ai sensi e per gli effetti di cui agli artt. 13 e 14 del Regolamento UE n. 2016/679 (GDPR)
HYPAZ SRL (di seguito "Nutribot") desidera informarLa che il Regolamento Europeo n. 679 del 27 aprile 2016 (GDPR), e le sue successive modifiche o integrazioni, prevedono la tutela delle persone fisiche con riguardo al trattamento dei loro dati personali e che pertanto, i Suoi dati verranno trattati in modo conforme alle norme e nel rispetto delle normali prerogative, opportunità ed obblighi di riservatezza che presidiano le nostre attività.
La presente informativa riguarda il trattamento dei dati personali appartenenti agli utenti professionisti (nutrizionisti, dietisti e professionisti sanitari) registrati sulla piattaforma accessibile tramite il sito www.nutribot.it (di seguito "Piattaforma") e si estende a tutte le persone fisiche operanti nelle relative organizzazioni. Per il trattamento dei dati personali dei pazienti degli Utenti, si rimanda alla sezione 8 della presente informativa.
Ai sensi degli articoli 13 e 14 del Regolamento UE 2016/679, Le forniamo pertanto le seguenti informazioni.
Il Titolare del trattamento è HYPAZ SRL,
con sede legale in Val della Torre (TO), via Castello, 10040,
P.IVA 13414550015
privacy.section1.pec
Email (per finalità privacy): support@nutribot.it – PEC: hypaz@pec.it
Sito web: www.nutribot.it
Lo scopo di questa informativa è di informare tutti gli utenti registrati della Piattaforma (professionisti, tecnici, lavoratori autonomi) che i dati personali forniti sono necessari per le seguenti finalità:
In relazione alle finalità sovraesposte (punto 2) i dati sono oggetto di trattamento informatico secondo modalità supportate dalla predisposizione di misure di sicurezza che NUTRIBOT ritiene adeguate allo stato dell'arte e alla natura del trattamento, tra cui: crittografia dei dati in transito (TLS/SSL), crittografia dei token di autenticazione a servizi terzi (crittografia simmetrica Fernet), controllo degli accessi basato su ruoli, infrastruttura cloud con certificazione ISO 27001. NUTRIBOT non garantisce l'assoluta inviolabilità di tali misure. Il trattamento è svolto in forma automatizzata ad opera del Titolare e degli eventuali incaricati appositamente formati, istruiti ed obbligati alla più totale riservatezza.
Il Titolare si ispira al principio di minimizzazione dei dati, raccogliendo i dati adeguati e pertinenti all'attività richiesta o alla fase dell'attività in corso di svolgimento.
Le attività di trattamento possono riguardare, a titolo esemplificativo e non esaustivo, le fasi di: raccolta, conservazione, archiviazione, consultazione, trasmissione a fornitori di servizi AI e di misurazione, comunicazione, elaborazione automatizzata tramite intelligenza artificiale, cancellazione, ecc.
I dati personali vengono raccolti sia al momento della registrazione e della conclusione del rapporto contrattuale sia durante l'utilizzo della Piattaforma e dei relativi Servizi.
I dati trattati relativi all'Utente comprendono, a titolo esemplificativo e non esaustivo: dati anagrafici (nome, cognome, data di nascita), dati di contatto (email, telefono, indirizzo), dati fiscali (Partita IVA), dati di pagamento (elaborati tramite il processore Stripe — NUTRIBOT non memorizza dati di carte di credito), dati di autenticazione (gestiti tramite Firebase Authentication di Google), nonché ogni altro dato che l'Utente conferisca nell'ambito dell'utilizzo della Piattaforma.
Con riferimento ai pazienti dell'Utente, la Piattaforma tratta dati relativi alla salute ai sensi dell'art. 9 del GDPR ("categorie particolari di dati personali"), tra cui: anamnesi patologica e familiare, diagnosi attuali e passate, farmaci e integratori in uso, storia chirurgica, valori di esami del sangue (50+ parametri ematici), misurazioni antropometriche (28+ parametri corporei), salute gastrointestinale, salute ginecologica, disturbi alimentari, abitudini di vita (fumo, sonno, stress), e fotografie corporee per la misurazione da remoto. Per il trattamento di tali dati si rimanda alla sezione 8 della presente informativa.
La Piattaforma tratta inoltre: cronologia delle conversazioni con l'Assistente AI, dati di utilizzo dei Servizi (token consumati, operazioni effettuate), eventi del calendario (che possono contenere nominativi di pazienti).
La mancata comunicazione e/o il diniego al trattamento dei dati personali dell'Utente rende impossibile la costituzione e il prosieguo del rapporto contrattuale e l'erogazione dei Servizi.
Nel rispetto dei principi di liceità, limitazione delle finalità e minimizzazione dei dati, i dati personali sono conservati secondo le seguenti tempistiche:
Per l'erogazione dei Servizi, i dati possono essere comunicati a soggetti terzi, tra cui, a titolo esemplificativo e non esaustivo, i seguenti fornitori. L'elenco aggiornato dei fornitori è mantenuto da NUTRIBOT e disponibile su richiesta:
Per quanto a conoscenza di NUTRIBOT alla data della presente informativa, alcuni dei fornitori sopra indicati hanno sede negli Stati Uniti d'America. Il trasferimento dei dati personali verso tali soggetti avviene sulla base di garanzie adeguate ai sensi dell'art. 46 GDPR, tra cui Clausole Contrattuali Standard (SCC) adottate dalla Commissione Europea e, ove applicabile, ai sensi del EU-U.S. Data Privacy Framework (DPF). NUTRIBOT non è responsabile per eventuali modifiche alle garanzie adottate dai fornitori terzi. L'Utente può richiedere copia delle garanzie adottate contattando support@nutribot.it.
I soggetti terzi ai quali i dati vengono comunicati, ove svolgano attività di trattamento, sono designati dal Titolare quali responsabili esterni del trattamento ai sensi dell'art. 28 GDPR, con specifiche istruzioni. Il Titolare può fornire l'elenco completo e aggiornato dei sub-responsabili su richiesta.
I dati potranno inoltre essere comunicati a consulenti (commercialisti, avvocati, consulenti fiscali) per l'adempimento degli obblighi di legge, amministrativi e fiscali, nonché ad enti pubblici in ottemperanza di obblighi di legge o della Pubblica Autorità e dell'Autorità Giudiziaria.
Nutribot desidera informarLa che, in qualità di interessato, ha diritto di proporre reclamo all'Autorità Garante per la Protezione dei Dati Personali (www.garanteprivacy.it), nonché di esercitare i diritti di seguito elencati, che potrà far valere rivolgendo apposita richiesta scritta al Titolare del trattamento, indicato al punto 1.
Art. 15 - Diritto di accesso
L'interessato ha il diritto di ottenere conferma dal Titolare del trattamento che sia o meno in corso un trattamento di dati personali che lo riguarda e, in tal caso, ottenere l'accesso ai dati personali e alle informazioni riguardanti il trattamento.
Art. 16 - Diritto di rettifica
L'interessato ha il diritto di ottenere dal Titolare del trattamento la rettifica dei dati personali inesatti che lo riguardano senza ingiustificato ritardo. Tenuto conto delle finalità del trattamento, l'interessato ha anche il diritto di ottenere l'integrazione dei dati personali incompleti, fornendo una dichiarazione integrativa.
Art. 17 - Diritto alla cancellazione (diritto all'oblio)
L'interessato ha il diritto di ottenere dal Titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo. La cancellazione dell'account è disponibile tramite l'apposita funzione sulla Piattaforma e prevede un periodo di grazia di 30 giorni, al termine del quale tutti i dati vengono definitivamente eliminati.
Art. 18 - Diritto di limitazione del trattamento
L'interessato ha il diritto di ottenere dal Titolare del trattamento la limitazione del trattamento quando ricorre una delle seguenti ipotesi:
Art. 20 - Diritto alla portabilità dei dati
L'interessato ha il diritto di ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali che lo riguardano forniti al Titolare, e ha il diritto di trasmettere tali dati a un altro titolare del trattamento senza impedimenti.
Nell'esercitare i propri diritti relativamente alla portabilità dei dati, l'interessato ha il diritto di ottenere la trasmissione diretta dei dati personali da un titolare del trattamento all'altro, se tecnicamente fattibile.
Art. 21 - Diritto di opposizione
L'interessato ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, al trattamento dei dati personali che lo riguardino, anche in termini di profilazione, ai sensi dell'articolo 6, paragrafo 1, lettere e) o f).
Art. 22 - Processo decisionale automatizzato e profilazione
L'interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida significativamente sulla sua persona. La Piattaforma utilizza sistemi di intelligenza artificiale per elaborare piani alimentari, calcolare indicatori nutrizionali (BMI, WHtR, rischio cardiometabolico, proiezioni peso) e fornire risposte tramite l'Assistente AI. Tali elaborazioni sono strumenti di supporto che non producono decisioni automatizzate con effetti giuridici e devono essere soggette alla revisione e approvazione dell'Utente professionista prima di qualsiasi utilizzo. L'Utente è l'unico responsabile dell'uso di tali elaborazioni.
Può esercitare i Suoi diritti con richiesta scritta inviata a support@nutribot.it o tramite PEC all'indirizzo hypaz@pec.it.
La presente sezione disciplina il trattamento dei dati personali, inclusi i dati relativi alla salute (art. 9 GDPR), dei pazienti dell'Utente inseriti nella Piattaforma.
Ruoli e responsabilità
L'Utente, in qualità di professionista sanitario (nutrizionista, dietista o altro professionista del settore), è l'unico Titolare autonomo del trattamento dei dati personali dei propri pazienti ai sensi dell'art. 4.7 GDPR e l'unico responsabile della liceità del loro inserimento nella Piattaforma. NUTRIBOT mette a disposizione dell'Utente un'infrastruttura tecnologica per il trattamento dei dati e non assume alcuna responsabilità in merito alla liceità, correttezza o completezza dei dati inseriti dall'Utente. L'Utente manleva integralmente NUTRIBOT da ogni responsabilità, sanzione, richiesta risarcitoria o contestazione derivante dal trattamento dei dati dei propri pazienti. L'Utente è responsabile di: informare adeguatamente i propri pazienti circa il trattamento dei loro dati attraverso la Piattaforma, inclusi i trasferimenti a servizi terzi; acquisire il consenso esplicito dei pazienti per il trattamento dei dati relativi alla salute ai sensi dell'art. 9.2.a del GDPR; verificare la liceità del trasferimento dei dati verso i fornitori indicati nella sezione 6.
Misure di sicurezza
NUTRIBOT adotta misure tecniche e organizzative che ritiene adeguate alla protezione dei dati dei pazienti, in conformità allo stato dell'arte e alla natura del trattamento. NUTRIBOT non garantisce l'assoluta inviolabilità di tali misure. In caso di violazione dei dati personali (data breach), si applica la disciplina di cui agli artt. 33, 34 e 82 del GDPR.
Sub-responsabili del trattamento
Per l'erogazione dei Servizi, i dati dei pazienti possono essere trasmessi ai sub-responsabili indicati nella sezione 6, nei limiti strettamente necessari per l'erogazione di ciascun specifico servizio. In particolare: Anthropic riceve riepiloghi dei dati dei pazienti, di norma in forma pseudonimizzata, per la generazione dei piani alimentari; OpenAI riceve il contenuto delle conversazioni con l'Assistente AI, che possono includere dati identificativi del paziente qualora l'Utente faccia riferimento ai pazienti per nome; il fornitore terzo di computer vision riceve email, nome, genere, altezza e peso del paziente per le misurazioni da remoto.
Data Processing Agreement
L'Utente può, se lo ritiene opportuno, richiedere la stipulazione di un formale Data Processing Agreement (DPA) ai sensi dell'art. 28 GDPR contattando support@nutribot.it. La stipulazione di un DPA non implica l'assunzione da parte di NUTRIBOT di alcuna responsabilità ulteriore rispetto a quella espressamente prevista dal DPA stesso. Ogni eventuale responsabilità di NUTRIBOT ai sensi del DPA sarà in ogni caso limitata all'importo del canone annuale di Abbonamento corrisposto dall'Utente.
Il sottoscritto dichiara di avere ricevuto le informazioni di cui agli artt. 13 e 14 del Regolamento UE 2016/679, in particolare riguardo ai diritti riconosciuti dal Regolamento UE 2016/679 e s.m.i., di aver preso visione dei relativi documenti e di acconsentire, ai sensi e per gli effetti dell'art. 7 e ss. del Regolamento, al trattamento dei dati personali, anche di categorie particolari ai sensi dell'art. 9, con le modalità e per le finalità indicate nella informativa stessa, comunque strettamente connesse e strumentali alla gestione del rapporto contrattuale e all'erogazione dei Servizi della Piattaforma.