Accordo sul trattamento dei dati
Accordo ai sensi dell'art. 28 del Regolamento (UE) 2016/679 tra la palestra o il professionista che usa VibeHealth (il "Titolare") e , con sede in , P.IVA , PEC , email (il "Responsabile"). L'accordo fa parte dei Termini di servizio e si intende accettato con l'attivazione dell'abbonamento. Il Titolare può chiederne una copia firmata scrivendo a .
1. Oggetto e durata
Il Responsabile tratta dati personali per conto del Titolare al solo scopo di fornire il servizio VibeHealth, per la durata dell'abbonamento.
2. Natura del trattamento
| Elemento | Descrizione |
|---|---|
| Interessati | Clienti del Titolare; collaboratori del Titolare con accesso all'app |
| Dati comuni | Nome, contatti, data di nascita, sesso, professione, misure corporee, dati di allenamento (esercizi, pesi, serie, commenti), dati di accesso |
| Dati relativi alla salute (art. 9) | Anamnesi: patologie, dolori e limitazioni, farmaci, interventi e infortuni, prove funzionali, pressione e battito a riposo, gravidanza, terapie iniettive, scadenza del certificato medico |
| Operazioni | Raccolta, registrazione, conservazione, consultazione, elaborazione automatica per generare schede, comunicazione all'interessato tramite l'app, cancellazione |
3. Obblighi del Responsabile
- Tratta i dati solo su istruzioni documentate del Titolare, che sono questo accordo e l'uso delle funzioni dell'app; se ritiene che un'istruzione violi la legge lo segnala subito.
- Autorizza al trattamento solo persone vincolate alla riservatezza.
- Adotta le misure di sicurezza dell'art. 32 descritte nell'allegato.
- Assiste il Titolare, per quanto possibile con le funzioni dell'app, nel rispondere alle richieste degli interessati (artt. 15-22) e negli adempimenti degli artt. 32-36, compresa un'eventuale valutazione d'impatto.
- Informa il Titolare di una violazione dei dati personali senza ingiustificato ritardo e comunque entro 48 ore da quando ne viene a conoscenza, con le informazioni disponibili.
- Alla cessazione del servizio, a scelta del Titolare, restituisce i dati in un formato leggibile e li cancella entro 30 giorni, salvo obblighi di conservazione di legge.
- Mette a disposizione le informazioni necessarie a dimostrare il rispetto di questo accordo e consente verifiche, con un preavviso ragionevole e a spese del Titolare.
4. Sub-responsabili
Il Titolare autorizza in via generale il Responsabile a ricorrere ai sub-responsabili seguenti, vincolati da obblighi equivalenti a quelli di questo accordo:
| Sub-responsabile | Attività | Ubicazione dei dati |
|---|---|---|
| Supabase, Inc. | Database, autenticazione, funzioni server | UE (Francoforte, Germania) |
| Cloudflare, Inc. | Hosting del sito, DNS, distribuzione dei contenuti, protezione | Rete globale; non conserva i contenuti dell'app |
| Aruba S.p.A. | Invio delle email di servizio | Italia |
Il Responsabile comunica via email ogni nuovo sub-responsabile o sostituzione con almeno 30 giorni di anticipo; il Titolare può opporsi per motivi ragionevoli e, se non si trova una soluzione, recedere dall'abbonamento. I trasferimenti fuori dall'UE avvengono con le garanzie degli artt. 45-46 GDPR (Data Privacy Framework UE-USA o clausole contrattuali standard).
5. Obblighi del Titolare
Il Titolare garantisce di avere una base giuridica per ogni dato inserito, di aver fornito l'informativa agli interessati e di aver raccolto il loro consenso esplicito per i dati relativi alla salute, oltre al consenso dei genitori per i minori di 14 anni. Valuta se il trattamento richiede una valutazione d'impatto (art. 35) e tiene il proprio registro dei trattamenti.
Allegato: misure di sicurezza
- Cifratura delle comunicazioni (HTTPS/TLS) tra app, sito e server.
- Database in un centro dati dell'Unione europea gestito da un fornitore professionale.
- Regole di accesso nel database (Row Level Security): ogni palestra accede solo ai propri clienti, ogni cliente solo ai propri dati; le modifiche a scheda e anamnesi sono riservate alla palestra.
- Password conservate solo in forma cifrata; recupero tramite link monouso via email.
- Inviti con codice casuale monouso, legato all'email del destinatario e con scadenza di 14 giorni.
- Chiavi amministrative mai presenti nell'app; le operazioni privilegiate passano da funzioni server che verificano l'identità di chi le chiede.
- Accesso del Responsabile ai dati limitato a manutenzione e assistenza, da account personali e protetti.