Informativa sulla privacy

Titolare del trattamento: ark.swiss Sàrl, Losanna (Svizzera) — contatto: [email protected].

1. Il nostro principio: i vostri dati restano da voi

ark.fit è concepita «local-first»: per impostazione predefinita, tutti i vostri dati di monitoraggio vivono sul vostro dispositivo, in una banca dati cifrata. Non vendiamo, non affittiamo e non cediamo mai i vostri dati. Applichiamo una minimizzazione rigorosa: raccogliamo e trasmettiamo solo lo stretto necessario, e unicamente con il vostro consenso esplicito per ogni finalità.

2. Dati trattati sul vostro dispositivo (mai trasmessi per impostazione predefinita)

Conservati localmente, in una banca dati cifrata a riposo (protezione file iOS + cifratura applicativa AES-GCM dei campi sensibili, chiave nel Portachiavi iOS):

Profilo: peso obiettivo, ritmo, approccio alimentare, avversioni e restrizioni (dati sensibili, cifrati);
Diario alimentare: alimenti, porzioni, valori nutrizionali, marcature temporali;
Peso e tendenza: le vostre pesate e la tendenza livellata calcolata dal motore adattivo.

Questi dati non lasciano il dispositivo salvo vostra azione volontaria (vedi §4 e §5).

3. Apple Salute (HealthKit)

Se collegate Apple Salute, ark.fit legge sul dispositivo alcune metriche (peso, altezza, età, sesso, passi, energia attiva e a riposo, frequenza cardiaca) per calibrare il vostro budget e arricchire la visualizzazione. Questi dati grezzi restano sul dispositivo e non vengono mai trasmessi come tali. L’app funziona interamente senza Apple Salute. Se autorizzate la scrittura, ark.fit registra l’energia dei vostri pasti in Salute; durante la cancellazione totale (§6), l’app tenta di rimuovere i campioni che ha scritto, in base alle autorizzazioni disponibili.

Un account non è necessario per usare il cuore dell’app. Potete accedere con Sign in with Apple unicamente per attivare le funzioni server, in particolare Descrivere, Approfondimenti IA, scansione assistita dall’IA, scontrini, funzioni IA per le ricette e condivisione familiare. Chiediamo il minimo: né nome né e-mail sono richiesti; riceviamo solo un identificativo di sessione opaco.

Dopo l’eliminazione dell’account, il backend conserva un marcatore di sicurezza opaco composto da un identificativo interno sottoposto a hash, un contatore di revoca e una marcatura temporale. Serve unicamente a revocare in modo duraturo i JWT precedenti e a impedirne la ricreazione. Non contiene dati del profilo né identificativi Apple in chiaro.

5. Intelligenza artificiale — consensi distinti e minimizzazione

Le funzioni IA generali (Descrivere, scansione, scontrini e ricette) condividono un consenso IA generale versionato e revocabile. Un precedente consenso o il precedente booleano non autorizza alcun invio nel perimetro V2: dovete accettare l’informativa attuale. Poiché gli Approfondimenti IA usano dati sanitari aggregati, si basano su un consenso separato e versionato.

Descrivere un pasto: l’app invia al backend ark.fit il testo inserito, da 0 a 3 immagini minimizzate (metadati EXIF/GPS rimossi), la locale, l’istante attuale nell’ora locale e la preferenza di instradamento. Il backend instrada verso il fornitore del modello scelto: Infomaniak in Svizzera oppure OpenAI / Anthropic, con possibile trattamento fuori dalla Svizzera. Il vostro profilo di salute non viene mai inviato. Il risultato è un intervallo modificabile, mai un valore «preciso».
Scansione assistita: solo quando serve un’escalation IA, l’app invia al backend da 1 a 3 immagini minimizzate, il testo OCR, i codici a barre rilevati e, se un prodotto è stato risolto, i relativi dati Open Food Facts (dati OFF) (nome, marca, unità, porzione e valori nutrizionali per 100 g), oltre a locale e preferenza di instradamento. In base al modello scelto, il backend instrada verso Infomaniak in Svizzera oppure OpenAI / Anthropic, con possibile trattamento fuori dalla Svizzera. Senza consenso V2, la risoluzione dei codici a barre/OFF e la lettura euristica dell’etichetta restano sul dispositivo.
Scontrini: l’immagine resta sul dispositivo per l’OCR locale. Solo il testo OCR, la locale e la preferenza di instradamento vengono inviati al backend; mai la foto. Il backend instrada verso Infomaniak in Svizzera oppure OpenAI / Anthropic in base al modello scelto, con possibile trattamento fuori dalla Svizzera. Senza consenso V2, l’analisi euristica resta sul dispositivo.
Approfondimenti IA nella schermata principale: un rapporto viene generato solo dopo una vostra azione esplicita e con il vostro consenso dedicato. L’app trasmette al backend ark.fit la vostra sessione opaca, la lingua/locale, la preferenza di instradamento e questi dati aggregati: età, sesso e altezza; peso livellato e tendenza; medie di attività, passi e apporto energetico; ultimo valore giornaliero della frequenza cardiaca a riposo; budget calorico. Il fornitore IA riceve gli aggregati e la locale, senza identificativo di sessione né preferenza di instradamento. Non vengono trasmessi alimenti, dettagli grezzi dei pasti, orari dei pasti o campioni grezzi di Apple Salute. Per impostazione predefinita, Infomaniak (sovrano) tratta questi aggregati in Svizzera; se scegliete un modello performante OpenAI o Anthropic, possono essere trattati fuori dalla Svizzera. L’ultimo rapporto è cifrato sul dispositivo e incluso nell’export JSON. Quando disattivate gli Approfondimenti IA, l’autorizzazione a ogni nuovo invio viene revocata immediatamente; l’app elimina quindi il rapporto locale. Se l’eliminazione fallisce, il rapporto resta cifrato, viene mostrato uno stato di errore e l’operazione può essere ritentata.
Ricette: in base all’azione richiesta, l’app invia al backend ark.fit l’URL sorgente e il testo pubblico renderizzato, 1–3 foto minimizzate della ricetta (metadati EXIF/GPS rimossi) oppure titolo, ingredienti e numero di porzioni per la stima nutrizionale. Suggerimenti e creazione inviano un brief libero (limitato lato server a 500 byte), l’impostazione d’uso della dispensa, quando attivi i nomi degli articoli della dispensa e le indicazioni su quelli da consumare presto, i criteri selezionati, la lingua/locale e la preferenza di instradamento. Il fornitore IA riceve solo il contenuto necessario al flusso scelto e la locale, senza l’impostazione d’uso della dispensa né la preferenza di instradamento. Il profilo di salute non viene mai inviato. Questi invii IA richiedono il consenso IA generale V2. Per impostazione predefinita, Infomaniak (sovrano) tratta questi dati in Svizzera; un modello scelto di OpenAI o Anthropic può trattarli fuori dalla Svizzera.

Le chiavi dei fornitori di IA non sono mai nell’applicazione (vivono lato server) e il budget d’uso è controllato lato server.

Accesso / portabilità: export completo dei dati conservati su questo dispositivo in formato JSON, dalle Impostazioni. Per i dati dell’account server, contattate [email protected];
Cancellazione locale: eliminazione con un gesto dei dati sul dispositivo e distruzione crittografica della chiave di cifratura (i dati locali diventano irrecuperabili). L’app tenta inoltre di rimuovere i campioni che ha scritto in Apple Salute, in base alle autorizzazioni disponibili;
Revoca del consenso: il consenso IA generale, il consenso versionato per gli Approfondimenti IA e quello per la diagnostica sono indipendenti.

La disinstallazione rimuove il contenitore locale dell’app, ma iOS può conservare elementi del Portachiavi o sincronizzati tramite iCloud e non elimina i dati dell’account server. Usate prima «Cancella tutti i miei dati» e, se applicabile, «Elimina account».

7. Diagnostica tecnica (facoltativa)

Se lo autorizzate (consenso separato, disattivato per impostazione predefinita), ark.fit invia rapporti d’errore tecnici al nostro strumento di diagnostica auto-ospitato in Europa. I contenuti sono filtrati (lista bianca, nessun oggetto dati né informazione personale). È l’unica telemetria dell’app, ed è opzionale.

8. Questo sito web

Questo sito non deposita alcun cookie e non usa alcun tracciante pubblicitario. Misuriamo l’audience con Umami, uno strumento auto-ospitato in Europa, senza cookie e senza dati personali (nessun indirizzo IP conservato, nessuna profilazione). Il modulo di contatto trasmette solo ciò che vi scrivete, al solo fine di rispondervi.

9. Responsabili del trattamento e trasferimenti

La nostra infrastruttura applicativa, la continuità operativa e i backup sono ospitati esclusivamente in Europa. La produzione è gestita nell’Unione europea, con un sito di riserva caldo e backup indipendenti in Svizzera.

netcup GmbH (Germania) — produzione principale, diagnostica tecnica e Umami nell’Unione europea;
Infomaniak (Svizzera) — sito di riserva caldo e trattamento IA sovrano predefinito in Svizzera;
Infrastruttura propria di ark.swiss (Svizzera) — backup storici indipendenti;
Apple — Sign in with Apple e HealthKit (trattamento sul dispositivo);
OpenAI e Anthropic — solo se scegliete esplicitamente un modello «performante» compatibile; i dati interessati possono allora essere trattati fuori dalla Svizzera, con le garanzie contrattuali applicabili.

10. Destinatari ed esclusioni

ark.fit è uno strumento di benessere, non un dispositivo medico, e non fornisce alcuna diagnosi né trattamento. Non è destinata ai minorenni né alle persone con precedenti di disturbi del comportamento alimentare. Per la gravidanza e l’allattamento, ark.fit propone una modalità dedicata di monitoraggio nutrizionale — budget di mantenimento maggiorato, mai un deficit durante la gravidanza, salvaguardie rafforzate durante l’allattamento; questa modalità resta uno strumento di benessere, né un parere medico né un dispositivo medico, e il monitoraggio della gravidanza spetta al vostro professionista della salute.

11. Contatto

Per qualsiasi domanda o per esercitare i vostri diritti: [email protected]. Possiamo aggiornare questa informativa; la data dell’ultima revisione figura qui sotto. I cambiamenti sostanziali vi saranno segnalati nell’app.

Ultimo aggiornamento: 15 luglio 2026