Informativa sul trattamento dei dati personali (art. 13 GDPR)

Versione del 21 ottobre 2026

Ultimo aggiornamento: 21 ottobre 2026

Questa informativa spiega come trattiamo i tuoi dati quando usi PolpoMed, l'app per studiare medicina con un corso per ogni scuola di specializzazione (versione iOS, Android e web). Oggi sono disponibili 11 corsi e la preparazione al concorso SSM. Gli altri corsi sono in arrivo. PolpoMed è uno strumento di formazione. Non è un dispositivo medico e non serve a prendere decisioni cliniche.

1. Titolare del trattamento

• Titolare: Doubleffe LTD, società a responsabilità limitata di diritto del Regno Unito (private limited company)
• Registrata in: Inghilterra e Galles
• Numero di registrazione (Companies House): 13439566
• Sede legale: Flat 18, 2 Lansdowne Drive, London, England, E8 3EZ, Regno Unito
• Contatto per la privacy: supporto@polpomed.com

Non abbiamo nominato un Responsabile della protezione dei dati (RPD o DPO): per il nostro trattamento la legge non lo richiede (art. 37 GDPR e art. 37 UK GDPR). Per ogni domanda sulla privacy scrivi a supporto@polpomed.com.

1.1 Quali leggi si applicano

• Doubleffe LTD ha sede nel Regno Unito. Il trattamento segue lo UK GDPR e il Data Protection Act 2018. L'autorità di controllo del Regno Unito è l'Information Commissioner's Office (ICO).
• Doubleffe LTD non ha una sede nell'Unione europea. Offre però il servizio a persone che si trovano in Italia e negli altri Paesi dell'UE. Per questo si applica anche il GDPR (art. 3, paragrafo 2, lettera a).
• Senza una sede nell'UE non vale lo "sportello unico" (art. 56 GDPR). Il Garante per la protezione dei dati personali e le altre autorità UE restano competenti per gli utenti che vivono nel loro Paese.

1.2 Rappresentante nell'Unione europea (art. 27 GDPR)

Un titolare fuori dall'UE che offre servizi a persone nell'UE deve nominare per iscritto un rappresentante in uno Stato membro (art. 27 GDPR). Stiamo nominando il nostro rappresentante. Appena è nominato, scriviamo qui il suo nome, il suo indirizzo e la sua email. Fino ad allora scrivi a supporto@polpomed.com: rispondiamo noi alle tue domande e a quelle delle autorità UE.

2. Che cosa NON raccogliamo

• Nessun dato di pazienti. L'app non chiede mai dati di pazienti, casi clinici reali, referti o immagini cliniche.
• Nessun dato sulla tua salute. Le tue risposte agli esercizi e alla simulazione SSM misurano quanto sai della materia del corso. Non sono dati sulla salute ai sensi dell'art. 9 GDPR.
• Nessuna pubblicità. Non usiamo reti pubblicitarie, non tracciamo l'uso di altre app e non vendiamo i tuoi dati.
• Nessuna intelligenza artificiale sui tuoi dati. Modelli di intelligenza artificiale scrivono e controllano i contenuti prima della pubblicazione, fuori dall'app (Termini di servizio, § 4.6). L'app e il nostro server non inviano i tuoi dati a modelli di intelligenza artificiale.
• Nessuna geolocalizzazione, rubrica, fotocamera o microfono. L'app non chiede il permesso del microfono.

Oggi i campi di testo libero dell'app sono tre: il nome visualizzato (massimo 30 caratteri), il nome di un gruppo (massimo 40 caratteri) e l'indirizzo email per l'accesso. Nel nome visualizzato e nel nome di un gruppo non scrivere mai dati di pazienti o di altre persone. Se lo fai, cancelliamo il testo appena lo vediamo.

3. Quali dati trattiamo

3.1 Dati dell'account

• Identificativo casuale dell'utente — Quando: Alla prima apertura (account ospite); Obbligatorio?: Sì
• Nome visualizzato (1-30 caratteri) — Quando: Alla creazione o in "Profilo". Puoi usare uno pseudonimo; Obbligatorio?: Sì (l'app ne propone uno)
• Ruolo: studente, specializzando o strutturato — Quando: All'onboarding. Se non lo scegli, l'account riceve "studente". Un account creato dal link via email riceve "studente" senza domanda; Obbligatorio?: Sì
• Indirizzo email — Quando: Solo se scegli di accedere con un link via email; Obbligatorio?: No
• Data di creazione dell'account — Quando: Alla creazione; Obbligatorio?: Sì
• Lega attuale (livello) — Quando: Dalla creazione (livello iniziale); Obbligatorio?: Sì

Non ti chiediamo nome e cognome reali, data di nascita, codice fiscale, numero di iscrizione all'Ordine o università.

3.2 Dati di accesso

• Token di sessione. Sul server conserviamo solo un'impronta crittografica (hash SHA-256) del token, mai il token in chiaro, e la data dell'ultimo uso. Il token in chiaro resta solo sul tuo dispositivo (§ 3.8).
• Link di accesso via email. Quando chiedi un link, ti mandiamo una email da accesso@polpomed.com tramite il servizio di invio email di Cloudflare. Conserviamo l'email, l'hash del link, l'orario di creazione, di scadenza (15 minuti) e di uso. Il codice del link sta nella parte dell'indirizzo dopo il simbolo «#». L'app lo invia al server con una richiesta POST, quindi il codice non compare nell'indirizzo delle richieste. Per limitare il numero di email per casella e per rete usiamo anche il tuo indirizzo IP (§ 3.7).
• Controllo anti-bot (Cloudflare Turnstile). Prima di inviare un link di accesso possiamo chiederti di superare un controllo di Cloudflare Turnstile. Turnstile legge alcuni segnali tecnici del browser o del dispositivo e il tuo indirizzo IP per capire se la richiesta viene da una persona. Noi riceviamo solo l'esito del controllo. Il controllo serve solo alla sicurezza: non serve a profilarti e non serve alla pubblicità.

3.3 Dati di apprendimento (registro dei progressi)

Per ogni risposta salviamo:

• l'identificativo della domanda e la sua area tematica. L'identificativo indica anche il corso della domanda;
• se la risposta è giusta e se è giusta al primo tentativo;
• il tempo di risposta in millisecondi;
• data e ora.

Per ogni lezione completata salviamo:

• l'identificativo della lezione, che indica anche il corso. Per un ripasso o un test di posizionamento di un corso diverso dalla senologia salviamo anche l'identificativo del corso;
• il numero di domande, di risposte giuste al primo tentativo e la serie migliore;
• se era un ripasso;
• data e ora.

Da questi dati calcoliamo punti esperienza (XP), serie di giorni (streak), livello, ripassi programmati e uno Score per ogni corso (per il corso di senologia, il "Senology Score"). Il registro è "append-only": aggiungiamo eventi, non li modifichiamo.

3.4 Leghe settimanali

Quando entri in una lega salviamo settimana, gruppo, livello, XP della settimana, posizione finale ed esito (promozione, permanenza, retrocessione). Gli altri membri del tuo gruppo vedono un identificativo casuale del tuo account, il tuo nome visualizzato, i tuoi XP della settimana, la tua posizione e la tua zona (promozione, permanenza, retrocessione). Non vedono la tua email né le tue risposte.

3.5 Leghe di gruppo

Puoi creare un gruppo (per esempio della tua università o del tuo ospedale) o entrare in un gruppo con un codice di invito. Per ogni gruppo salviamo:

• il nome del gruppo (3-40 caratteri, scelto da chi lo crea);
• il tipo: università, ospedale o altro;
• il codice di invito;
• chi gestisce il gruppo e la data di creazione;
• i membri e la data in cui sono entrati.

Un gruppo ha al massimo 500 membri. Puoi stare in al massimo 5 gruppi. Gli altri membri del gruppo vedono il nome del gruppo e, per ogni membro, un identificativo casuale, il nome visualizzato, gli XP della settimana e la posizione. Non vedono la tua email né le tue risposte.

3.6 Segnalazioni sui contenuti

Se segnali un errore in una domanda salviamo: domanda, motivo (errore, ambigua, fonte, altro), data. Usiamo le segnalazioni per correggere i contenuti. Il server accetta anche una nota facoltativa (massimo 500 caratteri). (in arrivo): oggi l'app non mostra il campo della nota.

3.7 Dati tecnici e di sicurezza

• Indirizzo IP per i limiti anti-abuso. Lo usiamo per limitare gli abusi (troppe richieste, troppi tentativi di accesso, troppe email chieste). Per IPv6 usiamo il prefisso /64. Un contatore contiene l'IP, oppure l'identificativo del tuo account, oppure, per i link via email, l'indirizzo email. Il sistema cancella i contatori più vecchi di circa 24 ore.
• Indirizzo IP nei log delle richieste. Il nostro fornitore di hosting (Cloudflare) registra le richieste all'API con i relativi metadati tecnici, per esempio data, percorso, codice di risposta e intestazioni HTTP. I log contengono il tuo indirizzo IP completo. Non contengono il token di sessione né i cookie: Cloudflare li sostituisce con la parola «REDACTED». Usiamo i log per la sicurezza e per prevenire gli abusi. I log restano al massimo 7 giorni.
• Cookie tecnico della versione web. Finché la versione web è in beta privata, un cookie firmato (__Host-medingo_gate, 30 giorni) ricorda che hai inserito la password del sito. È un cookie tecnico e non richiede consenso. Le app per iPhone, iPad e Android non usano questo cookie.

3.8 Dati salvati solo sul tuo dispositivo

L'app salva sul dispositivo (memoria locale dell'app o localStorage del browser):

• una copia dei progressi, le preferenze, l'orario dei promemoria, la tua risposta sulle statistiche d'uso e lo stato dell'abbonamento;
• i file dei corsi scaricati, il corso attivo e l'elenco dei tuoi corsi (§ 3.13);
• il token di sessione, in chiaro, e la tua email mascherata (per esempio «gi***i@esempio.it»);
• le segnalazioni non ancora inviate al server;
• se hai cambiato account sullo stesso dispositivo, i dati dell'account precedente (progressi e token);
• una copia di riserva dei dati locali, se l'app li trova illeggibili.

I promemoria sono notifiche locali programmate dal dispositivo: non inviamo un token di notifica push ai nostri server.

3.9 Statistiche d'uso e analisi d'uso

Statistiche dal registro dei progressi. Dal registro dei progressi (§ 3.1 e § 3.3) calcoliamo statistiche aggregate di uso: utenti attivi al giorno, alla settimana e al mese, e ritenzione a 1, 7 e 30 giorni. Dalle prime risposte di tutti gli utenti calcoliamo anche la qualità di ogni domanda (percentuale di risposte giuste, discriminazione). Il calcolo avviene sul nostro server, senza servizi esterni.

Analisi d'uso con PostHog, solo con il tuo consenso. Dopo «Prima di iniziare» l'app ti chiede «Ci aiuti a migliorare PolpoMed?». Rifiutare è facile come accettare: i due pulsanti hanno lo stesso aspetto. Senza il tuo consenso l'app non registra eventi d'uso, nemmeno sul dispositivo. Puoi cambiare risposta in ogni momento in "Profilo", con l'interruttore «Statistiche d'uso». La risposta resta salvata solo su questo dispositivo.

Se accetti, l'app invia a PostHog, nella regione UE, gli eventi d'uso dell'app: per esempio lezione iniziata o completata, schermata dell'abbonamento mostrata, corso scelto, simulazione SSM avviata o consegnata, segnalazione inviata. Ogni evento ha l'identificativo casuale del tuo account (§ 3.1), la data e i dettagli dell'azione (per esempio il corso scelto). Non inviamo a PostHog la tua email, il tuo nome visualizzato o le tue risposte alle domande. Non inviamo nemmeno i dati tecnici del dispositivo (modello, sistema operativo, versione dell'app, lingua, fuso orario). Non usiamo registrazioni dello schermo (session replay) e non chiediamo a PostHog di ricavare la tua posizione dall'indirizzo IP. PostHog riceve l'indirizzo IP con ogni invio: abbiamo impostato il progetto PostHog in modo che non lo conservi. Se revochi il consenso, l'app smette subito di inviare eventi. Conserviamo i dati di PostHog per 12 mesi. Se cancelli l'account, il nostro server chiede a PostHog di cancellare i dati legati al tuo identificativo (§ 11).

L'invio a PostHog parte solo nelle versioni dell'app che hanno la chiave di PostHog. Senza la chiave gli eventi restano solo in memoria sul dispositivo e non li inviamo a nessuno.

3.10 Abbonamenti e pagamenti

Al lancio vendiamo gli abbonamenti solo dentro l'app, tramite App Store e Google Play:

• Acquisto su iPhone o iPad: paghi ad Apple. Apple vende l'abbonamento come nostro agente o commissionario: incassa il prezzo e applica e versa l'IVA. Apple tratta i dati di pagamento come titolare autonomo. Noi non vediamo i dati della tua carta né il tuo Apple Account.
• Acquisto su Android: paghi a Google. Google addebita e versa l'IVA e tratta i dati di pagamento come titolare autonomo. Noi non vediamo i dati della tua carta né il tuo account Google.
• Identificativo di fatturazione. Prima del tuo primo acquisto o ripristino, il nostro server crea per il tuo account un identificativo di fatturazione casuale (inizia con «bi_»). È diverso dall'identificativo del tuo account, che gli altri utenti vedono nelle leghe e nei gruppi. Solo il nostro server sa a quale account appartiene.
• RevenueCat gestisce per noi lo stato degli abbonamenti su iOS e Android. RevenueCat riceve dallo store la ricevuta dell'acquisto e conosce il tuo account solo con l'identificativo di fatturazione. Tratta: l'identificativo di fatturazione, il prodotto, lo store, le date di acquisto, rinnovo e scadenza, lo stato (prova, attivo, disdetto, scaduto, rimborsato), l'identificativo della transazione, la piattaforma, il Paese dello store e l'indirizzo IP della richiesta. Non riceve la tua email, il tuo nome visualizzato o l'identificativo del tuo account.
• Sul nostro server salviamo ogni aggiornamento che RevenueCat ci manda in un registro separato degli abbonamenti, legato al tuo account: tipo di aggiornamento (per esempio acquisto, rinnovo, disdetta, scadenza, rimborso), prodotto, store, data dell'aggiornamento, data di scadenza, tipo di periodo (prova o pagato), motivo della disdetta, ambiente (reale o di prova) e data di ricezione. Non salviamo l'identificativo della transazione. Il registro ci serve per sbloccare il piano Pro su tutti i tuoi dispositivi. L'app non può scrivere in questo registro: lo scrive solo il nostro server, quando RevenueCat lo avvisa.
• Acquisto sul web (in arrivo, non al lancio): il pagamento passerà da Stripe tramite RevenueCat. Noi non vedremo il numero della carta.

3.11 Prova dell'accettazione delle condizioni

Alla prima apertura, nella schermata «Prima di iniziare», dichiari che usi PolpoMed solo per studiare e che hai almeno 18 anni. Quando tocchi «Inizia», accetti i Termini di servizio e confermi di aver letto questa informativa. Aggiungiamo al registro dei progressi un evento di tipo «consent» per ogni testo:

• «Prima di iniziare» (accettato);
• i Termini di servizio (accettati);
• questa informativa (letta).

Ogni evento contiene la versione del testo (oggi "2026-10-20" per «Prima di iniziare», "2026-10-21" per i Termini e per questa informativa), la dichiarazione di avere almeno 18 anni, la data e l'ora. Il server accetta solo le versioni che l'app ha davvero mostrato.

Questi eventi non sono un consenso al trattamento dei dati (art. 6, paragrafo 1, lettera a). Sono la prova che hai accettato i testi o letto l'informativa. Se un testo cambia, ti chiediamo di nuovo solo quel testo. Conserviamo ogni versione che hai accettato, con la data della prima accettazione.

3.12 Voti sui corsi in arrivo

Nella pagina «Corsi in arrivo» puoi votare fino a 3 corsi che vuoi per primi. Salviamo il tuo account, i corsi che hai votato e la data. Puoi cambiare o togliere i voti quando vuoi, al massimo 60 volte all'ora.

Gli altri utenti vedono solo un totale arrotondato dei voti per corso. Non vedono chi ha votato. Il totale segue queste regole:

• conta solo i voti di chi ha un account da almeno 24 ore e ha completato almeno una lezione di un corso (un ripasso o il test di posizionamento non bastano);
• se un corso ha meno di 5 voti, il totale non compare;
• da 5 voti in su, il totale scende al multiplo di 5 inferiore (per esempio 9 voti appaiono come 5);
• il totale che vedi tu non contiene i tuoi voti. I tuoi voti li vedi sempre, a parte.

Quando un corso votato esce, il voto non conta più. Un processo automatico, ogni ora, cancella i voti dei corsi già usciti.

3.13 Contenuti dei corsi scaricati

Il corso di senologia è già dentro l'app. Per gli altri corsi l'app scarica dal nostro server l'elenco dei corsi e i file di ogni corso. Allo stesso modo scarica il file delle domande della simulazione SSM (§ 3.14). Il download non richiede un account e non invia i tuoi dati di apprendimento. Per limitare gli abusi contiamo i download per indirizzo IP (al massimo 300 all'ora), con un contatore come quelli del § 3.7. Il sistema cancella il contatore dopo circa 24 ore. Come ogni richiesta, anche il download compare nei log delle richieste con il tuo indirizzo IP (§ 3.7). L'app salva i file dei corsi sul dispositivo (§ 3.8). La scelta del corso attivo resta sul dispositivo. Il server conosce i corsi che studi dagli identificativi delle lezioni e delle risposte (§ 3.3).

3.14 Simulazione del concorso SSM

La simulazione aggiunge al registro dei progressi due eventi:

• all'avvio: l'identificativo della simulazione, un codice casuale che sceglie le domande, il nome del file delle domande, data e ora;
• alla consegna: per ogni domanda, l'identificativo e l'esito (giusta, sbagliata o senza risposta), data e ora.

Dal registro calcoliamo il punteggio e il tempo usato (dall'avvio alla consegna). Il punteggio segue le regole del concorso: +1 per una risposta giusta, −0,25 per una sbagliata, 0 senza risposta. L'app non invia il punteggio: lo calcola il server dagli esiti. Il punteggio è indicativo e non è un risultato ufficiale del concorso SSM. Il server rifiuta una consegna registrata più di 2 minuti dopo la fine del tempo della prova.

Una simulazione consegnata dà XP in proporzione alle domande a cui hai risposto. Gli XP sono arrotondati, quindi con poche risposte possono essere 0. Una simulazione consegnata con almeno una risposta conta per la serie di giorni (streak). Questi XP contano nella lega settimanale e nelle leghe di gruppo (§ 3.4 e § 3.5). Ogni simulazione avviata conta come una nuova lezione nel limite giornaliero gratuito. Il server accetta al massimo 5 avvii e 5 consegne al giorno.

3.15 Richieste di assistenza

Se scrivi a supporto@polpomed.com trattiamo il tuo indirizzo email, il testo del messaggio, gli allegati e i dati che ci dai per risolvere la richiesta (per esempio il numero d'ordine di uno store per un rimborso). La casella di posta è ospitata da Ergonet S.r.l., in Italia. Non scrivere dati di pazienti nei messaggi.

3.16 Nomi, segnalazioni di utenti e blocchi

Il nome visualizzato e il nome di un gruppo sono gli unici testi che altri utenti vedono. Per proteggere gli utenti da nomi offensivi, spam e molestie trattiamo questi dati:

• Filtro dei nomi. Quando scegli o cambi un nome, il server lo confronta con un elenco di insulti e controlla che non contenga dati di contatto (link, email, nomi di siti, numeri di telefono, nomi utente con «@»). Se il nome non passa, il server lo rifiuta e non lo salva. Non salviamo i nomi rifiutati.
• Segnalazione di un utente o di un gruppo. Puoi segnalare il nome di un utente che vedi nella tua lega o in un tuo gruppo, e il nome di un gruppo di cui sei membro. Salviamo: il tuo identificativo casuale, l'utente o il gruppo segnalato, il motivo (offensivo, spam, molestie, altro), il nome com'era al momento della segnalazione, data e ora. Puoi fare al massimo 20 segnalazioni al giorno. Per limitare gli abusi contiamo anche le segnalazioni di ogni indirizzo IP (al massimo 30 al giorno, § 3.7).
• Nome nascosto. Quando almeno 3 utenti diversi segnalano lo stesso nome, gli altri utenti vedono «Utente» o «Gruppo» al posto del nome, fino al nostro controllo. Salviamo l'utente o il gruppo, il numero di utenti che lo hanno segnalato e la data. Contano solo le segnalazioni di account che hanno svolto almeno una lezione e che esistono da almeno 72 ore.
• Il nostro controllo. Una persona del nostro team controlla ogni segnalazione entro 24 ore, con uno strumento interno. L'esito è uno dei due: il nome resta, oppure lo sostituiamo con «Utente» o «Gruppo». Salviamo l'utente o il gruppo, il nome controllato, l'esito, una nota interna, data e ora. Se sostituiamo il tuo nome, non puoi scegliere di nuovo lo stesso nome.
• Blocco di un utente. Puoi bloccare un utente che vedi nella tua lega o in un tuo gruppo, e sbloccarlo quando vuoi. Dopo il blocco non vedi più quell'utente nelle tue classifiche. Il blocco non cambia XP, posizioni o zone. Salviamo chi blocca, chi è bloccato, l'azione (blocco o sblocco), data e ora. Ogni blocco e ogni sblocco è una riga nuova. Puoi fare al massimo 60 blocchi e sblocchi all'ora.

L'utente segnalato o bloccato non sa chi lo ha segnalato o bloccato. Un utente bloccato non riceve nessun avviso e continua a vedere chi lo ha bloccato. Solo il nostro team vede le segnalazioni.

4. Perché trattiamo i dati e su quale base giuridica

• Creare l'account e farti accedere, anche con il link via email — Dati: 3.1, 3.2; Base giuridica (art. 6 GDPR e art. 6 UK GDPR): Esecuzione del contratto (lett. b)
• Salvare e sincronizzare i progressi, calcolare XP, streak, ripassi e lo Score di ogni corso — Dati: 3.3; Base giuridica (art. 6 GDPR e art. 6 UK GDPR): Esecuzione del contratto (lett. b)
• Inviare all'app i contenuti dei corsi — Dati: 3.13; Base giuridica (art. 6 GDPR e art. 6 UK GDPR): Esecuzione del contratto (lett. b)
• Simulazione SSM: salvare gli esiti, calcolare punteggio, tempo usato e XP — Dati: 3.14; Base giuridica (art. 6 GDPR e art. 6 UK GDPR): Esecuzione del contratto (lett. b)
• Leghe settimanali — Dati: 3.4; Base giuridica (art. 6 GDPR e art. 6 UK GDPR): Esecuzione del contratto (lett. b)
• Leghe di gruppo, quando crei un gruppo o ci entri — Dati: 3.5; Base giuridica (art. 6 GDPR e art. 6 UK GDPR): Esecuzione del contratto (lett. b)
• Gestire l'abbonamento e sbloccare il piano Pro su tutti i tuoi dispositivi — Dati: 3.10; Base giuridica (art. 6 GDPR e art. 6 UK GDPR): Esecuzione del contratto (lett. b)
• Rispondere alle richieste di assistenza, di rimborso e di esercizio dei diritti — Dati: 3.15; Base giuridica (art. 6 GDPR e art. 6 UK GDPR): Esecuzione del contratto (lett. b) e obbligo di legge (lett. c) per le richieste sui diritti
• Gestire le segnalazioni e migliorare la qualità delle domande (statistiche aggregate sulle prime risposte) — Dati: 3.3, 3.6; Base giuridica (art. 6 GDPR e art. 6 UK GDPR): Interesse legittimo (lett. f): contenuti corretti e affidabili
• Contare i voti sui corsi in arrivo e scegliere l'ordine dei prossimi corsi — Dati: 3.12; Base giuridica (art. 6 GDPR e art. 6 UK GDPR): Interesse legittimo (lett. f): costruire prima i corsi che gli utenti chiedono
• Statistiche aggregate di uso (utenti attivi, ritenzione), calcolate dal registro dei progressi — Dati: 3.1, 3.3; Base giuridica (art. 6 GDPR e art. 6 UK GDPR): Interesse legittimo (lett. f): capire se il Servizio funziona e migliorarlo
• Provare che hai accettato il testo «Prima di iniziare» e dichiarato di avere almeno 18 anni — Dati: 3.11; Base giuridica (art. 6 GDPR e art. 6 UK GDPR): Interesse legittimo (lett. f): prova dell'accettazione
• Sicurezza, prevenzione di abusi e frodi, limiti di frequenza, controllo anti-bot, log delle richieste — Dati: 3.2, 3.7, 3.13; Base giuridica (art. 6 GDPR e art. 6 UK GDPR): Interesse legittimo (lett. f)
• Filtro dei nomi, segnalazioni di utenti e gruppi, nomi nascosti, nostri controlli e blocchi — Dati: 3.16; Base giuridica (art. 6 GDPR e art. 6 UK GDPR): Interesse legittimo (lett. f): proteggere gli utenti da nomi offensivi, spam e molestie, e rispettare le regole degli store sui contenuti degli utenti
• Analisi d'uso con PostHog — Dati: 3.9; Base giuridica (art. 6 GDPR e art. 6 UK GDPR): Consenso (lett. a), anche per l'accesso al dispositivo (art. 122 del Codice privacy)
• Obblighi fiscali e contabili sugli acquisti web (in arrivo, non al lancio) — Dati: 3.10; Base giuridica (art. 6 GDPR e art. 6 UK GDPR): Obbligo di legge (lett. c)
• Difendere un diritto in giudizio — Dati: Dati pertinenti; Base giuridica (art. 6 GDPR e art. 6 UK GDPR): Interesse legittimo (lett. f)

Puoi opporti in ogni momento ai trattamenti basati sull'interesse legittimo (§ 11).

Decisioni automatizzate. Il calcolo di XP, livello, lega, Score di ogni corso e punteggio della simulazione SSM è automatico. Non produce effetti giuridici e non incide in modo significativo sulla tua persona (art. 22 GDPR). Lo Score e il punteggio della simulazione misurano i tuoi progressi nello studio. Non sono una certificazione, non attestano una competenza professionale e non prevedono il risultato del concorso SSM.

5. Per quanto tempo conserviamo i dati

• Account con email e registro dei progressi — Durata: Finché non cancelli l'account (Profilo > «Elimina account»)
• Account ospite (senza email) e registro dei progressi — Durata: Finché non cancelli i dati (Profilo > «Elimina i dati»). Se per 12 mesi il nostro server non riceve nulla dal profilo ospite, un processo automatico lo cancella con tutti i suoi dati. Non cancelliamo in automatico un profilo ospite che ha avuto un abbonamento. Non possiamo avvisarti prima, perché non abbiamo la tua email
• Prova dell'accettazione (evento «consent», § 3.11) — Durata: Quanto l'account. La cancelliamo insieme all'account
• Token di sessione — Durata: Account con email: 12 mesi dall'ultimo uso. Poi un processo automatico (ogni ora) lo cancella e devi accedere di nuovo con il link via email. Account ospite: il token non scade, perché è l'unico modo per tornare all'account. Lo cancelliamo con il profilo ospite
• Link di accesso via email — Durata: Validi 15 minuti. Cancellati circa 24 ore dopo la scadenza. Se cancelli l'account, li cancelliamo subito
• Contatori anti-abuso (IP, account, email) — Durata: Circa 24 ore. Quelli legati al tuo account o alla tua email li cancelliamo subito quando cancelli l'account
• Log delle richieste (Cloudflare), con l'IP completo — Durata: Al massimo 7 giorni (§ 3.7)
• Leghe settimanali — Durata: Finché non cancelli l'account
• Leghe di gruppo — Durata: La tua iscrizione resta finché lasci il gruppo o cancelli l'account. Il gruppo resta finché ha almeno un membro
• Segnalazioni sulle domande — Durata: 24 mesi dalla segnalazione. Poi un processo automatico le cancella. Se cancelli l'account prima, le cancelliamo insieme all'account
• Segnalazioni di utenti e gruppi (§ 3.16) — Durata: 24 mesi dalla segnalazione. Poi un processo automatico (ogni ora) le cancella. Se cancelli l'account, cancelliamo subito le segnalazioni che hai fatto e quelle sul tuo nome. Le segnalazioni sul nome di un gruppo restano finché esiste il gruppo, per al massimo 24 mesi
• Nomi nascosti e nostri controlli sui nomi (§ 3.16) — Durata: Finché esiste l'utente o il gruppo. Li cancelliamo insieme all'account o al gruppo
• Blocchi (§ 3.16) — Durata: Finché esistono i due account. Se uno dei due cancella l'account, cancelliamo subito tutte le righe di blocco e di sblocco tra i due
• Voti sui corsi in arrivo — Durata: Finché li cambi o cancelli l'account. Quando un corso esce, un processo automatico (ogni ora) cancella i suoi voti
• Simulazione SSM — Durata: Fa parte del registro dei progressi: finché non cancelli l'account
• Registro degli abbonamenti e identificativo di fatturazione sul nostro server (§ 3.10) — Durata: Finché esiste l'account: servono a sapere se hai diritto al piano Pro. Li cancelliamo insieme all'account
• Profilo abbonamento su RevenueCat — Durata: Finché esiste l'account. Quando cancelli l'account, il nostro server chiede a RevenueCat di cancellarlo. Se RevenueCat non risponde, il server riprova ogni ora, fino a 5 tentativi. Se anche l'ultimo tentativo non riesce, lo cancelliamo a mano dal pannello di RevenueCat. Se un profilo ospite viene cancellato per inattività (§ 5, riga «Account ospite»), cancelliamo allo stesso modo anche il suo profilo su RevenueCat
• Dati di acquisto presso Apple e Google — Durata: Li conservano Apple e Google come titolari autonomi, secondo le loro informative
• Dati di analisi PostHog — Durata: 12 mesi dall'evento. Quando cancelli l'account, il nostro server chiede a PostHog di cancellarli subito. Se PostHog non risponde, il server riprova ogni ora, fino a 5 tentativi. Se anche l'ultimo tentativo non riesce, li cancelliamo a mano dal pannello di PostHog
• Richieste di assistenza (email) — Durata: 24 mesi dall'ultimo messaggio della richiesta. Una richiesta legata a un rimborso o a un reclamo resta finché serve a difendere un diritto
• Dati fiscali degli acquisti web (in arrivo, non al lancio) — Durata: Per il periodo che chiede la legge del Regno Unito

Le statistiche aggregate sulle domande e sull'uso (percentuale di risposte giuste, discriminazione, utenti attivi, ritenzione) non identificano nessuno e possono restare senza limite. Anche la sospensione di una domanda resta dopo la cancellazione di un account: non contiene dati dell'utente.

6. A chi comunichiamo i dati

Non vendiamo i tuoi dati. Li comunichiamo solo a:

• Cloudflare, Inc. (USA) — Ruolo: Responsabile del trattamento (art. 28); Che cosa fa: Hosting dell'API, dell'app web e del sito, database (D1), log delle richieste, invio delle email con il link di accesso, controllo anti-bot Turnstile; Stato: Attivo
• RevenueCat, Inc. (USA) — Ruolo: Responsabile; Che cosa fa: Stato degli abbonamenti su iOS e Android. Conosce il tuo account solo con l'identificativo di fatturazione (§ 3.10); Stato: Attivo
• PostHog Inc., regione UE (Francoforte) — Ruolo: Responsabile; Che cosa fa: Analisi d'uso, solo con il tuo consenso; Stato: Attivo nelle versioni con la chiave
• Ergonet S.r.l. (Italia) — Ruolo: Responsabile; Che cosa fa: Casella di posta di supporto@polpomed.com; Stato: Attivo
• Stripe — Ruolo: Responsabile o titolare autonomo; Che cosa fa: Pagamenti web; Stato: (in arrivo, non al lancio)
• Apple Inc. / Apple Distribution International Ltd. — Ruolo: Titolare autonomo; Che cosa fa: Distribuzione dell'app e vendita degli abbonamenti in-app come agente o commissionario; Stato: Attivo. (in arrivo) Accedi con Apple
• Google LLC / Google Ireland Ltd. / Google Commerce Limited — Ruolo: Titolare autonomo; Che cosa fa: Distribuzione dell'app e vendita degli abbonamenti su Google Play; Stato: Attivo. (in arrivo) Accedi con Google
• Rappresentante nell'UE (§ 1.2) — Ruolo: Rappresentante (art. 27); Che cosa fa: Riceve le tue richieste e quelle delle autorità UE; Stato: In nomina
• Altri utenti della tua lega settimanale — Ruolo: Destinatari; Che cosa fa: Vedono un identificativo casuale, nome visualizzato (o «Utente», se il nome è nascosto, § 3.16), XP della settimana, posizione e zona. Un utente che ti ha bloccato non ti vede; Stato: Attivo
• Altri membri dei gruppi a cui ti unisci — Ruolo: Destinatari; Che cosa fa: Vedono il nome del gruppo e, per ogni membro, un identificativo casuale, nome visualizzato (o «Utente», se il nome è nascosto, § 3.16), XP della settimana e posizione. Un utente che ti ha bloccato non ti vede; Stato: Attivo
• Autorità pubbliche — Ruolo: Titolari autonomi; Che cosa fa: Solo se la legge lo impone; Stato: —

7. Trasferimenti di dati fuori dal Regno Unito e dall'UE

Dall'Italia al Regno Unito. Usi l'app e ci dai i tuoi dati direttamente. Secondo le Linee guida EDPB 05/2021, quando i dati passano direttamente dall'interessato al titolare fuori dall'UE non c'è un "trasferimento" ai sensi del capo V GDPR. Il GDPR resta comunque applicabile (§ 1.1). Inoltre la Commissione europea considera adeguato il livello di protezione del Regno Unito: il 19 dicembre 2025 ha rinnovato la decisione di adeguatezza fino al 27 dicembre 2031.

Dal Regno Unito ad altri Paesi. Alcuni fornitori hanno sede negli Stati Uniti (Cloudflare, RevenueCat, Apple, Google e, per il web, Stripe). Cloudflare gestisce una rete globale: una richiesta può passare da un data center fuori dal Regno Unito e dall'UE. Per questi trasferimenti applichiamo le regole dello UK GDPR e del GDPR:

• il "ponte dati" Regno Unito-USA (UK Extension to the EU-US Data Privacy Framework, Data Protection (Adequacy) (United States of America) Regulations 2023) e il Data Privacy Framework UE-USA (decisione (UE) 2023/1795), quando il fornitore è certificato;
• altrimenti le Clausole contrattuali tipo della Commissione (decisione (UE) 2021/914) con l'Addendum del Regno Unito, o l'International Data Transfer Agreement (IDTA) dell'ICO, insieme a una valutazione del rischio del trasferimento.

I trasferimenti verso fornitori nell'UE (PostHog, regione UE, ed Ergonet, in Italia) usano la decisione di adeguatezza del Regno Unito per lo Spazio economico europeo. I dati di analisi di PostHog restano in UE.

8. Età minima

• PolpoMed è solo per maggiorenni: devi avere almeno 18 anni.
• PolpoMed è pensato per studenti di Medicina, medici in formazione e medici.
• Alla prima apertura dichiari «Ho almeno 18 anni». Salviamo la dichiarazione nel registro dei progressi (§ 3.11). Non controlliamo un documento d'identità.
• Se scopriamo che un utente ha meno di 18 anni, cancelliamo l'account.

9. Sicurezza

• Connessione cifrata (HTTPS con HSTS).
• Token di sessione e link di accesso salvati sul server solo come hash.
• Token di sessione degli account con email che scadono dopo 12 mesi senza uso.
• Nei log delle richieste il token di sessione e i cookie non compaiono: Cloudflare li sostituisce con «REDACTED». Nessun codice segreto viaggia nell'indirizzo di una richiesta.
• Link di accesso validi 15 minuti e usabili una sola volta.
• Limiti di frequenza per IP, per utente e per email, e controllo anti-bot prima dell'invio delle email.
• Accesso al database e ai servizi dei fornitori solo per il personale autorizzato, con autenticazione a più fattori.

Il token di sessione resta in chiaro nella memoria dell'app sul tuo dispositivo (§ 3.8). Proteggi il dispositivo con un codice di blocco.

In caso di violazione dei dati (data breach), entro 72 ore avvisiamo l'ICO (art. 33 UK GDPR) e il Garante e le altre autorità UE dei Paesi in cui vivono gli utenti coinvolti (art. 33 GDPR). Se il rischio è alto, avvisiamo anche te (art. 34).

10. Dati obbligatori e facoltativi

Senza i dati del § 3.1, 3.2, 3.3 e 3.11 l'app non funziona: sono necessari per salvare i progressi. L'email è facoltativa. Anche i voti sui corsi in arrivo (§ 3.12), la simulazione SSM (§ 3.14), l'abbonamento (§ 3.10) e le analisi d'uso (§ 3.9) sono facoltativi. Senza email puoi usare l'account solo da questo dispositivo: se cancelli l'app, perdi l'accesso ai progressi.

«Ricomincia da zero» (in "Profilo") cancella i progressi da questo dispositivo:

• Se usi l'app senza email, cancella anche il profilo ospite sul server. Senza connessione l'app cancella solo i dati sul dispositivo e ti avvisa che il profilo ospite sul server resta.
• Se hai un account con email, l'account resta sul server. Per cancellarlo usa «Elimina account».
• Se sul dispositivo c'è anche un profilo ospite precedente, cancella anche quello sul server. Se il server non risponde, l'app ti avvisa che il profilo ospite resta.

Se cancelli l'app, l'app non invia nulla al server: il profilo ospite resta sul server finché la regola dei 12 mesi di inattività lo cancella (§ 5). Per cancellarlo subito, scegli «Elimina i dati» in "Profilo" prima di cancellare l'app.

11. I tuoi diritti

Hai diritto di:

• accedere ai tuoi dati e riceverne una copia (art. 15);
• correggerli (art. 16). Puoi cambiare il nome visualizzato da "Profilo". Per cambiare il ruolo scrivici;
• cancellarli (art. 17);
• limitare il trattamento (art. 18);
• ricevere i dati in un formato strutturato e leggibile da una macchina (portabilità, art. 20);
• opporti ai trattamenti basati sull'interesse legittimo (art. 21);
• revocare il consenso in ogni momento, senza effetti sui trattamenti già fatti (art. 7). Per le analisi d'uso usa l'interruttore «Statistiche d'uso» in "Profilo";
• presentare reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità del Paese UE in cui vivi (art. 77 GDPR);
• presentare reclamo all'Information Commissioner's Office del Regno Unito (ico.org.uk).

Per esercitare i diritti scrivi a supporto@polpomed.com o, quando è nominato, al rappresentante UE (§ 1.2). Rispondiamo entro un mese (art. 12), prorogabile di due mesi nei casi complessi.

Come provi che l'account è tuo. Se hai un account con email, ti mandiamo un link di accesso all'indirizzo email dell'account. Se apri il link, provi che l'account è tuo. La cancellazione dall'app non richiede questa prova: l'app usa il token di sessione del dispositivo.

Se usi l'app senza email, non possiamo collegare una richiesta via email al tuo account (art. 11, paragrafo 2, GDPR). Per cancellare i dati usa «Elimina i dati» in "Profilo". Per una copia dei dati, collega prima un'email all'account dall'app, poi scrivici dallo stesso indirizzo.

Cancellare l'account. Puoi cancellare l'account da Profilo > «Elimina account» (o «Elimina i dati» se usi l'app senza email). Le istruzioni sono anche su https://polpomed.com/eliminazione-account. Dopo la conferma cancelliamo subito, in un'unica operazione:

• l'account, i token di sessione e il registro dei progressi, compresi la prova dell'accettazione (§ 3.11) e le simulazioni SSM (§ 3.14);
• il registro degli abbonamenti e l'identificativo di fatturazione (§ 3.10);
• le leghe settimanali, attuali e passate;
• le segnalazioni sulle domande, compresa l'eventuale nota;
• le segnalazioni di utenti e gruppi che hai fatto, le segnalazioni sul tuo nome, i tuoi blocchi e i blocchi che ti riguardano, il tuo nome nascosto e i nostri controlli sul tuo nome (§ 3.16);
• i voti sui corsi in arrivo;
• i link di accesso legati al tuo account o alla tua email;
• i contatori anti-abuso legati al tuo account o alla tua email.

Esci anche da ogni gruppo. Se gestisci un gruppo con altri membri, il gruppo passa al membro che è entrato per primo. Un gruppo senza altri membri viene cancellato insieme al suo codice. Subito dopo, il nostro server chiede a RevenueCat di cancellare il tuo profilo abbonamento. La richiesta non blocca la cancellazione dell'account: se RevenueCat non risponde, il server riprova ogni ora, fino a 5 tentativi, e poi lo cancelliamo a mano. Per questi tentativi il server conserva solo l'identificativo di fatturazione, senza l'identificativo dell'account e senza email. Se ci hai dato il consenso alle analisi d'uso, il server chiede anche a PostHog di cancellare i dati legati al tuo identificativo. Anche questa richiesta non blocca la cancellazione dell'account: se PostHog non risponde, il server riprova ogni ora, fino a 5 tentativi, e poi li cancelliamo a mano.

Restano per poco tempo:

• i contatori anti-abuso legati solo al tuo indirizzo IP, che scadono entro circa 24 ore;
• i contatori anti-abuso degli indirizzi email che hai inserito senza confermarli, insieme al tuo indirizzo IP, che scadono entro circa 24 ore;
• un contatore legato al tuo account, se una richiesta era ancora in corso durante la cancellazione, che scade entro circa 24 ore;
• i log delle richieste, che scadono entro 7 giorni;
• il profilo abbonamento su RevenueCat, finché RevenueCat conferma la cancellazione (di solito subito, al massimo circa 5 ore; se tutti i tentativi falliscono, lo cancelliamo a mano);
• i dati di analisi di PostHog, finché PostHog completa la cancellazione che il server gli chiede (di solito subito, al massimo circa 5 ore; se tutti i tentativi falliscono, li cancelliamo a mano). In ogni caso scadono entro 12 mesi.

L'app cancella i dati sul dispositivo solo dopo la conferma del server. Se la cancellazione non riesce (per esempio senza connessione), l'app non cancella nulla e ti mostra l'errore: puoi riprovare. Se sul dispositivo c'è anche un profilo ospite precedente, proviamo a cancellare anche quello. Se il server non risponde, l'app ti avvisa che il profilo ospite resta. Un account precedente con email resta sul server, se esiste ancora: puoi rientrare con un link di accesso e cancellarlo. Le sue risposte non ancora salvate sul server si perdono. Puoi chiedere la cancellazione al massimo 5 volte all'ora.

Se usi lo stesso account su un altro dispositivo, lì i progressi restano salvati solo sul dispositivo. Al primo contatto con il server, l'app smette di inviare dati e non crea un nuovo account. In «Profilo» trovi l'avviso che l'account non esiste più o che la sessione è scaduta. Per cancellare i dati anche da quel dispositivo, scegli «Ricomincia da zero» o «Elimina i dati».

Se hai un abbonamento attivo, disdicilo nello store prima di cancellare l'account: la cancellazione dell'account non ferma i pagamenti di Apple o Google (Termini di servizio, § 7.5).

12. Modifiche a questa informativa

Se cambiamo l'informativa in modo rilevante (per esempio un nuovo fornitore o una nuova finalità), ti avvisiamo nell'app prima che la modifica abbia effetto e ti chiediamo di leggere la nuova versione. Se una nuova finalità richiede il consenso, te lo chiediamo.

13. Contatti

• Titolare: Doubleffe LTD, Flat 18, 2 Lansdowne Drive, London, England, E8 3EZ, Regno Unito. Numero di registrazione (Companies House) 13439566. Email: supporto@polpomed.com.
• Rappresentante nell'UE: in nomina (§ 1.2). Fino alla nomina scrivi a supporto@polpomed.com.