Giada · Documenti legali

INFORMATIVA SULLA PROTEZIONE DEI DATI PERSONALI (PRIVACY POLICY)

In vigore dal 6 novembre 2026 · link permanente a questa versione · tutte le versioni

Questa versione non è più in vigore. Leggi la versione in vigore.

(Conforme Regolamento UE 2016/679 – GDPR e Regolamento UE 2024/1689 – AI Act)

1. Titolare del Trattamento

2. Canali del Servizio

Giada AI Nutritional Coach ("Giada") è disponibile tramite:

La presente informativa si applica a tutti i canali. Dove un trattamento riguarda un solo canale, è indicato espressamente.

2.1 Pilot nutrizione: questionario, consulto e percorso con professionista

Questa sezione riguarda il percorso proposto su giada.care/nutrizionista e sulla relativa pagina prezzi. Per questi trattamenti si applicano le disposizioni specifiche riportate qui; le altre sezioni continuano a descrivere il servizio Giada e i relativi fornitori.

Dati e finalità

Per richiedere il primo consulto gratuito raccogliamo nome, email, numero WhatsApp, obiettivo, esperienze precedenti e difficoltà quotidiane, sesso, età, altezza e peso. Salviamo inoltre formula di pagamento visualizzata, presentazione dei prezzi prima dell'invio della richiesta, consensi con data e versione dell'informativa, giorno e orario richiesti, stato della richiesta e dati tecnici necessari a gestirla. Il questionario contiene dati relativi alla salute.

Vivarium usa queste informazioni per preparare il consulto, individuare un professionista adatto, gestire prenotazione e riprenotazione e contattarti per conferma, dettagli del professionista e promemoria. La richiesta di uno slot viene registrata come richiesta di appuntamento: conferma e assegnazione del professionista arrivano successivamente su WhatsApp. Durante il pilot queste attività possono essere svolte dal team, con il supporto di Giada.

Quando salvi i recapiti, conserviamo sul server per sette giorni il modulo incompleto, con recapiti, avanzamento e risposte al questionario, compresi i dati relativi alla salute, così puoi completare la richiesta anche da un altro dispositivo. Se ti interrompi, ricevi fino a due promemoria via email con il link per riprendere e il team Giada può contattarti via email, telefono o WhatsApp per aiutarti a completarla. Il team vede recapiti e avanzamento, non le risposte. Il link presente in ogni email interrompe promemoria e contatti e cancella subito recapiti, risposte e avanzamento del modulo incompleto.

Se attivi il percorso, trattiamo anche il piano approvato dal professionista, le conversazioni con Giada, i pasti, i progressi e le richieste di seguito, per erogare il servizio e coordinare il supporto professionale. Giada è un sistema di intelligenza artificiale; la valutazione nutrizionale e le decisioni professionali spettano al professionista incaricato.

Basi giuridiche e scelte

La gestione dei recapiti e dell'appuntamento richiesto si fonda sulle misure precontrattuali richieste dall'interessato e, dopo l'attivazione, sull'esecuzione del contratto (art. 6(1)(b) GDPR). Il contatto su WhatsApp viene autorizzato con una scelta specifica nel modulo. Per raccogliere e utilizzare i dati relativi alla salute chiediamo un consenso esplicito e separato (art. 6(1)(a) e art. 9(2)(a) GDPR), all'inizio del modulo e prima delle domande. Lo stesso consenso è la base del modulo incompleto: salvataggio per sette giorni, promemoria e contatto del team per completare la richiesta. Il primo consulto è gratuito; i prezzi del percorso successivo vengono presentati prima dell’invio della richiesta, senza una casella di accettazione del prezzo. La richiesta del consulto lascia la scelta dell’abbonamento al momento successivo all’incontro.

Puoi revocare il consenso scrivendo a [email protected], anche prima del consulto, e per il modulo incompleto anche dal link presente in ogni email. La revoca lascia valida l'attività già svolta e interrompe i successivi trattamenti basati su quel consenso. Per proseguire un servizio personalizzato che richiede dati di salute occorre una base giuridica appropriata. Richiedere il consulto e autorizzare il contatto di servizio comportano soltanto le comunicazioni relative al percorso richiesto; eventuali comunicazioni promozionali richiedono una scelta ulteriore.

Professionista e accesso ai dati

Il modulo iniziale richiede il tuo consenso esplicito a Vivarium per utilizzare le risposte, compresi i dati di salute, al fine di preparare il consulto e organizzare la condivisione con il professionista incaricato. Il personale Vivarium autorizzato accede alle sole informazioni necessarie a organizzare il percorso. Prima di trasmettere i dati di salute al professionista individuato, ti comunichiamo il suo nome, la qualifica e il riferimento alla sua informativa, e raccogliamo una specifica autorizzazione alla condivisione. Questa autorizzazione viene documentata separatamente dalla richiesta iniziale. Il professionista riceve soltanto i dati pertinenti al consulto e, se attivi il percorso, il piano, i riepiloghi dei progressi e le richieste utili a seguirti. La condivisione rimane limitata al professionista incaricato e alle finalità del tuo percorso.

Per la propria attività sanitaria il professionista, o la struttura sanitaria di riferimento, determina finalità e modalità del trattamento professionale e fornisce la relativa informativa. I ruoli e i riferimenti effettivi ti vengono comunicati prima della presa in carico. Puoi rivolgerti a Vivarium per i dati della prenotazione e del servizio Giada, e al titolare indicato nell'informativa professionale per la documentazione sanitaria di sua competenza.

WhatsApp, archiviazione e misurazione

Su WhatsApp, numero e messaggi transitano tramite la piattaforma di WhatsApp Ireland / Meta, secondo la relativa informativa privacy. Le informazioni cliniche più dettagliate vengono raccolte con modalità concordate con il professionista. Il questionario e le richieste di appuntamento sono archiviati nell'infrastruttura Cloudflare con accesso riservato al personale autorizzato. Le risposte del modulo incompleto sono conservate sul server per sette giorni. Nel browser conserviamo, fino alla chiusura della scheda, recapiti, avanzamento e gli identificativi tecnici di sessione necessari a completare o modificare la richiesta.

Su queste pagine usiamo Google Ads, Google Analytics 4 e Meta Pixel per misurare navigazione e richieste di consulto. Google Ads viene caricato con archiviazione pubblicitaria negata e può inviare segnali senza cookie anche prima del consenso; i cookie pubblicitari vengono autorizzati dalla scelta marketing. Google Analytics 4 viene configurato dopo il consenso analitico e Meta Pixel dopo il consenso marketing. Puoi cambiare le preferenze dal pulsante Cookie nel footer. Agli strumenti di misurazione vengono inviati eventi tecnici e, ove previsto, un identificativo casuale dell'evento; nome, email, telefono, risposte al questionario, piano e contenuti delle conversazioni restano esclusi da questi eventi. Gli identificativi pubblicitari presenti nei link delle campagne vengono usati per attribuire le richieste alle campagne.

Conservazione e diritti

Il modulo incompleto viene conservato per sette giorni dal primo salvataggio. Alla scadenza, oppure subito se usi il link di interruzione, cancelliamo recapiti, risposte e avanzamento. Conserviamo la prova del consenso e dell’interruzione nei limiti necessari a documentare le scelte e rispettarle. Se invii la richiesta, i dati necessari passano alla gestione del consulto descritta qui sotto. Per le richieste che rimangono nella fase preliminare conserviamo questionario e recapiti per il tempo necessario a gestire il consulto e i relativi contatti, con un limite di sei mesi dall'ultima interazione. La cancellazione di questi record viene gestita dal team. Se attivi il percorso, i record del pilot vengono conservati per la durata del percorso e per il tempo necessario a chiudere le richieste, con cancellazione gestita dal team entro sei mesi dall’ultima interazione, salve le esigenze documentali indicate qui. Per i dati dell’account Giada si applicano i criteri descritti nella sezione 9. Le prove dei consensi, le operazioni contrattuali e i dati fiscali vengono conservati nei limiti necessari ai rispettivi obblighi di legge e alla tutela dei diritti.

Puoi richiedere accesso, correzione, cancellazione, portabilità e revoca del consenso a [email protected], indicando il recapito usato per la richiesta. La cancellazione presso Vivarium viene gestita entro 30 giorni; la documentazione sanitaria presso il professionista segue i suoi obblighi di conservazione e la sua informativa. I riferimenti per esercitare i diritti e presentare reclamo sono nelle sezioni 10 e 11.

3. Tipologie di Dati Raccolti

Giada raccoglie esclusivamente i dati forniti volontariamente dall'utente o generati dall'uso del servizio:

Questi dati, in particolare i dati particolari (Art. 9 GDPR), sono trattati solo con il tuo consenso esplicito.

Dati di Apple Salute e Health Connect: non vengono mai usati per pubblicità o marketing, non vengono venduti né ceduti a terzi, e sono usati esclusivamente per fornirti il servizio di coaching.

4. Finalità del Trattamento

I dati sono trattati per:

5. Base Giuridica

Il trattamento si basa sul Consenso esplicito dell'utente (Art. 6(1)(a) e Art. 9(2)(a) GDPR) per tutti i dati, e sull'esecuzione del servizio richiesto (Art. 6(1)(b) GDPR) per i dati strettamente necessari.

Per i dati di piano, di utilizzo del servizio, di abbonamento e di pagamento, il trattamento si basa sull'esecuzione del contratto (Art. 6(1)(b) GDPR), sull'adempimento di obblighi legali fiscali e contabili (Art. 6(1)(c) GDPR) e sul legittimo interesse alla prevenzione delle frodi (Art. 6(1)(f) GDPR). Per questi trattamenti non è richiesto il consenso e la sua revoca non li interrompe, in quanto necessari all'erogazione del piano attivo e dell'abbonamento Premium e al rispetto della legge.

Il conteggio delle installazioni si basa sul legittimo interesse di Vivarium S.r.l. a sapere quante installazioni delle app diventano iscrizioni (Art. 6(1)(f) GDPR). Il conteggio non contiene identificativi, non è collegato al tuo account e non è usato per la pubblicità.

La misurazione pubblicitaria nelle app si basa sul tuo consenso (Art. 6(1)(a) GDPR). Puoi revocarlo in ogni momento dall'app, in Impostazioni → Pubblicità.

Revoca del Consenso: Puoi revocare il consenso in qualsiasi momento inviando una richiesta a [email protected] oppure, nelle app, eliminando l'account da Impostazioni → Account → Elimina account (con un account ospite, Impostazioni → Account → Elimina i miei dati): i trattamenti basati sul consenso si interrompono subito. Puoi inoltre revocare in ogni momento l'accesso dell'app ad Apple Salute, Health Connect, fotocamera, foto, microfono e notifiche dalle impostazioni del tuo dispositivo.

6. Modalità di Trattamento

Il trattamento dei tuoi dati personali avviene attraverso strumenti digitali e procedure automatizzate, gestite tramite una catena di servizi interconnessi. Adottiamo misure di sicurezza tecniche e organizzative per proteggere i dati dalla distruzione accidentale o illecita, dalla perdita, dall'alterazione, dalla divulgazione o dall'accesso non autorizzati. Queste misure includono, ma non si limitano a:

Informativa AI Act (Regolamento UE 2024/1689)

Ai sensi dell'Art. 50 dell'AI Act, si informa l'utente che Giada è un sistema di intelligenza artificiale. Le risposte sono generate automaticamente da algoritmi di AI e possono contenere imprecisioni. L'utente è invitato a verificare le informazioni rilevanti e a non basare decisioni relative alla propria salute esclusivamente sulle indicazioni di Giada.

7. Condivisione dei Dati

I tuoi dati personali NON vengono venduti, noleggiati o ceduti a terzi per scopi di marketing o commerciali.

I dati possono essere condivisi esclusivamente con i seguenti soggetti terzi, che agiscono in qualità di Responsabili del Trattamento (Data Processors), salvo dove diversamente indicato, vincolati da accordi contrattuali conformi al GDPR (DPA):

Piattaforma di Messaggistica (solo Telegram)

Telegram: sul canale Telegram, Giada opera tramite la piattaforma Telegram. I messaggi inviati e ricevuti transitano attraverso i server di Telegram. Ti invitiamo a consultare la Privacy Policy di Telegram per maggiori informazioni.

Piattaforme di Integrazione e Automazione

Fornitori di Intelligenza Artificiale

Utilizziamo modelli di intelligenza artificiale di terze parti per l'elaborazione delle richieste e la generazione delle risposte di Giada. I modelli attualmente utilizzati includono DeepSeek, OpenAI (GPT) e Google (Gemini), a cui accediamo tramite OpenRouter, che instrada ciascuna richiesta verso fornitori di infrastruttura di calcolo selezionati (per DeepSeek: DeepInfra, Reka, DigitalOcean, CoreWeave e Venice), e, per Gemini, anche direttamente tramite Google. Le richieste ai modelli passano dal servizio AI Gateway di Cloudflare, che può registrarle insieme alle risposte per il monitoraggio tecnico del servizio. La trascrizione dei messaggi vocali e l'analisi delle immagini avvengono tramite Cloudflare Workers AI. I dati testuali e i parametri necessari (es. informazioni relative alla salute e obiettivi, inclusi i riepiloghi sincronizzati da Apple Salute o Health Connect) possono essere trasmessi a tali fornitori esclusivamente per generare le risposte in tempo reale. I fornitori possono temporaneamente loggare i prompt ai soli fini di monitoraggio degli abusi e applicazione delle proprie policy di sicurezza. Tutti i fornitori sono vincolati da accordi contrattuali conformi al GDPR (Data Processing Agreement – DPA).

Gestione Dati e Infrastruttura Cloud

Cloudflare: Utilizziamo Cloudflare per l'archiviazione, la gestione dei dati, l'infrastruttura cloud del servizio e l'invio delle email relative al tuo account (verifica dell'indirizzo, reimpostazione della password, conferma della cancellazione).

App, Accesso e Notifiche (solo app)

Le notifiche push possono contenere informazioni derivanti da quanto condiviso dall'utente con Giada, compresi i dati di Apple Salute e di Health Connect di Google. Puoi disattivare le notifiche o nasconderne l'anteprima dalle impostazioni del dispositivo.

Pagamenti

I dati relativi alla tua salute non vengono mai condivisi con Stripe, Apple o Google per finalità di pagamento.

Pubblicità e Misurazione

Sul sito giada.care

Sul sito giada.care utilizziamo strumenti di misurazione pubblicitaria per capire quali annunci portano iscrizioni: Meta Platforms Ireland (Meta Pixel e Conversions API), OpenAI (pixel di misurazione di ChatGPT Ads, attivo sulla relativa pagina promozionale) e Google (tag Google Ads, attivo sulle pagine /mesegratis, /vita-reale, /senza-diario e /chat). A Meta e OpenAI trasmettiamo l'evento di compilazione del form, accompagnato da identificatori pseudonimizzati: l'indirizzo e-mail e il nome sono trasmessi esclusivamente in forma di hash SHA-256, mai in chiaro. Meta Pixel, che si attiva solo con il consenso alla categoria Profilazione e Marketing, riceve anche le visite alle pagine: oltre a misurare le conversioni, queste informazioni possono servire a creare segmenti di pubblico personalizzati (ad esempio chi ha visitato il sito) a cui mostrare i nostri annunci su Facebook e Instagram, come indicato nella Cookie Policy.

Il tag Google Ads si carica all'apertura di queste quattro pagine con il consenso per i cookie pubblicitari impostato inizialmente su negato. Anche senza consenso, il tag può inviare a Google segnali senza cookie relativi alla visita e alla registrazione completata. Se acconsenti alla categoria Profilazione e Marketing nel banner, Google può utilizzare cookie pubblicitari per misurare la conversione. A Google non inviamo i campi del form, l'indirizzo e-mail, il nome o dati relativi alla salute, agli obiettivi e alle abitudini alimentari. Non utilizziamo questo tag per creare segmenti di remarketing. Scopri come Google tratta i dati ricevuti dai siti che usano i suoi servizi.

La scelta espressa nel banner viene comunicata al tag Google.

Nelle app

Nelle app usiamo AppsFlyer (AppsFlyer Ltd.) per capire quali annunci di Meta e Google portano nuove persone su Giada. La misurazione funziona solo se acconsenti nella schermata «Privacy e pubblicità», che l'app mostra al primo utilizzo e che puoi riaprire da Impostazioni → Pubblicità. Su iOS serve anche il permesso di tracciamento che iOS ti chiede subito dopo. Senza il tuo consenso AppsFlyer non si avvia.

Con il tuo consenso trattiamo l'identificativo dell'installazione assegnato da AppsFlyer, l'identificativo pubblicitario del dispositivo (su iOS l'IDFA, solo se consenti il tracciamento; su Android l'ID pubblicità), su iOS l'identificativo per il fornitore (IDFV) e lo stato del permesso di tracciamento, la versione del sistema operativo, l'indirizzo IP e un identificativo casuale che assegniamo al tuo account. Comunichiamo ad AppsFlyer l'installazione e due eventi: la fine del percorso iniziale (onboarding) e la prima registrazione di un pasto. Gli eventi non contengono email, nome, cosa mangi o dati relativi alla salute.

AppsFlyer agisce come Responsabile del Trattamento e trasmette questi dati a Meta Platforms Ireland e Google Ireland, che li usano per misurare le campagne secondo le rispettive informative privacy. Se selezioni l'opzione dedicata nella stessa schermata, Google può usarli anche per mostrarti pubblicità personalizzate.

Su iOS, se acconsenti nella schermata «Privacy e pubblicità», l'app usa anche SKAdNetwork di Apple: Apple comunica alla rete pubblicitaria, in forma aggregata e senza identificativi, se un annuncio ha portato a un'installazione, alla fine del percorso iniziale e alla prima registrazione di un pasto.

Puoi cambiare scelta in ogni momento da Impostazioni → Pubblicità. Dopo un rifiuto AppsFlyer si ferma, non comunichiamo più eventi e cancelliamo gli identificativi del dispositivo, tranne l'identificativo dell'installazione assegnato da AppsFlyer, che ci serve per chiedere la cancellazione. Su iOS puoi anche revocare il permesso di tracciamento dalle impostazioni del dispositivo. Quando cancelli l'account, chiediamo ad AppsFlyer di cancellare i dati delle tue installazioni.

Strumenti del Team e Grafici

Comunicazioni Email

Resend (Plus Five Five, Inc.): utilizziamo Resend per recapitare le email relative all’attivazione e all’utilizzo delle app Giada, compresi il link per scaricare l’app e i messaggi di accompagnamento alla richiesta. Resend tratta per nostro conto indirizzo email, nome, contenuto dei messaggi, identificativi tecnici e dati relativi a invio, consegna, rimbalzi, reclami e disiscrizione, secondo il proprio accordo sul trattamento dei dati (DPA). I contenuti clinici delle conversazioni, i piani personalizzati e i dati provenienti da Apple Salute e Health Connect restano esclusi da queste email di attivazione. Puoi interrompere la sequenza dal link di disiscrizione presente nei messaggi.

Mailchimp: utilizziamo Mailchimp per le comunicazioni email e le sequenze ancora attive sul servizio, comprese le email già programmate durante la migrazione a Resend. Le preferenze di disiscrizione vengono mantenute tra i canali di invio per rispettare la tua scelta.

8. Trasferimento Extra-UE

Parte dei dati, inclusi i contenuti multimediali e i dati del tuo profilo, è conservata su infrastruttura Cloudflare localizzata nell'Unione Europea. Alcuni fornitori, tra cui i fornitori di intelligenza artificiale, Apple, Google, Expo, Stripe, Meta, AppsFlyer, Mailchimp, Resend, Slack e QuickChart, e alcuni componenti dell'infrastruttura Cloudflare, operano a livello globale: i dati possono quindi essere trattati al di fuori dell'UE/SEE, in particolare negli Stati Uniti, nel rispetto del Capo V del GDPR tramite Decisioni di adeguatezza (incluso l'EU-U.S. Data Privacy Framework) o Clausole Contrattuali Standard (SCCs).

Per Resend, i dati memorizzati, compresi contenuto delle email e log, sono conservati negli Stati Uniti. La scelta di una regione europea di invio determina il luogo da cui partono le email. I trasferimenti verso Resend sono disciplinati dalle Clausole Contrattuali Standard incluse nel DPA; il fornitore aderisce inoltre all’EU-U.S. Data Privacy Framework. I suoi fornitori autorizzati sono elencati nella lista dei sub-responsabili.

AppsFlyer ha sede in Israele, Paese per cui la Commissione europea ha adottato una decisione di adeguatezza. I trasferimenti di AppsFlyer verso gli Stati Uniti sono disciplinati dalle Clausole Contrattuali Standard previste dal suo accordo sul trattamento dei dati.

9. Conservazione e Cancellazione dei Dati

I dati sono conservati per l'intera durata di utilizzo attivo del servizio. In caso di inattività superiore a 6 mesi dall'ultima interazione, tutti i dati personali (inclusi i dati relativi alla salute e alla condizione fisica) vengono cancellati automaticamente.

Account ospite (solo app). Se usi l'app senza registrarti, raggiungi i tuoi dati solo dall'app, tramite la sessione salvata sul tuo telefono. La sessione scade dopo 30 giorni in cui non apri l'app con una connessione attiva: da quel momento non puoi più accedere a quei dati. Per questo, quando la sessione è scaduta, disattiviamo l'account ospite e ne cancelliamo definitivamente tutti i dati, compresi quelli relativi alla salute e alla condizione fisica, al più tardi entro i 30 giorni successivi. Se prima crei l'account, confermando l'email o accedendo con Apple o Google, i dati restano tuoi e si applicano gli altri criteri di questa sezione.

Per il servizio email Resend, il piano utilizzato prevede una conservazione di 30 giorni dei contenuti delle email e dei relativi log, secondo i criteri dichiarati dal fornitore. Giada conserva separatamente i riferimenti ai consensi, agli esiti degli invii e alle preferenze di disiscrizione per gestire le comunicazioni richieste e rispettare le scelte espresse.

I singoli conteggi delle installazioni sono conservati per tre mesi. Dopo, conserviamo solo i totali di ogni giorno.

Puoi chiedere la cancellazione completa del tuo account e dei tuoi dati in qualsiasi momento:

Le copie di sicurezza dell'infrastruttura servono solo a ripristinare il servizio in caso di guasto e si rinnovano automaticamente: i dati cancellati scompaiono anche da queste copie entro 30 giorni dalla cancellazione.

La cancellazione dell'account non annulla un abbonamento sottoscritto tramite App Store o Google Play, che va disdetto dalle impostazioni dello store (vedi i Termini di Servizio).

Dati di fatturazione e pagamento: i dati necessari per l'emissione di fatture e ricevute e le scritture contabili sono conservati per 10 anni ai sensi dell'art. 2220 del Codice Civile e della normativa fiscale, anche in caso di cancellazione dell'account o di richiesta di cancellazione dei dati. La cancellazione automatica per inattività e la cancellazione su richiesta non si applicano a questi dati, limitatamente a quanto richiesto dalla legge.

10. Diritti dell'Utente

Hai il diritto di accedere, rettificare, cancellare i tuoi dati, limitare il trattamento, richiedere la portabilità, opporti al trattamento e revocare il consenso in qualsiasi momento.

Per esercitare questi diritti, invia una richiesta a [email protected].

11. Reclami

Se ritieni che il trattamento violi il GDPR, puoi presentare reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it).

12. Valutazione d'Impatto (DPIA)

Il Titolare ha condotto una Valutazione d'Impatto sulla Protezione dei Dati (DPIA) ai sensi dell'Art. 35 GDPR per il trattamento effettuato tramite Giada.

13. Modifiche

La presente informativa può essere aggiornata. Ti informeremo in caso di modifiche rilevanti. L'uso continuato del servizio dopo le modifiche implica l'accettazione. Tutte le versioni precedenti sono consultabili su legal.giada.care/privacy/history.