Informativa sulla privacy

Kiptly («noi», «nostro», «il Servizio») è un'app di monitoraggio dell'attività fisica per iOS e Android, insieme al suo sito web promozionale kiptly.com. La presente Informativa sulla privacy spiega come raccogliamo, utilizziamo, condividiamo e proteggiamo i tuoi dati personali e quali diritti hai ai sensi del Regolamento generale sulla protezione dei dati dell'UE (GDPR).

Titolare del trattamento: Aliaksandr Samuseu, persona fisica residente in Polonia. Contatto: [email protected].

1. Dati che raccogliamo

Raccogliamo solo i dati necessari per fornire il Servizio. Categorie:

• Dati dell'account: nome, indirizzo email e foto del profilo, ottenuti quando accedi tramite Google o Apple.
• Dati di allenamento: esercizi, serie, ripetizioni, peso, durata, note e record personali che registri nel Servizio.
• Misure corporee (facoltative): peso, percentuale di grasso corporeo e circonferenze, se scegli di inserirle.
• Dati relativi alla salute – categoria particolare (art. 9 del GDPR): le informazioni sul ciclo mestruale che inserisci (se attivi l'allenamento in base al ciclo) e le informazioni sul recupero che inserisci – durata e qualità del sonno, frequenza cardiaca a riposo e variabilità della frequenza cardiaca. Il trattamento avviene solo dopo che hai prestato il tuo consenso esplicito nel Servizio.
• Passi e sonno da Apple Health o Health Connect (facoltativo): solo se tocchi «Collega» sulla scheda «Passi e sonno» dell'app e consenti l'accesso, l'app legge da Apple Health (iOS) o da Health Connect (Android) il numero dei tuoi passi di ogni giorno e il tuo tempo di sonno degli ultimi 7 giorni e te li mostra su quella scheda. Questi valori restano sul tuo dispositivo: noi non li riceviamo. Riceviamo solo l'informazione se sono stati trovati passi e se è stato trovato sonno – un sì o un no per ciascuno – e se il tuo dispositivo usa iOS o Android. La scheda non legge nient'altro da Apple Health o da Health Connect e non vi scrive nulla. Allenamenti salvati in Apple Health o Health Connect (facoltativo): solo se attivi nelle impostazioni dell'app il salvataggio degli allenamenti e lo consenti, l'app salva in Apple Health o in Health Connect ogni allenamento che concludi poi su quel telefono, come allenamento di forza con l'ora di inizio e di fine, senza esercizi, serie, pesi o calorie. L'app lo scrive sul tuo dispositivo, nell'archivio che hai scelto; noi non ne riceviamo nulla, e l'interruttore è conservato sul tuo telefono. Un allenamento eliminato nell'app viene rimosso anche da lì; gli allenamenti già salvati restano lì anche quando disattivi l'interruttore, finché non li elimini lì. Un allenamento che registri con l'app Kiptly su Apple Watch lo salva in Apple Health l'orologio stesso, con la frequenza cardiaca e l'energia attiva misurate durante l'allenamento; il telefono non lo salva una seconda volta.
• Dati del dispositivo: token per le notifiche push, fuso orario, versione del sistema operativo e versione dell'app.
• Registri degli accessi: ogni volta che accedi registriamo il metodo (Google, Apple o email), la descrizione del dispositivo inviata dal tuo browser o dalla tua app, l'indirizzo IP della connessione e quando la sessione è iniziata e terminata. Conserviamo questi dati per permetterti di individuare un accesso che non hai effettuato tu e per chiudere le sessioni rubate. Li conserviamo per 90 giorni dopo la scadenza della sessione; una sessione in cui il tuo accesso è ancora attivo non viene mai eliminata.
• Dati diagnostici: rapporti sugli arresti anomali e tracce degli errori, compresi lo stack trace, il tipo di dispositivo, la versione del sistema operativo, la versione dell'app e il tuo ID account anonimizzato. Nei dati diagnostici non raccogliamo la tua email, il tuo nome né il contenuto dei tuoi allenamenti.

2. Base giuridica del trattamento

Ai sensi dell'articolo 6 (e dell'articolo 9 per i dati relativi alla salute) del GDPR, ci avvaliamo delle seguenti basi giuridiche:

• Esecuzione di un contratto (art. 6, par. 1, lett. b), del GDPR): il trattamento dei dati relativi all'account, agli allenamenti e all'abbonamento è necessario per fornire il Servizio per cui hai creato un account.
• Legittimo interesse (art. 6, par. 1, lett. f), del GDPR): sicurezza, prevenzione delle frodi, diagnosi di arresti anomali ed errori; email sul prodotto (ad esempio promemoria sulla prova gratuita, inviti a un allenamento da parte di coach e amici, promemoria sul questionario iniziale e riepiloghi degli allenamenti); statistiche anonime sull'utilizzo del prodotto con Amplitude (vedi la sezione 5). Il nostro interesse è mantenere il Servizio stabile e sicuro, informarti sul Servizio e migliorarlo. Puoi opporti in qualsiasi momento: ogni email sul prodotto contiene un link per annullare l'iscrizione e puoi disattivare le statistiche nelle Impostazioni dell'app. Non inviamo mai pubblicità di terzi.
• Consenso (art. 6, par. 1, lett. a), del GDPR): notifiche push e qualsiasi altro trattamento facoltativo che ti chiediamo esplicitamente di accettare. Puoi revocare il consenso in qualsiasi momento, senza che ciò incida sul trattamento effettuato in precedenza.
• Consenso esplicito (art. 9, par. 2, lett. a), del GDPR): dati relativi alla salute. Il monitoraggio del ciclo e le informazioni sul recupero che inserisci sono coperti da un consenso; i passi e il sonno da Apple Health o da Health Connect da un consenso separato, che presti toccando «Collega». Puoi revocare ciascuno dei due in qualsiasi momento nell'app, senza toccare l'altro.

3. Come utilizziamo i tuoi dati

• Mostrare i tuoi allenamenti, i tuoi progressi e le tue statistiche all'interno del Servizio.
• Se colleghi Apple Health o Health Connect: mostrare i tuoi passi e il tuo sonno degli ultimi 7 giorni sulla scheda «Passi e sonno» e usare l'informazione se ne sono stati trovati per migliorare questa funzione – ad esempio per decidere se realizzare una sezione più completa su passi e sonno.
• Sincronizzare i tuoi dati tra i tuoi dispositivi.
• Inviare le notifiche push che autorizzi (promemoria di allenamento, messaggi dei coach) e le nostre email: quelle transazionali, come le ricevute, e quelle sul prodotto, per le quali puoi annullare l'iscrizione in qualsiasi momento.
• Migliorare l'affidabilità, diagnosticare gli arresti anomali e correggere i bug utilizzando dati diagnostici anonimizzati.
• Rilevare frodi e abusi, compresi gli abusi relativi agli abbonamenti e le violazioni dei Termini di servizio.

4. Dati relativi alla salute e all'attività fisica – informazioni specifiche

• Trattiamo i dati relativi alla salute solo con il tuo consenso esplicito, che presti separatamente dall'accettazione dei Termini di servizio.
• Apple Health e Health Connect: l'app legge solo passi e sonno, solo dopo che hai toccato «Collega» e consentito l'accesso, e solo per mostrarteli e migliorare questa funzione. Nulla di ciò che legge viene inviato a inserzionisti o intermediari di dati, né ai servizi di analisi e di segnalazione degli arresti anomali della sezione 5 (Amplitude, Sentry), e nulla viene mostrato al tuo coach. Puoi scollegarlo in qualsiasi momento nell'app e revocare l'accesso stesso nelle impostazioni di Apple Health o di Health Connect sul dispositivo. Vi scrive solo gli allenamenti descritti sopra, e solo dopo che lo attivi nelle impostazioni dell'app.
• Non utilizziamo mai i dati relativi alla salute o all'attività fisica a fini pubblicitari, di marketing o di data mining.
• Non utilizziamo mai i dati relativi alla salute o all'attività fisica per stabilire l'idoneità a un impiego, a un'assicurazione, a un credito o a un alloggio.
• Non inseriamo mai informazioni personali sulla salute in iCloud né in alcun servizio cloud di terzi destinato ai consumatori. I tuoi dati relativi alla salute sono conservati sui nostri server gestiti nell'UE (Hetzner, Germania), come descritto nella sezione 5, e replicati solo nel nostro archivio di backup cifrato descritto nella stessa sezione.
• Non vendiamo mai i tuoi dati a terzi e non li condividiamo con inserzionisti.

5. Fornitori di servizi terzi

Condividiamo dati con un numero limitato di fornitori di servizi per gestire il Servizio. Quelli che trattano i dati per nostro conto sono vincolati da un accordo sul trattamento dei dati (DPA) conforme all'art. 28 del GDPR:

• Google Sign-In e Apple Sign-In: autenticazione degli utenti, se accedi con Google o Apple. Questo accesso è regolato dalle informative sulla privacy di Google e di Apple. Dati scambiati: token di accesso, email, nome, avatar.
• RevenueCat (Stati Uniti): gestione del ciclo di vita degli abbonamenti. Dati condivisi: ID utente anonimizzato, stato dell'abbonamento. Trasferimenti coperti dal quadro UE-USA per la protezione dei dati personali (Data Privacy Framework) e dalle clausole contrattuali tipo.
• Firebase Cloud Messaging (Stati Uniti): recapito delle notifiche push. Dati condivisi: token push. Trasferimenti coperti dal quadro UE-USA per la protezione dei dati personali (Data Privacy Framework) e dalle clausole contrattuali tipo.
• Resend (Stati Uniti): recapito delle nostre email, sia quelle transazionali (ricevute, reimpostazione della password, notifiche importanti relative all'account) sia quelle sul prodotto (ad esempio promemoria sulla prova gratuita e sul questionario iniziale, inviti a un allenamento e riepiloghi degli allenamenti). Dati condivisi: indirizzo email, contenuto del messaggio. Trasferimenti coperti dal quadro UE-USA per la protezione dei dati personali (Data Privacy Framework) e dalle clausole contrattuali tipo.
• Sentry (Stati Uniti): segnalazione di arresti anomali ed errori. Dati condivisi: stack trace, tipo di dispositivo, versione del sistema operativo, versione dell'app, ID account anonimizzato. Non trasmettiamo a Sentry email, nome o contenuto degli allenamenti. Trasferimenti coperti dal quadro UE-USA per la protezione dei dati personali (Data Privacy Framework) e dalle clausole contrattuali tipo.
• Amplitude (Unione europea): statistiche anonime sull'utilizzo del prodotto (quali funzioni vengono utilizzate, eventi del funnel), trattate nel data center di Amplitude nell'UE (Francoforte, Germania). Dati condivisi: un identificatore casuale per ciascun utente e i nomi degli eventi – senza email, nome né contenuto degli allenamenti. Puoi disattivare queste statistiche nell'app, in Impostazioni → Note legali. Le società affiliate di Amplitude con sede negli Stati Uniti possono accedere a questi dati da remoto per finalità di assistenza, sicurezza e debug; tali trasferimenti sono coperti dal quadro UE-USA per la protezione dei dati personali (Data Privacy Framework) e dalle clausole contrattuali tipo.
• Hetzner Online GmbH (Germania): hosting del database principale e del server applicativo, situato nell'Unione europea.
• Cloudflare, Inc. (Stati Uniti, con data center nell'UE): DNS, protezione DDoS e archiviazione esterna cifrata dei backup (Cloudflare R2, regione UE). I backup sono soggetti a rotazione entro 30 giorni. Trasferimenti coperti dal quadro UE-USA per la protezione dei dati personali (Data Privacy Framework) e dalle clausole contrattuali tipo.

6. Il tuo coach

Se ti colleghi a un coach su Kiptly, al coach viene dato accesso al tuo profilo cliente: tutto ciò che registri nell'app – le tue risposte al questionario iniziale, i tuoi allenamenti e le tue misure – insieme alla tua chat con il coach e a tutto ciò che il coach registra in prima persona sul tuo lavoro: note, allenamenti che pianifica, programmi che ti assegna e misure rilevate durante un allenamento. Tre cose restano sotto il tuo controllo, nel tuo profilo: se il coach può leggere i messaggi precedenti al collegamento, se può registrare allenamenti per te e – quando avremo realizzato la sezione alimentazione – se può vedere il tuo diario alimentare. Puoi modificare queste impostazioni in qualsiasi momento.

I dati restano presso di noi. Kiptly conserva i tuoi dati e ne concede l'accesso al tuo coach per tutta la durata della collaborazione. Puoi terminare la collaborazione in qualsiasi momento; nei 90 giorni successivi il tuo coach può ancora aprire il tuo profilo cliente così com'era il giorno in cui hai terminato la collaborazione, e non vede nulla di ciò che fai in seguito. Successivamente cancelliamo gli allenamenti che il coach ha pianificato e i programmi che ti ha assegnato; le sue note fanno ancora parte dei tuoi dati e puoi continuare a leggerle.

Non regoliamo il rapporto tra te e il tuo coach. Kiptly ti offre gli strumenti per lavorare insieme; condizioni, pagamento e obblighi sono una questione tra te e il tuo coach.

7. Trasferimenti internazionali di dati

I tuoi dati sono conservati principalmente su server situati nell'Unione europea (Hetzner, Germania). Alcuni dei nostri responsabili del trattamento (elencati sopra) operano negli Stati Uniti. Tali trasferimenti si basano sul quadro UE-USA per la protezione dei dati personali (Data Privacy Framework), se il responsabile del trattamento è certificato, e sulle clausole contrattuali tipo della Commissione europea, con garanzie supplementari ove richiesto.

8. Conservazione dei dati

• Account attivi: conserviamo i tuoi dati personali per tutto il tempo in cui il tuo account è attivo.
• Passi e sonno (sì o no): conservato finché il collegamento è attivo ed eliminato entro 30 giorni dallo scollegamento o dall'eliminazione dell'account.
• Dopo l'eliminazione dell'account: tutti i dati personali vengono rimossi definitivamente entro 30 giorni.
• Backup esterni: soggetti a rotazione entro 30 giorni; i dati eliminati scompaiono dai backup entro questo periodo.
• Registri di arresti anomali ed errori: conservati in Sentry per un massimo di 90 giorni, poi eliminati.
• Statistiche aggregate: conservate a tempo indeterminato in forma completamente anonimizzata, senza identificatori che possano ricondurre a te.

9. Sicurezza

Proteggiamo i tuoi dati con la cifratura TLS 1.3 in transito e la cifratura AES-256 a riposo. L'accesso ai sistemi di produzione è limitato al personale autorizzato ed è sottoposto ad audit. Segreti e credenziali sono conservati in un servizio gestito dedicato ai segreti.

In caso di violazione dei dati personali suscettibile di incidere sui tuoi diritti e sulle tue libertà, la notificheremo all'autorità di controllo competente entro 72 ore e la comunicheremo agli utenti coinvolti senza ingiustificato ritardo, come richiesto dagli articoli 33 e 34 del GDPR.

10. I tuoi diritti (GDPR)

Ai sensi del GDPR, hai i seguenti diritti:

• Diritto di accesso (art. 15 del GDPR): richiedere una copia dei tuoi dati. Puoi farlo in autonomia nell'app; i passaggi sono indicati su kiptly.com/support.
• Diritto di rettifica (art. 16 del GDPR): modificare il tuo profilo in qualsiasi momento nell'app.
• Diritto alla cancellazione (art. 17 del GDPR): eliminare in autonomia, nell'app, il tuo account e tutti i dati associati. I passaggi per la tua versione dell'app sono indicati su kiptly.com/support.
• Diritto di limitazione del trattamento (art. 18 del GDPR): chiederci di sospendere il trattamento in determinate circostanze.
• Diritto alla portabilità dei dati (art. 20 del GDPR): esportare i tuoi allenamenti e i tuoi progressi in formato CSV.
• Diritto di opposizione (art. 21 del GDPR): opporti al trattamento basato sul legittimo interesse.
• Diritto di revoca del consenso (art. 7, par. 3, del GDPR): revocare in qualsiasi momento ogni consenso che hai prestato, con la stessa facilità con cui lo hai prestato. La revoca non pregiudica la liceità del trattamento effettuato in precedenza.
• Diritto di proporre reclamo (art. 77 del GDPR): proporre reclamo all'autorità di controllo polacca, Urząd Ochrony Danych Osobowych (uodo.gov.pl), oppure alla tua autorità locale per la protezione dei dati nell'UE/SEE.

Per esercitare uno qualsiasi di questi diritti, invia un'email a [email protected]. Rispondiamo entro 30 giorni.

Non effettuiamo processi decisionali automatizzati né profilazione che producano effetti giuridici o effetti analogamente significativi nei tuoi confronti.

11. Privacy dei minori

Il Servizio è destinato a utenti di età pari o superiore a 16 anni. Non raccogliamo consapevolmente dati da minori di 16 anni. Se ritieni che un minore di 16 anni abbia fornito dati personali al Servizio, scrivi a [email protected] e li elimineremo tempestivamente.

12. Modifiche alla presente Informativa

Possiamo aggiornare la presente Informativa sulla privacy di tanto in tanto. In caso di modifiche sostanziali, ti informeremo via email e con un banner nell'app almeno 30 giorni prima che le modifiche entrino in vigore. La data indicata in cima a questa pagina corrisponde all'aggiornamento più recente.

13. Contatti

Per domande sulla privacy o per esercitare i tuoi diritti, contatta il Titolare del trattamento, Aliaksandr Samuseu, all'indirizzo [email protected].