Dati personali, dichiarato apertamente.
TwentyThird elabora informazioni sensibili sulla sua vita interiore. Questa politica descrive cosa viene elaborato, da chi, dove, per quanto tempo e come interrompere tale elaborazione. Nulla viene venduto. Nulla viene utilizzato per la pubblicità.
Chi è il responsabile
WelloWork AB (org. nr. 559472‑9997), Uppsala, Svezia, è il titolare del trattamento per tutti i dati personali elaborati tramite TwentyThird: su questo sito web, nel suo account e nelle e-mail.
Alcuni membri ricevono TwentyThird come benefit dal loro datore di lavoro. Il datore di lavoro paga per l'accesso e nient'altro. I datori di lavoro non ricevono mai i suoi dati, le sue risposte, il suo utilizzo o alcuna analisi su di lei o sul loro personale come gruppo.
Contatto per la protezione dei dati: privacy@day-23.com. Rispondiamo entro 30 giorni.
Cosa elaboriamo e perché
Account. Indirizzo email, nome, anno di nascita, genere, lingua e modalità di accesso. Utilizzato per gestire il tuo account. Base giuridica: contratto (Art. 6(1)(b) GDPR).
Informazioni sulla salute. Le tue risposte all'intake su umore, famiglia, relazioni, lavoro, sonno, sogni e benessere; i tuoi Catchup settimanali; le tue conversazioni durante la sessione di Consulting Room; e le letture e i report da essi prodotti. Questi sono dati di categoria speciale (Art. 9). Base giuridica: il tuo consenso esplicito (Art. 9(2)(a) e Art. 6(1)(a)), fornito separatamente al momento dell'iscrizione e revocabile in qualsiasi momento in Impostazioni → Consenso.
Elaborazione AI. Per scrivere letture, riepiloghi dei Catchup, risposte alle sessioni e report, la parte di tali informazioni necessaria per ciascuna attività viene inviata a un modello AI. Base giuridica: il tuo consenso separato all'elaborazione AI e al trasferimento al di fuori del SEE.
La tua cerchia. Se inviti qualcuno, ci fornisci il suo nome e indirizzo email per l'invio. Se risponde, le sue risposte informano le tue letture. Vedi "Persone che inviti" di seguito.
Pagamento. Stato e cronologia dell'abbonamento. I dettagli della carta sono gestiti da Stripe e non ci raggiungono mai. Base giuridica: contratto.
Dati tecnici. Indirizzo IP, browser, dispositivo e timestamp, per mantenere il servizio sicuro e limitare gli abusi. Quando memorizziamo un indirizzo IP, memorizziamo un hash salato, non l'indirizzo. Base giuridica: interesse legittimo (Art. 6(1)(f)).
Analisi. Google Analytics è attivo solo sulle pagine di marketing pubbliche, e solo dopo il tuo consenso. Mai all'interno del tuo account. Base giuridica: consenso.
Non chiediamo informazioni su razza, etnia, opinioni politiche o religione. Se qualcosa che scrivi lo rivela, viene elaborato solo come parte della tua lettura.
Decisioni automatizzate e sicurezza
Ogni testo libero che scrivi viene controllato da un modello AI per rilevare segnali di rischio. Quando il rischio è classificato come elevato, l'analyst non risponde; al suo posto, visualizzi risorse di crisi per il tuo paese e un flag di sicurezza viene registrato nel tuo account, dove puoi vederlo.
Letture, riassunti e report sono interpretazioni generate dall'AI. Non sono diagnosi e nessuna decisione con effetti legali o significativi viene presa basandosi su di essi.
Puoi chiedere a una persona di WelloWork di revisionare qualsiasi classificazione di sicurezza o lettura privacy@day-23.com. Ti comunicheremo l'esito.
Chi lo elabora, e dove
Queste aziende elaborano i dati su nostra istruzione, in base ad accordi sul trattamento dei dati. Laddove i dati escano dallo Spazio Economico Europeo, viene indicata la base giuridica del trasferimento.
| Processore | Scopo | Dove | Base del trasferimento |
|---|---|---|---|
| Supabase | Database, accesso, archiviazione file | Irlanda (UE) | Hosting UE; Clausole Contrattuali Standard per l'accesso al supporto |
| Vercel | Hosting e server | Stoccolma (UE); rete mondiale per file statici | Clausole Contrattuali Standard |
| OpenRouter | Gateway che inoltra ogni richiesta AI al modello | Stati Uniti | Clausole Contrattuali Standard |
| Google Cloud (Vertex AI), tramite OpenRouter | Modelli AI (Gemini). I prompt non vengono archiviati né utilizzati per l'addestramento | Centri dati Google, non limitati all'UE | Quadro Privacy UE-USA; Clausole Contrattuali Standard |
| Stripe | Pagamenti e abbonamenti | Irlanda (UE) e Stati Uniti | Quadro Privacy UE-USA; Clausole Contrattuali Standard |
| Resend | Email che ti inviamo e inviti | Stati Uniti | Quadro Privacy UE-USA; Clausole Contrattuali Standard |
| Google Analytics | Visite alle pagine pubbliche, solo con il tuo consenso | Centri dati Google, inclusi gli Stati Uniti | Quadro Privacy UE-USA; Clausole Contrattuali Standard |
I fornitori di AI vengono utilizzati solo se non archiviano i prompt né li usano per l'addestramento. Non vendiamo né concediamo in licenza i tuoi dati e non li utilizziamo per la pubblicità.
Persone che inviti
Quando un membro ti invita, ci fornisce il tuo nome e indirizzo email. Li utilizziamo solo per inviare l'invito e per mostrare al membro se hai risposto.
Se rispondi alle domande sulla relazione, le tue risposte e un paragrafo redatto dall'AI basato su di esse informano le letture, le sessioni e i report di quel membro. Il membro non vede mai le tue risposte o il paragrafo. Acconsenti a questo prima che inizino le domande.
Le tue risposte vengono eliminate 30 giorni dopo la fine della connessione, o immediatamente quando utilizzi il link di eliminazione nella tua email di invito. Gli inviti rifiutati o scaduti vengono eliminati 30 giorni dopo la loro scadenza. Hai gli stessi diritti dei membri; scrivi all'indirizzo sottostante.
Chi vede i dati
All'interno di WelloWork AB: Un numero limitato di personale addetto alla manutenzione del servizio, con accesso ristretto per ruolo. Esaminiamo i suoi contenuti solo per rispondere a una sua richiesta, per revisionare una segnalazione di sicurezza che ci chiede di esaminare, o per correggere un errore.
Non il suo datore di lavoro. Nessun datore di lavoro, clinica o altra organizzazione ha accesso ai dati dei membri o alle analisi sui membri.
Il suo psicologo, se ne ha uno: Oltre alla sua richiesta di supervisione, sceglie voce per voce cosa vede il suo psicologo e può modificare ogni scelta in qualsiasi momento.
Obbligo legale: Divulghiamo i dati alle autorità competenti solo quando richiesto dalla legge, e solo nella misura richiesta.
Retention
La durata di conservazione per ogni tipo di dato. Un processo automatico quotidiano applica questi periodi.
| Dati | Conservati per |
|---|---|
| Account, risposte all'intake (ogni versione), letture, Catchup, conversazioni di sessione, report, registri di consenso | Finché l'account esiste |
| Tutto quanto sopra, dopo l'eliminazione dell'account | Cancellato 30 giorni dopo la richiesta, eccetto i registri contabili sottostanti. L'accesso prima di tale data annulla la richiesta |
| Segnalazioni di sicurezza | Gravità e categoria con l'account; il testo citato viene rimosso dopo 90 giorni |
| Log di elaborazione AI (attività, modello, tempistica — mai contenuto) | 90 giorni |
| Registri delle email inviate | 30 giorni dopo l'invio |
| Risposte dalle persone invitate | Mentre la connessione è attiva; 30 giorni dopo la sua interruzione, o immediatamente su richiesta |
| Inviti rifiutati o scaduti | 30 giorni dopo la scadenza |
| Messaggi inviati tramite il modulo di contatto | 24 mesi |
| Contatori di prevenzione abusi (hash) | 1–2 giorni |
| Supervisione con uno psicologo: la tua richiesta, la supervisione, i relativi piani di cura e il tuo consenso alla condivisione | Finché esistono il tuo account e quello del tuo psicologo. Il tuo psicologo li vede solo finché la supervisione è attiva e il tuo consenso è valido. |
| Richieste di supervisione rifiutate, ritirate o scadute | 12 mesi dopo la decisione |
| Handoff al tuo psicologo | 24 mesi dopo la chiusura o la fine della supervisione; immediatamente se la supervisione viene eliminata |
| Notifiche in-app | 12 mesi |
| Visite a pagamento ed erogazioni agli psicologi (importo, data, riferimento di pagamento) | 7 anni dopo la fine dell'anno di pagamento, come richiesto dalla legge svedese sulla contabilità. Il tuo nome, le note e i link vengono rimossi quando il tuo account viene cancellato |
| Backup del database | Backup continui con ciclo breve; i dati eliminati li abbandonano alla loro scadenza |
| Registri dei pagamenti su Stripe | Come richiesto dalla legge finanziaria |
I processori mantengono i log operativi secondo i propri termini, elencati sopra.
I tuoi diritti
Puoi accedere ed esportare i tuoi dati (Impostazioni → Dati), correggerli (Impostazioni e il tuo intake), eliminare il tuo account (Impostazioni → Zona di pericolo), revocare il consenso (Impostazioni → Consenso), limitare o opporti al trattamento e ricevere i tuoi dati in un formato portabile. La revoca del consenso interrompe il trattamento futuro; non annulla ciò che è stato fatto in precedenza.
Per qualsiasi altra richiesta, o se non riesci ad accedere: privacy@day-23.com. Rispondiamo entro 30 giorni. Puoi anche presentare un reclamo a Integritetsskyddsmyndigheten (IMY), l'autorità svedese per la protezione dei dati.
Sicurezza
I dati sono crittografati in transito e a riposo. Ogni tabella è protetta dalla sicurezza a livello di riga, in modo che un account possa leggere solo i propri record e ciò che il servizio scrive non possa essere modificato da un browser. I dati della carta non toccano mai i nostri server.
Età
TwentyThird è destinato agli adulti. È necessario avere almeno 18 anni per creare un account. Se veniamo a conoscenza che un utente di età inferiore ai 18 anni possiede un account, lo eliminiamo.
Modifiche
Quando questa politica subisce modifiche sostanziali, ve lo comunichiamo nel prodotto prima che la modifica diventi effettiva e richiediamo nuovamente il vostro consenso laddove necessario. La data della versione è indicata di seguito.
In vigore dal: 18 October 2026 · Legge applicabile: Legge svedese e GDPR