Informativa sulla Privacy

Questa informativa spiega quali dati raccoglie Aku, perché li tratta e quali sono i tuoi diritti.

Il trattamento dei dati personali degli utenti dell'applicazione Aku è svolto nel rispetto del Regolamento (UE) 2016/679 (GDPR), del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018 (Codice in materia di protezione dei dati personali) e di ogni altra normativa applicabile in materia di protezione dei dati.

1. Titolare del trattamento e contatti

Il titolare del trattamento dei dati personali è Mattia Peirano, libero professionista, con sede in Via Ugo Bassi 22, 20159 Milano (MI), P.IVA 01640360085, C.F. PRNMTT92S17D969H (di seguito, il "Titolare").

L'App Aku è sviluppata e gestita dal Titolare nella sua qualità di imprenditore e non nell'esercizio della professione di audioprotesista; il servizio non costituisce in alcun modo attività professionale sanitaria.

Contatti:

• Per richieste relative alla protezione dei dati personali (diritti GDPR, reclami, informazioni sul trattamento): privacy@aku-app.com
• Per richieste di assistenza generale e supporto all'utente: support@aku-app.com
• Per comunicazioni legali e contrattuali: legal@aku-app.com

2. Consulente per la protezione dei dati

Il Titolare ha effettuato, ai sensi dell'art. 37 GDPR, una valutazione in merito all'obbligo di designazione di un Responsabile della Protezione dei Dati (DPO). Allo stato attuale, in considerazione del numero limitato di utenti attivi e della struttura del trattamento, tale designazione non è obbligatoria. Il Titolare gestisce direttamente gli obblighi in materia di protezione dei dati personali, avvalendosi di consulenze legali puntuali.

Il Titolare si impegna a designare un consulente privacy esterno o, al superamento delle soglie applicabili, un DPO formale ai sensi dell'art. 37 GDPR, secondo il seguente piano:

• entro il raggiungimento di circa 500 utenti attivi: designazione di un consulente privacy esterno;
• entro il raggiungimento di circa 5.000 utenti attivi: valutazione dell'obbligo di nomina di un DPO e, se del caso, designazione formale ai sensi dell'art. 37 GDPR, con comunicazione al Garante ex art. 37.7 GDPR e pubblicazione dei dati di contatto nella presente informativa.

La valutazione sull'obbligo di nomina del DPO, comprensiva dei criteri e delle soglie adottate, è documentata nel Registro delle attività di trattamento ex art. 30 GDPR.

3. Che cos'è Aku e quali dati tratta

Aku è un'applicazione mobile di benessere pensata per accompagnare le persone adulte che convivono con l'acufene nella loro quotidianità.

Aku NON è un dispositivo medico, non è registrata né soggetta a vigilanza come dispositivo medico presso il Ministero della Salute ai sensi del D.Lgs. 46/1997 o del Reg. (UE) 2017/745 (MDR). Aku non fornisce diagnosi, terapie o prestazioni sanitarie di alcun tipo.

Per funzionare, Aku tratta le seguenti categorie di dati personali:

3.1 Dati identificativi e di account

• Indirizzo email (per l'autenticazione)
• Nome o soprannome scelto dall'utente
• Identificativo utente pseudonimo generato dal sistema (UUID)
• Dati tecnici di autenticazione tramite Apple Sign In o Google OAuth (gestiti direttamente dai rispettivi fornitori, che non trasmettono al Titolare altri dati personali al di là del token di autenticazione)

3.2 Dati relativi alla salute (categorie particolari di dati, art. 9 GDPR)

Aku tratta dati che la normativa qualifica come "categorie particolari di dati personali" in quanto relativi alla salute. Si tratta esclusivamente di informazioni auto-riferite che l'utente fornisce volontariamente:

• Caratteristiche soggettive dell'acufene (tipo di suono, tonalità approssimativa percepita)
• Descrizione qualitativa dell'esperienza di ascolto e risposte alle esplorazioni sonore proposte dall'app
• Volume di ascolto di comfort (auto-dichiarato)
• Percezione soggettiva dell'impatto dell'acufene su sonno, concentrazione, umore e relazioni
• Check-in quotidiani di benessere
• Note del diario personale
• Eventuali riferimenti a sensazioni corporee correlate all'acufene
• Contenuto delle conversazioni con il compagno AI, che può includere riferimenti allo stato di salute o emotivo dell'utente

Questi dati non costituiscono misurazioni cliniche e non hanno valore diagnostico.

3.3 Dati di utilizzo, comportamentali e di acquisto

• Dati tecnici di utilizzo dell'app (sessioni, funzioni utilizzate, frequenza di accesso)
• Dati relativi all'abbonamento e ai pagamenti (gestiti tramite Apple App Store / Google Play e dal fornitore RevenueCat, v. Sezione 6)

3.4 Dati che non raccogliamo

Per scelta deliberata e documentata, Aku non raccoglie: dati di localizzazione geografica precisa, dati biometrici, dati relativi a terze persone, audiogrammi clinici, dati di navigazione web, profili pubblicitari. Aku non contiene SDK pubblicitari né strumenti di tracciamento a fini di marketing. Nessun dato relativo alla salute dell'utente viene mai condiviso con piattaforme pubblicitarie.

4. Finalità e basi giuridiche del trattamento

Struttura del consenso e sua libertà. Il consenso al trattamento dei dati relativi alla salute è raccolto in fase di registrazione in modo esplicito, granulare e separato per ciascuna finalità, tramite caselle di selezione distinte accompagnate da spiegazioni in linguaggio semplice. Il conferimento dei dati relativi alla salute è facoltativo. Le funzionalità accessibili anche in assenza di consenso al trattamento dei dati sanitari comprendono almeno: la libreria di suoni di base e i contenuti informativi statici. Le funzionalità che richiedono il consenso (compagno AI, personalizzazione, andamento) sono chiaramente identificate come tali prima che il consenso sia richiesto.

L'utente può revocare il consenso in qualsiasi momento dalle impostazioni dell'app. La revoca non pregiudica la liceità del trattamento svolto fino a quel momento. Dalla revoca, i dati interessati non sono più trattati per le finalità revocate e, salvo diverso obbligo di conservazione, vengono cancellati nei tempi indicati alla Sezione 7.

5. Come funziona l'intelligenza artificiale in Aku (informativa ex art. 13 GDPR e art. 50 AI Act)

Il compagno conversazionale di Aku è un sistema di intelligenza artificiale basato su un modello linguistico fornito da Anthropic PBC (Claude). L'utente interagisce con un sistema artificiale, non con una persona fisica: Aku non è un essere umano.

Il Titolare ha effettuato una valutazione della classificazione del sistema AI ai sensi del Regolamento (UE) 2024/1689 (AI Act). Il sistema non rientra nelle categorie di AI vietate (art. 5 AI Act). Il Titolare monitora l'evoluzione della classificazione del sistema AI man mano che l'AI Act troverà piena applicazione.

Quando l'utente scrive ad Aku, il contenuto della conversazione e un profilo sintetico delle informazioni condivise vengono inviati ai server di Anthropic PBC per la generazione della risposta. In particolare:

• I dati strutturati del profilo inviati sono pseudonimizzati: non vengono mai trasmessi il nome reale dell'utente né il suo indirizzo email, ma soltanto un identificativo pseudonimo (UUID) e le informazioni rilevanti del profilo.
• Attenzione: la pseudonimizzazione non copre il contenuto libero delle conversazioni. Se l'utente inserisce spontaneamente il proprio nome, dati di contatto o altri elementi identificativi nel testo dei messaggi, questi vengono trasmessi al fornitore del modello AI così come scritti. Si raccomanda di non condividere nelle conversazioni dati identificativi non necessari.
• Anthropic conserva i dati delle richieste API per un massimo di 30 giorni per finalità di sicurezza, al termine dei quali li cancella. I dati non vengono utilizzati per addestrare i modelli di intelligenza artificiale.
• Le risposte di Aku sono generate automaticamente e hanno finalità di supporto e benessere: non costituiscono pareri medici, psicologici o di altri professionisti e possono contenere imprecisioni.

Segnalazioni interne di sicurezza. Se nel corso di una conversazione il sistema rileva automaticamente segnali che potrebbero indicare un rischio per l'utente (ad es. contenuti che suggeriscono un disagio emotivo significativo), il sistema può registrare internamente una segnalazione di sicurezza. Queste segnalazioni: (i) non producono alcuna decisione automatizzata con effetti giuridici o significativi sull'utente; (ii) non vengono condivise con terzi; (iii) sono conservate per il periodo indicato alla Sezione 7; (iv) sono utilizzate esclusivamente per finalità di tutela della sicurezza dell'utente. Nessuna azione automatizzata viene intrapresa nei confronti dell'utente sulla base delle segnalazioni.

Esclusione di decisioni automatizzate rilevanti. Aku non adotta decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o incidano in modo analogamente significativo sull'utente, ai sensi dell'art. 22 GDPR. La personalizzazione dei contenuti (suoni, esercizi) avviene in modo automatizzato ma non produce alcun effetto giuridico né conseguenze paragonabili su diritti o interessi fondamentali dell'utente.

Risorse di supporto. Se ti trovi in una situazione di disagio psicologico o emotivo grave, ti invitiamo a contattare un professionista della salute mentale o le seguenti risorse di supporto:

• Telefono Amico Italia: 02 2327 2327
• In caso di emergenza: 112

6. Chi tratta i tuoi dati per nostro conto: responsabili del trattamento e trasferimenti extra-UE

Trasferimenti extra-UE: informazioni generali. I trasferimenti di dati personali verso paesi terzi (in particolare gli Stati Uniti) avvengono sulla base delle Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea ai sensi dell'art. 46, par. 2, lett. c) GDPR, ovvero, ove applicabile, della decisione di adeguatezza relativa al Data Privacy Framework UE-USA (Decisione della Commissione C(2023)4745 del luglio 2023). Per ciascun fornitore con sede negli USA, il Titolare ha effettuato o sta completando una valutazione d'impatto sul trasferimento (Transfer Impact Assessment, TIA) per verificare che la legislazione statunitense non comprima le garanzie offerte dalle SCC. L'utente ha diritto di richiedere copia delle garanzie applicabili ai trasferimenti scrivendo a privacy@aku-app.com.

7. Per quanto tempo conserviamo i dati

La cancellazione alla scadenza dei periodi indicati avviene in modo automatico, tramite una procedura eseguita quotidianamente sui sistemi del Titolare.

Cancellazione dell'account. Se cancelli il tuo account tramite le impostazioni dell'app, i dati relativi alla salute e al profilo vengono eliminati dai sistemi di produzione senza ingiustificato ritardo e comunque entro 30 giorni. Le copie eventualmente presenti nei sistemi di backup vengono sovrascritte secondo il normale ciclo di rotazione dei backup, entro un massimo di ulteriori 30 giorni. Gli unici dati conservati dopo la cancellazione sono quelli fiscali e contabili, per il tempo richiesto dalla legge.

8. I tuoi diritti

In qualsiasi momento puoi esercitare i diritti previsti dagli articoli 15-22 del GDPR:

• Accesso (art. 15): ottenere conferma del trattamento e una copia dei tuoi dati personali.
• Rettifica (art. 16): correggere dati inesatti o incompleti.
• Cancellazione (art. 17): ottenere l'eliminazione dei tuoi dati ("diritto all'oblio"), salvo sussistano obblighi di conservazione prevalenti.
• Limitazione del trattamento (art. 18): limitare il trattamento in determinati casi previsti dalla normativa.
• Portabilità (art. 20): ricevere i tuoi dati in formato strutturato, di uso comune e leggibile da dispositivo automatico (formato JSON), direttamente esportabile dall'app nelle impostazioni, oppure su richiesta inviata a privacy@aku-app.com.
• Opposizione (art. 21): opporti al trattamento basato sul legittimo interesse del Titolare.
• Revoca del consenso (art. 7.3): revocare in qualsiasi momento il consenso prestato, senza pregiudicare la liceità del trattamento svolto prima della revoca. La revoca è esercitabile per singola finalità dalle impostazioni dell'app.

Come esercitare i diritti. I diritti di accesso, portabilità, cancellazione e revoca del consenso possono essere esercitati direttamente dalle impostazioni dell'app (sezione "Privacy e dati"), oppure scrivendo a privacy@aku-app.com. Il Titolare risponde entro 30 giorni dalla ricezione della richiesta. In caso di richieste particolarmente complesse, il termine può essere prorogato di ulteriori 60 giorni, dandone comunicazione motivata all'utente entro il primo termine.

Reclamo all'autorità di controllo. Se ritieni che il trattamento dei tuoi dati violi la normativa applicabile, hai il diritto di proporre reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it, Piazza Venezia 11, 00187 Roma), oppure all'autorità di controllo competente nel tuo paese di residenza.

9. Età minima

Aku è riservata a persone maggiorenni (18 anni o più). La maggiore età viene dichiarata dall'utente in fase di registrazione, mediante autodichiarazione. La scelta della soglia dei 18 anni, più cautelativa rispetto alla soglia minima di 14 anni prevista dall'art. 8 GDPR e dal D.Lgs. 101/2018 per i servizi della società dell'informazione, è motivata dalla natura dei dati trattati (dati sulla salute) e dalla specifica condizione degli utenti target. Il conferimento di dati falsi in merito alla propria età ha conseguenze civili e penali.

Il Titolare non raccoglie consapevolmente dati di persone minori di 18 anni. Se ritieni che un minore abbia creato un account, puoi segnalarlo scrivendo a privacy@aku-app.com: verificata la segnalazione, il Titolare procederà senza ingiustificato ritardo alla chiusura dell'account e alla cancellazione dei relativi dati.

10. Misure di sicurezza

Il Titolare adotta misure tecniche e organizzative adeguate alla natura e al rischio dei dati trattati, tra cui:

• Cifratura delle comunicazioni in transito (HTTPS/TLS)
• Cifratura dei dati a riposo (AES-256 con chiavi protette da HSM certificato FIPS 140-2)
• Controlli di accesso a livello di riga sul database (Row Level Security)
• Pseudonimizzazione dei dati strutturati inviati al fornitore AI
• Assenza di SDK pubblicitari o di tracciamento comportamentale con accesso a dati sanitari
• Cancellazione automatica dei dati alla scadenza dei periodi di conservazione (Sezione 7)
• Procedure interne di gestione degli incidenti di sicurezza

Violazione dei dati personali (data breach). In caso di violazione dei dati personali che presenti un rischio per i diritti e le libertà degli utenti, il Titolare provvederà alla notifica al Garante entro 72 ore dalla scoperta (art. 33 GDPR) e, ove il rischio sia elevato, alla comunicazione agli interessati senza ingiustificato ritardo (art. 34 GDPR).

11. Valutazione d'impatto sulla protezione dei dati (DPIA)

Ai sensi dell'art. 35 GDPR, il Titolare ha condotto una Valutazione d'Impatto sulla Protezione dei Dati (DPIA) prima dell'avvio del trattamento, in considerazione del trattamento sistematico di dati di categoria speciale (dati sulla salute) combinato con elaborazione automatizzata mediante intelligenza artificiale. La DPIA è documentata e disponibile su richiesta scritta inviata a privacy@aku-app.com.

12. Modifiche a questa informativa

La presente informativa può essere aggiornata per riflettere modifiche normative, tecnologiche o del servizio. In caso di modifiche sostanziali al trattamento dei dati, il Titolare informerà gli utenti tramite notifica nell'app con un preavviso congruo prima che le modifiche diventino efficaci, e raccoglierà un nuovo consenso ove richiesto dalla normativa. La versione aggiornata, con la relativa data di entrata in vigore, è sempre disponibile all'interno dell'app e all'indirizzo www.aku-app.com/privacy.

13. Proprietà intellettuale sui contenuti dell'utente e trattamento dei dati

I contenuti inseriti dall'utente nelle conversazioni (messaggi, note del diario, check-in) rimangono di proprietà dell'utente. Il Titolare, ai sensi dell'art. 13 dei Termini e Condizioni di Servizio, acquisisce una licenza limitata e strettamente necessaria all'erogazione del servizio (ad es. elaborazione dei messaggi per la generazione delle risposte AI). Tale elaborazione costituisce trattamento di dati personali ed è disciplinata dalla presente informativa, in particolare dalla Sezione 4 (finalità: "Invio dei dati al fornitore del modello AI") e dalla Sezione 6 (responsabile Anthropic PBC).

14. Contatti

Titolare: Mattia Peirano, Via Ugo Bassi 22, 20159 Milano (MI), P.IVA 01640360085, C.F. PRNMTT92S17D969H

Email privacy (GDPR): privacy@aku-app.com

Email supporto: support@aku-app.com

Email legale: legal@aku-app.com

Sito web: www.aku-app.com