1. Titolare del trattamento
NutrizionistaIn è una denominazione commerciale usata per identificare il servizio; non è un marchio registrato e non costituisce ragione sociale. Il Titolare del trattamento è:
- Francesco Barbarotto, titolare di Partita IVA n. 07423470827 (ditta individuale — ATECO 62.20.10 consulenza informatica)
- Domicilio fiscale: Via Lorenzo Perosi 47, 90047 Partinico (PA), Italia
- Email privacy: privacy@nutrizionistain.it
- Email generale: info@nutrizionistain.it
Non è stato nominato un DPO ai sensi dell'art. 37 GDPR. Per ogni questione privacy utilizzare privacy@nutrizionistain.it.
2. Ruoli nel trattamento: Titolare e Responsabile (art. 28 GDPR)
Dati del Cliente (account, fatturazione, supporto): Francesco Barbarotto / NutrizionistaIn agisce come Titolare del trattamento.
Dati dei pazienti/clienti dello studio inseriti dal Gestore:
- Il Gestore (Cliente) è Titolare del trattamento verso i propri pazienti.
- NutrizionistaIn tratta tali dati per conto del Gestore in qualità di Responsabile del trattamento, secondo l'Accordo sul trattamento dei dati (DPA) accettato in fase di registrazione.
- Il Gestore deve fornire ai pazienti un'informativa privacy conforme e disporre di base giuridica valida per ogni trattamento.
3. Categorie di dati trattati
- Dati identificativi e di contatto: nome, cognome, email, telefono, ragione sociale, P.IVA.
- Dati account: credenziali (password cifrate), ruoli, preferenze, log di accesso.
- Dati contrattuali e di fatturazione: piano, storico abbonamenti, fatture, ID transazioni Stripe.
- Dati operativi del Gestore: pazienti, prenotazioni, percorsi alimentari, abbonamenti, note, immagini, documenti.
- Documenti e dati particolari (art. 9 GDPR): ove il Gestore carichi certificati medici o altri dati appartenenti a categorie particolari, tali dati sono trattati da NutrizionistaIn solo come Responsabile del trattamento secondo DPA e istruzioni del Gestore. Il Gestore è Titolare e deve disporre di base giuridica idonea (es. consenso esplicito o altro presupposto di legge). La piattaforma non è un dispositivo medico né sostituisce valutazioni sanitarie.
- Dati IA: prompt, conversazioni e contenuti usati per funzionalità di assistenza automatizzata, nei limiti del piano.
- Dati tecnici: indirizzo IP, user agent, timestamp, log di sicurezza e diagnostica.
- Comunicazioni: richieste a supporto, ticket, email transazionali.
- Dati di pagamento: elaborati da Stripe; NutrizionistaIn non conserva i numeri completi di carta di credito/debito.
4. Finalità e basi giuridiche (art. 6 GDPR)
| Categoria / finalità | Base giuridica |
|---|---|
| Registrazione, erogazione piattaforma, gestione workspace | Art. 6(1)(b) — esecuzione contratto |
| Pagamenti, fatturazione, adempimenti fiscali | Art. 6(1)(b) contratto; art. 6(1)(c) obbligo legale |
| Supporto tecnico e assistenza clienti | Art. 6(1)(b) contratto; art. 6(1)(f) interesse legittimo |
| Sicurezza, prevenzione abusi, log tecnici | Art. 6(1)(f) — interesse legittimo alla sicurezza |
| Trattamento dati pazienti per conto del Gestore (DPA) | Art. 6(1)(b) contratto; istruzioni del Titolare (Gestore) |
| Funzionalità IA (assistente, automazioni) | Art. 6(1)(b) contratto |
| Categorie particolari (es. certificati medici) inserite dal Gestore | Art. 9 GDPR — base giuridica a carico del Gestore (Titolare); NutrizionistaIn agisce come Responsabile ex art. 28 |
| Newsletter e marketing verso il Cliente (se attivato) | Art. 6(1)(a) — consenso (revocabile) |
| Cookie tecnici del sito | Art. 6(1)(f) / necessità tecnica — vedi Cookie Policy |
5. Periodi di conservazione
- Dati account attivo: per tutta la durata del contratto.
- Dopo cessazione account: cancellazione o anonimizzazione entro 90 giorni, salvo obblighi di legge o contestazioni.
- Dati fatturazione e contabili: 10 anni (obblighi fiscali e civilistici).
- Log tecnici e sicurezza: fino a 12 mesi, salvo indagini su incidenti.
- Ticket supporto: fino a 24 mesi dalla chiusura.
- Dati pazienti (trattati come Responsabile): secondo istruzioni del Gestore e termini del DPA; alla cessazione, restituzione/cancellazione entro 90 giorni salvo legge.
- Consenso marketing: fino a revoca o 24 mesi di inattività.
6. Destinatari e responsabili del trattamento (sub-processori)
I dati possono essere trattati da soggetti nominati Responsabili ex art. 28 GDPR:
- Hosting VPS (infrastruttura applicativa, Italia/UE): esecuzione delle applicazioni, servizi e componenti runtime su server gestiti dal Titolare/Fornitore in territorio italiano/UE.
- OVHcloud (database gestito, Regione UE): conservazione di database e relativi backup gestiti su infrastruttura cloud OVH in datacenter situati nell'Unione Europea. Informativa: ovhcloud.com — protezione dei dati.
- Stripe, Inc. (USA) — elaborazione pagamenti e gestione abbonamenti. Trasferimento extra-UE con Standard Contractual Clauses (SCC) e misure supplementari. Informativa: stripe.com/privacy.
- Mailcow / Postfix (email self-hosted, Italia): invio e ricezione email transazionali e caselle tecniche ospitate su infrastruttura controllata.
- OpenAI, LLC (USA) — elaborazione di prompt e contenuti strettamente necessari all'assistente IA e alle automazioni del piano; trasferimento extra-UE con SCC e misure supplementari. Informativa: openai.com/privacy.
L'elenco aggiornato dei sub-responsabili è disponibile nel DPA e su richiesta a privacy@nutrizionistain.it. Non vendiamo dati personali a terze parti.
7. Trasferimenti verso Paesi extra SEE
I dati sono trattati principalmente nell'Unione Europea (infrastruttura applicativa e database OVHcloud in Regione UE). Eventuali trasferimenti verso Paesi terzi (es. Stripe o OpenAI negli USA) avvengono con garanzie adeguate ex artt. 44–49 GDPR, incluse le Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea e misure tecniche/organizzative supplementari ove necessario.
8. Misure di sicurezza e data breach
Adottiamo misure tecniche e organizzative adeguate: cifratura in transito (TLS), controllo accessi, backup infrastrutturali, segregazione ambienti, aggiornamenti di sicurezza.
In caso di violazione dei dati personali (data breach), adottiamo le procedure previste dagli artt. 33–34 GDPR, incluse notifiche al Garante e agli interessati quando richiesto.
9. Diritti dell'interessato (artt. 15–22 GDPR)
L'interessato può esercitare i seguenti diritti, nei limiti di legge:
- accesso (art. 15); rettifica (art. 16); cancellazione (art. 17); limitazione (art. 18);
- portabilità (art. 20); opposizione (art. 21); revoca consenso (art. 7);
- reclamo al Garante (garanteprivacy.it).
Clienti NutrizionistaIn: richieste a privacy@nutrizionistain.it (riscontro entro 30 giorni, prorogabili per complessità).
Pazienti degli studi: rivolgersi al Gestore (Titolare); NutrizionistaIn assiste il Gestore nei limiti del DPA.
10. Cookie e tracciamento
Il sito marketing utilizza esclusivamente cookie tecnici e di sessione. Non utilizziamo cookie di profilazione o analytics di terze parti (Google Analytics, Meta Pixel, ecc.).
Dettagli nella Cookie Policy.
11. Minori
I servizi sono rivolti a professionisti. Non raccogliamo intenzionalmente dati di minori tramite il sito marketing. I dati di minori pazienti possono essere trattati dal Gestore nella piattaforma: spetta al Gestore garantire le basi giuridiche e le informative corrette.
12. Aggiornamenti
Questa informativa può essere aggiornata. La versione vigente è pubblicata su questa pagina con data di revisione. Modifiche sostanziali possono essere comunicate via email agli account registrati.
13. Contatti
Francesco Barbarotto — P.IVA 07423470827 — Via Lorenzo Perosi 47, Partinico (PA).
Privacy: privacy@nutrizionistain.it
DPA: /dpa