Privacy di Mira

Dati trattati da Mira

Mira tratta l’identità dell’account restituita dall’accesso con Google o Apple, inclusi identificativo dell’account presso il fornitore, nome e indirizzo email, e un URL dell’avatar Google quando fornito; altezza e peso del profilo; il fuso orario IANA autorevole e la relativa revisione; obiettivi nutrizionali e cronologia; date e orari dei pasti, foto, valori nutrizionali per alimento, note, stato di elaborazione e scadenze di recupero dopo l’eliminazione. Le conversazioni con il Coach possono includere il testo digitato, una registrazione vocale conservata per la riproduzione autenticata, il relativo stato di elaborazione e la trascrizione creata dalla registrazione.

Apple può fornire un indirizzo email privato di inoltro e omettere il nome negli accessi successivi. Mira conserva le credenziali di revoca Apple cifrate sul proprio server. Gli accessi Apple e Google con lo stesso indirizzo email verificato usano automaticamente lo stesso account Mira. Gli indirizzi email diversi restano separati, a meno che tu non colleghi esplicitamente un metodo di accesso con una prova di accesso recente. Mira conserva anche stato dell’abbonamento, store, prodotto, scadenza, identificativo della transazione e ambiente di produzione o sandbox. Gli acquisti sandbox TestFlight approvati possono fornire un accesso beta indicato separatamente; non diventano un abbonamento a pagamento di produzione.

Quando colleghi un fornitore di dati sulla salute supportato, Mira può trattare passi, calorie attive, sessioni di esercizio e peso, insieme ai tipi di dati richiesti, alle date e agli orari di acquisizione, caricamento e proiezione, alla versione dell’app sul dispositivo, alla sequenza di sincronizzazione, alla versione del consenso e a uno stato di verifica dell’eliminazione ridotto al minimo. Su Android, Mira non richiede il permesso di accesso alla cronologia di Health Connect. Su iPhone, Apple Health non rivela se hai negato l’accesso in lettura o se non esistono dati corrispondenti. L’importazione iniziale e la riconciliazione del fuso orario sono limitate a 30 date locali.

Finalità dell’utilizzo dei dati

I dati dell’account autenticano il tuo diario privato. Le foto dei pasti vengono analizzate per identificare gli alimenti e stimarne i valori nutrizionali dettagliati. I dati dei pasti e degli obiettivi permettono di visualizzare il diario e l’andamento nutrizionale. I messaggi del Coach vengono usati per rispondere, registrare alimenti, fornire i riscontri nutrizionali richiesti e cercare privatamente negli scambi visibili precedenti quando serve per rispondere a una domanda successiva. Mira salva la registrazione in uno spazio di archiviazione di oggetti privato, così la trascrizione può completarsi in modo affidabile in background e puoi riprodurla finché è conservata. I dati sulla salute importati producono indicatori giornalieri del movimento, il peso attuale e aggiornamenti recenti legati all’esercizio. Il fuso orario determina i limiti del calendario locale; le osservazioni dell’app mobile possono richiedere un aggiornamento del fuso verificato tramite revisione, ma il valore del server rimane autorevole.

Consenso salute e permessi

L’associazione dei dati sulla salute richiede un consenso esplicito alla versione attuale dell’informativa mediante un controllo inizialmente non selezionato. I permessi del fornitore sono separati dal consenso Mira. Su Android, revocare un permesso Health Connect impedisce a Mira di leggere quel tipo di dati. Su iPhone, Apple Health non rivela se l’accesso in lettura è stato negato e Mira non può considerare un risultato vuoto come prova di autorizzazione. Cambiare un permesso del fornitore non revoca di per sé la connessione al server Mira, non ritira il consenso Mira e non elimina i dati già importati.

La disconnessione in Mira revoca solo quella connessione del dispositivo dopo che il server conferma l’esito. Non modifica i permessi in Health Connect o Apple Health. Un token revocato dal server non può più sincronizzare. Il ritiro del consenso revoca la sincronizzazione e congela la cronologia importata senza modificarla. Nessuna di queste azioni elimina silenziosamente i dati importati.

Eliminazione, recupero e conservazione

L’azione separata Elimina dati sulla salute importati blocca prima l’accesso, revoca i token di connessione e impedisce l’associazione, poi elimina i dati sorgente importati, gli aggregati, le proiezioni, lo stato di sincronizzazione e i metadati del dispositivo tramite attività in background che possono essere ritentate. Restano le misurazioni manuali, i pasti, gli obiettivi nutrizionali e le prove minime di verifica del consenso e dell’eliminazione.

I pasti eliminati normalmente e le relative foto private restano recuperabili per 30 giorni e sono inclusi nelle esportazioni durante tale periodo. Dopo la scadenza del recupero, attività di pulizia limitate eliminano i dati e gli oggetti privati. La cancellazione dell’account è separata e revoca immediatamente l’accesso all’account, mentre l’eliminazione fisica degli oggetti continua in modo persistente se è necessario ritentare un’operazione di archiviazione.

L’audio vocale trascritto correttamente viene conservato in uno spazio privato per la riproduzione autenticata fino alla cancellazione dell’account. Mira conserva anche una registrazione non riuscita finché non la ritenti o la elimini, entro limiti di spazio per account. Il testo visibile delle trascrizioni del Coach e il relativo indicatore Trascritto da messaggio vocale vengono conservati per tutta la durata dell’account ed eliminati quando l’account viene cancellato.

I dati sulla salute importati sono conservati finché l’account esiste, fino a quando li elimini esplicitamente o cancelli l’account. La cronologia congelata non viene eliminata automaticamente solo perché un consenso o una connessione sono stati revocati.

Se elimini un account che usa l’accesso Apple, Mira rimuove l’account e conserva solo una credenziale di revoca cifrata e un digest minimo dell’identità mentre riprova la revoca con Apple. La credenziale viene rimossa dopo la conferma di Apple. Challenge di autenticazione di breve durata e digest minimi di revoca e notifica impediscono riutilizzi e risposte tardive; le credenziali di eliminazione completata e i relativi digest vengono rimossi separatamente dai dati utente. La rimozione della partecipazione alla beta termina l’accesso beta senza eliminare il diario o annullare un abbonamento di produzione.

Fornitori di servizi ed esclusioni

Google elabora l’accesso solo per l’identità. In produzione, lo spazio privato DigitalOcean Spaces conserva le foto dei pasti e le registrazioni vocali mantenute. Gemini riceve il contesto delle foto e delle modifiche ai pasti necessario per l’analisi nutrizionale e le azioni della chat. Se invii un messaggio vocale, Gemini riceve anche quella registrazione per creare una trascrizione. L’audio originale trascritto correttamente resta privato e disponibile solo per la riproduzione autenticata fino alla cancellazione dell’account; la trascrizione e l’indicatore di origine vocale vengono salvati come messaggio del Coach. Quando una domanda successiva richiede un contesto precedente, possono essere inviati a Gemini estratti limitati dei messaggi visibili dell’utente e dell’assistente; audio originale, istruzioni di sistema, argomenti e risultati degli strumenti, tracce interne, riepiloghi e memorie sono esclusi dalla ricerca nelle trascrizioni. I dati sulla salute importati e le metriche derivate non vengono inclusi automaticamente nelle istruzioni inviate a Gemini.

RevenueCat riceve l’identificativo opaco dell’account Mira e i metadati degli acquisti dello store per validare gli abbonamenti, ripristinare gli acquisti e comunicare lo stato dell’abbonamento. Mira non invia a RevenueCat nome, indirizzo email, dati sulla salute, pasti, foto, registrazioni vocali o messaggi del Coach. Sentry riceve solo errori dell’app ripuliti quando è configurato. Mira disattiva tracciamento, profilazione, replay, inoltro dei log e raccolta predefinita dei dati personali. La pulizia rimuove utenti, richieste, stringhe di query, breadcrumb, contenuti sulla salute, identificativi di foto o archiviazione, corpi delle risposte dei fornitori e token; un evento viene scartato se non è possibile dimostrarne la sicurezza.

Sicurezza e accesso

Mira usa richieste API autenticate verso la stessa origine, distribuzione privata delle foto con durata limitata, trasporto cifrato in produzione, una Content Security Policy applicata, gestione senza memorizzazione in cache per le rotte private, credenziali di associazione monouso e autorizzazione lato server. Le credenziali di associazione sono inserite nel frammento di un App Link o digitate manualmente, non in una stringa di query o in una descrizione di immagine.

I tuoi controlli

Il profilo dopo l’accesso offre esportazione dei dati, aggiornamenti di profilo e obiettivi, ritiro del consenso salute, eliminazione dei dati sulla salute importati, recupero dei pasti e cancellazione dell’account. Un messaggio vocale non riuscito offre i controlli Riprova ed Elimina accanto alla riproduzione autenticata. Le esportazioni includono metadati sicuri dell’elaborazione vocale e la provenienza delle trascrizioni, mai audio originale o chiavi di oggetti privati. Gli obiettivi nutrizionali di base restano disponibili quando i dati sulla salute non sono associati, sono obsoleti, in riconciliazione, congelati, revocati o in eliminazione.

Analisi facoltative e attribuzione degli abbonamenti

Quando le analisi facoltative sono disponibili, il sito pubblico Mira e l’app Mira chiedono ciascuno una scelta separata. Il rifiuto non limita navigazione, accesso, monitoraggio degli alimenti, Health Connect o Apple Health, né gli abbonamenti. Puoi modificare la scelta nelle impostazioni di privacy del sito e nel profilo dell’app. Un rifiuto nell’app offline interrompe subito la raccolta locale e indica se la sincronizzazione con il server è ancora in attesa.

Con la tua scelta, Google Analytics e Firebase elaborano identificativi del browser o dell’istanza dell’app, un identificativo indipendente dell’account per le analisi durante l’uso autenticato, etichette di campagne approvate, informazioni tecniche sul dispositivo e sull’app ed eventi di acquisizione come registrazione, opzioni di abbonamento, acquisto, prova e primo abbonamento a pagamento. Google elabora informazioni di rete, compresi gli indirizzi IP, per fornire il servizio e ricavare una posizione approssimativa. Mira non invia ai servizi di analisi indirizzi e-mail, identificativi di accesso Google, identità di fatturazione, identificativi grezzi delle transazioni degli store, foto di alimenti, dati nutrizionali o sanitari, messaggi Coach o registrazioni vocali. Archiviazione pubblicitaria, dati utente pubblicitari e personalizzazione restano disattivati; le analisi Mira non raccolgono identificativi pubblicitari.

Mira usa le etichette di campagne approvate per capire come le persone trovano l’app e diventano abbonati paganti. Android può conservare una campagna approvata durante l’installazione da Google Play. Una visita indipendente al sito non viene collegata al tuo account nell’app. L’attribuzione di un’installazione anonima su iPhone può restare sconosciuta. RevenueCat fornisce informazioni d’acquisto autenticate; Mira registra il primo abbonamento idoneo con prezzo positivo separatamente da prove, rinnovi e ripristini. Il valore riportato è il prezzo comunicato dal fornitore e non costituisce contabilità dei pagamenti. Le analisi non decidono l’accesso a pagamento.

I dettagli delle campagne approvate vengono conservati per un massimo di 30 giorni e il contesto delle installazioni inattive per un massimo di 90 giorni. I dati di analisi inviati dal server vengono rimossi entro 7 giorni; quelli falliti o ambigui entro 30 giorni. La conservazione di utenti ed eventi in Google Analytics è impostata su 2 mesi senza rinnovo all’attività. La cronologia delle decisioni di consenso facoltativo ha una finestra di verifica di un anno. I dati minimi di idoneità degli abbonamenti e deduplicazione vengono conservati fino alla cancellazione dell’account e non contengono identificativi Google o campagne.

La revoca e la cancellazione dell’account interrompono i nuovi export autorizzati dal server e mettono in coda richieste di eliminazione degli identificativi Google registrati. Gli identificativi cifrati necessari a riprendere le richieste vengono conservati per una finestra di recupero massima di 90 giorni. Una conferma di ricezione di Google non conferma il completamento dell’eliminazione fisica; traffico ritardato dell’app, interruzioni temporanee e report già aggregati possono limitarla. Le eliminazioni incompiute vengono registrate per il successivo controllo dell’operatore. Le impostazioni del sito cancellano i cookie locali di analisi, ma la cancellazione dell’account non può identificare browser anonimi indipendenti. Per una richiesta sui dati del sito, contatta l’indirizzo privacy indicato in questa policy e comunica un identificativo visitatore disponibile solo tramite quel contatto privato.

Questo avviso ha una versione indipendente dal consenso sanitario. Modifiche editoriali compatibili possono mantenere una scelta; modifiche sostanziali alle finalità delle analisi o ai dati richiedono una nuova scelta. Le analisi native sono disattivate nelle build finché non vengono superati i controlli di privacy e configurazione del fornitore. Google è un responsabile esterno per le analisi; il suo trattamento e i trasferimenti internazionali sono soggetti agli accordi Google applicabili dell’operatore. L’operatore deve pubblicare informative coerenti prima di attivare la raccolta.