INFORMATIVA SULLA PROTEZIONE DEI DATI PERSONALI (PRIVACY POLICY)

1. Titolare del Trattamento

• Titolare: Vivarium S.r.l.
• Sede Legale: Via Montello 18, 40131, Bologna (BO)
• Email di contatto: [email protected]
• Paese: Italia (UE)

2. Tipologie di Dati Raccolti

Giada AI Nutritional Coach raccoglie esclusivamente i dati forniti volontariamente dall'utente tramite Telegram e, per la gestione dell'abbonamento, tramite Stripe:

• Dati identificativi e di contatto: Nome, nickname, UserID Telegram, email (se fornita; richiesta in caso di sottoscrizione dell'abbonamento), lingua, fuso orario.
• Dati di abbonamento e pagamento: piano scelto (mensile o annuale), stato dell'abbonamento, date di attivazione e rinnovo, storico delle transazioni e ricevute/fatture. I dati della carta di pagamento (numero, scadenza, CVC) sono raccolti e trattati esclusivamente da Stripe e non vengono mai memorizzati né sono accessibili a Vivarium S.r.l. Durante il periodo di prova gratuito di 30 giorni non viene raccolto alcun dato di pagamento.
• Dati personali relativi alla salute e alla condizione fisica (Art. 9 GDPR): sesso biologico, data di nascita, peso, altezza, circonferenze, frequenza cardiaca, VO2max, BMR, dati da wearable (se forniti).
• Dati su salute e stile di vita (Dati Particolari – Art. 9 GDPR): Condizioni mediche, obiettivi fisici/nutrizionali, piani di allenamento/nutrizione, esperienza sportiva, note aggiuntive.

Questi dati, in particolare i dati particolari (Art. 9 GDPR), sono trattati solo con il tuo consenso esplicito.

3. Finalità del Trattamento

I dati sono trattati per:

• Fornire risposte e piani informativi personalizzati.
• Migliorare l'accuratezza e le funzionalità del servizio (tramite analisi aggregata/pseudonimizzata).
• Garantire il corretto funzionamento e la sicurezza del servizio.
• Gestire l'abbonamento a pagamento: attivazione, fatturazione, rinnovi, assistenza sui pagamenti e prevenzione delle frodi.
• Adempiere agli obblighi legali in materia fiscale e contabile.

4. Base Giuridica

Il trattamento si basa sul Consenso esplicito dell'utente (Art. 6(1)(a) e Art. 9(2)(a) GDPR) per tutti i dati, e sull'esecuzione del servizio richiesto (Art. 6(1)(b) GDPR) per i dati strettamente necessari.

Per i dati di abbonamento e pagamento, il trattamento si basa sull'esecuzione del contratto (Art. 6(1)(b) GDPR), sull'adempimento di obblighi legali fiscali e contabili (Art. 6(1)(c) GDPR) e sul legittimo interesse alla prevenzione delle frodi (Art. 6(1)(f) GDPR). Per questi trattamenti non è richiesto il consenso e la sua revoca non li interrompe, in quanto necessari all'erogazione del servizio a pagamento e al rispetto della legge.

Revoca del Consenso: Puoi revocare il consenso in qualsiasi momento inviando una richiesta a [email protected].

5. Modalità di Trattamento

Il trattamento dei tuoi dati personali avviene attraverso strumenti digitali e procedure automatizzate, gestite tramite una catena di servizi interconnessi. Adottiamo misure di sicurezza tecniche e organizzative per proteggere i dati dalla distruzione accidentale o illecita, dalla perdita, dall'alterazione, dalla divulgazione o dall'accesso non autorizzati. Queste misure includono, ma non si limitano a:

• Sicurezza dei fornitori principali: Ci affidiamo a fornitori di servizi leader nel settore, come Cloudflare (per l'archiviazione, la gestione dei dati, l'infrastruttura cloud e l'esecuzione del software di Giada, sviluppato direttamente da Vivarium S.r.l.), sistemi di intelligenza artificiale e Make.com (per l'integrazione e l'orchestrazione dei messaggi tra i servizi). Tutti questi fornitori implementano misure di sicurezza avanzate e sono vincolati da accordi contrattuali conformi al GDPR (Data Processing Agreement – DPA).
• Crittografia dei dati: I tuoi dati sono protetti tramite crittografia durante la trasmissione e, ove applicabile, a riposo sui sistemi di archiviazione utilizzati (es. Cloudflare).
• Controlli di accesso rigorosi: L'accesso ai dati è limitato secondo il principio del minimo privilegio. Solo il personale autorizzato e strettamente necessario può accedere ai dati, esclusivamente per le finalità definite.

6. Condivisione dei Dati

I tuoi dati personali NON vengono venduti, noleggiati o ceduti a terzi per scopi di marketing o commerciali.

I dati possono essere condivisi esclusivamente con i seguenti soggetti terzi, che agiscono in qualità di Responsabili del Trattamento (Data Processors), salvo dove diversamente indicato, vincolati da accordi contrattuali conformi al GDPR (DPA):

Piattaforma di Messaggistica

Telegram: Giada AI opera tramite la piattaforma Telegram. I messaggi inviati e ricevuti transitano attraverso i server di Telegram. Ti invitiamo a consultare la Privacy Policy di Telegram per maggiori informazioni.

Piattaforme di Integrazione e Automazione

• Make.com: Make.com è utilizzato per orchestrare i flussi di messaggi e dati tra i diversi servizi.

Fornitori di Intelligenza Artificiale

Utilizziamo modelli di intelligenza artificiale di terze parti per l'elaborazione delle richieste e la generazione delle risposte di Giada. I fornitori attualmente utilizzati includono Google (Gemini), Anthropic (Claude) e OpenAI (ChatGPT). I dati testuali e i parametri necessari (es. informazioni relative alla salute e obiettivi) possono essere trasmessi a tali fornitori esclusivamente per generare le risposte in tempo reale. In conformità ai termini dei rispettivi servizi a pagamento (Paid Services), i dati non vengono utilizzati per l'addestramento dei modelli di intelligenza artificiale dei fornitori. I fornitori possono temporaneamente loggare i prompt ai soli fini di monitoraggio degli abusi e applicazione delle proprie policy di sicurezza. Tutti i fornitori sono vincolati da accordi contrattuali conformi al GDPR (Data Processing Agreement – DPA).

Gestione Dati e Infrastruttura Cloud

Cloudflare: Utilizziamo Cloudflare per l'archiviazione, la gestione dei dati e l'infrastruttura cloud del servizio Giada AI.

Pagamenti

Stripe: utilizziamo Stripe per la gestione dei pagamenti, degli abbonamenti e della fatturazione. Il pagamento avviene su pagine gestite direttamente da Stripe (Stripe Checkout) e la gestione del metodo di pagamento e dell'abbonamento avviene tramite il portale cliente di Stripe. Stripe agisce come Responsabile del Trattamento quando elabora i pagamenti per nostro conto e come Titolare autonomo per le proprie finalità di prevenzione frodi e adempimento di obblighi normativi (es. antiriciclaggio). Stripe è certificata ai sensi dell'EU-U.S. Data Privacy Framework. Ti invitiamo a consultare la Privacy Policy di Stripe. I dati relativi alla tua salute non vengono mai condivisi con Stripe.

Pubblicità e Misurazione

Se presti il consenso alla categoria Profilazione e Marketing nel banner cookie, utilizziamo strumenti di misurazione pubblicitaria per capire quali annunci portano iscrizioni. In assenza di quel consenso nessuno script pubblicitario viene caricato e nessun dato viene trasmesso. I fornitori sono: Meta Platforms Ireland (Meta Pixel e Conversions API) e OpenAI (pixel di misurazione di ChatGPT Ads, attivo unicamente sulla pagina promozionale a cui puntano gli annunci su ChatGPT). A entrambi trasmettiamo l'evento di compilazione del form, accompagnato da identificatori pseudonimizzati: l'indirizzo e-mail e il nome sono trasmessi esclusivamente in forma di hash SHA-256, mai in chiaro. Nessun dato relativo alla tua salute, ai tuoi obiettivi o alle tue abitudini alimentari viene trasmesso a questi fornitori.

Comunicazioni Email

Mailchimp: Mailchimp è utilizzato come canale di comunicazione email per inviare comunicazioni informative e di servizio agli utenti.

7. Trasferimento Extra-UE

Alcuni fornitori operano a livello globale, pertanto i dati potrebbero essere trattati al di fuori dell'UE/SEE nel rispetto del Capo V del GDPR tramite Decisioni di adeguatezza o Clausole Contrattuali Standard (SCCs).

8. Conservazione dei Dati

I dati sono conservati per l'intera durata di utilizzo attivo del servizio. In caso di inattività superiore a 6 mesi dall'ultima interazione, tutti i dati personali (inclusi i dati relativi alla salute e alla condizione fisica) vengono cancellati automaticamente. L'utente può richiedere la cancellazione completa dei propri dati in qualsiasi momento scrivendo a [email protected]; la cancellazione verrà eseguita entro 30 giorni dalla richiesta, salvo obblighi di conservazione previsti dalla legge.

Dati di fatturazione e pagamento: i dati necessari per l'emissione di fatture e ricevute e le scritture contabili sono conservati per 10 anni ai sensi dell'art. 2220 del Codice Civile e della normativa fiscale, anche in caso di cancellazione dell'account o di richiesta di cancellazione dei dati. La cancellazione automatica per inattività e la cancellazione su richiesta non si applicano a questi dati, limitatamente a quanto richiesto dalla legge.

9. Diritti dell'Utente

Hai il diritto di accedere, rettificare, cancellare i tuoi dati, limitare il trattamento, richiedere la portabilità, opporti al trattamento e revocare il consenso in qualsiasi momento.

Per esercitare questi diritti, invia una richiesta a [email protected] o [email protected].

10. Reclami

Se ritieni che il trattamento violi il GDPR, puoi presentare reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it).

11. Valutazione d'Impatto (DPIA)

Il Titolare ha condotto una Valutazione d'Impatto sulla Protezione dei Dati (DPIA) ai sensi dell'Art. 35 GDPR per il trattamento effettuato tramite Giada.

12. Modifiche

La presente informativa può essere aggiornata. Ti informeremo in caso di modifiche rilevanti. L'uso continuato del servizio dopo le modifiche implica l'accettazione.