Informativa sul trattamento dei dati personali
1. Chi tratta i dati
Per i dati di clienti, anamnesi, programmi, calendari e chat, la palestra indicata nell’account è normalmente titolare del trattamento; i suoi dati e contatti devono essere forniti nell’informativa specifica della palestra. Orbistech opera per suo conto quale responsabile del trattamento tecnico. Orbistech è invece titolare autonomo per amministrazione delle palestre, fatturazione, sicurezza, prevenzione abusi, assistenza e adempimenti propri.
Orbistech: ORBIS TECH DI DECANDIA ALEXANDER, Via Mattia Preti 4, 88100 Catanzaro (CZ), P.IVA 03630660797, C.F. DCNLND88R28A225J. Contatto privacy: support@gympanel.it. Non è stato nominato un RPD/DPO.
2. Dati trattati
- identità, contatti, data di nascita e credenziali;
- palestra, coach assegnato, stato dell’account e autorizzazioni;
- programmi, esercizi, sedute, appuntamenti, note e progressi;
- anamnesi, peso, altezza, limitazioni, certificati medici e altri dati relativi alla salute, se inseriti;
- messaggi, foto, video e metadati condivisi nella chat;
- consensi, richieste privacy, log di sicurezza e dati tecnici del dispositivo;
- abbonamenti e pacchetti lezioni dei clienti, registrazioni di incasso, fatture e dati amministrativi delle palestre;
- token di notifica push, piattaforma del dispositivo e stato del permesso, quando si attivano le notifiche.
3. Finalità e basi giuridiche
- fornitura del servizio e gestione account: contratto o misure precontrattuali;
- adempimenti fiscali e legali: obbligo di legge;
- sicurezza, continuità, difesa dei diritti e prevenzione abusi: legittimo interesse, bilanciato con i diritti degli interessati;
- dati relativi alla salute: consenso esplicito o altra condizione dell’art. 9 GDPR individuata e documentata dalla palestra;
- foto e video facoltativi: consenso o richiesta dell’utente nel contesto del servizio, secondo il contenuto e la finalità.
4. Destinatari e infrastruttura
I dati sono accessibili soltanto a soggetti autorizzati della palestra, coach assegnati nei limiti del ruolo, personale Orbistech autorizzato per assistenza documentata e fornitori tecnici vincolati da accordi. L’infrastruttura principale è localizzata in Spagna, Unione europea. L’elenco aggiornato dei sub-responsabili deve essere mantenuto da Orbistech e messo a disposizione delle palestre.
Per le notifiche mobili il servizio utilizza Expo Push Service e i servizi di consegna Google Firebase Cloud Messaging (Android) e Apple Push Notification service (iOS). I token e il contenuto delle notifiche sono trasmessi a tali servizi per recapitare gli avvisi. La sessione mobile è conservata mediante SecureStore sul dispositivo. Se collegato, Google Calendar riceve i dati degli appuntamenti necessari alla sincronizzazione; se attivati, i fornitori di pagamento gestiscono i dati necessari alla transazione. La disattivazione delle notifiche dalle impostazioni del dispositivo impedisce nuovi avvisi sul dispositivo.
5. Trasferimenti
Il servizio è progettato per conservare i dati principali nello Spazio economico europeo. Eventuali fornitori che comportino trasferimenti fuori SEE saranno utilizzati soltanto con una base conforme agli artt. 44 e seguenti GDPR e saranno indicati nell’elenco dei sub-responsabili.
6. Conservazione
I dati operativi sono conservati durante l’account. Dopo la cessazione o una richiesta valida, sono cancellati o anonimizzati normalmente entro 30 giorni, inclusi i cicli ordinari di backup, salvo obblighi di legge, contestazioni, richieste dell’autorità o termini diversi documentati dalla palestra. I dati fiscali sono conservati per i termini di legge. I log di sicurezza sono conservati solo per il periodo necessario alla protezione del servizio.
7. Diritti
L’interessato può chiedere accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e revoca del consenso senza pregiudicare la liceità precedente. Le richieste possono essere avviate nel Centro privacy o tramite support@gympanel.it e saranno inoltrate alla palestra quando essa è titolare. È possibile proporre reclamo al Garante per la protezione dei dati personali.
8. Minorenni
La palestra deve verificare età, responsabilità genitoriale e presupposti per il trattamento. Se il profilo indica una persona minorenne, la piattaforma richiede i dati del tutore prima di registrare i consensi; questa funzione non sostituisce la verifica documentale e legale della palestra.
9. Natura del conferimento e decisioni automatizzate
I dati necessari all’account sono obbligatori per usare il servizio; media e informazioni non indispensabili sono facoltativi. Non sono previste decisioni unicamente automatizzate con effetti giuridici sull’utente.
10. Sicurezza e violazioni
Sono adottati controlli di accesso per ruolo, cifratura in transito, password protette, separazione logica tra palestre, backup e registrazione degli accessi sensibili. Nessun sistema elimina ogni rischio. Le violazioni sono gestite secondo gli artt. 33 e 34 GDPR e gli accordi con le palestre.
11. Informazioni sulla salute
Gym Panel è uno strumento di gestione di attività fitness e non è un dispositivo medico. Non fornisce diagnosi, trattamenti o indicazioni terapeutiche. Per valutazioni mediche, sintomi o dubbi sull’idoneità all’attività fisica rivolgersi a un professionista sanitario qualificato.