Versione applicabile dal 1° novembre 2026
Informativa privacy
1 Oggetto e ambito
Questa informativa descrive il trattamento dei dati personali di chi visita il sito, chiede informazioni, acquista o utilizza i servizi sanitari, di allenamento e digitali di Theia, ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR) e del D.Lgs. 196/2003. La Cookie Policy, nella seconda parte, riguarda cookie e tecnologie analoghe del sito.
La presente informativa comprende App Theia Studio, Ricettario, Theia Academy, affiancamento professionale e invio di contenuti richiesti, per i trattamenti di cui Theia è titolare. Le informazioni comuni si applicano insieme a quelle relative al servizio utilizzato; i dati descritti non sono raccolti indistintamente per tutti i servizi. Le informazioni sulle singole funzioni sono rese prima della relativa raccolta.
2 Titolare del trattamento
Il titolare del trattamento è Theia Srl, Via Emerico Amari 148, 90139 Palermo (PA), Italia; codice fiscale e partita IVA 07306540829. E-mail: info@theia.it. PEC: theia@pec.cloud. Telefono: +39 351 671 5995 (solo WhatsApp).
3 Responsabile della protezione dei dati
Theia ha designato un Responsabile della protezione dei dati (RPD o DPO), contattabile direttamente all’indirizzo dpo@theia.it per questioni relative ai dati personali e all’esercizio dei diritti.
4 Fornitori e personale autorizzato
Utilizziamo fornitori di infrastrutture, software, comunicazioni e servizi amministrativi. Quando trattano dati per conto di Theia, operano come responsabili ai sensi dell’articolo 28 GDPR. Per i trattamenti svolti per proprie finalità, operano come titolari autonomi. I destinatari sono indicati al paragrafo 11.
Personale e collaboratori autorizzati accedono ai dati necessari alle rispettive attività; i professionisti sanitari ai dati dei pazienti loro affidati.
5 Professionisti e servizi a strutture esterne
Per le prestazioni della struttura sanitaria Theia, i professionisti trattano i dati nell’organizzazione della struttura. Quando una prestazione è erogata da un diverso titolare, la sua identità e l’informativa sono comunicate prima del relativo trattamento. In caso di contitolarità è reso disponibile il contenuto essenziale dell’accordo previsto dall’articolo 26 GDPR.
Quando Theia Studio è utilizzato da un professionista, una struttura o un’impresa che eroga autonomamente i propri servizi, il cliente è titolare dei trattamenti dei propri utenti di cui determina finalità e mezzi e fornisce la relativa informativa. Per i dati trattati per conto del cliente, Theia opera come responsabile ai sensi dell’articolo 28 GDPR, sulla base delle sue istruzioni. Questa informativa riguarda invece i trattamenti di cui Theia è titolare, inclusa la gestione del rapporto contrattuale e amministrativo con il cliente professionale, e non sostituisce l’informativa del cliente ai suoi utenti.
Per Theia Academy, Theia opera come titolare per l’erogazione dei corsi e, in qualità di provider ECM accreditato, per gli adempimenti relativi alla formazione continua, al riconoscimento e alla rendicontazione dei crediti.
6 Dati personali e provenienza
I dati provengono da te, dal tuo rappresentante, dai professionisti che documentano le prestazioni e, per gli acquisti tramite welfare, dal circuito che verifica il beneficio. Per altre fonti ti comunichiamo origine e informazioni pertinenti nei termini dell’articolo 14 GDPR, salvo le eccezioni previste dalla legge.
Navigazione: indirizzo IP, browser, dispositivo, data e ora, pagine visitate, provenienza e registri tecnici. Identificativi e dati tecnici possono essere personali anche senza il tuo nome.
Contatti e amministrazione: nome, cognome, recapiti, dati fiscali e di fatturazione, richieste, prenotazioni, pagamenti, abbonamenti, codici welfare, messaggi e registrazione delle scelte espresse.
Identità e rappresentanza: dati necessari a identificare paziente e rappresentante. Per la televisita il documento è verificato tramite il canale indicato dalla struttura. La copia acquisita per l’identificazione è cancellata dopo la verifica, salvo uno specifico obbligo o una necessità documentata di ulteriore conservazione.
Prestazioni sanitarie: anamnesi, patologie riferite, esami, referti, prescrizioni, diario alimentare, parametri antropometrici, piani e documentazione delle visite. I dati preparatori, compreso il diario alimentare, sono richiesti quando necessari alla prestazione sanitaria. La domanda sul canale attraverso cui hai conosciuto Theia è facoltativa.
Il colloquio conoscitivo gratuito ha natura informativa e commerciale: raccogliamo recapiti, preferenze organizzative e informazioni generali per illustrare i servizi. Anamnesi, referti e altri dati necessari alla cura sono raccolti nel percorso sanitario.
App Theia Studio: account, piani pubblicati dal professionista, questionari, diario alimentare e valori nutrizionali estratti mediante IA, misure, fotografie caricate e dati tecnici. Per la funzione di lettura dei passi da Apple Health o Health Connect, quando attivata, sono trattati i dati autorizzati e descritti prima del collegamento. Le informazioni che rivelano la salute sono trattate come dati sanitari.
Ricettario: dati dell’account e dell’abbonamento, preferiti, ricette salvate, quantità e dati inseriti nel menù settimanale e nella lista della spesa, secondo le funzioni utilizzate. I dati che rivelano la salute seguono anche le condizioni dell’articolo 9 GDPR.
Theia Academy e affiancamento: dati identificativi, recapiti, iscrizione, pagamento, partecipazione, prove e attestati. Per i corsi ECM sono trattati anche codice fiscale, professione, disciplina e altri dati professionali richiesti dalla disciplina ECM, frequenza, esiti e crediti riconosciuti. Eventuali registrazioni delle lezioni che comprendano voce, immagine o interventi dei partecipanti sono descritte prima della raccolta.
Contenuti richiesti: recapiti necessari a inviare ebook, ricette o altri materiali richiesti; l’invio di successive comunicazioni promozionali richiede il presupposto indicato al paragrafo 8.
7 Gestionale app e comunicazioni
Il gestionale conserva anagrafica, prenotazioni, documentazione sanitaria, piani e dati amministrativi. L’App Theia Studio rende disponibili al paziente i piani pubblicati e le funzioni attivate. Il portale di pagamento e fatturazione è distinto dall’area clinica.
Le videochiamate si svolgono tramite Google Meet. Le sedute non sono registrate nella normale erogazione del servizio. Un’eventuale registrazione è preceduta da una specifica informativa e dal consenso quando richiesto dalla legge.
WhatsApp Business Platform (Cloud API di Meta) è utilizzato per promemoria e comunicazioni organizzative o di servizio. I messaggi transitano sull’infrastruttura del fornitore. Per la documentazione clinica utilizza il canale riservato indicato dalla struttura. Le informazioni sanitarie inviate spontaneamente in chat sono trattate nei limiti necessari alla richiesta e alla cura, dai soggetti autorizzati e dai fornitori coinvolti.
Utilizziamo l’e-mail per conferme, promemoria, ricevute, fatture e altre comunicazioni di servizio. Le comunicazioni promozionali sono inviate previo consenso, revocabile tramite il collegamento presente nei messaggi.
Le funzioni facoltative dell’app sono attivate su tua scelta. Prima di accedere ai dati del dispositivo sono fornite le informazioni pertinenti e acquisiti i permessi e gli eventuali consensi necessari. I permessi del telefono non sostituiscono il consenso privacy quando richiesto.
La chiusura dell’account comporta la cancellazione dei dati non più necessari, salvi i documenti soggetti a conservazione. La fine di un abbonamento non equivale, da sola, alla chiusura dell’account.
Per l’osservazione didattica delle visite da parte di corsisti dell’Academy non coinvolti nella cura, il paziente riceve prima le informazioni su partecipanti, dati accessibili e finalità. È richiesto il suo consenso esplicito; il rifiuto non incide sulla prestazione sanitaria.
8 Finalità e basi giuridiche
I riferimenti sono al GDPR, salvo diversa indicazione. Per i dati sanitari si applica anche la condizione dell’articolo 9 indicata nella tabella.
Finalità | Base giuridica |
|---|---|
Prenotazioni, account e servizi richiesti, inclusi Studio, Ricettario, allenamento, Academy, affiancamento e contenuti. | Contratto o misure precontrattuali richieste (art. 6(1)(b)). |
Prestazioni sanitarie, anche tramite app e a distanza. | Contratto (art. 6(1)(b)); cura e gestione sanitaria sotto responsabilità professionale e segreto (art. 9(2)(h) e (3)). |
Adempimenti fiscali, contabili, sanitari ed ECM; prova delle informative, dei consensi e delle revoche. | Obblighi di legge (art. 6(1)(c)); per dati sanitari necessari alla gestione sanitaria, art. 9(2)(h) e (3). |
Usi facoltativi ulteriori rispetto al servizio; dati sanitari per allenamento non sanitario o funzioni estranee alla cura. | Consenso per gli usi ulteriori (art. 6(1)(a)); consenso esplicito per i dati sanitari estranei alla cura (art. 9(2)(a)), in aggiunta alla base del servizio. |
Newsletter e promozioni via e-mail. | Consenso (art. 6(1)(a) GDPR; art. 130 Codice privacy). |
Misurazione del sito e pubblicità personalizzata. | Consenso per le rispettive finalità (art. 6(1)(a) GDPR; art. 122 Codice privacy). |
Corrispondenza generica; sicurezza e prevenzione di frodi o abusi; contestazioni. | Legittimi interessi di Theia a rispondere, proteggere persone, dati e sistemi e tutelare diritti (art. 6(1)(f)); per dati sanitari necessari alla difesa, art. 9(2)(f). |
Osservazione didattica delle visite da parte di corsisti non coinvolti nella cura. | Consenso esplicito del paziente (artt. 6(1)(a) e 9(2)(a)). |
Per l’invio al Sistema Tessera Sanitaria si applicano gli obblighi e le modalità di opposizione previsti dalla legge.
I dati relativi alla salute non sono utilizzati per marketing o profilazione pubblicitaria né diffusi al pubblico. Il caricamento di una fotografia per il percorso non ne autorizza la pubblicazione.
9 Conferimento e minori
I dati necessari alla prenotazione, alla prestazione, al contratto o a un obbligo di legge sono segnalati al momento della raccolta: senza di essi la relativa attività può non essere possibile. Marketing, tracciamenti facoltativi e funzioni aggiuntive basate sul consenso possono essere rifiutati senza impedire l’accesso alle prestazioni che non li richiedono.
La conferma di presa visione dell’informativa raccolta durante l’acquisto documenta che le informazioni sono state rese disponibili. Non equivale a un consenso generale al trattamento dei dati né ai consensi facoltativi, che sono richiesti distintamente quando necessari.
Per i minori trattiamo anche i dati necessari a verificare identità e poteri del rappresentante. L’accesso ai dati sanitari segue la legge e i diritti del minore. Il solo pagamento da parte di un familiare, datore di lavoro o altro soggetto non attribuisce accesso alla documentazione clinica.
10 Modalità del trattamento
I dati sono trattati con strumenti informatici e, quando necessario, cartacei, da soggetti autorizzati e per le finalità indicate.
11 Destinatari e trasferimenti
I dati sono comunicati ai fornitori secondo il servizio utilizzato e nei limiti necessari alla relativa funzione.
Destinatari | Funzione |
|---|---|
Webflow, Cloudflare, Supabase e Amazon Web Services | Sito, infrastruttura e gestionale. Banca dati principale a Parigi e applicazione a Milano; ulteriori accessi e trasferimenti seguono le garanzie sotto indicate. |
Cal.com e Google Workspace | Prenotazioni, videochiamate tramite Meet, documenti e posta di servizio. |
Meta WhatsApp Business Platform, Resend e Sender | Messaggistica e invio delle comunicazioni di servizio o promozionali, secondo il canale e il presupposto applicabile. |
Stripe, Fattura24 e Confirmo | Pagamenti, abbonamenti, fatturazione e firma dei documenti. Stripe tratta dati anche per propri obblighi e finalità. |
Nutrium ed Everfit | Supporto ai piani nutrizionali e di allenamento, per le funzioni utilizzate. |
Ghost e Notion | Contenuti digitali e organizzazione del lavoro. |
Fornitori di servizi di elaborazione mediante IA | Estrazione dei valori nutrizionali dai diari alimentari in Theia Studio, secondo il paragrafo 13. |
Iubenda, Google Analytics 4, Google Ads e Google Tag Manager, Meta Pixel e Conversions API Gateway, Microsoft Clarity | Preferenze, misurazione e pubblicità secondo le funzioni e le scelte descritte nella Cookie Policy. |
Fornitori della piattaforma e-learning, docenti e corsisti autorizzati | Erogazione e documentazione della formazione. L’accesso dei corsisti ai dati dei pazienti segue il paragrafo 7. |
Agenas e Co.Ge.A.P.S., secondo le rispettive competenze | Dati necessari agli adempimenti, alla registrazione dei crediti ECM e alle verifiche previste dalla disciplina della formazione continua. |
Possono ricevere dati anche i professionisti coinvolti, consulenti fiscali e legali, assicurazioni per la gestione delle pratiche, circuiti welfare per verificare il beneficio e autorità nei casi previsti dalla legge. Al datore di lavoro o al soggetto che paga sono comunicati soltanto i dati amministrativi necessari; il pagamento non autorizza la comunicazione di dati clinici. Il DPO accede ai dati necessari alle proprie funzioni.
Con il consenso alla misurazione o al marketing utilizziamo identificativi del browser e del clic pubblicitario, parametri della campagna, provenienza e interazioni con il sito per statistiche, attribuzione delle campagne e pubblicità personalizzata, secondo la finalità selezionata. Gli identificativi possono essere collegati agli eventi misurati e non sono dati anonimi.
La misurazione pubblicitaria e le comunicazioni a Google Ads o Meta escludono dati ed eventi che rivelano informazioni sulla salute, anche quando associati a codici, URL o nomi di evento generici. Il consenso ai cookie non autorizza questi ulteriori usi dei dati sanitari. Strumenti e modalità di scelta sono descritti nella Cookie Policy.
I servizi utilizzati possono comportare trasferimenti fuori dallo Spazio economico europeo, inclusi Stati Uniti e Svizzera, anche per assistenza e accessi a distanza. Si applicano le decisioni di adeguatezza pertinenti; per gli Stati Uniti il Data Privacy Framework è utilizzato soltanto per destinatari con certificazione valida e pertinente. Negli altri casi si applicano le garanzie dell’articolo 46 GDPR, incluse le clausole contrattuali standard e, quando necessarie, misure supplementari. Puoi richiedere copia delle garanzie applicate ai trasferimenti scrivendo a info@theia.it.
12 Conservazione e cancellazione
Conserviamo i dati secondo i periodi o i criteri indicati nella tabella. Gli identificativi collegati ai documenti seguono la conservazione di questi ultimi.
Dati o documenti | Periodo o criterio di conservazione |
|---|---|
Documentazione sanitaria | Per i termini previsti dalla disciplina sanitaria applicabile, inclusa la conservazione permanente delle cartelle cliniche quando prescritta. Per gli altri documenti: durata del percorso, necessità di continuità della cura e termini di prescrizione dei diritti collegati alle prestazioni; si conserva soltanto la documentazione pertinente. |
Fatture e documentazione contabile | 10 anni dall’ultima registrazione o dalla diversa decorrenza prevista dalla norma applicabile; ulteriormente nei casi imposti dalla legge. |
Richieste informative e chat organizzative | Fino alla conclusione della richiesta o dell’attività cui si riferiscono. Le sole informazioni necessarie alla documentazione sanitaria o a una contestazione seguono la conservazione della relativa pratica. |
Account e contenuti digitali | Per la durata dell’account e delle funzioni richieste. Alla chiusura vengono cancellati i dati non più necessari, salvi obblighi di conservazione e tutela dei diritti. La sola fine del Premium non chiude l’account gratuito del Ricettario. |
Foto e dati facoltativi del dispositivo | Per la funzione richiesta, fino alla revoca o alla cancellazione del contenuto. I dati già legittimamente inseriti nella documentazione sanitaria seguono il relativo regime. |
Marketing diretto | Fino alla revoca del consenso o alla cessazione della finalità promozionale per cui è stato raccolto. Dopo la revoca resta il dato minimo necessario a evitarne il riutilizzo per ulteriori invii. |
Prova delle informative, dei consensi e delle revoche | Per la durata del trattamento cui si riferiscono e, successivamente, nei limiti necessari a dimostrare il rispetto degli obblighi e a tutelare diritti entro i relativi termini di prescrizione. |
Registri tecnici di sicurezza | Per i log ordinari, di regola non oltre 30 giorni; per i log degli amministratori di sistema soggetti alla disciplina specifica, almeno sei mesi. Gli estratti necessari a incidenti o contestazioni sono conservati per la gestione della relativa pratica. |
Misurazione e pubblicità | Cookie: durate nella Cookie Policy. Identificativi di attribuzione delle interazioni ammesse: fino a 24 mesi dall’evento, con successiva cancellazione degli identificativi o anonimizzazione effettiva. I periodi dei dati conservati dagli altri strumenti sono indicati nel pannello delle preferenze. |
Dati di partecipazione ai corsi e documentazione ECM | Dati ordinari dei corsi: durata del corso e dell’accesso ai servizi didattici, salve esigenze documentate di tutela dei diritti. Documentazione ECM sui crediti e sui contributi: cinque anni dalla data di svolgimento dell’evento; documentazione originale soggetta all’art. 81 dell’Accordo Stato–Regioni del 2 febbraio 2017: almeno cinque anni. Restano i termini contabili e gli altri obblighi applicabili. |
In caso di controversie, ordini dell’autorità o specifici obblighi, conserviamo ulteriormente soltanto i dati pertinenti per il periodo richiesto. Al termine, i dati sono cancellati o resi effettivamente anonimi. La chiusura di un account non elimina i documenti soggetti a conservazione obbligatoria.
13 Intelligenza artificiale decisioni automatizzate e profilazione
In Theia Studio l’intelligenza artificiale è utilizzata per estrarre i valori nutrizionali dai dati del diario alimentare. L’elaborazione riguarda i contenuti del diario utilizzati dalla funzione e i valori ottenuti, associati all’utente.
L’elaborazione serve alla gestione del diario nell’ambito del servizio richiesto. Quando è svolta nel percorso sanitario, si applicano le basi giuridiche e i presupposti di cura indicati al paragrafo 8. Il diario e i risultati seguono i criteri di conservazione dei dati dell’app e della documentazione sanitaria indicati al paragrafo 12.
Le informazioni sui servizi di elaborazione coinvolti, sugli eventuali trasferimenti e sulla conservazione presso tali servizi sono rese nella funzione prima del trattamento e integrano questa informativa. Le valutazioni e le decisioni sanitarie competono ai professionisti abilitati; per le decisioni mediche resta ferma la responsabilità del medico.
Gli strumenti pubblicitari attivati con il consenso possono comportare valutazioni degli interessi di navigazione e personalizzazione degli annunci da parte degli operatori indicati nella Cookie Policy. I dati sanitari non sono utilizzati per costruire profili pubblicitari.
14 Diritti e contatti
Alle condizioni previste dagli articoli 15–22 GDPR puoi ottenere accesso e copia dei dati, rettifica, cancellazione e limitazione del trattamento. Puoi ottenere la portabilità per i trattamenti automatizzati fondati sul consenso o sul contratto. La cancellazione può essere limitata da obblighi di conservazione o dalla tutela di diritti.
Puoi opporti ai trattamenti fondati sul legittimo interesse per motivi connessi alla tua situazione. Per il marketing diretto puoi opporti in qualsiasi momento senza motivazione, anche alla profilazione collegata. Puoi revocare il consenso senza pregiudicare la liceità del trattamento precedente.
Per esercitare i diritti scrivi a info@theia.it, alla PEC theia@pec.cloud o al DPO. Rispondiamo senza ingiustificato ritardo e comunque entro un mese; per complessità o numero delle richieste il termine può essere prorogato di altri due mesi, dandotene notizia e motivazione entro il primo mese. L’esercizio è gratuito, salvi i casi previsti dall’articolo 12 GDPR.
Puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o ricorso all’autorità giudiziaria. Per i cookie puoi modificare o revocare direttamente le preferenze dal pannello del sito; per le e-mail promozionali puoi usare il collegamento di disiscrizione.
15 Sicurezza
Theia adotta misure tecniche e organizzative adeguate al rischio per proteggere i dati personali, ai sensi dell’articolo 32 GDPR.
16 Aggiornamenti
Gli aggiornamenti sono pubblicati con la relativa data. Prima di utilizzare i dati per nuove finalità forniamo le informazioni richieste e raccogliamo il consenso quando necessario. Le modifiche sostanziali sono comunicate con mezzi adeguati, anche tramite sito, app o e-mail.