INFORMATIVA SULLA PROTEZIONE DEI DATI PERSONALI (PRIVACY POLICY)

In vigore dal 6 novembre 2026 · link permanente a questa versione · tutte le versioni

(Informazioni ai sensi del Regolamento UE 2016/679 – GDPR e del Regolamento UE 2024/1689 – AI Act)

1. Titolare del Trattamento

• Titolare: Vivarium S.r.l.
• Sede Legale: Via Montello 18, 40131, Bologna (BO)
• Partita IVA: 04291881201
• Email di contatto per la privacy: [email protected]
• Paese: Italia (UE)

2. Canali del Servizio

Giada AI Nutritional Coach ("Giada") è disponibile tramite:

• Telegram: il bot @Giadacare_bot e la relativa Mini App;
• App per iOS, distribuita tramite l'App Store di Apple;
• App per Android, distribuita tramite Google Play.

La presente informativa si applica a tutti i canali. Dove un trattamento riguarda un solo canale, è indicato espressamente.

2.1 Pilot nutrizione: questionario, consulto e percorso con professionista

Questa sezione riguarda il percorso proposto su giada.care/nutrizionista e sulla relativa pagina prezzi. Per questi trattamenti si applicano le disposizioni specifiche riportate qui; le altre sezioni continuano a descrivere il servizio Giada e i relativi fornitori.

Dati e finalità

Per richiedere il primo consulto gratuito raccogliamo nome, email, numero WhatsApp, obiettivo, esperienze precedenti e difficoltà quotidiane, sesso, età, altezza e peso. Salviamo inoltre formula di pagamento visualizzata, presentazione dei prezzi prima dell'invio della richiesta, consensi con data e versione dell'informativa, giorno e orario richiesti, stato della richiesta e dati tecnici necessari a gestirla. Il questionario contiene dati relativi alla salute.

Vivarium usa queste informazioni per preparare il consulto, individuare un professionista adatto, gestire prenotazione e riprenotazione e contattarti per conferma, dettagli del professionista e promemoria. La richiesta di uno slot viene registrata come richiesta di appuntamento: conferma e assegnazione del professionista arrivano successivamente su WhatsApp. Durante il pilot queste attività possono essere svolte dal team, con il supporto di Giada.

Quando salvi i recapiti, conserviamo sul server per sette giorni il modulo incompleto, con recapiti, avanzamento e risposte al questionario, compresi i dati relativi alla salute, così puoi completare la richiesta anche da un altro dispositivo. Se ti interrompi, ricevi fino a due promemoria via email con il link per riprendere e il team Giada può contattarti via email, telefono o WhatsApp per aiutarti a completarla. Il team vede recapiti e avanzamento, non le risposte. Il link presente in ogni email interrompe promemoria e contatti e cancella subito recapiti, risposte e avanzamento del modulo incompleto.

Se attivi il percorso, trattiamo anche il piano approvato dal professionista, le conversazioni con Giada, i pasti, i progressi e le richieste di seguito, per erogare il servizio e coordinare il supporto professionale. Giada è un sistema di intelligenza artificiale; la valutazione nutrizionale e le decisioni professionali spettano al professionista incaricato.

Basi giuridiche e scelte

La gestione dei recapiti e dell'appuntamento richiesto si fonda sulle misure precontrattuali richieste dall'interessato e, dopo l'attivazione, sull'esecuzione del contratto (art. 6(1)(b) GDPR). Il contatto su WhatsApp viene autorizzato con una scelta specifica nel modulo. Per raccogliere e utilizzare i dati relativi alla salute chiediamo un consenso esplicito e separato (art. 6(1)(a) e art. 9(2)(a) GDPR), all'inizio del modulo e prima delle domande. Lo stesso consenso è la base del modulo incompleto: salvataggio per sette giorni, promemoria e contatto del team per completare la richiesta. Il primo consulto è gratuito; i prezzi del percorso successivo vengono presentati prima dell’invio della richiesta, senza una casella di accettazione del prezzo. La richiesta del consulto lascia la scelta dell’abbonamento al momento successivo all’incontro.

Puoi revocare il consenso scrivendo a [email protected], anche prima del consulto, e per il modulo incompleto anche dal link presente in ogni email. La revoca lascia valida l'attività già svolta e interrompe i successivi trattamenti basati su quel consenso. Per proseguire un servizio personalizzato che richiede dati di salute occorre una base giuridica appropriata. Richiedere il consulto e autorizzare il contatto di servizio comportano soltanto le comunicazioni relative al percorso richiesto; eventuali comunicazioni promozionali richiedono una scelta ulteriore.

Professionista e accesso ai dati

Il modulo iniziale richiede il tuo consenso esplicito a Vivarium per utilizzare le risposte, compresi i dati di salute, al fine di preparare il consulto e organizzare la condivisione con il professionista incaricato. Il personale Vivarium autorizzato accede alle sole informazioni necessarie a organizzare il percorso. Prima di trasmettere i dati di salute al professionista individuato, ti comunichiamo il suo nome, la qualifica e il riferimento alla sua informativa, e raccogliamo una specifica autorizzazione alla condivisione. Questa autorizzazione viene documentata separatamente dalla richiesta iniziale. Il professionista riceve soltanto i dati pertinenti al consulto e, se attivi il percorso, il piano, i riepiloghi dei progressi e le richieste utili a seguirti. La condivisione rimane limitata al professionista incaricato e alle finalità del tuo percorso.

Per la propria attività sanitaria il professionista, o la struttura sanitaria di riferimento, determina finalità e modalità del trattamento professionale e fornisce la relativa informativa. I ruoli e i riferimenti effettivi ti vengono comunicati prima della presa in carico. Puoi rivolgerti a Vivarium per i dati della prenotazione e del servizio Giada, e al titolare indicato nell'informativa professionale per la documentazione sanitaria di sua competenza.

WhatsApp, archiviazione e misurazione

Su WhatsApp, numero e messaggi transitano tramite la piattaforma di WhatsApp Ireland / Meta, secondo la relativa informativa privacy. Le informazioni cliniche più dettagliate vengono raccolte con modalità concordate con il professionista. Il questionario e le richieste di appuntamento sono archiviati nell'infrastruttura Cloudflare con accesso riservato al personale autorizzato. Le risposte del modulo incompleto sono conservate sul server per sette giorni. Nel browser conserviamo, fino alla chiusura della scheda, recapiti, avanzamento e gli identificativi tecnici di sessione necessari a completare o modificare la richiesta.

Su queste pagine e nel percorso su app.giada.care/nutrizionista, compreso l’ingresso via WhatsApp, usiamo Google Ads, Google Analytics 4, Meta Pixel e Meta Conversions API per misurare visite, avanzamento, collegamenti WhatsApp e richieste di consulto. Nella configurazione attuale, GA4 e gli strumenti Meta possono attivarsi prima della scelta sui cookie, con identificativi del browser e invii server. Questa impostazione resta attiva fino alla scelta esplicita, senza una scadenza automatica; l’assenza di una scelta è distinta da un consenso espresso. Il rifiuto analitico o marketing interrompe i successivi invii gestiti dal percorso per la rispettiva categoria. Puoi modificare la scelta dal pulsante Cookie nel footer.

Google Ads viene caricato con archiviazione pubblicitaria negata e può inviare segnali senza cookie relativi alla visita e alla richiesta; i cookie pubblicitari richiedono la scelta marketing. La personalizzazione pubblicitaria Google e i segnali Google per la personalizzazione restano disattivati nel pilot.

Il collegamento WhatsApp viene misurato quando riceviamo il primo messaggio e lo associamo al percorso iniziato sul sito. La semplice apertura della chat e la successiva richiesta di colloquio sono passaggi distinti. Gli eventi possono contenere tipo e orario dell’azione, pagina generica del percorso, identificativi tecnici di browser, sessione e campagna, indirizzo IP e caratteristiche del browser. Per associare gli eventi server a Meta usiamo anche un identificativo casuale del percorso trasformato con SHA-256. Nome, email, telefono, dati di salute, risposte al questionario, piano e contenuti delle conversazioni restano esclusi dal contenuto di questi eventi di misurazione. Il trattamento del numero e dei messaggi tramite WhatsApp per il servizio richiesto rimane quello descritto nel paragrafo precedente. Gli identificativi pubblicitari presenti nei link servono ad attribuire i passaggi alle campagne.

La scelta viene conservata nel browser tramite cookie-consent e giada_measurement_choice, condiviso sul dominio giada.care. La Cookie Policy descrive strumenti e preferenze. Puoi rivolgerti a [email protected] anche per i dati già trasmessi. I consensi sul servizio e sui dati di salute rimangono separati dalle preferenze di misurazione.

Conservazione e diritti

Il modulo incompleto viene conservato per sette giorni dal primo salvataggio. Alla scadenza, oppure subito se usi il link di interruzione, cancelliamo recapiti, risposte e avanzamento. Conserviamo la prova del consenso e dell’interruzione nei limiti necessari a documentare le scelte e rispettarle. Se invii la richiesta, i dati necessari passano alla gestione del consulto descritta qui sotto. Per le richieste che rimangono nella fase preliminare conserviamo questionario e recapiti per il tempo necessario a gestire il consulto e i relativi contatti, con un limite di sei mesi dall'ultima interazione. La cancellazione di questi record viene gestita dal team. Se attivi il percorso, i record del pilot vengono conservati per la durata del percorso e per il tempo necessario a chiudere le richieste, con cancellazione gestita dal team entro sei mesi dall’ultima interazione, salve le esigenze documentali indicate qui. Per i dati dell’account Giada si applicano i criteri descritti nella sezione 9. Le prove dei consensi, le operazioni contrattuali e i dati fiscali vengono conservati nei limiti necessari ai rispettivi obblighi di legge e alla tutela dei diritti.

Puoi richiedere accesso, correzione, cancellazione, portabilità e revoca del consenso a [email protected], indicando il recapito usato per la richiesta. La cancellazione presso Vivarium viene gestita entro 30 giorni; la documentazione sanitaria presso il professionista segue i suoi obblighi di conservazione e la sua informativa. I riferimenti per esercitare i diritti e presentare reclamo sono nelle sezioni 10 e 11.

3. Tipologie di Dati Raccolti

Giada raccoglie esclusivamente i dati forniti volontariamente dall'utente o generati dall'uso del servizio:

• Dati identificativi e di contatto: nome, nickname, email, lingua, fuso orario. Su Telegram: UserID Telegram. Nelle app: le credenziali di accesso (la password è conservata solo in forma cifrata) oppure l'identificativo fornito da Apple o Google se scegli di accedere con "Accedi con Apple" o con Google. Se usi l'app senza registrarti (account ospite), finché non confermi un'email o non accedi con Apple o Google ti riconosciamo solo dalla sessione salvata sul tuo telefono.
• Dati di piano, abbonamento e pagamento: piano attivo (Free o Premium), formula Premium scelta (mensile o annuale), stato dell'abbonamento, date di attivazione e rinnovo, canale di acquisto e storico delle transazioni. I dati della carta di pagamento sono raccolti e trattati esclusivamente da Stripe, Apple o Google, a seconda del canale di acquisto, e non vengono mai memorizzati né sono accessibili a Vivarium S.r.l. Per gli acquisti tramite App Store o Google Play riceviamo da Apple o Google solo gli identificativi della transazione e lo stato dell'abbonamento. Sul piano Free, durante il periodo iniziale e durante il periodo di prova gratuito non viene raccolto alcun dato di pagamento.
• Dati personali relativi alla salute e alla condizione fisica (Art. 9 GDPR): sesso biologico, data di nascita, peso, altezza, circonferenze, frequenza cardiaca, VO2max, BMR, dati da wearable (se forniti).
• Dati da Apple Salute (HealthKit) e Health Connect (solo app, Art. 9 GDPR): se lo autorizzi dalle impostazioni del tuo dispositivo, l'app legge energia attiva bruciata, allenamenti, passi, peso corporeo, percentuale di massa grassa, sonno, frequenza cardiaca, frequenza cardiaca a riposo e VO2max. I dati vengono letti solo quando tocchi "Sincronizza" e inviati a Giada come riepilogo testuale, trattato come gli altri tuoi messaggi (vedi sezione 7). L'app non scrive mai dati in Apple Salute o Health Connect e non li legge in background.
• Dati su salute e stile di vita (Dati Particolari – Art. 9 GDPR): condizioni mediche, obiettivi fisici/nutrizionali, piani di allenamento/nutrizione, esperienza sportiva, note aggiuntive.
• Contenuti che invii: messaggi di testo, foto (ad esempio dei pasti) e messaggi vocali. Nelle app, l'accesso a fotocamera, foto e microfono avviene solo con il tuo permesso e solo quando scegli di inviare un contenuto.
• Dati di utilizzo del servizio: il numero di messaggi e l'uso delle funzionalità, necessari ad applicare i limiti previsti dal piano attivo.
• Dati tecnici delle app: il token per le notifiche push, la piattaforma (iOS o Android) e le informazioni tecniche necessarie a distribuire gli aggiornamenti dell'app. Le app non raccolgono la tua posizione.
• Conteggio delle installazioni (solo app): una sola volta per installazione, l'app invia la piattaforma, la versione dell'app e l'ora dell'installazione arrotondata all'ora. Il conteggio non contiene identificativi del dispositivo o dell'account e non conserviamo l'indirizzo IP da cui arriva. Lo usiamo solo in forma aggregata, per contare le installazioni di ogni giorno.
• Dati di misurazione pubblicitaria (solo app, solo con il tuo consenso): identificativi del dispositivo e dell'installazione ed eventi dell'app, descritti nella sezione 7, «Pubblicità e Misurazione».

Il trattamento dei dati relativi alla salute richiede il tuo consenso esplicito secondo le modalità descritte nelle sezioni 2.1 e 5. Le altre categorie seguono le finalità e le basi giuridiche indicate per ciascun trattamento.

Dati di Apple Salute e Health Connect: non vengono mai usati per pubblicità o marketing, non vengono venduti né ceduti a terzi, e sono usati esclusivamente per fornirti il servizio di coaching.

4. Finalità del Trattamento

I dati sono trattati per:

• Fornire risposte e piani informativi personalizzati.
• Migliorare l'accuratezza e le funzionalità del servizio (tramite analisi aggregata/pseudonimizzata).
• Garantire il corretto funzionamento e la sicurezza del servizio.
• Gestire il tuo account e l'accesso da più canali.
• Inviarti notifiche relative al servizio, se le hai autorizzate.
• Gestire il piano attivo (Free o Premium), compresi gli eventuali limiti di utilizzo previsti dal piano.
• Gestire l'abbonamento Premium: attivazione, fatturazione, rinnovi, assistenza sui pagamenti e prevenzione delle frodi.
• Adempiere agli obblighi legali in materia fiscale e contabile.
• Contare le installazioni delle app e misurare quali campagne pubblicitarie portano nuove persone su Giada, con le modalità distinte per sito e app descritte nelle sezioni 2.1 e 7.

5. Base Giuridica

Per i dati relativi alla salute il trattamento si basa sul consenso esplicito dell’utente (Art. 6(1)(a) e Art. 9(2)(a) GDPR); per i dati strettamente necessari al servizio richiesto si applica l’Art. 6(1)(b) GDPR. Le scelte sul servizio e sui dati di salute rimangono distinte dalle preferenze di misurazione. La configurazione del sito prima della scelta sui cookie è descritta nelle sezioni 2.1 e 7 e nella Cookie Policy.

Per i dati di piano, di utilizzo del servizio, di abbonamento e di pagamento, il trattamento si basa sull'esecuzione del contratto (Art. 6(1)(b) GDPR), sull'adempimento di obblighi legali fiscali e contabili (Art. 6(1)(c) GDPR) e sul legittimo interesse alla prevenzione delle frodi (Art. 6(1)(f) GDPR). Per questi trattamenti non è richiesto il consenso e la sua revoca non li interrompe, in quanto necessari all'erogazione del piano attivo e dell'abbonamento Premium e al rispetto della legge.

Il conteggio delle installazioni si basa sul legittimo interesse di Vivarium S.r.l. a sapere quante installazioni delle app diventano iscrizioni (Art. 6(1)(f) GDPR). Il conteggio non contiene identificativi, non è collegato al tuo account e non è usato per la pubblicità.

La misurazione pubblicitaria nelle app si basa sul tuo consenso (Art. 6(1)(a) GDPR). Puoi revocarlo in ogni momento dall'app, in Impostazioni → Pubblicità.

Revoca del Consenso: Puoi revocare il consenso in qualsiasi momento inviando una richiesta a [email protected] oppure, nelle app, eliminando l'account da Impostazioni → Account → Elimina account (con un account ospite, Impostazioni → Account → Elimina i miei dati): i trattamenti basati sul consenso si interrompono subito. Puoi inoltre revocare in ogni momento l'accesso dell'app ad Apple Salute, Health Connect, fotocamera, foto, microfono e notifiche dalle impostazioni del tuo dispositivo.

6. Modalità di Trattamento

Il trattamento dei tuoi dati personali avviene attraverso strumenti digitali e procedure automatizzate, gestite tramite una catena di servizi interconnessi. Adottiamo misure di sicurezza tecniche e organizzative per proteggere i dati dalla distruzione accidentale o illecita, dalla perdita, dall'alterazione, dalla divulgazione o dall'accesso non autorizzati. Queste misure includono, ma non si limitano a:

• Sicurezza dei fornitori principali: Ci affidiamo a fornitori di servizi leader nel settore, come Cloudflare (per l'archiviazione, la gestione dei dati, l'infrastruttura cloud e l'esecuzione del software di Giada, sviluppato direttamente da Vivarium S.r.l.) e sistemi di intelligenza artificiale. Tutti questi fornitori implementano misure di sicurezza avanzate e sono vincolati da accordi contrattuali conformi al GDPR (Data Processing Agreement – DPA).
• Crittografia dei dati: I tuoi dati sono protetti tramite crittografia durante la trasmissione e, ove applicabile, a riposo sui sistemi di archiviazione utilizzati (es. Cloudflare).
• Controlli di accesso rigorosi: L'accesso ai dati è limitato secondo il principio del minimo privilegio. Solo il personale autorizzato e strettamente necessario può accedere ai dati, esclusivamente per le finalità definite.

Informativa AI Act (Regolamento UE 2024/1689)

Ai sensi dell'Art. 50 dell'AI Act, si informa l'utente che Giada è un sistema di intelligenza artificiale. Le risposte sono generate automaticamente da algoritmi di AI e possono contenere imprecisioni. L'utente è invitato a verificare le informazioni rilevanti e a non basare decisioni relative alla propria salute esclusivamente sulle indicazioni di Giada.

7. Condivisione dei Dati

I tuoi dati personali NON vengono venduti, noleggiati o ceduti a terzi per scopi di marketing o commerciali.

I dati possono essere condivisi esclusivamente con i seguenti soggetti terzi, che agiscono in qualità di Responsabili del Trattamento (Data Processors), salvo dove diversamente indicato, vincolati da accordi contrattuali conformi al GDPR (DPA):

Piattaforma di Messaggistica (solo Telegram)

Telegram: sul canale Telegram, Giada opera tramite la piattaforma Telegram. I messaggi inviati e ricevuti transitano attraverso i server di Telegram. Ti invitiamo a consultare la Privacy Policy di Telegram per maggiori informazioni.

Piattaforme di Integrazione e Automazione

• Make.com: utilizzato per orchestrare i flussi di messaggi e dati tra i diversi servizi per gli utenti Telegram che utilizzano ancora la versione precedente del servizio.

Fornitori di Intelligenza Artificiale

Utilizziamo modelli di intelligenza artificiale di terze parti per l'elaborazione delle richieste e la generazione delle risposte di Giada. I modelli attualmente utilizzati includono DeepSeek, OpenAI (GPT) e Google (Gemini), a cui accediamo tramite OpenRouter, che instrada ciascuna richiesta verso fornitori di infrastruttura di calcolo selezionati (per DeepSeek: DeepInfra, Reka, DigitalOcean, CoreWeave e Venice), e, per Gemini, anche direttamente tramite Google. Le richieste ai modelli passano dal servizio AI Gateway di Cloudflare, che può registrarle insieme alle risposte per il monitoraggio tecnico del servizio. La trascrizione dei messaggi vocali e l'analisi delle immagini avvengono tramite Cloudflare Workers AI. I dati testuali e i parametri necessari (es. informazioni relative alla salute e obiettivi, inclusi i riepiloghi sincronizzati da Apple Salute o Health Connect) possono essere trasmessi a tali fornitori esclusivamente per generare le risposte in tempo reale. I fornitori possono temporaneamente loggare i prompt ai soli fini di monitoraggio degli abusi e applicazione delle proprie policy di sicurezza. Tutti i fornitori sono vincolati da accordi contrattuali conformi al GDPR (Data Processing Agreement – DPA).

Gestione Dati e Infrastruttura Cloud

Cloudflare: Utilizziamo Cloudflare per l'archiviazione, la gestione dei dati, l'infrastruttura cloud del servizio e l'invio delle email relative al tuo account (verifica dell'indirizzo, reimpostazione della password, conferma della cancellazione).

App, Accesso e Notifiche (solo app)

• Apple: distribuisce l'app per iOS, fornisce "Accedi con Apple" (se lo scegli) e recapita le notifiche push tramite il servizio Apple Push Notification.
• Google: distribuisce l'app per Android, fornisce l'accesso con Google (se lo scegli) e recapita le notifiche push tramite Firebase Cloud Messaging.
• Expo (650 Industries, Inc.): inoltra le notifiche push ad Apple e Google e distribuisce gli aggiornamenti dell'app.

Le notifiche push possono contenere informazioni derivanti da quanto condiviso dall'utente con Giada, compresi i dati di Apple Salute e di Health Connect di Google. Puoi disattivare le notifiche o nasconderne l'anteprima dalle impostazioni del dispositivo.

Pagamenti

• Stripe: per gli abbonamenti sottoscritti tramite Telegram o il web. Il pagamento avviene su pagine gestite direttamente da Stripe (Stripe Checkout) e la gestione del metodo di pagamento e dell'abbonamento avviene tramite il portale cliente di Stripe. Stripe agisce come Responsabile del Trattamento quando elabora i pagamenti per nostro conto e come Titolare autonomo per le proprie finalità di prevenzione frodi e adempimento di obblighi normativi (es. antiriciclaggio). Stripe è certificata ai sensi dell'EU-U.S. Data Privacy Framework. Ti invitiamo a consultare la Privacy Policy di Stripe.
• Apple (App Store) e Google (Google Play): per gli abbonamenti sottoscritti nelle app. Apple e Google gestiscono il pagamento, la fatturazione e i rimborsi in qualità di Titolari autonomi, secondo le rispettive informative privacy, e ci comunicano solo lo stato dell'abbonamento e gli identificativi della transazione.

I dati relativi alla tua salute non vengono mai condivisi con Stripe, Apple o Google per finalità di pagamento.

Pubblicità e Misurazione

Sul sito giada.care

Sul sito giada.care utilizziamo strumenti di misurazione pubblicitaria per capire quali annunci portano iscrizioni: Meta Platforms Ireland (Meta Pixel e Conversions API), OpenAI (pixel di misurazione di ChatGPT Ads, attivo sulla relativa pagina promozionale) e Google (tag Google Ads, attivo sulle pagine /mesegratis, /vita-reale, /senza-diario e /chat). A Meta e OpenAI trasmettiamo l'evento di compilazione del form, accompagnato da identificatori pseudonimizzati: l'indirizzo e-mail e il nome sono trasmessi esclusivamente in forma di hash SHA-256, mai in chiaro. Nella configurazione attuale Meta Pixel riceve anche le visite prima della scelta sui cookie; il rifiuto esplicito alla categoria Profilazione e Marketing interrompe gli invii successivi gestiti dal sito. Queste informazioni possono essere usate per misurare le conversioni e creare segmenti di pubblico personalizzati, come descritto nella Cookie Policy. I segmenti possono comprendere chi ha visitato il sito, per mostrare i nostri annunci su Facebook e Instagram. L’assenza di una scelta resta distinta dal consenso espresso.

Il tag Google Ads si carica all'apertura di queste quattro pagine con il consenso per i cookie pubblicitari impostato inizialmente su negato. Anche senza consenso, il tag può inviare a Google segnali senza cookie relativi alla visita e alla registrazione completata. Se acconsenti alla categoria Profilazione e Marketing nel banner, Google può utilizzare cookie pubblicitari per misurare la conversione. A Google non inviamo i campi del form, l'indirizzo e-mail, il nome o dati relativi alla salute, agli obiettivi e alle abitudini alimentari. Non utilizziamo questo tag per creare segmenti di remarketing. Scopri come Google tratta i dati ricevuti dai siti che usano i suoi servizi.

La scelta espressa nel banner viene comunicata al tag Google.

Nelle app

Nelle app usiamo AppsFlyer (AppsFlyer Ltd.) per capire quali annunci di Meta e Google portano nuove persone su Giada. La misurazione funziona solo se acconsenti nella schermata «Privacy e pubblicità», che l'app mostra al primo utilizzo e che puoi riaprire da Impostazioni → Pubblicità. Su iOS serve anche il permesso di tracciamento che iOS ti chiede subito dopo. Senza il tuo consenso AppsFlyer non si avvia.

Con il tuo consenso trattiamo l'identificativo dell'installazione assegnato da AppsFlyer, l'identificativo pubblicitario del dispositivo (su iOS l'IDFA, solo se consenti il tracciamento; su Android l'ID pubblicità), su iOS l'identificativo per il fornitore (IDFV) e lo stato del permesso di tracciamento, la versione del sistema operativo, l'indirizzo IP e un identificativo casuale che assegniamo al tuo account. Comunichiamo ad AppsFlyer l'installazione e due eventi: la fine del percorso iniziale (onboarding) e la prima registrazione di un pasto. Gli eventi non contengono email, nome, cosa mangi o dati relativi alla salute.

AppsFlyer agisce come Responsabile del Trattamento e trasmette questi dati a Meta Platforms Ireland e Google Ireland, che li usano per misurare le campagne secondo le rispettive informative privacy. Se selezioni l'opzione dedicata nella stessa schermata, Google può usarli anche per mostrarti pubblicità personalizzate.

Su iOS, se acconsenti nella schermata «Privacy e pubblicità», l'app usa anche SKAdNetwork di Apple: Apple comunica alla rete pubblicitaria, in forma aggregata e senza identificativi, se un annuncio ha portato a un'installazione, alla fine del percorso iniziale e alla prima registrazione di un pasto.

Puoi cambiare scelta in ogni momento da Impostazioni → Pubblicità. Dopo un rifiuto AppsFlyer si ferma, non comunichiamo più eventi e cancelliamo gli identificativi del dispositivo, tranne l'identificativo dell'installazione assegnato da AppsFlyer, che ci serve per chiedere la cancellazione. Su iOS puoi anche revocare il permesso di tracciamento dalle impostazioni del dispositivo. Quando cancelli l'account, chiediamo ad AppsFlyer di cancellare i dati delle tue installazioni.

Strumenti del Team e Grafici

• Slack (Slack Technologies, LLC, gruppo Salesforce): il team Vivarium riceve su Slack le segnalazioni e i suggerimenti che invii a Giada e le richieste di cancellazione fatte in chat, per gestirle. Ogni notifica riporta il tuo nome, un identificativo interno e un riepilogo della richiesta scritto da Giada. Slack cancella automaticamente le notifiche dopo un anno.
• QuickChart: genera le immagini dei grafici del bilancio calorico che Giada ti invia. Riceve solo i valori numerici del grafico, senza nome, identificativi o altri dati dell'account.

Comunicazioni Email

Resend (Plus Five Five, Inc.): utilizziamo Resend per recapitare le email relative all’attivazione e all’utilizzo delle app Giada, compresi il link per scaricare l’app e i messaggi di accompagnamento alla richiesta. Resend tratta per nostro conto indirizzo email, nome, contenuto dei messaggi, identificativi tecnici e dati relativi a invio, consegna, rimbalzi, reclami e disiscrizione, secondo il proprio accordo sul trattamento dei dati (DPA). I contenuti clinici delle conversazioni, i piani personalizzati e i dati provenienti da Apple Salute e Health Connect restano esclusi da queste email di attivazione. Puoi interrompere la sequenza dal link di disiscrizione presente nei messaggi.

Mailchimp: utilizziamo Mailchimp per le comunicazioni email e le sequenze ancora attive sul servizio, comprese le email già programmate durante la migrazione a Resend. Le preferenze di disiscrizione vengono mantenute tra i canali di invio per rispettare la tua scelta.

8. Trasferimento Extra-UE

Parte dei dati, inclusi i contenuti multimediali e i dati del tuo profilo, è conservata su infrastruttura Cloudflare localizzata nell'Unione Europea. Alcuni fornitori, tra cui i fornitori di intelligenza artificiale, Apple, Google, Expo, Stripe, Meta, AppsFlyer, Mailchimp, Resend, Slack e QuickChart, e alcuni componenti dell'infrastruttura Cloudflare, operano a livello globale: i dati possono quindi essere trattati al di fuori dell'UE/SEE, in particolare negli Stati Uniti, nel rispetto del Capo V del GDPR tramite Decisioni di adeguatezza (incluso l'EU-U.S. Data Privacy Framework) o Clausole Contrattuali Standard (SCCs).

Per Resend, i dati memorizzati, compresi contenuto delle email e log, sono conservati negli Stati Uniti. La scelta di una regione europea di invio determina il luogo da cui partono le email. I trasferimenti verso Resend sono disciplinati dalle Clausole Contrattuali Standard incluse nel DPA; il fornitore aderisce inoltre all’EU-U.S. Data Privacy Framework. I suoi fornitori autorizzati sono elencati nella lista dei sub-responsabili.

AppsFlyer ha sede in Israele, Paese per cui la Commissione europea ha adottato una decisione di adeguatezza. I trasferimenti di AppsFlyer verso gli Stati Uniti sono disciplinati dalle Clausole Contrattuali Standard previste dal suo accordo sul trattamento dei dati.

9. Conservazione e Cancellazione dei Dati

I dati sono conservati per l'intera durata di utilizzo attivo del servizio. In caso di inattività superiore a 6 mesi dall'ultima interazione, tutti i dati personali (inclusi i dati relativi alla salute e alla condizione fisica) vengono cancellati automaticamente.

Account ospite (solo app). Se usi l'app senza registrarti, raggiungi i tuoi dati solo dall'app, tramite la sessione salvata sul tuo telefono. La sessione scade dopo 30 giorni in cui non apri l'app con una connessione attiva: da quel momento non puoi più accedere a quei dati. Per questo, quando la sessione è scaduta, disattiviamo l'account ospite e ne cancelliamo definitivamente tutti i dati, compresi quelli relativi alla salute e alla condizione fisica, al più tardi entro i 30 giorni successivi. Se prima crei l'account, confermando l'email o accedendo con Apple o Google, i dati restano tuoi e si applicano gli altri criteri di questa sezione.

Per il servizio email Resend, il piano utilizzato prevede una conservazione di 30 giorni dei contenuti delle email e dei relativi log, secondo i criteri dichiarati dal fornitore. Giada conserva separatamente i riferimenti ai consensi, agli esiti degli invii e alle preferenze di disiscrizione per gestire le comunicazioni richieste e rispettare le scelte espresse.

I singoli conteggi delle installazioni sono conservati per tre mesi. Dopo, conserviamo solo i totali di ogni giorno.

Puoi chiedere la cancellazione completa del tuo account e dei tuoi dati in qualsiasi momento:

• nelle app: da Impostazioni → Account → Elimina account. Ti invieremo un'email per confermare la richiesta; dopo la conferma l'account viene disattivato subito e, trascorsi 30 giorni, tutti i dati vengono cancellati definitivamente. In questi 30 giorni i dati restano soltanto conservati, e puoi chiedere di annullare la cancellazione scrivendo a [email protected];
• con un account ospite: da Impostazioni → Account → Elimina i miei dati. L'account ospite viene disattivato subito, senza email di conferma, e tutti i dati vengono cancellati definitivamente subito dopo, al più tardi entro 30 giorni. Un account ospite cancellato non si può recuperare;
• da qualsiasi canale: scrivendo a [email protected]. Ti confermiamo la presa in carico entro 30 giorni dalla richiesta; da quel momento l'account è disattivato e, trascorsi 30 giorni, i dati vengono cancellati definitivamente.

Le copie di sicurezza dell'infrastruttura servono solo a ripristinare il servizio in caso di guasto e si rinnovano automaticamente: i dati cancellati scompaiono anche da queste copie entro 30 giorni dalla cancellazione.

La cancellazione dell'account non annulla un abbonamento sottoscritto tramite App Store o Google Play, che va disdetto dalle impostazioni dello store (vedi i Termini di Servizio).

Dati di fatturazione e pagamento: i dati necessari per l'emissione di fatture e ricevute e le scritture contabili sono conservati per 10 anni ai sensi dell'art. 2220 del Codice Civile e della normativa fiscale, anche in caso di cancellazione dell'account o di richiesta di cancellazione dei dati. La cancellazione automatica per inattività e la cancellazione su richiesta non si applicano a questi dati, limitatamente a quanto richiesto dalla legge.

10. Diritti dell'Utente

Hai il diritto di accedere, rettificare, cancellare i tuoi dati, limitare il trattamento, richiedere la portabilità, opporti al trattamento e revocare il consenso in qualsiasi momento.

Per esercitare questi diritti, invia una richiesta a [email protected].

11. Reclami

Se ritieni che il trattamento violi il GDPR, puoi presentare reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it).

12. Valutazione d'Impatto (DPIA)

Il Titolare ha condotto una Valutazione d'Impatto sulla Protezione dei Dati (DPIA) ai sensi dell'Art. 35 GDPR per il trattamento effettuato tramite Giada.

13. Modifiche

La presente informativa può essere aggiornata. Ti informeremo in caso di modifiche rilevanti. L'uso continuato del servizio dopo le modifiche implica l'accettazione. Tutte le versioni precedenti sono consultabili su legal.giada.care/privacy/history.