INFORMATIVA SULLA PROTEZIONE DEI DATI PERSONALI (PRIVACY POLICY)

In vigore dal 30 settembre 2026 · link permanente a questa versione · tutte le versioni

(Conforme Regolamento UE 2016/679 – GDPR e Regolamento UE 2024/1689 – AI Act)

1. Titolare del Trattamento

• Titolare: Vivarium S.r.l.
• Sede Legale: Via Montello 18, 40131, Bologna (BO)
• Partita IVA: 04291881201
• Email di contatto per la privacy: [email protected]
• Paese: Italia (UE)

2. Canali del Servizio

Giada AI Nutritional Coach ("Giada") è disponibile tramite:

• Telegram: il bot @Giadacare_bot e la relativa Mini App;
• App per iOS, distribuita tramite l'App Store di Apple;
• App per Android, distribuita tramite Google Play.

La presente informativa si applica a tutti i canali. Dove un trattamento riguarda un solo canale, è indicato espressamente.

3. Tipologie di Dati Raccolti

Giada raccoglie esclusivamente i dati forniti volontariamente dall'utente o generati dall'uso del servizio:

• Dati identificativi e di contatto: nome, nickname, email, lingua, fuso orario. Su Telegram: UserID Telegram. Nelle app: le credenziali di accesso (la password è conservata solo in forma cifrata) oppure l'identificativo fornito da Apple o Google se scegli di accedere con "Accedi con Apple" o con Google.
• Dati di abbonamento e pagamento: piano scelto (mensile o annuale), stato dell'abbonamento, date di attivazione e rinnovo, canale di acquisto e storico delle transazioni. I dati della carta di pagamento sono raccolti e trattati esclusivamente da Stripe, Apple o Google, a seconda del canale di acquisto, e non vengono mai memorizzati né sono accessibili a Vivarium S.r.l. Per gli acquisti tramite App Store o Google Play riceviamo da Apple o Google solo gli identificativi della transazione e lo stato dell'abbonamento. Durante il periodo di prova gratuito non viene raccolto alcun dato di pagamento.
• Dati personali relativi alla salute e alla condizione fisica (Art. 9 GDPR): sesso biologico, data di nascita, peso, altezza, circonferenze, frequenza cardiaca, VO2max, BMR, dati da wearable (se forniti).
• Dati da Apple Salute (HealthKit) e Health Connect (solo app, Art. 9 GDPR): se lo autorizzi dalle impostazioni del tuo dispositivo, l'app legge energia attiva bruciata, allenamenti, passi, peso corporeo, percentuale di massa grassa, sonno, frequenza cardiaca, frequenza cardiaca a riposo e VO2max. I dati vengono letti solo quando tocchi "Sincronizza" e inviati a Giada come riepilogo testuale, trattato come gli altri tuoi messaggi (vedi sezione 7). L'app non scrive mai dati in Apple Salute o Health Connect e non li legge in background.
• Dati su salute e stile di vita (Dati Particolari – Art. 9 GDPR): condizioni mediche, obiettivi fisici/nutrizionali, piani di allenamento/nutrizione, esperienza sportiva, note aggiuntive.
• Contenuti che invii: messaggi di testo, foto (ad esempio dei pasti) e messaggi vocali. Nelle app, l'accesso a fotocamera, foto e microfono avviene solo con il tuo permesso e solo quando scegli di inviare un contenuto.
• Dati tecnici delle app: il token per le notifiche push, la piattaforma (iOS o Android) e le informazioni tecniche necessarie a distribuire gli aggiornamenti dell'app. Le app non raccolgono la tua posizione, non usano identificativi pubblicitari e non ti tracciano tra app e siti di terze parti.

Questi dati, in particolare i dati particolari (Art. 9 GDPR), sono trattati solo con il tuo consenso esplicito.

Dati di Apple Salute e Health Connect: non vengono mai usati per pubblicità o marketing, non vengono venduti né ceduti a terzi, e sono usati esclusivamente per fornirti il servizio di coaching.

4. Finalità del Trattamento

I dati sono trattati per:

• Fornire risposte e piani informativi personalizzati.
• Migliorare l'accuratezza e le funzionalità del servizio (tramite analisi aggregata/pseudonimizzata).
• Garantire il corretto funzionamento e la sicurezza del servizio.
• Gestire il tuo account e l'accesso da più canali.
• Inviarti notifiche relative al servizio, se le hai autorizzate.
• Gestire l'abbonamento a pagamento: attivazione, fatturazione, rinnovi, assistenza sui pagamenti e prevenzione delle frodi.
• Adempiere agli obblighi legali in materia fiscale e contabile.

5. Base Giuridica

Il trattamento si basa sul Consenso esplicito dell'utente (Art. 6(1)(a) e Art. 9(2)(a) GDPR) per tutti i dati, e sull'esecuzione del servizio richiesto (Art. 6(1)(b) GDPR) per i dati strettamente necessari.

Per i dati di abbonamento e pagamento, il trattamento si basa sull'esecuzione del contratto (Art. 6(1)(b) GDPR), sull'adempimento di obblighi legali fiscali e contabili (Art. 6(1)(c) GDPR) e sul legittimo interesse alla prevenzione delle frodi (Art. 6(1)(f) GDPR). Per questi trattamenti non è richiesto il consenso e la sua revoca non li interrompe, in quanto necessari all'erogazione del servizio a pagamento e al rispetto della legge.

Revoca del Consenso: Puoi revocare il consenso in qualsiasi momento inviando una richiesta a [email protected]. Puoi inoltre revocare in ogni momento l'accesso dell'app ad Apple Salute, Health Connect, fotocamera, foto, microfono e notifiche dalle impostazioni del tuo dispositivo.

6. Modalità di Trattamento

Il trattamento dei tuoi dati personali avviene attraverso strumenti digitali e procedure automatizzate, gestite tramite una catena di servizi interconnessi. Adottiamo misure di sicurezza tecniche e organizzative per proteggere i dati dalla distruzione accidentale o illecita, dalla perdita, dall'alterazione, dalla divulgazione o dall'accesso non autorizzati. Queste misure includono, ma non si limitano a:

• Sicurezza dei fornitori principali: Ci affidiamo a fornitori di servizi leader nel settore, come Cloudflare (per l'archiviazione, la gestione dei dati, l'infrastruttura cloud e l'esecuzione del software di Giada, sviluppato direttamente da Vivarium S.r.l.) e sistemi di intelligenza artificiale. Tutti questi fornitori implementano misure di sicurezza avanzate e sono vincolati da accordi contrattuali conformi al GDPR (Data Processing Agreement – DPA).
• Crittografia dei dati: I tuoi dati sono protetti tramite crittografia durante la trasmissione e, ove applicabile, a riposo sui sistemi di archiviazione utilizzati (es. Cloudflare).
• Controlli di accesso rigorosi: L'accesso ai dati è limitato secondo il principio del minimo privilegio. Solo il personale autorizzato e strettamente necessario può accedere ai dati, esclusivamente per le finalità definite.

Informativa AI Act (Regolamento UE 2024/1689)

Ai sensi dell'Art. 50 dell'AI Act, si informa l'utente che Giada è un sistema di intelligenza artificiale. Le risposte sono generate automaticamente da algoritmi di AI e possono contenere imprecisioni. L'utente è invitato a verificare le informazioni rilevanti e a non basare decisioni relative alla propria salute esclusivamente sulle indicazioni di Giada.

7. Condivisione dei Dati

I tuoi dati personali NON vengono venduti, noleggiati o ceduti a terzi per scopi di marketing o commerciali.

I dati possono essere condivisi esclusivamente con i seguenti soggetti terzi, che agiscono in qualità di Responsabili del Trattamento (Data Processors), salvo dove diversamente indicato, vincolati da accordi contrattuali conformi al GDPR (DPA):

Piattaforma di Messaggistica (solo Telegram)

Telegram: sul canale Telegram, Giada opera tramite la piattaforma Telegram. I messaggi inviati e ricevuti transitano attraverso i server di Telegram. Ti invitiamo a consultare la Privacy Policy di Telegram per maggiori informazioni.

Piattaforme di Integrazione e Automazione

• Make.com: utilizzato per orchestrare i flussi di messaggi e dati tra i diversi servizi per gli utenti Telegram che utilizzano ancora la versione precedente del servizio.

Fornitori di Intelligenza Artificiale

Utilizziamo modelli di intelligenza artificiale di terze parti per l'elaborazione delle richieste e la generazione delle risposte di Giada. I modelli attualmente utilizzati includono DeepSeek, OpenAI (GPT) e Google (Gemini), a cui accediamo tramite OpenRouter, che instrada ciascuna richiesta verso fornitori di infrastruttura di calcolo selezionati, e, per Gemini, anche direttamente tramite Google. La trascrizione dei messaggi vocali e l'analisi delle immagini avvengono tramite Cloudflare Workers AI. I dati testuali e i parametri necessari (es. informazioni relative alla salute e obiettivi, inclusi i riepiloghi sincronizzati da Apple Salute o Health Connect) possono essere trasmessi a tali fornitori esclusivamente per generare le risposte in tempo reale. I fornitori possono temporaneamente loggare i prompt ai soli fini di monitoraggio degli abusi e applicazione delle proprie policy di sicurezza. Tutti i fornitori sono vincolati da accordi contrattuali conformi al GDPR (Data Processing Agreement – DPA).

Gestione Dati e Infrastruttura Cloud

Cloudflare: Utilizziamo Cloudflare per l'archiviazione, la gestione dei dati, l'infrastruttura cloud del servizio e l'invio delle email relative al tuo account (verifica dell'indirizzo, reimpostazione della password, conferma della cancellazione).

App, Accesso e Notifiche (solo app)

• Apple: distribuisce l'app per iOS, fornisce "Accedi con Apple" (se lo scegli) e recapita le notifiche push tramite il servizio Apple Push Notification.
• Google: distribuisce l'app per Android, fornisce l'accesso con Google (se lo scegli) e recapita le notifiche push tramite Firebase Cloud Messaging.
• Expo (650 Industries, Inc.): inoltra le notifiche push ad Apple e Google e distribuisce gli aggiornamenti dell'app.

Le notifiche push possono contenere informazioni derivanti da quanto condiviso dall'utente con Giada, compresi i dati di Apple Salute e di Health Connect di Google. Puoi disattivare le notifiche o nasconderne l'anteprima dalle impostazioni del dispositivo.

Pagamenti

• Stripe: per gli abbonamenti sottoscritti tramite Telegram o il web. Il pagamento avviene su pagine gestite direttamente da Stripe (Stripe Checkout) e la gestione del metodo di pagamento e dell'abbonamento avviene tramite il portale cliente di Stripe. Stripe agisce come Responsabile del Trattamento quando elabora i pagamenti per nostro conto e come Titolare autonomo per le proprie finalità di prevenzione frodi e adempimento di obblighi normativi (es. antiriciclaggio). Stripe è certificata ai sensi dell'EU-U.S. Data Privacy Framework. Ti invitiamo a consultare la Privacy Policy di Stripe.
• Apple (App Store) e Google (Google Play): per gli abbonamenti sottoscritti nelle app. Apple e Google gestiscono il pagamento, la fatturazione e i rimborsi in qualità di Titolari autonomi, secondo le rispettive informative privacy, e ci comunicano solo lo stato dell'abbonamento e gli identificativi della transazione.

I dati relativi alla tua salute non vengono mai condivisi con Stripe, Apple o Google per finalità di pagamento.

Pubblicità e Misurazione (solo sito giada.care)

Sul sito giada.care utilizziamo strumenti di misurazione pubblicitaria per capire quali annunci portano iscrizioni: Meta Platforms Ireland (Meta Pixel e Conversions API), OpenAI (pixel di misurazione di ChatGPT Ads, attivo sulla relativa pagina promozionale) e Google (tag Google Ads, attivo sulle pagine /mesegratis, /vita-reale e /senza-diario). A Meta e OpenAI trasmettiamo l'evento di compilazione del form, accompagnato da identificatori pseudonimizzati: l'indirizzo e-mail e il nome sono trasmessi esclusivamente in forma di hash SHA-256, mai in chiaro.

Il tag Google Ads si carica all'apertura di queste tre pagine con il consenso per i cookie pubblicitari impostato inizialmente su negato. Anche senza consenso, il tag può inviare a Google segnali senza cookie relativi alla visita e alla registrazione completata. Se acconsenti alla categoria Profilazione e Marketing nel banner, Google può utilizzare cookie pubblicitari per misurare la conversione. A Google non inviamo i campi del form, l'indirizzo e-mail, il nome o dati relativi alla salute, agli obiettivi e alle abitudini alimentari. Non utilizziamo questo tag per creare segmenti di remarketing. Scopri come Google tratta i dati ricevuti dai siti che usano i suoi servizi.

L'attuale configurazione di produzione può caricare i pixel Meta e OpenAI anche prima di una scelta nel banner o dopo il rifiuto dei cookie opzionali. La scelta espressa nel banner viene comunicata al tag Google. Le app non contengono strumenti di pubblicità o di misurazione pubblicitaria.

Comunicazioni Email

Mailchimp: Mailchimp è utilizzato come canale di comunicazione email per inviare comunicazioni informative e di servizio agli utenti.

8. Trasferimento Extra-UE

Parte dei dati, inclusi i contenuti multimediali e i dati del tuo profilo, è conservata su infrastruttura Cloudflare localizzata nell'Unione Europea. Alcuni fornitori, tra cui i fornitori di intelligenza artificiale, Apple, Google, Expo, Stripe, Meta e Mailchimp, e alcuni componenti dell'infrastruttura Cloudflare, operano a livello globale: i dati possono quindi essere trattati al di fuori dell'UE/SEE, in particolare negli Stati Uniti, nel rispetto del Capo V del GDPR tramite Decisioni di adeguatezza (incluso l'EU-U.S. Data Privacy Framework) o Clausole Contrattuali Standard (SCCs).

9. Conservazione e Cancellazione dei Dati

I dati sono conservati per l'intera durata di utilizzo attivo del servizio. In caso di inattività superiore a 6 mesi dall'ultima interazione, tutti i dati personali (inclusi i dati relativi alla salute e alla condizione fisica) vengono cancellati automaticamente.

Puoi chiedere la cancellazione completa del tuo account e dei tuoi dati in qualsiasi momento:

• nelle app: da Impostazioni → Account → Elimina account. Ti invieremo un'email per confermare la richiesta; dopo la conferma l'account viene disattivato subito e tutti i dati vengono cancellati definitivamente entro 30 giorni;
• da qualsiasi canale: scrivendo a [email protected]. La cancellazione verrà eseguita entro 30 giorni dalla richiesta.

La cancellazione dell'account non annulla un abbonamento sottoscritto tramite App Store o Google Play, che va disdetto dalle impostazioni dello store (vedi i Termini di Servizio).

Dati di fatturazione e pagamento: i dati necessari per l'emissione di fatture e ricevute e le scritture contabili sono conservati per 10 anni ai sensi dell'art. 2220 del Codice Civile e della normativa fiscale, anche in caso di cancellazione dell'account o di richiesta di cancellazione dei dati. La cancellazione automatica per inattività e la cancellazione su richiesta non si applicano a questi dati, limitatamente a quanto richiesto dalla legge.

10. Diritti dell'Utente

Hai il diritto di accedere, rettificare, cancellare i tuoi dati, limitare il trattamento, richiedere la portabilità, opporti al trattamento e revocare il consenso in qualsiasi momento.

Per esercitare questi diritti, invia una richiesta a [email protected].

11. Reclami

Se ritieni che il trattamento violi il GDPR, puoi presentare reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it).

12. Valutazione d'Impatto (DPIA)

Il Titolare ha condotto una Valutazione d'Impatto sulla Protezione dei Dati (DPIA) ai sensi dell'Art. 35 GDPR per il trattamento effettuato tramite Giada.

13. Modifiche

La presente informativa può essere aggiornata. Ti informeremo in caso di modifiche rilevanti. L'uso continuato del servizio dopo le modifiche implica l'accettazione. Tutte le versioni precedenti sono consultabili su legal.giada.care/privacy/history.