Privacy Policy di Trainody

1. Introduzione

La presente Privacy Policy descrive come Trainody raccoglie, utilizza, conserva e protegge i dati personali degli utenti della piattaforma software as a service (SaaS) dedicata ai personal trainer e ai loro clienti, accessibile tramite il sito trainody.com, l'applicazione web app.trainody.com e l'app mobile per i clienti.

Il trattamento dei dati personali avviene nel rispetto del Regolamento (UE) 2016/679 ("GDPR") e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018 ("Codice Privacy").

2. Titolare del trattamento

Il titolare del trattamento è Trainody. Per ogni questione relativa alla privacy è possibile contattarci all'indirizzo email: info@trainody.com.

3. Ruoli del trattamento: Trainody e Personal Trainer

La piattaforma è utilizzata da personal trainer per gestire i propri clienti. È quindi importante distinguere due ruoli:

• Trainody come titolare: per i dati degli account (registrazione, fatturazione, log tecnici, dati di utilizzo della piattaforma), Trainody agisce come titolare del trattamento.
• Trainody come responsabile: per i dati dei clienti finali inseriti dai personal trainer (anagrafiche, anamnesi, misurazioni, schede di allenamento, progressi, messaggi), il personal trainer agisce come autonomo titolare del trattamento e Trainody come responsabile del trattamento ai sensi dell'art. 28 GDPR, trattando tali dati esclusivamente per fornire il servizio e secondo le istruzioni del trainer.

Il personal trainer è responsabile di disporre di un'idonea base giuridica (ad es. il consenso esplicito per i dati relativi alla salute) per i dati dei propri clienti che carica in piattaforma.

4. Dati che raccogliamo

4.1 Dati forniti dall'utente

• Dati di registrazione: nome, cognome, indirizzo email, password (conservata in forma cifrata)
• Informazioni professionali del personal trainer (ad es. nome dell'attività, palestra/studio)
• Dati di contatto e anagrafici dei clienti inseriti dal trainer
• Schede e piani di allenamento, note, video e materiali caricati
• Misurazioni fisiche, progressi e obiettivi di fitness
• Informazioni di anamnesi e documentazione rilevante per l'attività fisica, che possono includere dati relativi alla salute (categoria particolare di dati ex art. 9 GDPR), trattati solo previa idonea base giuridica
• Contenuti delle comunicazioni nella chat trainer-cliente

4.2 Dati di pagamento

I pagamenti degli abbonamenti sono gestiti dal fornitore Stripe. Trainody non memorizza i dati completi delle carte di pagamento: riceve da Stripe solo le informazioni necessarie alla gestione dell'abbonamento (esito del pagamento, ultime cifre della carta, stato della sottoscrizione).

4.3 Dati raccolti automaticamente

• Log di accesso e di sistema
• Indirizzo IP e paese di provenienza (utilizzato anche per proporre la lingua del sito)
• Informazioni su dispositivo e browser
• Cookie tecnici necessari al funzionamento della piattaforma (si veda la sezione 11)
• Dati aggregati di utilizzo e prestazione del sito (analytics senza cookie, si veda la sezione 11)

5. Finalità e basi giuridiche del trattamento

• Erogazione del servizio (creazione e gestione dell'account, funzionalità della piattaforma, comunicazione trainer-cliente, app mobile) — base giuridica: esecuzione del contratto (art. 6.1.b GDPR)
• Gestione di pagamenti e fatturazione — base giuridica: esecuzione del contratto e adempimento di obblighi legali (art. 6.1.b e 6.1.c GDPR)
• Trattamento di dati relativi alla salute (anamnesi, condizioni rilevanti per l'allenamento) — base giuridica: consenso esplicito dell'interessato (art. 9.2.a GDPR), raccolto dal personal trainer in qualità di titolare
• Sicurezza della piattaforma (prevenzione di accessi non autorizzati, abusi e frodi) — base giuridica: legittimo interesse (art. 6.1.f GDPR)
• Miglioramento del servizio tramite statistiche aggregate di utilizzo — base giuridica: legittimo interesse (art. 6.1.f GDPR)
• Comunicazioni di servizio (notifiche tecniche, modifiche ai termini, avvisi di sicurezza) — base giuridica: esecuzione del contratto e legittimo interesse
• Adempimento di obblighi di legge (fiscali, contabili, richieste dell'autorità) — base giuridica: obbligo legale (art. 6.1.c GDPR)

Il conferimento dei dati necessari all'erogazione del servizio è requisito per l'utilizzo della piattaforma: in sua assenza non è possibile fornire il servizio.

6. Destinatari dei dati

I dati possono essere comunicati alle seguenti categorie di destinatari, nominati ove necessario responsabili del trattamento ai sensi dell'art. 28 GDPR:

• Supabase — database, autenticazione e archiviazione dei dati della piattaforma
• Vercel — hosting del sito e dell'applicazione web, statistiche aggregate di utilizzo e prestazione
• Stripe — elaborazione dei pagamenti e gestione degli abbonamenti
• Resend — invio delle email transazionali e di servizio
• Personal trainer e rispettivi clienti, nei limiti della relazione professionale che li lega
• Consulenti e fornitori (ad es. fiscali, legali) nei limiti delle finalità sopra indicate
• Autorità competenti, quando richiesto dalla legge

I dati personali non vengono venduti né ceduti a terzi per finalità di marketing.

7. Trasferimento dei dati extra-UE

I dati sono conservati prevalentemente su server situati nell'Unione Europea. Alcuni fornitori sopra indicati hanno sede negli Stati Uniti o possono trattare dati al di fuori dell'UE: in tali casi il trasferimento avviene sulla base di una decisione di adeguatezza della Commissione Europea (incluso l'EU-U.S. Data Privacy Framework, ove applicabile) oppure delle Clausole Contrattuali Standard (SCC), con garanzie supplementari ove necessarie.

8. Conservazione dei dati

I dati personali sono conservati per i seguenti periodi:

• Dati dell'account e contenuti della piattaforma: per la durata del rapporto contrattuale
• Dati di fatturazione e documenti fiscali: 10 anni, in adempimento degli obblighi di legge
• Log tecnici e di sicurezza: fino a 12 mesi, salvo necessità di accertamento di illeciti
• Dati non essenziali residui: al massimo 24 mesi dalla cessazione del servizio

Alla scadenza dei termini, i dati vengono cancellati o resi anonimi. Alla chiusura dell'account, i dati dei clienti inseriti dal trainer vengono cancellati o restituiti secondo le istruzioni del trainer stesso, salvi gli obblighi di conservazione di legge.

9. Diritti dell'interessato

Ai sensi degli artt. 15-22 GDPR, l'interessato ha diritto di:

• Accedere ai propri dati e ottenerne copia
• Rettificare i dati inesatti o incompleti
• Ottenere la cancellazione dei dati ("diritto all'oblio")
• Limitare il trattamento
• Ricevere i dati in formato strutturato e di uso comune (portabilità)
• Opporsi al trattamento fondato sul legittimo interesse
• Revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento precedente
• Proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it)

Le richieste possono essere inviate a info@trainody.com. Risponderemo entro 30 giorni. Per i dati inseriti dal proprio personal trainer, il cliente può rivolgersi anche direttamente al trainer, in qualità di titolare del trattamento.

10. Sicurezza dei dati

Adottiamo misure di sicurezza tecniche e organizzative adeguate al rischio, tra cui:

• Cifratura dei dati in transito (TLS/HTTPS) e a riposo
• Conservazione delle password in forma cifrata (hashing)
• Controllo degli accessi e principio di minimizzazione
• Backup periodici
• Monitoraggio e procedure di gestione delle violazioni (data breach), con notifica al Garante e agli interessati nei casi previsti dagli artt. 33-34 GDPR

11. Cookie e tecnologie simili

Il sito utilizza esclusivamente cookie tecnici, per i quali non è richiesto il consenso:

• NEXT_LOCALE — memorizza la lingua scelta dall'utente (durata: 12 mesi)
• Cookie di sessione necessari all'autenticazione nell'area riservata (app.trainody.com)

Le statistiche di utilizzo e prestazione del sito sono raccolte tramite Vercel Analytics e Speed Insights, strumenti che non utilizzano cookie e non tracciano l'utente tra siti diversi: i dati raccolti sono aggregati e anonimi. Non utilizziamo cookie di profilazione né strumenti di marketing di terze parti.

12. Minori

Il servizio non è destinato a utenti di età inferiore a 16 anni. Non raccogliamo consapevolmente dati di minori senza il consenso dei genitori o del tutore legale. Il personal trainer che intenda seguire un cliente minorenne è tenuto ad acquisire il consenso di chi esercita la responsabilità genitoriale.

13. Modifiche alla Privacy Policy

Potremmo aggiornare la presente Privacy Policy per riflettere modifiche normative o del servizio. Le modifiche sostanziali saranno comunicate via email o tramite avviso in piattaforma con congruo anticipo. La data dell'ultima modifica è indicata in testa al documento.

14. Contatti

Per esercitare i propri diritti o per qualsiasi domanda sulla presente Privacy Policy:

• Email: info@trainody.com
• Instagram: @trainody.app