Informativa privacy
Sito ghisapro.com, posta a info@ghisapro.com e pannello palestre.ghisapro.com.
Questa pagina spiega che cosa succede ai tuoi dati quando visiti ghisapro.com, quando ci scrivi e quando usi il pannello per palestre e personal trainer all'indirizzo palestre.ghisapro.com. È scritta ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR).
Se usi l'app Ghisa Pro per allenarti, la pagina giusta è un'altra: l'informativa dell'app. Lì trovi i dati di allenamento, peso, misure e tutto il resto.
1. Chi tratta i tuoi dati
Il titolare del trattamento è Viola Fabrizio, impresa individuale, partita IVA 03959520929, con sede in Via Petrarca 24/E1, 09017 Sant'Antioco (SU).
Per qualunque domanda, e per esercitare i diritti del paragrafo 11, scrivi a info@ghisapro.com.
Non c'è un responsabile della protezione dei dati (DPO): non ricorre nessuno dei casi in cui l'articolo 37 del GDPR lo rende obbligatorio.
2. Se visiti soltanto il sito
Non ti chiediamo niente. Aprire una pagina, però, fa arrivare al server alcune informazioni tecniche, fra cui il tuo indirizzo IP, che per la legge è un dato personale.
Che cosa arriva: indirizzo IP, data e ora, pagina richiesta, tipo di browser e di sistema operativo, pagina da cui arrivi.
A che cosa serve: a consegnarti la pagina e a proteggere il servizio (riconoscere un attacco, fermare un abuso, capire un guasto).
Base giuridica: il nostro legittimo interesse a far funzionare e proteggere il sito (art. 6, par. 1, lett. f). Il dato non serve a costruire profili, non viene incrociato con altro e non viene ceduto.
Chi lo tratta: il sito è pubblicato su Cloudflare, che tiene i registri tecnici del traffico secondo le proprie prassi di sicurezza. Noi non teniamo un registro delle visite.
Sul sito non ci sono moduli, newsletter o aree riservate.
3. Se ci scrivi
Se scrivi a info@ghisapro.com, o dal pannello all'assistenza (assistenza@ghisapro.com), trattiamo il tuo indirizzo email, il tuo nome se lo indichi e il contenuto del messaggio, per risponderti.
Base giuridica: le misure precontrattuali o il contratto, se la richiesta riguarda il servizio; altrimenti il nostro legittimo interesse a rispondere a chi ci scrive (art. 6, par. 1, lett. b e f).
La posta arriva a un dominio gestito da Cloudflare, che la inoltra a una casella Gmail di Google, dove la leggiamo e la conserviamo. È una casella di un account Google personale, senza un accordo sul trattamento con Google (vedi il paragrafo 9): non scriverci dati sulla salute. Teniamo i messaggi per il tempo che serve a gestire la richiesta e comunque non oltre 2 anni, salvo che servano a provare un contratto o a difendere un diritto: li cancelliamo a mano, con un controllo almeno una volta al mese.
L'assistenza su WhatsApp. Le palestre con un piano a pagamento possono scriverci anche su WhatsApp, dalla pagina Assistenza del pannello. Lì il messaggio passa da WhatsApp (Meta), che lo tratta secondo le sue regole: vediamo il tuo numero, il nome del tuo profilo e quello che scrivi, e lo usiamo solo per risponderti. Scrivere su WhatsApp è una tua scelta: l'email resta sempre disponibile.
4. Se registri la tua palestra o la tua attività di personal trainer
Il pannello si usa con un account. Questi dati li dai tu.
Per entrare: un nome utente e una password. La password è conservata dal servizio di autenticazione in forma cifrata e non reversibile: nessuno può leggerla, nemmeno noi. Per registrarti e per recuperare la password serve un indirizzo email, a cui mandiamo un codice di sei cifre valido dieci minuti.
Per registrare la struttura: il nome dell'attività, se sei una palestra o un personal trainer, il luogo (nazione, regione e città, scelti da un elenco: nessuna rilevazione della posizione), un'email di contatto e un numero di telefono. Sono obbligatori: servono a identificare la struttura, a farla trovare dai clienti nella tua città e a contattarti. La partita IVA si può indicare già alla registrazione ed è facoltativa.
La verifica. Prima che la struttura diventi visibile agli utenti dell'app controlliamo che esista davvero. Fino ad allora puoi usare il pannello ma non compari nelle ricerche. È una misura antiabuso.
Che cosa vedono gli utenti dell'app: il nome della struttura e la città. Mai la tua email e mai il tuo telefono.
Base giuridica: il contratto e le misure precontrattuali (art. 6, par. 1, lett. b); per la verifica antiabuso e la sicurezza, il legittimo interesse (lett. f).
5. Quando accetti le condizioni
Alla registrazione, o al primo accesso, accetti le Condizioni di servizio e l'Accordo sul trattamento dei dati spuntando due caselle. Per poter provare che l'hai fatto, e quale testo hai accettato, registriamo:
- la versione dei documenti, la data e l'ora;
- l'indirizzo IP da cui hai accettato e la catena di indirizzi che la richiesta ha attraversato (l'intestazione tecnica
X-Forwarded-For); - il browser usato (la stringa con cui si presenta);
- l'account che ha accettato;
- l'impronta digitale (SHA-256) dei due documenti in PDF.
Subito dopo ti mandiamo un'email di conferma con i due PDF allegati. Una copia nascosta della stessa email va a un nostro indirizzo di archivio (archivio@ghisapro.com), così la prova resta anche se cancelli il messaggio. L'email parte da Resend e la copia d'archivio arriva, attraverso l'inoltro di Cloudflare, nella nostra casella Gmail, dove resta per il tempo di conservazione delle accettazioni (qui sotto).
Base giuridica: il contratto (art. 6, par. 1, lett. b) e il nostro legittimo interesse a poter dimostrare come e quando il contratto è stato concluso (lett. f).
Conservazione: per tutta la durata del contratto e per 10 anni dalla sua fine, il tempo in cui un diritto nato dal contratto può essere fatto valere (art. 2946 del codice civile).
6. Se scegli un piano a pagamento
Dati di fatturazione. Prima di abbonarti ti chiediamo ragione sociale, partita IVA oppure codice fiscale, sede legale (indirizzo, CAP, comune, provincia), codice destinatario o PEC. Se non hai una partita IVA ti chiediamo di dichiarare, con una casella, che agisci per la tua attività professionale o per un ente e non come consumatore; registriamo quando l'hai fatto. Servono a emettere la fattura e a tenere la contabilità.
Base giuridica: il contratto e gli obblighi di legge fiscali e contabili (art. 6, par. 1, lett. b e c).
Conservazione: nella banca dati del servizio finché esiste l'account della palestra; le fatture e le scritture contabili per 10 anni, come impongono l'art. 2220 del codice civile e l'art. 22 del d.P.R. 600/1973. Le fatture sono tenute dal servizio di fatturazione elettronica e dal commercialista, e passano dal Sistema di Interscambio dell'Agenzia delle Entrate.
Il pagamento con Stripe. Il pagamento avviene sulla pagina di Stripe, non sulla nostra, con carte, Apple Pay, Google Pay e gli altri metodi mostrati nella pagina di pagamento di Stripe. Quando scegli un piano, il nostro server crea presso Stripe un cliente con ragione sociale, email della palestra, sede legale e un identificativo tecnico della palestra. I dati della carta o del conto li raccoglie Stripe: non passano da noi e non li conserviamo. Da Stripe riceviamo lo stato del pagamento, il piano, il periodo e gli identificativi del cliente e dell'abbonamento.
Stripe tratta questi dati in due ruoli: per nostro conto, per incassare il pagamento; e come titolare autonomo, per i propri obblighi di legge (antiriciclaggio, verifiche fiscali) e per prevenire le frodi. Per questa seconda parte vale l'informativa di Stripe: stripe.com/it/privacy.
Se l'abbonamento finisce o l'account della palestra viene chiuso, il cliente presso Stripe non viene cancellato: Stripe conserva lo storico dei pagamenti per i propri obblighi di legge, secondo la sua informativa.
Ai tuoi iscritti Stripe non arriva niente: gli incassi che registri nel pannello per loro sono annotazioni tue.
Quello che carichi tu dentro il pannello è un'altra cosa. I dati dei tuoi iscritti e del tuo personale — anagrafica, certificati, patologie, abbonamenti, rate, ingressi, prenotazioni — li tratti tu come titolare, e noi li custodiamo per tuo conto come responsabile del trattamento. Le regole stanno nell'Accordo sul trattamento dei dati. Per informare i tuoi iscritti puoi partire dal nostro modello di informativa.
7. Che cosa non facciamo
Nessuno strumento di analisi o di statistica (niente Google Analytics, Tag Manager, Plausible, Matomo, Sentry, Mixpanel o simili). Non contiamo le visite.
Nessun tracciamento, nessuna profilazione, nessuna pubblicità.
Non vendiamo, non affittiamo e non cediamo dati. I fornitori del paragrafo 9 lavorano per noi, su nostra istruzione (con l'eccezione dichiarata di Stripe per i suoi obblighi di legge).
Nessuna decisione automatizzata che produca effetti giuridici su di te (art. 22).
8. Cookie e archiviazione sul tuo dispositivo
Sul sito il browser ricorda solo il tema chiaro o scuro e la lingua. Nel pannello si aggiungono la sessione di accesso e poche altre informazioni tecniche. Non serve il tuo consenso, e per questo non c'è un banner. Il dettaglio, chiave per chiave, è nella pagina Cookie.
9. I nostri fornitori
Lavorano per nostro conto. Cloudflare, Supabase, Resend e Stripe (per l'incasso) sono responsabili del trattamento (art. 28) con un contratto che li vincola: il loro accordo sul trattamento dei dati. Con Google no: vedi sotto la tabella.
| Chi | Che cosa fa | Dove |
|---|---|---|
| Cloudflare | pubblica sito e pannello, fa girare il nostro server (accessi del personale, pagamenti, email di conferma), protegge dagli attacchi, gestisce il dominio e inoltra la posta di info@ e archivio@, e alla registrazione e all'accesso del pannello fa la verifica anti-robot (Turnstile): legge dati tecnici del browser, come l'indirizzo IP, solo per distinguere le persone dai programmi automatici | rete distribuita, con presenza nell'Unione europea |
| Supabase | banca dati, autenticazione, archiviazione | server a Francoforte, Germania |
| Resend | spedisce il codice di accesso e le email di servizio, compresa la conferma delle condizioni | invio dalla regione Irlanda; trattamento principalmente negli Stati Uniti |
| Stripe | incassa il canone dei piani (anche come titolare autonomo, vedi il paragrafo 6) | Stripe Payments Europe, Ltd., Irlanda |
| custodisce su Google Drive le copie di sicurezza, cifrate con AES-256 prima di partire (la chiave resta a noi); la casella Gmail riceve la posta di info@ e l'archivio delle conferme | rete distribuita |
Google, detto com'è. Drive e Gmail li usiamo con un account Google personale, e per quel tipo di account Google non sottoscrive un accordo sul trattamento dei dati (art. 28): lo offre solo con i suoi servizi per le aziende. Per questo le copie di sicurezza partono già cifrate con AES-256 e la chiave non lascia i nostri dispositivi: Google custodisce file che non può leggere. La posta, invece, su Gmail è leggibile come ogni email. È un punto che intendiamo regolarizzare (con il servizio di Google per le aziende e il suo accordo, o con un altro fornitore); quando succede, aggiorniamo questa pagina.
WhatsApp e la posta del tuo dispositivo. Nel pannello, accanto al link personale di un iscritto, al suo codice d'ingresso e alle credenziali di un dipendente, ci sono i pulsanti WhatsApp ed Email. Toccandoli il pannello apre WhatsApp (passando dall'indirizzo wa.me di Meta, con il numero e il testo nell'indirizzo) o il programma di posta del tuo dispositivo, con il messaggio già scritto: l'invio lo fai tu, e da lì valgono le regole di WhatsApp (l'informativa di Meta) o del tuo servizio di posta. Lo stesso vale per le credenziali che mandiamo noi a una palestra che inseriamo.
I caratteri tipografici del sito e del pannello sono ospitati sui nostri server: aprendo una pagina non viene contattato nessun dominio esterno.
10. Trasferimenti fuori dall'Unione europea
I dati stanno in Europa: la banca dati è a Francoforte, le email partono dall'Irlanda, Stripe opera dall'Irlanda. Le società che ci forniscono i servizi, però, non sono tutte europee, e un accesso da fuori dello Spazio economico europeo (per assistenza o manutenzione) non si può escludere.
- Supabase Pte. Ltd. (Singapore): clausole contrattuali tipo della Commissione europea, decisione (UE) 2021/914. Per Singapore non c'è una decisione di adeguatezza.
- Cloudflare, Inc. e Plus Five Five, Inc. (Resend) (Stati Uniti): certificazione nel quadro UE-Stati Uniti per la protezione dei dati (decisione di adeguatezza (UE) 2023/1795) e le clausole tipo dei loro accordi.
- Google LLC (Stati Uniti): certificazione nel quadro UE-Stati Uniti; con Google, come detto al paragrafo 9, non c'è un accordo sul trattamento.
- Stripe: per i trasferimenti all'interno del suo gruppo valgono le garanzie del suo accordo.
Se vuoi copia delle garanzie di un fornitore, scrivici.
11. Per quanto teniamo i dati
| Dati | Quanto |
|---|---|
| Dati tecnici di navigazione | non li conserviamo noi: restano nei registri di Cloudflare secondo le sue prassi |
| Corrispondenza | il tempo della richiesta, al massimo 2 anni (salvo prova di un contratto o difesa di un diritto): la cancelliamo a mano, con un controllo almeno una volta al mese |
| Account della palestra | finché esiste; dopo la fine del piano almeno 90 giorni, poi cancellabile con 30 giorni di avviso; subito, se lo chiedi tu |
| Accettazioni delle condizioni, con la copia in archivio dell'email di conferma | durata del contratto e 10 anni dalla sua fine |
| Dati di fatturazione nella banca dati | finché esiste l'account della palestra |
| Fatture e scritture contabili | 10 anni |
| Dati presso Stripe dopo la fine dell'abbonamento | li conserva Stripe per i propri obblighi di legge, secondo la sua informativa: noi non cancelliamo il cliente presso Stripe |
| Copie di sicurezza cifrate | al massimo 12 mesi: le eliminiamo a mano, con un controllo almeno una volta al mese |
Le copie di sicurezza sono file completi e datati e non si modificano: un dato cancellato resta nelle copie già prese finché quelle copie non vengono eliminate.
12. I tuoi diritti
Gli articoli da 15 a 22 del GDPR ti danno il diritto di sapere quali dati abbiamo su di te e averne copia, di farli correggere, cancellare o limitare, di opporti ai trattamenti basati sul legittimo interesse, e di ricevere in un formato leggibile da un programma quelli che ci hai dato (portabilità).
Scrivi a info@ghisapro.com. Rispondiamo entro un mese (art. 12, par. 3); se la richiesta è complessa il termine può allungarsi di due mesi, e te lo diciamo. È gratis, salvo richieste manifestamente infondate o eccessive.
Puoi proporre reclamo al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it, o all'autorità del paese in cui vivi o lavori, e rivolgerti al giudice.
13. Come proteggiamo i dati
Tutto viaggia cifrato in HTTPS. Le password sono conservate in forma non reversibile e i tentativi di accesso sono limitati in frequenza. La banca dati applica un controllo riga per riga: ogni palestra vede solo le proprie righe, e il controllo lo fa la banca dati, non il programma nel browser. Ogni persona del personale entra con le sue credenziali e vede solo ciò che il titolare le permette. Le copie di sicurezza sono cifrate con AES-256.
Nel pannello non gira codice di terze parti. La pagina manda dati solo alla banca dati del servizio e al nostro server su palestre.ghisapro.com; quando paghi, il browser ti porta sulla pagina di Stripe. Fanno eccezione, come detto al paragrafo 9, i pulsanti WhatsApp ed Email, che aprono un altro programma solo quando li tocchi. Il pannello dichiara al browser le sole destinazioni ammesse (Content-Security-Policy) e il browser blocca tutte le altre.
Un limite, detto come limite: il pannello tiene nella memoria del browser i dati che ti mostra. Su un computer condiviso, blocca lo schermo e non lasciarlo aperto.
14. Se usi anche l'app
L'app Ghisa Pro ha la sua informativa. I due trattamenti restano separati: registrare una palestra non dà accesso ai dati di allenamento di nessuno, e i dati corporei degli utenti dell'app non arrivano mai al pannello. Che cosa riceve la palestra da un utente che la abilita è spiegato nell'informativa dell'app e al punto 6 delle Condizioni di servizio.
15. Se questa informativa cambia
Se cambia qualcosa di sostanziale (un fornitore nuovo, una finalità nuova) lo scriviamo qui e aggiorniamo versione e data; se ti riguarda da vicino te lo diciamo all'indirizzo del tuo account.
Versione 1.2 — 22 ottobre 2026 (sostituisce la 1.1 del 6 ottobre 2026)