Informativa sulla privacy

La presente informativa spiega quali dati raccolgono l’app mobile myBrux (Android e iOS), il pannello medico e il sito mybrux.com, perché li raccogliamo, a chi li comunichiamo, per quanto tempo li conserviamo e quali sono i Suoi diritti. Abbiamo cercato di scrivere in modo semplice. Se qualcosa non è chiaro, ci scriva.

1. Chi è il titolare del trattamento

Il titolare del trattamento dei Suoi dati personali è WM Group Wojciech Czyż, ul. Brzozowa 12, 43-230 Goczałkowice-Zdrój, Polonia, numero di identificazione fiscale polacco (NIP): 6381848290, gestore dell’app myBrux. In questa informativa, con «noi» si intende WM Group Wojciech Czyż.

SpaceIT Jakub Moskwa è lo sviluppatore e l’editore dell’app su App Store e Google Play e la realizza e mantiene per nostro conto.

Per qualsiasi questione relativa ai dati personali, scriva a [email protected].

2. Che cos’è myBrux

myBrux è uno strumento educativo che aiuta a sviluppare la consapevolezza della posizione della mandibola e delle abitudini legate al bruxismo. A tal fine utilizza brevi promemoria durante il giorno, il diario del dolore, esercizi di rilassamento e statistiche.

• myBrux non è un dispositivo medico. Non formula diagnosi, non cura e non sostituisce il consulto con un medico o un dentista.
• L’app è destinata esclusivamente a persone maggiorenni (18+).
• Non mostriamo pubblicità e non vendiamo dati. L’app non usa strumenti di analisi o tracciamento e, sul sito mybrux.com, Google Analytics funziona solo con il Suo consenso.

3. Quali dati raccogliamo

3.1. Dati dell’account

• indirizzo email e nome e cognome (o il nome che indica);
• password, se crea l’account con l’email. La conserviamo esclusivamente come hash sicuro, mai in chiaro;
• se accede con Google o Apple: l’identificativo del Suo account Google o Apple e l’email e il nome che tale servizio ci trasmette. Apple può trasmettere un indirizzo sostitutivo se sceglie l’opzione «Nascondi la mia email». Non riceviamo la Sua password di Google o Apple;
• l’ID utente in myBrux, la data di creazione dell’account, l’informazione sul completamento del questionario iniziale e il tipo di sistema operativo (Android o iOS) registrato con la sessione di accesso.

3.2. Questionario iniziale

Al primo avvio Le chiediamo di compilare un breve questionario per adattare l’app e i promemoria alle Sue esigenze. Raccogliamo:

• fascia d’età (dai 18 anni in su), genere (può scegliere «preferisco non dirlo»), tipo di occupazione quotidiana (se sceglie «altro», può descriverla con parole proprie);
• livello di stress, frequenza con cui avverte tensione o pressione, frequenza dell’attività fisica, regolarità del sonno;
• l’ora in cui si sveglia e l’ora in cui si addormenta. Definiscono la fascia oraria in cui inviamo i promemoria;
• sintomi e storia clinica: frequenza del dolore alla mandibola, alle tempie o al viso, affaticamento mattutino dei muscoli masticatori, digrignamento notturno dei denti, se notato, serramento diurno dei denti, abitudini orali (morsicatura della guancia o delle labbra, lingua tra i denti), uso di un bite, apparecchio ortodontico o protesi dentali, problemi all’articolazione temporo-mandibolare (DTM).

3.3. Dati che registra usando l’app

• risposte ai promemoria: che cosa sta facendo in quel momento la Sua mandibola (riposo, lieve contatto dentale, serramento, digrignamento, tensione senza contatto tra i denti, morsicatura di lingua o labbra, masticazione senza motivo), insieme all’ora della risposta e al collegamento con il relativo promemoria;
• diario del dolore: data, zone del dolore (ad es. articolazione temporo-mandibolare, masseteri, tempie, zona sottomentoniera, collo, mal di testa) e lato, intensità su una scala da 1 a 10 (0 indica una giornata senza dolore), tipo di dolore, sintomi associati (rigidità mattutina, affaticamento dei masseteri, dolore durante i pasti, apertura della bocca limitata) e note facoltative;
• esercizi di rilassamento: tipo di esercizio, se è stato completato, durata e se è stato avviato da un promemoria;
• stato del programma di promemoria: inizio, fine, numero di giorni;
• statistiche e «Punteggio mandibola» calcolati sulla base dei dati di cui sopra.

I dati di cui ai punti 3.2 e 3.3 possono rivelare informazioni sulla Sua salute. Si tratta di una cosiddetta categoria particolare di dati (art. 9 GDPR), per questo li trattiamo con particolare attenzione.

3.4. Impostazioni e dati tecnici

• orari delle notifiche, fuso orario (impostato automaticamente in base al telefono o scelto manualmente), lingua dell’app;
• token per le notifiche push, ossia un identificativo casuale che ci consente di inviare i promemoria al Suo dispositivo;
• informazioni sul collegamento con un medico (con chi e da quando), se usa questa funzione;
• dati tecnici registrati dal server durante le connessioni con l’app (indirizzo IP, data e ora, tipo di richiesta), per finalità di sicurezza.

3.5. Corrispondenza

Se ci scrive, trattiamo il Suo indirizzo email e il contenuto del messaggio.

3.6. Dati conservati solo sul Suo telefono

• token di accesso e dati di base del profilo (nome, email, ID) nell’archivio cifrato del sistema (iOS Keychain / Android Keystore). Vengono rimossi quando esce dall’account;
• il tema scelto (chiaro o scuro) e, per un breve periodo, una risposta a un promemoria che non è stato ancora possibile inviare (ad es. in assenza di connessione a internet).

3.7. Cosa non raccogliamo

Non raccogliamo posizione GPS, contatti, foto, registrazioni né identificativi pubblicitari. L’app non utilizza strumenti pubblicitari o di analisi di terzi. Non vendiamo dati e non li utilizziamo per finalità di marketing.

3.8. Acquisti in-app

Se acquista myBrux Plus, il pagamento è gestito da App Store o Google Play. Non vediamo i dati della Sua carta. Riceviamo informazioni sull’acquisto e sul suo stato, collegate al Suo account.

3.9. Account dei medici

Se usa il pannello medico, trattiamo nome e cognome, indirizzo email, specializzazione, numero di iscrizione all’albo (se lo indica), dati dell’abbonamento e gli inviti inviati ai pazienti, compresi l’indirizzo email o il numero di telefono del paziente indicati.

3.10. Il sito mybrux.com

Il sito non contiene moduli. Cloudflare, che lo distribuisce, tratta i dati tecnici di connessione (tra cui l’indirizzo IP) per finalità di sicurezza.

Se acconsente, usiamo Google Analytics 4 per capire come viene usato il sito: quali pagine vengono visitate, da dove arrivano i visitatori e quali dispositivi usano. Google riceve in tal caso dati sul Suo dispositivo e browser, sulle pagine visitate, sulla posizione approssimativa e gli identificativi salvati nei cookie. L’indirizzo IP serve a stimare la posizione e non viene salvato in Google Analytics. Non usiamo questi dati per la pubblicità e non li colleghiamo al Suo account nell’app. Veda anche come Google utilizza i dati dei siti che usano i suoi servizi.

Finché non acconsente, il sito non si collega a Google Analytics e non salva i suoi cookie. Può cambiare la Sua decisione in qualsiasi momento con il pulsante «Impostazioni dei cookie» nel piè di pagina. La revoca del consenso rimuove i cookie di Google Analytics dal Suo browser e non pregiudica la liceità del trattamento precedente.

Cookie usati sul sito:

• mybrux_consent: ricorda la Sua decisione per 6 mesi. È strettamente necessario e quindi non richiede il consenso;
• _ga e _ga_*: cookie di Google Analytics che distinguono visitatori e sessioni, fino a 2 anni. Solo con il Suo consenso.

4. Da dove provengono i Suoi dati

La maggior parte dei dati ce la fornisce direttamente Lei nell’app. Quando accede con Google o Apple, riceviamo da queste società l’identificativo dell’account, l’email e il nome. Il fuso orario, la lingua e il token per le notifiche vengono letti dall’app sul Suo dispositivo.

5. Finalità e basi giuridiche

Trattiamo i dati in conformità al GDPR (Regolamento (UE) 2016/679):

Account e funzionamento dell’app

Cosa facciamo: creiamo e gestiamo l’account, La facciamo accedere, salviamo le registrazioni, calcoliamo le statistiche, inviamo i promemoria.

Dati: dati dell’account, impostazioni, token per le notifiche.

Base giuridica: art. 6, par. 1, lett. b), GDPR, ossia l’esecuzione del contratto per l’uso dell’app.

Dati sulla salute

Cosa facciamo: conserviamo e analizziamo il questionario, le risposte ai promemoria, il diario del dolore, gli esercizi e le statistiche, affinché l’app possa funzionare.

Base giuridica: art. 9, par. 2, lett. a), in combinato disposto con l’art. 6, par. 1, lett. a), GDPR, ossia il Suo consenso esplicito, che presta nell’app prima di compilare il questionario iniziale. Può revocarlo in qualsiasi momento (v. punto 9).

Condivisione dei dati con il medico

Cosa facciamo: diamo accesso ai Suoi dati a un medico o dentista che usa myBrux.

Base giuridica: art. 9, par. 2, lett. a), GDPR, ossia il Suo consenso esplicito, che presta inserendo il codice di invito del medico o chiedendoci di collegare il Suo account al medico. Lo revoca rimuovendo il collegamento con il medico.

Account dei medici e fatturazione

Cosa facciamo: gestiamo l’account del medico e l’abbonamento ed emettiamo i documenti contabili.

Base giuridica: art. 6, par. 1, lett. b), GDPR (esecuzione del contratto) e art. 6, par. 1, lett. c), GDPR (obblighi contabili e fiscali).

Sicurezza

Cosa facciamo: proteggiamo il servizio da abusi e diagnostichiamo gli errori (log del server e segnalazioni di errore).

Base giuridica: art. 6, par. 1, lett. f), GDPR, ossia il nostro legittimo interesse alla sicurezza del servizio.

Statistiche del sito

Cosa facciamo: con il Suo consenso, misuriamo come viene usato il sito mybrux.com per migliorarlo (Google Analytics 4).

Base giuridica: art. 6, par. 1, lett. a), GDPR, ossia il Suo consenso. Anche salvare e leggere i cookie sul Suo dispositivo richiede il consenso (art. 5, par. 3, della direttiva ePrivacy). Può revocarlo con il pulsante «Impostazioni dei cookie» nel piè di pagina.

Contatti ed esercizio dei Suoi diritti

Cosa facciamo: rispondiamo ai messaggi e gestiamo le richieste, ad es. di accesso ai dati o di cancellazione.

Base giuridica: art. 6, par. 1, lett. c), GDPR (obbligo legale derivante dal GDPR) e art. 6, par. 1, lett. f), GDPR (legittimo interesse a comunicare con gli utenti).

Il conferimento dei dati è facoltativo, ma senza i dati dell’account e i dati registrati nell’app non possiamo fornire il servizio.

6. A chi comunichiamo i dati

Comunichiamo i dati solo ai soggetti senza i quali l’app non potrebbe funzionare e solo nella misura necessaria:

• SpaceIT Jakub Moskwa, sviluppatore ed editore dell’app, che realizza e mantiene l’app, il pannello e i server. Tratta i dati esclusivamente su nostro incarico;
• fornitore dei server (hosting) su cui funzionano la nostra API e il database: Hetzner Online GmbH (Germania). Tratta i dati esclusivamente su nostro incarico;
• Cloudflare (Cloudflare, Inc., USA), attraverso cui passa il traffico verso l’app, il pannello e il sito e che invia le nostre email;
• Backblaze (Backblaze, Inc., USA), dove conserviamo le copie di backup del database;
• Sentry (Functional Software, Inc., USA), che raccoglie le segnalazioni di errore del server. Una segnalazione può contenere l’identificativo dell’utente, l’indirizzo IP e i dettagli della richiesta;
• RevenueCat (RevenueCat, Inc., USA), che gestisce lo stato degli acquisti di myBrux Plus;
• Stripe (Stripe Payments Europe Ltd., Irlanda), che gestisce i pagamenti degli abbonamenti dei medici;
• SMSAPI (LINK Mobility Poland sp. z o.o.), che invia gli SMS di invito se il medico sceglie questa opzione. Riceve il numero di telefono e il codice di invito;
• Expo (650 Industries, Inc., USA), ossia il servizio Expo Push Notifications, tramite il quale inviamo i promemoria. Riceve il token per le notifiche e il contenuto della notifica. Il contenuto dei promemoria è di carattere generale (ad es. l’invito a controllare la posizione della mandibola);
• Google: Firebase Cloud Messaging recapita le notifiche ai telefoni Android; accesso con Google, se lo sceglie;
• Apple: Apple Push Notification service recapita le notifiche agli iPhone; accesso con Apple, se lo sceglie;
• il Suo medico o dentista che usa myBrux, solo se Lei inserisce personalmente il suo codice di invito o ci chiede di effettuare tale collegamento (Impostazioni → Condivisione dei dati). Il medico ottiene l’accesso ai dati che Lei registra nell’app. Può revocare l’accesso in qualsiasi momento: Impostazioni → Condivisione dei dati → Rimuovi il collegamento con il medico. Se il medico trasferisce i dati nella propria documentazione medica, ne risponde come titolare autonomo del trattamento;
• il fornitore di posta elettronica che utilizziamo, per la corrispondenza con Lei;
• autorità pubbliche, solo se richiesto dalla legge.

Quando accede con Google o Apple, queste società agiscono come titolari autonomi del trattamento dei dati del Suo account Google o Apple. In tal caso si applicano anche le loro informative sulla privacy.

Se accetta le statistiche del sito, i dati sul suo utilizzo arrivano anche a Google Ireland Limited (Irlanda), fornitore di Google Analytics, che li tratta per nostro conto.

7. Trasferimento dei dati al di fuori del SEE

La nostra API e il database funzionano su server situati in Finlandia.

Expo, Google, Apple, Cloudflare, Backblaze, Sentry, RevenueCat e Stripe possono trattare parte dei dati (principalmente il token per le notifiche, il contenuto delle notifiche, i dati di accesso, i dati tecnici e i dati sugli acquisti) negli USA o in altri Paesi al di fuori dello Spazio economico europeo. Ciò avviene sulla base dei meccanismi previsti dal GDPR: una decisione di adeguatezza della Commissione europea (EU-US Data Privacy Framework, per le società che vi hanno aderito) o clausole contrattuali tipo approvate dalla Commissione. Su richiesta Le forniremo informazioni sulle garanzie applicate. Ciò vale anche per i dati di Google Analytics, se accetta le statistiche del sito.

8. Per quanto tempo conserviamo i dati

• Dati dell’account e tutti i dati registrati nell’app: finché ha un account. Dopo l’eliminazione dell’account li cancelliamo subito dal database, mentre dalle copie di backup scompaiono entro 30 giorni.
• Collegamento con il medico: fino alla rimozione da parte Sua o all’eliminazione dell’account.
• Token per le notifiche: fino all’eliminazione dell’account o alla sua sostituzione con un nuovo token.
• Log del server: fino a 14 giorni.
• Corrispondenza: per il tempo necessario a gestire la pratica e poi non oltre 12 mesi (ad es. per dimostrare che abbiamo dato seguito alla Sua richiesta).
• Dati di fatturazione dei medici: per il periodo previsto dalla normativa fiscale, di norma 5 anni dalla fine dell’anno fiscale.
• Dati sul telefono: token di accesso e dati del profilo fino all’uscita dall’account, altre impostazioni fino alla disinstallazione dell’app.
• Statistiche del sito (Google Analytics): fino a 14 mesi, se le accetta.

9. I Suoi diritti

Lei ha il diritto di:

• accedere ai Suoi dati e riceverne una copia;
• ottenere la rettifica (correzione) dei dati;
• ottenere la cancellazione dei dati;
• ottenere la limitazione del trattamento;
• ottenere la portabilità dei dati, ossia riceverli in un formato strutturato e di uso comune;
• opporsi al trattamento basato sul nostro legittimo interesse;
• revocare il consenso in qualsiasi momento. Ciò non pregiudica la liceità del trattamento effettuato prima della revoca. Senza i dati sulla salute l’app non può funzionare, quindi in pratica la revoca del consenso comporta l’eliminazione dell’account e dei dati;
• proporre reclamo all’autorità di controllo polacca, il Presidente dell’Ufficio per la protezione dei dati personali (Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, Polonia, uodo.gov.pl), oppure all’autorità di controllo del Paese dell’UE in cui vive o lavora.

Come esercitare i Suoi diritti

• Nell’app: Impostazioni → Dati del questionario iniziale (revisione e nuova compilazione del questionario), Impostazioni → Orari delle notifiche, Impostazioni → Condivisione dei dati (revoca dell’accesso del medico), Impostazioni → Informazioni sull’account → Elimina account.
• Via email: [email protected], preferibilmente dall’indirizzo associato all’account. Rispondiamo senza ingiustificato ritardo, al più tardi entro un mese. In casi eccezionali il termine può essere prorogato di altri due mesi; in tal caso La informeremo. Possiamo chiedere una conferma dell’identità.

Istruzioni dettagliate per l’eliminazione dell’account: mybrux.com/delete-account.

10. Sicurezza

• la comunicazione tra l’app e il server è cifrata (HTTPS);
• il token di accesso è conservato nell’archivio cifrato del telefono (iOS Keychain / Android Keystore);
• conserviamo le password esclusivamente come hash;
• ai dati accedono solo le persone che ne hanno bisogno e il medico solo dopo che Lei ha inserito il suo codice di invito o dopo il collegamento degli account su Sua richiesta.

Nessun sistema è sicuro al 100%. Se si verifica una violazione che può mettere a rischio i Suoi diritti, informeremo Lei e il Presidente dell’UODO, l’autorità di controllo polacca, come previsto dal GDPR.

11. Decisioni automatizzate

L’app calcola automaticamente le statistiche e il «Punteggio mandibola» esclusivamente a titolo informativo per Lei (e per il Suo medico, se condivide con lui i dati). Non adottiamo nei Suoi confronti decisioni basate unicamente sul trattamento automatizzato che producano effetti giuridici o che incidano in modo analogo significativamente sulla Sua persona. Non effettuiamo profilazione nei Suoi confronti per finalità di marketing.

12. Minori

myBrux è destinata esclusivamente a persone che hanno compiuto 18 anni. Non raccogliamo consapevolmente dati di minori. Se veniamo a sapere che un account è stato creato da una persona di età inferiore a 18 anni, lo elimineremo insieme ai relativi dati.

13. Modifiche all’informativa

Possiamo aggiornare la presente informativa, ad es. quando cambiano le funzioni dell’app o la normativa. La versione aggiornata è sempre disponibile all’indirizzo mybrux.com/privacy-policy e la data dell’ultima modifica è indicata in cima alla pagina. La informeremo delle modifiche rilevanti nell’app o via email.

14. Contatti

WM Group Wojciech Czyż
ul. Brzozowa 12, 43-230 Goczałkowice-Zdrój, Polonia
Numero di identificazione fiscale (NIP): 6381848290
Email: [email protected]