0. Premessa
La presente informativa descrive come Adermio (editore: Antoine Munch, SIRET 999 319 692 00011) raccoglie, utilizza, protegge e condivide i dati personali degli utenti del sito adermio.com e dell'applicazione mobile Adermio, in conformità al GDPR (Regolamento UE 2016/679) e alla legge francese Informatique et Libertés.
1. Titolare del trattamento
Antoine Munch (imprenditore individuale — micro-impresa)
SIRET 999 319 692 00011
67120 Ergersheim, Francia
Email: contact@adermio.com
Telefono: +33 6 22 30 17 31
Il titolare del trattamento svolge anche la funzione di punto di contatto GDPR. Per esercitare i tuoi diritti: contact@adermio.com — oggetto “GDPR”.
2. Dati che raccogliamo
Dati forniti direttamente da te:
- Identità: nome (facoltativo), cognome (facoltativo), età, sesso
- Recapiti: indirizzo email
- Autenticazione: password sottoposta a hashing (mai accessibile in chiaro) o identificativi OAuth Apple/Google
- Salute della pelle: tipo di pelle, problematiche, allergie, terapie in corso, gravidanza/allattamento, foto del viso
- Salute alimentare: foto dei pasti, diario alimentare, intolleranze (se usi la scheda Nutrizione)
- Routine skincare: prodotti utilizzati (marche, referenze), frequenze
- Preferenze: lingua, fuso orario, preferenze di notifica
- Feedback: risposte ai questionari, messaggi alla chat dermato, segnalazioni
Dati raccolti automaticamente:
- Dati tecnici: modello del dispositivo, versione del sistema operativo, versione dell'app, lingua, IDFV iOS
- Dati di utilizzo: pagine consultate, funzionalità utilizzate, sequenza delle azioni (PostHog)
- Dati di prestazione: crash, errori, latenza (Sentry)
- Indirizzo IP: temporaneo, non memorizzato al di fuori dei log tecnici
- Identificativi di sessione: token cifrati (Keychain iOS)
- Token push: identificativo Expo che consente l'invio delle notifiche
Dati raccolti dai fornitori di servizi di pagamento: i dati bancari sono trattati esclusivamente da Apple. Adermio non riceve mai i tuoi dati bancari — solo un identificativo di transazione anonimo, lo stato dell'abbonamento, il prodotto acquistato e la data di acquisto.
3. Finalità e basi giuridiche
| Finalità | Base giuridica | Base dati sanitari |
|---|---|---|
| Creare e gestire il tuo account | Art. 6.1.b — Esecuzione del contratto | — |
| Analisi cutanea tramite IA | Art. 6.1.b — Esecuzione del contratto | Art. 9.2.a — Consenso esplicito |
| Personalizzazione della routine + consigli | Art. 6.1.b — Esecuzione del contratto | Art. 9.2.a |
| Notifiche utili | Art. 6.1.a — Consenso | — |
| Gestione dell'abbonamento Premium | Art. 6.1.b — Esecuzione del contratto | — |
| Migliorare l'applicazione (analisi di prodotto anonime) | Art. 6.1.f — Interesse legittimo | — |
| Rilevare e correggere i bug | Art. 6.1.f — Interesse legittimo | — |
| Obblighi contabili | Art. 6.1.c — Obbligo legale | — |
Nessun uso pubblicitario. Adermio non pratica targeting pubblicitario, né vende i tuoi dati, né invia comunicazioni di marketing senza il tuo consenso esplicito.
Analisi e conservazione delle tue foto. Le tue foto sono analizzate da modelli di intelligenza artificiale gestiti da Google (API Gemini) e OpenAI (API ChatGPT), che agiscono in qualità di responsabili del trattamento per conto di Adermio, al solo scopo di generare la tua analisi e i tuoi consigli. Sono conservate in modo sicuro nell'Unione europea (Supabase, Francoforte) finché il tuo account è attivo, per consentire il funzionamento del servizio (cronologia, monitoraggio, confronti). Vengono eliminate immediatamente e definitivamente quando elimini il tuo account. Le foto di una scansione mai associata a un account vengono eliminate automaticamente entro 7 giorni.
Rilevamento del viso in locale. L'inquadratura della scansione (distanza, luce, stabilità) si basa su un rilevamento del viso eseguito localmente sul tuo dispositivo. Questi dati di geometria facciale sono effimeri: mai memorizzati, mai trasmessi ai nostri server, e in nessun caso costituiscono un modello biometrico di identificazione.
Nessun addestramento di IA. Le tue foto e i tuoi dati non vengono mai utilizzati per addestrare modelli di intelligenza artificiale — né i nostri, né quelli dei nostri responsabili del trattamento, che si impegnano contrattualmente in tal senso. Qualsiasi evoluzione futura a tale scopo sarebbe oggetto di una richiesta di consenso esplicito e preventivo, in conformità agli articoli 6 e 9 del GDPR, con possibilità di revoca in qualsiasi momento.
4. Responsabili del trattamento e destinatari
Adermio si avvale dei seguenti responsabili del trattamento, in conformità all'articolo 28 del GDPR:
| Responsabile del trattamento | Ruolo | Localizzazione | Trasferimento |
|---|---|---|---|
| Supabase Inc. | Database, auth, storage, edge functions | Francoforte (UE) | Nessun trasferimento fuori dall'UE |
| Sentry GmbH | Monitoraggio degli errori | Germania (UE) | Nessun trasferimento fuori dall'UE |
| PostHog Inc. (EU) | Analytics di prodotto | Francoforte (UE) | Nessun trasferimento fuori dall'UE |
| Apple Inc. | App Store, IAP, Sign in Apple, push | USA + multi-regione | DPF UE-US |
| RevenueCat Inc. | Gestione degli abbonamenti IAP | USA | DPF |
| Google LLC | API Gemini — analisi IA delle foto della pelle e dei dati di profilo (analisi cutanee, routine, analisi alimentari). Nessun addestramento di modelli sui tuoi dati | USA | DPF |
| OpenAI, L.L.C. | API ChatGPT — analisi IA e generazione dei consigli (analisi cutanee, routine, analisi alimentari) tramite la nostra orchestrazione n8n. Nessun addestramento di modelli sui tuoi dati | USA | DPF |
| Amazon Web Services | Archiviazione temporanea delle foto della scansione effettuata sul sito web adermio.com (eliminazione entro 7 giorni) — non utilizzato dall'applicazione mobile | Parigi (UE) | Nessun trasferimento fuori dall'UE |
| Vercel Inc. | Hosting di adermio.com | Multi-regione | DPF |
| Expo Inc. | Notifiche push | USA | DPF |
| n8n (self-hosted) | Orchestrazione delle analisi IA (elaborazione delle foto, generazione dei report) | Germania (UE) | — |
I responsabili del trattamento con sede negli Stati Uniti beneficiano di una decisione di adeguatezza europea (Data Privacy Framework UE-USA) oppure di Clausole contrattuali tipo. Verificabile su dataprivacyframework.gov.
Protezione equivalente garantita. Ogni responsabile del trattamento — inclusi Google (API Gemini) e OpenAI (API ChatGPT), ai quali le tue foto e i tuoi dati sulla pelle vengono trasmessi per l'analisi — è vincolato da un contratto di nomina a responsabile del trattamento (articolo 28 del GDPR) che lo obbliga a proteggere i tuoi dati con un livello di sicurezza e riservatezza equivalente a quello garantito da Adermio, a trattarli esclusivamente sulla base delle nostre istruzioni documentate e a non riutilizzarli per finalità proprie (in particolare, nessun addestramento di modelli di IA).
Nessun terzo commerciale. Adermio non condivide i tuoi dati con data broker, partner di marketing o reti pubblicitarie.
5. Durate di conservazione
| Categoria | Durata |
|---|---|
| Account attivo (email, profilo) | Finché l'account è attivo |
| Foto della pelle (analisi e monitoraggio) | Finché l'account è attivo — eliminazione immediata e definitiva insieme all'account |
| Foto di una scansione mai associata a un account | 7 giorni (eliminazione automatica) |
| Analisi cutanee, routine, bilanci IA | Finché l'account è attivo |
| Tracking quotidiano (umore, pelle, alimentazione) | Finché l'account è attivo |
| Log Sentry | 90 giorni |
| Analytics PostHog | 12 mesi |
| Autenticazione Supabase | Account attivo + 30 giorni dopo l'eliminazione |
| Fatture e dati contabili | 10 anni (art. L123-22 del Codice di commercio francese) |
6. Sicurezza dei dati
- Cifratura in transito: TLS 1.3 obbligatorio su tutti gli endpoint
- Cifratura a riposo: AES-256 (Supabase), Keychain iOS cifrato
- Autenticazione: OAuth 2.0 PKCE, bcrypt + HaveIBeenPwned
- Controllo degli accessi: Row-Level Security PostgreSQL su tutte le tabelle sensibili
- Monitoraggio: avvisi in tempo reale tramite Sentry
- Backup: Supabase cifrati, giornalieri (7 giorni)
In caso di violazione dei dati suscettibile di presentare un rischio per i diritti e le libertà, Adermio notificherà la CNIL entro 72 ore (art. 33 GDPR) e, se necessario, informerà gli utenti interessati (art. 34).
7. I tuoi diritti
| Diritto | Descrizione | Come esercitarlo |
|---|---|---|
| Accesso (art. 15) | Ottenere una copia dei tuoi dati | Impostazioni → “Esporta i miei dati” (JSON completo) |
| Rettifica (art. 16) | Correggere un dato inesatto | Modifica nel tuo profilo, oppure via email |
| Cancellazione (art. 17) | Eliminare account + dati | Impostazioni → “Elimina il mio account” (immediato) |
| Limitazione (art. 18) | Sospendere temporaneamente il trattamento | Richiesta via email |
| Portabilità (art. 20) | Formato riutilizzabile | L'esportazione JSON soddisfa questo obbligo |
| Opposizione (art. 21) | Opporsi a un trattamento (interesse legittimo) | Richiesta via email con motivazione |
| Revoca del consenso (art. 7.3) | Revocare il consenso prestato | Impostazioni → disattiva le notifiche, oppure email |
Tempi di risposta: Adermio si impegna a rispondere entro un mese dalla richiesta, prorogabile di 2 mesi in caso di complessità (con notifica della proroga).
Reclamo alla CNIL: in caso di violazione, puoi presentare un reclamo alla CNIL (autorità francese per la protezione dei dati) — 3 Place de Fontenoy, 75007 Paris — www.cnil.fr.
8. Cookie e tracciatori
Applicazione mobile: nessun cookie. Archiviazione locale sul dispositivo: token di sessione Supabase (Keychain iOS cifrato), cache React Query (MMKV cifrata), identificativo anonimo PostHog.
Sito web: solo cookie strettamente necessari (sessione, lingua). Se in futuro verranno aggiunti cookie analitici o di marketing, sarà implementato un banner di consenso conforme alla delibera CNIL n. 2020-091.
9. Minori
L'applicazione Adermio è destinata alle persone di età pari o superiore a 16 anni (art. 8 GDPR, età del consenso digitale in Francia). Se hai meno di 16 anni, non devi utilizzare l'applicazione senza il consenso esplicito preventivo di chi esercita la responsabilità genitoriale. Se Adermio scopre che un account appartiene a un minore senza consenso dei genitori, l'account verrà eliminato.
10. Modifiche
Adermio si riserva il diritto di modificare la presente informativa in qualsiasi momento. Qualsiasi modifica sostanziale sarà notificata tramite email e un banner nell'applicazione almeno 15 giorni prima della sua entrata in vigore.
La cronologia delle versioni è mantenuta nel repository di codice pubblico di Adermio.