Privacy Policy

Titolare: Pietro Tampieri
Codice fiscale / P.IVA: 04230951206
Email per esercitare i tuoi diritti: scuola.di.arrampicata@gmail.com

• Dati account: indirizzo email (per autenticazione via codice OTP) e identificatore utente.
• Dati di allenamento: età, peso corporeo, disciplina, grado, obiettivi, disponibilità, equipment, sessioni svolte e relativo feedback. L'età serve solo a escludere gli esercizi sconsigliati a chi è ancora in crescita.
• Dati relativi a salute e infortuni (categoria particolare ex art. 9 GDPR): infortuni dichiarati, condizioni cliniche, livelli di dolore, durata. Trattati solo con il tuo consenso esplicito e con la sola finalità di generare un piano di allenamento sicuro.
• Dati di fatturazione: nome, indirizzo, codice fiscale (per gli obblighi fiscali). I dati della carta di credito sono gestiti integralmente da Stripe; non li conserviamo sui nostri sistemi.
• Log dei consensi: data/ora di accettazione, indirizzo IP, user agent, versione dei testi accettata — per dimostrare la conformità al GDPR.
• Dati tecnici: indirizzo IP, user agent, eventuali log applicativi necessari alla sicurezza e al debug. Non profiliamo.

• Erogazione del servizio (art. 6.1.b GDPR — esecuzione del contratto): account, generazione del piano, tracciamento delle sessioni, fatturazione.
• Trattamento di dati di salute (art. 9.2.a GDPR — consenso esplicito): solo per generare un piano sicuro e segnalare esercizi controindicati. Puoi revocare il consenso in qualsiasi momento cancellando l'account; senza questo consenso il servizio non può essere erogato in modo sicuro.
• Adempimenti fiscali (art. 6.1.c GDPR — obbligo di legge): conservazione dei dati di fatturazione per il tempo previsto dalla normativa.
• Sicurezza del servizio (art. 6.1.f GDPR — legittimo interesse): rate limiting, log di sicurezza, prevenzione abusi.
• Comunicazioni sul servizio (art. 6.1.f GDPR — legittimo interesse): promemoria e novità sull'uso di Takka a chi ha un account. Puoi chiedere di non riceverne più in qualsiasi momento, rispondendo a una delle email o scrivendo all'indirizzo del Titolare.
• Statistiche di visita aggregate (art. 6.1.f GDPR — legittimo interesse): capire quali pagine vengono aperte e da dove si arriva, senza cookie e senza identificarti (vedi § 10).

• Supabase (database + autenticazione) — istanza ospitata in UE / Francoforte.
• Stripe (pagamenti) — può trasferire dati negli USA con clausole contrattuali standard.
• Vercel (hosting dell'applicazione; le funzioni server sono eseguite a Francoforte, UE) e Vercel Web Analytics (statistiche aggregate di visita, senza cookie).
• Resend (invio delle email: codici di accesso, notifiche di fatturazione, comunicazioni sul servizio).

Tutti i fornitori sopra elencati sono vincolati da accordi sul trattamento dei dati (DPA) e adottano misure di sicurezza adeguate.

Le schede degli esercizi possono mostrare un video dimostrativo pubblicato su YouTube. Finché non premi ▶ vedi solo un'anteprima servita dai nostri server: a YouTube non arriva nulla. Quando premi ▶, il video viene caricato dentro l'app dal dominio youtube-nocookie.com e da quel momento Google Ireland Ltd. riceve i dati tecnici della richiesta (ad esempio indirizzo IP e informazioni sul dispositivo) e può usare cookie o memoria locale del browser, come titolare autonomo del trattamento, secondo la propria informativa privacy. Il video è facoltativo: i passi e i punti chiave dell'esercizio restano sempre scritti nella scheda.

Conserviamo i dati per il tempo strettamente necessario alle finalità sopra indicate:

• Dati di allenamento e salute: cancellati quando cancelli l'account.
• Dati di fatturazione e log dei consensi: conservati per 10 anni dopo la fine del rapporto, in conformità agli obblighi fiscali e probatori (art. 2220 c.c.).
• Log tecnici di sicurezza: conservati al massimo 12 mesi.

I dati personali sono ospitati e trattati nell'Unione Europea (database Supabase e funzioni Vercel a Francoforte). Stripe, Resend e Vercel sono società statunitensi e possono trattare alcuni dati negli Stati Uniti d'America; lo stesso vale per Google quando avvii un video (§ 5). In questi casi il trasferimento avviene sulla base del Data Privacy Framework UE-USA, per i fornitori che vi aderiscono, o delle clausole contrattuali standard approvate dalla Commissione Europea.

In qualità di interessato puoi esercitare i seguenti diritti:

• accesso ai tuoi dati (art. 15 GDPR);
• rettifica (art. 16 GDPR);
• cancellazione (art. 17 GDPR);
• limitazione del trattamento (art. 18 GDPR);
• portabilità dei dati (art. 20 GDPR);
• opposizione (art. 21 GDPR);
• revoca del consenso (art. 7.3 GDPR), in qualsiasi momento.

Puoi esercitare questi diritti scrivendo a scuola.di.arrampicata@gmail.com. Hai inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali.

Adottiamo misure tecniche e organizzative adeguate per proteggere i tuoi dati:

• Row Level Security (RLS) su tutte le tabelle: ogni utente accede solo ai propri dati.
• Cifratura in transito (TLS/HTTPS) per ogni connessione, con HSTS attivo.
• Cifratura at-rest del database (PostgreSQL gestito).
• Autenticazione senza password (codice OTP via email).
• Rate limiting sulle API sensibili, controllo dell'origine delle richieste, security headers HTTP (CSP, HSTS, X-Frame-Options).
• Accesso ai dati dei clienti limitato al Titolare per finalità di supporto.

Takka non utilizza cookie di profilazione. I cookie tecnici essenziali (autenticazione, sessione) sono necessari al funzionamento dell'app e non richiedono consenso.

Per le statistiche di visita usiamo Vercel Web Analytics: non installa cookie, non segue la navigazione su altri siti e non crea profili. Riconosce una visita tramite un codice ricavato dalla richiesta che viene scartato entro 24 ore, e ci mostra solo numeri aggregati (pagine viste, provenienza, tipo di dispositivo).

I cookie o la memoria locale di YouTube entrano in gioco solo se avvii un video, come descritto al § 5.

Potremmo aggiornare questa policy. La versione corrente è sempre consultabile a questo indirizzo; le modifiche sostanziali ti saranno notificate via email.