Informativa sulla Privacy

Prendiamo sul serio la protezione dei tuoi dati personali e trattiamo i tuoi dati in modo riservato e conforme alle disposizioni di legge in materia di protezione dei dati, in particolare il Regolamento Generale sulla Protezione dei Dati (GDPR), la legge federale tedesca sulla protezione dei dati (BDSG) e la legge tedesca sulla protezione dei dati nelle telecomunicazioni e nei servizi digitali (TDDDG, in precedenza TTDSG).

1. Titolare del trattamento

Il titolare del trattamento ai sensi del GDPR è:

Markus Springer
c/o Postflex #12345
Emsdettener Straße 10
48268 Greven
Deutschland
Telefono: +49 123 4567890
E-mail: info@thermify.ai

Non è necessario nominare un responsabile della protezione dei dati ai sensi del § 38 BDSG, poiché i requisiti (in particolare il numero minimo di dipendenti) non sono soddisfatti. Per domande relative alla protezione dei dati, contatta direttamente l'indirizzo e-mail sopra indicato.

2. Panoramica delle attività di trattamento

Trattiamo i dati personali solo nella misura in cui ciò sia necessario per la fornitura del Servizio o sussista un'altra base giuridica ai sensi dell'art. 6, comma 1, GDPR. Di seguito trovi una panoramica dettagliata di tutte le operazioni di trattamento.

3. Fornitura del sito web (log del server)

Quando accedi al nostro sito web, il browser del tuo dispositivo trasmette automaticamente informazioni che vengono temporaneamente memorizzate in un file di log:

• Indirizzo IP (troncato prima della memorizzazione)
• Data e ora dell'accesso
• Contenuto della richiesta (pagina/endpoint specifico)
• Codice di stato HTTP
• Volume di dati trasferiti in ciascun caso
• URL di riferimento (referrer)
• Tipo di browser e sistema operativo

Base giuridica: Art. 6, comma 1, lett. f, GDPR (interesse legittimo al funzionamento e alla sicurezza del Servizio).
Periodo di conservazione: Massimo 14 giorni, salvo che sia necessaria una conservazione più lunga per analisi di sicurezza a seguito di un incidente.
Destinatari: Fornitore di hosting (vedi Sezione 13).

4. Registrazione e account

Per utilizzare il Servizio è necessaria la registrazione. Questa avviene a scelta tramite Google, Apple oppure tramite un magic link via e-mail attraverso Firebase Authentication. Vengono trattati i seguenti dati:

• Indirizzo e-mail
• Nome visualizzato ed eventualmente immagine del profilo (se fornita dal provider di identità)
• ID utente Firebase (UID)
• Timestamp di registrazione

Base giuridica: Art. 6, comma 1, lett. b, GDPR (esecuzione di un contratto).
Periodo di conservazione: Per la durata del contratto, più i periodi di conservazione previsti dal diritto commerciale (di norma 6 anni).
Destinatari: Google Ireland Limited (Firebase Authentication).

5. Elaborazione delle ricette

Quando carichi una foto di ricetta, un testo di ricetta o un URL, questo contenuto viene trasmesso al nostro server e lì analizzato da un modello di IA (Google Gemini, mediato tramite OpenRouter). L'immagine caricata viene memorizzata solo per la durata dell'elaborazione e successivamente eliminata. La ricetta generata da essa viene memorizzata nel nostro database (Firebase Firestore, regione Google Cloud europe-west) per una disponibilità permanente. Se elimini una ricetta, scompare dal tuo ricettario; ne conserviamo una copia per poter ricostruire eventuali errori di conversione e migliorare il servizio.

Base giuridica: Art. 6, comma 1, lett. b, GDPR (esecuzione di un contratto).
Periodo di conservazione: Fino all'eliminazione da parte tua o fino all'eliminazione del tuo account. Le immagini originali caricate vengono eliminate immediatamente dopo l'elaborazione riuscita; la rappresentazione generata viene conservata.
Destinatari: Google Ireland Limited (Firestore, Cloud Run), OpenRouter Inc. (USA), Google LLC (Gemini API, USA).

6. Processi di pagamento (Stripe)

I pagamenti per l'abbonamento Plus e il top-up sono elaborati esclusivamente tramite Stripe Payments Europe Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublino, Irlanda ("Stripe"). Stripe è titolare autonomo del trattamento dei dati di pagamento; da Stripe riceviamo le seguenti informazioni:

• ID cliente Stripe
• ID abbonamento Stripe e stato (active, past_due, cancelled)
• ultime quattro cifre della carta e circuito della carta (per la visualizzazione nell'area clienti)
• timestamp e importi di fatturazione

I dati di pagamento completi (numero di carta, CVV, coordinate bancarie) non ci vengono mai trasmessi. Informativa sulla privacy di Stripe: stripe.com/de/privacy.

Base giuridica: Art. 6, comma 1, lett. b, GDPR (esecuzione di un contratto) nonché art. 6, comma 1, lett. c, GDPR (adempimento di obblighi legali, in particolare obblighi contabili di diritto commerciale).
Periodo di conservazione: 10 anni (obblighi di conservazione di diritto commerciale, § 257 HGB, § 147 AO).
Destinatari: Stripe Payments Europe Ltd. (Irlanda) e i circuiti di carte di credito a valle (Visa, Mastercard, American Express).

7. E-mail, consigli e novità (Resend)

Le e-mail transazionali (conferma della conversione della ricetta, invito VIP, conferme di pagamento) e occasionali e-mail con consigli e novità su Thermify vengono inviate tramite Resend Inc. (2261 Market Street, San Francisco, CA 94114, USA). Vengono trasmessi: indirizzo e-mail, nome (se presente), token del contenuto (ad es. ID della ricetta) nonché lo stato di invio e consegna (Delivered, Bounce, Open).

Inviamo newsletter ed e-mail con consigli e novità ai clienti esistenti sulla base del § 7, comma 3, UWG (pubblicità verso clienti esistenti per servizi propri e simili). Puoi opporti in qualsiasi momento e gratuitamente all'utilizzo del tuo indirizzo e-mail per finalità pubblicitarie, tramite il link di disiscrizione con un clic presente in ogni e-mail (RFC 8058) oppure via e-mail a info@thermify.ai.

Base giuridica: Art. 6, comma 1, lett. b, GDPR (e-mail transazionali), art. 6, comma 1, lett. f, GDPR in combinato disposto con il § 7, comma 3, UWG (pubblicità verso clienti esistenti), oppure art. 6, comma 1, lett. a, GDPR (consenso espresso, ove fornito).
Periodo di conservazione: Fino all'opposizione o alla cessazione del contratto; log di invio per un massimo di 90 giorni.
Destinatari: Resend Inc. (USA).

8. Elaborazione IA (OpenRouter / Google Gemini)

Per la conversione delle ricette, i contenuti di immagini e testo vengono trasmessi a OpenRouter Inc. (San Francisco, USA), che inoltra la richiesta a Google Gemini (Google LLC, USA). In questo processo trasmettiamo esclusivamente il contenuto della ricetta e un ID di elaborazione generato internamente. I dati personali (e-mail, nome) non vengono trasmessi. Ai gestori dei modelli è contrattualmente vietato utilizzare i contenuti per finalità di addestramento.

Base giuridica: Art. 6, comma 1, lett. b, GDPR.
Periodo di conservazione presso il destinatario: Ai sensi delle loro condizioni API, massimo 30 giorni per il rilevamento di abusi, dopodiché eliminazione.
Destinatari: OpenRouter Inc. (USA), Google LLC (USA).

9. Integrazione Cookidoo® (Vorwerk)

La ricetta convertita viene creata come "Mia Creazione" tramite l'API ufficiale Cookidoo® di Vorwerk International AG (Verenastrasse 39, 8832 Wollerau, Svizzera) e memorizzata nel tuo account Cookidoo®. A tal fine trasmettiamo a Vorwerk il contenuto della ricetta nonché le credenziali di accesso Cookidoo® da te fornite. Memorizziamo le tue credenziali di accesso Cookidoo® esclusivamente in forma crittografata per la durata del processo e non in modo permanente. Il successivo trattamento dei dati è di esclusiva responsabilità del gruppo Vorwerk secondo le proprie disposizioni sulla protezione dei dati.

Base giuridica: Art. 6, comma 1, lett. b, GDPR (esecuzione di un contratto).
Periodo di conservazione delle credenziali di accesso: Solo transitoriamente durante l'elaborazione.
Destinatari: Vorwerk International AG (Svizzera, decisione di adeguatezza della Commissione UE).

10. Cookie, memorizzazione locale e tracciamento

Sul nostro sito web utilizziamo le seguenti tecnologie di memorizzazione e tracciamento. Otteniamo il consenso per l'utilizzo di tecnologie non essenziali ai sensi del § 25 TDDDG prima della loro attivazione. Puoi revocare il tuo consenso in qualsiasi momento tramite le impostazioni cookie .

10.1 Accessi di memorizzazione essenziali (nessun consenso richiesto)

• Token di autenticazione Firebase (localStorage): Sessione di accesso, rimane attiva fino al logout.
• Sessione Cookidoo®: Token di sessione crittografato per la connessione a Vorwerk.
• Stato del consenso (`thermify.consent.v2`): Memorizza il tuo consenso per categoria. Senza questa voce non potremmo nascondere il banner dei cookie.
• Cronologia ricette (localStorage): Memorizza localmente gli ultimi 50 ID di ricette per una visualizzazione rapida.

Base giuridica: § 25, comma 2, n. 2, TDDDG (tecnicamente necessario) in combinato disposto con l'art. 6, comma 1, lett. b, GDPR.

10.2 Statistiche (solo con consenso)

• Google Analytics 4 (GA4): Misurazione della copertura e dell'utilizzo. L'anonimizzazione dell'IP è attiva; i cookie (`_ga`, `_ga_*`) vengono memorizzati per 14 mesi. Fornitore: Google Ireland Limited, Gordon House, Barrow Street, Dublino 4, Irlanda.
• PostHog (UE): Registrazione delle sessioni, heatmap e analisi di prodotto. Trasmettiamo il tuo ID utente, il tuo indirizzo e-mail e il tuo nome visualizzato, affinché le analisi possano essere attribuite a una persona, insieme ai relativi eventi di utilizzo. Non trasmettiamo testi liberi, come messaggi di supporto o commenti di feedback. Nelle registrazioni i campi di immissione e le immagini sono mascherati. Fornitore: PostHog BV, Amsterdam, Paesi Bassi (hosting UE).

Base giuridica: § 25, comma 1, TDDDG in combinato disposto con l'art. 6, comma 1, lett. a, GDPR (consenso).
Periodo di conservazione: 14 mesi; fino alla revoca del consenso.
Trasferimento verso paesi terzi: sì, USA - garantito dall'EU-US Data Privacy Framework (decisione di adeguatezza UE 2023/1795) e da clausole contrattuali standard.

10.3 Marketing (solo con consenso)

• Meta Pixel: Misurazione delle conversioni e creazione di segmenti di pubblico per le campagne su Facebook/Instagram. Fornitore: Meta Platforms Ireland Ltd., 4 Grand Canal Square, Dublino 2, Irlanda.
• Mirroring lato server: Rispecchiamo inoltre alcune conversioni (ad es. acquisti completati) lato server tramite la Meta Conversion API (CAPI) e il Google Measurement Protocol. A tal fine vengono trasmessi valori hash (SHA-256) dell'indirizzo e-mail e dell'ID cliente Stripe. Questo trattamento avviene solo se è stato fornito il consenso al marketing.

Base giuridica: § 25, comma 1, TDDDG in combinato disposto con l'art. 6, comma 1, lett. a, GDPR (consenso).
Periodo di conservazione: Cookie fino a 90 giorni; eventi mirror lato server 25 mesi presso il destinatario.
Trasferimento verso paesi terzi: sì, USA - garantito come al punto 10.2.

11. Newsletter e pubblicità verso clienti esistenti

Utilizziamo il tuo indirizzo e-mail per inviare informazioni sui nostri servizi propri e simili, a condizione che tu non ti sia opposto a tale utilizzo (§ 7, comma 3, UWG). L'opposizione è possibile in qualsiasi momento senza costi. Un'ulteriore comunicazione pubblicitaria avviene solo con il tuo consenso espresso mediante procedura di double opt-in.

12. Destinatari e responsabili del trattamento

Ci avvaliamo dei seguenti responsabili del trattamento. Con tutti è stato concluso un accordo sul trattamento dei dati (DPA) ai sensi dell'art. 28 GDPR.

13. Trasferimento di dati verso paesi terzi

Alcuni dei destinatari sopra elencati (Resend, OpenRouter, Google LLC, Netlify) hanno sede negli USA. Il trasferimento avviene sulla base dell'EU-US Data Privacy Framework (decisione di adeguatezza della Commissione UE del 10 luglio 2023, rif. 2023/1795) e inoltre sulla base delle clausole contrattuali standard UE (art. 46, comma 2, lett. c, GDPR). Nonostante queste misure di protezione, non si può escludere che le autorità statunitensi possano accedere ai dati nell'ambito dei loro diritti di accesso nazionali (ad es. FISA 702).

14. Periodo di conservazione ed eliminazione

I dati personali vengono conservati solo per il tempo necessario alle rispettive finalità. Al termine del contratto, i dati vengono eliminati o resi anonimi, salvo che sussistano obblighi legali di conservazione (in particolare § 257 HGB e § 147 AO). I documenti di fatturazione e i dati contabili vengono conservati per dieci anni.

15. I tuoi diritti

Hai in qualsiasi momento il diritto di:

• Accedere ai dati trattati che ti riguardano (art. 15 GDPR)
• Ottenere la rettifica di dati inesatti o l'integrazione di dati incompleti (art. 16 GDPR)
• Ottenere la cancellazione dei tuoi dati ("diritto all'oblio", art. 17 GDPR)
• Ottenere la limitazione del trattamento (art. 18 GDPR)
• Ottenere la portabilità dei dati (art. 20 GDPR)
• Opporti al trattamento (art. 21 GDPR) - in particolare al marketing diretto
• Revocare un consenso prestato, con effetto per il futuro (art. 7, comma 3, GDPR)
• Presentare un reclamo a un'autorità di controllo (art. 77 GDPR)

Per esercitare i tuoi diritti, contattaci in modo informale all'indirizzo info@thermify.ai. Risponderemo entro i termini di legge (di norma entro un mese).

16. Diritto di reclamo presso l'autorità di controllo

Hai il diritto di presentare reclamo a un'autorità di controllo per la protezione dei dati. Per noi è territorialmente competente:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
Telefono: +49 981 180093-0
Web: https://www.lda.bayern.de

17. Processo decisionale automatizzato

Non ha luogo alcun processo decisionale automatizzato, incluso il profiling ai sensi dell'art. 22 GDPR, che produca effetti giuridici nei tuoi confronti.

18. Sicurezza dei dati

Il nostro sito web e la nostra API utilizzano esclusivamente TLS 1.2 o superiore (HTTPS). I dati inattivi (at rest) sono crittografati sull'infrastruttura Google Cloud e Stripe. L'accesso ai dati di produzione è limitato al Fornitore ed è protetto da autenticazione a più fattori.

19. Modifiche alla presente Informativa sulla Privacy

Ci riserviamo il diritto di modificare la presente Informativa sulla Privacy qualora cambino la situazione giuridica, lo stack tecnologico utilizzato o le attività di trattamento. La versione attualmente in vigore è consultabile su questa pagina.

Ultimo aggiornamento: 2026-05-25