Informativa sulla Privacy

Questa Informativa sulla Privacy descrive come Fitney Tecnologia Ltda. ("Fitney", "noi") raccoglie, utilizza, condivide e protegge i dati personali degli utenti ("Utenti", "tu") della nostra piattaforma SaaS dedicata al fitness e alla nutrizione.

Questa Informativa si applica a tutti i servizi offerti da Fitney, inclusi:

• Sito istituzionale (fitney.com.br);
• Applicazione mobile per iOS e Android;
• Pannello amministrativo per i professionisti (backoffice);
• Applicazioni white-label generate per i professionisti del piano Premium;
• API e servizi backend.

È integrata dalla nostra pagina GDPR e dalla nostra Informativa sui Cookie.

Ti consigliamo di leggere questa Informativa per intero. Utilizzando la Piattaforma, confermi di aver compreso le nostre pratiche di trattamento dei dati.

Ai fini di questa Informativa e delle leggi applicabili sulla protezione dei dati:

• Fitney Tecnologia Ltda. è il titolare del trattamento dei dati personali dei Professionisti (personal trainer, nutrizionisti) che si abbonano alla Piattaforma;
• Il Professionista è il titolare dei dati personali dei propri Clienti, mentre Fitney agisce in qualità di responsabile del trattamento di tali dati;
• Il Responsabile della Protezione dei Dati (DPO) può essere contattato all'indirizzo dpo@fitneyapp.com.

Questa distinzione è importante per l'esercizio dei diritti: i Clienti dovrebbero rivolgere le richieste in via prioritaria al Professionista che gestisce i loro dati, sebbene possano anche contattare direttamente Fitney.

Raccogliamo le seguenti categorie di dati personali:

Dati di registrazione

• Nome completo, email, numero di telefono (con prefisso internazionale);
• Codice fiscale/Partita IVA (per la fatturazione);
• Iscrizione professionale o certificazione, se fornita volontariamente dall'Utente. Questo dato è facoltativo e non viene verificato da Fitney;
• Indirizzo dell'attività e informazioni di fatturazione.

Dati di salute e fitness (dati sensibili)

• Misure corporee (peso, altezza, circonferenze);
• Obiettivi di salute e fitness;
• Storico di allenamenti ed esercizi;
• Dati nutrizionali e piani alimentari;
• Foto dei progressi (quando fornite volontariamente);
• Restrizioni alimentari e condizioni di salute dichiarate;
• Dati importati da piattaforme di salute (Apple HealthKit su iOS e Health Connect su Android), inclusi passi, frequenza cardiaca, calorie bruciate, distanza percorsa e sessioni di esercizio — solo con consenso esplicito dell'interessato, fornito direttamente attraverso il sistema operativo del dispositivo;
• Questionario di salute (anamnesi): storia clinica, stile di vita, livello di attività fisica, obiettivi — compilato volontariamente dal Cliente o dal Professionista.

Dati di utilizzo e dispositivo

• Indirizzo IP, tipo di browser e sistema operativo;
• Pagine visitate, tempo trascorso e interazioni;
• Dati di geolocalizzazione (basati su IP sul sito; GPS sull'app mobile, se autorizzato, per registrare la posizione dell'allenamento);
• Identificatori del dispositivo: modello, versione del sistema operativo, versione dell'app e identificatore univoco del dispositivo;
• Token di notifiche push (Firebase Cloud Messaging) per l'invio di promemoria e comunicazioni;
• Dati di prestazione e diagnostica raccolti da Firebase Crashlytics (report di crash, senza dati personali identificabili);
• Cookie e tecnologie simili — vedi la nostra Informativa sui Cookie.

Dati di archiviazione locale (app mobile)

• Cache delle risposte API (memorizzata localmente fino a 3 giorni per la funzionalità offline);
• Coda di operazioni offline (esercizi, check-in e sessioni di corsa effettuati senza connessione, sincronizzati automaticamente alla riconnessione);
• Preferenze di notifica e impostazioni dell'Utente;
• Storico recente delle notifiche (ultime 10 ricevute).

Dati di pagamento

• Dati di transazione (importo, data, stato);
• Ultime 4 cifre e brand della carta (per identificazione);
• Dati di acquisto in-app via Apple App Store o Google Play, inclusi identificatori di transazione e periodi di abbonamento;
• Nota: i dati completi della carta sono trattati direttamente da Stripe o processori locali e non vengono mai memorizzati sui nostri server.

Dati di comunicazione

• Messaggi scambiati tra Professionisti e Clienti sulla Piattaforma;
• Comunicazioni di supporto e feedback.

Trattiamo i dati personali sulla base dei seguenti fondamenti giuridici:

Base giuridica	LGPD (Art. 7)	GDPR (Art. 6)	Esempi
Esecuzione del contratto	Art. 7, V	Art. 6(1)(b)	Erogazione del servizio, elaborazione dei pagamenti
Consenso	Art. 7, I / Art. 11, I	Art. 6(1)(a)	Dati sanitari, marketing, cookie non essenziali
Legittimo interesse	Art. 7, IX	Art. 6(1)(f)	Sicurezza, prevenzione frodi, miglioramento del servizio
Obbligo legale	Art. 7, II	Art. 6(1)(c)	Obblighi fiscali, requisiti normativi, ordini del tribunale
Tutela della vita	Art. 7, VII	Art. 6(1)(d)	Situazioni di emergenza che coinvolgono dati sanitari

Per i dati sensibili (dati di salute e fitness), utilizziamo principalmente il consenso specifico ed evidenziato dell'interessato, come richiesto dall'Art. 11 della LGPD e dall'Art. 9 del GDPR.

Utilizziamo i tuoi dati personali per le seguenti finalità:

• Erogazione del servizio: creazione e manutenzione del tuo account, fornitura delle funzionalità contrattualizzate, elaborazione dei pagamenti;
• Personalizzazione: adattamento dell'esperienza, raccomandazioni di allenamento e funzionalità in base al tuo profilo;
• Comunicazione: invio di notifiche di servizio, aggiornamenti, avvisi di sicurezza e (con consenso) comunicazioni di marketing;
• Sicurezza: rilevamento, prevenzione e indagine di frodi, accessi non autorizzati e attività malevole;
• Miglioramento del servizio: analisi dei pattern di utilizzo (in forma aggregata e anonimizzata quando possibile) per migliorare le funzionalità;
• Conformità legale: adempimento di obblighi fiscali, normativi, giudiziari e delle autorità competenti;
• Supporto: risposta a richieste, reclami e fornitura di assistenza tecnica.

Condividiamo i dati personali solo nelle situazioni indicate di seguito, sempre con adeguate garanzie:

Fornitori di servizi (Responsabili/Sub-responsabili)

• Infrastruttura e hosting: fornitori di cloud computing (server in USA e/o UE);
• Pagamenti: Stripe e processori locali;
• Analytics e monitoraggio: Google Analytics 4 (via Google Tag Manager, con Consent Mode v2), Firebase Analytics e Firebase Crashlytics (report di stabilità), Microsoft Clarity (heatmap);
• Notifiche push: Firebase Cloud Messaging (Google);
• Archiviazione media: Amazon S3 e Supabase (foto di esercizi, check-in e valutazioni);
• Salute: Apple HealthKit e Google Health Connect (lettura/scrittura solo locali sul dispositivo, dati non trasferiti ai server Fitney);
• Pagamenti: Stripe (internazionale) e Asaas (Brasile — PIX e Boleto); Apple App Store e Google Play (acquisti in-app);
• Email transazionali: fornitori di consegna email (SMTP);
• Supporto: strumenti di assistenza clienti.

Tutti i fornitori sono contrattualizzati con accordi sul trattamento dei dati (DPA).

Condivisione Professionista-Cliente

I Professionisti hanno accesso ai dati dei loro Clienti per quanto necessario all'erogazione del servizio. I Clienti dovrebbero consultare l'informativa sulla privacy del proprio Professionista.

Obblighi legali

Possiamo divulgare i dati quando richiesto dalla legge, ordine del tribunale, procedimenti legali o richiesta di un'autorità governativa competente.

Trasferimenti aziendali

In caso di fusione, acquisizione, riorganizzazione o vendita di beni, i dati possono essere trasferiti, con preavviso e mantenimento delle protezioni.

Fitney non vende dati personali a terzi, secondo le definizioni di LGPD, GDPR e CCPA/CPRA.

Fitney può trasferire dati personali al di fuori del paese di origine dell'interessato, in conformità con le leggi applicabili:

UE/SEE verso l'estero (GDPR, Artt. 44-49)

• Verso paesi con decisione di adeguatezza della Commissione Europea;
• Tramite Clausole Contrattuali Standard (SCC) UE;
• Verso gli USA, secondo l'EU-US Data Privacy Framework, ove applicabile;
• Viene effettuata una valutazione d'impatto del trasferimento (TIA) quando necessario.

Brasile verso l'estero (LGPD, Artt. 33-36)

• Verso paesi o organizzazioni che forniscono un livello di protezione adeguato, riconosciuto dall'ANPD;
• Tramite clausole contrattuali standard approvate dall'ANPD;
• Con consenso specifico ed evidenziato dell'interessato;
• Quando necessario per l'esecuzione del contratto.

I nostri server primari si trovano negli Stati Uniti (AWS/Google Cloud) con misure di sicurezza tecniche e organizzative adeguate.

Conserviamo i dati personali solo per il periodo necessario al raggiungimento delle finalità descritte in questa Informativa:

Categoria di dati	Periodo di conservazione	Giustificazione
Dati account attivo	Per la durata dell'account	Esecuzione del contratto
Dati post cancellazione	Fino a 6 mesi	Possibilità di riattivazione
Dati fiscali/finanziari	10 anni	Obbligo legale (normativa fiscale)
Dati sanitari	Fino alla cancellazione da parte dell'interessato o 2 anni dopo l'inattività	Esercizio regolare dei diritti
Log di accesso	6 mesi	Obbligo legale
Dati di comunicazione	Per la durata dell'account + 1 anno	Supporto e risoluzione delle controversie
Dati anonimizzati	Indefinitamente	I dati anonimizzati non sono dati personali

Al termine del periodo di conservazione, i dati vengono cancellati o anonimizzati irreversibilmente.

A seconda della tua posizione geografica, hai i seguenti diritti sui tuoi dati personali:

Diritti ai sensi del GDPR (UE/SEE)

Ai sensi degli Artt. 15-22 del GDPR, hai diritto a:

• Accesso (Art. 15);
• Rettifica (Art. 16);
• Cancellazione / "diritto all'oblio" (Art. 17);
• Limitazione del trattamento (Art. 18);
• Portabilità (Art. 20);
• Opposizione (Art. 21), inclusa l'opposizione al marketing diretto;
• Non essere sottoposto a decisioni automatizzate (Art. 22);
• Presentare reclamo all'autorità di controllo competente (in Italia, il Garante per la protezione dei dati personali).

Diritti ai sensi della LGPD (Brasile)

Ai sensi degli Artt. 17-22 della LGPD, hai diritto a:

• Conferma del trattamento dei dati;
• Accesso ai dati personali;
• Correzione di dati incompleti, inesatti o non aggiornati;
• Anonimizzazione, blocco o cancellazione di dati non necessari o eccessivi;
• Portabilità dei dati;
• Cancellazione di dati trattati sulla base del consenso;
• Informazioni sulla condivisione con terzi;
• Revoca del consenso;
• Opposizione al trattamento.

Diritti ai sensi del CCPA/CPRA (California, USA)

• Diritto di sapere quali dati vengono raccolti e come sono utilizzati;
• Diritto alla cancellazione dei dati personali;
• Diritto alla rettifica di dati inesatti;
• Diritto di opporsi alla vendita/condivisione dei dati;
• Diritto di limitare l'uso dei dati sensibili;
• Diritto a non essere discriminato per l'esercizio dei propri diritti.

Fitney non vende né condivide dati personali per finalità di pubblicità comportamentale cross-context, come definito dal CPRA.

Per esercitare i tuoi diritti, contattaci all'indirizzo dpo@fitneyapp.com. Risponderemo entro 30 giorni (GDPR), 15 giorni (LGPD) o 45 giorni (CCPA).

Implementiamo misure tecniche e organizzative per proteggere i tuoi dati personali, tra cui:

• Crittografia: dati in transito protetti da TLS 1.3; dati sensibili crittografati a riposo (AES-256);
• Controllo degli accessi: autenticazione a più fattori, principio del minor privilegio, log di accesso;
• Infrastruttura: server in data center certificati (SOC 2 Type II, ISO 27001);
• Monitoraggio: rilevamento intrusioni, monitoraggio 24/7 e avvisi automatici;
• Backup: backup crittografati con conservazione regolare e test di ripristino;
• Personale: formazione regolare in materia di sicurezza e privacy per tutti i dipendenti;
• Test: valutazioni periodiche delle vulnerabilità e revisioni di sicurezza.

Nessun sistema è sicuro al 100%. In caso di incidente di sicurezza, notificheremo le autorità competenti (Garante italiano, ANPD, autorità europee per la protezione dei dati) e gli interessati coinvolti entro i tempi previsti dalla legge.

La Piattaforma non è rivolta ai minori di 18 anni. I minori di 18 anni possono utilizzare la Piattaforma solo con il consenso verificabile di un tutore legale.

• UE (GDPR, Art. 8): il consenso dei minori di 16 anni (o età inferiore definita dallo Stato membro, minimo 13) richiede l'autorizzazione del titolare della responsabilità genitoriale;
• Italia: il limite di età per il consenso al trattamento dei dati personali in relazione ai servizi della società dell'informazione è di 14 anni (Art. 2-quinquies del Codice Privacy);
• Brasile (LGPD, Art. 14): i dati dei bambini (fino a 12 anni) sono trattati solo con consenso specifico ed evidenziato di almeno un genitore o tutore legale. Adolescenti (12-17): consenso del tutore legale;
• USA (COPPA): non raccogliamo consapevolmente dati di minori di 13 anni. Se ne veniamo a conoscenza, cancelleremo immediatamente i dati.

Se ritieni che i dati di un minore siano stati raccolti senza autorizzazione, contatta dpo@fitneyapp.com.

Utilizziamo cookie e tecnologie simili per gestire la Piattaforma, analizzare l'utilizzo e personalizzare l'esperienza. Per informazioni dettagliate, consulta la nostra Informativa sui Cookie.

In sintesi:

• Cookie essenziali: necessari per il funzionamento del sito (non richiedono consenso);
• Cookie di analisi: per capire come viene utilizzata la Piattaforma (richiedono consenso);
• Cookie di marketing: per personalizzare gli annunci (richiedono consenso).

Puoi gestire le tue preferenze sui cookie in qualsiasi momento attraverso il banner cookie o le impostazioni del browser.

Fitney può utilizzare il trattamento automatizzato per:

• Raccomandare allenamenti e piani alimentari basati sul profilo del Cliente;
• Rilevare pattern di utilizzo anomali per la sicurezza;
• Personalizzare l'esperienza sulla Piattaforma.

Queste raccomandazioni sono ausiliarie e sempre soggette alla revisione del Professionista. Non prendiamo decisioni che producono effetti legali o influenzano significativamente l'interessato basate esclusivamente sul trattamento automatizzato.

Ai sensi dell'Art. 22 del GDPR e dell'Art. 20 della LGPD, hai il diritto di richiedere la revisione delle decisioni automatizzate e di ottenere informazioni sui criteri e sulle procedure utilizzate.

Possiamo aggiornare periodicamente questa Informativa. Le modifiche sostanziali saranno comunicate con 30 giorni di anticipo tramite:

• Email agli Utenti registrati;
• Notifica sulla Piattaforma;
• Aggiornamento della data di "Ultimo aggiornamento" su questa pagina.

Per le modifiche che richiedono un nuovo consenso (es. nuove finalità di trattamento di dati sensibili), richiederemo un consenso specifico prima dell'implementazione.

Ti consigliamo di rivedere periodicamente questa Informativa.

Per domande, richieste o reclami su questa Informativa o sul trattamento dei tuoi dati personali:

• Responsabile della Protezione dei Dati (DPO): dpo@fitneyapp.com
• Generale: legal@fitneyapp.com
• Indirizzo: Fitney Tecnologia Ltda., CNPJ 44.638.274/0001-86, R. Cascavel, 2760 — Curitiba, PR, Brasile

Se non sei soddisfatto della nostra risposta, puoi presentare reclamo all'autorità competente per la protezione dei dati:

• Italia: Garante per la protezione dei dati personali — garanteprivacy.it
• UE: Autorità per la protezione dei dati del tuo paese di residenza
• Brasile: Autorità Nazionale per la Protezione dei Dati (ANPD) — gov.br/anpd
• USA (California): Office of the Attorney General of California