Informativa privacy

1. Titolare e contatti

Titolare del trattamento: Marco Bagnasco — ditta individuale BAGNASCO MARCO, operante con il marchio VELO3, sede legale Via Gramsci 48, 15077 Predosa (AL), Italia, P.IVA 02769750064, C.F. BGNMRC82B02D969V. Email privacy e recapiti: da confermare nella pagina Contatti. PEC: attualmente sconosciuta, DA COMPLETARE. Regime fiscale praticato e codice ATECO (attività sportiva, es. Quickfisco): DA CONFERMARE. Rappresentante e responsabile della protezione dei dati (DPO): indicare i recapiti se nominati o richiesti; applicabilità da verificare.

2. Dati trattati e loro provenienza

Per il nuovo coaching: identificativi e contatti necessari all’ordine, riferimento e stato del pagamento, pacchetto acquistato; risposte fornite dall’atleta su obiettivo, eventuale evento, esperienza, disponibilità, strumenti e account TrainingPeaks; FTP e riferimento FC facoltativi; comunicazioni relative al percorso, attività sportive rese disponibili per i check inclusi e annotazioni del preparatore. Il pagamento è previsto tramite un fornitore da confermare: non si chiede di inserire dati della carta nel questionario.

La fonte è l’atleta, oppure il canale d’ordine verificato per i dati di acquisto. I dettagli relativi ad attività condivise attraverso piattaforme terze e le eventuali informazioni ex art. 14 GDPR vanno completati prima del loro impiego. Possono inoltre essere trattati dati tecnici di accesso, autenticazione e sicurezza nella misura effettivamente necessaria.

Non inserire diagnosi, referti, patologie, farmaci, infortuni o altre informazioni sanitarie, nemmeno nei campi liberi. FTP e FC sono richiesti solo come riferimenti sportivi facoltativi: la loro qualificazione, anche in combinazione con altri dati o inferenze, deve essere valutata prima della raccolta reale. L’etichetta “sportivo” non esclude da sola l’art. 9 GDPR. Nessuna raccolta di categorie particolari è prevista per il nuovo coaching; un eventuale futuro trattamento richiederebbe una condizione dell’art. 9 appropriata, informativa specifica e, se basato sul consenso esplicito, una scelta separata e libera.

3. Finalità e basi giuridiche distinte

Richieste precontrattuali, ordine e gestione del contratto

Art. 6(1)(b) GDPR: rispondere a richieste dell’interessato, verificare l’ordine, gestire l’erogazione e l’eventuale recesso.

Questionario e analisi sportiva necessaria al programma

Art. 6(1)(b): valutare obiettivi, livello e tempo disponibile, preparare il programma e svolgere i check previsti. La presa visione dell’informativa non è un consenso GDPR e non autorizza usi ulteriori.

Relazione con il preparatore e comunicazioni di servizio

Art. 6(1)(b): inviare indicazioni operative, gestire chiarimenti e check inclusi, richieste e aggiornamenti relativi al contratto. Comunicazioni necessarie, non promozionali; il nuovo invio email resta disabilitato in pre-lancio.

Obblighi contabili, fiscali e altre disposizioni applicabili

Art. 6(1)(c): conservare documenti e adempiere agli obblighi di legge. Norme e termini applicabili al professionista: DA CONFERMARE.

Sicurezza e tutela dei diritti

Art. 6(1)(f): interesse legittimo a prevenire accessi abusivi e frodi, proteggere il servizio e difendere diritti. Necessità, bilanciamento e tempi dei log sono da documentare; resta il diritto di opposizione nei casi previsti.

Eventuale marketing

Non attivato per il nuovo coaching. Se introdotto, solo con consenso specifico, facoltativo e separato, art. 6(1)(a) e normativa sulle comunicazioni elettroniche applicabile; nessuna casella preselezionata e nessun vincolo all’acquisto o al questionario. Consenso revocabile senza conseguenze sul servizio.

I dati indicati come obbligatori sono necessari per gestire la richiesta o il servizio: senza di essi potrebbe non essere possibile preparare il programma. Campi facoltativi, FTP e FC possono essere lasciati vuoti; si utilizzano gli strumenti e i riferimenti disponibili, incluso RPE. Nessun consenso marketing è richiesto per accedere al servizio.

4. Destinatari, fornitori e trasferimenti

Le risposte sono accessibili solo al titolare in qualità di preparatore, tramite un'area riservata con verifica del ruolo; non sono pubbliche. Fornitori tecnici verificati nella configurazione attuale:

• Lovable (Lovable Cloud): hosting del sito, autenticazione e database. Il database risiede nella regione AWS eu-west-1 (Irlanda, UE), su infrastruttura Supabase gestita da Lovable.
• Google: accesso facoltativo con account Google, solo se scelto dall'utente.
• Shopify: presente nel codice per il commercio esistente; per il nuovo coaching il collegamento ordini è disattivato.
• TrainingPeaks: piattaforma su cui l'atleta riceve il programma con il proprio account; nessuna integrazione automatica con il nuovo questionario.

Nessun servizio email è configurato: oggi il sito non invia email transazionali. Accordi sul trattamento (art. 28 GDPR), elenco dei subfornitori e trasferimenti fuori UE di ciascun fornitore (es. accessi di assistenza o sedi extra UE dei gruppi) sono DA VERIFICARE nei rispettivi contratti; ove presenti, saranno indicati paesi e garanzie ex artt. 44–49 GDPR. Non si dichiara che tutti i dati rimangano in UE.

5. Conservazione

Tempi di conservazione:

• Questionari e comunicazioni del percorso: 12 mesi dalla conclusione del servizio, poi cancellazione (termine approvato dal titolare).
• Ordini e documenti contabili e fiscali: conservati separatamente per 10 anni, come previsto per le scritture contabili (art. 2220 c.c.), salvo diverso termine applicabile.
• Log tecnici: secondo le impostazioni del fornitore di infrastruttura, da documentare.

La cancellazione non è automatica: il titolare registra la conclusione del servizio e, alla scadenza, cancella manualmente le risposte del questionario, mantenendo solo i dati dell'ordine necessari agli obblighi contabili. Le comunicazioni conservate fuori dal sito (es. TrainingPeaks) e le copie esportate sono cancellate a mano. Le richieste di cancellazione anticipata sono gestite su richiesta. La scadenza del link personale non cancella le risposte. Le copie di backup gestite dal fornitore seguono i suoi tempi di rotazione, DA VERIFICARE.

6. Accessi, protezione, cookie e memoria del browser

Il questionario riservato verifica il collegamento a un ordine pagato e usa un link personale a scadenza e monouso; il pacchetto deriva dall'ordine, non dai campi inviati. Le esportazioni amministrative escludono l'email. Non inoltrare il link.

Il sito non usa strumenti di analisi, pixel pubblicitari o profilazione e i caratteri tipografici sono serviti dal sito stesso. Usa solo memorie tecniche necessarie, per cui non è richiesto un banner di consenso:

• Sessione di accesso (memoria locale del browser), solo se accedi.
• Destinazione dopo l'accesso e stato del collegamento Strava (memoria di sessione, cancellata alla chiusura della scheda).
• Bozza dell'onboarding nell'area legacy e carrello del negozio esistente (memoria locale, finché non li svuoti).
• Preferenza di apertura del menu laterale nell'area riservata (cookie tecnico, 7 giorni).

Se in futuro venissero aggiunti strumenti non necessari, saranno attivati solo dopo consenso.

7. Funzionalità legacy ancora presenti

L’area personale del precedente sistema è tecnicamente distinta dal nuovo coaching. Per chi la utilizza possono restare trattamenti di account, profilo sportivo e obiettivi, gare, piani e allenamenti, check-in e feedback, recupero, nutrizione e messaggi all’assistente AI. Queste funzioni non sono incluse automaticamente nei nuovi pacchetti.

Il collegamento volontario a Strava, se usato nell’area legacy, comporta autorizzazioni di accesso e importazione di attività e metriche disponibili. È revocabile tramite gli strumenti dell’account o della piattaforma; revocare il collegamento non elimina necessariamente i dati già importati. Le funzioni AI possono utilizzare dati del profilo e messaggi tramite il servizio AI collegato a Lovable Cloud; categorie trasmesse, fornitori effettivi, conservazione e trasferimenti devono essere verificati e descritti prima di mantenerne l’uso.

Le finalità contrattuali legacy si valutano ai sensi dell’art. 6(1)(b), gli obblighi legali ai sensi dell’art. 6(1)(c) e la sicurezza ai sensi dell’art. 6(1)(f), con verifica del bilanciamento. I check-in e le informazioni sul recupero possono rivelare dati di salute: questa bozza non sana eventuali carenze; occorre verificare la condizione dell’art. 9, minimizzare o sospendere la raccolta non adeguatamente fondata prima del lancio. Non inserire dati sanitari nei messaggi all’assistente.

Il nuovo coaching prevede valutazione del preparatore, non decisioni esclusivamente automatizzate con effetti giuridici o analogamente significativi. Nel legacy esistono generazione e adattamento automatico dei piani: logica generale, dati usati, effetti e applicabilità dell’art. 22 GDPR devono essere verificati. Non si presume che l’assenza di effetti significativi sia già stata accertata.

8. Diritti e reclami

Nei limiti previsti dagli artt. 15–22 GDPR puoi chiedere accesso e copia dei dati, rettifica, cancellazione, limitazione, portabilità per trattamenti automatizzati fondati su consenso o contratto e opposizione ai trattamenti basati sull’interesse legittimo. Puoi revocare un eventuale consenso in ogni momento senza pregiudicare la liceità del trattamento precedente. Restano i diritti applicabili alle decisioni automatizzate dell’art. 22.

Invia la richiesta ai recapiti del titolare indicati in Contatti (da confermare). Può essere richiesta solo la verifica d’identità necessaria. Riscontro di regola entro un mese, con eventuale proroga motivata nei casi dell’art. 12 GDPR. Alcuni dati non possono essere cancellati immediatamente quando sussiste un obbligo legale o altra ragione legittima applicabile.

Puoi proporre reclamo al Garante per la protezione dei dati personali o all’autorità competente, e ricorrere all’autorità giudiziaria.