Informativa sulla privacy
La presente informativa riguarda i dati personali trattati tramite il sito web di FixTheWeek, la PWA installata e qualsiasi app ufficiale offerta in base alla presente informativa, per le persone che si trovano nell’UE/SEE e nel Regno Unito.
1. Titolare del trattamento e contatti
Titolare del trattamento: Aleksandar Mladenov, operante con il nome commerciale FixTheWeek, imprenditore individuale (sole trader) stabilito nel Regno Unito, indirizzo 5 Brayford Square, London E1 0SG, United Kingdom. Contatto, anche per domande sui dati personali: contact@fixtheweek.com. Registrato presso l’Information Commissioner’s Office (ICO) del Regno Unito con il numero di registrazione ZC276257.
Applichiamo il GDPR dell’UE quando ricorre il suo ambito di applicazione territoriale, e lo UK GDPR e il Data Protection Act 2018, come modificati, quando ricorre il loro ambito di applicazione. I riferimenti alle basi giuridiche del GDPR riportati di seguito comprendono, ove applicabili, le corrispondenti disposizioni dell’UE e del Regno Unito. Il titolare del trattamento è stabilito nel Regno Unito.
Rappresentante nell’UE/SEE (articolo 27 del GDPR): abbiamo designato Data Protection Representative Limited (trading as DataRep) come nostro rappresentante nell’Unione europea e nello Spazio economico europeo. Se ti trovi nell’UE/SEE, puoi contattarci tramite DataRep in merito ai tuoi dati personali o ai tuoi diritti in materia di protezione dei dati: via email all’indirizzo datarequest@datarep.com, indicando «FixTheWeek» nell’oggetto; tramite il modulo web all’indirizzo www.datarep.com/data-request; oppure per posta, scrivendo a DataRep all’indirizzo relativo al tuo paese, indicato di seguito. Indirizza le lettere a «DataRep», non a FixTheWeek, altrimenti potrebbero non raggiungerci. Per qualsiasi altra questione, o se ti trovi nel Regno Unito, contattaci direttamente all’indirizzo contact@fixtheweek.com.
- Austria: DataRep, City Tower, Brückenkopfgasse 1/6. Stock, Graz, 8020, Austria
- Belgio: DataRep, Rue des Colonies 11, Brussels, 1000, Belgium
- Bulgaria: DataRep, 25 Vitosha blvd. Fl. 2, office 4, 1000, Sofia, Bulgaria
- Cipro: DataRep, Victory House, 205 Archbishop Makarios Avenue, Limassol, 3030, Cyprus
- Croazia: DataRep, Ground & 9th Floor, Hoto Tower, Savska cesta 32, Zagreb, 10000, Croatia
- Danimarca: DataRep, Lautruphøj 1-3, Ballerup, 2750, Denmark
- Estonia: DataRep, 2nd Floor, Tornimae 5, Tallinn, 10145, Estonia
- Finlandia: DataRep, Luna House, 5.krs, Mannerheimintie 12 B, Helsinki, 00100, Finland
- Francia: DataRep, 72 rue de Lessard, Rouen, 76100, France
- Germania: DataRep, 3rd and 4th floor, Altmarkt 10 B/D, Dresden, 01067, Germany
- Grecia: DataRep, Ippodamias Sq. 8, 4th floor, Piraeus, Attica, Greece
- Irlanda: DataRep, 77 Camden Street Lower, Dublin, D02 XE80, Ireland
- Islanda: DataRep, Laugavegur 13, 101 Reykjavik, Iceland
- Italia: DataRep, Viale Giorgio Ribotta 11, Piano 1, Rome, Lazio, 00144, Italy
- Lettonia: DataRep, 4th & 5th floors, 14 Terbatas Street, Riga, LV-1011, Latvia
- Liechtenstein: DataRep, City Tower, Brückenkopfgasse 1/6. Stock, Graz, 8020, Austria
- Lituania: DataRep, 44A Gedimino Avenue, 01110 Vilnius, Lithuania
- Lussemburgo: DataRep, BPM 335368, Banzelt 4 A, 6921, Roodt-sur-Syre, Luxembourg
- Malta: DataRep, Tower Business Centre, 2nd floor, Tower Street, Swatar, BKR4013, Malta
- Norvegia: DataRep, C.J. Hambros Plass 2c, Oslo, 0164, Norway
- Paesi Bassi: DataRep, De Nieuwe Erven 3 Unit – 15162, 5431 NV Cuijk, Netherlands
- Polonia: DataRep, Budynek Fronton ul Kamienna 21, Krakow, 31-403, Poland
- Portogallo: DataRep, Torre de Monsanto, Rua Afonso Praça 30, 7th floor, Algès, Lisbon, 1495-061, Portugal
- Repubblica Ceca: DataRep, Platan Office, 28. Října 205/45, Floor 3&4, Ostrava, 70200, Czech Republic
- Romania: DataRep, 15 Piaţa Charles de Gaulle, nr. 1-T, Bucureşti, Sectorul 1, 011857, Romania
- Slovacchia: DataRep, Apollo Business Centre II, Block E / 9th floor, 4D Prievozska, Bratislava, 821 09, Slovakia
- Slovenia: DataRep, Trg. Republike 3, Floor 3, Ljubljana, 1000, Slovenia
- Spagna: DataRep, Calle de Manzanares 4, Madrid, 28005, Spain
- Svezia: DataRep, S:t Johannesgatan 2, 4th floor, Malmo, SE - 211 46, Sweden
- Ungheria: DataRep, 1054 Honved street, 8 1/2, Budapest, Hungary
2. Quali dati raccogliamo
Al momento della registrazione: il tuo nome, il tuo indirizzo email, l’identificativo dell’account, l’hash della password, lo stato di verifica dell’email e le marche temporali. Per motivi di sicurezza trattiamo la tua sessione, l’indirizzo IP, i dati del browser e le chiavi temporanee che limitano i tentativi di accesso.
Per la pianificazione: l’obiettivo scelto, il regime alimentare, le calorie, gli obiettivi di macro, le ricette, i menù, le ricette preferite e nascoste, gli ingredienti da evitare, gli elettrodomestici da cucina che possiedi, le tue impostazioni e la tua lista della spesa. Se scegli di inserire i tuoi dati fisici, trattiamo età, sesso, altezza, peso, livello di attività e una categoria approssimativa di grasso corporeo. Non sono previsti campi separati per diagnosi, gravidanza, allergie o peso obiettivo. Tuttavia, gli ingredienti che eviti possono rivelare un’allergia o un’intolleranza; per questo sono trattati come dati relativi alla salute e conservati solo con il tuo consenso esplicito.
Per creare un account sono obbligatori il nome, l’email, la password, l’accettazione dei termini e la conferma di avere almeno 18 anni. Senza di essi non è possibile creare un account. Le preferenze di pianificazione hanno valori predefiniti e possono essere modificate. I dati fisici, le esclusioni di ingredienti e il consenso al marketing sono facoltativi: se rifiuti il consenso al trattamento dei dati relativi alla salute, la pianificazione manuale resta disponibile, ma non è possibile salvare i dati fisici e le esclusioni legate alla salute. Conserviamo inoltre le tue scelte sulle notifiche email, la programmazione, il fuso orario e le marche temporali degli ultimi invii. I promemoria per il menù settimanale e per la lista della spesa sono attivi dalla creazione dell’account; puoi disattivarli in “Impostazioni delle notifiche” o annullare l’iscrizione da un’email di promemoria. I messaggi sulle nuove ricette richiedono l’attivazione della relativa impostazione separata; le novità e le offerte richiedono il consenso al marketing.
Se attivi Premium o la sua prova gratuita, conserviamo i tuoi identificativi cliente e abbonamento di Stripe, il piano, la valuta e lo stato (prova, attivo, pagamento non riuscito o disdetto), la data di inizio dell’abbonamento (da cui decorre il periodo di recesso), le date di fine della prova e del periodo di fatturazione e l’indicazione se l’abbonamento è impostato per terminare. Non riceviamo né conserviamo mai il numero della tua carta o i tuoi dati di pagamento completi: li raccolgono Link e Stripe al momento del pagamento. Se chiedi di essere avvisato quando Premium sarà disponibile, conserviamo questa scelta, la sua data e la tua lingua. Per mostrare i prezzi in sterline o in euro e per verificare che tu ti trovi nel Regno Unito o nell’UE/SEE, dove FixTheWeek è offerto, usiamo il paese della tua connessione, che Cloudflare ricava dal tuo indirizzo IP a ogni richiesta; non lo conserviamo.
3. Finalità e basi giuridiche
L’accesso all’account, le impostazioni del profilo, i menù, le email con la lista della spesa da te richieste e i promemoria di servizio selezionati sono trattati per fornire il servizio — articolo 6, paragrafo 1, lettera b), del GDPR. L’autenticazione, la prevenzione degli abusi e i contatori di sicurezza si basano sull’articolo 6, paragrafo 1, lettera f): il nostro interesse a proteggere gli account e il servizio, bilanciato con i tuoi diritti. La registrazione dell’accettazione dei termini è funzionale al contratto relativo all’account. Registrazioni minime dei consensi sono funzionali ai nostri obblighi di responsabilizzazione ai sensi degli articoli 5, paragrafo 2, e 7, paragrafo 1, e a tale specifico obbligo si applica l’articolo 6, paragrafo 1, lettera c); non si tratta di una base generale per tutte le registrazioni. Le email facoltative sulle nuove ricette si basano sulla tua scelta di adesione ai sensi dell’articolo 6, paragrafo 1, lettera a), unitamente alle norme applicabili in materia di marketing elettronico. Le novità e le offerte richiedono un consenso al marketing separato ai sensi dell’articolo 6, paragrafo 1, lettera a), che può essere revocato nell’account o tramite il link di annullamento dell’iscrizione presente nell’email.
Trattiamo i dati fisici e le esclusioni di ingredienti o ricette come dati potenzialmente relativi alla salute e li salviamo solo dopo il tuo consenso esplicito ai sensi degli articoli 6, paragrafo 1, lettera a), e 9, paragrafo 2, lettera a), del GDPR. Il consenso viene registrato separatamente dall’accettazione dei termini. La revoca del consenso in “Privacy e dati” rimuove i dati fisici e le esclusioni legate alla salute salvati nell’account attivo e nella copia di recupero locale presente nel browser che stai usando; la revoca non pregiudica il trattamento lecito effettuato in precedenza. Gli altri browser e i file che hai scaricato devono essere cancellati separatamente. Non inserire diagnosi nei campi di testo libero.
La pianificazione automatica utilizza gli obiettivi, le calorie, gli obiettivi di macro, il regime alimentare, le esclusioni e le preferenze sulle ricette che hai scelto per calcolare gli obiettivi e classificare o selezionare i pasti. Questa personalizzazione può costituire profilazione. Non comporta decisioni che producono effetti giuridici o effetti analogamente significativi ai sensi dell’articolo 22 del GDPR dell’UE e non diagnostica alcuna patologia. Puoi modificare i dati inseriti, scegliere obiettivi manuali e modificare i pasti proposti.
Per Premium, la registrazione dell’abbonamento, l’email che ti ricorda che la prova sta per finire e i messaggi relativi al tuo abbonamento sono necessari per fornire l’abbonamento che hai richiesto — articolo 6, paragrafo 1, lettera b), del GDPR. L’uso del paese della tua connessione per mostrare i prezzi nella valuta in cui pagherai, e per offrire FixTheWeek solo nel Regno Unito e nell’UE/SEE, si basa sull’articolo 6, paragrafo 1, lettera f): il nostro interesse a mostrarti il prezzo corretto e a offrire il servizio solo dove è disponibile. L’unica email di lancio di Premium si basa sul tuo consenso ai sensi dell’articolo 6, paragrafo 1, lettera a), dato con una casella separata non preselezionata; puoi revocarlo in qualsiasi momento con «Non mandarmi email» nella scheda Abbonamento. Le registrazioni relative a clienti e fatture nel nostro account Stripe sono conservate per adempiere agli obblighi fiscali e contabili — articolo 6, paragrafo 1, lettera c).
Quando ti registri, usiamo il paese della tua connessione per aggiungere un’unità a un conteggio mensile dei nuovi account nel Regno Unito, nell’UE/SEE o altrove. Si conservano solo i totali mensili, che non sono collegati al tuo account. Li usiamo per sapere quante persone usano FixTheWeek in ciascuna area, anche per il nostro rappresentante nell’UE — articolo 6, paragrafo 1, lettera f), del GDPR, il nostro legittimo interesse.
4. Cookie, analisi e marketing
I cookie di sessione sono necessari per l’accesso e per la sicurezza, e il cookie “locale” memorizza la lingua che hai scelto per il sito web. La scelta del tema e le preferenze sui cookie sono memorizzate nel tuo browser. La versione attuale non contiene tracker di analisi o pubblicitari attivi. Se ne verranno aggiunti, quelli facoltativi non saranno caricati prima di un consenso adeguato. I messaggi di marketing sono una scelta separata e facoltativa. I dettagli sono riportati nell’Informativa sui cookie.
Per gli utenti dell’UE/SEE si applicano inoltre le norme nazionali applicabili in materia di ePrivacy; per gli utenti del Regno Unito si applicano le Privacy and Electronic Communications Regulations (PECR). Per le novità e le offerte utilizziamo un consenso separato con adesione esplicita (opt-in) e in questa versione non ci avvaliamo del cosiddetto soft opt-in per il marketing. Le email di sicurezza e relative all’account e i promemoria di servizio selezionati descritti sopra sono distinti dai messaggi promozionali. Non dobbiamo aggiungere contenuti promozionali a un promemoria di servizio per aggirare le scelte sul marketing.
5. Destinatari e trasferimenti internazionali
Cloudflare fornisce l’hosting, la distribuzione di rete, il Worker e il database D1. Ciò riguarda le richieste al sito web e i metadati di sicurezza, nonché i dati dell’account e di pianificazione archiviati in D1. Resend gestisce le email in uscita di verifica dell’account e di reimpostazione della password, le liste della spesa che richiedi e le notifiche attivate. Riceve l’indirizzo del destinatario e il contenuto dei messaggi; un’email con la lista della spesa può rivelare preferenze alimentari. Il codice supporta inoltre, se configurato, un binding email in uscita di Cloudflare.
Premium è venduto tramite Link, il servizio di Stripe in cui Link è il venditore ufficiale («Sold through Link»): Link ti vende l’abbonamento, incassa i pagamenti, calcola e versa l’IVA e invia ricevute, fatture ed email relative ai pagamenti, mentre una società del gruppo Stripe elabora i pagamenti. Per la vendita e il pagamento, Link e Stripe trattano il tuo nome, indirizzo email, paese e indirizzo di fatturazione, metodo di pagamento e dati per la prevenzione delle frodi in qualità di titolari autonomi, secondo le proprie informative sulla privacy: https://link.com/privacy e https://stripe.com/privacy. Comunichiamo a Stripe il tuo indirizzo email e l’identificativo del tuo account FixTheWeek affinché i pagamenti siano associati al tuo account, e riceviamo in cambio i dati dell’abbonamento descritti nella sezione 2. Per le registrazioni relative a clienti e abbonamenti nel nostro account Stripe, Stripe agisce per nostro conto. Stripe può trattare dati al di fuori del Regno Unito e del SEE con le proprie garanzie per i trasferimenti.
Dove vanno i tuoi dati: Cloudflare, Inc. ospita il servizio in base al proprio accordo sul trattamento dei dati (Data Processing Addendum); il nostro database è conservato in Europa occidentale, mentre il traffico di rete e i log possono essere trattati nella rete mondiale di Cloudflare, Stati Uniti compresi. Resend (Plus Five Five, Inc.) invia le nostre email dall’UE (Irlanda) in base al proprio accordo sul trattamento dei dati; la società e alcuni dei suoi sub-responsabili del trattamento si trovano negli Stati Uniti. Stripe tratta per nostro conto i record relativi a clienti e abbonamenti nel nostro account Stripe in base al proprio accordo sul trattamento dei dati (Data Processing Agreement) e può trattare dati in tutto il mondo, Stati Uniti compresi. Le email che invii a contact@fixtheweek.com sono ricevute nella nostra casella di posta Microsoft Outlook.com, che Microsoft fornisce alle proprie condizioni e può conservare al di fuori del Regno Unito e del SEE. Il nostro rappresentante nell’UE/SEE, DataRep, si trova in Irlanda.
I trasferimenti verso gli Stati Uniti si basano sul quadro UE-USA per la protezione dei dati personali (EU–US Data Privacy Framework), e sulla sua estensione al Regno Unito (UK Extension) per i dati del Regno Unito, quando il fornitore è certificato, con le clausole contrattuali tipo dell’UE (e l’UK Addendum per i dati del Regno Unito) previste nel contratto del fornitore come soluzione di riserva. I dati personali degli utenti dell’UE/SEE ci pervengono nel Regno Unito in base alla decisione di adeguatezza dell’UE relativa al Regno Unito. Puoi chiederci maggiori informazioni su queste garanzie, o una copia delle stesse, all’indirizzo contact@fixtheweek.com.
6. Conservazione e sicurezza
I seguenti periodi si applicano al database attivo dell’applicazione. I dati dell’account, le impostazioni di pianificazione, i menù salvati, gli elettrodomestici scelti, le preferenze di notifica, le registrazioni relative all’abbonamento e uno storico minimo degli eventi relativi a termini, maggiore età e consensi sono conservati finché l’account esiste, salvo che tu li modifichi o li rimuova prima. La cancellazione verificata dell’account rimuove da tale database l’account e i record collegati. Lo storico dei consensi non viene conservato in un archivio separato dopo la cancellazione. La revoca del consenso al trattamento dei dati relativi alla salute rimuove i campi specifici descritti sopra senza richiedere la cancellazione dell’account.
Le sessioni di accesso scadono dopo 30 giorni e possono essere rinnovate con l’uso continuato; l’uscita dall’account revoca la sessione corrente. I link di verifica dell’email e di reimpostazione della password scadono dopo un’ora. La procedura di manutenzione oraria elimina le righe di sessione e di verifica scadute, nonché i contatori di limitazione della frequenza di autenticazione decorsi 30 giorni dall’ultima richiesta registrata. I contatori delle email con la lista della spesa vengono rimossi decorsi 30 giorni dall’inizio della finestra registrata. Se un’esecuzione programmata non riesce, la pulizia riprende alla successiva esecuzione riuscita; le credenziali scadute restano non valide.
La memorizzazione nel browser ha i periodi e i controlli di rimozione indicati nell’Informativa sui cookie. La chiusura di un account non può cancellare a distanza le copie presenti in altri browser o nei file esportati. Cloudflare conserva i log delle richieste per un massimo di 7 giorni e i backup del database per 30 giorni; Resend conserva i dati delle email per 30 giorni. Se dovessimo ripristinare il database da un backup, registriamo prima quali account esistono e, dopo il ripristino, cancelliamo di nuovo qualsiasi account cancellato nel frattempo.
Per Premium, la registrazione dell’abbonamento è conservata finché esiste l’account e viene cancellata insieme a esso, dopo la disdetta di un eventuale abbonamento in corso. Gli identificativi degli eventi Stripe elaborati sono cancellati dopo 30 giorni, e la scelta relativa al lancio di Premium 30 giorni dopo l’invio della sua email. Le registrazioni relative a clienti e fatture nel nostro account Stripe sono conservate per il tempo richiesto dalla normativa fiscale e contabile, di norma almeno cinque anni dopo il termine della relativa dichiarazione dei redditi; Link e Stripe conservano le proprie registrazioni delle transazioni secondo le proprie politiche.
L’accesso è limitato al tuo account e agli operatori autorizzati; utilizziamo connessioni cifrate, password sottoposte a hash e controlli di accesso. Nessun sistema può garantire una sicurezza assoluta.
7. I tuoi diritti
Hai il diritto di accesso, di rettifica, di cancellazione, di limitazione, alla portabilità ove applicabile, di opposizione al trattamento basato sul legittimo interesse e di revoca del consenso. Usa “Privacy e dati” nel tuo account oppure scrivi a contact@fixtheweek.com. Dobbiamo rispondere senza ingiustificato ritardo e, di norma, entro un mese dal ricevimento della richiesta. Se la complessità o il numero delle richieste lo giustificano, tale termine può essere prorogato fino a due ulteriori mesi; dobbiamo spiegare la proroga entro il primo mese. In caso di ragionevoli dubbi, possiamo chiedere una conferma dell’identità proporzionata. Se una richiesta viene respinta o si applica un’eccezione prevista dalla legge, dobbiamo indicarne i motivi e fornire informazioni sui mezzi di reclamo e di ricorso giurisdizionale.
Gli utenti dell’UE/SEE possono proporre reclamo all’autorità competente per la protezione dei dati, in particolare nel paese in cui risiedono abitualmente, in cui lavorano o in cui si è verificata la presunta violazione. L’autorità bulgara è la Commissione per la protezione dei dati personali: https://cpdp.bg/. Per i trattamenti soggetti alla normativa del Regno Unito in materia di protezione dei dati, puoi proporre reclamo all’Information Commissioner’s Office (ICO): https://ico.org.uk/make-a-complaint/. Questi diritti non sono limitati alla Bulgaria e non escludono l’accesso a un ricorso giurisdizionale.
8. Reclami in materia di protezione dei dati
Puoi presentare un reclamo in materia di protezione dei dati tramite contact@fixtheweek.com. Spiegaci cosa è successo e quale esito chiedi; non è necessaria alcuna terminologia giuridica. Per i reclami soggetti alla legge del Regno Unito, dobbiamo confermarne la ricezione entro 30 giorni, svolgere accertamenti e adottare le misure appropriate senza ingiustificato ritardo, tenerti al corrente e spiegarti l’esito senza ingiustificato ritardo. Si tratta di un termine diverso da quello, di norma di un mese, previsto per le richieste di esercizio dei diritti individuali.
Requisiti del Regno Unito in materia di reclami: ICO: reclami in materia di protezione dei dati
9. Modifiche
Se le finalità o il trattamento cambiano in modo significativo, pubblicheremo una nuova versione e, ove necessario, informeremo gli utenti o chiederemo un nuovo consenso. La versione e la data sono indicate di seguito.