Informativa sulla privacy

1Introduzione e identificazione del titolare

La tua privacy è una priorità per noi. Questa informativa sulla privacy descrive, in modo trasparente e dettagliato, quali dati personali raccoglie l'app Monju, perché li raccoglie, come li utilizza, con chi li condivide, per quanto tempo li conserva e quali diritti hai su tali dati, in conformità alla legge brasiliana n. 13.709/2018 — la Legge generale sulla protezione dei dati (LGPD).

Monju è un'app mobile (iOS e Android) per il monitoraggio della salute e del benessere, rivolta a persone in trattamento con farmaci della classe GLP-1 (come Mounjaro/Tirzepatide, Ozempic, Wegovy, Saxenda, Victoza, Trulicity e Rybelsus). Questa informativa si applica a tutte le funzionalità dell'app, al portale web per il professionista sanitario e a qualsiasi altro servizio da noi fornito.

2Glossario e definizioni

Per facilitare la lettura, i termini seguenti hanno il significato descritto qui sotto:

• Dato personale: informazione relativa a una persona fisica identificata o identificabile (LGPD art. 5, I).
• Dato personale sensibile: dato relativo a salute, vita sessuale, dato genetico o biometrico, origine razziale o etnica, convinzione religiosa, opinione politica, tra gli altri (LGPD art. 5, II).
• Interessato: la persona fisica a cui i dati si riferiscono — in questo caso tu, utente di Monju.
• Trattamento: qualsiasi operazione svolta sui dati personali, come raccolta, conservazione, uso, accesso, condivisione ed eliminazione (LGPD art. 5, X).
• Consenso: manifestazione libera, informata e univoca con cui l'interessato acconsente al trattamento dei propri dati (LGPD art. 5, XII).
• Responsabile del trattamento: chi tratta i dati per conto del titolare (LGPD art. 5, VII) — i terzi elencati nella Sezione 8.
• ANPD: Autorità nazionale per la protezione dei dati del Brasile.
• GLP-1: classe di farmaci di cui fanno parte Mounjaro (tirzepatide), Ozempic e Wegovy (semaglutide), Saxenda e Victoza (liraglutide), tra gli altri.

3Accettazione di questa informativa

Creando un account Monju, continuando a usare l'app dopo una modifica di questa informativa, o accettando espressamente questo documento durante l'onboarding, dichiari che: (a) hai letto e compreso integralmente questa informativa; (b) sei consapevole delle categorie di dati raccolti e delle finalità; (c) acconsenti al trattamento nei termini qui descritti; (d) hai almeno 16 anni o sei assistito dai tuoi rappresentanti legali secondo la Sezione 15; (e) hai la capacità giuridica di stipulare contratti; (f) sei consapevole che Monju non è un dispositivo medico e non sostituisce le indicazioni di un professionista sanitario.

Se non accetti una qualsiasi disposizione di questa informativa, non utilizzare l'app ed elimina il tuo account, se lo hai già creato.

4Categorie di dati personali raccolti

4.1. Dati di registrazione e identificazione

Nome e cognome, e-mail (o e-mail di inoltro di Sign in with Apple), foto del profilo (facoltativa), identificativo univoco dell'utente (UUID), data di creazione dell'account, età/fascia d'età e genere (autodichiarato, con l'opzione "preferisco non dirlo").

4.2. Dati di contatto

Numero WhatsApp (facoltativo, per i promemoria) e numero di cellulare (in caso di autenticazione via SMS/OTP).

4.3. Dati sensibili sulla salute (LGPD art. 5, II)

La natura di Monju richiede la raccolta di dati sensibili sulla salute, tutti trattati previo consenso esplicito e specifico (art. 11, I), fornito durante l'onboarding e rinnovato per ogni nuova categoria di funzionalità. Comprendono:

• Dati corporei: altezza, peso (attuale, iniziale e obiettivo), storico del peso, IMC, composizione corporea (massa magra, % di grasso), misure, foto dei progressi e referti di bioimpedenza.
• Dati sui farmaci: farmaco, principio attivo, dosaggio, frequenza, giorno/ora, dispositivo, sede di iniezione, storico delle dosi e sensazione dopo la somministrazione.
• Dati nutrizionali: descrizioni e foto dei pasti, stime di proteine/calorie generate dall'IA, obiettivi di proteine e idratazione, consumo di acqua e storico.
• Sintomi ed effetti collaterali: tipo di sintomo, gravità (da 1 a 10), data/ora e note.
• Esami medici: foto dei referti, valori estratti tramite OCR, analisi generate dall'IA e storico.
• Stile di vita e trattamento: attività fisica, obiettivi, motivazioni, stato e data di inizio del trattamento.
• Check-in giornaliero: umore, consumo di acqua, qualità dell'alimentazione, sintomi ed esercizio fisico.

4.4. Contenuto della chat con l'assistente IA

Messaggi di testo e immagini inviati all'assistente, cronologia delle conversazioni collegata all'account e risposte generate.

4.5. Condivisione con professionisti sanitari

Se scegli di collegare un professionista: nome ed e-mail del professionista, token univoco di condivisione, categorie di dati che hai autorizzato a condividere e cronologia degli aggiornamenti.

4.6. Dati di utilizzo, dispositivo e diagnostica

Raccolti automaticamente: modello/identificativo del dispositivo, sistema operativo e versione, versione dell'app, lingua/fuso orario, indirizzo IP (log), schermate e percorsi, sessioni, crash, identificativi anonimi di analytics e origine dell'installazione.

4.7. Dati di abbonamento e pagamento

Stato dell'abbonamento Monju Pro, piano, date, identificativi di transazione degli store, cronologia degli eventi e store di origine. I dati finanziari (carta, conto) non vengono raccolti né conservati da Monju — il pagamento avviene esclusivamente all'interno degli store.

4.8. Preferenze di notifica

Preferenze di promemoria della dose, anticipo, promemoria del check-in, autorizzazione alle notifiche push e autorizzazione a WhatsApp.

4.9. Feedback inviato dall'utente

Messaggi di feedback, valutazioni date nei messaggi interni all'app e comunicazioni con l'assistenza via e-mail.

5Modalità di raccolta dei dati

I dati sono raccolti in tre modi: (5.1) forniti direttamente da te tramite l'onboarding, le schermate di registrazione e le impostazioni; (5.2) raccolti automaticamente (utilizzo, dispositivo, diagnostica, analytics) da SDK nativi; e (5.3) ricevuti da terzi — Google Sign-In (nome, e-mail, foto pubblica), Sign in with Apple (nome ed e-mail reale o di inoltro) e RevenueCat (identificativi e stato dell'abbonamento).

6Finalità specifiche del trattamento

I dati sono trattati per: (6.1) erogare il servizio di monitoraggio (registrazioni, calcolo dell'IMC, obiettivi, livello stimato di farmaco, grafici); (6.2) alimentare le funzionalità di IA (stima dei macro, lettura di esami e bioimpedenza, assistente sanitario, immagini di ricette); (6.3) inviare promemoria e comunicazioni sul trattamento (push, WhatsApp, check-in, avvisi operativi); (6.4) condividere con professionisti sanitari; (6.5) gestire account e abbonamento; (6.6) migliorare continuamente il prodotto (analytics aggregati e anonimizzati); (6.7) garantire la sicurezza e prevenire le frodi; (6.8) adempiere a obblighi di legge; e (6.9) inviare comunicazioni di marketing (facoltative e revocabili).

7Basi giuridiche del trattamento

Per ogni finalità applichiamo una o più basi giuridiche della LGPD: esecuzione del contratto (art. 7, V) per l'erogazione del servizio e la gestione dell'account; consenso esplicito specifico (art. 11, I) per i dati sensibili sulla salute, le funzionalità di IA e la condivisione con un professionista; consenso (art. 7, I) per i promemoria via push/WhatsApp e per il marketing; legittimo interesse (art. 7, IX) per il miglioramento del prodotto, gli analytics e la sicurezza, su dati aggregati/anonimizzati; e adempimento di un obbligo di legge (art. 7, II) quando richiesto. Il consenso per i dati sensibili è raccolto in modo specifico ed evidenziato durante l'onboarding e può essere revocato in qualsiasi momento.

8Condivisione dei dati con terzi

Monju condivide i dati solo quando è strettamente necessario per erogare i servizi. I principali responsabili del trattamento sono:

• Google LLC — IA (Gemini API): elabora descrizioni e foto dei pasti, referti di esami e bioimpedenza, messaggi all'assistente e una sintesi del tuo contesto di salute — senza nome, e-mail, telefono né alcun dato che ti identifichi direttamente. Le richieste passano da un proxy sicuro (Supabase Edge Function) via HTTPS/TLS, solo dopo il tuo consenso esplicito. I dati non vengono usati per addestrare i modelli di Google e sono conservati solo per il tempo necessario a generare la risposta.
• Supabase, Inc. — database, autenticazione e archiviazione: conserva i tuoi dati con cifratura a riposo (AES-256) e in transito (TLS), Row Level Security per utente e backup cifrati. Certificata SOC 2 Type II.
• RevenueCat, Inc. — abbonamenti: riceve un identificativo anonimo, le ricevute degli store e lo stato dell'abbonamento. Non riceve nome, e-mail, dati sulla salute né dati finanziari.
• Google (Sign-In e Play Store) e Apple (Sign in with Apple e App Store): autenticazione ed elaborazione dei pagamenti nei rispettivi store. Non viene condiviso alcun dato sulla salute né alcuna password.
• Resend, Inc. — e-mail transazionali: invia e-mail al professionista che indichi (solo nome e link sicuro) ed e-mail operative all'utente.
• 360dialog GmbH — WhatsApp Business API: invia promemoria della dose generici (senza dettagli sensibili), solo se fornisci il tuo numero.
• Microsoft — Clarity (analytics): comportamento d'uso anonimo con identificativo cifrato non reversibile; senza dati sulla salute, nome o e-mail.
• Google — YouTube Data API: solo termini di ricerca di ricette; non viene inviato alcun dato personale.
• Fornitori di infrastruttura (Vercel, AWS, Cloudflare): erogano il portale web per il professionista ed elaborano log operativi per brevi periodi.

9Trasferimento internazionale dei dati

Alcuni responsabili del trattamento si trovano fuori dal Brasile — principalmente negli Stati Uniti (Google, Supabase, RevenueCat, Apple, Resend, Microsoft), a Singapore (Supabase) e in Germania (360dialog). Il trasferimento avviene ai sensi del Capitolo V della LGPD (artt. da 33 a 36), sulla base del consenso, dell'esecuzione del contratto, dell'adempimento di un obbligo di legge e di clausole contrattuali specifiche. I fornitori adottano standard di sicurezza equivalenti o superiori a quelli richiesti dalla LGPD (SOC 2, ISO 27001, conformità al GDPR ove applicabile).

10Conservazione e sicurezza

Adottiamo misure tecniche e organizzative per proteggere i tuoi dati. Misure tecniche: cifratura in transito (HTTPS/TLS 1.2+) e a riposo (AES-256); archiviazione locale sicura dei token (Keychain/Keystore); Row Level Security nel database; bucket di archiviazione privati con URL firmati; chiavi API esclusivamente lato server; validazione tramite token nel portale del professionista. Misure organizzative: accesso limitato alle persone autorizzate, log di accesso ai dati sensibili, formazione del team, piano di risposta agli incidenti e valutazione periodica. In caso di incidente rilevante, informeremo l'ANPD e gli interessati ai sensi dell'art. 48 della LGPD.

11Conservazione dei dati ed eliminazione dell'account

I tuoi dati sono conservati finché il tuo account è attivo, finché sono necessari per i servizi sottoscritti, o finché sussiste un obbligo di legge o un legittimo interesse per la difesa di diritti.

Come eliminare il tuo account: nell'app, in Profilo → Elimina account (l'eliminazione cancella definitivamente i tuoi dati e file tramite una funzione dedicata lato server); oppure via e-mail a contato@meuguru.com con oggetto "Richiesta di eliminazione dell'account — LGPD", evasa entro 15 giorni lavorativi.

Dopo l'eliminazione, i dati nel database e i file vengono cancellati immediatamente; i backup cifrati possono persistere fino a 30 giorni; i log operativi fino a 90 giorni. I dati delle transazioni finanziarie sono conservati dagli store per i termini fiscali di legge (5 anni), e possono essere mantenuti dati anonimizzati di utilizzo aggregato.

12Diritti dell'interessato (LGPD art. 18)

Hai i seguenti diritti, esercitabili gratuitamente: conferma dell'esistenza del trattamento; accesso ai dati; rettifica; anonimizzazione, blocco o cancellazione dei dati non necessari o trattati in modo non conforme; portabilità; cancellazione dei dati trattati sulla base del consenso; informazioni sulla condivisione; informazioni sulla possibilità di negare il consenso; revoca del consenso; e opposizione al trattamento.

Come esercitarli: invia un'e-mail a contato@meuguru.com indicando il tuo nome, l'e-mail collegata all'account e il diritto che desideri esercitare. Risponderemo entro 15 giorni lavorativi. In caso di decesso dell'interessato, gli eredi o i rappresentanti legali possono esercitare tali diritti presentando la documentazione.

13Cookie, token e tecnologie simili

L'app non usa cookie HTTP tradizionali, ma tecnologie analoghe in ambiente mobile: token JWT di autenticazione archiviati in modo sicuro (Keychain/Keystore); identificativi di installazione per finalità operative e di analytics anonimizzati; persistenza dello stato locale sul dispositivo (AsyncStorage/MMKV). Il portale web del professionista può usare cookie strettamente necessari a mantenere la sessione, senza tracciamento né pubblicità.

14Notifiche push, e-mail e WhatsApp

Con la tua autorizzazione, possiamo inviare: notifiche push (promemoria della dose, check-in giornaliero e avvisi operativi); e-mail operative (conferma dell'account, recupero, avvisi di sicurezza e di pagamento, comunicazioni legali); e-mail di marketing (facoltative, con disiscrizione in qualsiasi momento); e messaggi WhatsApp (promemoria della dose, solo se fornisci il tuo numero e attivi la funzione). Puoi disattivare ognuno di questi canali in qualsiasi momento.

15Bambini e adolescenti

Monju non è rivolto a minori di 16 anni e non raccogliamo intenzionalmente dati di bambini con meno di 13 anni. Gli adolescenti di 16-17 anni possono usarlo con consenso informato; quelli di 13-15 anni solo con il consenso di un rappresentante legale (art. 14 della LGPD); i minori di 13 anni non devono usare l'app. Negli store la classificazione è 17+ (App Store) e per adulti (Play Store). Genitori o tutori possono contattarci a contato@meuguru.com.

16Intelligenza artificiale — chiarimenti

Monju utilizza modelli della famiglia Gemini (Google), nella variante 2.5, tramite la Google AI API. Ogni chiamata passa da un proxy lato server (Supabase Edge Function) che non include dati personali identificabili nel payload — solo il contenuto necessario (testo della domanda, foto del pasto o del referto). La chiave API resta esclusivamente sul server. Secondo i termini di Google AI, i dati inviati tramite l'API non vengono usati per addestrare i modelli e sono elaborati solo per il tempo necessario a generare la risposta.

Le risposte dell'IA (stime dei macro, interpretazione degli esami, assistente) sono stime che possono contenere errori e non costituiscono diagnosi, prescrizione né raccomandazione medica. Monju non prende decisioni automatizzate con effetti giuridici (art. 20 della LGPD); le funzionalità di IA sono informative ed educative.

17Avviso medico importante

Monju non è un dispositivo medico, non formula diagnosi, non prescrive farmaci e non sostituisce le indicazioni di un professionista sanitario abilitato. Tutte le informazioni hanno carattere informativo ed educativo. Prima di iniziare, interrompere, modificare la dose o sostituire qualsiasi farmaco, consulta sempre un medico. In caso di sintomo grave, reazione avversa seria o emergenza, rivolgiti immediatamente a un medico o chiama il numero di emergenza del tuo paese (in Brasile, SAMU — 192).

18Modifiche a questa informativa

Possiamo modificare questa informativa in qualsiasi momento. Le modifiche significative saranno comunicate con un avviso in evidenza nell'app, un'e-mail all'indirizzo registrato e l'aggiornamento della data di "versione" in cima a questo documento. Continuare a usare l'app dopo la pubblicazione costituisce accettazione tacita. Le versioni precedenti sono disponibili su richiesta a contato@meuguru.com.

19Responsabile della protezione dei dati (DPO)

Ai sensi dell'art. 41 della LGPD, il responsabile della protezione dei dati può essere contattato all'e-mail contato@meuguru.com (oggetto: "DPO — [la tua richiesta]") o all'indirizzo Av. Eldes Scherrer Souza, n. 975, Ative Centro Empresarial, ufficio n. 705, Parque Residencial Laranjeiras, Serra/ES, Brasile, codice postale 29.165-680.

20Reclami all'ANPD

Se ritieni che i tuoi diritti non siano stati adeguatamente tutelati, puoi presentare reclamo all'Autorità nazionale per la protezione dei dati del Brasile (ANPD) su gov.br/anpd.

21Contatti

Per domande, reclami o richieste relative a questa informativa o al trattamento dei tuoi dati: E-mail: contato@meuguru.com · MG Soluções Digitais LTDA · registro delle imprese del Brasile (CNPJ) 42.269.770/0001-84 · Av. Eldes Scherrer Souza, n. 975, ufficio 705, Serra/ES, Brasile, codice postale 29.165-680.

Questa informativa sulla privacy è stata aggiornata il 19 maggio 2026 ed entra in vigore in tale data. Versione 2.0.