Privacy policy

Informativa sul trattamento dei dati personali ai sensi dell'art. 13 del Regolamento (UE) 2016/679 (GDPR)

Ultimo aggiornamento: Ottobre 2026

1. Titolare del Trattamento

Il Titolare del trattamento dei dati personali è Fabrizio Crisafulli, con sede legale in Via Europa 13, 98044, San Filippo del Mela,  (di seguito il "Titolare").

Per qualsiasi chiarimento, richiesta o per l'esercizio dei diritti previsti dal GDPR, è possibile contattare il Titolare all'indirizzo email dedicato: privacy@skeila.com.

2. Ambito di applicazione e distinzione dei ruoli GDPR

La presente informativa si applica a:

• Gli utenti che navigano sui siti web e sulle piattaforme online gestite dal Titolare;

• I clienti e i professionisti che acquistano, registrano o utilizzano le applicazioni web (SaaS) e i software desktop (eseguibili) sviluppati dal Titolare.

Nota importante per gli utilizzatori del software gestionale per nutrizionisti/professionisti:

Con riferimento ai dati personali e ai dati particolari (relativi allo stato di salute e alle patologie ex art. 9 GDPR) dei pazienti/clienti finali inseriti dai professionisti all'interno della piattaforma online, il professionista agisce in qualità di Titolare autonomo del trattamento, mentre Fabrizio Crisafulli agisce esclusivamente in qualità di Responsabile del trattamento (Data Processor) ai sensi dell'art. 28 del GDPR, in forza dello specifico Accordo sul Trattamento dei Dati (DPA) sottoscritto all'atto dell'attivazione del servizio. Il Titolare della piattaforma non utilizza, non diffonde e non cede a terzi per alcuna finalità propria i dati dei pazienti inseriti dai professionisti.

3. Tipologie di Dati raccolti, Finalità e Base Giuridica

A. Gestione dell'account, erogazione dei servizi SaaS e comunicazioni tecniche

• Dati trattati: Nome, cognome, dati fiscali/fatturazione, indirizzo email, credenziali di autenticazione (password sottoposte a hashing crittografico).

• Finalità: Creazione e gestione dell'account utente, erogazione delle funzionalità delle applicazioni web, invio di comunicazioni di servizio strettamente tecniche e transazionali (es. conferma registrazione, recupero password, notifiche di esecuzione batch, avvisi di errori di processo o scadenze tecniche). Non vengono inviate comunicazioni commerciali o promozionali senza esplicito consenso.

• Base giuridica: Esecuzione di un contratto di cui l'interessato è parte o esecuzione di misure precontrattuali (Art. 6, par. 1, lett. b GDPR).

B. Verifica delle licenze software (Applicazioni Desktop / Eseguibili) e Anti-pirateria

• Dati trattati: Indirizzo email associato alla licenza, identificativo univoco del dispositivo (hardware fingerprint generato algoritmicamente), indirizzo IP di connessione, timestamp della richiesta e versione del software.

• Finalità: I software eseguibili comunicano all'avvio e periodicamente con il server centrale delle licenze per verificare la validità del titolo d'uso, prevenire abusi, contraffazioni o utilizzi multipli non autorizzati della medesima licenza.

• Base giuridica: Esecuzione del contratto di licenza d'uso (Art. 6, par. 1, lett. b GDPR) e legittimo interesse del Titolare alla tutela del diritto d'autore, della proprietà intellettuale e della sicurezza informatica (Art. 6, par. 1, lett. f GDPR).

C. Sicurezza informatica, Audit e Prevenzione abusi (Log di sistema)

• Dati trattati: Indirizzi IP, log di accesso e tentativi di login, user-agent, orari delle richieste e tracciamento delle operazioni critiche (audit log).

• Finalità: Monitoraggio dell'integrità dell'infrastruttura, prevenzione di attacchi informatici (es. brute-force, DDoS, SQL injection), applicazione di blocchi automatici (ban di indirizzi IP malevoli) e diagnostica tecnica.

• Base giuridica: Legittimo interesse del Titolare a garantire la sicurezza delle reti e dei sistemi informativi (Art. 6, par. 1, lett. f GDPR e Considerando 49 del GDPR).

D. Pagamenti, Fatturazione e Adempimenti fiscali

• Dati trattati: Dati anagrafici, indirizzo di fatturazione, Partita IVA / Codice Fiscale, dettagli storici degli ordini e stato della transazione. I dati completi delle carte di pagamento non transitano né vengono memorizzati sui server del Titolare, ma sono gestiti direttamente dal gestore dei pagamenti (Stripe).

• Finalità: Gestione degli incassi, emissione delle fatture e adempimento degli obblighi contabili e fiscali previsti dalla normativa italiana.

• Base giuridica: Esecuzione del contratto (Art. 6, par. 1, lett. b GDPR) e adempimento di un obbligo legale al quale è soggetto il Titolare (Art. 6, par. 1, lett. c GDPR).

E. Statistiche di navigazione (Matomo Self-Hosted e Google Analytics)

• Dati trattati: Dati di utilizzo del sito web, pagine visitate, tempi di permanenza, dati tecnici del browser/dispositivo, indirizzo IP (anonimizzato su Matomo).

• Finalità: Analisi statistica aggregata per migliorare l'usabilità del sito e delle applicazioni.

• Base giuridica:

  • Per Matomo (installato sui server proprietari del Titolare in modalità self-hosted, senza condivisione di dati con terze parti e con mascheramento dell'indirizzo IP): Legittimo interesse / equiparazione ai trattamenti tecnici (Art. 6, par. 1, lett. f GDPR e Linee Guida del Garante Privacy).

  • Per Google Analytics: Consenso esplicito dell'utente espresso tramite il banner cookie al primo accesso (Art. 6, par. 1, lett. a GDPR).

4. Luogo del trattamento, Infrastruttura e Fornitori di servizi (Destinatari)

L'infrastruttura server principale (applicativi web, database, server di validazione licenze e server SMTP per l'invio diretto delle email transazionali) è ospitata presso i datacenter di OVHcloud (OVH Groupe SAS) situati in Francia (Unione Europea). Le risorse di stile e i caratteri tipografici (es. Bootstrap, font web) sono serviti localmente dai medesimi server, senza connessioni verso Content Delivery Network (CDN) di terze parti.

I dati possono essere condivisi esclusivamente con i seguenti soggetti terzi, nominati ove necessario Responsabili del trattamento:

1. OVH Groupe SAS (Francia - UE): Fornitura dell'infrastruttura di hosting e connettività.

2. Stripe Payments Europe, Ltd. (Irlanda - UE / USA): Gestione sicura dei pagamenti elettronici e prevenzione delle frodi. Eventuali trasferimenti di dati verso gli Stati Uniti avvengono sulla base dell'adesione al EU-U.S. Data Privacy Framework e/o delle Clausole Contrattuali Standard (SCC) della Commissione Europea.

3. Google Ireland Limited (Irlanda - UE / USA): Limitatamente agli utenti del sito web che prestano il consenso all'uso dei cookie analitici di Google Analytics (trasferimento regolato dal EU-U.S. Data Privacy Framework).

4. Consulenti fiscali e Autorità pubbliche: Limitatamente agli obblighi di legge in materia contabile, fiscale o su richiesta dell'Autorità Giudiziaria.

5. Periodo di conservazione dei dati (Data Retention)

I dati personali vengono conservati nel rispetto del principio di limitazione della conservazione (Art. 5, par. 1, lett. e GDPR) per i seguenti periodi:

• Log di sicurezza, indirizzi IP, audit log e log di controllo licenze: Conservati per 12 mesi dalla rilevazione per finalità di sicurezza informatica, verifica degli abusi e audit, dopodiché vengono cancellati o sovrascritti mediante procedure automatiche.

• Dati dell'account del cliente/professionista: Conservati per tutta la durata del rapporto contrattuale.

• Dati inseriti nei software SaaS dopo la cessazione del contratto: In caso di disdetta o cancellazione dell'account da parte del professionista, i dati associati all'account e i database applicativi (inclusi i dati dei pazienti gestiti per conto del professionista) vengono mantenuti in stato dormiente di sicurezza per 6 mesi (per consentire al professionista l'eventuale esportazione di backup o il ripristino dell'account), decorsi i quali una procedura automatizzata (batch) provvede alla loro cancellazione definitiva e irreversibile.

• Dati di fatturazione e documenti contabili: Conservati per 10 anni come previsto dall'art. 2220 del Codice Civile italiano.

6. Sicurezza dei Dati

Tutte le comunicazioni tra il client dell'utente (browser web o eseguibile desktop) e i server del Titolare avvengono esclusivamente tramite protocolli crittografati SSL/TLS in transito. I database sono ospitati in ambienti isolati con accesso ristretto e protetto da firewall, sistemi di prevenzione delle intrusioni e autenticazione forte.

7. Cookie Policy

Il sito utilizza:

• Cookie Tecnici e di Sessione (Strettamente necessari): Indispensabili per gestire l'autenticazione (login/logout), mantenere la sessione attiva, garantire la sicurezza CSRF e salvare le preferenze di navigazione. Non richiedono il consenso preventivo dell'utente.

• Cookie Tecnici di Terze Parti (Stripe): Utilizzati durante le fasi di checkout e pagamento per la prevenzione delle frodi e il corretto funzionamento della transazione.

• Statistiche First-Party (Matomo Self-Hosted): Raccolta di dati statistici aggregati ospitata direttamente sui server del Titolare in Francia, senza profilazione né incrocio di dati con terze parti.

• Cookie Analitici di Terze Parti (Google Analytics): Installati solo previo consenso dell'utente tramite il banner presentato al primo accesso. L'utente può modificare o revocare il proprio consenso in qualsiasi momento tramite l'apposito link presente nel footer del sito o cancellando i cookie dal proprio browser.

8. Diritti dell'Interessato

Ai sensi degli artt. 15-22 del GDPR, l'interessato ha il diritto di chiedere al Titolare, in qualsiasi momento:

• L'accesso ai propri dati personali e alle informazioni relative al trattamento;

• La rettifica dei dati inesatti o l'integrazione di quelli incompleti;

• La cancellazione dei dati ("diritto all'oblio"), nei casi previsti dalla legge;

• La limitazione del trattamento o l'opposizione allo stesso per motivi connessi alla sua situazione particolare;

• La portabilità dei dati in un formato strutturato, di uso comune e leggibile da dispositivo automatico.

Le richieste possono essere inviate via email a privacy@skeila.com.

Qualora l'interessato ritenga che il trattamento dei propri dati violi il GDPR, ha altresì il diritto di proporre reclamo all'Autorità di controllo competente (in Italia, il Garante per la protezione dei dati personali – www.garanteprivacy.it).