transazionali, compreso il codice di accesso di una condivisione sicura): USA.
• Vercel (hosting): UE e USA.
• Stripe (elaborazione dei pagamenti per gli acquisti sul web, regali compresi): Stripe Payments Europe, Ltd., Irlanda, con trattamento da parte di Stripe, Inc., USA.
• Il servizio postale che recapita un biglietto regalo stampato (la Posta Svizzera e l’operatore postale del paese di destinazione), solo con il biglietto, il messaggio e l’indirizzo postale.
• Apple e Google (elaborazione di pagamenti e abbonamenti per gli acquisti effettuati nell’App Store e su Google Play, una volta che le app li offriranno): USA.
• Google Analytics (misurazione aggregata dell’uso del sito, solo con il tuo consenso): Google Ireland Limited, Irlanda, con trattamento da parte di Google LLC, USA.
• Google / Firebase Cloud Messaging (recapito del token di notifica push su iOS e Android; nessun analytics): USA.
• Apple (Apple Push Notification service alla base della push iOS, «Accedi con Apple» e il suo relay email privato, il riconoscimento vocale nell’app iOS, e il tuo backup iCloud del dispositivo, che può includere il file di backup dell’app): USA.
• Google («Accedi con Google», e nell’app Android: il riconoscimento vocale del telefono quando lo fornisce Google, Google Block Store, che conserva la chiave dello snapshot insieme al tuo Account Google, e il tuo backup Google del dispositivo, che può includere i file di backup dell’app): USA.
• Il riconoscimento vocale del tuo browser (input vocale nella web app), fornito dal produttore del browser secondo le sue condizioni.
• Google ML Kit (lettura dei codici a barre per lo scanner): funziona sul tuo dispositivo; per questo non viene inviata alcuna immagine della fotocamera.
• Open Food Facts (ricerca dei prodotti per lo scanner, inviata dal tuo dispositivo con il codice a barre e il tuo indirizzo IP): Francia.
• WHOOP (la WHOOP API, solo se colleghi WHOOP): USA.

Dove i dati raggiungono fornitori negli USA, il trasferimento è tutelato dalle clausole contrattuali standard dell’UE e, dove certificato, dallo Swiss-U.S. Data Privacy Framework. Non vendiamo né affittiamo dati personali, e non esistono altri destinatari.

18 Conservazione

I dati dell’account sono conservati finché esiste il tuo account ed eliminati quando lo elimini, tranne le impronte con chiave della sezione 6, conservate per 24 mesi dopo l’eliminazione e poi eliminate. I registri dei consensi sono conservati finché esiste il tuo account e, dopo la sua eliminazione, per dieci anni, collegati solo all’impronta con chiave del tuo indirizzo email e al tuo ex ID account (sezione 10). La corrispondenza dei moduli è conservata per il tempo necessario a gestire la richiesta. I conteggi aggregati di token sono conservati per la contabilità dei costi. I registri di fatturazione e pagamento sono conservati per i termini di conservazione fiscali e contabili di legge. I token push vengono eliminati quando disattivi le notifiche o elimini l’account; le preferenze di notifica sono conservate finché esiste il tuo account, e il registro degli invii per 21 giorni. Il nostro fornitore AI cancella le richieste che elabora entro 30 giorni. Il segnale giornaliero e i segnali di persona della sezione 9 sono conservati finché esiste il tuo account ed eliminati con esso. I dati di salute sul tuo dispositivo li conservi solo tu. Lo snapshot cifrato dell’account (sezione 7) è un’unica riga che ogni backup riscrive e che viene eliminata insieme al tuo account; una copia leggibile dei tuoi dati di salute non la teniamo in nessun momento. I valori di Kata Duo vengono cancellati non appena superano i 21 giorni, e un abbinamento se ne va con tutti i suoi valori nel momento in cui una delle due parti chiude il duo (sezione 14). Una condivisione sicura scade 14 giorni dopo la creazione, e la sua riga, testo cifrato compreso, viene cancellata allora oppure nel momento in cui la ritiri; resta solo il suo identificativo casuale, legato a nessuno, perché il suo link non si apra mai più (sezione 15). Il record di un regalo (il codice, la durata, quanto è stato pagato, l’indirizzo email di chi l’ha acquistato e le date) è conservato per il termine legale di conservazione contabile. I nomi, il messaggio e l’indirizzo email della persona che lo riceve sono cancellati 90 giorni dopo il riscatto o il rimborso del regalo, o quando scade senza essere stato riscattato; un indirizzo postale 90 giorni dopo la spedizione del biglietto. Quando l’account che ha riscattato un regalo viene eliminato, il collegamento del regalo con esso viene rimosso (sezione 16).

19 Sicurezza e incidenti relativi ai dati

Tutto il trasporto è cifrato (TLS). Il server conserva il minimo di dati descritto sopra, protetto da controlli di accesso e dai programmi di sicurezza dei nostri responsabili del trattamento. La misura più forte è architetturale: i tuoi contenuti di salute o non sono affatto sui nostri server, o vi stanno solo come testo cifrato di cui non abbiamo la chiave, quindi una violazione dal nostro lato non può esporli.

Se un incidente di sicurezza dovesse comunque riguardare dati personali in nostro possesso, lo valuteremo senza ingiustificato ritardo e informeremo l’autorità di controllo competente e, dove richiesto, le persone interessate, in conformità all’art. 24 LPD e, dove applicabile, agli artt. 33 e 34 GDPR.

20 I tuoi diritti

Hai diritto ad accesso, rettifica, cancellazione e portabilità dei tuoi dati personali, e il diritto di opporti al trattamento. Poiché quasi tutti i dati vivono sul tuo dispositivo, la maggior parte di questi diritti è nelle tue mani: esporta, correggi o cancella i tuoi dati direttamente nell’app. Per tutto ciò che riguarda il tuo account o un modulo che hai inviato, scrivi a contact@yourkata.com. Puoi anche presentare reclamo all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) o, dove si applica il GDPR, alla tua autorità di controllo locale.

21 Modifiche

Aggiorneremo questa informativa quando il servizio cambia. La versione attuale, con la sua data, è sempre pubblicata su questa pagina. Le modifiche sostanziali vengono annunciate nell’app.

22 Diritto applicabile

Questa informativa e qualsiasi controversia sulla privacy sono rette dal diritto svizzero. La lettura ingegneristica degli stessi fatti è nelle docs I tuoi dati.