Informativa Privacy app psAico.ai
General Data Protection Regulation (GDPR) UE 2016/679
La presente informativa è resa ai sensi dell’art. 13 del Regolamento (UE) 2016/679 (“GDPR”) agli utenti che utilizzano l’applicazione psAico via web o tramite gli store Apple e Google Play. L’utilizzo del servizio è inoltre disciplinato dai Termini e Condizioni disponibili sul sito.
psAico è un servizio digitale pensato per offrire un aiuto psicologico orientato al benessere emotivo e alla riflessione personale tramite un assistente virtuale basato su intelligenza artificiale. Il servizio non costituisce attività sanitaria, non svolge funzioni diagnostiche o terapeutiche e non sostituisce il supporto di un professionista qualificato.
Titolare del trattamento:
- psAico srls
- P.IVA 02800830222
- Via Pranzelores 87 – 38121 Trento (TN) – Italia
- Email: info@psaico.ai
- PEC: psaico@namirialpec.it
1. Finalità e base giuridica del trattamento
Per consentire il funzionamento del servizio, il Titolare può trattare, in base alle funzionalità utilizzate:
- dati di account e profilo, quali email, username, password protetta, nome, cognome, nickname, immagine del profilo, età, genere, motivo della consultazione, preferenze e piattaforma di registrazione;
- contenuti inseriti nella chat, risposte, sintesi tecniche, risposte e punteggi dei questionari e relativo storico;
- dati tecnici e di utilizzo, quali durata e fonte delle sessioni, contatori tecnici relativi all’uso dei servizi AI, dati di accesso, indirizzo IP, log di sicurezza e informazioni relative alle richieste di cancellazione;
- dati necessari alla verifica dell’email, all’autenticazione a due fattori e, se attivato, all’accesso biometrico del dispositivo. Il backend può conservare il nome del dispositivo e la relativa chiave pubblica, ma non conserva l’impronta digitale o il volto dell’utente;
- preferenze di notifica, token del dispositivo e registri tecnici degli invii push;
- stato dell’abbonamento e identificativi tecnici delle sottoscrizioni gestite tramite fornitori di pagamento o store digitali;
- messaggi ed eventuali allegati inviati volontariamente all’assistenza, inoltrati alla casella di supporto;
- per la newsletter, email, nome, cognome, data e origine del consenso, stato di iscrizione o disiscrizione e dati tecnici di consegna, mancata consegna o reclamo.
L’utente può inserire contenuti particolarmente delicati relativi, ad esempio, al benessere psicologico, allo stato emotivo o ad aspetti intimi della propria vita. Queste informazioni possono rientrare nelle categorie particolari di dati personali previste dall’art. 9 GDPR.
Il servizio applica misure tecniche di minimizzazione, scrubbing e riduzione del contesto per limitare la presenza di identificativi diretti e contenuti non necessari. Il testo libero può tuttavia contenere informazioni personali e tali misure non garantiscono una completa anonimizzazione.
Il trattamento dei dati appartenenti alle categorie particolari si basa sul consenso esplicito dell’utente ai sensi dell’art. 9, par. 2, lett. a) GDPR. Il consenso è richiesto mediante apposita dichiarazione durante la registrazione; senza tale consenso non è possibile utilizzare il servizio. Il Titolare registra la data e l’ora dell’accettazione, la versione dell’informativa e il canale attraverso il quale è stata raccolta.
Le altre finalità e basi giuridiche sono:
- registrazione, autenticazione, erogazione e personalizzazione del servizio, gestione del profilo, notifiche di servizio e assistenza: esecuzione del servizio richiesto dall’utente ai sensi dell’art. 6, par. 1, lett. b) GDPR;
- gestione dei pagamenti, degli abbonamenti e degli adempimenti contabili e fiscali: esecuzione del contratto e adempimento di obblighi di legge ai sensi dell’art. 6, par. 1, lett. b) e c) GDPR;
- sicurezza, verifica antispam, protezione dell’infrastruttura, prevenzione degli abusi e gestione tecnica: legittimo interesse del Titolare ai sensi dell’art. 6, par. 1, lett. f) GDPR;
- analytics, misurazione e strumenti di marketing non necessari: consenso dell’utente ai sensi dell’art. 6, par. 1, lett. a) GDPR;
- newsletter e comunicazioni promozionali: consenso facoltativo e separato ai sensi dell’art. 6, par. 1, lett. a) GDPR.
Prevenzione degli abusi della prova gratuita. Per evitare che la stessa persona utilizzi più volte la prova gratuita, al momento della registrazione il Titolare conserva un identificativo non reversibile (HMAC-SHA256, calcolato con una chiave nota soltanto al Titolare) dell’indirizzo email indicato alla registrazione. L’identificativo non è calcolato sull’indirizzo così come scritto, ma sulla casella di posta cui esso corrisponde: eventuali suffissi dopo il segno + e, per i domini che li ignorano, i punti nella parte precedente la chiocciola non vengono considerati. Scritture diverse della stessa casella danno quindi lo stesso identificativo.
L’identificativo è conservato separatamente dai dati dell’account: insieme ad esso sono conservati soltanto la data della concessione e, se la stessa casella tenta una nuova iscrizione, il numero e la data dell’ultimo tentativo; non sono conservati l’indirizzo email né alcun dato dell’account. Dall’identificativo non è possibile ricostruire l’indirizzo: serve unicamente a verificare se una casella di posta ha già usufruito della prova gratuita. Sono gli unici dati che permangono dopo la cancellazione dell’account.
Chi si iscrive con una casella che ha già usufruito della prova può comunque creare l’account: non riceve la prova gratuita e può attivare l’abbonamento.
Base giuridica: legittimo interesse del Titolare alla prevenzione degli abusi del servizio, ai sensi dell’art. 6, par. 1, lett. f) GDPR.
Il trattamento riguarda un dato pseudonimizzato e non anonimo: non consente al Titolare di ricostruire l’indirizzo email, ma consente di verificare se un indirizzo determinato corrisponde a un identificativo già registrato.
L’utente ha diritto di opporsi in qualsiasi momento a questo trattamento, ai sensi dell’art. 21 GDPR, scrivendo a info@psaico.ai o tramite PEC a psaico@namirialpec.it: il Titolare valuta la richiesta bilanciando i diritti dell’interessato con l’interesse a prevenire l’uso ripetuto della prova gratuita.
Conservazione: 24 mesi dalla registrazione dell’account, al termine dei quali l’identificativo viene eliminato.
Il consenso al trattamento dei dati particolari può essere revocato in qualsiasi momento. Poiché tale trattamento è necessario per le funzioni essenziali di psAico, la revoca comporta la cessazione dell’uso del servizio e può essere esercitata cancellando l’account dalla voce Elimina account, accessibile dal profilo in alto a destra, oppure contattando il Titolare.
Il consenso marketing è facoltativo, separato dal servizio principale e revocabile in ogni momento tramite il link di disiscrizione presente nelle newsletter. Può essere prestato durante la registrazione all’applicazione psAico, dalle impostazioni del profilo o durante la registrazione all’area riservata ai professionisti. Il Titolare registra la data del consenso, l’eventuale revoca e l’origine dell’ultima scelta.
L’utente è invitato a non inserire dati personali riferiti a terzi o informazioni particolarmente sensibili quando non siano necessari.
Finalità statistiche e di ricerca su dati aggregati. Il Titolare tratta ulteriormente alcuni dei dati raccolti nell’erogazione del Servizio per finalità statistiche e di ricerca, allo scopo di produrre esclusivamente risultati aggregati e anonimi. Rientrano in questa finalità, a titolo esemplificativo: la distribuzione per fascia di età e per genere degli utenti registrati; la distribuzione dei punteggi dei questionari di benessere; la durata e la frequenza delle sessioni di utilizzo; i tassi di attivazione e di prosecuzione del Servizio; il numero di attivazioni delle risposte dedicate alle situazioni di emergenza.
Ai sensi dell’art. 5, par. 1, lett. b) GDPR, l’ulteriore trattamento a fini statistici o di ricerca scientifica non è considerato incompatibile con le finalità originarie. Il trattamento avviene nel rispetto delle garanzie previste dall’art. 89, par. 1 GDPR e, per i dati appartenenti alle categorie particolari, dell’art. 9, par. 2, lett. j) GDPR, assumendo inoltre come standard di riferimento, in quanto applicabili, le Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica (provv. Garante 19 dicembre 2018, doc. web n. 9069637). In particolare:
- i dati sono utilizzati soltanto per il tempo strettamente necessario al calcolo; i risultati sono prodotti, conservati e diffusi unicamente in forma aggregata, in modo che non sia possibile risalire, neppure indirettamente, a una persona identificata o identificabile;
- non viene diffuso alcun valore riferito a gruppi di dimensione ridotta: ogni dato pubblicato si riferisce ad almeno 20 osservazioni;
- i contenuti delle conversazioni non sono utilizzati per questa finalità, né in forma integrale, né parziale, né sotto forma di citazione o esempio. Può essere conteggiato unicamente il numero di occorrenze degli eventi tecnici generati in automatico dai sistemi di sicurezza del Servizio — ad esempio l’attivazione di una risposta dedicata alle situazioni di emergenza — senza il testo che li ha determinati;
- non vengono diffusi dati individuali, storici personali di utilizzo o qualsiasi elemento che consenta la re-identificazione;
- i risultati aggregati possono essere oggetto di pubblicazione scientifica o divulgativa.
L’utente può opporsi in qualsiasi momento a questo trattamento, ai sensi dell’art. 21, par. 6 GDPR, scrivendo a info@psaico.ai o tramite PEC a psaico@namirialpec.it. L’esercizio del diritto non pregiudica in alcun modo l’erogazione del Servizio.
2. Modalità di trattamento e destinatari
Il trattamento avviene mediante strumenti informatici e telematici, con modalità automatizzate e, ove necessario, manuali, nel rispetto dei principi di liceità, correttezza, trasparenza, minimizzazione e limitazione della conservazione. Il Titolare adotta misure tecniche e organizzative adeguate per tutelare riservatezza, integrità e disponibilità dei dati e prevenire accessi non autorizzati, perdite, alterazioni o utilizzi non consentiti.
I dati possono essere trattati da personale autorizzato e da fornitori selezionati, nei limiti necessari alle rispettive funzioni, appartenenti alle seguenti categorie: servizi AI, infrastruttura e sicurezza, pagamenti e store digitali, comunicazioni email e push, assistenza, analytics e marketing. L’elenco aggiornato dei responsabili del trattamento può essere richiesto al Titolare.
Alcuni fornitori possono comportare trattamenti o trasferimenti di dati fuori dallo Spazio Economico Europeo. In tali casi il Titolare applica le garanzie previste dagli artt. 44 e seguenti GDPR, incluse, quando applicabili, decisioni di adeguatezza, Clausole Contrattuali Standard e misure supplementari.
3. Trattamento tramite servizi di terzi (OpenAI)
Per generare le risposte dell’assistente virtuale e le sintesi tecniche, psAico utilizza servizi di intelligenza artificiale forniti da OpenAI tramite API. Prima dell’invio, il servizio applica misure di minimizzazione e scrubbing volte a ridurre gli identificativi diretti e le informazioni non necessarie. Tali misure riducono il rischio di identificazione, ma non possono garantire una completa anonimizzazione dei contenuti inseriti liberamente dall’utente.
I dati sono trasmessi per generare la risposta richiesta nell’ambito dell’erogazione del servizio. Il trattamento può comportare un trasferimento verso Paesi esterni allo Spazio Economico Europeo, inclusi gli Stati Uniti, nel rispetto delle garanzie applicabili ai sensi del GDPR.
Per gli account degli utenti finali psAico configura le chiamate API con store=false, senza richiedere a OpenAI la memorizzazione applicativa dei prompt e delle risposte. OpenAI può comunque generare log tecnici e di sicurezza per attività di prevenzione degli abusi, conservati secondo le policy del fornitore e gli eventuali obblighi applicabili.
Il Titolare non utilizza i contenuti delle conversazioni per addestrare autonomamente propri modelli di intelligenza artificiale.
4. Conservazione dei dati
I dati personali sono conservati per il tempo necessario alle finalità indicate e, in generale, finché l’account resta attivo o fino all’esercizio dei diritti dell’utente, salvo obblighi di legge o esigenze di sicurezza documentate.
I messaggi completi della chat sono conservati dal Titolare per un periodo massimo di 30 giorni e sono sottoposti a cancellazione automatica periodica. Decorso tale termine, il sistema può conservare una sintesi tecnica utile alla continuità del servizio, associata all’account fino alla cancellazione della memoria conversazionale o dell’account.
La funzione di cancellazione della memoria elimina dal database messaggi, sintesi e questionari dell’utente. Possono restare i soli log tecnici necessari al funzionamento, alla sicurezza o all’adempimento di obblighi applicabili.
L’utente può cancellare l’account in qualsiasi momento. La cancellazione comporta anche la cessazione automatica dell’iscrizione alla newsletter e la rimozione dei dati personali che possono essere cancellati. Possono essere conservati, in forma limitata o privata degli identificativi non necessari, soltanto i dati richiesti da obblighi di legge, fiscali e contabili o necessari a documentare la gestione della richiesta.
Fanno eccezione soltanto l’identificativo non reversibile descritto al §1 (Prevenzione degli abusi della prova gratuita) e i dati minimi che lo accompagnano, cioè la data della concessione e l’eventuale ultimo tentativo di nuova iscrizione: non contengono l’indirizzo email, non consentono di ricostruirlo e sono conservati per 24 mesi dalla registrazione dell’account, al termine dei quali vengono eliminati. L’utente può opporsi a questo trattamento in qualsiasi momento scrivendo a info@psaico.ai o tramite PEC a psaico@namirialpec.it: il Titolare valuta la richiesta bilanciando i diritti dell’interessato con l’interesse a prevenire l’uso ripetuto della prova gratuita.
Eventuali dati residui presenti nelle copie di backup, cifrate e soggette a rotazione, vengono sovrascritti entro un massimo di 7 giorni.
In ogni momento l’utente può utilizzare le funzioni disponibili nell’app per cancellare la memoria conversazionale o esercitare i propri diritti rivolgendosi al Titolare ai recapiti indicati nella presente informativa.
5. Natura del conferimento dei dati
Il conferimento dei dati personali è facoltativo, ma necessario per usufruire del servizio. Senza i dati richiesti per registrazione, autenticazione, sicurezza ed erogazione delle funzionalità essenziali non è possibile utilizzare correttamente l’applicazione.
6. Diritti dell’interessato
L’utente può esercitare i diritti previsti dagli artt. 15-22 GDPR, tra cui accesso, rettifica, cancellazione, limitazione, opposizione, revoca del consenso e portabilità, quando applicabili. La revoca del consenso non pregiudica la liceità del trattamento effettuato prima della revoca.
Resta salvo il diritto di proporre reclamo al Garante per la protezione dei dati personali.
Le richieste possono essere inviate al Titolare tramite PEC all’indirizzo psaico@namirialpec.it. Il Titolare risponde senza ingiustificato ritardo e nei termini previsti dall’art. 12 GDPR, salvo le proroghe consentite dalla normativa.
7. Minorenni
L’applicazione è riservata a persone di almeno 18 anni. La dichiarazione di maggiore età è richiesta alla registrazione; l’età è raccolta con il primo questionario, senza il quale il Servizio non è utilizzabile, e non è consentito proseguire quando viene indicata un’età inferiore a 18 anni.
Quando dall’interazione emerge una dichiarazione esplicita di minore età, l’account è sospeso automaticamente, previa verifica automatica ulteriore e indipendente della dichiarazione, e ne è data comunicazione all’indirizzo email associato. È l’unico caso in cui una decisione automatizzata produce effetti significativi sull’interessato: chi ne è destinatario può in ogni momento ottenere l’intervento umano del Titolare, esprimere la propria posizione e contestare la decisione, secondo quanto previsto dall’Art. 10 dei Termini e Condizioni.
Se il Titolare viene a conoscenza della raccolta involontaria di dati riferibili a minori, provvede alla loro cancellazione nel più breve tempo possibile.
8. Cookie e strumenti tecnici di funzionamento
Versione web
La versione web utilizza cookie o tecnologie equivalenti necessari alla gestione della sessione, all’autenticazione, alla sicurezza e al corretto funzionamento del servizio. Tra gli strumenti necessari rientra anche Google reCAPTCHA, impiegato per prevenire accessi automatizzati e abusi sulla base dei dati tecnici necessari alla verifica.
Solo con il consenso dell’utente possono essere attivati strumenti statistici o di marketing tramite Google Tag Manager e Google Analytics 4, utilizzati per comprendere l’uso del servizio e misurare campagne e conversioni. In base alla scelta espressa possono essere trattati dati quali pagine visitate, URL, referrer e parametri di campagna.
Con il consenso alle statistiche, al momento del pagamento e dell’eventuale rimborso psAico trasmette a Google Analytics 4 — direttamente dai propri server e non dal browser — un evento di acquisto o di storno riferito all’abbonamento. L’evento contiene l’identificatore pseudonimo attribuito dal cookie di Google Analytics, il numero della fattura, l’importo e l’imposta, la valuta, il nome del piano acquistato, il motivo dell’addebito (primo acquisto o rinnovo) e l’eventuale codice sconto; riporta inoltre la scelta espressa sulla categoria Marketing, così che in sua assenza Google non utilizzi l’evento per finalità pubblicitarie personalizzate. Non sono trasmessi nome, indirizzo email né alcun identificativo dell’account. I dati tecnici necessari a collegare il pagamento alla sessione di navigazione sono conservati da psAico per 7 giorni, estesi a 90 in caso di pagamento riuscito, e poi eliminati.
La scelta è memorizzata nel cookie tecnico cc_cookie, condiviso sul dominio .psaico.ai per un massimo di 182 giorni. L’utente può accettare o rifiutare separatamente le categorie Statistiche e Marketing e modificare o revocare la scelta in qualsiasi momento tramite la voce Preferenze cookie della web app.
Il sito pubblico può fornire ulteriori dettagli nella propria informativa cookie. Tale informativa non sostituisce questa sezione: la preferenza è condivisa tra i domini psAico e anche la web app può eseguire direttamente i trattamenti statistici e di marketing descritti sopra.
App per iOS e Android
L’app per iOS e Android non utilizza cookie né identificatori pubblicitari (IDFA/AAID) e non effettua alcun tracciamento tra app o siti di terzi. Oltre agli strumenti tecnici necessari al funzionamento (sessione e autenticazione, sicurezza, Google reCAPTCHA nei punti di accesso, notifiche push tramite il token del dispositivo, registri tecnici), l’app può raccogliere statistiche d’uso in forma aggregata tramite Google Analytics for Firebase (Google Ireland Limited, quale responsabile del trattamento), esclusivamente previo consenso dell’utente, espresso al primo avvio nella schermata Rispettiamo la tua privacy. A tal fine viene generato un identificatore pseudonimo dell’installazione (app instance ID) e vengono registrati eventi d’uso quali apertura dell’app, completamento della registrazione e del primo questionario, avvio e conclusione dell’acquisto — quest’ultimo accompagnato dall’importo, dalla valuta, dal piano acquistato e dall’identificativo della transazione attribuito dallo store — insieme a dati tecnici del dispositivo (modello, sistema operativo, lingua, Paese). Non vengono mai trasmessi nome, indirizzo email né contenuti delle conversazioni; Google Signals e i segnali pubblicitari sono disattivati. Il consenso può essere negato senza alcuna conseguenza sull’uso del servizio, è conservato sul dispositivo per 182 giorni e può essere modificato o revocato in ogni momento dall’app, alla voce Privacy e termini → Preferenze privacy (Statistiche d’uso): alla revoca la raccolta viene interrotta e i dati statistici e l’identificatore già presenti sul dispositivo vengono cancellati. In caso di modifica sostanziale degli strumenti o delle finalità la scelta viene richiesta di nuovo. I dati statistici sono conservati da Google per un massimo di 14 mesi. Base giuridica: consenso ai sensi dell’art. 6, par. 1, lett. a) GDPR. Google può trattare i dati anche su server situati negli Stati Uniti, sulla base dell’EU-U.S. Data Privacy Framework e delle clausole contrattuali standard.
L’app utilizza inoltre Firebase Crashlytics (Google) per raccogliere, in caso di errore o arresto anomalo, rapporti tecnici (tipo di errore, stato dell’app, modello di dispositivo e versione del sistema operativo) necessari a garantire la stabilità e la sicurezza del servizio (legittimo interesse ai sensi dell’art. 6, par. 1, lett. f) GDPR). I rapporti non contengono dati identificativi né contenuti delle conversazioni e sono conservati da Google per 90 giorni.
9. Condivisione con un professionista sanitario di fiducia
Su iniziativa esclusiva dell’utente, l’applicazione consente di autorizzare un professionista sanitario di fiducia ad accedere, in sola lettura, alle risposte e ai punteggi dei questionari, alle sintesi tecniche e ai contenuti delle chat conservati al momento della consultazione, secondo i termini di conservazione indicati al §4. Insieme a tali contenuti il professionista vede i dati identificativi dell’account (nome e cognome oppure, in mancanza, il nickname) e l’indirizzo email, necessari a riconoscere l’Utente tra le persone che lo hanno autorizzato. La funzione richiede un abbonamento attivo e non è disponibile durante la prova gratuita. È inoltre disponibile esclusivamente in Italia ed è riservata ai professionisti iscritti agli ordini professionali italiani.
La funzione è facoltativa: il suo mancato utilizzo non pregiudica in alcun modo l’uso del servizio. La condivisione riguarda dati che possono rientrare nelle categorie particolari previste dall’art. 9 GDPR e si fonda su un consenso esplicito, specifico e distinto da quello richiesto per l’utilizzo del servizio, ai sensi degli artt. 6, par. 1, lett. a) e 9, par. 2, lett. a) GDPR. Il consenso è raccolto al momento dell’invito, con la doppia digitazione dell’indirizzo email del professionista e la conferma tramite il secondo fattore di autenticazione; il Titolare registra data, ora, destinatario e versione dell’informativa.
L’utente può revocare l’autorizzazione in qualsiasi momento dalla propria area personale, con effetto immediato e senza pregiudizio della liceità del trattamento effettuato prima della revoca. La cancellazione della memoria conversazionale o dell’account rende i contenuti non più visibili al professionista. Non sono create copie a disposizione del professionista che sopravvivano alla revoca o alla cancellazione. Restano i registri tecnici dell’autorizzazione, della revoca e delle consultazioni effettuate dal professionista, conservati per 24 mesi per documentare le scelte espresse dall’utente e per la tracciabilità degli accessi.
Il professionista che accede tratta i dati consultati nell’ambito della propria attività, in qualità di titolare autonomo del trattamento, nel rispetto dei propri obblighi normativi e deontologici e della propria informativa. Il Titolare non risponde dei trattamenti successivi effettuati dal professionista.
I dati personali del professionista sono trattati secondo l’informativa dedicata, disponibile in fondo a questa pagina.
Addendum internazionale all’Informativa Privacy di psAico
1. Oggetto, ambito di applicazione e prevalenza
Il presente Addendum integra l’Informativa Privacy di psAico e si applica al trattamento dei dati personali degli utenti che si trovano fuori dall’Unione europea e dallo Spazio economico europeo, quando la normativa del luogo in cui si trova l’utente è applicabile al Servizio.
L’Informativa Privacy generale e il presente Addendum devono essere letti congiuntamente. Il presente Addendum non limita i diritti riconosciuti dall’Informativa Privacy generale.
In caso di contrasto, prevalgono le disposizioni inderogabili della legge applicabile all’utente. Per quanto compatibile con tale legge, si applica la disposizione che assicura all’interessato la tutela più elevata.
La disponibilità dell’applicazione in uno store digitale non esclude l’applicazione della normativa locale e non sostituisce eventuali registrazioni, autorizzazioni, valutazioni d’impatto, rappresentanti locali o altri adempimenti preliminari richiesti nel Paese interessato.
2. Titolare del trattamento e contatti
Il Titolare del trattamento è:
- psAico S.r.l.s. a socio unico
- Via Pranzelores 87 – 38121 Trento (TN) – Italia
- P.IVA 02800830222
- Email: info@psaico.ai
- PEC: psaico@namirialpec.it
Le richieste relative alla privacy possono essere inviate ai recapiti sopra indicati o tramite gli strumenti di assistenza disponibili nell’applicazione.
Quando la legge locale impone la designazione di un rappresentante, di un responsabile privacy o di un referente situato nel Paese dell’utente, i relativi recapiti devono essere resi disponibili prima dell’offerta del Servizio in quel Paese e pubblicati nell’Informativa o attraverso un avviso locale facilmente accessibile.
3. Dati trattati e finalità
Le categorie di dati personali trattati, le finalità, le modalità del trattamento, i destinatari e i tempi di conservazione sono descritti nell’Informativa Privacy generale.
In base alle funzionalità utilizzate, il trattamento può comprendere dati di account e profilo, contenuti della Chat, Sintesi tecniche, questionari, dati tecnici e di sicurezza, dati relativi ad autenticazione, notifiche, abbonamenti, assistenza e newsletter.
I contenuti inseriti liberamente dall’utente possono rivelare informazioni sul benessere psicologico, sullo stato emotivo, sulla salute o sulla vita intima. Tali informazioni sono trattate come dati sensibili o appartenenti a categorie particolari quando la legge applicabile lo prevede.
psAico invita l’utente a non inserire dati personali di terzi, identificativi diretti o informazioni non necessarie all’erogazione del Servizio.
4. Basi giuridiche e consenso
Quando il GDPR è applicabile, le basi giuridiche restano quelle indicate nell’Informativa Privacy generale.
Negli altri Paesi, psAico tratta i dati sulla base del consenso, dell’esecuzione del contratto richiesto dall’utente, dell’adempimento di obblighi legali, della tutela della sicurezza e degli altri presupposti riconosciuti dalla normativa locale.
Il trattamento dei contenuti che rivelano dati sensibili si fonda sul consenso esplicito quando questo è richiesto dalla legge applicabile. La revoca del consenso non pregiudica la liceità del trattamento effettuato prima della revoca. Se il trattamento dei dati sensibili è necessario per le funzioni essenziali di psAico, la revoca comporta l’impossibilità di continuare a utilizzare tali funzioni e può essere esercitata cancellando l’account o contattando il Titolare.
Il consenso alla newsletter e alle comunicazioni promozionali è facoltativo, separato dal Servizio principale e revocabile in qualsiasi momento.
5. Elaborazione mediante intelligenza artificiale
Per generare le risposte dell’assistente virtuale e le Sintesi tecniche, psAico utilizza servizi di intelligenza artificiale forniti da OpenAI tramite API.
Prima dell’invio, il Servizio applica misure di minimizzazione, scrubbing e riduzione del contesto volte a limitare la presenza di identificativi diretti e informazioni non necessarie. Poiché il testo libero può contenere informazioni specifiche o identificative, queste misure riducono il rischio di identificazione ma non garantiscono l’anonimizzazione completa o irreversibile dei contenuti.
Per gli account degli utenti finali, le chiamate API sono configurate con store=false, senza richiedere a OpenAI la memorizzazione applicativa dei prompt e delle risposte. OpenAI può comunque generare log tecnici e di sicurezza per la prevenzione degli abusi, conservati secondo le policy del fornitore e gli obblighi applicabili.
Il Titolare non utilizza le conversazioni per addestrare autonomamente propri modelli di intelligenza artificiale.
6. Assenza di vendita dei dati e pubblicità comportamentale
psAico:
- non vende i dati personali degli utenti;
- non concede i dati personali in licenza a data broker;
- non utilizza il contenuto delle conversazioni per pubblicità comportamentale;
- non condivide il contenuto delle conversazioni con inserzionisti;
- non utilizza dati sensibili per creare segmenti pubblicitari;
- non autorizza OpenAI a utilizzare gli input o gli output inviati tramite API per addestrare i propri modelli.
I dati possono essere comunicati a fornitori tecnici che operano per conto di psAico, nei limiti necessari all’erogazione, alla sicurezza e alla gestione del Servizio, oppure quando la comunicazione è richiesta dalla legge.
L’eventuale uso di analytics o strumenti di marketing non necessari avviene nei limiti e sulla base del consenso descritti nell’Informativa Privacy generale.
7. Trasferimenti internazionali
Alcuni fornitori possono trattare dati al di fuori del Paese nel quale si trova l’utente. Tali fornitori possono includere, secondo le funzionalità utilizzate, servizi di intelligenza artificiale, infrastruttura e sicurezza, store digitali, comunicazioni email e push, assistenza, analytics e marketing.
Quando si verifica un trasferimento internazionale di dati personali, psAico adotta le garanzie richieste dalla normativa applicabile, che possono comprendere:
- decisioni di adeguatezza o meccanismi equivalenti;
- Clausole Contrattuali Standard o clausole modello riconosciute dalla legge locale;
- accordi sul trattamento dei dati;
- valutazioni d’impatto o del rischio di trasferimento;
- consenso esplicito, soltanto quando costituisce un meccanismo valido per il trasferimento interessato;
- misure tecniche e organizzative supplementari;
- autorizzazioni dell’autorità competente, quando obbligatorie.
Una descrizione delle garanzie applicabili può essere richiesta al Titolare, nei limiti consentiti dalla legge e fatti salvi gli elementi riservati o relativi alla sicurezza.
8. Conservazione e cancellazione
I dati sono conservati per i periodi indicati nell’Informativa Privacy generale. In particolare:
- i messaggi completi della Chat sono conservati dal Titolare per un periodo massimo di 30 giorni e sono sottoposti a cancellazione automatica periodica;
- decorso tale termine, il sistema può conservare una Sintesi tecnica associata all’account fino alla cancellazione della memoria conversazionale o dell’account;
- la cancellazione della memoria elimina dal database messaggi, Sintesi tecniche e questionari dell’utente;
- i dati amministrativi, contabili e fiscali possono essere conservati per i periodi imposti dalla legge;
- i log tecnici e di sicurezza sono conservati nella misura necessaria al funzionamento, alla sicurezza e alla gestione di obblighi applicabili;
- gli eventuali dati residui presenti nelle copie di backup, cifrate e soggette a rotazione, sono sovrascritti entro un massimo di 7 giorni;
- l’identificativo non reversibile descritto al §1 dell’Informativa Privacy generale, la data della concessione e l’eventuale ultimo tentativo di nuova iscrizione sono conservati per 24 mesi dalla registrazione dell’account e sono gli unici dati che permangono dopo la cancellazione dell’account.
La cancellazione dell’account comporta anche la cessazione automatica dell’iscrizione alla newsletter e la rimozione dei dati personali che possono essere cancellati. Restano esclusi i soli dati che devono essere conservati per obblighi di legge, fiscali e contabili, per documentare la gestione della richiesta o per esigenze di sicurezza e tutela giuridica ammesse dalla legge. Restano inoltre conservati l’identificativo non reversibile indicato sopra e i dati minimi che lo accompagnano.
9. Diritti degli utenti
Indipendentemente dal Paese di residenza e nei limiti tecnicamente e legalmente applicabili, l’utente può richiedere:
- conferma dell’esistenza di dati personali che lo riguardano;
- accesso ai propri dati e alle informazioni sul trattamento;
- correzione o aggiornamento di dati inesatti o incompleti;
- cancellazione dei dati;
- limitazione o sospensione del trattamento;
- opposizione a determinati trattamenti;
- portabilità dei dati forniti dall’utente;
- revoca dei consensi precedentemente prestati;
- informazioni sui destinatari e sui trasferimenti internazionali;
- intervento umano o riesame quando la legge riconosce diritti relativi a processi automatizzati;
- riesame di una richiesta privacy precedentemente respinta;
- reclamo all’autorità competente.
psAico può chiedere le informazioni ragionevolmente necessarie per verificare l’identità del richiedente e prevenire accessi non autorizzati. Le richieste sono gestite gratuitamente e nei termini previsti dalla legge applicabile, salvi i casi di richieste manifestamente infondate, eccessive o ripetitive nei quali la legge consenta un rifiuto o l’addebito di un costo ragionevole.
10. Tutele regionali
Svizzera
Agli utenti in Svizzera si applica la Legge federale sulla protezione dei dati. L’utente può rivolgersi all’Incaricato federale della protezione dei dati e della trasparenza.
Quando il trattamento connesso all’offerta del Servizio è regolare, su larga scala e presenta un rischio elevato, psAico deve designare e pubblicare i recapiti di un rappresentante in Svizzera.
Australia e Nuova Zelanda
Gli utenti in Australia possono esercitare i diritti riconosciuti dal Privacy Act 1988 e presentare reclamo all’Office of the Australian Information Commissioner.
Gli utenti in Nuova Zelanda possono esercitare i diritti previsti dal Privacy Act 2020 e presentare reclamo all’Office of the Privacy Commissioner.
America Latina
Agli utenti nei Paesi dell’America Latina nei quali il Servizio è disponibile spettano i diritti previsti dalla rispettiva normativa nazionale, inclusi, quando applicabili, accesso, informazione, rettifica, aggiornamento, cancellazione, opposizione, portabilità e revoca del consenso.
Le richieste possono essere rivolte a psAico e, in caso di mancata soluzione, all’autorità nazionale competente. Restano fermi gli obblighi locali di registrazione delle banche dati, designazione di rappresentanti o delegati, valutazione d’impatto e disciplina dei trasferimenti internazionali. In Cile, la legge n. 21.719 e il relativo nuovo regime si applicano dalla data di entrata in vigore prevista dalla legge.
Asia e area del Pacifico
Agli utenti nei Paesi dell’Asia e dell’area del Pacifico nei quali il Servizio è disponibile spettano i diritti riconosciuti dalla rispettiva normativa nazionale.
Quando previsto, psAico deve designare un responsabile della protezione dei dati o un rappresentante locale, registrare i sistemi di trattamento, documentare le valutazioni d’impatto, adottare garanzie per i trasferimenti transfrontalieri e rispettare i requisiti locali relativi al consenso per i dati sensibili.
Medio Oriente
Agli utenti nei Paesi del Medio Oriente nei quali il Servizio è disponibile spettano i diritti previsti dalla normativa locale.
In alcuni di tali Paesi, il trattamento delle informazioni inserite liberamente dall’utente che rivelino dati relativi alla salute o alla condizione psicologica e il trasferimento dei dati all’estero richiedono registrazioni, permessi o autorizzazioni preventive. Il presente Addendum non sostituisce tali adempimenti.
Altri Paesi
Qualora la normativa del Paese dell’utente riconosca ulteriori diritti, garanzie, limitazioni o strumenti di reclamo inderogabili, tali disposizioni si applicano e integrano il presente Addendum.
11. Minori
Il Servizio è destinato esclusivamente a persone che abbiano compiuto 18 anni.
psAico non raccoglie consapevolmente dati personali di minori. Qualora venga accertato che un minore ha creato un account o fornito dati personali, psAico sospende l’account e provvede alla cancellazione dei dati nel più breve tempo possibile, fatti salvi gli obblighi di legge e le esigenze di tutela della persona interessata.
12. Disponibilità territoriale
Il Servizio è offerto esclusivamente nei Paesi e territori selezionati da psAico negli store digitali, supportati dai fornitori tecnologici essenziali e nei quali possono essere rispettati gli obblighi applicabili.
Per gli utenti residenti fuori dall’Italia, l’eventuale abbonamento al Servizio è offerto esclusivamente tramite Apple App Store o Google Play. Il sito web non costituisce un canale di vendita dell’abbonamento a tali utenti.
Il Servizio non è offerto:
- negli Stati Uniti d’America;
- in Brasile;
- nei Paesi o territori non supportati dai fornitori tecnologici essenziali;
- nei territori soggetti a sanzioni, embarghi o restrizioni legali incompatibili con l’erogazione del Servizio;
- nei Paesi nei quali un adempimento preliminare obbligatorio non sia stato completato.
La sola possibilità tecnica di scaricare l’applicazione non garantisce che la registrazione, l’acquisto o l’uso del Servizio siano consentiti in ogni luogo. psAico può impedire la registrazione, l’acquisto o l’accesso da un territorio non supportato o sospeso, anche se l’applicazione era stata precedentemente scaricata in un altro Paese.
La funzione di condivisione con un professionista sanitario di fiducia, descritta al §9, è disponibile esclusivamente in Italia ed è riservata ai professionisti iscritti agli ordini professionali italiani: non è offerta agli utenti che si trovano fuori dall’Italia.
13. Reclami
L’utente è invitato a rivolgersi inizialmente a psAico utilizzando i recapiti indicati nel presente Addendum.
Resta salvo il diritto di presentare reclamo all’autorità competente nel Paese di residenza, nel luogo in cui si trova l’utente o nel luogo in cui si sarebbe verificata la presunta violazione, secondo quanto previsto dalla legge applicabile.
14. Modifiche e lingue
Le modifiche sostanziali al presente Addendum sono comunicate con modalità adeguate, ad esempio tramite email, avviso nell’applicazione o richiesta di una nuova accettazione, quando prevista dalla legge.
Le traduzioni del presente Addendum sono predisposte per facilitarne la comprensione. In caso di divergenze interpretative, prevale la versione italiana esclusivamente nei limiti consentiti dalla legge applicabile. Restano sempre salvi i diritti inderogabili riconosciuti all’utente nel proprio Paese.
