Informativa sulla privacy

La presente informativa descrive come vengono trattati i dati personali degli utenti del sito web giacomopt.it e dell'applicazione mobile Giacomo PT (di seguito, congiuntamente, il «Servizio»), ai sensi del Regolamento (UE) 2016/679 («GDPR») e della normativa italiana applicabile.

1. Titolare del trattamento

Titolare del trattamento è Giacomo Costa, in qualità di personal trainer titolare dell'attività professionale «Giacomo PT» (P.IVA 04491540243).

Per qualunque richiesta relativa al trattamento dei dati, incluso l'esercizio dei diritti previsti dagli artt. 15-22 GDPR, puoi scrivere a giacomo.costa.pt@gmail.com.

2. Dati raccolti

Trattiamo esclusivamente i dati necessari a erogare il Servizio. Non vengono raccolti dati per finalità pubblicitarie, non vengono profilati gli utenti e non vengono utilizzati sistemi di tracciamento di terze parti.

2.1 Dati forniti dall'utente

• Credenziali di accesso: indirizzo email e password (la password è conservata esclusivamente in forma cifrata con algoritmo di hashing salato).
• Dati anagrafici: nome, cognome, numero di telefono, data di nascita e indirizzo (i campi diversi da nome e cognome sono facoltativi).
• Certificato medico: data di scadenza e, ove caricato, copia del certificato di idoneità sportiva.
• Messaggi: contenuto delle comunicazioni scambiate con il personal trainer tramite il Servizio.

2.2 Dati generati dall'uso del Servizio

• Prenotazioni: date, orari, servizio prenotato, storico delle sessioni completate e cancellate.
• Pacchetti e abbonamenti: ore acquistate, ore residue, iscrizioni annuali associate al tuo profilo.
• Statistiche di allenamento: frequenza, obiettivi raggiunti e badge conseguiti, calcolati sulla base delle sessioni prenotate.
• Log tecnici: indirizzo IP e timestamp delle richieste, conservati per un massimo di 90 giorni per finalità di sicurezza (rilevazione abusi, tentativi di accesso non autorizzati).

2.3 Dati raccolti dall'app mobile

L'app mobile Giacomo PT tratta i medesimi dati elencati sopra. In aggiunta:

• Refresh token: viene conservato in locale sul dispositivo (SecureStorage e SharedPreferences) al solo scopo di mantenere la sessione tra un accesso e l'altro. Il refresh token è ruotato ad ogni utilizzo e revocabile in qualsiasi momento tramite «Esci».
• Notifiche locali: l'app pianifica sul dispositivo dei promemoria delle sessioni prenotate. Tale schedulazione avviene esclusivamente in locale; nessun servizio esterno (Firebase Cloud Messaging o simili) viene attualmente utilizzato per notifiche push.
• Nessun accesso a rubrica, foto, posizione, microfono o fotocamera.
• Nessun identificatore pubblicitario (advertising ID) né tracker di analytics viene raccolto o trasmesso.

3. Finalità e base giuridica del trattamento

• Erogazione del Servizio (autenticazione, gestione del profilo, prenotazioni, messaggistica con il trainer): base giuridica esecuzione del contratto (art. 6, par. 1, lett. b GDPR).
• Adempimenti fiscali e contabili relativi ai pagamenti dei servizi: obbligo legale (art. 6, par. 1, lett. c GDPR).
• Sicurezza dell'infrastruttura (log, rilevamento abusi): legittimo interesse del Titolare (art. 6, par. 1, lett. f GDPR).
• Certificato medico: base giuridica obbligo legale ai sensi della normativa sulla tutela sanitaria dell'attività sportiva (D.M. 24/04/2013 e succ. mod.).

4. Modalità del trattamento e sicurezza

I dati sono trattati con strumenti elettronici. Le password sono memorizzate esclusivamente come hash salato (algoritmo bcrypt); le comunicazioni tra app/browser e server avvengono via HTTPS con certificato TLS. L'accesso alle infrastrutture è riservato al solo Titolare, con autenticazione a chiave SSH.

5. Conservazione dei dati

• Dati di account e profilo: per tutta la durata del rapporto professionale con il Titolare e per i 24 mesi successivi alla cessazione, salvo eventuali obblighi di legge di maggiore durata.
• Dati contabili e fatture: 10 anni, come previsto dalla normativa fiscale italiana.
• Certificati medici: fino alla scadenza del rapporto professionale, poi cancellati.
• Log tecnici: massimo 90 giorni.
• Refresh token sul dispositivo: rimosso al logout o alla disinstallazione dell'app.

6. Destinatari dei dati

I dati non vengono venduti, ceduti o comunicati a terzi per finalità commerciali. Possono avervi accesso, nei limiti strettamente necessari:

• Il fornitore di hosting che ospita il server del Servizio (DigitalOcean, LLC — server situato nell'area economica europea), in qualità di responsabile del trattamento.
• Google LLC / Google Play, limitatamente ai dati necessari alla distribuzione dell'applicazione (nickname, email associata all'account Google Play dell'utente in fase di installazione), trattati direttamente da Google secondo la sua privacy policy.

Non è previsto alcun trasferimento di dati verso Paesi extra-UE.

7. Diritti dell'utente

In qualsiasi momento puoi esercitare i diritti previsti dagli artt. 15-22 del GDPR, tra cui:

• accesso ai dati personali che ti riguardano;
• rettifica di dati inesatti o incompleti;
• cancellazione dei dati («diritto all'oblio»), nei limiti degli obblighi di conservazione previsti dalla legge;
• limitazione del trattamento;
• portabilità dei dati in formato strutturato;
• opposizione al trattamento;
• revoca del consenso, ove il trattamento sia basato sul consenso, senza pregiudicare la liceità del trattamento effettuato prima della revoca.

Per esercitare i tuoi diritti scrivi a giacomo.costa.pt@gmail.com. Hai inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

8. Cancellazione dell'account

Puoi richiedere la cancellazione del tuo account e dei relativi dati personali inviando una email a giacomo.costa.pt@gmail.com. La richiesta sarà evasa entro 30 giorni. I dati soggetti a obblighi di conservazione per legge (es. fatture) saranno conservati per il tempo minimo previsto e comunque anonimizzati appena possibile.

9. Minori

Il Servizio non è indirizzato a minori di 14 anni. In caso di iscrizione di minori, il consenso dovrà essere fornito dagli esercenti la responsabilità genitoriale.

10. Modifiche

La presente informativa può essere aggiornata per riflettere evoluzioni normative o modifiche al Servizio. La versione corrente è sempre disponibile a questo indirizzo. La data in alto indica l'ultimo aggiornamento.