Privacy Policy
Informativa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (“GDPR”). Versione 2026-09-18.1 · ultimo aggiornamento: 18 settembre 2026.
1. Titolare del trattamento
Per i trattamenti effettuati direttamente tramite il sito pubblico, per gli account dei professionisti, per la gestione contrattuale e per le richieste di contatto, il titolare del trattamento è NOTSREAL DI NOT MATTIA, Via Della Cernaia 97, 33100 Udine (UD), Italia, P.IVA 02991710308, email info@bookus.it.
Per questioni relative alla protezione dei dati è possibile contattare info@bookus.it. Qualora venga designato un Responsabile della protezione dei dati (DPO/RPD), i suoi dati di contatto saranno pubblicati e comunicati secondo la normativa applicabile.
2. Ruoli privacy nel gestionale
Nutrizionista.online non è una struttura sanitaria e non determina le finalità professionali o sanitarie per cui un professionista tratta i dati dei propri pazienti o clienti. Quando il professionista utilizza il gestionale per inserire dati dei propri assistiti, il professionista, o l'organizzazione per conto della quale opera, agisce di regola quale titolare del trattamento; NOTSREAL DI NOT MATTIA tratta tali dati per conto del titolare quale responsabile del trattamento ai sensi dell’art. 28 GDPR, secondo l’Accordo sul trattamento dei dati (DPA) e le istruzioni documentate ricevute.
Informazioni come anamnesi, allergie, peso, altezza, obiettivi nutrizionali, annotazioni sul percorso e piani alimentari possono rivelare informazioni sullo stato di salute e rientrare quindi nelle categorie particolari di dati di cui all’art. 9 GDPR. L'individuazione della base giuridica e della condizione prevista dall'art. 9 per il trattamento svolto dal professionista compete al relativo titolare del trattamento.
3. Dati trattati, finalità e basi giuridiche
| Trattamento | Dati | Finalità e base giuridica | Conservazione |
|---|---|---|---|
| Navigazione e sicurezza del sito | Dati tecnici, indirizzo IP, data/ora, user-agent, URL richiesto e log tecnici | Erogazione, protezione e diagnosi tecnica del servizio; legittimo interesse alla sicurezza e alla prevenzione di abusi (art. 6.1.f GDPR), oltre alla necessità tecnica della comunicazione | Secondo i tempi tecnici del servizio e del fornitore di hosting, limitati a quanto necessario per sicurezza, diagnosi e accertamento di abusi |
| Google Fonts sul sito pubblico | Dati tecnici trasmessi dal browser nella richiesta HTTP, inclusi indirizzo IP e informazioni tecniche normalmente connesse alla richiesta | Caricare i caratteri “Outfit” e “Source Sans 3” da Google Fonts per la presentazione grafica del sito; interesse legittimo alla coerenza e leggibilità dell’interfaccia (art. 6.1.f GDPR). Il browser si collega a fonts.googleapis.com e fonts.gstatic.com | NOTSREAL non stabilisce i tempi di conservazione applicati autonomamente da Google ai propri log tecnici; si rinvia all’informativa del fornitore |
| Richieste di contatto | Nome, email, oggetto e contenuto del messaggio | Rispondere alla richiesta e adottare misure precontrattuali o gestire il rapporto richiesto (art. 6.1.b GDPR) | Di regola fino a 12 mesi dalla chiusura della richiesta, salvo instaurazione di un rapporto o necessità di tutela di diritti |
| Segnalazioni di contenuti | URL/contenuto segnalato, motivazione, nome se fornito, email, dichiarazione di buona fede, identificativo della segnalazione e comunicazioni successive | Gestire segnalazioni di contenuti potenzialmente illeciti e adempiere agli obblighi applicabili ai servizi online; obbligo di legge ove applicabile e legittimo interesse alla sicurezza e corretta gestione della piattaforma (artt. 6.1.c e 6.1.f GDPR) | Per il tempo necessario alla valutazione e alla gestione della segnalazione e, successivamente, per il periodo necessario a documentare le decisioni e tutelare diritti |
| Profilo del professionista | Dati identificativi e professionali, recapiti, qualifica, eventuale Ordine/Albo e numero di iscrizione, contenuti scelti per la pubblicazione | Gestire la richiesta di inserimento, la pubblicazione e il rapporto con il professionista (art. 6.1.b GDPR) | Per la durata della pubblicazione e successivamente per il tempo necessario a gestire obblighi e contestazioni |
| Account del gestionale | Nome, email, credenziali memorizzate tramite hash, ruolo, accessi e informazioni contrattuali | Fornire il servizio SaaS, autenticare l’utente, garantire sicurezza e assistenza, adempiere agli obblighi contrattuali e di legge (artt. 6.1.b, 6.1.c e 6.1.f GDPR) | Per la durata dell’account; dati amministrativi e fiscali per i termini di legge; dati necessari alla tutela contrattuale per il periodo in cui possono essere fatti valere diritti |
| Accettazioni contrattuali | ID account, versione e impronta SHA-256 dei documenti, data/ora, tipo di accettazione/presa visione, dichiarazione di potere a sottoscrivere il DPA, approvazione specifica delle clausole richiamate ai sensi degli artt. 1341 e 1342 c.c., identificatore pseudonimizzato derivato dall’IP e user-agent | Documentare la conclusione e l’esecuzione del rapporto, l’accettazione del DPA, la dichiarazione di legittimazione a sottoscriverlo e la presa visione dell’informativa; esecuzione del contratto e legittimo interesse alla prova e tutela dei diritti (art. 6.1.b e 6.1.f GDPR) | Per la durata del rapporto e, successivamente, per il tempo necessario alla tutela di diritti e alla gestione di contestazioni |
| Protezione degli accessi | Identificatori pseudonimizzati derivati da account/CF e IP, numero e tempo dei tentativi falliti | Limitare tentativi automatizzati e accessi abusivi; legittimo interesse alla sicurezza del servizio (art. 6.1.f GDPR) | I record di rate limiting vengono eliminati automaticamente dopo un breve periodo tecnico e comunque, nella configurazione applicativa, entro circa 48 ore se non già rimossi a seguito di un accesso riuscito |
| Dati dei pazienti nel gestionale | Anagrafica, codice fiscale, dati antropometrici, note, anamnesi, allergie, obiettivi e piani alimentari | Trattamento effettuato per conto del professionista o dell'organizzazione titolare; NOTSREAL opera quale responsabile ex art. 28 GDPR | Secondo le istruzioni del titolare e il DPA; restituzione o cancellazione alla cessazione del servizio, fatti salvi backup tecnici temporanei e obblighi inderogabili |
4. Conferimento dei dati
I dati contrassegnati come necessari sono richiesti per rispondere alle richieste, creare un profilo o fornire il gestionale. Il mancato conferimento può rendere impossibile erogare il servizio richiesto. Non devono essere inviati tramite il modulo pubblico o via email dati sanitari o altre categorie particolari, salvo che sia strettamente necessario e sia stato concordato un canale adeguato.
Per l'account professionale, la presa visione della presente informativa viene registrata insieme all'accettazione delle condizioni e del DPA. La presa visione non è un consenso privacy e il trattamento dell'account non viene fondato su un consenso obbligatorio.
5. Credenziali e accesso paziente
Le password dei professionisti sono conservate mediante funzioni di hashing. Per i codici di accesso dei pazienti il sistema conserva un hash utilizzato per verificare il login e, separatamente, una copia cifrata a riposo necessaria a mostrarne il valore al professionista autenticato nella scheda del paziente. Il codice completo non viene incluso negli elenchi generali dei pazienti. Il sistema applica inoltre limiti ai tentativi di autenticazione per ridurre il rischio di accessi automatizzati.
6. Destinatari, responsabili e sub-responsabili
Le pagine pubbliche richiamano Google Fonts tramite i domini fonts.googleapis.com e fonts.gstatic.com. Il browser dell’utente effettua quindi richieste dirette ai sistemi di Google per scaricare CSS e file dei caratteri; Google riceve i dati tecnici necessari a rispondere alla richiesta secondo la propria informativa privacy. Per gli altri trattamenti, i dati possono essere trattati da fornitori tecnici strettamente necessari, quali hosting, infrastruttura, posta elettronica, manutenzione e assistenza, nominati responsabili o sub-responsabili quando richiesto. Possono inoltre essere comunicati a consulenti, autorità pubbliche o soggetti legittimati quando necessario per obblighi di legge, sicurezza o tutela di diritti.
L’elenco aggiornato dei fornitori rilevanti può essere richiesto a info@bookus.it. Per i dati trattati nel gestionale per conto dei professionisti si applicano inoltre le regole sui sub-responsabili contenute nel DPA.
7. Trasferimenti fuori dallo SEE
Il titolare privilegia fornitori che trattano i dati nello Spazio Economico Europeo. L’uso remoto di Google Fonts comporta un collegamento diretto del browser a un fornitore del gruppo Google; a seconda dell’infrastruttura effettivamente utilizzata dal fornitore, i dati tecnici possono essere trattati anche fuori dallo SEE. Qualora un fornitore comporti un trasferimento verso un Paese terzo, il trasferimento sarà effettuato solo in presenza di un meccanismo valido ai sensi del Capo V GDPR, come una decisione di adeguatezza o clausole contrattuali standard accompagnate, quando necessario, da misure supplementari.
8. Sicurezza
Sono previste misure tecniche e organizzative proporzionate al rischio, tra cui separazione dei ruoli, autenticazione con token di sessione conservato in cookie HttpOnly, Secure e SameSite=Strict in produzione, cambio obbligatorio delle password temporanee, hashing delle password e verifica dei codici paziente tramite hash, cifratura a riposo della copia recuperabile dei codici, limitazione dei tentativi di accesso, protezione delle comunicazioni mediante HTTPS, restrizione dei file di configurazione e registrazione delle accettazioni contrattuali. Le misure devono essere completate e mantenute coerentemente con l'infrastruttura di produzione, con particolare attenzione a backup, aggiornamenti, privilegi amministrativi e gestione degli incidenti.
9. Diritti degli interessati
Nei casi previsti dal GDPR, l’interessato può esercitare i diritti di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità e, quando un trattamento sia basato sul consenso, può revocarlo senza pregiudicare la liceità del trattamento precedente. Le richieste relative ai trattamenti di cui NOTSREAL è titolare possono essere inviate a info@bookus.it.
Per i dati inseriti nel gestionale dal proprio professionista, l’interessato dovrebbe rivolgersi in primo luogo al professionista o all'organizzazione titolare del trattamento. NOTSREAL collaborerà con il titolare per consentire l’esercizio dei diritti secondo il DPA.
È possibile proporre reclamo al Garante per la protezione dei dati personali o all’autorità di controllo competente.
10. Minori
Il sito pubblico non è destinato a raccogliere autonomamente dati sanitari di minori. Se un professionista utilizza il gestionale per soggetti minorenni, il titolare del trattamento deve verificare autonomamente i presupposti giuridici, le informative e le eventuali autorizzazioni applicabili al proprio rapporto professionale.
11. Processi automatizzati
NOTSREAL non utilizza i dati raccolti tramite il sito o il gestionale per decisioni unicamente automatizzate che producano effetti giuridici o analogamente significativi sugli interessati. Il software non prende decisioni cliniche autonome.
12. Aggiornamenti
La presente informativa può essere aggiornata per modifiche normative, tecniche o organizzative. Le modifiche rilevanti per gli account professionali possono richiedere una nuova presa visione. Versione e data sono indicate in apertura.