# Informativa sulla Privacy - PappAI

> Come Electric Flock Ltd raccoglie, utilizza e protegge i tuoi dati personali.

Source: https://pappai.it/it/privacy-policy

## 1. Titolare del trattamento

Il titolare del trattamento per PappAI è **Electric Flock Ltd**, società costituita in Inghilterra e Galles (numero di iscrizione **16375990**), con sede legale in 27 Old Gloucester Street, Londra, Regno Unito WC1N 3AX.

Richieste in materia di privacy: [privacy@pappai.it](mailto:privacy@pappai.it). Supporto generale: [support@pappai.it](mailto:support@pappai.it).

## 2. Ambito di applicazione della presente informativa

La presente informativa si applica ai dati personali che Electric Flock Ltd tratta in qualità di **titolare del trattamento**, in particolare, i dati relativi ai professionisti della nutrizione che si registrano o utilizzano la piattaforma PappAI.

PappAI agisce altresì in qualità di **responsabile del trattamento** quando i professionisti della nutrizione (che operano a loro volta come titolari del trattamento) utilizzano la piattaforma per archiviare e gestire i dati sanitari dei propri pazienti. In tale veste, il trattamento effettuato da noi è disciplinato dal Data Processing Agreement (DPA) stipulato con il professionista e non dalla presente informativa. Il professionista rimane il solo responsabile della liceità del trattamento dei dati dei propri pazienti e della fornitura ai pazienti di adeguate informazioni sulla privacy.

## 3. Dati personali che raccogliamo sui professionisti

- **Dati dell'account:** nome, indirizzo e-mail, ruolo professionale e credenziali forniti in fase di registrazione.
- **Dati di fatturazione:** piano di abbonamento e stato dei pagamenti. I dati delle carte di pagamento vengono trattati direttamente da Stripe e non sono archiviati da Electric Flock Ltd.
- **Dati di utilizzo e operativi:** timestamp di accesso, interazioni con le funzionalità e segnalazioni di errori necessari per erogare e migliorare il servizio.
- **Log di sicurezza e audit:** registrazioni degli accessi e log delle interazioni con l'AI conservati per finalità di monitoraggio della sicurezza e conformità normativa.
- **Comunicazioni:** richieste di assistenza e corrispondenza inviate al nostro team.

## 4. Finalità e basi giuridiche

Finalità | Base giuridica (UK GDPR / EU GDPR)
Erogazione della piattaforma SaaS e del servizio in abbonamento | Art. 6(1)(b): esecuzione di un contratto
Creazione dell'account e autenticazione | Art. 6(1)(b): esecuzione di un contratto
Fatturazione ed elaborazione dei pagamenti | Art. 6(1)(b): esecuzione di un contratto; Art. 6(1)(c): obbligo legale (IVA, contabilità)
Monitoraggio della sicurezza, prevenzione degli abusi e audit logging | Art. 6(1)(f): legittimo interesse (protezione della piattaforma e dei suoi utenti)
Miglioramento del servizio e risoluzione di malfunzionamenti | Art. 6(1)(f): legittimo interesse (miglioramento dell'affidabilità e dell'esperienza utente)
Adempimento di obblighi legali e regolamentari | Art. 6(1)(c): obbligo legale

Non utilizziamo i dati che ci affidi come utente della piattaforma — inclusi i dati relativi alla salute — per finalità pubblicitarie, per profilazione a scopi di marketing, né per processi decisionali automatizzati che producano effetti giuridici o analogamente significativi. Sul solo sito pubblico pappai.it, e unicamente previo il tuo consenso alla categoria Marketing, utilizziamo pixel di misurazione pubblicitaria: vedi la Cookie Policy.

## 5. Destinatari e sub-responsabili del trattamento

Condividiamo i dati personali solo nella misura necessaria all'erogazione del servizio. I principali destinatari e sub-responsabili del trattamento sono:

- **Google LLC / Google Ireland Ltd** (Firebase Authentication, Firebase Cloud Messaging, Google Cloud Platform, Cloud Run, Cloud Storage, Vertex AI, Google Workspace per consulti video Meet; Google Analytics 4 per l'analisi del sito web pubblico, previo consenso): autenticazione, infrastruttura, AI, push notifications, videoconferenza.
- **Stripe, Inc.**: elaborazione dei pagamenti del professionista (SaaS) e dei pagamenti paziente-professionista via Stripe Connect. Stripe agisce come titolare autonomo del trattamento per determinati dati di pagamento ai sensi della normativa applicabile.
- **Brevo / Sendinblue SAS** (sede: Parigi, FR): invio di email transazionali e marketing, gestione suppression list.
- **Twilio Inc.**: invio SMS opzionali (promemoria appuntamenti, autenticazione a due fattori).
- **Meta Platforms Ireland Ltd** (WhatsApp Cloud API; Meta Pixel sul sito pubblico, previo consenso marketing): invio messaggi WhatsApp ove autorizzati dall'utente, misurazione delle campagne pubblicitarie. Per i messaggi WhatsApp Meta agisce come responsabile del trattamento; per i dati raccolti tramite il pixel agisce come contitolare del trattamento insieme a noi, limitatamente alla raccolta e alla trasmissione.
- **A-Cube S.r.l.**: intermediario fiscale tecnico per fatturazione elettronica SDI e per la trasmissione al Sistema Tessera Sanitaria, dove applicabile.
- **Microsoft Corporation** (solo previo consenso analytics): Microsoft Clarity per analytics utilizzo del sito web pubblico.
- **OpenAI Ireland Limited** (sede: Dublino, IE; per gli utenti residenti fuori dal SEE e dalla Svizzera il titolare e' OpenAI OpCo, LLC, San Francisco, US), solo previo consenso marketing: pixel di misurazione ChatGPT Ads sul sito web pubblico, per l'attribuzione delle campagne pubblicitarie. OpenAI agisce come titolare autonomo del trattamento per i dati raccolti tramite il pixel.

Non vendiamo dati personali a terzi. I dati della piattaforma e i dati relativi alla salute non vengono condivisi con reti pubblicitarie. Sul sito pubblico, previo consenso alla categoria Marketing, i pixel di misurazione descritti nella Cookie Policy trasmettono ai rispettivi fornitori dati di navigazione e l'evento di registrazione. L'elenco aggiornato dei sub-responsabili (incluse versioni dei DPA in essere) e' disponibile su richiesta a privacy@pappai.it.

## 6. Trasferimenti internazionali

Alcuni dei nostri sub-responsabili del trattamento (tra cui Google e Stripe) potrebbero trattare i dati al di fuori del Regno Unito e dello Spazio Economico Europeo. Laddove tali trasferimenti si verifichino, ci avvaliamo di adeguate garanzie:

- Per i trasferimenti dal Regno Unito: il UK International Data Transfer Agreement (IDTA) o il UK Addendum alle EU SCCs.
- Per i trasferimenti dallo SEE: le Clausole Contrattuali Standard (SCCs) della Commissione europea.
- Ove applicabili, le decisioni di adeguatezza adottate dal Segretario di Stato del Regno Unito o dalla Commissione europea.

## 7. Conservazione dei dati

- **Dati dell'account del professionista:** conservati per la durata dell'abbonamento e per un massimo di 3 anni dalla chiusura dell'account, al fine di gestire eventuali controversie e adempiere agli obblighi di legge.
- **Dati sanitari dei pazienti (Art. 9 GDPR):** trattati da PappAI in qualità di responsabile del trattamento per conto del professionista (Titolare). Il periodo di conservazione è stabilito dal professionista in base ai propri obblighi professionali e deontologici e agli obblighi fiscali applicabili; PappAI non opera come archivio di cartelle cliniche né impone autonomamente termini di conservazione clinico-sanitaria. Le modalità sono disciplinate dal Data Processing Agreement (DPA).
- **Dati di fatturazione e registrazioni finanziarie:** conservati per 10 anni in Italia (Art. 2220 Codice Civile) e per 7 anni nel Regno Unito, nel paese applicabile al singolo titolare/professionista.
- **Dati trasmessi al Sistema Tessera Sanitaria:** conservati per 10 anni a fini fiscali (Art. 2220 Codice Civile).

## 8. I tuoi diritti

Ai sensi del UK GDPR e dell'EU GDPR, hai i seguenti diritti in relazione ai tuoi dati personali:

- **Diritto di accesso**: ottenere una copia dei dati personali che conserviamo su di te.
- **Diritto di rettifica**: far correggere i dati inesatti.
- **Diritto alla cancellazione**: richiedere la cancellazione dei tuoi dati, fatti salvi gli obblighi legali di conservazione.
- **Diritto alla limitazione del trattamento**: limitare le modalità con cui trattiamo i tuoi dati in determinate circostanze.
- **Diritto alla portabilità dei dati**: ricevere i tuoi dati in un formato strutturato e leggibile da dispositivo automatico.
- **Diritto di opposizione**: opporsi al trattamento basato sul legittimo interesse.
- **Diritto di non essere sottoposto a decisioni automatizzate**: non adottiamo decisioni basate esclusivamente su processi automatizzati che producano effetti giuridici o analogamente significativi.

Per esercitare uno qualsiasi di questi diritti, contattaci all'indirizzo [privacy@pappai.it](mailto:privacy@pappai.it). Risponderemo entro un mese. Non addebitiamo alcun costo per le richieste standard.

## 9. Diritto di reclamo presso un'autorità di controllo

Se sei residente nel **Regno Unito**, hai il diritto di presentare un reclamo all'Information Commissioner's Office (ICO): [ico.org.uk](https://ico.org.uk).

Se sei residente nell'**Unione Europea**, puoi presentare un reclamo all'autorità di controllo del tuo paese di residenza o stabilimento (ad esempio: Garante Privacy in Italia, AEPD in Spagna, CNIL in Francia, BfDI in Germania, CNPD in Portogallo).

Ti invitiamo a contattarci prima, così da poter affrontare direttamente la tua segnalazione.

## 10. Dati di salute e fitness nell'app mobile (Apple Health / HealthKit)

L'app mobile PappAI è fornita direttamente a te, utente finale, e per i dati descritti in questa sezione **Electric Flock Ltd agisce in qualità di titolare del trattamento**. Puoi creare il tuo account con e-mail, Google o **Sign in with Apple**. Previo tuo consenso esplicito, l'app può connettersi ad **Apple Health (HealthKit)** su iOS (e a piattaforme equivalenti su altri sistemi) per importare i tuoi dati di fitness e le misurazioni corporee così da monitorare i tuoi progressi. Questa connessione è **del tutto facoltativa**: l'app è pienamente utilizzabile senza, e puoi concedere o revocare l'accesso in qualsiasi momento dalle impostazioni di sistema del dispositivo.

Quando attivi l'integrazione, l'app legge da Apple Health i seguenti dati:

- **Peso corporeo**
- **Conteggio passi** ed **energia attiva bruciata** (calorie)
- **Frequenza cardiaca**
- **Altezza**, **percentuale di massa grassa** e **analisi del sonno**, solo se concedi l'autorizzazione aggiuntiva facoltativa

Quando registri informazioni in PappAI, e solo se lo consenti, l'app scrive in Apple Health i seguenti dati per mantenere sincronizzati i tuoi registri:

- **Peso corporeo** che registri nell'app
- **Acqua assunta** (idratazione) che registri nell'app

I dati di salute e fitness che scegli di condividere vengono inviati ai nostri server (Google Cloud Platform) al solo scopo di fornire le funzionalità di monitoraggio dei progressi nell'app e, qualora tu sia collegato a un professionista della nutrizione, di renderli disponibili a tale professionista all'interno della piattaforma. Trattiamo questi dati sulla base del tuo **consenso esplicito** (Art. 9(2)(a) UK/EU GDPR) e per l'esecuzione del contratto con te (Art. 6(1)(b)). **Non utilizziamo mai i dati di Apple Health (HealthKit) (né alcun altro dato di salute e fitness) per finalità pubblicitarie o di marketing, non li vendiamo e non li condividiamo con terzi per loro finalità.** I dati HealthKit sono utilizzati esclusivamente per erogare funzionalità di salute e fitness all'interno di PappAI, in conformità ai requisiti HealthKit di Apple.

Se utilizzi la funzionalità facoltativa di **riconoscimento dei pasti tramite AI**, la foto del pasto che acquisisci viene elaborata dal nostro sub-responsabile AI (Google Vertex AI) al solo scopo di stimare gli alimenti e i relativi valori nutrizionali presenti nell'immagine. Le foto dei pasti non sono usate per finalità pubblicitarie né per addestrare modelli pubblicitari di terzi; tale trattamento è disciplinato dalla Sezione 5 (sub-responsabili) e dalla Sezione 6 (trasferimenti internazionali).

Puoi disconnettere Apple Health in qualsiasi momento dalle Impostazioni di iOS e puoi richiedere la cancellazione dei dati di salute sincronizzati tramite l'eliminazione dell'account in-app o contattando [privacy@pappai.it](mailto:privacy@pappai.it) (vedi Sezione 7 sulla conservazione).

## 11. Modifiche alla presente informativa

Potremmo aggiornare la presente informativa periodicamente. In caso di modifiche sostanziali, ne daremo comunicazione agli utenti registrati tramite e-mail o avviso in-app con almeno 14 giorni di anticipo rispetto all'entrata in vigore delle modifiche. La versione corrente e la relativa data di efficacia sono indicate in cima a questa pagina.