Informativa sulla privacy e sui cookie

La presente Informativa descrive come WEBET Sp. z o.o. tratta i dati personali in relazione all'uso della piattaforma FarmacoEconomico (taniejpolek.pl). Redatto in conformità al Regolamento (UE) 2016/679 (GDPR) e alla normativa polacca sulla protezione dei dati personali (in Italia: D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018).

1.1 Dati del Titolare

Il Titolare dei Suoi dati personali è:
WEBET SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ
ul. 1 Maja 30A
45-355 Opole, Polonia
NIP: 7543346806
REGON: 520717497
KRS: 0000940072 (Sąd Rejonowy w Opolu, VIII Wydział Gospodarczy KRS), capitale sociale 5.000,00 PLN
Email: biuro@webet.pl
Telefono: +48 798 908 242

1.2 Contatto per la protezione dei dati

Per ogni questione di protezione dati può contattarci:
Email: biuro@webet.pl
Telefono: +48 798 908 242 (lun-ven, 9:00-17:00)
Per posta: WEBET Sp. z o.o., ul. 1 Maja 30A, 45-355 Opole, Polonia, con dicitura "Protezione dei dati personali"

2.1 Dati forniti dall'utente

Dati account (obbligatori):

• Indirizzo email
• Password (hash bcrypt con sale - non leggibile)
• Nome e cognome (facoltativi)

Dati abbonamento e pagamenti:

• Tipo di abbonamento
• Stato e data di acquisto
• Informazioni di pagamento (Stripe)
• Storico transazioni

Dati di utilizzo:

• Lista della spesa e farmaci cercati
• Cronologia ricerche e confronti
• Preferenze utente
• Contenuto delle conversazioni con la Farmacia AI (messaggi di testo; le immagini inviate non vengono conservate)
• Richieste alle farmacie della zona: voci (compresi i medicinali con ricetta che scrive), località e raggio, posizione del dispositivo (se la condivide), numero di telefono (se lo fornisce), commento e conversazione con la farmacia, risposta della farmacia, codice di ritiro

2.2 Dati raccolti automaticamente

• Indirizzo IP e posizione approssimativa
• Tipo e versione browser
• Sistema operativo e dispositivo
• Pagine visitate e tempo
• Referrer
• Dati tecnici della sessione
• Cookie e tecnologie simili

2.3 Dati di pagamento

Importante: i dati della Sua carta sono trattati esclusivamente da Stripe, Inc. (PCI DSS Level 1). NON conserviamo i dati completi della carta.

Conserviamo solo:

• Stripe Customer ID
• Stripe Subscription ID
• Stripe Payment Intent ID
• Importo e valuta (nella valuta del mercato dell'utente)
• Stato del pagamento
• Ultime 4 cifre della carta

I dati sono trattati ai sensi dell'art. 6 GDPR:

3.1 Esecuzione del contratto (art. 6, par. 1, lett. b) GDPR)

• Creazione e gestione dell'account
• Servizi di confronto prezzi
• Esecuzione dell'abbonamento
• Gestione dei pagamenti
• Notifiche di servizio
• Funzionamento della Farmacia AI e conteggio del limite e dei pacchetti di domande
• Gestione delle richieste alle farmacie della zona: trasmissione della risposta della farmacia, prenotazione e conferma del ritiro, conteggio del limite mensile di richieste

3.2 Adempimento di obblighi di legge (art. 6, par. 1, lett. c) GDPR)

• Emissione fatture
• Obblighi fiscali
• Obblighi consumeristici
• Risposta ad autorità statali

3.3 Legittimo interesse (art. 6, par. 1, lett. f) GDPR)

• Sicurezza e individuazione abusi
• Analisi e miglioramento della piattaforma
• Reclami e controversie
• Esercizio di pretese o difesa
• Archiviazione per compliance

3.4 Consenso (art. 6, par. 1, lett. a) GDPR)

• Newsletter con offerte e promozioni
• Personalizzazione della comunicazione marketing
• Cookie analitici e di marketing

Newsletter - base giuridica combinata:

L'invio della newsletter si basa su tre basi giuridiche congiunte: (a) art. 6, par. 1, lett. a) GDPR - consenso volontario; (b) art. 10, par. 1 della legge polacca sui servizi elettronici - consenso a comunicazioni commerciali; (c) art. 172, par. 1 della legge polacca sulle telecomunicazioni - consenso al marketing diretto. I consensi sono raccolti congiuntamente. Può revocarli tramite link "Annulla iscrizione" in ogni email o contattando biuro@webet.pl.

Il consenso è revocabile in qualsiasi momento senza pregiudizio della liceità del trattamento svolto in precedenza.

I dati sono conservati per i tempi necessari, tenuto conto degli obblighi di legge:

La lista della spesa di farmaci da banco e integratori che crea nel Servizio e i messaggi che invia alla Farmacia AI possono rivelare informazioni sulla Sua salute o sulla salute delle persone per cui acquista. In tal caso sono dati relativi alla salute ai sensi dell'art. 4 punto 15 e dell'art. 9 par. 1 del GDPR. Li trattiamo sempre così, indipendentemente da chi sia il destinatario dell'acquisto.

5.1 Base giuridica del trattamento

Consenso esplicito dell'Utente (art. 9 par. 2 lett. a) GDPR). Chiediamo due consensi separati, ciascuno quando serve: il consenso per il carrello e il confronto dei prezzi prima di aggiungere il primo prodotto al carrello e il consenso per la Farmacia AI prima del primo messaggio. La ricerca non richiede consenso. Il rifiuto di uno non incide sull'altro: senza consenso per il carrello non creiamo un carrello sul nostro server né ne confrontiamo il prezzo, senza consenso per la Farmacia AI non inviamo messaggi. Le altre pagine del Servizio si possono consultare senza di essi. Chiediamo un consenso a parte per ogni richiesta alle farmacie vicine (punto 5.8.3).

5.2 Ambito

Consenso per il carrello: nomi e quantità dei prodotti nel carrello, compresi il piano scorte e gli avvisi di prezzo collegati al carrello. Consenso per la Farmacia AI: testo dei messaggi e delle immagini inviati alla Farmacia AI, elenchi incollati, dosi inserite nel piano scorte ed elenco di prodotti costruito nella conversazione. Inoltre le voci di una richiesta alle farmacie vicine, compresi i farmaci con ricetta che inserisce, il commento e la conversazione con la farmacia (punto 5.8). Li colleghiamo all'identificativo dell'Account e, senza accesso, a un identificativo casuale di sessione e browser.

5.3 Finalità

Consenso per il carrello: cercare prodotti, salvare il carrello e confrontare il prezzo dell'intero carrello nelle farmacie online presentate nel Servizio e, nell'Account, anche avvisi di prezzo e promemoria del carrello. Consenso per la Farmacia AI: rispondere ai Suoi messaggi e salvare la conversazione perché possa tornarci, fino a 12 mesi dall'ultimo messaggio. Quando invia una richiesta alle farmacie vicine, anche trasmetterla a quelle farmacie e gestire il ritiro (punto 5.8).

Sulla base dello stesso consenso registriamo anche lo svolgimento della Sua visita: che cosa ha cercato, che cosa ha aggiunto al carrello, il risultato del confronto e i link alle farmacie che ha aperto. Lo facciamo esclusivamente per verificare e migliorare la ricerca e il confronto. Non utilizziamo questi dati per pubblicità né per profilazione e non li trasmettiamo a soggetti pubblicitari.

Le parole digitate prima del consenso restano nel Suo browser. Le inviamo al nostro server solo nel momento del consenso e solo per la visita in corso. Se rifiuta o chiude la scheda, scompaiono dal browser e non ci arrivano.

5.4 Revoca del consenso

Può revocare ciascuno dei due consensi in qualsiasi momento, indipendentemente dall'altro: con l'interruttore nelle Impostazioni della privacy (link in fondo a ogni pagina; nell'Account: Impostazioni › Privacy) o scrivendo a biuro@webet.pl. Eliminare un carrello non è revocare il consenso. Dopo la revoca del consenso per il carrello eliminiamo dal nostro server i carrelli salvati con le loro voci, il piano scorte, i link di condivisione, lo storico dei prezzi e le previsioni, nonché gli avvisi di prezzo, i prodotti nascosti e le e-mail sui carrelli; nei registri dei confronti e degli eventi rimuoviamo il collegamento con Lei. Il carrello salvato nel Suo browser resta su quel dispositivo. Dopo la revoca del consenso per la Farmacia AI eliminiamo le conversazioni salvate; le copie trasmesse ad Anthropic scompaiono presso di essa entro 30 giorni (punto 6.8). Conserviamo per 6 anni la registrazione della concessione e della revoca del consenso come prova (punto 4). La revoca del consenso non pregiudica la liceità del trattamento effettuato prima della revoca. Il consenso alla trasmissione di una richiesta alle farmacie si revoca annullando la richiesta (punto 5.8.8).

5.5 Nessuna profilazione sanitaria

L'Amministratore NON utilizza questi dati per profilazione sanitaria né per marketing personalizzato. Vengono comunicati ai responsabili del trattamento indicati ai punti 6.1–6.8 e 6.10, che agiscono su sua istruzione, per le finalità descritte ai punti 5.3 e 5.7 e, quando invia una richiesta alle farmacie della zona, anche alle farmacie fisiche, che sono titolari del trattamento autonomi (punti 5.8 e 6.9). Il Servizio non fornisce consulenza medica né farmaceutica.

5.6 Nessun trasferimento a marketing

I dati NON sono trasferiti a Google Ads, Meta o servizi analitici se non in forma aggregata anonimizzata.

5.7 Farmacia AI e altre funzioni di intelligenza artificiale

La Farmacia AI è un assistente basato sul modello di intelligenza artificiale Claude, fornito da Anthropic Ireland, Limited (punto 6.8). Sulla base dei Suoi messaggi cerca prodotti nel nostro catalogo, compone una lista della spesa e calcola dove l'intero carrello costa meno. Usiamo lo stesso modello quando leggiamo i nomi dei prodotti da una lista incollata o da una foto, quando proponiamo equivalenti più economici dei prodotti nel carrello e quando riscriviamo una dose che Lei stesso indica nel piano scorta.

Quali dati: il contenuto dei Suoi messaggi alla Farmacia AI (nomi di farmaci e integratori e tutto ciò che vi aggiunge), le immagini inviate, la cronologia della conversazione in corso, la lista di prodotti composta nella conversazione e, per gli equivalenti, nomi, identificativi e prezzi dei prodotti nel carrello. Colleghiamo la conversazione al Suo Account. Le conversazioni salvate prima del 16 ottobre 2026 senza accesso sono collegate a un identificativo casuale di sessione e di browser. Non conserviamo le immagini. Registriamo solo l'informazione che un'immagine era allegata.

Per cercare un prodotto basta il suo nome. Non descriva sintomi o malattie e non invii foto di ricette o di documentazione medica. La Farmacia AI non fornisce consigli sulla salute.

Finalità: su Sua richiesta, ricerca di prodotti, composizione della lista della spesa e confronto del prezzo del carrello; salvataggio della conversazione per poterla proseguire; chiarimento di errori nelle risposte e prevenzione degli abusi.

Base giuridica: il Suo consenso esplicito per la Farmacia AI (art. 6 par. 1 lett. a) e art. 9 par. 2 lett. a) GDPR), separato dal consenso per il carrello (punto 5.1). Lo chiediamo prima del primo messaggio alla Farmacia AI. Comprende anche la lettura dei nomi dei prodotti da un elenco incollato o da una foto e la trascrizione di una dose inserita nel piano scorte. Senza consenso la Farmacia AI non invia messaggi. Gli equivalenti più economici e la previsione di prezzo inviano al modello solo i nomi dei prodotti del catalogo, senza identificativo della persona, e si fondano sul consenso per il carrello. Il limite di domande e i pacchetti di domande sono regolati in base al contratto (art. 6 par. 1 lett. b) GDPR, § 7 dei Termini).

Destinatario: Anthropic Ireland, Limited, in qualità di responsabile del trattamento, sulla base di un contratto di nomina a responsabile (punto 6.8). Gli trasmettiamo il contenuto dei messaggi, delle immagini e la cronologia della conversazione in corso. Non trasmettiamo nome, cognome, indirizzo e-mail, identificativo dell'Account né indirizzo IP. Anthropic non può addestrare modelli su questi dati e li elimina entro 30 giorni, con le eccezioni descritte al punto 6.8. I dati possono essere trattati al di fuori dello Spazio economico europeo secondo le regole del punto 7.

Le risposte sono generate da un modello di intelligenza artificiale e possono contenere errori. Prezzo e composizione può verificarli nella scheda del prodotto e nella pagina della farmacia. Non adottiamo nei Suoi confronti decisioni basate unicamente sul trattamento automatizzato che producano effetti giuridici o incidano in modo analogo significativamente su di Lei (art. 22 del GDPR).

Per quanto tempo conserviamo i dati: punto 4. I Suoi diritti, compreso l'accesso alle conversazioni salvate e la loro cancellazione: punto 8.

5.8 Richiesta alle farmacie della zona e ritiro con codice

5.8.1. In che cosa consiste. Quando invia una richiesta alle farmacie della zona, la trasmettiamo alle farmacie aperte al pubblico nel raggio da Lei scelto, una dopo l’altra a partire dalla più vicina, finché una risponde. La farmacia aperta più vicina riceve la richiesta per prima, la successiva dopo circa 10 minuti; se ha Premium, la richiesta arriva subito alle due farmacie più vicine. Le mostriamo la risposta della farmacia e, quando prenota il ritiro, Le assegniamo un codice di ritiro.

5.8.2. Quali dati raccogliamo.

• a) voci della richiesta: nomi, confezioni e quantità dei medicinali senza ricetta e degli integratori del carrello e, se spunta il consenso accanto ad essi, anche nomi e quantità dei medicinali con ricetta che scrive, con la quota a carico del paziente, se la indica;
• b) località e raggio scelto (la propria località oppure 5, 10 o 20 km) e, se condivide la posizione del dispositivo, le coordinate;
• c) numero di telefono cellulare, se lo fornisce;
• d) commento alla richiesta e conversazione con la farmacia;
• e) indirizzo e-mail: quello dell’Account e, quando invia la richiesta senza effettuare l’accesso, quello indicato nel modulo, per il quale creiamo un Account senza password;
• f) svolgimento della richiesta: momenti di trasmissione e di apertura da parte delle farmacie, risposta della farmacia (disponibilità, quantità, sostituti, prezzi), codice e termine di ritiro, momento del ritiro nonché la Sua risposta alla domanda posta dopo il ritiro sulla corrispondenza del prezzo;
• g) registrazione del Suo consenso: data, versione del testo del consenso, indirizzo IP e identificativo del browser.

I nomi di farmaci e integratori possono rivelare informazioni sulla Sua salute o sulla salute della persona per cui acquista. Li trattiamo come dati relativi alla salute, anche quando si tratta di prodotti senza ricetta.

5.8.3. Base giuridica. Trasmettiamo la richiesta alle farmacie sulla base del Suo consenso esplicito (art. 9 par. 2 lett. a) del GDPR), che chiediamo per ogni richiesta. Senza consenso non inviamo la richiesta. Includiamo i medicinali con ricetta nella richiesta solo se spunta il consenso accanto ai medicinali con ricetta; un carrello composto esclusivamente da medicinali con ricetta non sarà inviato senza di esso. Gli altri dati (indirizzo e-mail, località, svolgimento della richiesta, limite di richieste) li trattiamo per eseguire il servizio che ordina inviando la richiesta (art. 6 par. 1 lett. b) del GDPR).

Testo del consenso:

Do il mio consenso esplicito alla trasmissione della mia richiesta — nomi e quantità di medicinali e integratori, compresi i medicinali con ricetta, il mio commento, il mio nome e il mio numero di telefono, se lo indico — alle farmacie aperte al pubblico nel raggio da me scelto, una dopo l'altra a partire dalla più vicina, allo scopo di ottenere informazioni su disponibilità e prezzo e di prenotare il ritiro. So che questi dati possono rivelare informazioni sulla salute (art. 9, par. 2, lett. a) GDPR) e che posso revocare il consenso annullando la richiesta. Dettagli: Informativa sulla privacy, punto 5.8.

5.8.4. Che cosa vede la farmacia. Le farmacie sono titolari del trattamento autonomi: rispondono autonomamente di ciò che fanno con i dati della richiesta e li trattano per rispondere, preparare la prenotazione, vendere e consegnare i prodotti.

La farmacia non vede l’indirizzo e-mail, il cognome né la posizione esatta. Nell’e-mail di notifica la farmacia riceve un elenco di al massimo otto voci della richiesta, la distanza e l’ora entro la quale può rispondere, senza nome e numero di telefono. L’SMS alla farmacia non contiene alcun dato della richiesta.

5.8.5. Chi altro li riceve. Il nome e l’indirizzo della farmacia che ha risposto Le vengono mostrati nella risposta, insieme alla sua informativa sul trattamento dei dati. L’elenco di tutte le farmacie che hanno ricevuto la Sua richiesta Le sarà comunicato su richiesta inviata a biuro@webet.pl. Le e-mail con la risposta della farmacia e il codice di ritiro sono inviate dal nostro fornitore di posta (punto 6.3) e i dati sono conservati presso il fornitore di hosting (punto 6.2). Non trasmettiamo i dati delle richieste a soggetti di marketing (punto 5.6) e non riscuotiamo dalle farmacie canoni dipendenti dal numero o dal valore delle richieste.

5.8.6. Che cosa vede Lei della farmacia. Nome, indirizzo, numero di telefono e orari di apertura li conosce esclusivamente per la farmacia che ha risposto. Durante l’attesa vede soltanto le distanze delle farmacie a cui è arrivata la richiesta. Le farmacie non conoscono reciprocamente i propri nomi.

5.8.7. Per quanto tempo conserviamo i dati. Richiesta (voci, risposta, codice di ritiro): 12 mesi dal termine della richiesta. Numero di telefono, commento e conversazione con la farmacia: 30 giorni dal termine della richiesta. Posizione indicata con la richiesta: 30 giorni dal termine della richiesta. Registrazione del consenso (data, versione del documento, indirizzo IP): 6 anni dal rilascio del consenso. Il contenuto delle e-mail con le voci della richiesta lo conserviamo per tutto il tempo in cui conserviamo la richiesta stessa. Dopo l’eliminazione della richiesta, i prezzi indicati dalla farmacia restano presso di noi come dati sui prezzi, senza collegamento con Lei. L’eliminazione dell’Account elimina subito le Sue richieste.

5.8.8. I Suoi diritti. Ha tutti i diritti di cui al punto 8. Inoltre:

• a) Revoca il consenso annullando la richiesta. Le farmacie che non hanno risposto perdono allora subito l’accesso ai Suoi dati; la farmacia che ha già risposto perde subito il numero di telefono e, dopo 24 ore, gli altri dati.
• b) La revoca del consenso non annulla la trasmissione già avvenuta. Le richieste riguardanti i dati che la farmacia ha conservato presso di sé le rivolga alla farmacia.
• c) Il numero di telefono e il commento sono facoltativi.
• d) Non adottiamo nei Suoi confronti decisioni basate unicamente sul trattamento automatizzato che producano effetti giuridici o incidano in modo analogo significativamente su di Lei. L’ordine delle farmacie dipende esclusivamente dalla distanza.
• e) Il link allo stato di una richiesta inviata senza effettuare l’accesso è valido 7 giorni.

Comunichiamo i Suoi dati personali ai responsabili del trattamento (punti 6.1–6.8 e 6.10) esclusivamente nella misura necessaria per le finalità del trattamento; con ciascuno di essi abbiamo concluso un contratto di nomina a responsabile conformemente all’art. 28 del GDPR. Quando invia una richiesta alle farmacie della zona, i dati della richiesta sono ricevuti anche dalle farmacie fisiche (punto 6.9). Sono titolari del trattamento autonomi e non concludiamo con loro un contratto di nomina a responsabile.

6.1 Stripe Payments Europe Ltd. e Stripe, Inc. (pagamenti)

• Ruolo: Responsabile del trattamento
• Finalità: gestione di pagamenti, abbonamenti, rimborsi, prevenzione frodi.
• Ambito dei dati: Stripe Customer ID, Subscription ID, ID transazione, importo, valuta, stato, ultime 4 cifre carta, email Utente, IP.
• Localizzazione: Stripe Payments Europe Ltd. - Irlanda (SEE); Stripe, Inc. - USA.
• Base giuridica: art. 6, par. 1, lett. b) e f) GDPR.
• Trasferimento fuori SEE: EU-US Data Privacy Framework (Stripe Inc. certificato). SCC e PCI DSS Level 1.
• Informativa: stripe.com/privacy

6.2 Hetzner Online GmbH (hosting infrastruttura)

• Ruolo: Responsabile del trattamento
• Finalità: hosting di app web, API, database PostgreSQL, Elasticsearch e Redis.
• Ambito dei dati: pieno ambito dei dati dell'Utente.
• Localizzazione: Germania (SEE) - dati non escono dal SEE.
• Base giuridica: art. 6, par. 1, lett. b) GDPR.
• Trasferimento: non applicabile - trattamento interamente nel SEE. Hetzner ha ISO 27001 e ISO 9001.

6.3 Twilio SendGrid, Inc. (email transazionali e newsletter)

• Ruolo: Responsabile del trattamento
• Finalità: invio di email transazionali e newsletter di marketing.
• Ambito dei dati: email, nome (se fornito), contenuto, link di conferma, stato consegna.
• Localizzazione: USA.
• Base giuridica: art. 6, par. 1, lett. b) e a) GDPR.
• Trasferimento fuori SEE: EU-US Data Privacy Framework. SCC.

6.4 Amazon Web Services EMEA SARL (hosting S3)

• Ruolo: Responsabile del trattamento
• Finalità: conservazione di allegati, risorse statiche e backup.
• Ambito dei dati: file allegati o generati dal Servizio.
• Localizzazione: Amazon Web Services EMEA SARL - Lussemburgo (sede centrale). Conserviamo i dati in una regione dell’Unione europea.
• Base giuridica: art. 6, par. 1, lett. b) e c) GDPR.
• Trasferimento fuori SEE: EU-US Data Privacy Framework e SCC. AWS ha ISO 27001/27017/27018, SOC 1/2/3.

6.5 Rollbar, Inc. (monitoraggio errori)

• Ruolo: Responsabile del trattamento
• Finalità: rilevazione e diagnosi di errori applicativi.
• Ambito dei dati: stack trace, ID sessione, user agent, IP, contesto tecnico. PII filtrati prima dell'invio.
• Localizzazione: USA.
• Base giuridica: art. 6, par. 1, lett. f) GDPR - legittimo interesse.
• Trasferimento fuori SEE: SCC. Rollbar non è certificato EU-US Data Privacy Framework - solo SCC e PII scrubbing.

6.6 Google Ireland Ltd. e Google LLC (GTM, GA4, Google Ads)

• Ruolo: Responsabile del trattamento per GA4 e Google Ads.
• Finalità: misurazione traffico, analisi comportamenti, conversioni, retargeting. GTM container: GTM-5ZLFN8Z7.
• Ambito dei dati: dati comportamentali, eventi di conversione, Google Client ID, IP troncato. Per Enhanced Conversions: email hash SHA-256.
• Localizzazione: Google Ireland Ltd. - Irlanda (SEE); Google LLC - USA.
• Base giuridica: art. 6, par. 1, lett. a) GDPR (consenso cookie banner).
• Trasferimento fuori SEE: EU-US Data Privacy Framework. SCC.
• Informativa: policies.google.com/privacy

6.7 Meta Platforms Ireland Ltd. e Meta Platforms, Inc. (Facebook Pixel)

• Ruolo: Contitolare del trattamento (per eventi di conversione).
• Finalità: misurazione conversioni, retargeting, Lookalike Audiences. Pixel ID: 699317922143678.
• Ambito dei dati: eventi di conversione, ID utente Meta (se presente), URL, IP. Senza identificativi diretti dal Servizio.
• Localizzazione: Meta Platforms Ireland Ltd. - Irlanda (SEE); Meta Platforms, Inc. - USA.
• Base giuridica: art. 6, par. 1, lett. a) GDPR (consenso cookie banner).
• Trasferimento fuori SEE: EU-US Data Privacy Framework. SCC.
• Informativa: facebook.com/privacy/policy

6.8 Anthropic Ireland, Limited (modello di intelligenza artificiale Claude)

• Ruolo: Responsabile del trattamento. La controparte contrattuale dell'Amministratore è Anthropic Ireland, Limited (Irlanda). Anthropic si avvale dei sub-responsabili elencati su anthropic.com/subprocessors.
• Finalità: generazione delle risposte della Farmacia AI, lettura dei nomi dei prodotti da testi e immagini, proposta di prodotti equivalenti nel carrello e riscrittura delle dosi indicate dall'Utente nel piano scorta - v. punto 5.7.
• Ambito dei dati: contenuto dei messaggi e delle immagini inviati alla Farmacia AI, cronologia della conversazione in corso, lista di prodotti nella conversazione e nomi, identificativi e prezzi dei prodotti nel carrello. Senza nome, cognome, indirizzo e-mail, identificativo dell'Account e indirizzo IP dell'Utente.
• Localizzazione: Anthropic Ireland, Limited - Irlanda (SEE); il trattamento da parte di Anthropic e dei suoi sub-responsabili avviene anche fuori dal SEE.
• Base giuridica: consenso esplicito dell'Utente (art. 6 par. 1 lett. a) e art. 9 par. 2 lett. a) del GDPR) - v. punto 5.7. Contratto di nomina a responsabile (art. 28 del GDPR): condizioni commerciali di Anthropic (Commercial Terms of Service) insieme al Data Processing Addendum, accettati dall'Amministratore. Anthropic non può addestrare modelli sui dati trasmessi dall'Amministratore.
• Trasferimento fuori SEE: clausole contrattuali standard (decisione di esecuzione (UE) 2021/914 della Commissione europea) incluse nel Data Processing Addendum di Anthropic.
• Conservazione presso Anthropic: input e risposte sono eliminati entro 30 giorni; più a lungo — fino a 2 anni — solo se i sistemi automatici di sicurezza di Anthropic segnalano una conversazione come contraria alle regole d'uso, o se la legge lo richiede.
• Informazioni di Anthropic sulla protezione dei dati: anthropic.com/legal/privacy; elenco dei sub-responsabili: anthropic.com/subprocessors.

6.9 Farmacie fisiche (destinatarie delle richieste)

• Categoria di destinatari: farmacie aperte al pubblico in Polonia che hanno concluso un contratto con noi e rientrano nel raggio da Lei scelto.
• Ruolo: titolari del trattamento autonomi. Non concludiamo con le farmacie un contratto di nomina a responsabile; la farmacia non tratta dati per nostro conto.
• Ambito dei dati: punto 5.8.4.
• Finalità: risposta alla richiesta, prenotazione, vendita e consegna dei prodotti.
• Base della trasmissione: il Suo consenso esplicito (art. 9 par. 2 lett. a) del GDPR).
• Localizzazione: Polonia.

6.10 SMSAPI (notifiche SMS per le farmacie)

• Ruolo: Responsabile del trattamento
• Finalità: invio di notifiche SMS alle farmacie che hanno attivato questo canale.
• Ambito dei dati: numero di telefono della farmacia e contenuto della notifica. Senza dati dei pazienti.
• Localizzazione: Polonia.
• Base giuridica: art. 6, par. 1, lett. b) GDPR (esecuzione del contratto con la farmacia).

Con tutti i responsabili del trattamento sopra indicati (punti 6.1–6.8 e 6.10) abbiamo concluso contratti di nomina a responsabile del trattamento dei dati personali (DPA) conformemente all’art. 28 del GDPR. L'Amministratore non ha designato un DPO (non sussistono i requisiti dell'art. 37, par. 1 GDPR). Contatto diretto: biuro@webet.pl.

Alcuni dati sono trattati fuori SEE: Stripe Inc., Twilio SendGrid, AWS (globale, con dati in regioni UE), Rollbar, Google LLC, Meta Platforms Inc. (tutti USA), e Anthropic (sub-responsabili di Anthropic Ireland, Limited fuori dal SEE). Hetzner: solo Germania (SEE). Trasferimento basato su:

• (a) Decisione (UE) 2023/1795 sull'EU-US Data Privacy Framework per soggetti certificati (Stripe, SendGrid, AWS, Google, Meta)
• (b) Clausole contrattuali standard (Decisione (UE) 2021/914) per gli altri casi, inclusi Rollbar e Anthropic
• (c) Misure organizzative/tecniche conformi a PCI DSS, ISO 27001, SOC 2
• (d) Salvaguardie tecniche aggiuntive: SSL/TLS, pseudonimizzazione, PII scrubbing

Copia delle SCC e informazioni sulle salvaguardie disponibili contattando biuro@webet.pl.

Ai sensi del GDPR Le spettano:

8.1 Diritto di accesso (art. 15 GDPR)

Conferma e accesso ai dati trattati.

8.2 Diritto di rettifica (art. 16 GDPR)

Rettifica di dati inesatti o incompleti.

8.3 Diritto alla cancellazione (art. 17 GDPR)

Cancellazione se non più necessari o revoca del consenso.

8.4 Diritto di limitazione (art. 18 GDPR)

Limitazione in determinate situazioni.

8.5 Diritto alla portabilità (art. 20 GDPR)

Dati in CSV/JSON e trasmissione ad altro titolare.

8.6 Diritto di opposizione (art. 21 GDPR)

Opposizione al trattamento per marketing.

8.7 Revoca del consenso (art. 7, par. 3 GDPR)

Revoca in qualsiasi momento se il trattamento si basa sul consenso.

8.8 Reclamo (art. 77 GDPR)

Reclamo all'Autorità di controllo (in Italia: Garante; in Polonia: UODO):

Garante per la protezione dei dati personali / UODO
Piazza Venezia 11, 00187 Roma, Italia / ul. Stawki 2, 00-193 Warszawa, Polonia
Email: protocollo@gpdp.it (IT) / kancelaria@uodo.gov.pl (PL)
Telefono: +39 06 69677 1 (IT) / +48 22 531 03 00 (PL)
Sito: gpdp.it / uodo.gov.pl

Come esercitare i propri diritti?

Per esercitare i diritti contattare:

• Email: biuro@webet.pl
• Telefono: +48 798 908 242
• Posta: WEBET Sp. z o.o., ul. 1 Maja 30A, 45-355 Opole, Polonia

Risposta senza ritardo ingiustificato - al massimo entro un mese.

Adottiamo misure tecniche e organizzative adeguate:

9.1 Misure tecniche

• SSL/TLS per tutte le trasmissioni
• Hashing password bcrypt con sale (irreversibile)
• Cifratura dati sensibili nel database
• Backup cifrati regolari
• Firewall e protezione DDoS
• Monitoraggio sicurezza 24/7

9.2 Misure organizzative

• Accesso limitato
• Politiche di sicurezza
• Formazione del personale
• Accordi di riservatezza
• Audit di sicurezza

10.1 Cosa sono i cookie?

Piccoli file di testo salvati dal browser sul dispositivo durante la navigazione.

10.2 Quali cookie utilizziamo?

Cookie necessari

Finalità: funzionamento del sito
Base giuridica: legittimo interesse (art. 6, par. 1, lett. f) GDPR)
Durata: sessione o fino a 1 anno

Esempi: session ID, CSRF token, cookie_consent

Cookie funzionali

Finalità: memorizzazione preferenze
Base giuridica: legittimo interesse
Durata: fino a 12 mesi

Esempi: user_preferences, theme_mode

Cookie Stripe (pagamenti)

Finalità: gestione pagamenti, antifrode
Fornitore: Stripe, Inc. (USA)
Base giuridica: esecuzione del contratto
Durata: da sessione fino a 2 anni

Esempi: __stripe_mid, __stripe_sid
Maggiori info: stripe.com/cookies-policy/legal

Cookie analitici

Finalità: analisi comportamenti, ottimizzazione
Base giuridica: consenso (art. 6, par. 1, lett. a) GDPR)
Durata: fino a 24 mesi

privacy.sections.cookies.types.analytics.examples

Nota: utilizzati solo con consenso esplicito.

10.3 Gestione dei cookie

Alla prima visita verrà mostrato un banner. Può:

• Accettare tutti
• Personalizzare le preferenze
• Rifiutare i cookie facoltativi

Gestione anche dalle impostazioni del browser.

Nota: la disattivazione dei cookie può influire sulla funzionalità. I cookie necessari non sono disattivabili.

Il Servizio è destinato a maggiorenni. L'Amministratore non raccoglie consapevolmente dati di minori di 16 anni. Qualora si verifichi tale raccolta senza consenso del titolare della responsabilità genitoriale (art. 8 par. 1 GDPR), i dati saranno cancellati senza ritardo. Contatto: biuro@webet.pl.

Comunicheremo eventuali modifiche sostanziali tramite:

• Notifica email
• Avviso sulla home page
• Tramite un avviso nel Servizio dopo l’accesso

La informeremo delle modifiche sostanziali che incidono sull’ambito del trattamento dei dati personali almeno 14 giorni prima della loro entrata in vigore. Dove il trattamento richiede il Suo consenso, lo chiederemo separatamente.

Per domande o esercizio dei diritti contattare:

Email: biuro@webet.pl

Telefono: +48 798 908 242 (lun-ven, 9:00-17:00)

Indirizzo: WEBET Sp. z o.o., ul. 1 Maja 30A, 45-355 Opole, Polonia

Risposta a domande generali entro 3 giorni lavorativi, a GDPR entro un mese.

Conformità al GDPR: FarmacoEconomico è pienamente conforme al GDPR (Reg. UE 2016/679) e alla legge polacca sulla protezione dei dati personali del 10 maggio 2018 (in Italia: D.Lgs. 196/2003 come modificato).

• Regolamento (UE) 2016/679 (GDPR)
• Legge polacca del 10 maggio 2018 sulla protezione dei dati personali (in Italia: D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018)
• Legge polacca del 18 luglio 2002 sui servizi elettronici
• Legge polacca del 16 luglio 2004 - Telecomunicazioni
• Legge polacca del 30 maggio 2014 sui diritti dei consumatori
• Decisione (UE) 2023/1795 (EU-US Data Privacy Framework)
• Decisione (UE) 2021/914 (clausole contrattuali standard)

• 16 ottobre 2026 — aggiunta del punto 5.8 (richiesta alle farmacie della zona e ritiro con codice), del punto 6.9 (farmacie fisiche come titolari del trattamento autonomi), del punto 6.10 (fornitore SMS) e del punto 2.4 (dati delle farmacie); integrazione dei punti 2, 3 e 4; modifica dei punti 5.1–5.5 e dell’introduzione al punto 6.
• 31 ottobre 2026 — aggiunta del punto 5.7 (Farmacia AI e altre funzioni di intelligenza artificiale) e del punto 6.8 (Anthropic Ireland, Limited come responsabile del trattamento), integrazione dei punti 2, 3, 4, 5 e 7 con le conversazioni con la Farmacia AI; il consenso al trattamento dei dati sulla salute comprende da questa versione anche i messaggi alla Farmacia AI e viene raccolto prima del primo messaggio.
• 3 luglio 2026 — aggiornamento della data del documento. I punti 5.7 e 6.8 descritti allora nella cronologia non sono stati pubblicati; il loro contenuto è introdotto dalla versione del 31 ottobre 2026.
• 13 maggio 2026 - aggiornamento secondo audit di compliance: aggiornamento lista processor (Stripe, Hetzner, SendGrid, AWS, Rollbar, Google, Meta in luogo dei precedenti Vercel/Scalingo), aggiunta sezione categorie particolari (art. 9 GDPR), aggiornamento clausole su modifiche dei Termini (accettazione attiva) e rinnovo automatico, correzione terminologia bcrypt (hashing).
• 17 novembre 2025 - versione iniziale.