Privacy Policy

Ultimo aggiornamento: 5 Novembre 2026

La presente Privacy Policy descrive come Nimora raccoglie, utilizza e protegge i dati personali degli utenti che utilizzano l'applicazione mobile Nimora e il sito web getnimora.it.

1. Titolare del Trattamento

Lorenzo Mazza Moncalieri (TO), Italia Codice Fiscale: MZZLNZ02B09L219C Email: info@getnimora.it

Il Titolare è il soggetto che determina le finalità e i mezzi del trattamento dei dati personali.

2. Principio fondamentale: i tuoi dati restano sul tuo dispositivo

Nimora è progettata con un'architettura local-first. Tutti i dati patrimoniali che inserisci nell'app (saldi, asset, valori, storico, note, categorie) vengono memorizzati esclusivamente sul tuo dispositivo in un database locale (SQLite).

I tuoi dati patrimoniali non vengono mai inviati, sincronizzati o memorizzati sui nostri server.

Per dirti quanto vale quello che possiedi, l'app ha bisogno dei prezzi di mercato. Per gli strumenti quotati li prende da un listino di prezzi pubblici di borsa che pubblichiamo su un nostro archivio: un file solo, uguale per tutti, che si scarica senza credenziali e non è collegato al tuo account.

L'app non dichiara mai al server quali strumenti possiedi. Non chiede il prezzo di un titolo alla volta: scarica il listino intero e sceglie sul dispositivo le righe che le servono. La richiesta di chi possiede un solo ETF e quella di chi ne possiede venti sono identiche. È una scelta di progetto, non un dettaglio tecnico: se l'app chiedesse i tuoi ISIN, la frase qui sopra smetterebbe di essere vera. I dettagli sono nella sezione 7.

Se cancelli l'app o formatti il dispositivo, i dati patrimoniali andranno persi. Puoi esportarli in formato CSV in qualsiasi momento dalla sezione "Profilo" dell'app.

3. Dati che raccogliamo

Nimora raccoglie e tratta esclusivamente i seguenti dati personali:

3.1 Dati di registrazione e autenticazione

Nome (fornito dall'utente in fase di registrazione)
Indirizzo email (utilizzato come credenziale di accesso)
Password (memorizzata in forma cifrata tramite hash, mai in chiaro)

In alternativa, l'utente può registrarsi tramite Google Sign-In o Apple Sign-In. In tal caso riceviamo dal provider esterno: nome, indirizzo email, e un identificatore univoco.

3.2 Dati tecnici minimi

Log di autenticazione (data/ora di accesso) gestiti dal provider di autenticazione

3.3 Statistiche d'uso anonime (solo con il tuo consenso)

Dalla versione 1.0.10 l'app ti chiede, una sola volta, se vuoi aiutarci a capire come viene usata. La domanda non ha una risposta preselezionata e dire di no non ti toglie nulla. Solo se accetti, Nimora invia statistiche anonime su come viene usata l'app. Se l'app non ti ha mai posto questa domanda, non stiamo raccogliendo nulla.

Cosa raccogliamo, se accetti:

quanto spesso l'app viene aperta, in fasce (per esempio "da 2 a 3 volte negli ultimi 7 giorni")
quali categorie di asset vengono aggiornate e ogni quanto, in fasce di giorni
quali sezioni dell'app vengono usate (per esempio allocazione, andamento, debiti)
alcuni passaggi della prima configurazione e della creazione di asset, debiti e obiettivi
il numero di asset, in fasce (per esempio "da 5 a 9")
versione dell'app, sistema operativo e sua versione, lingua del dispositivo

Cosa non esce mai dal dispositivo, in nessun caso:

importi, saldi, valore del patrimonio
nomi degli asset, note, nomi delle categorie personalizzate
il tuo nome, la tua email, qualsiasi identificativo del tuo account
qualsiasi identificativo persistente del dispositivo

Nessun identificativo. Le statistiche non contengono alcun identificativo che permetta di risalire a te o di riconoscere il tuo dispositivo nel tempo. Il fornitore calcola un identificativo di sessione anonimo a partire dall'indirizzo IP e dal tipo di dispositivo con una chiave che cambia ogni 24 ore: dopo quel termine non esiste più alcun collegamento tra due sessioni.

Indirizzo IP. Per ricevere questi dati il fornitore vede l'indirizzo IP della connessione, come qualsiasi server. L'indirizzo IP serve a derivare il paese e la regione e a calcolare l'identificativo di sessione anonimo descritto sopra, e non viene conservato. Il paese e la regione non ci servono, ma il fornitore li ricava comunque: per questo nelle informazioni sulla privacy degli store dichiariamo la "posizione approssimativa".

Revoca. Puoi cambiare idea in qualsiasi momento dall'app, in "Profilo" → "Privacy": da quel momento non viene inviato più nulla. Puoi anche dare il consenso più tardi, dallo stesso posto.

Cancellazione. Non possiamo cancellare su tua richiesta le statistiche già inviate, perché non esiste alcun identificativo che le colleghi a te o al tuo dispositivo: non siamo in grado di individuarle (art. 11 GDPR).

Non raccogliamo:

Dati finanziari o patrimoniali (restano sul tuo dispositivo)
Credenziali bancarie o di broker
Dati di posizione precisa (GPS); il paese e la regione possono essere derivati dall'indirizzo IP dal fornitore delle statistiche, se hai dato il consenso (vedi 3.3)
Dati di utilizzo senza il tuo consenso esplicito
Identificatori pubblicitari; nessun tracciamento tra app o siti di terzi

3.4 Messaggi dal modulo del sito

Se ci scrivi dal modulo "Non hai trovato quello che cercavi?" su getnimora.it, riceviamo il tuo indirizzo email e il testo del messaggio, e li usiamo solo per risponderti. Il messaggio ci arriva come email tramite Resend (vedi 6.4) e resta nella nostra casella info@getnimora.it. Non lo salviamo in nessun database e non ti iscriviamo a nessuna lista.

3.5 Protezione dei moduli del sito

I moduli di getnimora.it sono protetti da due controlli contro gli invii automatici e gli abusi.

Verifica anti-bot (Cloudflare Turnstile). Sui moduli di iscrizione agli aggiornamenti e dei messaggi, quando arrivi vicino al modulo il tuo browser carica la verifica da challenges.cloudflare.com: Cloudflare vede l'indirizzo IP della connessione e alcuni segnali tecnici del browser, e restituisce un codice che vale una sola volta. Quando invii il modulo, i nostri server mandano a Cloudflare quel codice e l'indirizzo IP della connessione, per sapere se la verifica è valida. Il codice non viene conservato.

Limite di richieste. Su ogni modulo del sito (iscrizione, messaggi, disiscrizione) contiamo quante richieste arrivano dallo stesso indirizzo IP: oltre 5 in un minuto, le successive vengono rifiutate per qualche istante. Il conteggio sta in un database presso Upstash (vedi 6.7), in una voce che contiene l'indirizzo IP. La voce si cancella da sola 121 secondi dopo l'ultima richiesta: l'indirizzo IP non resta più a lungo e non viene usato per nient'altro.

3.6 Iscrizione agli aggiornamenti

Se ti iscrivi con il modulo "Iscrivimi" su getnimora.it, salviamo il tuo indirizzo email e la data dell'iscrizione in un database presso Supabase (vedi 6.1), e ti mandiamo subito una mail di benvenuto tramite Resend (vedi 6.4). Dopo ti scriviamo solo per darti aggiornamenti su Nimora. In fondo a ogni mail c'è il link per disiscriverti: apre una pagina dove confermi con un clic. Se ti disiscrivi, cancelliamo il tuo indirizzo e non ti scriviamo più. Se un giorno ti iscrivi di nuovo, ripartiamo da zero.

4. Finalità del trattamento

I dati raccolti sono trattati esclusivamente per:

Autenticazione e gestione dell'account — consentirti di accedere all'app e gestire il tuo profilo
Recupero password — permetterti di reimpostare la password via email
Comunicazioni di servizio — inviarti email relative al funzionamento dell'app (es. conferma registrazione, reset password)
Miglioramento del prodotto — attraverso feedback volontari che ci invii (es. tramite form dedicato)
Statistiche d'uso anonime (solo con il tuo consenso, vedi 3.3): capire quali funzioni vengono usate davvero, per decidere cosa costruire
Risposta ai messaggi: rispondere a chi ci scrive dal modulo del sito (vedi 3.4)
Sicurezza del sito: proteggere i moduli del sito da invii automatici e abusi (vedi 3.5)
Aggiornamenti su Nimora: inviarti aggiornamenti su Nimora, se ti iscrivi (vedi 3.6)

5. Base giuridica del trattamento

Il trattamento dei dati personali si basa su:

Esecuzione di un contratto (art. 6.1.b GDPR) — per fornire il servizio richiesto dall'utente
Consenso (art. 6.1.a GDPR) — per le statistiche d'uso anonime (vedi 3.3), revocabile in qualsiasi momento dall'app, e per eventuali comunicazioni non strettamente necessarie
Consenso (art. 6.1.a GDPR): per gli aggiornamenti su Nimora a chi si iscrive (vedi 3.6), revocabile in qualsiasi momento dal link in fondo a ogni mail
Interesse legittimo (art. 6.1.f GDPR): per garantire la sicurezza del servizio e del sito, compresi la verifica anti-bot e il limite di richieste sui moduli (vedi 3.5)
Interesse legittimo (art. 6.1.f GDPR): per rispondere a chi ci scrive dal modulo del sito (vedi 3.4)

6. Destinatari dei dati e trasferimenti internazionali

I tuoi dati sono gestiti dai seguenti fornitori (sub-processor), che operano come responsabili del trattamento:

6.1 Supabase Inc.

Servizio: gestione autenticazione e database dell'account utente; database degli iscritti agli aggiornamenti del sito (vedi 3.6)
Sede: Stati Uniti
Garanzie: Standard Contractual Clauses (SCC) approvate dalla Commissione Europea
Privacy Policy: https://supabase.com/privacy
Rete di consegna: le risposte di Supabase arrivano al tuo dispositivo attraverso Cloudflare, che per questo vede l'indirizzo IP della connessione. Cloudflare aggiunge alle risposte un cookie tecnico contro il traffico automatico (__cf_bm, durata 30 minuti). Lo scaricamento del listino (vedi 7.1) è costruito per non conservarlo e non rimandarlo.

6.2 Google LLC (solo se usi Google Sign-In)

Servizio: autenticazione tramite account Google
Sede: Stati Uniti
Garanzie: Standard Contractual Clauses (SCC)
Privacy Policy: https://policies.google.com/privacy

6.3 Apple Inc. (solo se usi Sign in with Apple)

Servizio: autenticazione tramite Apple ID
Sede: Stati Uniti
Garanzie: Standard Contractual Clauses (SCC)
Privacy Policy: https://www.apple.com/legal/privacy/

6.4 Resend Inc. (solo per comunicazioni email)

Servizio: invio email transazionali (conferma registrazione, reset password) consegna dei messaggi che ci scrivi dal modulo del sito (vedi 3.4); mail di benvenuto e aggiornamenti a chi si iscrive (vedi 3.6)
Sede: Stati Uniti
Garanzie: Standard Contractual Clauses (SCC)
Privacy Policy: https://resend.com/legal/privacy-policy

6.5 Technov Solutions SRL, servizio Aptabase (solo se hai dato il consenso alle statistiche d'uso)

Servizio: raccolta e aggregazione delle statistiche d'uso anonime (vedi 3.3)
Sede: Bucarest, Romania (Unione Europea)
Dove stanno i dati: esclusivamente nell'Unione Europea, presso i sub-responsabili Amazon Web Services EMEA SARL (infrastruttura) e Tinybird Data S.L., Spagna (database delle statistiche); nessun trasferimento verso paesi terzi
Privacy Policy: https://aptabase.com/legal/privacy

6.6 Cloudflare, Inc. (solo sui moduli del sito)

Servizio: verifica anti-bot Turnstile sui moduli di getnimora.it (vedi 3.5)
Sede: Stati Uniti
Garanzie: Standard Contractual Clauses (SCC)
Privacy Policy: https://www.cloudflare.com/privacypolicy/

6.7 Upstash, Inc. (solo sui moduli del sito)

Servizio: database per il limite di richieste sui moduli di getnimora.it (vedi 3.5)
Sede: Stati Uniti
Dove stanno i dati: il database è nella regione di Francoforte, nell'Unione Europea
Garanzie: Standard Contractual Clauses (SCC)
Privacy Policy: https://upstash.com/trust/privacy.pdf

Non vendiamo, non cediamo e non condividiamo i tuoi dati personali con terze parti per finalità di marketing.

7. Prezzi di mercato e servizi esterni

Per mostrarti il valore di quello che possiedi, Nimora ha bisogno di prezzi aggiornati. Questa sezione elenca tutte le fonti esterne coinvolte, cosa ricevono e cosa non ricevono.

Nessuno di questi servizi vede il tuo patrimonio. Nessuno sa quali strumenti possiedi, quanti ne hai o quanto valgono. Nessuno sa chi sei: non riceve il tuo nome, la tua email, né alcun identificativo del tuo account. Ogni volta che servono dei prezzi, l'app chiede la lista intera, la stessa per tutti, e filtra sul dispositivo.

7.1 I listini di borsa

A ogni avvio l'app scarica un piccolo file di controllo, meno di 1 KB, che dice se qualcosa è cambiato. Solo quando è cambiato, di norma una volta per giornata di borsa, scarica i listini delle chiusure. Sono due, uguali per tutti:

il listino degli ETF, circa 370 KB, con circa 2.500 strumenti;
il listino delle azioni, circa 200 KB, con circa 1.350 titoli.

Ognuno contiene tutti gli strumenti che trattiamo, non solo i tuoi. L'app li scarica tutti e due anche se non possiedi né ETF né azioni. Allo stesso modo, solo quando cambiano, scarica i due indici dei nomi che servono alla ricerca: circa 380 KB quello degli ETF e circa 180 KB quello delle azioni. Scarica anche un breve elenco di parole per la ricerca. Anche questi file sono uguali per tutti. La prima volta, o dopo un aggiornamento dell'app, si scaricano tutti insieme: in tutto circa 1,1 MB.

I file sono pubblici e si scaricano senza credenziali, quindi non sono collegati al tuo account. Sono ospitati sul nostro spazio di archiviazione presso Supabase (vedi 6.1), che vede l'indirizzo IP della connessione come qualsiasi server che consegna un file.

Riceve: l'indirizzo IP della connessione e le intestazioni tecniche che il telefono aggiunge da solo a ogni richiesta. Su iPhone: la lingua impostata sul dispositivo con la sua variante regionale (per esempio italiano d'Italia), il nome e la versione dell'app e la versione del sistema del telefono. Su Android: solo la versione della libreria di rete. Su iPhone, quando il telefono ha già una copia di un file, anche la data e l'impronta di quella copia, che servono a non riscaricarlo se non è cambiato.
Non riceve: quali strumenti possiedi, in che quantità, quanto valgono, chi sei. La richiesta è costruita per non mandare e non conservare cookie. Nel prodotto non esiste alcun modo di chiedere il prezzo di un singolo ISIN.

7.2 Le fonti del listino, che contattiamo solo noi

Il listino lo costruiamo sui nostri server, leggendo quello che borse e autorità pubblicano. Il tuo dispositivo non contatta mai queste fonti: non ricevono nulla da te, nemmeno l'indirizzo IP, e non sanno che esisti.

Euronext (ETF e azioni di Borsa Italiana)
Prezzi di chiusura differiti, pubblicati in attuazione dell'articolo 13 del Regolamento (UE) n. 600/2014 (MiFIR). Ogni prezzo di borsa è mostrato con il mercato e la data della sua chiusura. Per i prezzi di Euronext l'app indica la fonte accanto al prezzo e, nella scheda dello strumento, riporta per intero l'avvertenza che i termini di Euronext prescrivono per i dati differiti, nel testo originale in inglese e con l'anno di copyright che Euronext dichiara nel suo file. Termini: https://www.euronext.com/delayed-data-terms-conditions

Deutsche Börse (Xetra)
Dati di scambio pubblicati con ritardo, sempre in attuazione dell'articolo 13 del Regolamento (UE) n. 600/2014. Informazioni: https://www.deutsche-boerse-cash-market.com/cash-market-en/market-data

ESMA, registro FIRDS (nomi degli strumenti)
Il nome che vedi accanto a un ISIN viene dal registro pubblico FIRDS dell'Autorità europea degli strumenti finanziari e dei mercati. Il dato è trasformato, e lo dichiariamo: ogni strumento ha un nome diverso per ogni sede di negoziazione, e fra questi scegliamo quello dichiarato da Borsa Italiana. ESMA non avalla questa pubblicazione. Note legali: https://registers.esma.europa.eu/publication/legalNoticePage

OpenFIGI (ticker)
I ticker vengono da OpenFIGI. I codici FIGI sono di pubblico dominio e la loro redistribuzione è libera. Bloomberg non è associata a Nimora e non ne avalla il contenuto. Termini: https://www.openfigi.com/docs/terms-of-service

7.3 I servizi che l'app contatta direttamente

Per crypto, metalli preziosi e cambi l'app si collega da sola a tre servizi pubblici. Nimora li usa fin dalle prime versioni; li elenchiamo qui perché finora questa policy non li nominava.

In tutti e tre i casi il tuo dispositivo si collega direttamente al servizio. Le richieste non contengono credenziali, identificativi, né alcun riferimento a te, e chiedono a tutti la stessa cosa. Come ogni richiesta, portano l'indirizzo IP della connessione e le intestazioni tecniche che il telefono aggiunge da solo. Su iPhone: la lingua impostata sul dispositivo con la sua variante regionale (per esempio italiano d'Italia), il nome e la versione dell'app e la versione del sistema del telefono. Su Android: solo la versione della libreria di rete. Dalla versione 1.0.10 sono costruite per non mandare e non conservare cookie.

CoinGecko (prezzi delle criptovalute)
L'app chiede in un colpo solo il prezzo di tutte le criptovalute che supporta, sempre le stesse, anche se non ne possiedi nessuna. Privacy policy: https://www.coingecko.com/privacy
Riceve: l'indirizzo IP della connessione e le intestazioni tecniche descritte sopra.
Non riceve: quali crypto possiedi, quante, quanto valgono, chi sei.

Coinbase (prezzi di oro, argento, platino e palladio)
L'app chiede sempre tutti e quattro i metalli, anche se ne possiedi uno solo. Privacy policy: https://www.coinbase.com/legal/privacy
Riceve: l'indirizzo IP della connessione e le intestazioni tecniche descritte sopra.
Non riceve: quali metalli possiedi, in che quantità, chi sei.
Fino alla versione 1.0.9 l'app poteva conservare per 30 minuti un cookie tecnico contro il traffico automatico, impostato da Cloudflare per conto di Coinbase, e rimandarlo alle richieste successive. Dalla 1.0.10 non lo conserva più.

Frankfurter (tassi di cambio)
Servizio pubblico e gratuito che ripubblica i tassi di riferimento della Banca Centrale Europea. L'app chiede sempre lo stesso elenco fisso di valute. Informazioni: https://frankfurter.dev
Riceve: l'indirizzo IP della connessione e le intestazioni tecniche descritte sopra.
Non riceve: in quali valute hai qualcosa, quanto, chi sei.

Questi servizi non trattano dati per nostro conto e non sono responsabili del trattamento: non affidiamo loro dati tuoi, ci limitiamo a leggere informazioni che pubblicano. Per questo non compaiono nella sezione 6.

8. Tempo di conservazione

Dati account: conservati finché l'utente mantiene attivo l'account. Alla cancellazione dell'account, i dati vengono rimossi entro 30 giorni.
Log di autenticazione: conservati per un massimo di 90 giorni per finalità di sicurezza.
Comunicazioni email: le email inviate vengono conservate secondo i tempi tecnici del provider (Resend), tipicamente non oltre 30 giorni.
Iscrizione agli aggiornamenti: l'indirizzo email resta finché sei iscritto. Quando ti disiscrivi lo cancelliamo.
Messaggi dal modulo del sito: conservati nella nostra casella di posta per il tempo necessario a risponderti, e comunque non oltre 24 mesi.
Limite di richieste dei moduli del sito: l'indirizzo IP resta nel database al massimo 121 secondi dopo l'ultima richiesta, poi si cancella da solo.
Verifica anti-bot: il codice di verifica non viene conservato; i dati che vede Cloudflare sono trattati secondo la sua privacy policy (vedi 6.6).
Statistiche d'uso anonime: conservate dal fornitore, in forma anonima e aggregabile, fino a 5 anni. L'indirizzo IP non viene conservato; l'identificativo di sessione anonimo perde ogni collegamento con le sessioni precedenti entro 48 ore, per la rotazione giornaliera della chiave.

9. I tuoi diritti

In conformità al GDPR (Regolamento UE 2016/679), hai diritto a:

Accedere ai tuoi dati personali
Rettificare dati inesatti o incompleti
Cancellare i tuoi dati ("diritto all'oblio")
Limitare il trattamento
Opporti al trattamento
Portabilità dei dati (ricevere i dati in formato strutturato)
Revocare il consenso in qualsiasi momento
Proporre reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it)

Come esercitare i tuoi diritti

Cancellazione dell'account: puoi cancellare il tuo account direttamente dall'app, nella sezione "Profilo" → "Elimina account". L'operazione rimuove i dati di autenticazione dai nostri sistemi e tutti i dati locali dal tuo dispositivo, e azzera la scelta sulle statistiche d'uso: chi userà l'app su quel dispositivo verrà interpellato di nuovo. Per gli account creati tramite Apple, la cancellazione revoca inoltre l'autorizzazione di accesso presso Apple, in conformità ai requisiti di "Accedi con Apple".

Statistiche d'uso anonime: puoi revocare il consenso in qualsiasi momento da "Profilo" → "Privacy". Le statistiche già inviate non sono cancellabili su richiesta perché non esiste alcun identificativo che le colleghi a te (vedi 3.3).

Altre richieste: invia un'email a info@getnimora.it specificando il diritto che intendi esercitare. Risponderemo entro 30 giorni.

10. Sicurezza

Adottiamo misure tecniche e organizzative adeguate a proteggere i tuoi dati:

Connessioni cifrate (HTTPS/TLS) per tutte le comunicazioni tra l'app e i server
Password memorizzate tramite hash crittografici (bcrypt/Argon2) gestiti da Supabase
Accesso ai dati limitato al personale autorizzato
Architettura local-first che minimizza la superficie di attacco sui dati sensibili

11. Minori

Nimora non è destinata a minori di 16 anni. Non raccogliamo consapevolmente dati personali di minori di 16 anni. Se sei un genitore e ritieni che tuo figlio ci abbia fornito dati personali, contattaci a info@getnimora.it per richiederne la cancellazione.

12. Modifiche alla Privacy Policy

Ci riserviamo il diritto di aggiornare questa Privacy Policy in qualsiasi momento. In caso di modifiche sostanziali, ti informeremo via email o tramite un avviso nell'app almeno 30 giorni prima dell'entrata in vigore. La data dell'ultimo aggiornamento è riportata in cima al documento.

13. Contatti

Per qualsiasi domanda o richiesta relativa a questa Privacy Policy o al trattamento dei tuoi dati personali:

Email: info@getnimora.it Titolare del trattamento: Lorenzo Mazza — Moncalieri (TO), Italia

Questa Privacy Policy sarà aggiornata al momento della costituzione della società (SRL) prevista in seguito alla validazione del prodotto.