Informativa sulla privacy

Titolare del trattamento

Il titolare del trattamento è Bussolari Alessio, con sede in Via del Prete 121, 47841 Cattolica (RN), Italia. Per richieste sulla protezione dei dati puoi scrivere a [email protected].

Dati personali trattati

• Dati account: nome, cognome facoltativo, indirizzo email, lingua e unità di misura preferita.
• Dati di autenticazione e sicurezza: password conservata solo come hash, token e digest di sessione, indirizzo IP, user agent e codici temporanei per recupero password o cambio email.
• Foto e contenuti: immagini di prodotti o etichette, foto profilo, barcode, note facoltative e risultati delle analisi.
• Dati relativi a salute e alimentazione, tutti facoltativi: allergie, intolleranze, preferenze alimentari, obiettivo di carboidrati netti, porzioni e orari dei consumi.
• Attività nell'app: storico, ricette generate o salvate, lista della spesa, percorso iniziale, insight e notifiche.
• Dati dispositivo e tecnici: token Firebase per le notifiche, piattaforma, versione dell'app, crash, log redatti e dati di prestazione.
• Dati di acquisto dell'abbonamento Premium: store di acquisto (Apple o Google), prodotto e piano, identificativi e ricevute della transazione, stato, prova e scadenza. Non riceviamo i dati di pagamento.

Finalità e basi giuridiche

• Esecuzione del contratto (art. 6.1.b GDPR): creare e gestire l'account, analizzare gli alimenti, mostrare risultati, storico, ricette, obiettivi, insight e lista della spesa, verificare e gestire l'abbonamento Premium.
• Consenso (art. 6.1.a GDPR): attivare notifiche push e trattare le informazioni facoltative inserite dall'utente quando il consenso è richiesto. Il consenso può essere revocato senza pregiudicare i trattamenti precedenti.
• Consenso esplicito (art. 9.2.a GDPR): elaborare allergie e intolleranze scelte volontariamente per produrre avvertenze personalizzate. Il conferimento è facoltativo e tali dati possono essere rimossi dal profilo.
• Legittimo interesse (art. 6.1.f GDPR): sicurezza, prevenzione degli abusi, diagnosi degli errori e miglioramento dell'affidabilità, con dati minimizzati e redatti.
• Obbligo legale (art. 6.1.c GDPR): rispondere a richieste delle autorità e adempiere agli obblighi applicabili.

Allergie, intolleranze e dati dietetici

Questi dati servono soltanto a personalizzare avvertenze, suggerimenti e progressi. Se hai inserito allergie o intolleranze, l'elenco viene inviato a Google Gemini, tramite OpenRouter, a ogni analisi, solo per generare le avvertenze personalizzate. Non vengono usati per diagnosi, pubblicità o profilazione commerciale. èKeto non è un dispositivo medico e i risultati non sostituiscono il parere di un professionista.

Fornitori e destinatari

Per erogare il servizio utilizziamo fornitori che trattano soltanto i dati necessari al rispettivo incarico:

• Hetzner Online GmbH (Germania): hosting dell'applicazione, del database e dell'infrastruttura, su server nei data center di Falkenstein e Norimberga.
• Amazon Web Services EMEA SARL (Lussemburgo): conservazione delle foto e degli altri file tramite S3 nella regione di Francoforte (Germania) e dei backup del database nella regione Irlanda.
• OpenRouter, Inc. (Stati Uniti), che inoltra le richieste al modello Google Gemini di Google LLC (Stati Uniti): per ogni analisi riceve la foto, il testo dell'etichetta, le note facoltative e, per le avvertenze personalizzate, l'elenco di allergie, intolleranze e alimenti indesiderati che hai inserito nel profilo. Per le ricette riceve nome e ingredienti del prodotto analizzato e, se usi la dispensa, gli alimenti che contiene. Non includiamo automaticamente il tuo nome o indirizzo email nei dati inviati. Le foto e le note che fornisci possono però contenere dati personali.
• Google LLC (Stati Uniti), Firebase Cloud Messaging: token dispositivo e dati operativi necessari a consegnare le notifiche push.
• Plus Five Five, Inc., che opera come Resend (Stati Uniti): indirizzo email e contenuto delle email transazionali, come codici OTP e messaggi di sicurezza.
• Cloudflare, Inc. (Stati Uniti): rete che sta davanti al sito e all'API e li protegge dagli attacchi; tratta indirizzo IP e dati tecnici delle richieste e protegge l'accesso all'area di amministrazione.
• Apple Distribution International Ltd. (Irlanda) per l'App Store e Google Commerce Limited (Irlanda) per Google Play: vendono l'abbonamento e ne gestiscono pagamento e rinnovo come titolari autonomi del trattamento, secondo le proprie informative; ci comunicano lo stato dell'abbonamento.
• CloseYourIt: servizio di monitoraggio gestito dal titolare stesso su server Hetzner in Germania; riceve crash, log redatti e metriche tecniche per sicurezza e manutenzione. L'invio di dati personali identificativi è disattivato.

Trasferimenti internazionali

I nostri server (Hetzner, Germania) e gli archivi S3 (Germania e Irlanda) sono nell'Unione europea. Alcuni fornitori sono negli Stati Uniti o possono trattare dati anche lì: Google LLC (Gemini e Firebase), OpenRouter, Resend, Cloudflare e Amazon Web Services. Google, Amazon Web Services, Cloudflare e Resend aderiscono all'EU-U.S. Data Privacy Framework, riconosciuto adeguato dalla Commissione europea (art. 45 GDPR). Per OpenRouter il trasferimento si basa sulle clausole contrattuali standard approvate dalla Commissione europea (art. 46 GDPR). Apple e Google, come store, sono titolari autonomi e applicano le proprie garanzie. Puoi chiederci copia delle garanzie scrivendo a [email protected].

Tempi di conservazione

• Account, analisi, ricette, preferenze, consumi, lista della spesa e dati dell'abbonamento: fino alla cancellazione dell'account, salvo obblighi di legge.
• Foto delle analisi: fino alla cancellazione dell'account se il salvataggio è attivo; eliminate dopo l'elaborazione quando l'utente disattiva questa opzione.
• Sessioni di accesso: i token scadono al massimo entro 30 giorni e vengono invalidati con logout o cancellazione account.
• Codici per recupero password e cambio email: scadono dopo 15 minuti.
• Token push: fino a logout, cancellazione account o invalidazione da parte del dispositivo o di Firebase.
• CloseYourIt: i log sono conservati per 14 giorni dalla raccolta, le segnalazioni di errore e i dati diagnostici per 30 giorni dalla raccolta; poi sono eliminati automaticamente.
• Log dell'applicazione sui nostri server: al massimo 10 MB per container, sovrascritti progressivamente; i container delle versioni precedenti, con i loro log, vengono eliminati quando ne restano più di 5.
• Backup del database: eseguiamo un backup completo al giorno e conserviamo gli ultimi 7 backup completi con i dati necessari al ripristino. Gli oggetti di backup sono inoltre soggetti a una regola di scadenza di 60 giorni dalla creazione, applicata in modo asincrono dal fornitore. I backup servono soltanto al ripristino in caso di incidente e possono contenere dati cancellati dall'applicazione fino alla loro rimozione.

Diritti dell'interessato

Puoi esercitare accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e revoca del consenso ai sensi degli artt. 7 e 15-22 GDPR scrivendo a [email protected]. Risponderemo entro i termini di legge. Puoi cancellare account e dati direttamente dall'app. Hai inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali su www.garanteprivacy.it.

Dati dei minori

èKeto è destinata a persone di almeno 16 anni. Non raccogliamo consapevolmente dati di minori di 16 anni. Un genitore o tutore può scrivere a [email protected] per richiederne la cancellazione.

Analisi automatizzata e intelligenza artificiale

Google Gemini elabora immagini e contesto fornito dall'utente per stimare ingredienti, indice keto, carboidrati, avvertenze, alternative e ricette. Il risultato può essere errato e non produce effetti giuridici o analogamente significativi. L'utente può correggere l'identificazione, ripetere l'analisi e contattarci per chiarimenti.

Sicurezza

Adottiamo HTTPS/TLS, password con hashing irreversibile, token con scadenza e revoca, archiviazione sicura nell'app, limitazione delle richieste, controlli di accesso e redazione di credenziali e dati personali dai log. Nessun sistema è privo di rischi, ma applichiamo misure proporzionate ai dati trattati.

Niente pubblicità o vendita di dati

Non vendiamo dati personali, non mostriamo pubblicità, non utilizziamo advertising ID e non effettuiamo tracciamento pubblicitario tra app o siti di terzi.

Modifiche all'informativa

Potremo aggiornare questa informativa in caso di modifiche al servizio o alla normativa. Le modifiche sostanziali saranno comunicate nell'app, sul sito, via email o tramite notifica push quando appropriato.

Contatti

Bussolari Alessio — Via del Prete 121, 47841 Cattolica (RN), Italia — [email protected].