1. Titolare e contatti

Titolare del trattamento

Davide Buccella

Contatto privacy

buccella.davide@gmail.com

2. Quali dati usa Tomazen

• Dati di utilizzo: Tazen completati, attività, tempi di focus e pausa, obiettivi, progressione, preferenze e stato della calibrazione.
• Check-in: le risposte vengono elaborate localmente per ricavare gli indicatori minimi quality e red flags. Le risposte grezze non vengono conservate dopo il calcolo.
• Note private: il testo facoltativo resta esclusivamente nel localStorage del dispositivo e non viene inviato alla sincronizzazione cloud.
• Accesso con ChatGPT: il server riceve l’indirizzo email autenticato e, quando disponibile, il nome profilo. Il nome serve soltanto alla visualizzazione. Per lo stato cloud, l’email viene trasformata con SHA-256 in una chiave pseudonimizzata; l’email non viene salvata nella tabella degli stati cloud.
• Test Lab: l’email delle persone autorizzate viene conservata nella relativa lista di accesso. I dati creati nel Test Lab restano nello storage di test locale e non entrano nello stato cloud reale.
• Analytics di prodotto: vengono registrati soltanto app_opened, tazen_started e tazen_completed, con data/ora, giorno locale, una chiave del ciclo, pagina di ingresso, solo dominio del referrer, paese in codice aggregabile e, se Cloudflare lo rende disponibile, una categoria stimata “probabilmente umano/automatico”. Se presenti nell’URL di ingresso, app_opened include esclusivamente le etichette aggregate UTM source, medium, campaign, content e term; la query string completa e gli altri parametri non vengono raccolti. Non vengono salvati indirizzo IP, user agent, note, testi dei check-in, attività o altri contenuti personali nella telemetria.
• Pseudonimi analytics: per chi accede con ChatGPT viene usata la stessa chiave SHA-256 dell’account. Per chi non accede viene creato un identificatore casuale soltanto in memoria, perso al reload o alla chiusura: non consente retention affidabile tra visite e non viene scritto in cookie, localStorage o sessionStorage.
• Dati tecnici: richieste, log tecnici e metriche aggregate di traffico possono essere trattati dalla piattaforma di hosting per erogare, proteggere e misurare il servizio.

3. Perché e su quale base

• Fornire timer, storico, export, personalizzazione del ritmo e sincronizzazione richiesta dall’utente: esecuzione del servizio richiesto.
• Gestire accesso ChatGPT e autorizzazioni Test Lab: esecuzione del servizio e legittimo interesse a proteggere le aree riservate.
• Prevenire abusi, diagnosticare errori e mantenere il servizio sicuro: legittimo interesse alla sicurezza e affidabilità.
• Misurare in forma minimizzata avvio, completamento, ritorno e sostenibilità del servizio: legittimo interesse a comprendere e migliorare Tomazen, senza pubblicità, marketing o profilazione individuale.
• Adempiere a obblighi di legge o richieste delle autorità, quando applicabile: obbligo legale.

Tomazen non usa un consenso generico come condizione per il timer e non invia comunicazioni di marketing.

4. Personalizzazione automatica del ritmo

Tomazen analizza localmente i dati necessari del check-in e dell’attività per suggerire un ritmo di concentrazione sostenibile. Conserva soltanto gli indicatori derivati necessari e lo storico funzionale. Il risultato non è una diagnosi, non produce effetti giuridici o analogamente significativi e non sostituisce consulenza medica o psicologica.

5. Sincronizzazione e destinatari

La sincronizzazione è facoltativa. Lo stato necessario viene memorizzato in un database D1 associato alla chiave pseudonimizzata dell’utente. Tomazen è ospitato tramite ChatGPT Sites; OpenAI e i fornitori tecnici della piattaforma possono trattare i dati nella misura necessaria a erogare autenticazione, hosting, database, sicurezza e metriche tecniche.

Gli eventi analytics minimizzati e le ipotesi private sul potenziale sostegno sono conservati nello stesso database D1. La previsione usa solo dati aggregati e assunzioni configurate dal proprietario: nessun singolo utilizzatore viene etichettato come potenziale donatore.

Tomazen non vende dati e non incorpora widget social: i provider social vengono contattati soltanto quando scegli esplicitamente di condividere.

6. Trasferimenti e ubicazione

Tomazen non configura né può selezionare una regione di residenza dei dati per ChatGPT Sites. La documentazione di ChatGPT Sites specifica che la residenza dei dati non è attualmente supportata per i Site pubblicati, il codice del Site, i dati e i file D1/R2, gli artefatti generati e i log; i dati possono quindi essere trattati anche fuori dallo Spazio economico europeo. In base al Data Processing Addendum applicabile a ChatGPT Sites, i dati ospitati soggetti alla normativa dello Spazio economico europeo o della Svizzera vengono trattati da OpenAI Ireland Limited; quando sono trasferiti ad affiliate OpenAI o a terzi fuori dallo Spazio economico europeo o dalla Svizzera, il trasferimento si basa su una decisione di adeguatezza della Commissione europea oppure su accordi contenenti le Clausole contrattuali standard dell’Unione europea, quali garanzie appropriate. OpenAI mantiene inoltre l’elenco dei sub-responsabili applicabili secondo il medesimo Data Processing Addendum.

7. Conservazione, export e cancellazione

• I dati locali restano finché li elimini dall’app, cancelli lo storage del browser o rimuovi i dati del sito.
• Lo stato cloud resta finché usi “Elimina dati”; non esiste nel codice una cancellazione automatica per inattività.
• Le email Test Lab restano finché il proprietario rimuove l’accesso o la persona usa la cancellazione completa.
• Gli eventi analytics restano per massimo 400 giorni; una pulizia automatica giornaliera elimina i record più vecchi. Le ipotesi private degli scenari restano finché il proprietario le modifica.
• Log e metriche della piattaforma seguono i criteri del fornitore di hosting, non definiti nel repository Tomazen.

Puoi esportare un backup JSON locale e lo storico CSV. La cancellazione completa rimuove dati locali live e Test Lab, note private, metadati di sincronizzazione, snapshot cloud, telemetria pseudonima dell’account autenticato e l’eventuale autorizzazione Test Lab. Le sessioni anonime non sono collegabili a un account o a una persona dopo la fine della sessione e vengono eliminate alla scadenza automatica.

8. Cookie e tecnologie di memorizzazione locale

Il codice applicativo Tomazen non imposta cookie, non usa fingerprinting e non include Google Analytics, Google Tag Manager, Meta Pixel, Hotjar, pubblicità o altri tracker di marketing.

• localStorage: stato live, note private live, stato Test Lab separato, note Test Lab separate, metadati tecnici di sync e preferenza della guida.
• sessionStorage: ricorda soltanto se la scheda è in modalità Test Lab.
• Autenticazione/hosting: la piattaforma può usare cookie o storage strettamente necessari per sessione, sicurezza e accesso con ChatGPT.
• Analytics di prodotto: l’identificatore casuale anonimo vive soltanto nella memoria della pagina e non viene salvato nel dispositivo.
• Metriche Sites/Cloudflare: la piattaforma può produrre visite, visualizzazioni di pagina e dimensioni aggregate senza un identificatore analytics persistente aggiunto da Tomazen.

Il nuovo analytics non scrive o legge identificatori non tecnici nel dispositivo e non usa fingerprinting. Per questa implementazione non viene quindi introdotto un banner cookie; restano possibili soltanto cookie o storage tecnici della piattaforma per autenticazione, sicurezza ed erogazione.

9. I tuoi diritti

Puoi chiedere accesso, rettifica, cancellazione, limitazione, opposizione e portabilità quando previsti dagli articoli 15–22 GDPR. Puoi anche proporre reclamo al Garante per la protezione dei dati personali. Per esercitare i diritti usa il contatto indicato nella sezione 1.

1. Controller and contact

Data controller

Davide Buccella

Privacy contact

buccella.davide@gmail.com

2. Data Tomazen uses

• Usage data: completed Tazen, activities, focus and break time, goals, progression, preferences, and calibration state.
• Check-ins: answers are processed locally to derive the minimum quality and red flag indicators. Raw answers are not retained after calculation.
• Private notes: optional text stays only in the device’s localStorage and is never sent to cloud sync.
• Sign in with ChatGPT: the server receives the authenticated email and, when available, profile name. The name is used only for display. The email is transformed with SHA-256 into a pseudonymous cloud-state key; the email is not stored in the cloud-state table.
• Test Lab: authorized people’s emails are stored in its access list. Test Lab data stays in separate local test storage and never enters the real cloud state.
• Product analytics: only app_opened, tazen_started, and tazen_completed are recorded, together with date/time, local day, a cycle key, landing page, referrer domain only, an aggregatable country code and, when Cloudflare makes it available, an estimated “probably human/automatic” category. When present in the entry URL, app_opened includes only the aggregate UTM source, medium, campaign, content, and term labels; the full query string and all other parameters are not collected. Telemetry stores no IP address, user agent, notes, check-in text, activities, or other personal content.
• Analytics pseudonyms: signed-in people use the same SHA-256 account key. Signed-out sessions receive a random in-memory identifier that is lost on reload or close: it cannot provide reliable cross-visit retention and is never written to cookies, localStorage, or sessionStorage.
• Technical data: requests, technical logs, and aggregate traffic metrics may be processed by the hosting platform to deliver, protect, and measure the service.

3. Purposes and legal bases

• Provide the timer, history, export, pace personalization, and user-requested sync: performance of the requested service.
• Manage ChatGPT sign-in and Test Lab authorization: service delivery and legitimate interests in protecting restricted areas.
• Prevent abuse, diagnose errors, and keep the service secure: legitimate interests in security and reliability.
• Measure service starts, completion, return, and sustainability in a minimized form: legitimate interests in understanding and improving Tomazen, without advertising, marketing, or individual profiling.
• Comply with legal obligations or authority requests where applicable: legal obligation.

Tomazen does not make generic consent a condition for using the timer and does not send marketing communications.

4. Automatic pace personalization

Tomazen locally analyzes the necessary check-in and activity data to suggest a sustainable focus pace. It retains only the required derived indicators and functional history. The result is not a diagnosis, has no legal or similarly significant effect, and does not replace medical or psychological advice.

5. Sync and recipients

Sync is optional. The required state is stored in a D1 database associated with the user’s pseudonymous key. Tomazen is hosted through ChatGPT Sites; OpenAI and the platform’s technical providers may process data as needed for authentication, hosting, database, security, and technical metrics.

Minimized analytics events and the private assumptions used for potential-support estimates are stored in the same D1 database. Forecasts use only aggregate data and assumptions configured by the owner: no individual user is labelled as a potential donor.

Tomazen does not sell data and embeds no social widgets. Social providers are contacted only when you explicitly choose to share.

6. Transfers and location

Tomazen does not configure and cannot select a data-residency region for ChatGPT Sites. ChatGPT Sites documentation states that data residency is not currently supported for deployed Sites, Site code, D1/R2 data and file storage, generated artifacts, and logs; data may therefore be processed outside the European Economic Area. Under the Data Processing Addendum applicable to ChatGPT Sites, Hosted Data subject to European Economic Area or Swiss data-protection law is processed by OpenAI Ireland Limited; when it is transferred to OpenAI affiliates or third parties outside the European Economic Area or Switzerland, the transfer is based on a European Commission adequacy decision or agreements containing the European Union Standard Contractual Clauses as appropriate safeguards. OpenAI also maintains the applicable Sub-Processor List under that Data Processing Addendum.

7. Retention, export, and deletion

• Local data remains until you delete it in the app, clear browser storage, or remove the site’s data.
• Cloud state remains until you use “Delete data”; the code has no automatic inactivity deletion.
• Test Lab emails remain until the owner removes access or the person uses complete deletion.
• Analytics events are retained for at most 400 days; a daily automatic cleanup deletes older records. Private scenario assumptions remain until the owner changes them.
• Platform logs and metrics follow the hosting provider’s criteria, which are not defined in the Tomazen repository.

You can export a local JSON backup and CSV history. Complete deletion removes live and Test Lab local data, private notes, sync metadata, the cloud snapshot, the signed-in account’s pseudonymous telemetry, and any Test Lab authorization. Anonymous sessions cannot be linked to an account or person after the session ends and expire through automatic retention cleanup.

8. Cookies and local storage technologies

Tomazen application code sets no cookies, uses no fingerprinting, and includes no Google Analytics, Google Tag Manager, Meta Pixel, Hotjar, advertising, or other marketing trackers.

• localStorage: live state, live private notes, separate Test Lab state and notes, technical sync metadata, and tutorial preference.
• sessionStorage: only remembers whether the tab is in Test Lab mode.
• Authentication/hosting: the platform may use strictly necessary cookies or storage for sessions, security, and Sign in with ChatGPT.
• Product analytics: the anonymous random identifier lives only in page memory and is not stored on the device.
• Sites/Cloudflare metrics: the platform may produce aggregate visits, page views, and dimensions without a persistent analytics identifier added by Tomazen.

The new analytics neither writes nor reads non-technical identifiers on the device and uses no fingerprinting. This implementation therefore adds no cookie banner; only platform cookies or storage needed for authentication, security, and delivery may remain.

9. Your rights

You may request access, correction, deletion, restriction, objection, and portability where Articles 15–22 GDPR apply. You may also complain to the Italian Data Protection Authority. Use the contact in section 1 to exercise your rights.