Come trattiamo i tuoi dati.

Il titolare del trattamento dei dati personali raccolti tramite il sito lamiadieta.luzaonline.net e l'applicazione KetoPath è Carlo Santoleri, in qualità di persona fisica. Per qualunque richiesta relativa alla presente informativa o all'esercizio dei diritti di cui agli artt. 15-22 GDPR puoi scrivere all'indirizzo email carlo.santoleri@gmail.com.

Non è stato nominato un Responsabile della Protezione dei Dati (DPO) in quanto non ricorrono i presupposti obbligatori di cui all'art. 37 GDPR. Il titolare resta comunque l'unico referente per ogni richiesta e si impegna a rispondere entro 30 giorni dalla ricezione, salvo proroghe motivate ai sensi dell'art. 12 par. 3 GDPR.

Dati di account e autenticazione: indirizzo email, nome visualizzato, password (memorizzata esclusivamente come hash scrypt, mai in chiaro), identificativo OAuth se accedi tramite Google, data di creazione dell'account, data dell'ultimo accesso, indirizzo IP di sessione e identificativo del dispositivo.

Dati di profilo nutrizionale: data di nascita, sesso biologico (necessario al calcolo del metabolismo basale secondo la formula Mifflin-St Jeor), altezza, peso iniziale, peso obiettivo, livello di attività fisica, protocollo di digiuno intermittente preferito, esclusioni alimentari (allergie, intolleranze, scelte etiche).

Dati di tracking (categoria particolare ai sensi dell'art. 9 GDPR — vedi sezione successiva): pesate ricorrenti, misure corporee, eventuali fotografie di progresso caricate volontariamente, registrazioni di check-in soggettivi quotidiani (energia, sonno, fame, umore), sintomi associati ai digiuni, sessioni di digiuno avviate e completate.

Dati di pagamento e fatturazione: identificativo cliente Stripe, ultime quattro cifre della carta utilizzata, stato dell'abbonamento, periodi di rinnovo e fatture. La carta di pagamento non viene mai trasmessa ai nostri server: è gestita interamente dalla piattaforma Stripe Inc. e dalla sua controllata europea (vedi sezione "Destinatari").

Dati tecnici di funzionamento: log di errore lato server (senza riferimenti diretti ai dati di salute), preferenze di sessione (lingua, locale, consenso cookie), tipo di browser e sistema operativo per finalità di compatibilità e sicurezza.

I dati di tracking (peso, misure, foto, sintomi, check-in soggettivi) rientrano nella nozione di "dati relativi alla salute" di cui all'art. 4 n. 15 e art. 9 GDPR. Il loro trattamento richiede una base giuridica rafforzata, individuata nel consenso esplicito da te prestato in sede di onboarding (art. 9 par. 2 lett. a GDPR), che puoi revocare in qualsiasi momento dalla pagina Profilo > Dati senza che ciò pregiudichi la liceità del trattamento effettuato prima della revoca.

Questi dati sono cifrati at-rest tramite algoritmo AES-GCM 256 a livello applicativo prima di essere persistiti nel database, in aggiunta alla cifratura del filesystem del server. Non vengono utilizzati per profilazione, scoring sanitario o decisioni automatizzate ai sensi dell'art. 22 GDPR, né condivisi con compagnie assicurative, datori di lavoro, autorità sanitarie o terzi a fini commerciali. I log applicativi sono configurati per non includere alcun campo classificato come dato di salute.

Erogare il servizio: creare il tuo account, calcolare fabbisogno calorico e macros, generare il piano alimentare settimanale e la lista della spesa, mostrarti grafici di andamento, gestire le sessioni di digiuno, inviarti i promemoria che hai esplicitamente scelto di ricevere.

Gestire l'abbonamento: fatturare il periodo di prova (gratuito 30 giorni) e gli eventuali rinnovi del piano Pro, conservare le fatture per gli obblighi fiscali, comunicarti scadenze e cambi di stato dell'abbonamento.

Garantire la sicurezza: rilevare e prevenire accessi abusivi, frodi sui pagamenti, abusi dell'API, attacchi automatizzati. Per questa finalità conserviamo per un periodo limitato gli indirizzi IP di sessione e i tentativi di accesso falliti.

Adempiere a obblighi di legge: conservare la documentazione fiscale e contabile, rispondere a richieste motivate dell'autorità giudiziaria, dell'autorità garante per la protezione dei dati personali o di altre autorità competenti.

Per i dati di account e per l'esecuzione del piano alimentare la base giuridica è l'esecuzione del contratto di cui sei parte ai sensi dell'art. 6 par. 1 lett. b GDPR.

Per i dati relativi alla salute (peso, misure, foto, sintomi, check-in) la base giuridica è il tuo consenso esplicito ai sensi dell'art. 9 par. 2 lett. a GDPR, prestato durante l'onboarding insieme all'accettazione del disclaimer medico.

Per la fatturazione, la sicurezza, la prevenzione frodi e la conservazione dei log la base giuridica è il legittimo interesse del titolare e l'adempimento di obblighi legali ai sensi dell'art. 6 par. 1 lett. c ed f GDPR.

I tuoi dati sono accessibili al solo titolare e ai fornitori di servizi tecnici ("responsabili del trattamento" ai sensi dell'art. 28 GDPR) strettamente necessari all'erogazione del servizio. Tutti i responsabili sono vincolati da un accordo (Data Processing Agreement) che ne disciplina obblighi e limiti.

Hosting e database: il server applicativo, il database PostgreSQL e Redis sono ospitati su infrastruttura Virtualmin/VPS gestita all'interno dell'Unione Europea. I backup giornalieri sono cifrati e conservati sullo stesso provider.

Autenticazione Google (opzionale): se scegli di accedere con Google, Google Ireland Limited tratta il tuo indirizzo email e il tuo nome al solo scopo di autenticarti. KetoPath riceve esclusivamente le informazioni minime di profilo necessarie a creare la sessione.

Pagamenti: Stripe Payments Europe Limited (sede in Irlanda) elabora le transazioni economiche e gestisce direttamente i dati della carta. KetoPath riceve da Stripe soltanto i metadati strettamente necessari alla fatturazione e all'identificazione del cliente.

Email transazionali: SendGrid (Twilio Inc.) viene utilizzato per l'invio di email di sistema (conferma account, reset password, promemoria di rinnovo). A SendGrid trasmettiamo unicamente il tuo indirizzo email e il contenuto della comunicazione.

Storage delle foto progresso: le immagini che decidi di caricare sono archiviate su Cloudflare R2 in region europea, accessibili tramite URL firmati a scadenza breve. Nessun altro soggetto può accedere alle tue foto.

Alcuni responsabili (Stripe, SendGrid, Cloudflare) appartengono a gruppi societari con sede negli Stati Uniti. I trasferimenti di dati al di fuori dello Spazio Economico Europeo sono effettuati sulla base delle Clausole Contrattuali Standard approvate dalla Commissione Europea (decisione 2021/914) e, ove applicabile, sulla base del Data Privacy Framework UE-USA.

Su richiesta puoi ottenere copia delle garanzie contrattuali in essere scrivendo all'indirizzo email del titolare.

Dati di account: per tutta la durata del tuo utilizzo del servizio e fino a 12 mesi dall'ultimo accesso, dopodiché l'account è soggetto a procedura di chiusura automatica con preavviso. Su tua richiesta possiamo procedere alla cancellazione immediata.

Dati relativi alla salute: per la durata dell'account, salvo revoca del consenso. Alla cancellazione dell'account vengono rimossi entro 30 giorni, esclusi i backup cifrati che decadono al massimo entro 90 giorni dalla cancellazione.

Dati fiscali e di fatturazione: 10 anni dalla data di emissione del documento, in adempimento agli obblighi del Codice Civile e della normativa fiscale italiana.

Adottiamo misure tecniche e organizzative adeguate al rischio (art. 32 GDPR): connessione HTTPS con certificato Let's Encrypt, cifratura del database a livello di disco e a livello di campo per i dati sensibili, hashing scrypt delle password, rate limiting sulle API, accesso al server limitato a chiavi SSH dedicate, backup giornalieri cifrati, monitoraggio degli accessi anomali e degli errori applicativi.

Nonostante l'impegno costante, nessun sistema può garantire la sicurezza assoluta. Ti chiediamo di scegliere una password robusta, di non condividerla e di segnalarci immediatamente qualunque attività sospetta sul tuo account.

Hai il diritto di accedere ai tuoi dati (art. 15), di chiederne la rettifica (art. 16), la cancellazione (art. 17 — diritto all'oblio), la limitazione del trattamento (art. 18), di ricevere i dati in formato strutturato e leggibile da dispositivo automatico per trasmetterli ad altro titolare (art. 20 — portabilità), di opporti al trattamento (art. 21) e di revocare in qualsiasi momento il consenso prestato senza pregiudizio per la liceità del trattamento precedente.

Puoi esercitare questi diritti direttamente dalla pagina Profilo > Dati (esportazione e cancellazione) oppure scrivendo a carlo.santoleri@gmail.com. La risposta è gratuita e ti perverrà entro 30 giorni, salvo proroga motivata.

Se ritieni che il trattamento dei tuoi dati violi il GDPR puoi proporre reclamo al Garante per la Protezione dei Dati Personali (Piazza Venezia 11, 00187 Roma — www.garanteprivacy.it) o all'autorità di controllo dello Stato membro UE in cui risiedi abitualmente.

Il servizio è destinato esclusivamente a persone maggiorenni. Non raccogliamo intenzionalmente dati di minori di 18 anni. Se vieni a conoscenza di un account riconducibile a un minore, ti invitiamo a segnalarcelo: provvederemo alla rimozione immediata.

KetoPath utilizza esclusivamente cookie tecnici di sessione e cookie di funzionalità (preferenze di lingua, conferma dell'avviso cookie). Non utilizziamo cookie di profilazione né tracker di terze parti: nessun Google Analytics, nessun pixel pubblicitario.

L'unica eccezione riguarda Stripe, che durante le pagine di checkout può impostare cookie di sicurezza necessari a prevenire frodi sui pagamenti: si tratta di cookie tecnici esenti dal consenso ai sensi del provvedimento del Garante del 10 giugno 2021.

Possiamo aggiornare questa informativa quando cambiamo le finalità, le tecnologie o i fornitori che trattano i tuoi dati. In caso di modifiche sostanziali ti avviseremo via email o tramite un avviso visibile in app almeno 15 giorni prima dell'entrata in vigore. La data dell'ultimo aggiornamento è indicata in cima alla pagina.

Per ogni richiesta legata a questa informativa o all'esercizio dei tuoi diritti puoi scrivere a carlo.santoleri@gmail.com. Cerchiamo di rispondere il prima possibile e comunque entro i termini di legge.