Vai al contenuto
dieta+
AccediProva gratis
Bozza da far revisionare a un legale prima della pubblicazione. Le parti tra parentesi quadre sono da completare.

Informativa privacy

Ultimo aggiornamento: [data]

Questa informativa descrive come vengono trattati i dati personali raccolti tramite il sito e la piattaforma DietaPiù (di seguito "DietaPiù" o "il servizio"), ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 ("GDPR") e del D.lgs. 196/2003 come modificato dal D.lgs. 101/2018.

1. Titolare del trattamento

Il titolare del trattamento dei dati descritti in questa informativa è [ragione sociale], con sede in [indirizzo completo], P.IVA [numero], email [indirizzo email privacy], PEC [indirizzo PEC].

Responsabile della protezione dei dati (DPO): [nome e contatto, se nominato; altrimenti eliminare questo paragrafo].

2. A chi si rivolge questa informativa

  • a chi visita il sito;
  • ai professionisti che si registrano e usano la piattaforma (titolari dello studio ed eventuali collaboratori), di seguito "utenti";
  • a chi ci contatta per email.

I dati dei pazienti inseriti dagli utenti nella piattaforma sono trattati in modo diverso: per questi dati il titolare è il professionista e DietaPiù agisce come responsabile del trattamento (vedi la sezione Dati dei pazienti).

3. Quali dati trattiamo

Dati di navigazione

I sistemi che fanno funzionare il sito registrano, come avviene per ogni sito web, dati tecnici quali indirizzo IP, data e ora della richiesta, pagina richiesta, codice di risposta e tipo di browser. Servono al funzionamento e alla sicurezza del servizio e non vengono usati per identificare o profilare gli utenti.

Dati per la protezione da bot e abusi

Per distinguere le persone dai programmi automatici (bot, scraper, agenti di intelligenza artificiale non autorizzati) e per bloccare gli attacchi, trattiamo:

  • indirizzo IP, tipo di browser e intestazioni tecniche di ogni richiesta, confrontati con elenchi di programmi automatici noti;
  • il numero di richieste per indirizzo IP e per account in brevi intervalli di tempo (limiti di frequenza);
  • gli indirizzi IP bloccati temporaneamente perché hanno mostrato un comportamento automatizzato, con il motivo del blocco;
  • nei moduli di registrazione, accesso e reimpostazione della password: il tempo di compilazione del modulo e i segnali tecnici del browser raccolti da Cloudflare Turnstile e Vercel BotID, servizi di verifica che non richiedono di risolvere enigmi nella maggior parte dei casi.

Quando scegli o cambi la password, verifichiamo che non compaia in violazioni di dati note tramite il servizio Have I Been Pwned. Il controllo usa la tecnica della k-anonimità: dai nostri server esce solo l'inizio (5 caratteri) dell'impronta crittografica SHA-1 della password, che corrisponde a centinaia di password diverse. La password, la sua impronta completa e il tuo indirizzo email non vengono mai inviati.

Questi dati non vengono usati per profilarti né per finalità diverse dalla sicurezza.

Dati dell'account

Nome e cognome, indirizzo email, nome dello studio, password (conservata solo in forma di hash, mai in chiaro), identificativo dell'account Google se scegli di accedere con Google, data dell'ultimo accesso, ruolo nello studio. Tra le impostazioni dello studio possono esserci recapiti professionali (indirizzo, telefono, sito, partita IVA, numero di iscrizione all'albo) che inserisci per la stampa dei documenti.

Dati dell'abbonamento e di pagamento

Il pagamento avviene sulla pagina di Stripe, che raccoglie direttamente i dati della carta e di fatturazione (nome, indirizzo, eventuale partita IVA). DietaPiù non riceve né conserva i dati della carta; conserva l'identificativo cliente e dell'abbonamento presso Stripe, il piano scelto, lo stato e le date di scadenza.

Dati dei servizi Google

Accesso con Google: riceviamo solo nome, indirizzo email e identificativo dell'account, per creare l'account e farti entrare.

I servizi seguenti sono facoltativi: li colleghi tu dalle impostazioni, uno alla volta, e Google ti chiede ogni volta il permesso.

  • Google Calendar: crea, aggiorna ed elimina nel calendario che scegli gli eventi degli appuntamenti fissati in DietaPiù, e legge gli eventi di quel calendario per mostrarli nell'agenda di DietaPiù. L'elenco dei tuoi calendari si legge solo per farti scegliere quale usare.
  • Google Contatti: legge nomi, telefoni, email e date di nascita della rubrica per completare le schede dei pazienti e per cercare un contatto quando crei un paziente; crea un contatto quando scegli di salvare un paziente nella rubrica. La rubrica non viene copiata in DietaPiù: si legge ogni volta e restano solo i dati che applichi ai pazienti.
  • Gmail: solo invio delle email che scrivi in DietaPiù (per esempio un piano alimentare a un paziente) dal tuo indirizzo. DietaPiù non legge, non cerca e non conserva la tua posta.

Conserviamo l'indirizzo email dell'account collegato, i permessi concessi e i token di accesso, cifrati. Puoi scollegare ogni servizio in qualsiasi momento da Impostazioni, Google, oppure dalle impostazioni di sicurezza del tuo account Google: i token vengono revocati e cancellati.

I dati ricevuti da Google si usano solo per le funzioni che hai attivato e che vedi in DietaPiù. Non li usiamo per pubblicità, non li vendiamo, non li usiamo per addestrare modelli di intelligenza artificiale, non li trasferiamo a terzi se non per fornire il servizio (fornitori indicati in Destinatari) o per obbligo di legge, e nessuna persona li legge salvo tua richiesta esplicita, per motivi di sicurezza o per obbligo di legge.

L'uso e il trasferimento ad altre app delle informazioni ricevute dalle API di Google rispettano le Norme sui dati utente dei servizi API di Google, compresi i requisiti di Uso limitato. DietaPiù's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Google user data: summary in English.

  • Data accessed: with Google Sign-In, your name, email address and Google account ID. Only if you connect them: events of the Google Calendar you choose and the list of your calendars (Calendar); names, phone numbers, email addresses and birthdays in your contacts (Contacts); permission to send email from your address, without reading your mailbox (Gmail).
  • Data usage: only to provide the features you turn on and see in DietaPiù: signing in, syncing appointments with your calendar, filling in and saving patient records from your contacts, sending emails you write in DietaPiù. Never for advertising, never sold, never used to train AI models.
  • Data sharing: Google user data is not shared with third parties, except the service providers listed in this policy that host and run DietaPiù, or when required by law.
  • Data storage and protection: the connected account email, the granted permissions and the access tokens are stored encrypted in the European Union. Your contacts are not copied: only the details you apply to a patient record are kept. Emails are not stored.
  • Data retention and deletion: you can disconnect each Google service at any time from Settings, Google, or from your Google account security settings; tokens are then revoked and deleted. Deleting your DietaPiù account deletes all related data as described in section 8.

Comunicazioni

Se ci scrivi, trattiamo il tuo indirizzo email e il contenuto del messaggio per risponderti. Ti chiediamo di non inviarci dati sanitari dei pazienti.

4. Finalità e basi giuridiche

  • Fornire il servizio (creazione dell'account, accesso, funzioni della piattaforma, email di servizio come la reimpostazione della password): esecuzione del contratto, art. 6, par. 1, lett. b) GDPR.
  • Gestire l'abbonamento, i pagamenti e gli adempimenti fiscali e contabili: esecuzione del contratto e obbligo di legge, art. 6, par. 1, lett. b) e c).
  • Sicurezza del servizio e prevenzione degli abusi (limitazione dei tentativi di accesso e delle richieste, riconoscimento e blocco di bot, scraper e agenti automatici, verifica delle password compromesse): legittimo interesse a proteggere il servizio, gli utenti e i dati dei pazienti, art. 6, par. 1, lett. f), e obbligo di adottare misure di sicurezza adeguate, art. 32 GDPR.
  • Rispondere alle richieste inviate via email: misure precontrattuali o legittimo interesse.
  • Comunicazioni commerciali: [solo con consenso specifico, se previste; altrimenti eliminare questa voce].
  • Difesa di un diritto in sede giudiziaria, se necessario: legittimo interesse.

Il conferimento dei dati dell'account e di fatturazione è necessario per usare il servizio; senza di essi non è possibile registrarsi o abbonarsi.

DietaPiù usa un solo cookie, tecnico, necessario per mantenere la sessione dopo l'accesso (dp_sessione, durata massima 30 giorni, non accessibile agli script della pagina). Non usiamo cookie di profilazione né strumenti di statistica o pubblicità di terze parti; per questo non è richiesto il consenso.

Mentre il professionista modifica una dieta, l'editor ne tiene una copia di ripristino nella memoria locale del browser (localStorage), per non perdere il lavoro se la pagina si chiude prima del salvataggio. La copia contiene i dati della dieta, resta solo su quel dispositivo, si cancella al salvataggio, all'uscita dall'account (pulsante «Esci») e comunque dopo 7 giorni. Nella stessa memoria restano alcune preferenze di visualizzazione senza dati dei pazienti (opzioni di stampa, elenco dei pazienti messi da parte in Messaggi). Si consiglia di non usare DietaPiù da computer condivisi senza uscire dall'account.

Nelle pagine di registrazione, accesso e reimpostazione della password, la verifica anti-bot di Cloudflare Turnstile viene caricata dal dominio di Cloudflare e Vercel BotID esegue un controllo invisibile nel browser. Servono solo a distinguere le persone dai programmi automatici e non sono usati per profilazione o pubblicità. [Verificare con il legale se richiedono menzione nella cookie policy.]

Quando apri la pagina di pagamento di Stripe o la pagina di accesso di Google, quei servizi possono usare propri cookie sui loro domini, secondo le rispettive informative.

6. Destinatari e fornitori

I dati sono trattati da personale autorizzato e dai seguenti fornitori, nominati responsabili del trattamento ove previsto:

  • Hosting dell'applicazione: [nome del fornitore, sede, regione dei server].
  • Database: [nome del fornitore, sede, regione UE dei server].
  • Pagamenti: [Stripe Payments Europe, Ltd., Irlanda], per la gestione dell'abbonamento e dei pagamenti.
  • Accesso con Google e servizi collegati (Calendar, Contatti, Gmail): [Google Ireland Limited], solo se scegli di usarli (vedi Dati dei servizi Google).
  • Protezione da bot e attacchi: [Cloudflare, Inc., Stati Uniti] (Turnstile, verifica anti-bot nei moduli di accesso, e gestione DNS dei domini) e [Vercel Inc., Stati Uniti] (BotID e firewall dell'applicazione).
  • Controllo delle password compromesse: il servizio Have I Been Pwned riceve solo un frammento anonimo dell'impronta della password, che non permette di risalire a te né alla password: non riceve dati personali.
  • Email di servizio: [Resend, sede], per l'invio delle email transazionali.
  • Consulenti (per esempio commercialista e consulenti legali), nei limiti necessari: [da completare].

I dati non sono venduti né ceduti a terzi per loro finalità.

7. Trasferimenti fuori dallo Spazio economico europeo

Il database e l'applicazione sono ospitati nell'Unione europea. Alcuni fornitori (per esempio Stripe, Google, Resend, Cloudflare e Vercel) appartengono a gruppi con sede negli Stati Uniti e potrebbero trasferire dati fuori dallo Spazio economico europeo. In questi casi il trasferimento avviene sulla base della decisione di adeguatezza UE-USA (EU-U.S. Data Privacy Framework), per i fornitori certificati, o delle clausole contrattuali standard approvate dalla Commissione europea. [Verificare per ciascun fornitore il meccanismo applicabile.]

8. Per quanto tempo conserviamo i dati

  • Dati dell'account e dello studio: per tutta la durata del rapporto e per [numero] giorni dopo la chiusura dell'account, per consentirti di esportare i dati; poi vengono cancellati.
  • Dati di fatturazione: 10 anni, come richiesto dalla normativa fiscale e civilistica (art. 2220 c.c.).
  • Dati di navigazione e log tecnici: [numero] giorni, salvo necessità di accertare illeciti.
  • Dati per la protezione dagli abusi: i contatori dei limiti di frequenza (validi fino a 24 ore), i tentativi di accesso non riusciti (validi 15 minuti) e gli indirizzi IP bloccati (blocco di durata massima 24 ore) vengono cancellati automaticamente dopo la scadenza, di norma entro pochi giorni.
  • Copie di backup del database: fino a [numero] giorni, dopo i quali vengono sovrascritte.
  • Comunicazioni via email: per il tempo necessario a gestire la richiesta e comunque non oltre [numero] mesi.

9. Dati dei pazienti

I dati dei pazienti (anagrafica, recapiti, visite, misure, anamnesi, esami, diete, appuntamenti) sono inseriti dal professionista, che ne è titolare del trattamento e che fornisce ai pazienti la propria informativa. DietaPiù li tratta come responsabile del trattamento ai sensi dell'art. 28 GDPR, solo per fornire il servizio e secondo le istruzioni del professionista, come previsto dall'accordo sul trattamento dei dati contenuto nei termini di servizio.

Se sei un paziente e vuoi esercitare i tuoi diritti, rivolgiti al professionista che ti segue. Se la richiesta arriva a noi, la inoltriamo al professionista senza ritardo.

10. I tuoi diritti

Puoi chiedere in qualsiasi momento l'accesso ai tuoi dati, la rettifica, la cancellazione, la limitazione del trattamento, la portabilità e opporti al trattamento basato sul legittimo interesse (articoli 15-22 GDPR). Se il trattamento si basa sul consenso puoi revocarlo in ogni momento, senza effetto sui trattamenti già svolti.

Per esercitare i diritti scrivi a [indirizzo email privacy]. Rispondiamo entro un mese dalla richiesta. Hai anche il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

11. Sicurezza

Adottiamo misure tecniche e organizzative adeguate a proteggere i dati, descritte nella pagina Sicurezza e dati.

12. Modifiche a questa informativa

Possiamo aggiornare questa informativa per modifiche normative o del servizio. Le modifiche rilevanti vengono comunicate agli utenti via email o all'interno della piattaforma. La data dell'ultimo aggiornamento è indicata in cima alla pagina.