Policy Privacy Mobile App Spoke2 DARE

17-giu-2026

INFORMATIVA SUL TRATTAMENTO DEI DATI PERSONALI

ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (GDPR)

Applicazione mobile “App DARE” – Progetto D.A.R.E. (DigitAl lifelong pREvention)

Le presenti informazioni sono rese ai sensi dell'art. 13 del Regolamento (UE) 2016/679 (di seguito Regolamento) nei confronti di tutti i soggetti che utilizzano l'applicazione mobile App DARE (di seguito App), sviluppata nell'ambito del Progetto D.A.R.E. – DigitAl lifelong pREvention (di seguito Progetto), promosso dall'Università degli Studi di Palermo (di seguito Università o UNIPA).

L'App DARE tratta dati relativi agli stili di vita e ai parametri di salute degli utenti, acquisiti attraverso dispositivi indossabili e questionari validati, esclusivamente per finalità di ricerca scientifica nell'ambito della prevenzione primaria.

1. Titolare del trattamento

Il Titolare del trattamento è l’Università degli Studi di Palermo, con sede in Piazza Marina n. 61, 90133 -Palermo (indirizzo di posta elettronica: rettore@unipa.it, indirizzo PEC: pec@cert.unipa.it).

2. Responsabile della Protezione dei Dati (DPO)

Presso l’Università è presente il Responsabile della Protezione dei Dati (Data Protection Officer), nominato ai sensi dell’art. 37 del Regolamento, nella persona del dott. Antonino Pollara. Il DPO può essere contattato all’indirizzo di posta elettronica dpo@unipa.it o all’indirizzo PEC dpo@cert.unipa.it.

3. Fonti e tipologia dei dati trattati

I dati personali trattati nell'ambito dell'Applicazione e del Progetto sono raccolti direttamente presso l'interessato attraverso l'utilizzo dell'App DARE, dei questionari in essa disponibili e dei dispositivi indossabili in uso.

3.1 Dati anagrafici e di registrazione

In fase di registrazione sono trattati dati identificativi e di contatto quali nome, cognome, genere, data di nascita, codice fiscale e indirizzo di posta elettronica. In caso di accesso tramite SPID, tali dati sono acquisiti direttamente dal gestore dell'identità digitale in forma certificata. Per i minori di età inferiore a 13 anni sono raccolti altresì i dati identificativi del genitore o tutore legale, necessari per l'autorizzazione al trattamento.

3.2 Dati rilevati dal dispositivo wearable

Il dispositivo indossabile rileva parametri fisiologici e comportamentali quali numero di passi, livelli di attività fisica, durata e qualità del sonno e indicatori correlati allo stress. Trattandosi di informazioni relative alla salute, tali dati costituiscono categorie particolari di dati personali ai sensi dell'art. 9 del Regolamento. Essi sono inizialmente trattati da Fitbit LLC, società del gruppo Google, secondo la propria informativa privacy, e trasferiti alla Community Trial Platform (CTP) del Progetto previa esplicita autorizzazione dell'utente.

3.3 Dati raccolti tramite i questionari

I questionari somministrati nell'App raccolgono informazioni su abitudini alimentari, attività fisica, uso di sostanze, qualità del sonno, uso dei media digitali e indicatori di natura psicologica. In quanto idonei a rivelare lo stato di salute, anche tali dati rientrano nelle categorie particolari di cui all'art. 9 del Regolamento. Le risposte possono essere associate a punteggi calcolati automaticamente sulla base di scale standardizzate. I questionari sono somministrati in versioni differenziate per fascia d'età.

3.4 Dati tecnici e di utilizzo dell’Applicazione

Per garantire il funzionamento e la sicurezza dell'Applicazione sono trattati dati tecnici quali token di autenticazione (Access Token e Refresh Token) per la gestione delle sessioni di accesso e log delle operazioni effettuate dagli utenti sulla piattaforma. Tali dati sono trattati nella misura strettamente necessaria all'erogazione del servizio e alla sicurezza dei sistemi. L'Applicazione non raccoglie dati per finalità pubblicitarie e non cede dati a terzi per finalità di marketing.

I dati relativi alla salute raccolti nell'ambito del Progetto non hanno in alcun caso finalità diagnostiche né cliniche e non sono utilizzati per formulare valutazioni sanitarie di carattere individuale. Il loro trattamento è effettuato esclusivamente per finalità di ricerca scientifica nell'ambito della prevenzione primaria, secondo quanto indicato al successivo paragrafo 4.

4. Finalità del trattamento

I dati personali sono raccolti e trattati esclusivamente per le seguenti finalità.

Ricerca scientifica per la prevenzione primaria. Monitoraggio dei determinanti degli stili di vita e della salute, individuazione dei soggetti a rischio e sviluppo di modelli predittivi utili alla prevenzione primaria delle malattie croniche non trasmissibili, anche mediante la correlazione tra i dati rilevati dai dispositivi e le risposte ai questionari. I risultati della ricerca sono elaborati in forma aggregata e anonima.
Erogazione e gestione dei servizi dell'Applicazione. Registrazione e autenticazione dell'utente, gestione del profilo, associazione e sincronizzazione del dispositivo wearable, somministrazione dei questionari, visualizzazione dei parametri acquisiti, invio di notifiche e promemoria e gestione delle richieste di assistenza e supporto.
Sicurezza e conformità. Garantire la sicurezza dei sistemi e dei dati, la registrazione delle operazioni effettuate sulla piattaforma e l'adempimento degli obblighi di legge e regolamentari cui è soggetto il Titolare.

I dati raccolti sono destinati esclusivamente alle finalità sopra indicate. Qualsiasi utilizzo per scopi diversi è da ritenersi espressamente escluso.

5. Base giuridica del trattamento

Il trattamento dei dati personali effettuato nell'ambito del Progetto è fondato sulle seguenti basi giuridiche.

Per la finalità di ricerca scientifica per la prevenzione primaria, il trattamento dei dati personali, ivi inclusi i dati relativi alla salute ai sensi dell'art. 9 del Regolamento, è basato sul consenso esplicito dell'interessato, acquisito in fase di registrazione mediante accettazione del consenso informato, ai sensi dell'art. 6, par. 1, lett. a), e dell'art. 9, par. 2, lett. a), del Regolamento.
Per la finalità di erogazione e gestione dei servizi dell'Applicazione, il trattamento è necessario all'esecuzione di un servizio richiesto dall'interessato ai sensi dell'art. 6, par. 1, lett. b), del Regolamento.
Per la finalità di sicurezza e conformità, il trattamento è necessario per l'adempimento di obblighi di legge cui è soggetto il Titolare ai sensi dell'art. 6, par. 1, lett. c), del Regolamento.

5.1 Revoca del consenso.

La partecipazione alla ricerca avviene su base volontaria. Il consenso può essere revocato in qualsiasi momento direttamente dall'Applicazione, con conseguente disattivazione del collegamento e della sincronizzazione con il dispositivo wearable. La revoca non pregiudica la liceità dei trattamenti svolti prima della sua comunicazione.

6. Trattamento dei dati dei minori

L'Applicazione è distribuita tramite gli store pubblici (Apple App Store e Google Play) ed è pertanto accessibile anche a soggetti minori di età. Il Titolare adotta misure specifiche a tutela dei minori in conformità all'art. 8 del Regolamento e all'art. 2-quinquies del D.Lgs. 196/2003.

In fase di registrazione l'Applicazione acquisisce la data di nascita al fine di determinare la modalità di accesso e il regime di consenso applicabili in funzione dell'età dichiarata.

Utenti maggiorenni (18 anni o più). Possono registrarsi tramite SPID o in modalità manuale e prestano direttamente il proprio consenso al trattamento.

Minori di età compresa tra 13 e 17 anni. La registrazione tramite SPID non è disponibile; l'accesso avviene esclusivamente mediante registrazione manuale. Il sistema sottopone una versione del consenso informato adeguata alla fascia d'età del minore.

Minori di età inferiore a 13 anni. La registrazione richiede l'inserimento dei dati identificativi del genitore o tutore legale (nome, cognome e codice fiscale) e la relativa accettazione del consenso informato. A ciascun minore è associato un codice univoco che ne garantisce la pseudonimizzazione all'interno dei sistemi del Progetto.

Chi esercita la responsabilità genitoriale può in qualsiasi momento richiedere la verifica, la modifica o la cancellazione dei dati del minore, ovvero revocare il consenso prestato, senza obbligo di motivazione, direttamente dall'Applicazione tramite l'apposita funzione o scrivendo all'indirizzo rettore@unipa.it, PEC: pec@cert.unipa.it; ovvero dpo@unipa.it, PEC dpo@cert.unipa.it. La revoca non pregiudica la legittimità dei trattamenti svolti prima della sua comunicazione. All'esito della revoca, i dati identificativi del minore saranno cancellati; potranno permanere, in forma anonima e non più riconducibile al minore interessato, dati per finalità di ricerca scientifica.

7. Soggetti coinvolti nel trattamento e flusso dei dati

Nel trattamento dei dati nell'ambito del Progetto intervengono i seguenti soggetti.

L'Università degli Studi di Palermo è il Titolare del trattamento essa stabilisce le finalità del Progetto e determina le modalità con cui i dati degli utenti sono raccolti e trattati, garantendo che il trattamento avvenga nel rispetto della normativa vigente.

Almaviva S.p.A. è nominata Responsabile del trattamento ai sensi dell'art. 28 del Regolamento e si occupa della realizzazione e gestione tecnologica dell'intero ecosistema applicativo, comprensivo dell'App DARE, della Community Trial Platform (CTP) e della relativa infrastruttura. Almaviva S.p.A. opera esclusivamente sulla base delle istruzioni impartite dall'Università e senza perseguire finalità proprie in relazione ai dati trattati nell'ambito del Progetto.

Fitbit LLC, società del gruppo Google, interviene quale titolare autonomo del trattamento per le attività svolte nell'ambito dei propri servizi e della propria infrastruttura tecnologica. I dati rilevati dal dispositivo indossabile sono trasferiti alla CTP previa esplicita autorizzazione dell'utente. Le informazioni relative ai trattamenti effettuati da Fitbit LLC sono disponibili nella relativa informativa privacy consultabile all'indirizzo: https://www.fitbit.com/global/it/legal/privacy-policy.

Qualora l'autenticazione avvenga tramite SPID, il gestore dell'identità digitale scelto dall'utente (Identity Provider) interviene quale titolare autonomo del trattamento per le attività di identificazione e autenticazione di propria competenza, trasmettendo all'Applicazione i soli dati anagrafici certificati necessari alla registrazione.

8. Modalità del trattamento e misure di sicurezza

I dati sono trattati con il supporto di strumenti informatici e protetti mediante misure tecniche e organizzative adeguate contro gli accessi non autorizzati, la perdita, l'alterazione e la divulgazione a soggetti non legittimati, in conformità all'art. 32 del Regolamento.

I dati rilevati dal dispositivo indossabile seguono un percorso definito: il dispositivo trasmette le rilevazioni tramite connessione Bluetooth all'applicazione Fitbit installata sullo smartphone dell'utente, la quale le invia ai server Fitbit attraverso connessioni cifrate. Una volta autorizzata la condivisione, i dati sono trasferiti dai sistemi Fitbit ai sistemi del Progetto attraverso un'architettura cloud-to-cloud basata sul protocollo OAuth 2.0, con gestione sicura dei token di accesso (Access Token e Refresh Token). L'autorizzazione alla condivisione può essere revocata in qualsiasi momento dall'utente, con conseguente interruzione del flusso dei dati verso il Progetto.

Il trattamento dei dati rilevati dal dispositivo indossabile e raccolti tramite i questionari per finalità di ricerca scientifica e di sviluppo di modelli predittivi può avvalersi di sistemi di intelligenza artificiale operanti all'interno dell'infrastruttura tecnologica gestita dal Responsabile del trattamento.

All'interno dei sistemi del Progetto i dati degli utenti sono pseudonimizzati: a ciascun utente è associato un codice identificativo univoco generato casualmente, che rende il profilo non immediatamente riconoscibile. La corrispondenza tra il codice e l'identità reale è conservata separatamente in una struttura dati isolata e protetta, accessibile esclusivamente ai soggetti dotati di specifici privilegi.

L'accesso all'Applicazione e alla Piattaforma è riservato agli utenti autorizzati e regolato in base al ruolo di ciascuno (utente basic, caregiver, ricercatore, amministratore), in modo che ogni soggetto possa consultare unicamente i dati e le funzioni strettamente necessari al proprio compito. Le attività svolte sulla Piattaforma sono registrate tramite log per consentire la tracciabilità degli accessi e delle operazioni effettuate.

9. Comunicazione dei dati e trasferimenti extra-UE

I dati personali non sono comunicati a soggetti terzi, salvo quanto di seguito indicato.

I dati sono resi accessibili ai ricercatori del Progetto esclusivamente in forma pseudonimizzata, nei limiti del proprio ruolo e nel rispetto dei principi di minimizzazione e segregazione dei dati.
Le comunicazioni a soggetti pubblici o autorità avvengono esclusivamente nei casi previsti dalla legge.

Nell'ambito delle attività svolte dall'Università, i dati personali sono trattati all'interno dello Spazio Economico Europeo.

Con riferimento ai trattamenti effettuati da Fitbit LLC quale titolare autonomo, i dati personali potrebbero essere trasferiti verso Paesi situati al di fuori dello Spazio Economico Europeo, inclusi gli Stati Uniti d'America, nell'ambito dell'infrastruttura tecnologica del gruppo Google. Tali trasferimenti sono effettuati da Fitbit LLC nel rispetto degli artt. 44 e seguenti del Regolamento, mediante l'adozione delle garanzie previste dalla normativa applicabile, quali decisioni di adeguatezza della Commissione europea o Clausole Contrattuali Standard. Informazioni aggiornate sui trasferimenti internazionali effettuati da Fitbit LLC sono consultabili nella relativa informativa privacy all'indirizzo: https://www.fitbit.com/global/it/legal/privacy-policy.

10. Conservazione dei dati

I dati identificativi e di contatto raccolti per la registrazione e la gestione dei servizi sono conservati per tutta la durata della partecipazione dell’interessato al Progetto e dell’utilizzo dell’Applicazione.

I dati rilevati dai dispositivi e i dati raccolti tramite i questionari, acquisiti nei sistemi del Progetto, sono conservati in forma pseudonimizzata per un periodo di dieci anni dalla loro acquisizione, per le finalità di ricerca scientifica. Durante tale periodo i dati sono accessibili esclusivamente ai soggetti autorizzati secondo i livelli di accesso definiti nell’ambito del Progetto. Al termine del periodo di conservazione i dati sono cancellati o resi anonimi in via definitiva.

Nel caso di assegnazione in comodato d’uso del dispositivo, alla restituzione i dati eventualmente presenti sul dispositivo sono cancellati prima di una successiva assegnazione ad altro partecipante.

Il periodo di conservazione è determinato tenendo conto delle esigenze di ricerca scientifica, della validazione dei risultati e degli obblighi normativi applicabili.

11. Diritti dell’interessato

L’interessato può esercitare i diritti previsti dagli articoli 15 e seguenti del Regolamento, quali il diritto di accesso, il diritto di rettifica o integrazione dei propri dati, il diritto di cancellazione (diritto all’oblio), il diritto di limitazione e di opposizione al trattamento e il diritto alla portabilità dei dati, alle condizioni e nei limiti indicati dal Regolamento. L’interessato ha altresì il diritto di revocare in qualsiasi momento il consenso prestato.

La richiesta di cancellazione non può essere accolta nella misura in cui il trattamento sia necessario per l’adempimento di un obbligo giuridico, per l’esecuzione di compiti istituzionali, per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria e in ogni altro caso previsto dall’art. 17, par. 3, del Regolamento.

Per l'esercizio dei diritti l'interessato può rivolgersi al Titolare scrivendo a pec@cert.unipa.it o a rettore@unipa.it, ovvero al DPO all'indirizzo dpo@unipa.it. In alternativa, il consenso può essere revocato in qualsiasi momento direttamente dall'Applicazione tramite l'apposita funzione, con conseguente disattivazione del collegamento e della sincronizzazione con il dispositivo wearable. L'Università risponde entro un mese dalla richiesta, estensibile fino a tre mesi in caso di particolare complessità.

L’interessato ha inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) ove ritenga che il trattamento sia avvenuto in violazione del Regolamento.