Informativa sulla privacy
Ultimo aggiornamento: 2026-10-07
La presente informativa descrive come Nutrilia tratta i dati personali dei professionisti che utilizzano il Servizio e, indirettamente, dei pazienti i cui dati il professionista inserisce nella piattaforma. Il trattamento avviene nel rispetto del Regolamento (UE) 2016/679 (GDPR) e della normativa italiana applicabile.
1. Titolare del trattamento
Nutrilia è un servizio operato da Cloudify di Andrea De Castri, ditta individuale, P.IVA IT02563250444. Per qualsiasi richiesta relativa ai tuoi dati personali puoi scriverci all'indirizzo info@nutrilia.it.
2. Definizioni
- Servizio o Piattaforma: l'applicazione web Nutrilia accessibile su nutrilia.it.
- Cloudify di Andrea De Castri o Noi: la ditta individuale che eroga il Servizio, titolare o responsabile del trattamento a seconda della tipologia di dati.
- Professionista: il nutrizionista, dietista, biologo o medico nutrizionista abilitato che si registra al Servizio per gestire il proprio studio.
- Paziente: la persona i cui dati clinici sono inseriti nel Servizio dal Professionista.
- GDPR: Regolamento (UE) 2016/679.
- Titolare e Responsabile del trattamento: come definiti dall'art. 4 GDPR.
3. Doppio ruolo: titolare e responsabile esterno
Nutrilia ricopre due ruoli distinti:
- Titolare del trattamento per i dati del Professionista (account, dati fiscali, fatturazione dell'abbonamento, log tecnici). Per questi dati le finalità e le modalità di trattamento le decidiamo noi.
- Responsabile esterno del trattamento per i dati dei Pazienti inseriti dal Professionista (anagrafica, anamnesi, misurazioni, piani alimentari, documenti clinici). Il Titolare di questi dati è il Professionista, che decide quali dati raccogliere, come raccogliere il consenso del paziente e per quanto tempo conservarli.
Trattiamo i dati paziente esclusivamente per fornire il Servizio al Professionista, su sue istruzioni, secondo l'accordo sul trattamento dei dati (DPA) accettato al momento della registrazione e parte integrante dei Termini di servizio.
4. Dati raccolti
Raccogliamo:
- Dati di registrazione del Professionista: nome, cognome, email.
- Dati fiscali del Professionista: P.IVA, codice fiscale, regime fiscale, ordine professionale e numero di iscrizione, indirizzo di fatturazione, eventuale iscrizione ENPAB.
- Credenziali del Sistema Tessera Sanitaria del Professionista: utenza, password e pincode rilasciati dal Sistema TS, necessari per trasmettere le spese sanitarie a suo nome. Password e pincode sono cifrati at-rest e non sono mai visualizzabili dopo il salvataggio, nemmeno da te: si possono solo sostituire.
- Dati di pagamento dell'abbonamento: gestiti tramite Stripe. Non conserviamo direttamente i dati delle carte.
- Dati dei Pazienti inseriti dal Professionista: anagrafica, anamnesi, misurazioni antropometriche e di composizione corporea, piani alimentari, appuntamenti, documenti clinici, eventuali scansioni di moduli di consenso firmati su carta caricate dal Professionista. Le anamnesi a testo libero sono cifrate at-rest.
- Dati fiscali dei Pazienti: codice fiscale e residenza, raccolti dal Professionista quando emette una fattura tramite il Servizio. Sono richiesti dalla normativa sulla fatturazione delle prestazioni sanitarie e non sono usati per finalità cliniche.
- Fatture emesse ai Pazienti: documento, righe, importi e relativo PDF, intestati al Professionista che li emette.
- Dati tecnici: indirizzo IP, user agent del browser, eventi di sicurezza (login, errori di accesso).
- Dati di utilizzo aggregati: misurati tramite Mixpanel solo dopo consenso esplicito prestato sul banner cookie. L'indirizzo IP viene scartato lato server e nessun evento è associato al tuo nome.
- Dati di misurazione pubblicitaria: solo dopo consenso esplicito alla categoria marketing sul banner cookie, il Meta Pixel e il tag Google Ads trasmettono rispettivamente a Meta Platforms Ireland Ltd. e a Google Ireland Ltd. eventi di navigazione (pagine visitate, richiesta del link di accesso, completamento della registrazione, sottoscrizione di un abbonamento) associati a identificativi tecnici del browser. Non trasmettiamo mai a Meta o a Google la tua email, il tuo nome né alcun dato dei Pazienti; le "conversioni avanzate" di Google Ads sono disattivate e non utilizziamo Google Analytics. Dettagli nella Cookie policy.
5. Finalità e basi giuridiche
Trattiamo i dati per le seguenti finalità:
| Finalità | Base giuridica |
|---|---|
| Fornire il Servizio gestionale al Professionista | Esecuzione del contratto (art. 6.1.b GDPR) |
| Gestire l'abbonamento e fatturare il Professionista | Esecuzione del contratto + obblighi fiscali (artt. 6.1.b e 6.1.c GDPR) |
| Consentire al Professionista di emettere fatture ai propri Pazienti | Istruzione del Titolare, che adempie a un proprio obbligo legale (artt. 6.1.c e 9.2.h GDPR) |
| Trasmettere al Sistema Tessera Sanitaria le spese sanitarie per la dichiarazione precompilata | Istruzione del Titolare, in adempimento di un obbligo di legge a suo carico (art. 6.1.c GDPR e art. 3 comma 3 D.lgs. 175/2014) |
| Adempiere agli obblighi contabili e fiscali | Obbligo legale (art. 6.1.c GDPR) |
| Garantire la sicurezza del Servizio e prevenire abusi | Legittimo interesse (art. 6.1.f GDPR) |
| Migliorare il Servizio tramite analytics aggregate | Consenso (art. 6.1.a GDPR), revocabile in qualsiasi momento |
| Misurare l'efficacia delle campagne pubblicitarie (Meta Pixel, tag Google Ads) | Consenso (art. 6.1.a GDPR), revocabile in qualsiasi momento |
| Rispondere a richieste di assistenza | Esecuzione del contratto (art. 6.1.b GDPR) |
| Trattare i dati dei Pazienti per conto del Professionista | Istruzione del Titolare, che raccoglie il consenso del paziente ex art. 9.2.a GDPR |
6. Sub-processor
Per erogare il Servizio ci avvaliamo dei seguenti fornitori, tutti vincolati da accordo sul trattamento dei dati (DPA) e, dove i dati lasciano l'UE, dalle clausole contrattuali standard (SCC) approvate dalla Commissione Europea:
| Fornitore | Ruolo | Sede dei dati |
|---|---|---|
| Vercel | Hosting dell'applicazione | UE |
| Neon | Database PostgreSQL | UE |
| Amazon Web Services (S3) | Archiviazione documenti, immagini e PDF delle fatture | UE (eu-west-1, Irlanda) |
| Resend | Invio email transazionali, incluso l'invio della fattura al Paziente | USA, con SCC |
| Stripe | Gestione pagamenti dell'abbonamento | Irlanda / USA, con SCC |
| Twilio | Invio dei promemoria appuntamento via WhatsApp (nome, numero di telefono e dettagli dell'appuntamento del Paziente), tramite la piattaforma WhatsApp Business di Meta. Attivo solo per i Pazienti che hanno acconsentito ai promemoria WhatsApp | USA, con SCC |
| OpenAI / Anthropic | Funzioni AI (suggerimenti e sostituzioni sui piani alimentari) | USA, con SCC |
| Mixpanel | Analytics aggregate sull'utilizzo del Servizio | UE, IP scartato |
| Cloudflare (Turnstile) | Protezione anti-bot sul form di login (solo richiesta del magic link) | UE/USA, con SCC |
| Sentry | Error tracking / diagnostica tecnica (nessun dato paziente nei payload, scrub automatico) | UE (Francoforte) |
L'elenco è aggiornato alla data riportata in cima al documento. Variazioni significative sono comunicate via email ai Professionisti.
Meta Platforms Ireland Ltd. e Google Ireland Ltd. non sono sub-processor: per la misurazione pubblicitaria tramite Meta Pixel e tag Google Ads (attivi solo previo tuo consenso, vedi la Cookie policy) agiscono come titolari autonomi o contitolari del trattamento ai sensi dell'art. 26 GDPR, secondo quanto descritto nell'informativa privacy di Meta e nell'informativa privacy di Google.
7. Conservazione dei dati
- Dati account e configurazione: per tutta la durata del contratto.
- Dati di fatturazione dell'abbonamento: 10 anni, come previsto dalla normativa fiscale italiana.
- Dati dei Pazienti: per tutta la durata del contratto del Professionista. Alla cessazione il Professionista ha 30 giorni per esportarli o richiederne la cancellazione anticipata. Trascorsi i 30 giorni eliminiamo automaticamente i dati paziente, salvo istruzione scritta diversa da parte del Professionista titolare. La responsabilità del rispetto delle scadenze di conservazione previste dalla normativa sanitaria resta in capo al Professionista in qualità di Titolare.
- Fatture emesse ai Pazienti: per tutta la durata del contratto. Sono documenti fiscali e fanno eccezione alla regola precedente: finché restano nel Servizio non sono cancellabili prima del decorso del termine decennale di conservazione, nemmeno su richiesta, perché il documento fiscale deve restare integro. Questo è un vincolo tecnico a tutela dell'integrità del documento, non un impegno di conservazione da parte nostra: l'obbligo decennale resta del Professionista, che è l'emittente. Vedi §7 dei Termini di servizio.
- Log tecnici: massimo 12 mesi.
- Backup: 30 giorni, poi sovrascritti.
8. Trasferimenti extra-UE
Alcuni sub-processor (Resend, Stripe, Twilio, OpenAI, Anthropic, Cloudflare) e, per la misurazione pubblicitaria, Meta e Google hanno sede negli Stati Uniti o ne utilizzano l'infrastruttura globale. I trasferimenti avvengono sulla base delle clausole contrattuali standard approvate dalla Commissione Europea o, ove applicabile, di decisione di adeguatezza (Data Privacy Framework). Tutti i dati che possono restare in UE restano in UE.
9. Diritti dell'interessato
Se sei un Professionista registrato a Nutrilia, hai diritto di:
- accedere ai tuoi dati (art. 15 GDPR);
- rettificarli (art. 16 GDPR);
- chiederne la cancellazione (art. 17 GDPR), nei limiti degli obblighi di legge;
- limitarne il trattamento (art. 18 GDPR);
- riceverli in formato portabile (art. 20 GDPR);
- opporti al trattamento (art. 21 GDPR);
- revocare il consenso prestato per le analytics.
Per esercitare questi diritti scrivi a info@nutrilia.it. Risponderemo entro 30 giorni. Hai inoltre diritto di proporre reclamo all'Autorità Garante per la Protezione dei Dati Personali tramite www.garanteprivacy.it.
10. Misure di sicurezza
Adottiamo misure tecniche e organizzative adeguate:
- cifratura at-rest (AES-256-GCM) dei dati clinici sensibili (anamnesi a testo libero);
- cifratura TLS in transito su tutta la piattaforma;
- isolamento multi-tenant tramite Postgres Row Level Security;
- autenticazione tramite magic link o OAuth Google, senza password riutilizzate;
- log di accesso a tutti i dati paziente;
- documenti e scansioni caricati dal Professionista (referti, esami, consensi firmati su carta) sono archiviati in un bucket privato cifrato at-rest e accessibili solo tramite URL firmati a breve scadenza;
- backup giornalieri cifrati;
- accesso ai dati di produzione limitato e tracciato.
11. Se sei un Paziente
Se i tuoi dati sono stati inseriti in Nutrilia da un nutrizionista, il Titolare del trattamento dei tuoi dati è il nutrizionista che ti segue, non Cloudify di Andrea De Castri. Per esercitare i tuoi diritti GDPR (accesso, rettifica, cancellazione, portabilità) devi rivolgerti direttamente al tuo nutrizionista, che ti ha già consegnato la propria informativa sulla privacy al momento della prima visita.
La legge impone al tuo nutrizionista di comunicare al Sistema Tessera Sanitaria le spese sanitarie che sostieni, perché compaiano nella tua dichiarazione dei redditi precompilata. Puoi opporti, dicendolo a lui: in quel caso la spesa viene comunicata senza il tuo codice fiscale, così non è riconducibile a te e non finisce nella tua precompilata. L'obbligo di comunicare l'importo resta comunque.
Se il tuo nutrizionista ti emette una fattura tramite Nutrilia, puoi riceverla via email da un nostro indirizzo: la stiamo recapitando per suo conto, e il documento resta intestato a lui.
Cloudify di Andrea De Castri tratta i tuoi dati esclusivamente per fornire al nutrizionista lo strumento gestionale e adotta le misure di sicurezza descritte al punto 10. Non utilizziamo i tuoi dati per finalità proprie, non li condividiamo a fini di marketing, non li vendiamo.
12. Modifiche all'informativa
Possiamo aggiornare questa informativa per riflettere modifiche al Servizio, ai sub-processor o alla normativa applicabile. Le modifiche sostanziali sono comunicate via email ai Professionisti almeno 30 giorni prima dell'entrata in vigore. La data dell'ultimo aggiornamento è riportata in cima al documento.
13. Contatti
Per qualsiasi domanda relativa al trattamento dei tuoi dati personali o per esercitare i tuoi diritti, scrivici a info@nutrilia.it.