Modello di informativa per gli iscritti

Informativa sul trattamento dei dati personali

Articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR)

Ti diciamo quali tuoi dati raccogliamo quando ti iscrivi, perché, con chi li condividiamo, per quanto li teniamo e che cosa puoi chiederci. Per il certificato medico e per le eventuali patologie ti chiediamo un consenso a parte, che sei libero di non dare.

1. Chi tratta i tuoi dati

Il titolare del trattamento è [NOME DELLA PALESTRA / RAGIONE SOCIALE], con sede in [INDIRIZZO], partita IVA o codice fiscale [P.IVA / C.F.]. Puoi contattarci scrivendo a [EMAIL] o in segreteria.

[Se hai nominato un responsabile della protezione dei dati, scrivi qui i suoi contatti. Altrimenti togli questa riga.]

2. Quali dati raccogliamo e perché

a) Iscrizione e anagrafica. Nome, cognome, cellulare, data di nascita; se ce li dai: email, codice fiscale e residenza (via, civico, CAP, città), una fotografia per riconoscerti all'ingresso, il sesso (se non lo indichi lo ricaviamo dal codice fiscale: serve solo a mostrare un disegno al posto della foto, se la foto non c'è), la data di iscrizione e l'istruttore di sala che ti segue. Servono a iscriverti, gestire il contratto, contattarti per scadenze e comunicazioni di servizio e, codice fiscale e residenza, a intestarti le ricevute. Base giuridica: il contratto (art. 6, par. 1, lett. b) e gli obblighi di legge contabili e fiscali (lett. c). La foto è facoltativa: se non la vuoi, non cambia niente. Senza i dati obbligatori non possiamo iscriverti.

b) Abbonamenti, servizi, rate e ricevute. Gli abbonamenti e i servizi che acquisti, con inizio e scadenza, gli ingressi del carnet, le rate con importi e scadenze, se e quando hai pagato e con quale metodo, chi ha incassato, il numero e il contenuto delle ricevute di pagamento. Se una rata è scaduta o l'abbonamento è finito, il gestionale può segnalarlo all'ingresso. Base giuridica: il contratto e gli obblighi contabili e fiscali.

c) Ingressi e uscite. Registriamo la data e l'ora in cui entri e, se la registriamo, in cui esci, e chi del personale ha registrato il passaggio. Ti diamo un codice d'ingresso personale che diventa un codice QR (sull'app o su una tessera): è casuale, non contiene dati su di te e vale solo da noi; se lo perdi lo sostituiamo e il vecchio smette di valere. Servono a controllare gli accessi, a sapere quante persone sono presenti e a gestire i carnet a ingressi. Base giuridica: il contratto e il nostro legittimo interesse alla sicurezza e all'organizzazione della struttura (art. 6, par. 1, lett. f). [Togli il QR se non lo usi.]

d) Corsi e prenotazioni. Le lezioni a cui ti prenoti, quando e da dove (dall'app o in segreteria). Base giuridica: il contratto. [Togli se non organizzi corsi.]

e) Certificato medico — dato sulla salute. Se ci consegni un certificato di idoneità, non conserviamo il documento: registriamo solo che l'hai consegnato e la data di scadenza, per ricordarti il rinnovo. È un dato relativo alla salute (art. 9 GDPR). Base giuridica: il tuo consenso esplicito (art. 9, par. 2, lett. a), che chiediamo con il Modulo 1. Se non lo dai: [SCEGLI UNA FRASE: «non registreremo il certificato e il rinnovo resterà a te» oppure «non potremo ammetterti alle attività per cui il nostro ente di affiliazione impone la verifica del certificato» — la seconda solo se è davvero imposta da un regolamento].

f) Patologie e limitazioni fisiche — dato sulla salute. Se ci segnali una patologia, un infortunio o una limitazione di cui gli istruttori devono tenere conto, annotiamo solo l'indicazione pratica che serve ad allenarti in sicurezza (per esempio «evitare carichi sulla colonna»). Niente referti, diagnosi complete o nomi di medici. Le legge solo il personale a cui abbiamo dato questo permesso. Base giuridica: il tuo consenso esplicito, con il Modulo 2. Se non lo dai, resti iscritto e ti alleni normalmente.

g) Schede di allenamento. Il programma che ti prepariamo: esercizi, serie, ripetizioni, recuperi, carichi consigliati, note. Base giuridica: il contratto.

h) Se usi l'app Ghisa Pro. Ti possiamo dare un link personale che collega il tuo account dell'app alla tua iscrizione. Se lo usi, nell'app vedi i tuoi dati che teniamo noi: abbonamenti e servizi, rate e pagamenti, certificato consegnato e scadenza, corsi e prenotazioni (con nome e cognome dell'istruttore che tiene il corso, ha scritto la scheda o ti segue in sala), il tuo pass d'ingresso; e puoi ricevere le schede e gli avvisi sui corsi. Se dall'app scegli anche di abilitarci, vediamo il tuo nickname, la foto del profilo, la data del consenso e le schede che ci rimandi (solo la struttura). Non riceviamo i carichi che sollevi, il tuo storico, i massimali, il peso, le misure o i dati di nutrizione. L'app è di Ghisa Pro, che per quei dati ha la sua informativa. Puoi scollegarti e revocare dall'app quando vuoi.

3. Iscritti minorenni

Se l'iscritto ha meno di 18 anni, il contratto, questa informativa e i consensi sono firmati da un genitore o da chi esercita la responsabilità genitoriale, di cui annotiamo nome e recapito sui moduli firmati. [Se emetti ricevute per la detrazione delle spese sportive dei ragazzi, indica qui quali dati del genitore che paga raccogli, dopo averlo verificato con il tuo commercialista.]

4. Chi vede i dati e dove stanno

I dati sono registrati nel gestionale Ghisa Pro, fornito da Viola Fabrizio (Sant'Antioco, partita IVA 03959520929), che li tratta solo per nostro conto e secondo le nostre istruzioni come responsabile del trattamento (art. 28 GDPR), con un accordo scritto. I dati sono conservati su server a Francoforte, in Germania. Alcuni fornitori tecnici del gestionale sono società statunitensi o di Singapore: un loro accesso da fuori dell'Unione è possibile in casi limitati ed è coperto dalle garanzie previste dal GDPR (clausole contrattuali tipo e quadro UE-Stati Uniti).

Dentro la nostra struttura i dati li vedono solo le persone autorizzate, ciascuna per quello che le serve: la segreteria per anagrafica e pagamenti, gli istruttori per schede e corsi, le patologie solo chi ha bisogno di conoscerle. Possiamo comunicarli al nostro commercialista, ai consulenti legali in caso di controversia e alle autorità quando la legge lo impone. Non li vendiamo e non li cediamo. Se ti mandiamo il link per l'app o il codice d'ingresso con WhatsApp o per email, il gestionale apre WhatsApp o il nostro programma di posta con il messaggio già scritto e l'invio lo facciamo noi: da lì valgono anche le regole di WhatsApp (Meta) o del servizio di posta. Se preferisci un altro canale, dillo in segreteria.

5. Per quanto li teniamo

Dati	Quanto li teniamo
Anagrafica, abbonamenti, rate, incassi e ricevute	per l'iscrizione e, per ciò che ha rilievo contabile, fino a [10] anni dalla fine del rapporto (art. 2220 c.c.); foto e cellulare [2] anni dalla fine
Ingressi e uscite	[12] mesi dalla registrazione
Codice d'ingresso	fino alla fine dell'iscrizione
Prenotazioni ai corsi	[12] mesi dalla lezione
Certificato medico (fatto e scadenza) e patologie	[1] anno dalla scadenza del certificato o fino alla fine dell'iscrizione, se prima; subito cancellati se revochi il consenso
Schede di allenamento	per l'iscrizione e [1] anno dopo
Consensi firmati	[5] anni dalla revoca o dalla fine del rapporto, come prova

6. Come proteggiamo i dati

Il gestionale tiene separati i dati di ogni palestra: la separazione la fa la banca dati, non solo il programma. Le connessioni sono cifrate, ogni persona del personale entra con credenziali sue e con permessi limitati, le copie di sicurezza sono cifrate. Da parte nostra blocchiamo il computer della reception quando nessuno lo usa e non lasciamo i tuoi dati visibili al pubblico. Non prendiamo decisioni automatiche su di te (art. 22).

7. I tuoi diritti

Scrivendo a [EMAIL] o in segreteria puoi chiederci di sapere quali dati abbiamo e averne copia, di correggerli, di cancellarli quando non servono più o revochi il consenso, di limitarne l'uso, di riceverli in un file leggibile (portabilità) e di opporti ai trattamenti basati sul nostro legittimo interesse (artt. 15-22). Rispondiamo entro un mese. Puoi revocare in ogni momento i consensi (foto, certificato, patologie), senza effetto su quanto fatto prima.

Puoi proporre reclamo al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it, o rivolgerti al giudice.

Ho ricevuto e letto questa informativa.
Nome e cognome dell'iscritto ______________________________ Data ____________
Per i minori, nome e cognome del genitore o tutore ______________________________
Firma ______________________________

Modulo 1 — Consenso al trattamento del certificato medico

Art. 9, par. 2, lett. a, del Regolamento (UE) 2016/679

Io sottoscritto/a ______________________________, nato/a il ____________, in qualità di genitore o tutore di ______________________________, letta l'informativa di [NOME DELLA PALESTRA],

☐ ACCONSENTO    ☐ NON ACCONSENTO

al trattamento del dato sulla consegna del certificato medico di idoneità e sulla sua scadenza, per verificare che io sia in regola e ricordarmi il rinnovo. So che il consenso è libero, che posso revocarlo in ogni momento e che la revoca non rende illecito quanto fatto prima.

Data ____________ Firma ______________________________

Modulo 2 — Consenso al trattamento di patologie e limitazioni fisiche

Art. 9, par. 2, lett. a, del Regolamento (UE) 2016/679

Io sottoscritto/a ______________________________, nato/a il ____________, in qualità di genitore o tutore di ______________________________, letta l'informativa di [NOME DELLA PALESTRA],

☐ ACCONSENTO    ☐ NON ACCONSENTO

a che siano annotate le indicazioni su patologie, infortuni o limitazioni fisiche che comunico, perché gli istruttori possano adattare l'allenamento e farmi allenare in sicurezza. So che il consenso è libero, che se non lo do resto iscritto e mi alleno normalmente, che posso revocarlo in ogni momento e che dalla revoca queste informazioni saranno cancellate.

Indicazioni che comunico (facoltativo): ____________________________________________________________

Data ____________ Firma ______________________________