Titolare del trattamento è Domenico Sansevero — Personal Trainer (Libero professionista (persona fisica)).

Puoi contattarci per qualsiasi questione relativa al trattamento dei tuoi dati scrivendo a domenicobusiness2006@gmail.com.

Non è stato nominato un Responsabile della Protezione dei Dati (DPO). Motivazione: il servizio è mono-trainer, limitato al personal trainer e ai clienti da lui selezionati: scala ridotta, nessun monitoraggio sistematico su larga scala né trattamento su larga scala di categorie particolari di dati (art. 37(1)(b)-(c) GDPR)..

DS Coaching è un'applicazione che consente a un trainer di assegnare schede di allenamento ai propri clienti e ai clienti di registrare sessioni, check-in giornalieri e misurazioni corporee. L'accesso è riservato: un account cliente viene creato solo su invito del proprio trainer.

Il servizio è gestito da un unico trainer, che è titolare del trattamento per i dati dei propri clienti.

Dati anagrafici e di account: nome, email, ruolo, stato del rapporto con il trainer, data di creazione dell'account, password (gestita in forma cifrata dal fornitore di autenticazione).

Dati di programmazione: schede di allenamento, giorni ed esercizi assegnati, eventuali note del trainer legate alla scheda.

Dati sulle sessioni di allenamento: data, durata, calorie stimate, serie svolte con carico, ripetizioni e RIR (repetitions in reserve).

Dati sul benessere psicofisico (check-in): livello di energia, motivazione, stress, qualità del sonno, dolore percepito, note libere. Questi dati, insieme alle misurazioni corporee, possono rivelare informazioni sullo stato di salute e sono trattati come categoria particolare di dati ex art. 9 GDPR.

Misurazioni corporee: peso, percentuale di massa grassa, circonferenze e altre misure che tu o il tuo trainer registrate nel tempo per monitorare i progressi.

Note private del trainer: annotazioni che il trainer tiene sul tuo profilo per gestire il rapporto di coaching. Sono a tutti gli effetti tuoi dati personali: rientrano nel diritto di accesso di cui alla Sezione 10, anche se non le inserisci tu stesso.

Dati tecnici e di funzionamento offline: cookie di sessione, una coda locale sul tuo dispositivo (IndexedDB) che conserva temporaneamente le serie registrate senza connessione fino alla sincronizzazione, cache del service worker per il funzionamento offline dell'app, la versione dell'app installata sul tuo dispositivo con la data del primo e dell'ultimo accesso, e una memoria locale che ricorda se hai già visto la guida introduttiva.

Dati per la verifica anti-bot: indirizzo IP, user agent e segnali tecnici di interazione con il browser, trattati da Cloudflare (Turnstile) sui form di accesso e di recupero password e da Vercel (BotID) su alcuni endpoint applicativi, per distinguere un utilizzo umano da un accesso automatizzato. Non costruiamo alcun profilo a partire da questi dati e non li associamo al tuo account: il controllo avviene prima o indipendentemente dall'autenticazione.

Richieste di esercizio dei tuoi diritti: eventuali richieste di cancellazione, accesso, rettifica o opposizione che ci invii, conservate come prova dell'adempimento.

Account e programmazione allenamento — erogazione del servizio di coaching che hai richiesto: art. 6(1)(b) GDPR (esecuzione di un contratto o misure precontrattuali).

Registro allenamenti e aderenza al programma — monitoraggio dell'andamento: art. 6(1)(b); la parte da cui è possibile inferire il tuo stato fisico è trattata sulla base del consenso esplicito, art. 9(2)(a).

Check-in di benessere e misurazioni corporee — adattamento del programma alle tue condizioni: art. 9(2)(a) GDPR, consenso esplicito e specifico che ti chiediamo separatamente dall'accettazione dei Termini, e che puoi revocare in qualsiasi momento dalla pagina Privacy dell'app senza perdere l'accesso al servizio. Non trattiamo questi dati come dati sanitari ai sensi dell'art. 9(2)(h): il trainer non è un professionista sanitario e non fornisce diagnosi o terapie (vedi i Termini e Condizioni, Sezione Disclaimer sanitario).

Sicurezza dell'app e prevenzione abusi — art. 6(1)(f) GDPR, legittimo interesse a mantenere il servizio sicuro e funzionante. Rientra qui anche la verifica della versione dell'app in uso, per assicurarsi che nessuno resti su una versione superata e per fornirti assistenza tecnica, e la verifica anti-bot (CAPTCHA sui form di accesso e di recupero password, bot detection su alcuni endpoint) per impedire accessi automatizzati e abusi del servizio.

Adempimento di richieste GDPR (accesso, cancellazione, rettifica) — art. 6(1)(c) GDPR, obbligo legale.

Nome, email e i dati necessari a creare il tuo account sono indispensabili per usare il servizio: senza di essi non possiamo attivare il tuo profilo.

Il consenso ai check-in di benessere e alle misurazioni corporee (Sezione 4, art. 9(2)(a)) è invece facoltativo e realmente rifiutabile: se non lo presti, o se lo revochi in seguito, continui ad avere accesso al tuo account, alle schede assegnate e al registro degli allenamenti; il trainer semplicemente non riceverà i dati di check-in e misurazione e non potrà adattare il programma sulla base di quelle informazioni.

I tuoi dati sono visibili solo a te e al tuo trainer. Questo non è solo un impegno organizzativo: è imposto a livello di database dalle regole di Row Level Security di Postgres, che impediscono a un altro cliente o a un trainer diverso dal tuo di leggere le tue righe, indipendentemente da eventuali bug applicativi lato interfaccia.

Il trainer vede: il tuo profilo, le schede che ti assegna, il registro delle tue sessioni e serie, i tuoi check-in, le tue misurazioni, la versione dell'app che stai usando con la data del tuo ultimo accesso, e le eventuali richieste di cancellazione che invii. Non ha accesso a dati di altri clienti che non siano i suoi.

Il trainer può inoltre sospendere temporaneamente il tuo accesso all'app, ad esempio in caso di interruzione del rapporto di coaching: in quel caso il tuo profilo e i tuoi dati restano intatti, ma non puoi più accedere né sincronizzare finché l'accesso non viene riattivato.

Supabase Inc. — fornitore del database, dell'autenticazione e dell'invio delle email di invito/reset password. Riceve i dati necessari a erogare questi servizi tecnici.

Il trattamento da parte di Supabase è coperto da un accordo di trattamento dati (DPA) ex art. 28 GDPR, incluso nei Termini di Servizio standard del fornitore.

Vercel Inc. — fornitore dell'hosting dell'applicazione web e del servizio di bot detection (BotID, livello Basic) su alcuni endpoint applicativi (richiesta di cancellazione account, cambio profilo).

Il trattamento da parte di Vercel è coperto da un accordo di trattamento dati (DPA) ex art. 28 GDPR, incluso nei Termini di Servizio standard del fornitore.

Cloudflare, Inc. — fornitore del servizio di verifica anti-bot (CAPTCHA Turnstile) sul modulo di accesso, sul recupero/reimpostazione della password e sul collegamento di un secondo profilo. Il tuo browser comunica direttamente con Cloudflare per completare la verifica (indirizzo IP, user agent e altri segnali tecnici), indipendentemente dalla nostra applicazione; il trattamento da parte di Cloudflare è coperto da un accordo di trattamento dati (DPA) ex art. 28 GDPR, incluso nei Termini di Servizio standard del fornitore, con la stessa formula di Supabase e Vercel.

PostHog — strumento di analisi d'uso dell'app (eventi di prodotto) che l'applicazione prevede di utilizzare in forma aggregata per capire come viene usato il servizio e migliorarlo. È attualmente disattivato lato codice: non riceve alcun dato, incluso il tuo indirizzo email o altri identificativi diretti. Se in futuro verrà attivato, sarà configurato per associare gli eventi solo all'identificativo interno dell'account, con autocapture e registrazione delle sessioni disattivati, e questa informativa verrà aggiornata di conseguenza.

YouTube (Google LLC) — solo se scegli attivamente di riprodurre un video di un esercizio: l'app non carica automaticamente contenuti da YouTube (vedi Cookie Policy).

Il progetto Supabase è ospitato nella regione Francoforte, Germania (eu-central-1); l'hosting dell'applicazione Next.js gira nella regione Francoforte, Germania — regione fra1 (AWS eu-central-1) per le Functions/backend applicativo; gli asset statici sono distribuiti tramite la CDN globale di Vercel.

Se uno di questi fornitori trasferisce dati fuori dallo Spazio Economico Europeo, il trasferimento avviene sulla base di Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea e/o della certificazione al Data Privacy Framework (DPF) UE-USA, a seconda del fornitore e della regione effettivamente in uso.

Cloudflare, Inc., fornitore della verifica anti-bot, opera su una rete globale distribuita e ha sede negli Stati Uniti: anche in questo caso, l'eventuale trasferimento dei dati trattati per la verifica (indirizzo IP, user agent e altri segnali tecnici) avviene su base SCC e/o Data Privacy Framework (DPF) UE-USA.

I font utilizzati dall'app sono serviti direttamente dal nostro server (next/font, self-hosted): non c'è alcun trasferimento di dati a Google per il caricamento dei font.

Dati di allenamento, check-in e misurazioni: 24 mesi dalla cessazione del rapporto con il trainer. Trascorso questo periodo dalla cessazione del rapporto, i dati vengono cancellati salvo obblighi di legge diversi.

Documenti fiscali (se il servizio è a pagamento): 10 anni (art. 2220 c.c.).

Log delle richieste di cancellazione ed esercizio di altri diritti: 5 anni, come prova dell'adempimento ai nostri obblighi.

In caso di cancellazione dell'account: il tuo profilo e tutti i dati personali collegati (check-in, misurazioni, sessioni, serie, richieste) vengono eliminati in modo permanente. Le schede di allenamento che il trainer ti aveva assegnato non vengono cancellate: restano nella libreria del trainer come modello riutilizzabile, con il riferimento al tuo account rimosso (client_id impostato a nullo).

Il tuo account può essere cancellato anche direttamente dal trainer, ad esempio alla cessazione del rapporto di coaching, con gli stessi effetti descritti sopra.

Hai diritto di: accedere ai tuoi dati (art. 15), ottenerne la rettifica (art. 16), la cancellazione (art. 17), la limitazione del trattamento (art. 18), la portabilità (art. 20) e di opporti al trattamento (art. 21).

Puoi revocare in qualsiasi momento il consenso prestato per i check-in di benessere e le misurazioni corporee, senza che ciò pregiudichi la liceità del trattamento basata sul consenso prima della revoca (art. 7(3)). La revoca si effettua dalla pagina Privacy dell'app, con la stessa semplicità con cui è stato dato.

Rispondiamo alle richieste entro 30 giorni dal ricevimento (art. 12(3) GDPR), prorogabili di ulteriori due mesi in caso di richieste complesse o numerose, di cui ti daremo comunque comunicazione.

Hai inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma (RM), https://www.garanteprivacy.it) o di adire l'autorità giudiziaria.

Per rettifica, limitazione o opposizione scrivi a domenicobusiness2006@gmail.com specificando il diritto che intendi esercitare: verificheremo la tua identità e ti risponderemo nei termini indicati sopra.

I dati sono protetti da regole di Row Level Security a livello di database (ogni riga è visibile solo a chi ne ha diritto), da una Content Security Policy restrittiva, da intestazioni HSTS che impongono connessioni cifrate e da cifratura in transito (HTTPS) su ogni comunicazione tra il tuo dispositivo e i nostri server.

Adottiamo inoltre una verifica anti-bot sui form di accesso e di recupero password, un sistema di bot detection su alcuni endpoint applicativi sensibili e limiti di frequenza (rate limit) sulle richieste di autenticazione, per prevenire accessi automatizzati e abusi del servizio.

L'app usa solo cookie tecnici necessari al funzionamento (sessione di accesso) e archiviazione locale sul dispositivo per il funzionamento offline. Non usiamo cookie di profilazione o pubblicitari. Per il dettaglio consulta la Cookie Policy.

Il servizio è accessibile anche a minori di 18 anni con il consenso di chi esercita la responsabilità genitoriale. Gestione del consenso genitoriale: l'utilizzo autonomo del servizio è riservato ai maggiorenni; per un minorenne, la richiesta della programmazione e l'attivazione dell'accesso alla PWA devono essere effettuate o autorizzate da un genitore o da chi esercita la responsabilità genitoriale.

Non adottiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici che ti riguardano, né effettuiamo attività di profilazione ai fini pubblicitari.

Questa è la versione 1.2.0, in vigore dal 2026-08-13. Se apportiamo modifiche sostanziali, aggiorniamo il numero di versione: se hai un account cliente e la modifica riguarda le finalità che richiedono il tuo consenso, ti verrà richiesto di accettare nuovamente prima di continuare a usare l'app. Le versioni precedenti restano consultabili su richiesta.