La presente Privacy Policy descrive come Digital Visions S.r.l.
(di seguito, "Mind & Food", già "EatCoach", "noi") raccoglie, utilizza e protegge i dati personali
degli utenti dell'app mobile e del sito web eatcoach.ai
(congiuntamente, il "Servizio"), in conformità al Regolamento (UE) 2016/679 (GDPR)
e alla normativa italiana vigente. Per gli utenti negli Stati Uniti si applica inoltre la
sezione USA (FTC Health Breach Notification Rule e Washington My Health My Data Act).
Sezione UE (GDPR) · US section (FTC HBNR, Washington MHMDA)
1. Titolare del trattamento
Digital Visions S.r.l.
Email: privacy@eatcoach.ai
2. Dati raccolti
2.1 Dati forniti direttamente dall'utente
- Account: nome, email, username, password (memorizzata con hash bcrypt).
- Profilo biometrico: sesso, data di nascita, altezza, peso, livello di attività, obiettivo (dimagrire, mantenere, ingrassare).
- Foto profilo: immagine caricata volontariamente dall'utente.
- Preferenze alimentari: restrizioni, allergie, intolleranze, tipo di dieta, condizioni mediche dichiarate.
- Dati di progresso: pesate, foto dei progressi, misurazioni corporee, log dei pasti consumati.
- Dati fitness: attività svolte, durata, calorie bruciate stimate.
- Contenuti Community: post, commenti, messaggi diretti, foto condivise.
- Dati finanziari (opzionali): transazioni e informazioni bancarie aggregate fornite tramite connessioni open banking protette, solo se l'utente attiva la funzionalità.
- Valori biologici (opzionali): esami del sangue caricati volontariamente per analisi AI.
2.2 Dati raccolti automaticamente
- Dati tecnici: indirizzo IP, tipo di dispositivo, sistema operativo, versione dell'app, crash logs anonimi.
- Dati di utilizzo: funzionalità usate, frequenza di apertura dell'app, analisi aggregate.
- Notifiche push: token device (solo se l'utente autorizza le notifiche).
2.3 Dati relativi alla salute
Peso, dati biometrici, foto corporee, valori biologici, condizioni di salute e farmaci
dichiarati sono "dati relativi alla salute" ai sensi dell'art. 9 GDPR. Il trattamento avviene
esclusivamente con il tuo consenso esplicito e solo per le finalità della sezione 3.
Vedi la sezione UE per come raccogliamo, registriamo e revochiamo il consenso.
3. Finalità del trattamento
- Erogazione del Servizio: creazione di piani alimentari personalizzati, tracciamento progressi, analisi nutrizionale.
- Funzionalità AI: generazione di ricette, quiz di benessere, podcast motivazionali, analisi di immagini (cibo, esami, progressi) — elaborate tramite OpenAI con trasferimento dei soli dati necessari.
- Comunicazioni di servizio: conferme, avvisi, reset password.
- Community: permettere la condivisione di contenuti tra utenti che scelgono di partecipare.
- Protezione del Servizio: prevenzione di frodi, abusi e accessi non autorizzati.
- Adempimenti di legge: fatturazione, obblighi fiscali.
4. Base giuridica
- Esecuzione di un contratto (art. 6.1.b GDPR) per le funzionalità core del Servizio.
- Consenso (art. 6.1.a e art. 9.2.a GDPR) per dati di salute e funzionalità opzionali.
- Obbligo legale (art. 6.1.c GDPR) per adempimenti fiscali.
- Legittimo interesse (art. 6.1.f GDPR) per analisi aggregate e protezione del Servizio.
5. Servizi terzi
I seguenti provider ricevono dati strettamente necessari alla fornitura del Servizio:
- OpenAI, L.L.C. (USA) — elaborazione AI di testi/immagini. Gli input non vengono usati per addestrare modelli (API policy).
- Google LLC — Play Store, Firebase, notifiche push.
- Apple Inc. — App Store, notifiche push APNs.
- Stripe Inc. — solo se attivi abbonamenti web: i dati carta non transitano dai nostri server.
- Hetzner Online GmbH — hosting server in Germania.
Il trasferimento verso paesi extra-UE avviene sulla base delle Standard Contractual Clauses
adottate dalla Commissione Europea.
6. Conservazione
- Dati account: finché l'utente mantiene attivo l'account.
- Dati di salute: finché l'utente mantiene attivo l'account; cancellabili in qualsiasi momento dalle impostazioni.
- Log tecnici: massimo 90 giorni.
- Dati fiscali: 10 anni come da normativa.
A richiesta dell'utente o alla chiusura dell'account, tutti i dati personali sono cancellati
entro 30 giorni, fatti salvi gli obblighi di legge.
7. Diritti dell'utente
In qualsiasi momento puoi esercitare i seguenti diritti scrivendo a
privacy@eatcoach.ai:
- Accesso ai dati (art. 15)
- Rettifica (art. 16)
- Cancellazione / diritto all'oblio (art. 17)
- Limitazione del trattamento (art. 18)
- Portabilità (art. 20)
- Opposizione (art. 21)
- Revoca del consenso
- Reclamo al Garante per la Protezione dei Dati Personali (garanteprivacy.it)
L'utente può anche eliminare direttamente il proprio account dalla sezione
Profilo → Elimina account. La procedura completa, con l'elenco di ciò che
viene cancellato e dei tempi di conservazione, è descritta nella pagina
Eliminazione dell'account.
8. Misure di protezione
Applichiamo misure tecniche e organizzative adeguate: crittografia TLS 1.3 in transito,
password con hash bcrypt, token JWT a scadenza breve, backup cifrati, accesso ai dati
limitato al personale autorizzato.
9. Cookie e tecnologie simili
Il sito eatcoach.ai utilizza esclusivamente cookie tecnici necessari al
funzionamento. L'app mobile non utilizza cookie di tracciamento di terze parti.
10. Minori
Il Servizio non è rivolto a persone di età inferiore a 16 anni. Non raccogliamo
consapevolmente dati da minori. Se vieni a conoscenza del fatto che un minore ha creato
un account, contattaci per la rimozione.
11. Modifiche
Aggiorneremo questa Privacy Policy in caso di modifiche sostanziali al Servizio o alla
normativa. Ti informeremo via email e nell'app almeno 30 giorni prima dell'entrata in
vigore.
12. Contatti
Per qualsiasi domanda relativa al trattamento dei tuoi dati personali:
privacy@eatcoach.ai
13. Sezione UE — GDPR, consenso ai dati sanitari (art. 9)
- Consenso separato ed esplicito (art. 9.2.a GDPR): prima di salvare condizioni di salute o
farmaci ti chiediamo un consenso distinto dall'accettazione di Termini e Privacy. In app con una casella
dedicata (mai preselezionata); su WhatsApp rispondendo con la formula indicata dal coach
(es. ACCONSENTO, I CONSENT, ICH WILLIGE EIN). Senza consenso queste informazioni
non vengono salvate.
- Registro del consenso (art. 7.1): conserviamo data e ora (UTC), canale (app/WhatsApp),
lingua, versione e impronta (SHA-256) del testo mostrato.
- Revoca (art. 7.3): puoi revocare in qualsiasi momento dall'app, scrivendo al coach o a
privacy@eatcoach.ai. Alla revoca cancelliamo dal profilo condizioni di
salute e farmaci; la revoca non pregiudica la liceità del trattamento precedente.
- Finalità limitata: i dati sanitari servono solo a personalizzare i suggerimenti di benessere
e a decidere quando invitarti a rivolgerti a un professionista sanitario. Non li usiamo per pubblicità né
per profilazione commerciale, non li vendiamo.
- Trasferimenti extra-UE: verso fornitori AI negli USA solo per quanto necessario, sulla base
delle Clausole Contrattuali Standard o del EU-US Data Privacy Framework ove applicabile.
- Autorità di controllo: Garante per la Protezione dei Dati Personali (Italia) o l'autorità del tuo
Stato membro UE.
- Il Servizio offre suggerimenti di educazione alimentare per adulti sani e non sostituisce il parere di un
medico o di un professionista della nutrizione.
14. US section — Consumer health data
This section applies to users located in the United States and supplements the rest of this policy.
14.1 FTC Health Breach Notification Rule (16 C.F.R. Part 318)
- Mind & Food may be a vendor of personal health records under the FTC Health Breach Notification Rule.
In case of a breach involving identifiable health information not protected by encryption as defined in 16 C.F.R. 318.2 (including an unauthorized
disclosure), we will notify affected US users, the FTC and, where required, the media,
without unreasonable delay and within 60 calendar days of discovery.
- Notices will be sent by email (or in-app / WhatsApp message if you chose that channel) and will describe what
happened, the data involved, the steps you can take, what we are doing and how to contact us.
- We do not share health information with third parties for advertising. Any other disclosure of health
information requires your authorization.
14.2 Washington My Health My Data Act (RCW 19.373) — Consumer Health Data Privacy Policy
- Categories of consumer health data we collect: body measurements (weight, height, BMI),
health conditions and medicines you declare, food allergies and intolerances, food diary, physical activity,
sleep, progress photos and lab values you upload.
- Sources: directly from you (app, website, WhatsApp chat) and from devices or services you connect.
- Purposes: to provide personalised nutrition, fitness and wellbeing suggestions you request, to
decide when to refer you to a health professional, and to keep the Service working and protected.
- Consent: we collect and share consumer health data only with your consent or as strictly
necessary to provide the Service you requested. Consent to collect and consent to share are requested separately.
We do not sell consumer health data and we do not use geofencing around health care facilities.
- Categories of data shared and recipients: the data strictly needed by our processors — AI
providers (OpenAI, Anthropic), hosting (Hetzner, Germany), messaging (Meta WhatsApp, only for chats you start),
payments (Stripe, no health data). A health professional on our platform receives your data only if you invite or
accept them.
- Your rights: confirm whether we collect, share or sell your consumer health data and access it
(including the list of third parties and affiliates it was shared with); withdraw consent; request deletion
(also propagated to our processors). Write to privacy@eatcoach.ai or use
Profile → Delete account. We answer within 45 days. If we deny your request you can appeal by replying
to our answer; if the appeal is denied you can contact the Washington State Attorney General.
14.3 Other US states
Residents of states with similar laws (e.g. Nevada SB 370, Connecticut, California CCPA/CPRA) can exercise the same
rights through the contacts above. We do not knowingly collect data from children under 13 (COPPA); the Service
is intended for adults.