Informativa sul trattamento dei dati personali
(ai sensi degli artt. 13 e 14 del Regolamento UE 2016/679 — GDPR)
1. Chi tratta i tuoi dati
Titolare del trattamento è la palestra a cui sei iscritto: Exclusive, con sede in {{ gym_address }}, P.IVA/C.F. {{ gym_vat }}.
- Email: [email protected]
- Telefono: 3762076392
- Responsabile della protezione dei dati (DPO), ove nominato: {{ dpo_contact }}
Il gestionale e l'app Mirevo sono forniti da Mirevo (servizio di Alessandro Baldassarre, email [email protected]), che tratta i dati per conto della palestra come responsabile del trattamento (art. 28 GDPR). Se non sai a quale palestra rivolgerti, puoi scrivere a [email protected]: inoltriamo la richiesta alla tua palestra.
2. Quali dati trattiamo
Nell'ambito dell'iscrizione e dell'uso dell'app Mirevo trattiamo:
- Dati anagrafici e di contatto: nome, cognome, data e luogo di nascita, codice fiscale, indirizzo, email, numero di telefono.
- Documento d'identità: copia del documento caricato in fase di iscrizione.
- Dati relativi alla salute (art. 9 GDPR):
- certificato medico di idoneità all'attività sportiva e relativa scadenza;
- misurazioni della composizione corporea (BIA) e note collegate;
- risposte ai questionari sulla salute (anamnesi, controindicazioni, infortuni) che la palestra ti chiede di compilare;
- battito cardiaco e calorie degli allenamenti registrati con l'Apple Watch (letti da Apple Salute/HealthKit durante l'allenamento guidato), solo se hai dato il consenso ai dati sulla salute (vedi §3).
- Immagini: foto del profilo; video e foto delle telecamere della palestra usati per contestare una violazione del regolamento (vedi §3).
- Dati di pagamento: gestiti tramite il fornitore Stripe; non trattiamo né conserviamo i dati completi della carta, ma solo identificativi/token e metadati della transazione.
- Dati di utilizzo: accessi in palestra (tornello, card, QR, pass del wallet), presenze, prenotazioni, allenamenti, punti, livelli e trofei, acquisti nello shop, brani richiesti per la musica in sala, interazioni nell'app.
- Dati tecnici: indirizzo IP, token di sessione, token del dispositivo per le notifiche push, preferenze (tema, lingua, fuso orario) e, in caso di errore dell'app, un resoconto tecnico dell'errore (modello e versione del dispositivo e dell'app, senza nome, email né contenuti).
- Dati del genitore o tutore di un iscritto minorenne: nome, cognome, email, telefono e la prova della sua conferma (vedi §4).
3. Finalità e basi giuridiche del trattamento
| Finalità | Base giuridica (art. 6/9 GDPR) |
|---|---|
| Gestione dell'iscrizione e del contratto, abbonamenti, prenotazioni, acquisti | Esecuzione del contratto (art. 6.1.b) |
| Verifica dell'idoneità sportiva (certificato medico) | Obblighi in materia di tutela sanitaria delle attività sportive (art. 6.1.c e art. 9.2.g, D.M. 24 aprile 2013) ed esecuzione del contratto (art. 6.1.b) |
| Misurazioni BIA, questionari sulla salute, battito e calorie dall'Apple Watch per personalizzare e seguire l'allenamento | Consenso esplicito, separato e facoltativo (art. 9.2.a), dato con l'apposita casella e revocabile dall'app |
| Controllo accessi e sicurezza dei locali | Legittimo interesse (art. 6.1.f) |
| Sicurezza informatica e prevenzione delle frodi: registrazione dell'indirizzo IP negli accessi, nelle firme, nei consensi e nel registro delle attività; limiti ai tentativi di accesso | Legittimo interesse (art. 6.1.f, considerando 47 e 49) |
| Funzionamento e correzione degli errori dell'app (resoconti tecnici degli errori) | Legittimo interesse (art. 6.1.f) |
| Contestazione delle violazioni del regolamento con le immagini delle telecamere | Legittimo interesse della palestra alla sicurezza e al rispetto del regolamento (art. 6.1.f), con l'informativa sulla videosorveglianza esposta in palestra |
| Visibilità agli altri iscritti: nome, foto, livello, punti e presenze sullo schermo in sala, in classifica e nel profilo pubblico | Esecuzione del contratto (funzioni della community della palestra), con la possibilità di disattivarla in ogni momento (vedi i Termini, "Visibilità agli altri iscritti") |
| Gestione pagamenti e adempimenti fiscali | Contratto + obbligo legale (art. 6.1.b/c) |
| Invio comunicazioni di servizio | Esecuzione del contratto (art. 6.1.b) |
| Invio comunicazioni promozionali (email, WhatsApp, notifiche) | Consenso facoltativo (art. 6.1.a), revocabile dal link presente in ogni messaggio o dall'app |
| Generazione assistita delle schede di allenamento (se usata dalla palestra) | Consenso ai dati sanitari (art. 9.2.a); al fornitore di intelligenza artificiale non vengono inviati nome né contatti |
Dati di Apple Salute (HealthKit). Battito e calorie letti dall'Apple Watch servono solo a mostrarti l'andamento dell'allenamento e, con il tuo consenso, a salvarli nella tua scheda in palestra. Non li usiamo per pubblicità o marketing, non li vendiamo e non li cediamo a terzi. Gli allenamenti che l'app scrive in Apple Salute restano sul tuo dispositivo, sotto il controllo di Apple e tuo.
I dati non vengono usati per profilazione pubblicitaria né per tracciarti su app e siti di altre aziende.
4. Conferimento dei dati e minori
Il conferimento dei dati anagrafici, del documento d'identità e del certificato medico è necessario per l'iscrizione e l'accesso ai servizi; il rifiuto rende impossibile l'erogazione del servizio. Sono invece facoltativi e revocabili in qualsiasi momento il consenso alle comunicazioni promozionali e il consenso ai dati sulla salute (BIA, questionari, battito e calorie dall'orologio): senza quest'ultimo la palestra non registra misurazioni né risposte sanitarie che ti riguardano, e i dati dell'orologio restano solo sul tuo dispositivo.
Minori. Dai 14 ai 17 anni ci si può iscrivere dall'app solo con la conferma del genitore o tutore: l'account resta bloccato finché il genitore non conferma, tramite il link che riceve, i termini e questa informativa per conto del minore. Sotto i 14 anni l'iscrizione si fa in palestra con un genitore. Il consenso ai dati sulla salute e, sotto i 14 anni, quello alle comunicazioni promozionali (art. 8 GDPR, art. 2-quinquies D.Lgs. 196/2003) li dà il genitore, che può cambiarli anche dall'app. Della conferma conserviamo data, indirizzo IP, browser e versione dei testi accettati. Alla conferma il genitore riceve un proprio account per seguire il figlio; al compimento dei 18 anni smette di vederne i dati. Se il genitore non conferma entro 30 giorni, l'account in attesa e i dati del genitore vengono cancellati.
Di ogni consenso conserviamo la versione del testo, la data, l'indirizzo IP e chi lo ha dato, per poterlo dimostrare (art. 7.1 GDPR).
5. Modalità del trattamento e sicurezza
I dati sono trattati con strumenti informatici e misure di sicurezza adeguate:
- documento d'identità, certificato medico, video e foto delle violazioni sono archiviati su storage privato e accessibili solo tramite accessi autenticati;
- le risposte ai questionari sanitari e le note delle misurazioni sono cifrate;
- il personale vede solo i dati necessari al proprio ruolo (per esempio i dati sanitari solo il personale autorizzato) e ogni apertura o esportazione di documenti, dati sanitari e video resta registrata, compresi gli eventuali accessi dell'assistenza tecnica di Mirevo, visibili alla palestra nel registro delle attività;
- le connessioni sono protette (HTTPS); le copie di sicurezza fuori sede sono cifrate, quelle tenute sul server per 14 giorni sono accessibili solo all'amministratore del server.
6. Destinatari e responsabili esterni
I dati possono essere comunicati a soggetti che agiscono come responsabili o sub-responsabili del trattamento:
- Mirevo (fornitore del gestionale e dell'app);
- OVHcloud (hosting dei server e invio delle email, Francia/UE) e il servizio di archiviazione delle copie di sicurezza cifrate fuori sede;
- Cloudflare (rete di distribuzione e protezione del sito);
- Stripe (elaborazione pagamenti): alla cancellazione dell'account anche il profilo cliente su Stripe viene cancellato;
- {{ email_provider }} (invio email, se la palestra usa un proprio servizio);
- WhatsApp / Meta (messaggi e codici di accesso, se usati dalla palestra);
- Google (Firebase Cloud Messaging, Google Wallet) e Apple (notifiche push e tessera nel wallet);
- Sentry (Functional Software Inc.), per i resoconti tecnici degli errori dell'app, senza nome, email né contenuti;
- Spotify (musica in sala, solo per i brani richiesti);
- il fornitore di intelligenza artificiale usato per le schede (oggi Groq Inc., USA), solo se la palestra usa questa funzione e senza nome né contatti.
I dati non sono ceduti a terzi per finalità proprie. Gli altri iscritti vedono solo quanto indicato alla voce "Visibilità agli altri iscritti", se non l'hai disattivata.
7. Trasferimento extra-UE
Alcuni fornitori (Stripe, Cloudflare, Google, Apple, Meta, Sentry e il fornitore di intelligenza artificiale) possono trattare dati negli Stati Uniti o in altri paesi fuori dall'UE; in tal caso il trasferimento avviene sulla base del Data Privacy Framework UE-USA, di clausole contrattuali standard o di altre decisioni di adeguatezza della Commissione europea.
8. Periodo di conservazione
| Dato | Conservazione |
|---|---|
| Dati dell'iscrizione e del rapporto | Per la durata del rapporto; gli ex iscritti inattivi vengono anonimizzati dopo 10 anni (termine di prescrizione ordinaria, art. 2946 c.c.) |
| Dati contabili e fiscali (ricevute, fatture) | 10 anni (art. 2220 c.c. e normativa fiscale), anche dopo la cancellazione dell'account |
| Documento d'identità e certificato medico | Fino a 24 mesi dopo la scadenza o la fine del rapporto |
| Misurazioni BIA, questionari sanitari, battito e calorie dall'orologio degli ex iscritti | 24 mesi dalla fine del rapporto, salvo revoca del consenso prima |
| Passaggi al tornello e presenze in sala | 365 giorni |
| Video e foto delle violazioni | 60 giorni dall'invio; se la violazione è contestata, fino a 7 giorni dopo la decisione |
| Resoconti tecnici degli errori dell'app | 90 giorni |
| Contatti mai diventati iscritti | 24 mesi |
| File importati da altri gestionali | 30 giorni |
| Notifiche nell'app | 12 mesi |
| Registro delle attività | 24 mesi |
| Richieste di conferma del genitore non confermate | 30 giorni |
| Dati trattati sulla base del consenso | Fino a revoca del consenso |
| Copie di backup | Fino a 12 mesi; i dati cancellati presenti nei backup non vengono ripristinati |
La palestra può impostare termini diversi nelle impostazioni del gestionale.
9. Diritti dell'interessato
L'interessato può esercitare in qualsiasi momento i diritti previsti dagli artt. 15-22 GDPR:
- accesso ai propri dati ed esportazione (portabilità);
- rettifica e aggiornamento;
- cancellazione ("diritto all'oblio"), nei limiti degli obblighi di legge;
- limitazione e opposizione al trattamento;
- revoca del consenso in ogni momento, senza effetto su quanto fatto prima.
Dall'app (Profilo → Impostazioni) si possono esportare i dati, gestire i consensi, disattivare la visibilità agli altri iscritti ed eliminare l'account: la cancellazione rimuove i dati personali, compresi i testi delle violazioni, i contatti e il profilo su Stripe; restano soltanto ricevute e fatture per gli obblighi di legge. Se sei iscritto anche a un'altra palestra dello stesso gruppo, l'account di quella palestra resta finché non lo elimini anche lì. Per gli altri diritti è possibile scrivere a [email protected] oppure a [email protected], che inoltra la richiesta alla tua palestra.
L'interessato ha inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).
10. Modifiche all'informativa
La presente informativa può essere aggiornata; la versione vigente è sempre consultabile nell'app, su mirevo.it/privacy e presso la reception. Le modifiche sostanziali saranno comunicate agli interessati e, quando riguardano un consenso, richieste di nuovo.