Informativa sul trattamento dei dati personali

1. Titolare del trattamento

[nome del titolare da completare]. Contatto per tutto ciò che riguarda i tuoi dati: [email da completare]. Non è stato nominato un responsabile della protezione dei dati (DPO), non obbligatorio in questo caso.

2. Quali dati trattiamo

• Account: email, nome, password (salvata solo come impronta crittografica non reversibile), impostazioni della verifica in due passaggi, preferenze sulle email.
• Collegamento a Strava: i dati della tua app API Strava e i token di accesso, salvati cifrati.
• Attività sportive scaricate da Strava: data, tipo, durata, distanza, dislivello, velocità, potenza, cadenza, percorso GPS e punto di partenza, segmenti e record, attrezzatura.
• Dati relativi alla salute (categoria particolare, art. 9 GDPR): frequenza cardiaca e zone, soglie fisiologiche (FTP, FC massima e di soglia), peso e storico delle pesate, altezza, anno di nascita, sesso, BMI e metabolismo basale calcolati, cibo e liquidi assunti nelle uscite, carico di allenamento.
• Contenuti che inserisci: obiettivi, gare, bici e manutenzioni, foto delle bici, note.
• Dati tecnici e di sicurezza: indirizzo IP e browser delle sessioni attive, registro degli accessi e delle operazioni sull'account (login, cambio password, esportazioni…), tentativi falliti.

3. Perché e su quale base giuridica

• Fornirti il servizio che hai chiesto (account, sincronizzazione con Strava, statistiche, email che hai attivato): esecuzione dell'accordo con te, art. 6.1.b GDPR.
• Trattare i dati relativi alla salute per mostrarti analisi, zone, carico, peso e consigli su alimentazione e idratazione: il tuo consenso esplicito, art. 9.2.a GDPR, che dai al primo accesso e puoi revocare quando vuoi (vedi punto 8).
• Sicurezza dell'account e del servizio (prevenire accessi abusivi, indagare problemi): legittimo interesse del titolare, art. 6.1.f GDPR.

I consigli su alimentazione e idratazione sono calcolati automaticamente da linee guida generali (ISSN, ACSM): hanno solo valore informativo, non sono un parere medico e non producono decisioni che ti riguardano. Non facciamo pubblicità, profilazione commerciale né vendita di dati.

4. È obbligatorio fornire i dati?

No, ma senza account, collegamento a Strava e consenso per i dati relativi alla salute l'app non può funzionare, perché i dati delle attività (a partire dalla frequenza cardiaca) sono il servizio stesso. Altezza, anno di nascita, sesso, pesate e alimentazione sono facoltativi.

5. Chi riceve i dati

I tuoi dati sono visibili solo a te: ogni utente ha un archivio separato e gli altri utenti non vedono nulla dei tuoi. Il titolare, come amministratore tecnico del server, può accedervi solo se necessario per manutenzione, sicurezza o per rispondere a una tua richiesta. I dati vengono comunicati a:

• Strava: da cui l'app scarica le tue attività con l'app API che colleghi tu (titolare autonomo: vale anche la privacy policy di Strava).
• OVH: fornitore del server (in UE) su cui girano l'app e i database (responsabile del trattamento).
• Open-Meteo: riceve le coordinate di partenza delle uscite all'aperto (arrotondate a circa 100 m) e l'orario, per il meteo (servizio esterno, nessun dato dell'account).
• OpenStreetMap: fornisce i riquadri delle mappe: il tuo browser li scarica direttamente, quindi riceve il tuo indirizzo IP (servizio esterno).

Le email (reimpostazione password, avvisi, riepilogo settimanale se attivato) partono dal server di posta del titolare. Font e librerie dell'app sono ospitati sul server stesso: la navigazione non invia dati a Google o ad altri fornitori di contenuti.

6. Dove sono i dati

Sul server del titolare, nell'Unione Europea. Open-Meteo (Svizzera) e OpenStreetMap (Regno Unito) si trovano in paesi per cui la Commissione europea ha riconosciuto un livello di protezione adeguato. Strava è una società statunitense con cui hai un rapporto diretto: quello che succede ai dati sul tuo account Strava è regolato dalla sua informativa.

7. Per quanto tempo

• Account, attività e tutti i dati della tua area: finché non elimini l'account. Pesate e dati sull'alimentazione puoi cancellarli uno per uno in qualsiasi momento.
• Se scolleghi Strava non vengono più scaricate nuove attività; quelle già scaricate restano finché non elimini l'account.
• Sessioni di accesso: al massimo 30 giorni (7 di inattività); dispositivi «ricordati» per la verifica in due passaggi: 30 giorni.
• Registro degli accessi e delle operazioni di sicurezza: 12 mesi, poi viene cancellato automaticamente.
• Log tecnici del server web (indirizzo IP, data e ora, pagina richiesta): ruotati ogni settimana e cancellati dopo circa un mese.
• Copie di sicurezza del server: fatte ogni notte e sostituite dalle successive, quindi un dato cancellato sparisce anche dalle copie entro pochi giorni.
• Quando elimini l'account, tutti i tuoi dati vengono cancellati subito e definitivamente, compreso il registro degli accessi: resta solo l'annotazione anonima che un account è stato eliminato.

8. I tuoi diritti

Puoi chiedere in qualsiasi momento di accedere ai tuoi dati, correggerli, cancellarli, limitarne il trattamento, opporti al trattamento basato sul legittimo interesse e riceverli in un formato aperto per portarli altrove (portabilità). Molte di queste cose le fai da solo, dalla pagina Account:

• Scarica i miei dati: un file ZIP con tutto (JSON e CSV);
• Elimina il mio account: cancella subito ogni dato e revoca l'accesso a Strava.

Revoca del consenso per i dati relativi alla salute: puoi revocarlo quando vuoi. Dato che senza quei dati il servizio non può funzionare, la revoca coincide con l'eliminazione dell'account; non rende illegittimo il trattamento fatto prima. Per tutto il resto scrivi al contatto del punto 1: rispondiamo entro un mese.

Se ritieni che il trattamento violi il GDPR puoi presentare reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità del paese in cui vivi.

9. Cookie e memoria del browser

L'app usa solo strumenti tecnici, necessari a farla funzionare, per i quali non serve consenso: un cookie di sessione (ti tiene collegato), un cookie temporaneo durante la verifica in due passaggi, un cookie per «ricorda questo dispositivo» se lo scegli, e la memoria locale del browser per il tema chiaro/scuro. Nessun cookie di profilazione, di statistica o di terze parti.

10. Sicurezza

Connessione cifrata (HTTPS), password protette con Argon2id, token e segreti cifrati, verifica in due passaggi disponibile, archivi separati per utente, accesso al server riservato al titolare. In caso di violazione dei dati che possa comportare rischi per te, il titolare avvisa il Garante e, se il rischio è elevato, anche te.

11. Minori e modifiche

Il servizio è riservato ai maggiorenni. Se questa informativa cambia in modo sostanziale, al primo accesso successivo ti verrà chiesto di leggerla e confermarla di nuovo.