A4-B1-informativa-sulla-privacy-v1.0.6-EN

Informativa sulla privacy

1. Identità del titolare del trattamento

Denominazione legale: Wellbeinn Performance, S.L. (“Wellbeinn”)
Codice fiscale (CIF): B-16407355
Sede legale: P.I. Les Pedreres C/ Primer de maig 11, 03610 Petrer, Alicante.
Registro delle imprese: Registro delle imprese di Alicante, Foglio A-199979, IRUS 1000444260360, foglio elettronico, Iscrizione 3
Contatto per la protezione dei dati: privacy@wellbeinn.com

Wellbeinn rispetta il Regolamento (UE) 2016/679 (“GDPR”) e la Legge organica spagnola 3/2018 del 5 dicembre (“LOPDGDD”).

2. Ambito e natura informativa

La presente Informativa ha natura informativa e descrive le modalità con cui Wellbeinn tratta i dati personali nell’ambito di:

L’applicazione mobile Wellbeinn per iOS e Android (l’“App”).
L’uso del dispositivo indossabile Wellbeinn V8 e di altri dispositivi connessi nell’ecosistema Wellbeinn, che comunicano con l’App tramite Bluetooth Low Energy (BLE).
Il sito web wellbeinn.com, per quanto riguarda la registrazione, l’assistenza e le comunicazioni relative all’account.

La lettura della presente Informativa non costituisce né sostituisce di per sé il consenso esplicito richiesto per il trattamento dei dati relativi alla salute. Tale consenso viene ottenuto mediante un’azione affermativa separata, specifica e inequivocabile all’interno dell’App.

Wellbeinn conserva la prova del consenso prestato e della sua revoca, compresi l’identificativo dell’utente, la data e l’ora, la versione esatta del testo accettato, la lingua e le finalità autorizzate (art. 7(1) GDPR), in conformità ai periodi indicati al §6.

Dichiarazione esplicita. Wellbeinn non vende i tuoi dati personali, non li comunica a data broker o reti pubblicitarie e non li utilizza per la pubblicità di terzi. Le uniche comunicazioni a terzi previste dalla presente Informativa sono (i) quelle ai responsabili elencati al §7, che agiscono secondo le nostre istruzioni, e (ii) quelle alle organizzazioni che autorizzi espressamente caso per caso ai sensi del §7 bis.

3. Dati personali che trattiamo

3.1 Dati di identità e dell’account

Nome e cognome, indirizzo email, password (memorizzata come hash unidirezionale gestito dal nostro provider di identità; Wellbeinn non ha accesso al testo in chiaro), foto del profilo facoltativa, identificativi di accesso federato quando scegli di registrarti con Google e un identificativo interno univoco assegnato dal nostro sistema.

Trattiamo inoltre lo stato delle opzioni di personalizzazione che abiliti (§4 bis.2) e delle autorizzazioni alle organizzazioni che concedi (§4 bis.4), consultabili alla voce Profilo → Aspetti legali e privacy.

3.2 Dati relativi alla salute — categoria particolare (art. 9 GDPR)

Tramite il dispositivo indossabile Wellbeinn V8, altri dispositivi connessi e i dati da te forniti per calibrare il servizio, trattiamo informazioni biofisiologiche e sull’attività: parametri cardiovascolari (frequenza cardiaca e variabilità, HRV/RMSSD), dati sul sonno e sul riposo, indicatori di ossigenazione e temperatura cutanea, parametri dell’attività fisica e un profilo sanitario di base (data di nascita, sesso biologico, peso e altezza). Questo elenco è indicativo: l’App può trattare questi e altri dati analoghi relativi al benessere e alla salute nell’ambito delle finalità descritte nella presente Policy, con la stessa qualificazione giuridica e lo stesso livello di protezione.

Gli indicatori derivati che l’App calcola da questi dati — qualità del sonno, recupero, vitalità, attivazione, stress, efficienza del sonno e altri indicatori aggregati dello stato fisiologico — sono anch’essi considerati dati relativi alla salute (art. 9 del GDPR) e ricevono la stessa maggiore protezione, base giuridica e gli stessi periodi di conservazione dei dati grezzi.

Questi dati sono conservati con un’elevata risoluzione temporale perché ciò è necessario per calcolare gli indicatori forniti dall’App, e sono memorizzati nel tuo account personale. Non vengono comunicati a terzi, salvo tua espressa autorizzazione tramite la funzionalità descritta nel §7 bis. Sono cancellati in conformità al §6.

Wellbeinn non tratta dati biometrici ai sensi dell’art. 4, punto 14, del GDPR.

3.3 Dati del dispositivo

Identificativo del dispositivo, modello e versione del firmware, identificativo Bluetooth (su Android può trattarsi di un indirizzo MAC pubblico persistente; su iOS è generalmente un UUID variabile assegnato dal sistema operativo), stato della batteria ed eventi di connessione e disconnessione.

3.4 Dati tecnici e di utilizzo

Identificativo di installazione dell’App, sistema operativo e versione, modello del telefono e lingua del dispositivo, registri degli errori tecnici e degli eventi, nonché marcature temporali delle azioni eseguite all’interno dell’App.

Nota sul tracciamento pubblicitario. L’App non integra SDK di analisi di terze parti, non condivide dati con reti pubblicitarie e non utilizza cookie di terze parti. Non creiamo profili per finalità pubblicitarie di terzi e non comunichiamo i tuoi dati agli inserzionisti. Se abiliti l’Opzione 3 (§4 bis.2), utilizziamo un’etichetta di segmento derivata dai tuoi indicatori per personalizzare le nostre comunicazioni commerciali; tale trattamento è descritto integralmente in quella Opzione.

3.5 Dati derivanti dall’utilizzo dell’assistente Coach AI

Quando utilizzi l’assistente conversazionale descritto nel §7 ter, trattiamo il contenuto delle tue richieste e delle risposte generate, insieme agli indicatori dell’account utilizzati come contesto per produrre la risposta.

Il periodo di conservazione di queste conversazioni è stabilito nel §6.

3.6 Archetipo ed etichetta di segmento

Sulla base dei tuoi indicatori derivati, l’App ti assegna un archetipo (un gruppo comportamentale relativo al benessere) e un’etichetta di segmento. Entrambi derivano da dati relativi alla salute e ricevono lo stesso livello di protezione ai sensi dell’art. 9 GDPR.

Sono utilizzati per finalità di comunicazione commerciale solo se abiliti espressamente l’Opzione 3 (§4 bis.2).

4. Basi giuridiche del trattamento

Categoria di dati / trattamento	Base giuridica	Riferimento
Identità, account, dispositivo, dati tecnici	Esecuzione di un contratto	Art. 6(1)(b) GDPR
Dati relativi alla salute (art. 9), compresi gli indicatori derivati — servizio principale	Consenso esplicito	Artt. 6(1)(a) e 9(2)(a) GDPR
Assistente AI Coach (§7 ter)	Esecuzione di un contratto + consenso esplicito per i dati relativi alla salute utilizzati come contesto	Artt. 6(1)(b), 6(1)(a) e 9(2)(a) GDPR
Comunicazioni commerciali senza dati relativi alla salute (Opzione 1)	Consenso separato e revocabile	Art. 6(1)(a) GDPR + art. 21 LSSI
Personalizzazione e miglioramento analitico (Opzione 2)	Consenso separato e revocabile	Artt. 6(1)(a) e 9(2)(a) GDPR
Comunicazioni basate sui dati relativi alla salute (Opzione 3)	Consenso esplicito separato e revocabile	Artt. 6(1)(a) e 9(2)(a) GDPR + art. 21 LSSI
Comunicazione a organizzazioni autorizzate (§7 bis)	Consenso esplicito, specifico per ciascuna organizzazione, revocabile	Artt. 6(1)(a) e 9(2)(a) GDPR
Assistenza e obblighi legali	Obbligo legale / legittimo interesse	Artt. 6(1)(c) e 6(1)(f) GDPR
Conservazione delle prove del consenso	Obbligo di dimostrare il consenso	Art. 7(1) GDPR

Il consenso esplicito al trattamento dei dati relativi alla salute viene richiesto separatamente e inequivocabilmente all’interno dell’App, distinto dall’accettazione dei Termini e condizioni. Puoi revocarlo in qualsiasi momento, senza che ciò comporti la chiusura del tuo account e senza pregiudicare la liceità del trattamento precedente (art. 7(3) GDPR). La revoca sospenderà immediatamente la raccolta di nuovi dati relativi alla salute e, a tua scelta, conserverà o cancellerà i dati già memorizzati.

4 bis. Accettazioni, opzioni e autorizzazioni obbligatorie

Wellbeinn applica i principi dell’art. 4(11) e dell’art. 7(4) GDPR: il consenso deve essere liberamente prestato, specifico, informato e inequivocabile, e il consenso per finalità distinte è ottenuto separatamente.

4 bis.1 Accettazioni obbligatorie

#	Accettazione	Base giuridica
1	Termini e condizioni del servizio	Art. 6(1)(b) GDPR
2	Informativa sulla privacy	Artt. 13 e 14 GDPR
3	Consenso esplicito al trattamento dei dati relativi alla salute	Artt. 6(1)(a) e 9(2)(a) GDPR

Il rifiuto di una qualsiasi delle tre impedisce l’utilizzo dell’App. Non si tratta di una condizione abusiva: la natura del servizio — un’app complementare per un dispositivo di misurazione fisiologica — rende materialmente impossibile il suo funzionamento senza il trattamento dei dati relativi alla salute.

Nessun’altra condizione di accettazione per accedere al servizio. Puoi utilizzare l’App con tutte le opzioni di §4 bis.2 disabilitate e senza alcuna autorizzazione ai sensi di §4 bis.4.

4 bis.2 Opzioni di personalizzazione

Sono strettamente facoltative e non condizionano l’utilizzo dell’App. Sono presentate come caselle di selezione separate, in una sezione dedicata, dopo le accettazioni obbligatorie, e sono disabilitate per impostazione predefinita. Puoi abilitarle o disabilitarle in qualsiasi momento in Profilo → Note legali e privacy, senza penalizzazioni né perdita di funzionalità.

Opzione 1 — Comunicazioni di marketing

"Voglio ricevere via email consigli personalizzati sul benessere e novità da Wellbeinn."

Base giuridica: art. 6(1)(a) del GDPR + art. 21 LSSI.
Finalità: invio di comunicazioni commerciali con consigli sul benessere, novità sui prodotti e offerte dell’ecosistema Wellbeinn.
Dati utilizzati: identificativi dell’account e indirizzo email. Con la sola attivazione di questa opzione, i tuoi dati relativi alla salute non vengono utilizzati per segmentare queste comunicazioni. Se desideri comunicazioni personalizzate in base ai tuoi indicatori, devi attivare anche l’Opzione 3.
Revoca: in Profilo → Note legali e privacy o tramite il link per annullare l’iscrizione presente in ogni comunicazione.
Effetto sul servizio: nessuno.

Opzione 2 — Personalizzazione e miglioramento del prodotto

"Voglio aiutare Wellbeinn a migliorare la mia esperienza analizzando il modo in cui utilizzo l’App, in forma aggregata, senza che i miei dati vengano comunicati a terzi per finalità analitiche."

Base giuridica: artt. 6(1)(a) e 9(2)(a) del GDPR.
Finalità: analisi aggregata dell’utilizzo dell’App e del comportamento degli indicatori derivati, per migliorare il servizio, calibrare gli algoritmi e studiare le coorti interne.
Dati utilizzati: indicatori derivati e modelli di utilizzo dell’App.
Ambito: le analisi vengono effettuate esclusivamente su coorti interne e i relativi risultati non vengono comunicati a terzi. Non vengono utilizzate per trarre conclusioni sui singoli utenti. Questa opzione è indipendente dalla condivisione con l’organizzazione di cui al §7 bis.
Revoca: in Profilo → Note legali e privacy. Interromperà l’inclusione di nuovi dati nelle analisi.
Effetto sul servizio: nessuno.

Opzione 3 — Comunicazioni basate sui miei dati relativi alla salute

"Accetto che Wellbeinn possa utilizzare i miei dati relativi alla salute per inviarmi comunicazioni e campagne personalizzate. È facoltativo e posso annullare l’iscrizione in qualsiasi momento."

Base giuridica: artt. 6(1)(a) e 9(2)(a) del GDPR (consenso esplicito per categorie particolari di dati) + art. 21 LSSI.
Rapporto con l’Opzione 1: questa opzione determina solo come vengono personalizzate le comunicazioni, non se vengono inviate. Se l’Opzione 1 è disabilitata, non riceverai comunicazioni commerciali e pertanto questa opzione non avrà alcun effetto.
Non è offerta agli utenti di età inferiore ai 18 anni (§10).
Finalità: personalizzare il contenuto, i tempi e la frequenza delle nostre comunicazioni commerciali in base al tuo profilo di benessere, affinché tu riceva contenuti pertinenti alla tua situazione specifica anziché comunicazioni generiche.
Dati utilizzati: il tuo indirizzo email, il tuo identificativo interno dell’account, l’archetipo che l’App ti assegna e l’etichetta di segmento derivata dai tuoi indicatori (§3.6).
Come viene generato l’archetipo: attraverso il trattamento automatizzato dei tuoi indicatori derivati, assegnandoti a un gruppo comportamentale. Ciò costituisce profilazione (art. 4(4) del GDPR) e non produce effetti giuridici né incide significativamente su di te (art. 22 del GDPR): l’unico effetto è determinare quale comunicazione commerciale ricevi.
Chi gestisce la campagna: il team di marketing di Wellbeinn, tramite la piattaforma identificata nel §7, che tratta i dati per conto di Wellbeinn in qualità di responsabile del trattamento (art. 28 del GDPR).
Revoca: in Profilo → Aspetti legali e privacy oppure tramite il link per annullare l’iscrizione presente in ogni comunicazione. Interrompe l’invio di nuove comunicazioni segmentate e la trasmissione di nuove etichette al sistema di campagne. I dati già trasmessi vengono eliminati in conformità con il §6.
Effetto sul servizio: nessuno. La disabilitazione non condiziona l’accesso ad alcuna funzionalità o offerta commerciale.

4 bis.3 Se non è abilitata alcuna opzione

Se non abiliti alcuna opzione di personalizzazione, i tuoi dati sanitari saranno trattati esclusivamente per fornire il servizio essenziale: ricevere, archiviare e visualizzare le tue metriche e gli indicatori derivati, nonché rispondere alle tue domande al Coach AI. La base giuridica combina l’art. 6(1)(b) e l’art. 9(2)(a) del GDPR (accettazione obbligatoria n. 3).

4 bis.4 Autorizzazioni alle organizzazioni

Le autorizzazioni che consentono a un’organizzazione di accedere ai tuoi dati (§7 bis) non fanno parte del blocco delle opzioni di personalizzazione e non vengono richieste durante la registrazione. Vengono concesse una per una, su tua iniziativa, e richiedono che tu selezioni espressamente quali tipi di dati rendere disponibili a quella specifica organizzazione.

Ogni autorizzazione costituisce un consenso indipendente (artt. 6(1)(a) e 9(2)(a) del GDPR), viene registrata separatamente e può essere revocata separatamente.

5. Finalità del trattamento

Fornire il servizio essenziale: ricevere, archiviare e visualizzare le tue metriche fisiologiche, di salute e di attività.
Calcolare indicatori derivati dai dati grezzi del dispositivo (vedi §5 bis).
Associare e mantenere la connessione con i tuoi dispositivi.
Gestire il tuo account: registrazione, autenticazione, recupero della password.
Gestire le tue richieste di assistenza e di segnalazione degli incidenti.
Migliorare i nostri prodotti attraverso analisi aggregate (solo se abiliti l’Opzione 2, §5.6).
Adempiere agli obblighi di legge.
Fornire l’assistente Coach AI (§7 ter).
Personalizzare le nostre comunicazioni commerciali (solo se abiliti l’Opzione 3).
Rendere disponibili determinati dati a un’organizzazione da te autorizzata, una volta che tale funzionalità sarà disponibile (§7 bis).
Conservare le prove dei consensi prestati e revocati (art. 7, paragrafo 1, del GDPR).

5 bis. Indicatori derivati, profilazione e natura non medica

Gli indicatori relativi a qualità del sonno, recupero, vitalità, attivazione, stress e altri indicatori aggregati dello stato fisiologico sono calcolati mediante trattamento automatizzato dei tuoi dati relativi alla salute, che costituisce profilazione rispetto allo stato fisiologico (art. 4, paragrafo 4, del GDPR). Sono disciplinati dalla stessa base giuridica dei dati grezzi.

Questi calcoli non producono effetti giuridici nei tuoi confronti né ti incidono significativamente in modo analogo (art. 22 del GDPR): si tratta di informazioni personali visualizzate sul tuo dispositivo. Vengono utilizzati esclusivamente per personalizzare le comunicazioni commerciali se abiliti espressamente l’Opzione 3 e non vengono mai comunicati a reti pubblicitarie di terze parti.

Interruzione di questo trattamento. Non è separabile dalla fornitura del servizio: senza di esso, l’App non può offrire le sue funzionalità principali. Se desideri interromperlo, puoi smettere di usare l’App oppure eliminare il tuo account, con conseguente cancellazione dei dati associati in conformità al §6.

L’App e i dispositivi dell’ecosistema Wellbeinn non sono dispositivi medici ai sensi del Regolamento (UE) 2017/745 (MDR). Non sono destinati a diagnosticare, prevenire, monitorare clinicamente, trattare o alleviare malattie e non sostituiscono il giudizio di un professionista sanitario. In presenza di sintomi o dubbi sulla salute, consulta un medico.

5.6. Ambito dell’analisi dell’Opzione 2

L’analisi di cui alla finalità 6 — effettuata solo se abiliti l’Opzione 2 — viene eseguita in forma aggregata, su coorti interne, e non viene utilizzata per trarre conclusioni sui singoli utenti.

I risultati statistici effettivamente anonimi ai sensi del considerando 26 del GDPR, poiché non consentono ragionevolmente la reidentificazione, possono essere conservati dopo l’esercizio del diritto alla cancellazione, poiché cessano di essere dati personali. Qualsiasi risultato che non soddisfi tale condizione viene cancellato insieme al resto dei tuoi dati.

Qualora in futuro Wellbeinn desideri trattare dati pseudonimizzati per finalità di ricerca secondaria o statistiche, lo farà esclusivamente sulla base di un consenso specifico aggiuntivo o delle garanzie previste dall’art. 89 del GDPR, a seguito di una valutazione d’impatto sulla protezione dei dati e con un periodo di conservazione definito, e te ne informeremo preventivamente.

6. Periodi di conservazione

Dati	Periodo
Dati dell’account attivo	Per tutto il periodo in cui il tuo account rimane aperto
Dati relativi alla salute e al dispositivo associati all’account	Per tutto il periodo in cui il tuo account rimane aperto
A seguito di una richiesta di cancellazione	Cancellazione entro un massimo di 30 giorni di calendario
Log tecnici e degli accessi	12 mesi, sulla base del nostro legittimo interesse alla sicurezza e all’integrità del servizio (art. 6(1)(f) GDPR)
Archetipo ed etichetta del segmento nel sistema di campagne	Per tutto il periodo in cui l’Opzione 3 è abilitata. Cancellazione entro 30 giorni di calendario dalla disabilitazione o dalla chiusura dell’account
Autorizzazioni delle organizzazioni (organizzazione, ambito, concessione, revoca)	Per tutto il periodo in cui l’autorizzazione è attiva + 4 anni come prova del consenso
Cronologia delle conversazioni con Coach AI	Massimo 12 mesi da ciascuna conversazione
Registro di audit del consenso (versione accettata, data e ora, lingua, finalità, revoche)	4 anni dalla revoca del consenso o dalla chiusura dell’account (art. 7(1) GDPR)

Una volta trascorsi questi periodi, i dati vengono cancellati o anonimizzati irreversibilmente.

Perché la registrazione del consenso sopravvive alla chiusura dell’account. Se cancellassimo anche la prova del tuo consenso, non potremmo dimostrare a te o all’autorità di controllo che il trattamento era lecito. Tale registrazione contiene solo la traccia del consenso — identificativo, data, versione, finalità — non i tuoi dati sanitari, che vengono cancellati entro 30 giorni.

Nota sul modello di servizio. Il servizio è attualmente gratuito e non prevede acquisti in-app. In futuro Wellbeinn potrebbe introdurre un modello di abbonamento a pagamento; ciò non modifica i periodi descritti qui.

7. Responsabili del trattamento, titolari autonomi del trattamento e sub-responsabili

Fornitore	Servizio	Ruolo	Ubicazione
Google Ireland Limited (Firebase / Google Cloud)	Autenticazione, Firestore, Storage, Cloud Functions e Cloud Logging	Responsabile del trattamento (art. 28 GDPR)	Spazio economico europeo — regione `europe-west3`
Google LLC	"Accedi con Google"	Titolare autonomo del trattamento del servizio di identità	USA — Decisione di adeguatezza 2023/1795 (Quadro UE-USA per la protezione dei dati)
Fornitore del modello linguistico	Generazione delle risposte dell’assistente Coach AI (§7 ter)	Responsabile del trattamento (art. 28 GDPR)	Al di fuori dello Spazio economico europeo, con le garanzie indicate nel §8
Klaviyo, Inc.	Invio e segmentazione delle comunicazioni commerciali (Opzioni 1 e 3)	Responsabile del trattamento (art. 28 GDPR)	USA — Decisione di adeguatezza 2023/1795 (Quadro UE-USA per la protezione dei dati) e Clausole contrattuali tipo
Organizzazioni autorizzate dall’utente	Accesso ai dati autorizzato dall’utente (§7 bis)	Titolare autonomo del trattamento	Varia a seconda dell’organizzazione; viene comunicato prima che tu conceda l’autorizzazione

I dati misurati dal dispositivo indossabile Wellbeinn V8 vengono trasmessi localmente tramite Bluetooth tra il dispositivo e il tuo telefono.

Per i trasferimenti verso paesi terzi privi di una decisione di adeguatezza applichiamo le Clausole contrattuali tipo (Decisione 2021/914) insieme alle misure supplementari richieste dalle Raccomandazioni 01/2020 dell'EDPB.

Questa funzionalità non è attualmente disponibile nell’App. Quando verrà attivata, funzionerà come descritto di seguito e la presente Informativa sarà aggiornata per rifletterne il lancio.

L’App ti consentirà di autorizzare un’organizzazione — un’associazione sportiva, un allenatore, un professionista sanitario, un datore di lavoro o un altro ente — ad accedere a determinati dati del tuo account. La funzionalità sarà strettamente facoltativa, sarà disabilitata per impostazione predefinita e verrà attivata esclusivamente tramite una tua azione.

Come funzionerà. Dalla schermata «Aggiungi accesso» inserirai un codice o scansionerai un codice QR fornito dall’organizzazione. Ti verrà mostrato chi è l’organizzazione e perché richiede i tuoi dati e selezionerai quali tipi di dati desideri rendere disponibili (ad esempio: sonno e riposo, recupero, attività fisica). L’autorizzazione non avrà effetto finché non la confermerai.

Chi riceverà i dati e in quale veste. L’organizzazione da te autorizzata agirà in qualità di titolare autonomo del trattamento: determinerà autonomamente per quali finalità utilizzare i dati e sarà responsabile del relativo utilizzo nei tuoi confronti e nei confronti delle autorità di controllo. Wellbeinn non istruirà né controllerà tale utilizzo successivo.

Prima di abilitare qualsiasi accesso, Wellbeinn stipulerà un contratto con ciascuna organizzazione, imponendole di: limitare l’uso alla finalità comunicata, applicare misure di sicurezza adeguate, non riutilizzare i dati per altre finalità, non comunicarli a terzi, rispondere a qualsiasi diritto da te esercitato nei suoi confronti, notificare qualsiasi violazione della sicurezza e cancellare i dati quando il rapporto termina o quando revochi l’autorizzazione.

Base giuridica. Il tuo consenso esplicito, specifico per ciascuna organizzazione (artt. 6(1)(a) e 9(2)(a) GDPR). Non si tratterà di un consenso generico e non sarà richiesto al momento della registrazione.

Quali dati saranno condivisi. Solo i tipi da te selezionati. I tipi non selezionati non saranno condivisi, né saranno condivisi i tuoi dati identificativi oltre al nome associato al tuo account, né il contenuto delle tue conversazioni con Coach AI.

Come revocare. Potrai revocare qualsiasi autorizzazione in qualsiasi momento dall’App. La revoca avrà effetto immediato: l’organizzazione non potrà più accedere ai tuoi dati e sarà contrattualmente obbligata a cancellare tutto ciò che ha scaricato entro un massimo di 30 giorni. La revoca non pregiudicherà la liceità degli accessi precedenti (art. 7(3) GDPR) e non avrà alcun effetto sul tuo account.

Registrazione. Wellbeinn conserverà la documentazione di ogni autorizzazione e revoca (identificativo dell’utente, organizzazione, tipi di dati, data e ora, versione del testo accettato) in conformità al §6.

7 ter. Assistente conversazionale (Coach AI)

L’App include un assistente conversazionale che risponde alle tue domande sul benessere, sul riposo e sull’allenamento.

Come funziona. Quando invii una richiesta, Wellbeinn trasmette al fornitore del modello linguistico identificato nel §7 il testo della tua richiesta e i dati dell’account necessari per contestualizzare la risposta, limitatamente a quanto strettamente necessario a tale scopo.

Il ruolo del fornitore. Agisce in qualità di responsabile del trattamento (art. 28 del GDPR): tratta i dati per conto di Wellbeinn e secondo le nostre istruzioni, e non può utilizzarli per propri scopi.

Limitazione importante. Le risposte di Coach AI sono indicative e di carattere generale. Non costituiscono consulenza medica, diagnosi o prescrizione, possono contenere errori e non sostituiscono il giudizio di un professionista sanitario. L’avvertenza di cui al §5 bis si applica integralmente.

I tuoi dati delle conversazioni. Consulta §3.5 e §6.

8. Trasferimenti internazionali

Come regola generale, i tuoi dati sono conservati su server situati nello Spazio economico europeo.

Quando un fornitore tratta dati provenienti dagli USA — il fornitore di identità federata, il fornitore del modello linguistico e la piattaforma per le campagne — la base del trasferimento sarà principalmente la Decisione di adeguatezza 2023/1795 (Quadro UE-USA per la protezione dei dati), nella misura in cui il fornitore sia certificato nell’ambito di tale quadro. In via subordinata, e per i Paesi terzi privi di una decisione di adeguatezza, si applicheranno le Clausole contrattuali standard (Decisione 2021/914) con le necessarie misure supplementari.

Organizzazioni al di fuori dello Spazio economico europeo (§7 bis). Quando la funzionalità è disponibile e un’organizzazione è stabilita in un Paese terzo, Wellbeinn strutturerà il trasferimento mediante Clausole contrattuali standard incorporate nel contratto con tale organizzazione.

Se, in via eccezionale, tali garanzie non possono essere applicate, il trasferimento potrà basarsi esclusivamente sul tuo consenso esplicito ai sensi dell’art. 49, paragrafo 1, lettera a), del GDPR; in tal caso, prima che tu lo presti, sarai espressamente informato del fatto che il Paese di destinazione non dispone di una decisione di adeguatezza né di garanzie adeguate, nonché dei rischi che ciò comporta per i tuoi dati: tra gli altri, la possibile assenza di un’autorità di controllo indipendente, di diritti effettivi di accesso e rettifica e di rimedi giudiziari equivalenti a quelli disponibili nello Spazio economico europeo.

9. I tuoi diritti

Accesso ai dati che trattiamo su di te.
Rettifica dei dati inesatti o incompleti.
Cancellazione («diritto all’oblio»), fatte salve le eccezioni di cui all’art. 17, paragrafo 3, del GDPR.
Opposizione al trattamento. Per gli indicatori derivati, consulta il §5 bis.
Limitazione del trattamento.
Portabilità in un formato strutturato, di uso comune e leggibile da dispositivo automatico.
Non essere sottoposto a decisioni individuali automatizzate che producano effetti significativi (art. 22 GDPR).
Revoca del consenso prestato per il trattamento dei dati relativi alla salute, per qualsiasi opzione di personalizzazione o per qualsiasi autorizzazione dell’organizzazione, senza effetto retroattivo e gratuitamente.

9.1 Come esercitare i tuoi diritti

L’esercizio dei tuoi diritti è gratuito (art. 12(5) GDPR).

Nell’App: nella sezione Profilo → Note legali e privacy puoi vedere quale versione dei documenti hai accettato e attivare o disattivare ciascuna opzione di personalizzazione. Dalle impostazioni del tuo account puoi richiedere l’eliminazione del tuo account.
Via e-mail all’indirizzo privacy@wellbeinn.com, indicando quale diritto stai esercitando. Per verificare la tua identità utilizzeremo preferibilmente l’indirizzo e-mail associato al tuo account. Solo in presenza di ragionevoli dubbi (art. 12(6) GDPR) potremo richiedere informazioni aggiuntive, proporzionate e limitate al minimo; di norma non è richiesta una copia di un documento di identità.

Risponderemo entro un mese al massimo, prorogabile di ulteriori due mesi nei casi complessi, informandoti della proroga e dei relativi motivi (art. 12(3) GDPR).

9.2 Reclamo all’autorità di controllo

Puoi presentare un reclamo all’Agencia Española de Protección de Datos (Agenzia spagnola per la protezione dei dati, AEPD), C/ Jorge Juan 6, 28001 Madrid — www.aepd.es.

Se risiedi in un altro Stato membro dell’UE, puoi presentare il reclamo anche all’autorità di controllo del tuo Paese di residenza.

10. Minori

Wellbeinn richiede un’età minima di 16 anni per utilizzare l’App.

Sebbene l’art. 7 della LOPDGDD stabilisca la soglia legale predefinita a 14 anni, Wellbeinn applica una politica più prudente fissando l’età minima a 16 anni, per coerenza con le norme più restrittive di altri Stati membri e per cautela, considerata la sensibilità dei dati trattati.

Comunicazioni commerciali basate sui dati relativi alla salute. L’Opzione 3 (§4 bis.2) non è offerta agli utenti di età inferiore a 18 anni. Gli utenti di età compresa tra 16 e 18 anni possono utilizzare normalmente l’App e attivare le Opzioni 1 e 2, ma i loro dati relativi alla salute non saranno utilizzati per segmentare le comunicazioni commerciali.

Se rileviamo che si è registrato un minore al di sotto della soglia applicabile: (i) sospenderemo immediatamente l’account, (ii) richiederemo la verifica da parte dei genitori tramite un canale sicuro e (iii) elimineremo l’account e i dati associati se la verifica non viene completata entro 30 giorni.

11. Sicurezza dei dati

Applichiamo misure tecniche e organizzative adeguate al livello di rischio, tra cui:

Crittografia delle comunicazioni in transito (TLS 1.2+).
Crittografia dei dati a riposo sui server di archiviazione.
Regole di sicurezza granulari che consentono a ciascun utente di leggere e scrivere esclusivamente le proprie informazioni (controllo degli accessi tramite identificativo dell’utente).
Conservazione delle credenziali mediante funzioni hash a senso unico gestite dal provider di identità.
Un registro di audit dei consensi prestati e revocati nell’App, inclusa la versione esatta del testo accettato.

In caso di incidente di sicurezza che riguardi i tuoi dati e comporti un rischio elevato per i tuoi diritti, ti informeremo senza indebito ritardo (art. 34 GDPR), tramite e-mail e/o messaggio in-app, indicando la natura della violazione, le categorie e i volumi approssimativi dei dati interessati, le probabili conseguenze e le misure adottate. Segnaleremo la violazione all’AEPD entro 72 ore (art. 33 GDPR).

12. Cookie e identificativi

L’App non utilizza cookie né tecnologie equivalenti di tracciamento pubblicitario. Utilizza esclusivamente identificativi tecnici strettamente necessari per il servizio (token di sessione, identificativo dell’installazione). Il sito web wellbeinn.com può utilizzare cookie di sessione e, se applicabile, cookie di misurazione, disciplinati dalla cookie policy del sito.

13. Modifiche alla presente Policy

Potremmo aggiornare la presente Policy per riflettere modifiche normative o tecniche. La versione e la data sono indicate in §14, mentre la cronologia è riportata in §15.

Per modifiche sostanziali si intendono, tra le altre: l’aggiunta di nuove categorie di dati, l’introduzione di nuovi responsabili o sub-responsabili del trattamento in Paesi terzi, modifiche alle finalità o alle basi giuridiche e modifiche che incidono sui tuoi diritti.

Quando pubblicheremo una versione con modifiche sostanziali, alla successiva autenticazione l’App ti mostrerà una schermata per l’accettazione. Per continuare a utilizzare il servizio, dovrai accettare nuovamente i tre elementi obbligatori di §4 bis.1; le opzioni facoltative ti verranno nuovamente proposte, ma potrai continuare senza attivarne alcuna.

14. Versione e data

Versione: 1.0.6
Data di entrata in vigore: 19 agosto 2026
Lingue disponibili: spagnolo, inglese. La versione inglese è una traduzione a titolo di cortesia; in caso di discrepanza, e salvo che la normativa sulla tutela dei consumatori del Paese di residenza dell’utente disponga diversamente, prevale la versione spagnola.

15. Cronologia delle versioni

Versione	Data	Modifiche sostanziali
1.0.6	19/08/2026	Nuova Opzione 3 (comunicazioni basate sui dati sanitari). Nuova sezione sulla condivisione con le organizzazioni (§7 bis, funzionalità non ancora disponibile). Nuova sezione sull’assistente Coach AI (§7 ter). Tabella dei responsabili del trattamento ampliata. Nuovi periodi di conservazione. Correzione delle clausole che affermavano che nessun dato era condiviso con terzi e che non veniva effettuata alcuna profilazione.
1.0.5	29/04/2026	Versione precedente