Informativa sulla Privacy

Questa Informativa sulla Privacy descrive come Fitney Tecnologia Ltda. ("Fitney", "noi") raccoglie, utilizza, condivide e protegge i dati personali degli utenti ("Utenti", "tu") della nostra piattaforma SaaS dedicata al fitness e alla nutrizione.

Questa Informativa si applica a tutti i servizi offerti da Fitney, inclusi:

• Sito istituzionale (fitneyapp.com);
• Applicazione mobile per iOS e Android;
• Pannello amministrativo per i professionisti (backoffice);
• Applicazioni white-label generate per i professionisti del piano Premium;
• API e servizi backend.

È integrata dalla nostra pagina GDPR e dalla nostra Informativa sui Cookie.

Ti consigliamo di leggere questa Informativa per intero. Utilizzando la Piattaforma, confermi di aver compreso le nostre pratiche di trattamento dei dati.

Ai fini di questa Informativa e delle leggi applicabili sulla protezione dei dati:

• Fitney Tecnologia Ltda. è il titolare del trattamento dei dati personali dei Professionisti (personal trainer, nutrizionisti) che si abbonano alla Piattaforma;
• Il Professionista è il titolare dei dati personali dei propri Clienti, mentre Fitney agisce in qualità di responsabile del trattamento di tali dati;
• Il Responsabile della Protezione dei Dati (DPO) può essere contattato all'indirizzo suporte@fitneyapp.com.

Questa distinzione è importante per l'esercizio dei diritti: i Clienti dovrebbero rivolgere le richieste in via prioritaria al Professionista che gestisce i loro dati, sebbene possano anche contattare direttamente Fitney.

Raccogliamo le seguenti categorie di dati personali:

Dati di registrazione

• Nome completo, email, numero di telefono (con prefisso internazionale);
• Codice fiscale/Partita IVA (per la fatturazione);
• Iscrizione professionale o certificazione, se fornita volontariamente dall'Utente. Questo dato è facoltativo e non viene verificato da Fitney;
• Indirizzo dell'attività e informazioni di fatturazione.

Dati di salute e fitness (dati sensibili)

• Misure corporee (peso, altezza, circonferenze);
• Obiettivi di salute e fitness;
• Storico di allenamenti ed esercizi;
• Dati nutrizionali e piani alimentari;
• Foto dei progressi (quando fornite volontariamente);
• Restrizioni alimentari e condizioni di salute dichiarate;
• Dati importati da piattaforme di salute (Apple HealthKit su iOS e Health Connect su Android), inclusi passi, frequenza cardiaca, calorie bruciate, distanza percorsa e sessioni di esercizio — solo con consenso esplicito dell'interessato, fornito direttamente attraverso il sistema operativo del dispositivo;
• Questionario di salute (anamnesi): storia clinica, stile di vita, livello di attività fisica, obiettivi — compilato volontariamente dal Cliente o dal Professionista.

Dati di utilizzo e dispositivo

• Indirizzo IP, tipo di browser e sistema operativo;
• Pagine visitate, tempo trascorso e interazioni;
• Dati di geolocalizzazione (basati su IP sul sito; GPS sull'app mobile, se autorizzato, per registrare la posizione dell'allenamento);
• Identificatori del dispositivo: modello, versione del sistema operativo, versione dell'app e identificatore univoco del dispositivo;
• Token di notifiche push (Firebase Cloud Messaging) per l'invio di promemoria e comunicazioni;
• Dati di prestazione e diagnostica raccolti da Firebase Crashlytics (report di crash, senza dati personali identificabili);
• Cookie e tecnologie simili — vedi la nostra Informativa sui Cookie.

Dati di archiviazione locale (app mobile)

• Cache delle risposte API (memorizzata localmente fino a 3 giorni per la funzionalità offline);
• Coda di operazioni offline (esercizi, check-in e sessioni di corsa effettuati senza connessione, sincronizzati automaticamente alla riconnessione);
• Preferenze di notifica e impostazioni dell'Utente;
• Storico recente delle notifiche (ultime 10 ricevute).

Dati di pagamento

• Dati di transazione (importo, data, stato);
• Ultime 4 cifre e brand della carta (per identificazione);
• Dati di acquisto in-app via Apple App Store o Google Play, inclusi identificatori di transazione e periodi di abbonamento;
• Nota: i dati completi della carta sono trattati direttamente da Stripe o processori locali e non vengono mai memorizzati sui nostri server.

Dati di comunicazione

• Messaggi scambiati tra Professionisti e Clienti sulla Piattaforma;
• Comunicazioni di supporto e feedback.

Dati sanitari (professionisti della nutrizione/salute). Quando il professionista utilizza la funzionalità degli esami di laboratorio, raccogliamo dati sanitari sensibili dello studente/paziente (esami richiesti, valori e risultati, indicazione clinica) e, ove fornito, il codice fiscale (CPF) del paziente. Questo trattamento è dettagliato nella sezione “Dati Sanitari (Esami di Laboratorio)”.

Dati dalle integrazioni collegate dall’Utente

Se — e solo se — l’Utente autorizza il collegamento (OAuth), riceviamo e conserviamo sui nostri server i dati seguenti. Il collegamento può essere rimosso in qualsiasi momento dalle impostazioni dell’account, interrompendo l’arrivo di nuovi dati:

• Strava, Garmin, Polar, Fitbit, Oura e Whoop: allenamenti e attività (tipo, durata, distanza, ritmo, percorso quando disponibile), frequenza cardiaca, calorie, passi, sonno e metriche di recupero, secondo quanto ciascun fornitore espone;
• Google Calendar: eventi, orari e disponibilità, per sincronizzare l’agenda degli appuntamenti del Professionista.

Dati di visitatori e lead del sito

Anche chi compila un modulo sul sito senza creare un account ha dati trattati da noi: nome, email, telefono, paese, professione e origine della visita (campagna, termine di ricerca o sito di provenienza). Li usiamo per rispondere al contatto e presentare la Piattaforma, sulla base del legittimo interesse e, per le comunicazioni di marketing, del consenso. La cancellazione può essere richiesta in qualsiasi momento all’indirizzo del DPO.

Trattiamo i dati personali sulla base dei seguenti fondamenti giuridici:

Per i dati sensibili (dati di salute e fitness), utilizziamo principalmente il consenso specifico ed evidenziato dell'interessato, come richiesto dall'Art. 11 della LGPD e dall'Art. 9 del GDPR.

Utilizziamo i tuoi dati personali per le seguenti finalità:

• Erogazione del servizio: creazione e manutenzione del tuo account, fornitura delle funzionalità contrattualizzate, elaborazione dei pagamenti;
• Personalizzazione: adattamento dell'esperienza, raccomandazioni di allenamento e funzionalità in base al tuo profilo;
• Comunicazione: invio di notifiche di servizio, aggiornamenti, avvisi di sicurezza e (con consenso) comunicazioni di marketing;
• Sicurezza: rilevamento, prevenzione e indagine di frodi, accessi non autorizzati e attività malevole;
• Miglioramento del servizio: analisi dei pattern di utilizzo (in forma aggregata e anonimizzata quando possibile) per migliorare le funzionalità;
• Conformità legale: adempimento di obblighi fiscali, normativi, giudiziari e delle autorità competenti;
• Supporto: risposta a richieste, reclami e fornitura di assistenza tecnica.

Promemoria di consulto. La Piattaforma può generare promemoria di follow-up/consulto che il professionista può inviare allo studente via WhatsApp; l'invio è effettuato dal professionista stesso.

Condividiamo i dati personali solo nelle situazioni indicate di seguito, sempre con adeguate garanzie:

Fornitori di servizi (Responsabili/Sub-responsabili)

• Infrastruttura e hosting: Amazon Web Services (AWS — applicazione e database), Cloudflare (CDN, hosting del sito e dei pannelli web, archiviazione file e protezione), Upstash (code e cache) e Sentry (monitoraggio degli errori);
• Analytics e monitoraggio: Google Analytics 4 (via Google Tag Manager, con Consent Mode v2), Firebase Analytics e Firebase Crashlytics (report di stabilità), Microsoft Clarity (heatmap);
• Notifiche push: Firebase Cloud Messaging (Google);
• Archiviazione file: Cloudflare R2 (foto di esercizi, check-in, valutazioni, documenti e immagini caricati dall’Utente);
• Salute: Apple HealthKit e Google Health Connect (lettura/scrittura solo locali sul dispositivo, dati non trasferiti ai server Fitney);
• Pagamenti: Stripe (internazionale) e Asaas (Brasile — PIX e Boleto); Apple App Store e Google Play (acquisti in-app);
• Email transazionali: MailerSend e Resend (conferme, avvisi di pagamento e notifiche del servizio);
• Integrazioni collegate dall’Utente: Strava, Garmin, Polar, Fitbit, Oura, Whoop e Google Calendar. Queste connessioni esistono solo se è l’Utente stesso ad autorizzarle (OAuth) e possono essere revocate in qualsiasi momento nelle impostazioni dell’account;
• Supporto: strumenti di assistenza clienti.

Tutti i fornitori sono contrattualizzati con accordi sul trattamento dei dati (DPA).

Condivisione Professionista-Cliente

I Professionisti hanno accesso ai dati dei loro Clienti per quanto necessario all'erogazione del servizio. I Clienti dovrebbero consultare l'informativa sulla privacy del proprio Professionista.

Obblighi legali

Possiamo divulgare i dati quando richiesto dalla legge, ordine del tribunale, procedimenti legali o richiesta di un'autorità governativa competente.

Trasferimenti aziendali

In caso di fusione, acquisizione, riorganizzazione o vendita di beni, i dati possono essere trasferiti, con preavviso e mantenimento delle protezioni.

Fitney non vende dati personali a terzi, secondo le definizioni di LGPD, GDPR e CCPA/CPRA.

Pagina pubblica del professionista. Se il professionista attiva la pagina di presentazione pubblica, i dati che sceglie di mostrare (nome, iscrizione professionale, specializzazioni, sedi e contatti) diventano accessibili al pubblico finché la pagina è attiva.

Servizi di terzi e sub-responsabili

Per alcune funzioni, i dati possono essere condivisi con servizi di terzi, esclusivamente per la finalità indicata:

• OpenStreetMap / Nominatim — visualizzazione mappe e geocodifica degli indirizzi (può coinvolgere l'indirizzo e l'IP del visitatore).
• ViaCEP e Zippopotam.us — compilazione automatica dell'indirizzo dal codice postale.
• Google Maps / Waze — quando il visitatore richiede il percorso verso una sede.
• WhatsApp (Meta) — quando si avvia contatto/prenotazione via WhatsApp.

Tali servizi hanno proprie informative privacy, fuori dal controllo di Fitney dopo il reindirizzamento/condivisione.

Team del Professionista

Il Professionista può concedere l’accesso al proprio account a membri del suo team (segretaria, receptionist, tirocinante o altro professionista), con permessi che definisce lui. Queste persone possono vedere i dati degli Allievi secondo i permessi concessi. Fitney registra tali accessi, ma chi decide chi entra — e risponde della riservatezza — è il Professionista, in qualità di titolare.

Fitney può trasferire dati personali al di fuori del paese di origine dell'interessato, in conformità con le leggi applicabili:

UE/SEE verso l'estero (GDPR, Artt. 44-49)

• Verso paesi con decisione di adeguatezza della Commissione Europea;
• Tramite Clausole Contrattuali Standard (SCC) UE;
• Verso gli USA, secondo l'EU-US Data Privacy Framework, ove applicabile;
• Viene effettuata una valutazione d'impatto del trasferimento (TIA) quando necessario.

Brasile verso l'estero (LGPD, Artt. 33-36)

• Verso paesi o organizzazioni che forniscono un livello di protezione adeguato, riconosciuto dall'ANPD;
• Tramite clausole contrattuali standard approvate dall'ANPD;
• Con consenso specifico ed evidenziato dell'interessato;
• Quando necessario per l'esecuzione del contratto.

I nostri server primari si trovano negli Stati Uniti (Amazon Web Services), con archiviazione file e CDN sulla rete globale di Cloudflare, sempre con misure di sicurezza tecniche e organizzative adeguate.

Conserviamo i dati personali solo per il periodo necessario al raggiungimento delle finalità descritte in questa Informativa:

Al termine del periodo di conservazione, i dati vengono cancellati o anonimizzati irreversibilmente.

A seconda della tua posizione geografica, hai i seguenti diritti sui tuoi dati personali:

Diritti ai sensi del GDPR (UE/SEE)

Ai sensi degli Artt. 15-22 del GDPR, hai diritto a:

• Accesso (Art. 15);
• Rettifica (Art. 16);
• Cancellazione / "diritto all'oblio" (Art. 17);
• Limitazione del trattamento (Art. 18);
• Portabilità (Art. 20);
• Opposizione (Art. 21), inclusa l'opposizione al marketing diretto;
• Non essere sottoposto a decisioni automatizzate (Art. 22);
• Presentare reclamo all'autorità di controllo competente (in Italia, il Garante per la protezione dei dati personali).

Diritti ai sensi della LGPD (Brasile)

Ai sensi degli Artt. 17-22 della LGPD, hai diritto a:

• Conferma del trattamento dei dati;
• Accesso ai dati personali;
• Correzione di dati incompleti, inesatti o non aggiornati;
• Anonimizzazione, blocco o cancellazione di dati non necessari o eccessivi;
• Portabilità dei dati;
• Cancellazione di dati trattati sulla base del consenso;
• Informazioni sulla condivisione con terzi;
• Revoca del consenso;
• Opposizione al trattamento.

Diritti ai sensi del CCPA/CPRA (California, USA)

• Diritto di sapere quali dati vengono raccolti e come sono utilizzati;
• Diritto alla cancellazione dei dati personali;
• Diritto alla rettifica di dati inesatti;
• Diritto di opporsi alla vendita/condivisione dei dati;
• Diritto di limitare l'uso dei dati sensibili;
• Diritto a non essere discriminato per l'esercizio dei propri diritti.

Fitney non vende né condivide dati personali per finalità di pubblicità comportamentale cross-context, come definito dal CPRA.

Per esercitare i tuoi diritti, contattaci all'indirizzo suporte@fitneyapp.com. Risponderemo entro 30 giorni (GDPR), 15 giorni (LGPD) o 45 giorni (CCPA).

Come richiedere una copia o la portabilità dei tuoi dati: scrivi a suporte@fitneyapp.com con oggetto “Esportazione dati” e l’email registrata sull’account. Dopo la verifica dell’identità, consegniamo un file in formato strutturato e leggibile da dispositivo automatico (JSON o CSV) entro i termini sopra indicati, senza costi.

Non esiste un’esportazione automatica. La Piattaforma oggi non offre un pulsante che generi questo file: la richiesta è gestita manualmente dal nostro team, a partire dall’indirizzo sopra indicato. I report e i PDF che il Professionista genera nel pannello (allenamento, dieta, valutazione) non sostituiscono questa esportazione completa.

Implementiamo misure tecniche e organizzative per proteggere i tuoi dati personali, tra cui:

• Crittografia: dati in transito protetti da TLS 1.3; dati sensibili crittografati a riposo (AES-256);
• Controllo degli accessi: autenticazione a più fattori, principio del minor privilegio, log di accesso;
• Infrastruttura: server in data center certificati (SOC 2 Type II, ISO 27001);
• Monitoraggio: rilevamento intrusioni, monitoraggio 24/7 e avvisi automatici;
• Backup: backup crittografati con conservazione regolare e test di ripristino;
• Personale: formazione regolare in materia di sicurezza e privacy per tutti i dipendenti;
• Test: valutazioni periodiche delle vulnerabilità e revisioni di sicurezza.

Nessun sistema è sicuro al 100%. In caso di incidente di sicurezza, notificheremo le autorità competenti (Garante italiano, ANPD, autorità europee per la protezione dei dati) e gli interessati coinvolti entro i tempi previsti dalla legge.

La Piattaforma non è rivolta ai minori di 18 anni. I minori di 18 anni possono utilizzare la Piattaforma solo con il consenso verificabile di un tutore legale.

• UE (GDPR, Art. 8): il consenso dei minori di 16 anni (o età inferiore definita dallo Stato membro, minimo 13) richiede l'autorizzazione del titolare della responsabilità genitoriale;
• Italia: il limite di età per il consenso al trattamento dei dati personali in relazione ai servizi della società dell'informazione è di 14 anni (Art. 2-quinquies del Codice Privacy);
• Brasile (LGPD, Art. 14): i dati dei bambini (fino a 12 anni) sono trattati solo con consenso specifico ed evidenziato di almeno un genitore o tutore legale. Adolescenti (12-17): consenso del tutore legale;
• USA (COPPA): non raccogliamo consapevolmente dati di minori di 13 anni. Se ne veniamo a conoscenza, cancelleremo immediatamente i dati.

Se ritieni che i dati di un minore siano stati raccolti senza autorizzazione, contatta suporte@fitneyapp.com.

Utilizziamo cookie e tecnologie simili per gestire la Piattaforma, analizzare l'utilizzo e personalizzare l'esperienza. Per informazioni dettagliate, consulta la nostra Informativa sui Cookie.

In sintesi:

• Cookie essenziali: necessari per il funzionamento del sito (non richiedono consenso);
• Cookie di analisi: per capire come viene utilizzata la Piattaforma (richiedono consenso);
• Cookie di marketing: per personalizzare gli annunci (richiedono consenso).

Puoi gestire le tue preferenze sui cookie in qualsiasi momento attraverso il banner cookie o le impostazioni del browser.

Fitney può utilizzare il trattamento automatizzato per:

• Raccomandare allenamenti e piani alimentari basati sul profilo del Cliente;
• Rilevare pattern di utilizzo anomali per la sicurezza;
• Personalizzare l'esperienza sulla Piattaforma.

Queste raccomandazioni sono ausiliarie e sempre soggette alla revisione del Professionista. Non prendiamo decisioni che producono effetti legali o influenzano significativamente l'interessato basate esclusivamente sul trattamento automatizzato.

Ai sensi dell'Art. 22 del GDPR e dell'Art. 20 della LGPD, hai il diritto di richiedere la revisione delle decisioni automatizzate e di ottenere informazioni sui criteri e sulle procedure utilizzate.

Utilizzando la funzionalità degli esami di laboratorio, la Piattaforma tratta dati personali sensibili relativi alla salute dello studente/paziente, in conformità alla normativa applicabile in materia di protezione dei dati (compresi il GDPR dell'UE e la LGPD del Brasile – Legge n. 13.709/2018). Tali dati possono includere: esami richiesti, valori e risultati degli esami, indicazione clinica/note e, ove fornito, il codice fiscale (CPF) del paziente.

Finalità e base giuridica. Questi dati sono trattati esclusivamente per la fornitura dei servizi di follow-up nutrizionale/clinico da parte del professionista collegato allo studente, sulla base del consenso dell'interessato e/o della tutela della salute.

Accesso. I dati sanitari dello studente sono accessibili solo al/ai professionista/i a lui collegato/i sulla Piattaforma e al personale autorizzato di Fitney, esclusivamente per l'operatività e il supporto.

Condivisione. Fitney non vende né condivide dati sanitari con terzi per finalità di marketing. Gli eventuali file allegati sono conservati in modo riservato.

Conservazione e diritti. I dati sono conservati per la durata del rapporto professionista-studente o secondo quanto richiesto dalla legge. L'interessato può esercitare i diritti previsti dalla normativa applicabile (accesso, rettifica, cancellazione, portabilità, revoca del consenso) come indicato nella sezione Contatti/DPO.

Utilizzando le funzioni per gli esami di laboratorio, la Piattaforma può conservare e trattare dati personali sensibili relativi alla salute dell'allievo/paziente (richieste, risultati e valori), ai sensi dell'art. 11 della LGPD e dell'art. 9 del GDPR ove applicabile.

• Tali dati sono trattati per conto del professionista (titolare), con Fitney come responsabile, per la finalità di monitoraggio dell'allievo/paziente.
• Il trattamento richiede una base giuridica adeguata, incluso, ove necessario, il consenso specifico ed evidenziato dell'interessato.
• Si applicano misure tecniche e organizzative e i dati sono conservati solo per il tempo necessario o per obbligo di legge.

Ruoli. Questi dati sono trattati per conto e su istruzione del Professionista, che è il titolare, mentre Fitney agisce come responsabile del trattamento — anche ai fini dell’art. 9 del GDPR, ove applicabile. Sono applicate misure tecniche e organizzative di protezione e i dati sono conservati solo per il tempo necessario alle finalità o per obbligo di legge.

La Piattaforma offre la funzionalità dei promemoria di consulto, che utilizza il numero di telefono registrato dello Studente per aiutare il Professionista a ricordargli i suoi consulti e il suo monitoraggio.

Invio manuale. Per impostazione predefinita, Fitney genera un messaggio e un link (WhatsApp) che consente al Professionista di contattare lo Studente; l'invio è effettuato dal Professionista stesso, dal proprio account.

Invio automatico. Quando il Professionista attiva l'invio automatico e collega il proprio account WhatsApp Business, i messaggi di promemoria possono essere inviati allo Studente per conto del Professionista, elaborati dalla Piattaforma. In tal caso, il consenso preventivo dello Studente è obbligatorio e viene registrato, e può essere revocato in qualsiasi momento nelle impostazioni dell'account.

Puoi gestire la tua preferenza di ricezione di questi promemoria in qualsiasi momento nelle impostazioni del tuo account. Il trattamento del telefono per questa finalità rispetta le basi giuridiche descritte nella sezione sulle basi giuridiche.

Se il professionista attiva la sua pagina pubblica, le informazioni che sceglie di pubblicare (nome, foto, biografia, specializzazioni, registrazioni, certificazioni, sedi e social) diventano pubbliche e accessibili a chiunque, motori di ricerca inclusi. L'indirizzo dello studio è mostrato solo se il professionista abilita tale opzione.

Possiamo aggiornare periodicamente questa Informativa. Le modifiche sostanziali saranno comunicate con 30 giorni di anticipo tramite:

• Email agli Utenti registrati;
• Notifica sulla Piattaforma;
• Aggiornamento della data di "Ultimo aggiornamento" su questa pagina.

Per le modifiche che richiedono un nuovo consenso (es. nuove finalità di trattamento di dati sensibili), richiederemo un consenso specifico prima dell'implementazione.

Ti consigliamo di rivedere periodicamente questa Informativa.

Per domande, richieste o reclami su questa Informativa o sul trattamento dei tuoi dati personali:

• Responsabile della Protezione dei Dati (DPO): suporte@fitneyapp.com
• Indirizzo: Fitney Tecnologia Ltda., CNPJ 69.612.408/0001-10, R. Paulo Setubal, 5081, Casa 54 — Boqueirão, Curitiba, PR, CEP 81750-190, Brasile

Se non sei soddisfatto della nostra risposta, puoi presentare reclamo all'autorità competente per la protezione dei dati:

• Italia: Garante per la protezione dei dati personali — garanteprivacy.it
• UE: Autorità per la protezione dei dati del tuo paese di residenza
• Brasile: Autorità Nazionale per la Protezione dei Dati (ANPD) — gov.br/anpd
• USA (California): Office of the Attorney General of California