← Torna al login

Informativa sulla Privacy

Ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (GDPR) e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018

GDPR Compliant

La presente informativa descrive come Diet Plan Pro (il software gestionale per dietisti/nutrizionisti, di seguito anche "la Piattaforma") raccoglie, utilizza e protegge i dati personali degli utenti che vi accedono. Per l'informativa relativa all'app riservata ai pazienti, si veda l'informativa privacy pubblicata nell'app stessa.

1. Titolare e Responsabile del Trattamento

La presente piattaforma coinvolge due ruoli distinti previsti dal GDPR, a seconda della categoria di dati:

Dati del professionista (account, fatturazione, utilizzo della piattaforma): il Titolare del Trattamento è Diet Plan Pro — DA COMPLETARE (Nome Cognome / Ragione Sociale, P.IVA in corso di apertura, indirizzo), contattabile all'indirizzo email DA COMPLETARE (email professionale sul dominio, in sostituzione dell'indirizzo attuale usato in fase di sviluppo).
Dati dei pazienti inseriti dal professionista (cartelle cliniche, piani alimentari, dati sanitari): il Titolare del Trattamento è il professionista sanitario che ha attivato l'account e inserisce i dati nell'esercizio della propria attività, in quanto detentore del rapporto terapeutico col paziente. Diet Plan Pro agisce come Responsabile del Trattamento (art. 28 GDPR) per conto del professionista, in base all'accordo di nomina a responsabile disponibile per ogni account (vedi sezione "Documenti collegati" in fondo).

Per qualsiasi richiesta relativa al trattamento dei propri dati clinici, il paziente deve rivolgersi in prima battuta al proprio professionista (Titolare); per richieste relative ai dati del professionista o al funzionamento tecnico della piattaforma, contattare Diet Plan Pro come indicato sopra.

2. Tipologie di Dati Trattati

2.1 Dati degli Operatori (Dietisti/Professionisti)

Dati di registrazione: indirizzo email, password (memorizzata in forma crittografata).
Dati di profilo: nome, cognome, numero di iscrizione all'albo professionale.
Dati di utilizzo: log di accesso, orari di connessione, funzionalità utilizzate.

2.2 Dati dei Pazienti

⚠️ I dati dei pazienti inseriti nella piattaforma costituiscono dati personali relativi alla salute ai sensi dell'art. 9 GDPR (categorie speciali di dati). Il professionista che inserisce tali dati è responsabile del rispetto del GDPR nei confronti dei propri pazienti.

Dati anagrafici: nome, cognome, data di nascita, sesso, codice fiscale (se inserito).
Dati antropometrici: peso, altezza, BMI, composizione corporea (BIA).
Dati clinici: patologie, allergie, intolleranze, terapie farmacologiche, esami biochimici, timeline clinica.
Piani alimentari personalizzati, diete prescritte, ricette e diario alimentare/benessere (umore, energia, stress, sonno, idratazione, ciclo mestruale se compilato dal paziente).
Questionari nutrizionali, schede di valutazione e resoconti visita.
Note cliniche e appunti del professionista, allegati/documenti caricati in cartella.
Messaggi di chat 1:1 e di gruppo (testo, vocali, immagini) tra professionista e paziente, inclusi eventuali messaggi programmati; se il professionista attiva il collegamento WhatsApp, anche numero di telefono e messaggi scambiati tramite WhatsApp Business (Meta) — vedi punto 5.1.
Se il professionista usa la funzione di trascrizione automatica delle sedute ("AI Scribe"): l'audio della seduta, registrato solo col consenso esplicito del paziente richiesto prima di avviare la registrazione, viene inviato al fornitore AI per la trascrizione e scartato subito dopo — non viene mai salvato su disco, storage o database. Restano invece salvati, se il professionista li conferma, il testo trascritto e la nota clinica generata.
Foto di referti di laboratorio o del diario alimentare caricate per l'estrazione automatica dei valori tramite AI (OCR).
Se il professionista attiva la fatturazione elettronica o la trasmissione al Sistema Tessera Sanitaria: dati della fattura e dati fiscali della prestazione, trasmessi tramite l'account personale del professionista presso questi servizi — vedi punto 5.1.
Se il professionista sincronizza la propria agenda con un'app calendario esterna (Google/Apple/Outlook): il nome del paziente e l'orario dell'appuntamento vengono inclusi nel feed di sincronizzazione — vedi punto 5.1.
Dati clinici esportabili in formato standard FHIR (interoperabilità sanitaria), su richiesta del professionista o del paziente, per il trasferimento ad altri sistemi sanitari.
Se attivo: dati di fatturazione dell'abbonamento del professionista (non dati di pagamento dei pazienti, che non transitano su questa piattaforma) — vedi punto 5.2.

3. Finalità e Basi Giuridiche del Trattamento

Finalità	Base Giuridica
Erogazione del servizio di gestione dei piani alimentari	Esecuzione del contratto (art. 6.1.b GDPR)
Gestione dell'account e autenticazione	Esecuzione del contratto (art. 6.1.b GDPR)
Trattamento dei dati sanitari dei pazienti da parte del professionista	Finalità di assistenza o terapia sanitaria, da parte di un professionista soggetto al segreto professionale (art. 9.2.h e 9.3 GDPR)
Sicurezza della piattaforma e prevenzione delle frodi	Legittimo interesse del Titolare (art. 6.1.f GDPR)
Adempimento di obblighi legali	Obbligo legale (art. 6.1.c GDPR)

4. Conservazione dei Dati

Account e dati di profilo: conservati per tutta la durata del rapporto contrattuale. Dopo la cessazione restano conservati per 10 anni solo i dati di fatturazione (obblighi civilistici e fiscali, art. 2220 del Codice civile).
Dati dei pazienti: conservati per il periodo necessario all'erogazione delle prestazioni sanitarie e comunque nel rispetto degli obblighi di conservazione della documentazione clinica previsti dalla normativa vigente.
Log di accesso: conservati per un massimo di 12 mesi.

5. Destinatari e Trasferimento dei Dati

I dati personali possono essere comunicati alle seguenti categorie di destinatari:

5.1 Fornitori di Servizi Tecnici (Responsabili/Sub-responsabili del Trattamento)

Fornitore	Servizio	Sede	Garanzie
Supabase Inc.	Database, autenticazione e archiviazione file (allegati, vocali)	USA (server EU disponibili)	Standard Contractual Clauses (SCC) + DPA Supabase
Vercel Inc.	Hosting e infrastruttura web	USA	Standard Contractual Clauses (SCC) + DPA Vercel
Groq Inc.	Assistente AI, OCR di referti/foto e trascrizione vocale "AI Scribe" (vengono inviati i testi, le immagini e l'audio che il professionista sceglie di far elaborare: possono contenere dati sanitari e, nel caso di referti e registrazioni delle sedute, dati identificativi del paziente)	USA	Standard Contractual Clauses (SCC)
Anthropic (Claude)	Generazione AI dei piani alimentari (modello dedicato per contenuto clinico) e analisi di riserva delle foto pasto/diario alimentare	USA	Standard Contractual Clauses (SCC)
Google (Gemini API)	Analisi AI delle foto pasto/diario alimentare nell'app pazienti (fornitore primario)	USA/UE	Standard Contractual Clauses (SCC)
Meta Platforms Inc. se attivato dal professionista	Invio/ricezione messaggi WhatsApp Business tra professionista e paziente — solo se il professionista collega volontariamente il proprio account WhatsApp Business	USA/UE	Data Processing Terms Meta Business
Resend	Invio email transazionali (recupero password)	USA	Standard Contractual Clauses (SCC) + DPA Resend
Fatture in Cloud / Sistema Tessera Sanitaria se attivati dal professionista	Fatturazione elettronica e trasmissione dati fiscali al sistema sanitario nazionale — tramite l'account personale del professionista presso questi servizi, non un account Diet Plan Pro condiviso	Italia	da qualificare con l'avvocato (intermediario tecnico vs. sub-responsabile)
Stripe Inc. se attivo	Elaborazione pagamenti abbonamento del professionista (carta e PayPal tramite Stripe Checkout). Diet Plan Pro non memorizza mai i dati della carta.	USA/UE	Standard Contractual Clauses (SCC) + DPA Stripe

L'elenco completo dei sub-responsabili, con i relativi contatti e link ai rispettivi DPA, è mantenuto nel registro sub-responsabili. Se il professionista sincronizza volontariamente la propria agenda con Google/Apple/Outlook Calendar, quel servizio non è un sub-responsabile scelto da Diet Plan Pro ma un account personale del professionista — vedi lo stesso registro per i dettagli.

⚠️ Cosa viene inviato alle funzioni di intelligenza artificiale. Le funzioni AI elaborano solo ciò che il professionista sceglie di far elaborare. La generazione della bozza di piano alimentare invia al fornitore peso, patologie, esami recenti e note cliniche del paziente, non il nome. I referti fotografati e le registrazioni delle sedute possono invece contenere il nome del paziente: vanno usati solo dopo averlo informato e, per la registrazione, con il suo consenso esplicito. Nell'assistente a domande libere non inserire dati identificativi (nome, codice fiscale).

Nessun addestramento. Diet Plan Pro non usa i dati dei pazienti per addestrare modelli di intelligenza artificiale e sceglie fornitori e piani di servizio le cui condizioni escludono l'uso dei contenuti inviati per l'addestramento dei loro modelli.

5.2 Pagamenti (quando attivi)

Il pagamento dell'abbonamento del professionista è gestito interamente da Stripe (che supporta anche PayPal all'interno del proprio Checkout). Diet Plan Pro riceve da Stripe solo lo stato dell'abbonamento (attivo/scaduto) e un identificativo cliente — mai il numero di carta o le credenziali PayPal.

6. Diritti degli Interessati

Ai sensi degli artt. 15–22 GDPR, ogni interessato ha il diritto di:

Accesso: ottenere conferma che i propri dati siano trattati e riceverne copia (art. 15).
Rettifica: richiedere la correzione di dati inesatti o incompleti (art. 16).
Cancellazione ("diritto all'oblio"): richiedere la cancellazione dei dati (art. 17), salvo obblighi di conservazione previsti dalla legge.
Limitazione: richiedere la limitazione del trattamento (art. 18).
Portabilità: ricevere i propri dati in formato strutturato e leggibile da macchina (art. 20).
Opposizione: opporsi al trattamento basato su legittimo interesse (art. 21).
Revoca del consenso: revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento precedente.

Per esercitare i propri diritti, contattare il Titolare del Trattamento. In caso di risposta insoddisfacente, è possibile proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

7. Sicurezza dei Dati

Diet Plan Pro adotta misure tecniche e organizzative appropriate per proteggere i dati personali da accessi non autorizzati, perdita, divulgazione o alterazione, tra cui:

Crittografia delle password (hashing con bcrypt tramite Supabase Auth).
Comunicazioni cifrate tramite TLS/HTTPS su tutte le connessioni.
Cifratura a livello di campo (pgcrypto) per le categorie di dati più sensibili — note cliniche, note specialistiche/NCPt, messaggi di chat — leggibili in chiaro solo dall'utente autorizzato tramite viste dedicate lato database, con le chiavi di cifratura gestite separatamente dai dati (Supabase Vault).
Autenticazione a più fattori (MFA) applicabile alle tabelle e agli account con accesso a dati particolarmente sensibili.
Row Level Security (RLS) nel database: ogni utente accede esclusivamente ai propri dati.
Accesso agli endpoint API limitato agli utenti autenticati con sessione valida.
Header di sicurezza HTTP (CSP, HSTS, X-Frame-Options, ecc.).
Sistema di approvazione degli account: i nuovi account richiedono autorizzazione da un amministratore.
Registro di audit (audit log) sulle operazioni più sensibili relative ai dati dei pazienti.

8. Cookie e Tecnologie di Tracciamento

Diet Plan Pro utilizza esclusivamente:

Cookie tecnici di sessione (localStorage) necessari per mantenere la sessione di autenticazione dell'utente. Non vengono utilizzati cookie di profilazione o cookie di terze parti a fini pubblicitari.

9. Minori

Il servizio è destinato esclusivamente a professionisti sanitari maggiorenni. Non vengono raccolti consapevolmente dati di minori di 18 anni come utenti della piattaforma. I dati clinici di pazienti minori inseriti dal professionista sono trattati sotto la responsabilità del professionista stesso, nel rispetto delle norme applicabili in materia di tutela dei dati dei minori.

10. Modifiche alla Presente Informativa

Il Titolare si riserva il diritto di apportare modifiche alla presente informativa in qualsiasi momento. Le modifiche saranno pubblicate su questa pagina con indicazione della data di aggiornamento. In caso di modifiche sostanziali, gli utenti registrati saranno notificati via email.

11. Documenti collegati

Termini di Servizio — condizioni contrattuali per l'uso della piattaforma.
Registro delle Attività di Trattamento (art. 30 GDPR).
Accordo di Nomina a Responsabile del Trattamento (art. 28 GDPR) tra il professionista (Titolare) e Diet Plan Pro (Responsabile).
Valutazione d'Impatto sulla Protezione dei Dati (DPIA, art. 35 GDPR).
Registro dei sub-responsabili del trattamento.
Politica di Audit Log e Conservazione Dati.
Valutazione Hosting Italia/UE (analisi tecnico-normativa, non un documento di trattamento dati).
Percorso di Certificazione ISO 27001 e Politica di Sicurezza delle Informazioni (scoping, non ancora una certificazione).

📩 Contatti per la Privacy

Per esercitare i tuoi diritti o per qualsiasi domanda relativa al trattamento dei dati personali, contatta il Titolare del Trattamento all'indirizzo email comunicato in fase di attivazione del servizio.

Garante per la Protezione dei Dati Personali: www.garanteprivacy.it

Ultimo aggiornamento: Ottobre 2026 — Diet Plan Pro

Privacy Policy

Pursuant to Articles 13 and 14 of Regulation (EU) 2016/679 (GDPR) and Italian Legislative Decree 196/2003 as amended by Legislative Decree 101/2018

GDPR Compliant

This notice describes how Diet Plan Pro (the practice-management software for dietitians/nutritionists, hereinafter also "the Platform") collects, uses and protects the personal data of the users who access it. For the notice covering the dedicated patient app, see the privacy notice published within the app itself.

1. Data Controller and Data Processor

This platform involves two distinct roles under the GDPR, depending on the category of data:

Professional's data (account, billing, platform usage): the Data Controller is Diet Plan Pro — TO BE COMPLETED (Name / Company name, VAT number pending registration, address), reachable at the email address TO BE COMPLETED (a professional address on the domain, replacing the current development-stage address).
Patient data entered by the professional (clinical records, meal plans, health data): the Data Controller is the healthcare professional who activated the account and enters the data in the course of their practice, as the holder of the therapeutic relationship with the patient. Diet Plan Pro acts as Data Processor (Art. 28 GDPR) on the professional's behalf, under the data processing agreement available for every account (see "Related documents" section below).

For any request concerning the processing of their clinical data, the patient should first contact their own professional (the Controller); for requests concerning the professional's own data or the platform's technical operation, contact Diet Plan Pro as indicated above.

2. Types of Data Processed

2.1 Operator Data (Dietitians/Professionals)

Registration data: email address, password (stored encrypted).
Profile data: first name, last name, professional registration number.
Usage data: access logs, connection times, features used.

2.2 Patient Data

⚠️ Patient data entered into the platform constitutes personal data concerning health under Art. 9 GDPR (special categories of data). The professional entering such data is responsible for GDPR compliance towards their own patients.

Identification data: first name, last name, date of birth, sex, tax ID (if entered).
Anthropometric data: weight, height, BMI, body composition (BIA).
Clinical data: conditions, allergies, intolerances, pharmacological therapies, lab results, clinical timeline.
Personalized meal plans, prescribed diets, recipes and food/wellness diary (mood, energy, stress, sleep, hydration, menstrual cycle if filled in by the patient).
Nutritional questionnaires, assessment records and visit reports.
Clinical notes and the professional's remarks, attachments/documents uploaded to the file.
1:1 and group chat messages (text, voice notes, images) between professional and patient, including any scheduled messages; if the professional enables the WhatsApp connection, also the patient's phone number and messages exchanged via WhatsApp Business (Meta) — see point 5.1.
If the professional uses the automatic session-transcription feature ("AI Scribe"): session audio, recorded only with the patient's explicit consent requested before recording starts, is sent to the AI provider for transcription and discarded immediately afterwards — it is never saved to disk, storage or the database. Only the transcribed text and the generated clinical note are kept, and only if the professional confirms them.
Photos of lab reports or the food diary uploaded for automatic value extraction via AI (OCR).
If the professional enables electronic invoicing or transmission to the Italian Health Card System (Sistema Tessera Sanitaria): invoice data and the visit's fiscal data, transmitted via the professional's own personal account with these services — see point 5.1.
If the professional syncs their agenda with an external calendar app (Google/Apple/Outlook): the patient's name and appointment time are included in the sync feed — see point 5.1.
Clinical data exportable in the standard FHIR format (healthcare interoperability), at the professional's or patient's request, for transfer to other healthcare systems.
If active: billing data for the professional's subscription (not patient payment data, which never passes through this platform) — see point 5.2.

3. Purposes and Legal Bases of Processing

Purpose	Legal Basis
Provision of the meal-plan management service	Performance of a contract (Art. 6.1.b GDPR)
Account management and authentication	Performance of a contract (Art. 6.1.b GDPR)
Processing of patients' health data by the professional	Provision of health care or treatment by a professional bound by professional secrecy (Art. 9.2.h and 9.3 GDPR)
Platform security and fraud prevention	Legitimate interest of the Controller (Art. 6.1.f GDPR)
Compliance with legal obligations	Legal obligation (Art. 6.1.c GDPR)

4. Data Retention

Account and profile data: retained for the duration of the contractual relationship. After termination only billing data are kept for 10 years (civil and tax obligations, Art. 2220 of the Italian Civil Code).
Patient data: retained for the period necessary to provide healthcare services and in any case in compliance with the clinical-documentation retention obligations set by applicable regulations.
Access logs: retained for a maximum of 12 months.

5. Recipients and Data Transfers

Personal data may be disclosed to the following categories of recipients:

5.1 Technical Service Providers (Processors/Sub-processors)

Provider	Service	Location	Safeguards
Supabase Inc.	Database, authentication and file storage (attachments, voice notes)	USA (EU servers available)	Standard Contractual Clauses (SCC) + Supabase DPA
Vercel Inc.	Hosting and web infrastructure	USA	Standard Contractual Clauses (SCC) + Vercel DPA
Groq Inc.	AI Assistant, OCR of lab reports/photos and voice transcription "AI Scribe" (the texts, images and audio the professional chooses to have processed are sent: they may contain health data and, for lab reports and session recordings, patient-identifying data)	USA	Standard Contractual Clauses (SCC)
Anthropic (Claude)	AI generation of meal plans (dedicated model for clinical content) and fallback analysis of meal/food-diary photos	USA	Standard Contractual Clauses (SCC)
Google (Gemini API)	AI analysis of meal/food-diary photos in the patient app (primary provider)	USA/EU	Standard Contractual Clauses (SCC)
Meta Platforms Inc. if enabled by the professional	Sending/receiving WhatsApp Business messages between professional and patient — only if the professional voluntarily connects their own WhatsApp Business account	USA/EU	Meta Business Data Processing Terms
Resend	Transactional email delivery (password recovery)	USA	Standard Contractual Clauses (SCC) + Resend DPA
Fatture in Cloud / Italian Health Card System (Sistema TS) if enabled by the professional	Electronic invoicing and transmission of fiscal data to the national healthcare system — via the professional's own personal account with these services, not a shared Diet Plan Pro account	Italy	legal characterization to be confirmed (technical intermediary vs. processor)
Stripe Inc. if active	Processing of the professional's subscription payments (card and PayPal via Stripe Checkout). Diet Plan Pro never stores card data.	USA/EU	Standard Contractual Clauses (SCC) + Stripe DPA

The complete list of sub-processors, with their contacts and links to their respective DPAs, is maintained in the sub-processors register. If the professional voluntarily syncs their agenda with Google/Apple/Outlook Calendar, that service is not a sub-processor chosen by Diet Plan Pro but the professional's own personal account — see the same register for details.

⚠️ What is sent to the artificial-intelligence functions. The AI functions only process what the professional chooses to have processed. Generating the draft meal plan sends the provider the patient's weight, conditions, recent lab results and clinical notes, not the name. Photographed lab reports and session recordings may instead contain the patient's name: they should be used only after informing the patient and, for recordings, with explicit consent. Do not enter identifying data (name, tax code) in the free-question assistant.

No training. Diet Plan Pro does not use patient data to train artificial-intelligence models and chooses providers and service plans whose terms exclude the use of submitted content to train their models.

5.2 Payments (when active)

The professional's subscription payment is handled entirely by Stripe (which also supports PayPal within its own Checkout). Diet Plan Pro only receives from Stripe the subscription status (active/expired) and a customer identifier — never the card number or PayPal credentials.

6. Data Subject Rights

Under Articles 15–22 GDPR, every data subject has the right to:

Access: obtain confirmation that their data is being processed and receive a copy of it (Art. 15).
Rectification: request correction of inaccurate or incomplete data (Art. 16).
Erasure ("right to be forgotten"): request deletion of data (Art. 17), subject to legally mandated retention obligations.
Restriction: request restriction of processing (Art. 18).
Portability: receive their data in a structured, machine-readable format (Art. 20).
Objection: object to processing based on legitimate interest (Art. 21).
Withdrawal of consent: withdraw consent at any time, without affecting the lawfulness of processing carried out before the withdrawal.

To exercise their rights, contact the Data Controller. If the response is unsatisfactory, a complaint may be lodged with the Italian Data Protection Authority (Garante per la protezione dei dati personali) (www.garanteprivacy.it).

7. Data Security

Diet Plan Pro adopts appropriate technical and organizational measures to protect personal data from unauthorized access, loss, disclosure or alteration, including:

Password encryption (bcrypt hashing via Supabase Auth).
Encrypted communications via TLS/HTTPS on all connections.
Field-level encryption (pgcrypto) for the most sensitive categories of data — clinical notes, specialist notes/NCPt, chat messages — readable in clear text only by the authorized user through dedicated database views, with encryption keys managed separately from the data (Supabase Vault).
Multi-factor authentication (MFA) applicable to tables and accounts with access to particularly sensitive data.
Row Level Security (RLS) in the database: each user can only access their own data.
Access to API endpoints restricted to authenticated users with a valid session.
HTTP security headers (CSP, HSTS, X-Frame-Options, etc.).
Account approval system: new accounts require authorization from an administrator.
Audit log on the most sensitive operations involving patient data.

8. Cookies and Tracking Technologies

Diet Plan Pro exclusively uses:

Technical session cookies (localStorage) necessary to maintain the user's authentication session. No profiling cookies or third-party advertising cookies are used.

9. Minors

The service is intended exclusively for adult healthcare professionals. No data of users under 18 is knowingly collected as platform users. Clinical data of minor patients entered by the professional is processed under the professional's own responsibility, in compliance with applicable rules on the protection of minors' data.

10. Changes to This Notice

The Controller reserves the right to make changes to this notice at any time. Changes will be published on this page with an indication of the update date. In the event of substantial changes, registered users will be notified by email.

11. Related Documents

Terms of Service — contractual conditions for using the platform.
Register of Processing Activities (Art. 30 GDPR).
Data Processing Agreement (Art. 28 GDPR) between the professional (Controller) and Diet Plan Pro (Processor).
Data Protection Impact Assessment (DPIA, Art. 35 GDPR).
Register of sub-processors.
Audit Log and Data Retention Policy.
Italy/EU Hosting Assessment (technical/regulatory analysis, not a data-processing document).
ISO 27001 Certification Roadmap and Information Security Policy (scoping stage, not yet a certification).

📩 Privacy Contacts

To exercise your rights or for any question regarding the processing of personal data, contact the Data Controller at the email address communicated when the service was activated.

Italian Data Protection Authority: www.garanteprivacy.it

Last updated: October 2026 — Diet Plan Pro