Informativa sulla privacy di Dietabis

Versione 1.0 del 25 ottobre 2026 — in vigore dal 25 ottobre 2026.

La presente informativa è resa ai sensi degli articoli 13 e 14 del regolamento (UE) 2016/679 (regolamento generale sulla protezione dei dati, «GDPR») e tiene conto del Codice in materia di protezione dei dati personali (decreto legislativo 30 giugno 2003, n. 196, «Codice privacy»).

1. Titolare del trattamento

Titolare del trattamento ai sensi del GDPR è (di seguito il «Titolare» o il «Venditore»):

CodeDriven Sebastian Rosiński
Partita IVA UE: PL6351828443 (NIP polacco 6351828443)
Indirizzo: ul. Nowa 27/18, 43-190 Mikołów, Polonia
Contatto per la protezione dei dati: kontakt@codedriven.pl

Il Titolare non ha designato un responsabile della protezione dei dati (DPO): per qualsiasi questione relativa ai dati personali scrivi all’indirizzo indicato sopra, anche in italiano. Il Titolare ha un unico stabilimento, in Polonia.

2. In breve

In Dietabis non crei un account e non ci comunichi nome, indirizzo e-mail, peso né altri dati sulla salute. L’App non richiede registrazione: l’accesso ai contenuti acquistati è collegato solo al tuo account nello Store (Google Play / App Store), non a un account nell’App. Qui sotto spieghiamo anche quali dati tecnici devono comunque essere trattati per verificare il tuo acquisto e fornirti il contenuto.

3. Quali dati NON raccogliamo

L’App non chiede nome, cognome né indirizzo e-mail: li riceviamo solo se ci scrivi tu (vedi il punto 4 «Dati che ci fornisci tu»).

L’App e il suo autore, inoltre, non raccolgono né chiedono:

peso, altezza, età o altri dati relativi alla salute,
dati di localizzazione,
credenziali di accesso a servizi di terzi (compreso Cookidoo®).

Le risposte facoltative al questionario «Trova la tua dieta» (ad es. peso e altezza) restano solo sul tuo dispositivo e non ci vengono trasmesse (punto 5).

L’App Dietabis non ha un sistema di account utente.

4. Dati che ci fornisci tu

Corrispondenza — se ci scrivi a kontakt@codedriven.pl (reclamo, dichiarazione di recesso, domanda sui dati, segnalazione relativa a una ricetta base), trattiamo il tuo indirizzo e-mail, il contenuto del messaggio e i dati che vi inserisci (ad es. nome, numero d’ordine dello Store) solo per gestire la richiesta (art. 6, paragrafo 1, lettere b) e f) del GDPR), per il tempo necessario a concluderla e per il periodo di prescrizione di eventuali pretese.

5. Dati sul tuo dispositivo — e dati che devono lasciarlo

Le seguenti informazioni sono salvate solo localmente, sul dispositivo dell’Utente, e non sono inviate al Venditore:

gli scambi dei pasti effettuati nel piano,
i piatti preferiti (contrassegnati con il cuore),
i pacchetti di contenuti (piani alimentari) scaricati e salvati offline,
le conferme d’acquisto (nome del Prodotto, prezzo, data di acquisto e testo del consenso prestato), visibili in Impostazioni → I tuoi acquisti,
le impostazioni dell’App (ad es. paese scelto, tema, piano scelto e sua variante, elenco dei Prodotti posseduti e stato dell’interruttore dei link alle ricette base),
le risposte al questionario «Trova la tua dieta» (sesso, età, altezza, peso, attività, obiettivo, preferenze, numero di pasti): i calcoli (BMI, fabbisogno stimato) sono eseguiti solo sul dispositivo; le risposte si possono eliminare anche separatamente con «Elimina le risposte dell’assistente» nelle Impostazioni.

Queste risposte non lasciano il dispositivo e il Titolare non vi ha accesso: per questo non le tratta come dati relativi alla salute ai sensi dell’art. 9 del GDPR.

Puoi eliminare questi dati in qualsiasi momento con «Elimina i dati dal dispositivo» nelle Impostazioni dell’App oppure disinstallando l’App: entrambe le operazioni cancellano definitivamente i dati locali.

L’archiviazione di queste informazioni sul dispositivo e la loro lettura da parte dell’App sono strettamente necessarie per fornire le funzioni che hai richiesto (art. 122, comma 1, del Codice privacy; art. 5, paragrafo 3, della direttiva 2002/58/CE), per questo non chiediamo un consenso separato. L’App non usa cookie né tecnologie simili per finalità pubblicitarie o di analisi.

«Elimina i dati dal dispositivo» non cancella l’identificativo casuale dell’installazione né la copia dello storico degli acquisti conservata sul dispositivo dal servizio per gli acquisti (RevenueCat): servono a gestire gli acquisti, per cui dopo l’eliminazione l’App continua a riconoscere i Prodotti acquistati. Li cancella la disinstallazione dell’App. Su Android l’App ha disattivato il backup di sistema (sia nel cloud sia nel trasferimento dei dati tra dispositivi), quindi la disinstallazione li cancella senza possibilità di recupero. Su iOS non è possibile disattivarlo: il ripristino dell’iPhone da un backup iCloud o dal computer può ripristinare i dati dell’App, compreso l’identificativo del servizio per gli acquisti. Dopo una nuova installazione o su un nuovo dispositivo l’accesso ai Prodotti acquistati si recupera con la funzione «Ripristina acquisti» nelle Impostazioni, che legge lo storico degli acquisti dall’account dello Store (Google Play o App Store).

Precisiamo a parte: l’informazione su quale Prodotto (dieta × livello di kcal) hai acquistato non resta solo sul dispositivo. Viene trasmessa a RevenueCat come storico degli acquisti e, a ogni download del contenuto, al nostro server, insieme a un identificativo casuale dell’installazione che non contiene dati identificativi (pseudonimizzazione ai sensi dell’art. 4, punto 5, del GDPR) e all’indirizzo IP. Senza questi dati non è possibile verificare che hai diritto al contenuto acquistato.

6. Destinatari e responsabili del trattamento

Per il funzionamento dell’App è necessario ricorrere ai servizi dei seguenti soggetti, che trattano i dati nei limiti descritti di seguito:

RevenueCat (RevenueCat, Inc., USA) — fornitore dell’infrastruttura per gli acquisti in-app, responsabile del trattamento per conto del Titolare (art. 28 del GDPR). Tratta l’identificativo casuale dell’installazione (app_user_id), lo storico degli acquisti dei Prodotti, le impostazioni regionali e la valuta e, in relazione alla connessione di rete, l’indirizzo IP del dispositivo, necessari per verificare che quella copia dell’App ha diritto a ricevere il contenuto del Prodotto acquistato. RevenueCat non riceve dal Venditore nome, cognome né indirizzo e-mail dell’Utente; la raccolta di identificativi del dispositivo (ad es. l’identificativo pubblicitario) è disattivata nell’App.
Supabase (contratto con Supabase Pte. Ltd., Singapore; progetto del Titolare nella regione di Francoforte, UE) — fornitore dell’infrastruttura che serve il catalogo delle diete e il contenuto dei piani dopo la verifica dell’acquisto. Alla funzione server che rilascia il contenuto acquistato l’App invia l’identificativo del Prodotto acquistato e l’identificativo casuale dell’installazione (oltre al codice del paese scelto, che serve solo a rilasciare il contenuto previsto per quel paese); servono a verificare l’acquisto presso RevenueCat e a limitare gli abusi (limite di richieste per identificativo e indirizzo IP). Per limitare gli abusi il database registra solo hash crittografici (SHA-256 con sale) dell’indirizzo IP e dell’identificativo dell’installazione, mai i loro valori in chiaro. Il download dell’anteprima gratuita (1 giorno di esempio) invia alla stessa funzione solo l’identificativo del prodotto e il codice del paese scelto, senza identificativo dell’installazione, perché l’anteprima non richiede la verifica dell’acquisto. Il download del catalogo delle diete e dello stato dell’interruttore dei link non invia alcun identificativo (per il catalogo viene inviato solo il codice del paese scelto). Il Venditore configura questa infrastruttura in autonomia: Supabase agisce come responsabile del trattamento. In relazione alla gestione delle richieste di rete Supabase tratta in tutti questi casi i normali log del server, compreso l’indirizzo IP del dispositivo, nella misura tipica di qualsiasi servizio Internet (sicurezza, diagnostica, limitazione degli abusi).
Cloudflare (Cloudflare, Inc., USA) — fornitore della rete di distribuzione dei contenuti da cui l’App scarica le foto dei piatti (indirizzo img.codedriven.pl). Al download di una foto Cloudflare tratta, come responsabile del trattamento, l’indirizzo IP del dispositivo, l’indirizzo del file scaricato e le normali intestazioni della richiesta, per fornire il file e proteggere il servizio. Il download di una foto non invia l’identificativo dell’installazione né informazioni sugli acquisti.
Fornitore del servizio di posta elettronica della casella kontakt@codedriven.pl — per la corrispondenza (punto 4).
Store (Google Play / App Store) — gestisce il pagamento dei Prodotti come titolare autonomo del trattamento dei dati di fatturazione e di pagamento dell’Utente. Il Venditore non ha accesso ai dati della carta di pagamento né ai dettagli di fatturazione trattati dallo Store.

I dati possono inoltre essere comunicati alle autorità pubbliche, se ciò è imposto dalla legge.

Sicurezza. Tutte le comunicazioni dell’App con i server avvengono tramite connessione cifrata (HTTPS). Raccogliamo solo i dati necessari per verificare l’acquisto e fornire il contenuto e, per limitare gli abusi, registriamo solo hash crittografici con sale, non indirizzi IP né identificativi in chiaro. Solo il Titolare ha accesso alla configurazione dei servizi.

7. Trasferimento dei dati fuori dallo Spazio economico europeo

Supabase — i dati dell’App (database e funzione server) sono conservati nella regione di Francoforte, nell’Unione europea. La controparte del contratto sul trattamento dei dati è Supabase Pte. Ltd., con sede a Singapore, e l’accesso ai dati da un paese terzo (ad es. per assistenza tecnica o tramite sub-responsabili) è possibile; per Singapore la Commissione europea non ha adottato una decisione di adeguatezza, per cui tale trasferimento avviene sulla base delle clausole contrattuali tipo adottate dalla Commissione (decisione di esecuzione (UE) 2021/914; art. 46, paragrafo 2, lettera c) del GDPR).
RevenueCat — RevenueCat, Inc. ha sede negli Stati Uniti e tratta i dati negli USA. Alla data di questa versione dell’informativa RevenueCat non figura nell’elenco dei partecipanti all’EU-U.S. Data Privacy Framework, per cui il trasferimento avviene sulla base delle clausole contrattuali tipo (decisione di esecuzione (UE) 2021/914; art. 46, paragrafo 2, lettera c) del GDPR) previste dal contratto sul trattamento dei dati di RevenueCat.
Cloudflare — Cloudflare, Inc. ha sede negli Stati Uniti e partecipa all’EU-U.S. Data Privacy Framework, oggetto di una decisione di adeguatezza della Commissione europea (decisione di esecuzione (UE) 2023/1795; art. 45 del GDPR); il contratto sul trattamento dei dati di Cloudflare prevede inoltre clausole contrattuali tipo per i trasferimenti non coperti da tale quadro.

Una copia delle garanzie adottate (clausole contrattuali tipo) può essere richiesta scrivendo a kontakt@codedriven.pl.

8. Basi giuridiche del trattamento

I dati descritti al punto 6 sono trattati sulla base di:

art. 6, paragrafo 1, lettera b) del GDPR — nella misura necessaria all’esecuzione del contratto di fornitura del contenuto digitale acquistato (verifica dell’acquisto, rilascio del contenuto del Prodotto),
art. 6, paragrafo 1, lettera f) del GDPR — legittimo interesse del Venditore a garantire la sicurezza del servizio, prevenire gli abusi e mantenere il corretto funzionamento dell’infrastruttura (log del server, limiti di richieste, distribuzione del catalogo e delle foto) e, per la corrispondenza, a gestire le richieste e ad accertare, esercitare o difendere un diritto.

La trasmissione dell’identificativo casuale dell’installazione e dell’indirizzo IP è necessaria per acquistare e scaricare il contenuto: senza di essi non è possibile verificare l’acquisto né rilasciare il Prodotto. Scriverci è facoltativo.

9. Periodo di conservazione

Hash crittografici nel limite di richieste (Supabase) — le voci più vecchie di 2 giorni sono destinate alla cancellazione e vengono eliminate a blocchi durante la gestione delle richieste successive; contengono solo l’hash e il contatore delle richieste.
Log del server Supabase (compreso l’indirizzo IP) — per il periodo di conservazione dei log previsto dal piano del servizio, non oltre 7 giorni.
Log di Cloudflare — per il periodo previsto dalle condizioni del servizio Cloudflare, nella misura necessaria a fornire il file e a proteggere il servizio.
Identificativo dell’installazione e storico degli acquisti (RevenueCat) — per il periodo in cui rendiamo disponibile il contenuto dei Prodotti acquistati per il download e il ripristino (punto 12 dei Termini di utilizzo) e successivamente fino alla loro cancellazione da parte del Titolare; prima, su richiesta dell’Utente (punto 11), fermo restando che dopo la cancellazione non sarà possibile confermare l’acquisto al momento del download del contenuto.
Corrispondenza — per il tempo necessario a concludere la richiesta e poi fino alla scadenza del termine di prescrizione di eventuali pretese.

10. Nessuna profilazione e nessuna pubblicità

L’App non effettua profilazione degli Utenti, non mostra pubblicità e non comunica a terzi dati sul comportamento dell’Utente per finalità di marketing. Il Titolare non adotta nei confronti degli Utenti decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici o incidano in modo analogo significativamente sulla loro persona (art. 22 del GDPR).

11. Diritti dell’interessato

L’Utente ha diritto di accesso ai dati, di rettifica, di cancellazione, di limitazione del trattamento, alla portabilità e di opposizione al trattamento basato sull’art. 6, paragrafo 1, lettera f) del GDPR (articoli 15–21 del GDPR). Per esercitare questi diritti è possibile contattare il Titolare all’indirizzo kontakt@codedriven.pl.

Poiché l’App non ha account utente, il Titolare non è in grado da solo di collegare l’identificativo casuale dell’installazione a una persona determinata (art. 11 del GDPR). Per esercitare i diritti relativi ai dati sugli acquisti indica nel messaggio il numero d’ordine riportato nella ricevuta dello Store: consentirà di trovare l’identificativo corrispondente. Gli hash crittografici del limite di richieste non sono collegati ad alcuna persona e vengono cancellati dopo 2 giorni (punto 9).

12. Diritto di proporre reclamo

Se ritieni che il trattamento dei tuoi dati violi il GDPR, hai diritto di proporre reclamo a un’autorità di controllo (art. 77 del GDPR), in particolare nello Stato membro in cui risiedi abitualmente, lavori o si è verificata la presunta violazione. In Italia l’autorità di controllo è il Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, https://www.garanteprivacy.it (reclamo ai sensi degli articoli 141 e seguenti del Codice privacy). Poiché il Titolare ha il suo unico stabilimento in Polonia, l’autorità di controllo capofila è il Presidente dell’Ufficio polacco per la protezione dei dati personali (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Stanisława Moniuszki 1A, 00-014 Varsavia, Polonia, https://uodo.gov.pl (art. 56 del GDPR); il reclamo presentato al Garante viene comunque esaminato in cooperazione con tale autorità.

13. Modifiche dell’informativa

Il Titolare può aggiornare la presente informativa, in particolare in caso di modifica dei dati trattati, dei fornitori di servizi o delle norme di legge. La versione aggiornata è sempre disponibile nelle Impostazioni dell’App e all’indirizzo https://codedriven.pl/realizacje/dietabis/it/polityka-prywatnosci/. Gli Utenti saranno informati della modifica con le stesse modalità previste per la modifica dei Termini di utilizzo (punto 10 dei Termini): aggiornamento del testo nelle Impostazioni dell’App, avviso nell’App al primo avvio successivo e pubblicazione della nuova versione all’indirizzo https://codedriven.pl/realizacje/dietabis/it/polityka-prywatnosci/.