Accordo sul trattamento dei dati

Art. 28 Regolamento (UE) 2016/679 · Versione v3 · aggiornato il 31/10/2026

Questo accordo fa parte dei Termini e Condizioni e si applica a ogni trainer (persona, studio o centro) che usa CoachApp per gestire i propri clienti. Il titolare dell'azienda lo accetta nel gestionale, per sé e per l'azienda che rappresenta.

1. Le parti

• Titolare del trattamento: il trainer, cioè l'azienda registrata sulla piattaforma (dati in «Dati aziendali» del gestionale).
• Responsabile del trattamento: il gestore di CoachApp:

CoachApp
Email: info@coachapp.it

2. Oggetto, natura e durata

Il responsabile tratta i dati personali dei clienti e dei collaboratori del titolare solo per fornire la piattaforma: conservazione, organizzazione, consultazione, invio di comunicazioni, backup, assistenza tecnica. Il trattamento dura quanto l'abbonamento del titolare, più il periodo di conservazione indicato al punto 9.

3. Dati e interessati

• Interessati: clienti del titolare e loro eventuali referenti, collaboratori del titolare.
• Dati: anagrafici e di contatto, abbonamenti e pagamenti, appuntamenti, schede e sessioni di allenamento, messaggi, documenti, dati tecnici di accesso.
• Categorie particolari: dati relativi alla salute (misure, peso, foto dei progressi, infortuni e limitazioni), se il titolare li inserisce.

4. Obblighi del responsabile

• tratta i dati solo su istruzione documentata del titolare: le funzioni della piattaforma e le impostazioni scelte dal titolare costituiscono tali istruzioni;
• non usa i dati per finalità proprie, non li vende e non li usa per pubblicità né per addestrare modelli di intelligenza artificiale;
• garantisce la riservatezza delle persone autorizzate ad accedervi (il gestore accede ai dati di un titolare solo per assistenza o manutenzione);
• adotta le misure di sicurezza descritte al punto 6;
• assiste il titolare nel rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, portabilità) e negli adempimenti degli artt. 32–36 GDPR;
• mette a disposizione dei clienti l'eliminazione autonoma dell'account (richiesta anche dagli store delle app): su istruzione del titolare, che la accetta con questo accordo, in quel caso cancella definitivamente i dati del cliente, conservando solo abbonamenti e pagamenti senza collegamento all'account;
• informa il titolare senza ingiustificato ritardo, e comunque entro 48 ore dalla scoperta, di ogni violazione dei dati che lo riguardi;
• mette a disposizione le informazioni necessarie a dimostrare il rispetto di questo accordo.

5. Sub-responsabili

Il titolare autorizza in via generale il responsabile a servirsi dei seguenti fornitori, vincolati da obblighi di protezione dei dati equivalenti:

• OVHcloud – hosting dei server (Unione Europea);
• Google – Google Drive per i backup della piattaforma; Firebase Cloud Messaging per le notifiche push;
• Apple – Apple Push Notification service, per le notifiche push sugli iPhone;
• Stripe – pagamenti dell'abbonamento del titolare alla piattaforma;
• servizio di invio email usato dalla piattaforma;
• cdnjs (Cloudflare) e jsDelivr – distribuzione di componenti delle pagine (solo dati tecnici della richiesta, come l'indirizzo IP).

I video degli esercizi che il titolare collega da YouTube vengono caricati solo quando il cliente li apre; la scelta di usare YouTube è del titolare.

Le modifiche all'elenco sono comunicate aggiornando questo accordo; il titolare può opporsi per motivi legittimi disdicendo l'abbonamento. I servizi che il titolare collega con i propri account (il suo Stripe per i pagamenti dei clienti, il suo Google Calendar, il suo server email) sono fornitori del titolare, che ne risponde direttamente.

6. Misure di sicurezza

• separazione logica dei dati di ogni titolare e controlli automatici che un titolare non possa accedere ai dati di un altro;
• connessioni cifrate (HTTPS/TLS), password conservate cifrate, chiavi dei servizi collegati cifrate nel database;
• verifica in due passaggi obbligatoria per il gestore, i titolari e i collaboratori, avvisi di accesso da dispositivi nuovi, blocco dei tentativi ripetuti, registro degli accessi;
• permessi dei collaboratori decisi dal titolare;
• backup periodici e procedure di ripristino.

7. Trasferimenti fuori dall'UE

Se un sub-responsabile tratta dati fuori dall'Unione Europea, il trasferimento avviene con le garanzie del Capo V GDPR (decisione di adeguatezza, come il Data Privacy Framework UE-USA, o clausole contrattuali standard).

8. Obblighi del titolare

• informa i propri clienti sul trattamento e raccoglie i consensi necessari, in particolare il consenso esplicito per i dati relativi alla salute;
• inserisce nella piattaforma solo i dati necessari al rapporto con i clienti;
• gestisce le credenziali e i permessi propri e dei collaboratori e mantiene attiva la verifica in due passaggi;
• risponde alle richieste dei propri clienti, con l'assistenza del responsabile.

9. Fine del trattamento

Alla fine dell'abbonamento il responsabile conserva i dati per 90 giorni, durante i quali il titolare può riattivare il servizio o chiederne una copia; poi li cancella, inclusi i backup alla loro naturale scadenza, salvo obblighi di legge. Il cambio di trainer di un cliente segue la procedura descritta nei Termini: i dati restano al titolare precedente.