Privacy Policy

1. Titolare del trattamento

1. Il titolare del trattamento dei dati personali relativi a NeuroHackingApp.com è BOMEGA SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ, ul. Długa 2B, 56-416 Twardogóra, Polska. KRS 0000841054; NIP 9112034523; REGON 386056613; Sąd Rejonowy dla Wrocławia-Fabrycznej we Wrocławiu, IX Wydział Gospodarczy KRS; kapitał zakładowy 20 000 zł (il "Titolare").
2. Contatto per privacy e diritti relativi ai dati: [email protected].
3. Il Titolare tratta i dati personali in conformità al GDPR e alle altre norme applicabili in materia di protezione dei dati.

2. Ambito della presente informativa

La presente Informativa riguarda il trattamento connesso al sito web, all'Account, alle funzioni di auto-osservazione, ai rapporti, alle analisi first-party, alle notifiche, alla verifica dell'indirizzo email e alle integrazioni facoltative Telegram e Web Push.

3. Categorie di dati

A seconda delle funzioni utilizzate, il Titolare può trattare:

1. dati dell'Account: indirizzo email, nome visualizzato, hash della password, stato dell'Account e data di verifica dell'indirizzo email;
2. dati di sessione e sicurezza: identificatori di sessione sottoposti ad hash sicuro, orari di creazione, scadenza e revoca delle sessioni ed eventi di sicurezza;
3. dati relativi a consensi e documenti: versioni accettate dei Termini e dell'Informativa sulla Privacy, fonte dell'accettazione e marca temporale;
4. dati di auto-osservazione: valori inseriti volontariamente relativi, per esempio, a sonno, energia, stress, concentrazione, priorità, completamento di protocolli o esperimenti e voci del diario;
5. dati di Focus Lab e progressi: durata delle sessioni, interruzioni, passaggi completati, progressi in Academy e dati di utilizzo analoghi;
6. contenuti volontari: note e altre informazioni inserite dall'Utente;
7. dati delle notifiche: fuso orario, lingua, fasce orarie silenziose, canali abilitati, stati di consegna e, per Web Push, dati tecnici della sottoscrizione necessari a consegnare una notifica;
8. dati dell'integrazione Telegram: un hash tecnico usato per collegare l'account, stato del collegamento ed eventi di accesso; il database web non memorizza l'ID Telegram in chiaro né initData in chiaro;
9. dati di analisi first-party: tipo di evento, giorno, area del Servizio, proprietà limitate dell'evento e, per gli utenti anonimi, un identificatore casuale della sessione del browser memorizzato in sessionStorage e sottoposto ad hash lato server;
10. corrispondenza con l'assistenza, se l'Utente contatta volontariamente il Titolare.

4. Informazioni relative alla salute e dati sensibili

1. NeuroHackingApp non è un sistema di cartelle cliniche e non è destinato a conservare diagnosi, risultati di laboratorio, cronologia dei trattamenti, documentazione clinica o altre cartelle sanitarie.
2. Alcuni campi di auto-osservazione comprendono scale soggettive relative a sonno, energia e stress. A seconda del contesto, le informazioni inserite dall'Utente possono rivelare informazioni relative alla salute o al benessere.
3. Gli Utenti non dovrebbero inserire nei campi di testo libero dati appartenenti a categorie particolari quando non sono necessari per la funzione utilizzata, comprese diagnosi, risultati di esami, informazioni genetiche, dettagli relativi a trattamenti o informazioni sanitarie di terzi.

5. Finalità e basi giuridiche

I dati personali possono essere trattati per le seguenti finalità:

1. creazione e gestione dell'Account, autenticazione, conservazione dei dati di auto-osservazione, rapporti e impostazioni - per l'esecuzione del contratto relativo ai Servizi Elettronici (articolo 6, paragrafo 1, lettera b del GDPR);
2. mantenimento della sicurezza, prevenzione degli abusi, protezione dell'integrità del sistema e accertamento, esercizio o difesa di pretese legali - sulla base dei legittimi interessi del Titolare (articolo 6, paragrafo 1, lettera f del GDPR);
3. analisi first-party limitate per migliorare il funzionamento del prodotto e la qualità dei contenuti - sulla base dei legittimi interessi, nel rispetto dei requisiti legali relativi alla memorizzazione o all'accesso alle informazioni sull'apparecchiatura terminale dell'Utente;
4. adempimento di obblighi legali, contabili, fiscali o imposti da autorità competenti, ove applicabili (articolo 6, paragrafo 1, lettera c del GDPR);
5. invio di comunicazioni che richiedono legalmente il consenso - sulla base del consenso, ove richiesto (articolo 6, paragrafo 1, lettera a del GDPR).

6. Verifica dell'indirizzo email

1. Durante la registrazione, il Servizio può inviare un messaggio contenente un link di verifica monouso.
2. Il token di verifica può essere utilizzato una sola volta, ha una durata limitata ed è memorizzato lato server esclusivamente sotto forma di hash.
3. Il link utilizza il frammento URL, in modo che il token non venga inviato nella richiesta HTTP iniziale; la pagina di verifica rimuove il frammento dall'URL visibile e invia il token tramite una richiesta POST same-origin.

7. Integrazione Telegram

1. L'integrazione Telegram è facoltativa e viene attivata dall'Utente.
2. Il lato web memorizza un hash tecnico dell'identificatore usato per collegare l'account, invece dell'ID Telegram in chiaro.
3. I dati necessari al funzionamento delle funzioni Telegram sono trattati anche da Telegram secondo i propri termini e le proprie regole sulla privacy.
4. Quando un Account collegato a Telegram viene eliminato, il Servizio tenta di eliminare il profilo collegato nel motore Telegram prima di eliminare i dati web dell'Utente.

8. Web Push e notifiche

1. Web Push richiede una sottoscrizione attiva creata dal browser e l'autorizzazione dell'Utente alle notifiche.
2. Il Servizio non attiva automaticamente la richiesta di autorizzazione di sistema del browser senza un'azione dell'Utente.
3. Le preferenze delle notifiche possono includere fuso orario, fasce orarie silenziose e canali selezionati.
4. La consegna tecnica tramite Web Push può coinvolgere il servizio push del fornitore del browser o del sistema operativo.

9. Analisi first-party

1. Il Servizio utilizza analisi proprie per misurare, per esempio, visualizzazioni delle pagine, profondità di lettura, clic sulle CTA e numero di risultati restituiti dalla ricerca nella base di conoscenza.
2. Gli eventi analitici non memorizzano indirizzo IP in chiaro, User-Agent completo, indirizzo email, query di ricerca in chiaro, ID Telegram in chiaro o un'impronta del dispositivo.
3. Per le sessioni anonime, un identificatore viene generato nel browser e memorizzato in sessionStorage; il server memorizza esclusivamente il relativo hash.
4. Gli eventi anonimi vengono conservati fino a 90 giorni e gli eventi associati a un Utente autenticato fino a 365 giorni secondo l'attuale meccanismo di conservazione del Servizio.

10. Cookie, sessionStorage e archiviazione locale

1. Il Servizio utilizza meccanismi tecnici necessari per autenticazione e sicurezza, compreso il cookie di sessione nha_session e un meccanismo CSRF. In produzione, il cookie di sessione è configurato con HttpOnly, Secure e SameSite=Lax.
2. sessionStorage può contenere un identificatore casuale per la sessione analitica anonima corrente ed è limitato alla scheda o sessione del browser.
3. La PWA o il Service Worker possono memorizzare nella cache risorse pubbliche per il funzionamento offline e la resilienza in conformità alla configurazione del Servizio.
4. Il Servizio non gestisce un proprio meccanismo di fingerprinting dei dispositivi.

11. Destinatari e fornitori tecnologici

I dati possono essere comunicati a soggetti che supportano il Titolare esclusivamente nella misura necessaria per una finalità specifica, compresi fornitori di infrastruttura, hosting, posta elettronica, protezione della rete, Web Push e integrazioni di comunicazione. Il traffico pubblico di NeuroHackingApp può essere attualmente protetto da Cloudflare, mentre l'integrazione facoltativa di comunicazione utilizza Telegram.

Il Titolare verifica periodicamente i ruoli dei fornitori, gli accordi con i responsabili del trattamento e la base giuridica di eventuali trasferimenti al di fuori dello SEE sulla base della documentazione aggiornata dei fornitori e degli accordi contrattuali.

12. Conservazione

1. I dati dell'Account e i dati funzionali vengono conservati finché l'Account rimane attivo e per il periodo necessario all'esecuzione del contratto di servizio.
2. Dopo l'eliminazione dell'Account, i dati del profilo attivo vengono rimossi secondo il meccanismo di eliminazione del Servizio, fatto salvo quanto deve essere conservato per obblighi legali, pretese legali o cicli tecnici di conservazione dei backup.
3. I backup seguono procedure di conservazione rotativa limitata e di disaster recovery.
4. Analisi anonime: fino a 90 giorni. Analisi degli Utenti autenticati: fino a 365 giorni.
5. I token di verifica dell'indirizzo email hanno breve durata; l'attuale periodo di validità è di 24 ore.

13. Sicurezza

Il Titolare applica misure tecniche e organizzative che comprendono HTTPS, controllo degli accessi, cookie sicuri, protezione CSRF, hashing delle password, hashing dei token di verifica, limiti di frequenza, separazione delle interfacce interne, controlli delle autorizzazioni, backup e test di ripristino. Nessun sistema informativo può eliminare completamente ogni rischio per la sicurezza.

14. Diritti dell'interessato

Nei casi previsti dal GDPR, una persona può richiedere accesso, rettifica, cancellazione, limitazione, portabilità dei dati e può opporsi al trattamento basato su legittimi interessi. Quando il trattamento si basa sul consenso, il consenso può essere revocato senza pregiudicare la liceità del trattamento effettuato prima della revoca.

Le richieste possono essere inviate a [email protected]. L'interessato ha inoltre il diritto di presentare un reclamo al Presidente dell'Ufficio polacco per la protezione dei dati personali (Prezes Urzędu Ochrony Danych Osobowych).

15. Esportazione dei dati ed eliminazione dell'Account

1. Il Servizio offre una funzione di esportazione dei dati dell'Account che esclude i dati segreti di sicurezza.
2. L'Utente può avviare l'eliminazione dell'Account dopo un ulteriore passaggio di conferma.
3. Se l'Account è collegato a Telegram, il Servizio tenta prima di eliminare il profilo collegato nel motore Telegram, quindi elimina i dati web dell'Utente e i cookie di sessione.

16. Decisioni automatizzate e profilazione

1. Il Servizio può generare automaticamente consigli, riepiloghi o azioni suggerite più semplici sulla base dei dati di auto-osservazione.
2. Queste funzioni personalizzano l'esperienza dell'Utente e non sono destinate a produrre effetti giuridici o effetti analogamente significativi sull'Utente.
3. Il Servizio non prende decisioni automatizzate di carattere medico, diagnostico, assicurativo o lavorativo.

17. Utenti di età inferiore a 18 anni

Il Servizio è destinato a persone di età pari o superiore a 18 anni. La registrazione richiede la conferma dell'età minima. Il Titolare non progetta il Servizio come prodotto destinato ai bambini.

18. Modifiche alla presente Informativa

La presente Informativa può essere aggiornata a causa di modifiche della legge, delle funzionalità del prodotto, delle categorie di dati, dei fornitori o delle misure di sicurezza. Per gli Utenti registrati, il Servizio può registrare la versione del documento accettata e richiedere l'accettazione di una nuova versione quando necessario.

19. Fonte e stato della bozza

Il presente documento di NeuroHackingApp utilizza come riferimento le informazioni sull'operatore e la struttura dei documenti legali di Bomega.pl. Non è una copia dei Termini o dell'Informativa sulla Privacy di Bomega.pl ed esclude funzioni specifiche di Bomega come feed RSS, annunci classificati e commenti pubblici.

20. Data di entrata in vigore

La presente versione è stata approvata dall'operatore il 28 settembre 2026 ed entra in vigore al momento della pubblicazione nel Servizio.