INFORMATIVA SULLA PROTEZIONE DEI DATI PERSONALI (PRIVACY POLICY)

In vigore dal 2 novembre 2026 · link permanente a questa versione · tutte le versioni

(Conforme Regolamento UE 2016/679 – GDPR e Regolamento UE 2024/1689 – AI Act)

1. Titolare del Trattamento

• Titolare: Vivarium S.r.l.
• Sede Legale: Via Montello 18, 40131, Bologna (BO)
• Partita IVA: 04291881201
• Email di contatto per la privacy: [email protected]
• Paese: Italia (UE)

2. Canali del Servizio

Giada AI Nutritional Coach ("Giada") è disponibile tramite:

• Telegram: il bot @Giadacare_bot e la relativa Mini App;
• App per iOS, distribuita tramite l'App Store di Apple;
• App per Android, distribuita tramite Google Play.

La presente informativa si applica a tutti i canali. Dove un trattamento riguarda un solo canale, è indicato espressamente.

2.1 Pilot nutrizione: questionario, consulto e percorso con professionista

Questa sezione riguarda il percorso proposto su giada.care/nutrizionista e sulla relativa pagina prezzi. Per questi trattamenti si applicano le disposizioni specifiche riportate qui; le altre sezioni continuano a descrivere il servizio Giada e i relativi fornitori.

Dati e finalità

Per richiedere il primo consulto gratuito raccogliamo nome, email, numero WhatsApp, obiettivo, esperienze precedenti e difficoltà quotidiane, sesso, età, altezza e peso. Salviamo inoltre formula di pagamento visualizzata, presentazione dei prezzi prima dell'invio della richiesta, consensi con data e versione dell'informativa, giorno e orario richiesti, stato della richiesta e dati tecnici necessari a gestirla. Il questionario contiene dati relativi alla salute.

Vivarium usa queste informazioni per preparare il consulto, individuare un professionista adatto, gestire prenotazione e riprenotazione e contattarti per conferma, dettagli del professionista e promemoria. La richiesta di uno slot viene registrata come richiesta di appuntamento: conferma e assegnazione del professionista arrivano successivamente su WhatsApp. Durante il pilot queste attività possono essere svolte dal team, con il supporto di Giada.

Se attivi il percorso, trattiamo anche il piano approvato dal professionista, le conversazioni con Giada, i pasti, i progressi e le richieste di seguito, per erogare il servizio e coordinare il supporto professionale. Giada è un sistema di intelligenza artificiale; la valutazione nutrizionale e le decisioni professionali spettano al professionista incaricato.

Basi giuridiche e scelte

La gestione dei recapiti e dell'appuntamento richiesto si fonda sulle misure precontrattuali richieste dall'interessato e, dopo l'attivazione, sull'esecuzione del contratto (art. 6(1)(b) GDPR). Il contatto su WhatsApp viene autorizzato con una scelta specifica nel modulo. Per raccogliere e utilizzare i dati relativi alla salute chiediamo un consenso esplicito e separato (art. 6(1)(a) e art. 9(2)(a) GDPR). Il primo consulto è gratuito; i prezzi del percorso successivo vengono presentati prima dell’invio della richiesta, senza una casella di accettazione del prezzo. La richiesta del consulto lascia la scelta dell’abbonamento al momento successivo all’incontro.

Puoi revocare il consenso scrivendo a [email protected], anche prima del consulto. La revoca lascia valida l'attività già svolta e interrompe i successivi trattamenti basati su quel consenso. Per proseguire un servizio personalizzato che richiede dati di salute occorre una base giuridica appropriata. Richiedere il consulto e autorizzare il contatto di servizio comportano soltanto le comunicazioni relative al percorso richiesto; eventuali comunicazioni promozionali richiedono una scelta ulteriore.

Professionista e accesso ai dati

Il modulo iniziale richiede il tuo consenso esplicito a Vivarium per utilizzare le risposte, compresi i dati di salute, al fine di preparare il consulto e organizzare la condivisione con il professionista incaricato. Il personale Vivarium autorizzato accede alle sole informazioni necessarie a organizzare il percorso. Prima di trasmettere i dati di salute al professionista individuato, ti comunichiamo il suo nome, la qualifica e il riferimento alla sua informativa, e raccogliamo una specifica autorizzazione alla condivisione. Questa autorizzazione viene documentata separatamente dalla richiesta iniziale. Il professionista riceve soltanto i dati pertinenti al consulto e, se attivi il percorso, il piano, i riepiloghi dei progressi e le richieste utili a seguirti. La condivisione rimane limitata al professionista incaricato e alle finalità del tuo percorso.

Per la propria attività sanitaria il professionista, o la struttura sanitaria di riferimento, determina finalità e modalità del trattamento professionale e fornisce la relativa informativa. I ruoli e i riferimenti effettivi ti vengono comunicati prima della presa in carico. Puoi rivolgerti a Vivarium per i dati della prenotazione e del servizio Giada, e al titolare indicato nell'informativa professionale per la documentazione sanitaria di sua competenza.

WhatsApp, archiviazione e misurazione

Su WhatsApp, numero e messaggi transitano tramite la piattaforma di WhatsApp Ireland / Meta, secondo la relativa informativa privacy. Le informazioni cliniche più dettagliate vengono raccolte con modalità concordate con il professionista. Il questionario e le richieste di appuntamento sono archiviati nell'infrastruttura Cloudflare con accesso riservato al personale autorizzato. Nel browser conserviamo soltanto gli identificativi tecnici di sessione necessari a modificare la richiesta.

Su queste pagine usiamo Google Ads, Google Analytics 4 e Meta Pixel per misurare navigazione e richieste di consulto. Google Ads viene caricato con archiviazione pubblicitaria negata e può inviare segnali senza cookie anche prima del consenso; i cookie pubblicitari vengono autorizzati dalla scelta marketing. Google Analytics 4 viene configurato dopo il consenso analitico e Meta Pixel dopo il consenso marketing. Puoi cambiare le preferenze dal pulsante Cookie nel footer. Agli strumenti di misurazione vengono inviati eventi tecnici e, ove previsto, un identificativo casuale dell'evento; nome, email, telefono, risposte al questionario, piano e contenuti delle conversazioni restano esclusi da questi eventi. Gli identificativi pubblicitari presenti nei link delle campagne vengono usati per attribuire le richieste alle campagne.

Conservazione e diritti

Per le richieste che rimangono nella fase preliminare conserviamo questionario e recapiti per il tempo necessario a gestire il consulto e i relativi contatti, con un limite di sei mesi dall'ultima interazione. La cancellazione di questi record viene gestita dal team. Se attivi il percorso, i record del pilot vengono conservati per la durata del percorso e per il tempo necessario a chiudere le richieste, con cancellazione gestita dal team entro sei mesi dall’ultima interazione, salve le esigenze documentali indicate qui. Per i dati dell’account Giada si applicano i criteri descritti nella sezione 9. Le prove dei consensi, le operazioni contrattuali e i dati fiscali vengono conservati nei limiti necessari ai rispettivi obblighi di legge e alla tutela dei diritti.

Puoi richiedere accesso, correzione, cancellazione, portabilità e revoca del consenso a [email protected], indicando il recapito usato per la richiesta. La cancellazione presso Vivarium viene gestita entro 30 giorni; la documentazione sanitaria presso il professionista segue i suoi obblighi di conservazione e la sua informativa. I riferimenti per esercitare i diritti e presentare reclamo sono nelle sezioni 10 e 11.

3. Tipologie di Dati Raccolti

Giada raccoglie esclusivamente i dati forniti volontariamente dall'utente o generati dall'uso del servizio:

• Dati identificativi e di contatto: nome, nickname, email, lingua, fuso orario. Su Telegram: UserID Telegram. Nelle app: le credenziali di accesso (la password è conservata solo in forma cifrata) oppure l'identificativo fornito da Apple o Google se scegli di accedere con "Accedi con Apple" o con Google.
• Dati di piano, abbonamento e pagamento: piano attivo (Free o Premium), formula Premium scelta (mensile o annuale), stato dell'abbonamento, date di attivazione e rinnovo, canale di acquisto e storico delle transazioni. I dati della carta di pagamento sono raccolti e trattati esclusivamente da Stripe, Apple o Google, a seconda del canale di acquisto, e non vengono mai memorizzati né sono accessibili a Vivarium S.r.l. Per gli acquisti tramite App Store o Google Play riceviamo da Apple o Google solo gli identificativi della transazione e lo stato dell'abbonamento. Sul piano Free, durante il periodo iniziale e durante il periodo di prova gratuito non viene raccolto alcun dato di pagamento.
• Dati personali relativi alla salute e alla condizione fisica (Art. 9 GDPR): sesso biologico, data di nascita, peso, altezza, circonferenze, frequenza cardiaca, VO2max, BMR, dati da wearable (se forniti).
• Dati da Apple Salute (HealthKit) e Health Connect (solo app, Art. 9 GDPR): se lo autorizzi dalle impostazioni del tuo dispositivo, l'app legge energia attiva bruciata, allenamenti, passi, peso corporeo, percentuale di massa grassa, sonno, frequenza cardiaca, frequenza cardiaca a riposo e VO2max. I dati vengono letti solo quando tocchi "Sincronizza" e inviati a Giada come riepilogo testuale, trattato come gli altri tuoi messaggi (vedi sezione 7). L'app non scrive mai dati in Apple Salute o Health Connect e non li legge in background.
• Dati su salute e stile di vita (Dati Particolari – Art. 9 GDPR): condizioni mediche, obiettivi fisici/nutrizionali, piani di allenamento/nutrizione, esperienza sportiva, note aggiuntive.
• Contenuti che invii: messaggi di testo, foto (ad esempio dei pasti) e messaggi vocali. Nelle app, l'accesso a fotocamera, foto e microfono avviene solo con il tuo permesso e solo quando scegli di inviare un contenuto.
• Dati di utilizzo del servizio: il numero di messaggi e l'uso delle funzionalità, necessari ad applicare i limiti previsti dal piano attivo.
• Dati tecnici delle app: il token per le notifiche push, la piattaforma (iOS o Android) e le informazioni tecniche necessarie a distribuire gli aggiornamenti dell'app. Le app non raccolgono la tua posizione, non usano identificativi pubblicitari e non ti tracciano tra app e siti di terze parti.

Questi dati, in particolare i dati particolari (Art. 9 GDPR), sono trattati solo con il tuo consenso esplicito.

Dati di Apple Salute e Health Connect: non vengono mai usati per pubblicità o marketing, non vengono venduti né ceduti a terzi, e sono usati esclusivamente per fornirti il servizio di coaching.

4. Finalità del Trattamento

I dati sono trattati per:

• Fornire risposte e piani informativi personalizzati.
• Migliorare l'accuratezza e le funzionalità del servizio (tramite analisi aggregata/pseudonimizzata).
• Garantire il corretto funzionamento e la sicurezza del servizio.
• Gestire il tuo account e l'accesso da più canali.
• Inviarti notifiche relative al servizio, se le hai autorizzate.
• Gestire il piano attivo (Free o Premium), compresi gli eventuali limiti di utilizzo previsti dal piano.
• Gestire l'abbonamento Premium: attivazione, fatturazione, rinnovi, assistenza sui pagamenti e prevenzione delle frodi.
• Adempiere agli obblighi legali in materia fiscale e contabile.

5. Base Giuridica

Il trattamento si basa sul Consenso esplicito dell'utente (Art. 6(1)(a) e Art. 9(2)(a) GDPR) per tutti i dati, e sull'esecuzione del servizio richiesto (Art. 6(1)(b) GDPR) per i dati strettamente necessari.

Per i dati di piano, di utilizzo del servizio, di abbonamento e di pagamento, il trattamento si basa sull'esecuzione del contratto (Art. 6(1)(b) GDPR), sull'adempimento di obblighi legali fiscali e contabili (Art. 6(1)(c) GDPR) e sul legittimo interesse alla prevenzione delle frodi (Art. 6(1)(f) GDPR). Per questi trattamenti non è richiesto il consenso e la sua revoca non li interrompe, in quanto necessari all'erogazione del piano attivo e dell'abbonamento Premium e al rispetto della legge.

Revoca del Consenso: Puoi revocare il consenso in qualsiasi momento inviando una richiesta a [email protected]. Puoi inoltre revocare in ogni momento l'accesso dell'app ad Apple Salute, Health Connect, fotocamera, foto, microfono e notifiche dalle impostazioni del tuo dispositivo.

6. Modalità di Trattamento

Il trattamento dei tuoi dati personali avviene attraverso strumenti digitali e procedure automatizzate, gestite tramite una catena di servizi interconnessi. Adottiamo misure di sicurezza tecniche e organizzative per proteggere i dati dalla distruzione accidentale o illecita, dalla perdita, dall'alterazione, dalla divulgazione o dall'accesso non autorizzati. Queste misure includono, ma non si limitano a:

• Sicurezza dei fornitori principali: Ci affidiamo a fornitori di servizi leader nel settore, come Cloudflare (per l'archiviazione, la gestione dei dati, l'infrastruttura cloud e l'esecuzione del software di Giada, sviluppato direttamente da Vivarium S.r.l.) e sistemi di intelligenza artificiale. Tutti questi fornitori implementano misure di sicurezza avanzate e sono vincolati da accordi contrattuali conformi al GDPR (Data Processing Agreement – DPA).
• Crittografia dei dati: I tuoi dati sono protetti tramite crittografia durante la trasmissione e, ove applicabile, a riposo sui sistemi di archiviazione utilizzati (es. Cloudflare).
• Controlli di accesso rigorosi: L'accesso ai dati è limitato secondo il principio del minimo privilegio. Solo il personale autorizzato e strettamente necessario può accedere ai dati, esclusivamente per le finalità definite.

Informativa AI Act (Regolamento UE 2024/1689)

Ai sensi dell'Art. 50 dell'AI Act, si informa l'utente che Giada è un sistema di intelligenza artificiale. Le risposte sono generate automaticamente da algoritmi di AI e possono contenere imprecisioni. L'utente è invitato a verificare le informazioni rilevanti e a non basare decisioni relative alla propria salute esclusivamente sulle indicazioni di Giada.

7. Condivisione dei Dati

I tuoi dati personali NON vengono venduti, noleggiati o ceduti a terzi per scopi di marketing o commerciali.

I dati possono essere condivisi esclusivamente con i seguenti soggetti terzi, che agiscono in qualità di Responsabili del Trattamento (Data Processors), salvo dove diversamente indicato, vincolati da accordi contrattuali conformi al GDPR (DPA):

Piattaforma di Messaggistica (solo Telegram)

Telegram: sul canale Telegram, Giada opera tramite la piattaforma Telegram. I messaggi inviati e ricevuti transitano attraverso i server di Telegram. Ti invitiamo a consultare la Privacy Policy di Telegram per maggiori informazioni.

Piattaforme di Integrazione e Automazione

• Make.com: utilizzato per orchestrare i flussi di messaggi e dati tra i diversi servizi per gli utenti Telegram che utilizzano ancora la versione precedente del servizio.

Fornitori di Intelligenza Artificiale

Utilizziamo modelli di intelligenza artificiale di terze parti per l'elaborazione delle richieste e la generazione delle risposte di Giada. I modelli attualmente utilizzati includono DeepSeek, OpenAI (GPT) e Google (Gemini), a cui accediamo tramite OpenRouter, che instrada ciascuna richiesta verso fornitori di infrastruttura di calcolo selezionati, e, per Gemini, anche direttamente tramite Google. La trascrizione dei messaggi vocali e l'analisi delle immagini avvengono tramite Cloudflare Workers AI. I dati testuali e i parametri necessari (es. informazioni relative alla salute e obiettivi, inclusi i riepiloghi sincronizzati da Apple Salute o Health Connect) possono essere trasmessi a tali fornitori esclusivamente per generare le risposte in tempo reale. I fornitori possono temporaneamente loggare i prompt ai soli fini di monitoraggio degli abusi e applicazione delle proprie policy di sicurezza. Tutti i fornitori sono vincolati da accordi contrattuali conformi al GDPR (Data Processing Agreement – DPA).

Gestione Dati e Infrastruttura Cloud

Cloudflare: Utilizziamo Cloudflare per l'archiviazione, la gestione dei dati, l'infrastruttura cloud del servizio e l'invio delle email relative al tuo account (verifica dell'indirizzo, reimpostazione della password, conferma della cancellazione).

App, Accesso e Notifiche (solo app)

• Apple: distribuisce l'app per iOS, fornisce "Accedi con Apple" (se lo scegli) e recapita le notifiche push tramite il servizio Apple Push Notification.
• Google: distribuisce l'app per Android, fornisce l'accesso con Google (se lo scegli) e recapita le notifiche push tramite Firebase Cloud Messaging.
• Expo (650 Industries, Inc.): inoltra le notifiche push ad Apple e Google e distribuisce gli aggiornamenti dell'app.

Le notifiche push possono contenere informazioni derivanti da quanto condiviso dall'utente con Giada, compresi i dati di Apple Salute e di Health Connect di Google. Puoi disattivare le notifiche o nasconderne l'anteprima dalle impostazioni del dispositivo.

Pagamenti

• Stripe: per gli abbonamenti sottoscritti tramite Telegram o il web. Il pagamento avviene su pagine gestite direttamente da Stripe (Stripe Checkout) e la gestione del metodo di pagamento e dell'abbonamento avviene tramite il portale cliente di Stripe. Stripe agisce come Responsabile del Trattamento quando elabora i pagamenti per nostro conto e come Titolare autonomo per le proprie finalità di prevenzione frodi e adempimento di obblighi normativi (es. antiriciclaggio). Stripe è certificata ai sensi dell'EU-U.S. Data Privacy Framework. Ti invitiamo a consultare la Privacy Policy di Stripe.
• Apple (App Store) e Google (Google Play): per gli abbonamenti sottoscritti nelle app. Apple e Google gestiscono il pagamento, la fatturazione e i rimborsi in qualità di Titolari autonomi, secondo le rispettive informative privacy, e ci comunicano solo lo stato dell'abbonamento e gli identificativi della transazione.

I dati relativi alla tua salute non vengono mai condivisi con Stripe, Apple o Google per finalità di pagamento.

Pubblicità e Misurazione (solo sito giada.care)

Sul sito giada.care utilizziamo strumenti di misurazione pubblicitaria per capire quali annunci portano iscrizioni: Meta Platforms Ireland (Meta Pixel e Conversions API), OpenAI (pixel di misurazione di ChatGPT Ads, attivo sulla relativa pagina promozionale) e Google (tag Google Ads, attivo sulle pagine /mesegratis, /vita-reale, /senza-diario e /chat). A Meta e OpenAI trasmettiamo l'evento di compilazione del form, accompagnato da identificatori pseudonimizzati: l'indirizzo e-mail e il nome sono trasmessi esclusivamente in forma di hash SHA-256, mai in chiaro.

Il tag Google Ads si carica all'apertura di queste quattro pagine con il consenso per i cookie pubblicitari impostato inizialmente su negato. Anche senza consenso, il tag può inviare a Google segnali senza cookie relativi alla visita e alla registrazione completata. Se acconsenti alla categoria Profilazione e Marketing nel banner, Google può utilizzare cookie pubblicitari per misurare la conversione. A Google non inviamo i campi del form, l'indirizzo e-mail, il nome o dati relativi alla salute, agli obiettivi e alle abitudini alimentari. Non utilizziamo questo tag per creare segmenti di remarketing. Scopri come Google tratta i dati ricevuti dai siti che usano i suoi servizi.

L'attuale configurazione di produzione può caricare i pixel Meta e OpenAI anche prima di una scelta nel banner o dopo il rifiuto dei cookie opzionali. La scelta espressa nel banner viene comunicata al tag Google. Le app non contengono strumenti di pubblicità o di misurazione pubblicitaria.

Comunicazioni Email

Resend (Plus Five Five, Inc.): utilizziamo Resend per recapitare le email relative all’attivazione e all’utilizzo delle app Giada, compresi il link per scaricare l’app e i messaggi di accompagnamento alla richiesta. Resend tratta per nostro conto indirizzo email, nome, contenuto dei messaggi, identificativi tecnici e dati relativi a invio, consegna, rimbalzi, reclami e disiscrizione, secondo il proprio accordo sul trattamento dei dati (DPA). I contenuti clinici delle conversazioni, i piani personalizzati e i dati provenienti da Apple Salute e Health Connect restano esclusi da queste email di attivazione. Puoi interrompere la sequenza dal link di disiscrizione presente nei messaggi.

Mailchimp: utilizziamo Mailchimp per le comunicazioni email e le sequenze ancora attive sul servizio, comprese le email già programmate durante la migrazione a Resend. Le preferenze di disiscrizione vengono mantenute tra i canali di invio per rispettare la tua scelta.

8. Trasferimento Extra-UE

Parte dei dati, inclusi i contenuti multimediali e i dati del tuo profilo, è conservata su infrastruttura Cloudflare localizzata nell'Unione Europea. Alcuni fornitori, tra cui i fornitori di intelligenza artificiale, Apple, Google, Expo, Stripe, Meta, Mailchimp e Resend, e alcuni componenti dell'infrastruttura Cloudflare, operano a livello globale: i dati possono quindi essere trattati al di fuori dell'UE/SEE, in particolare negli Stati Uniti, nel rispetto del Capo V del GDPR tramite Decisioni di adeguatezza (incluso l'EU-U.S. Data Privacy Framework) o Clausole Contrattuali Standard (SCCs).

Per Resend, i dati memorizzati, compresi contenuto delle email e log, sono conservati negli Stati Uniti. La scelta di una regione europea di invio determina il luogo da cui partono le email. I trasferimenti verso Resend sono disciplinati dalle Clausole Contrattuali Standard incluse nel DPA; il fornitore aderisce inoltre all’EU-U.S. Data Privacy Framework. I suoi fornitori autorizzati sono elencati nella lista dei sub-responsabili.

9. Conservazione e Cancellazione dei Dati

I dati sono conservati per l'intera durata di utilizzo attivo del servizio. In caso di inattività superiore a 6 mesi dall'ultima interazione, tutti i dati personali (inclusi i dati relativi alla salute e alla condizione fisica) vengono cancellati automaticamente.

Per il servizio email Resend, il piano utilizzato prevede una conservazione di 30 giorni dei contenuti delle email e dei relativi log, secondo i criteri dichiarati dal fornitore. Giada conserva separatamente i riferimenti ai consensi, agli esiti degli invii e alle preferenze di disiscrizione per gestire le comunicazioni richieste e rispettare le scelte espresse.

Puoi chiedere la cancellazione completa del tuo account e dei tuoi dati in qualsiasi momento:

• nelle app: da Impostazioni → Account → Elimina account. Ti invieremo un'email per confermare la richiesta; dopo la conferma l'account viene disattivato subito e tutti i dati vengono cancellati definitivamente entro 30 giorni;
• da qualsiasi canale: scrivendo a [email protected]. La cancellazione verrà eseguita entro 30 giorni dalla richiesta.

La cancellazione dell'account non annulla un abbonamento sottoscritto tramite App Store o Google Play, che va disdetto dalle impostazioni dello store (vedi i Termini di Servizio).

Dati di fatturazione e pagamento: i dati necessari per l'emissione di fatture e ricevute e le scritture contabili sono conservati per 10 anni ai sensi dell'art. 2220 del Codice Civile e della normativa fiscale, anche in caso di cancellazione dell'account o di richiesta di cancellazione dei dati. La cancellazione automatica per inattività e la cancellazione su richiesta non si applicano a questi dati, limitatamente a quanto richiesto dalla legge.

10. Diritti dell'Utente

Hai il diritto di accedere, rettificare, cancellare i tuoi dati, limitare il trattamento, richiedere la portabilità, opporti al trattamento e revocare il consenso in qualsiasi momento.

Per esercitare questi diritti, invia una richiesta a [email protected].

11. Reclami

Se ritieni che il trattamento violi il GDPR, puoi presentare reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it).

12. Valutazione d'Impatto (DPIA)

Il Titolare ha condotto una Valutazione d'Impatto sulla Protezione dei Dati (DPIA) ai sensi dell'Art. 35 GDPR per il trattamento effettuato tramite Giada.

13. Modifiche

La presente informativa può essere aggiornata. Ti informeremo in caso di modifiche rilevanti. L'uso continuato del servizio dopo le modifiche implica l'accettazione. Tutte le versioni precedenti sono consultabili su legal.giada.care/privacy/history.