Liberatoria per le palestre — nomina a responsabile del trattamento (art. 28 GDPR)

Le parti
Titolare del trattamento SeeMyPage di Ronconi Riccardo — Via degli Orti, 426, 01036 Nepi (VT) · P.IVA 02288080563 · C.F. RNCRCR88T16H501M · PEC legale@pec.seemypage.it · privacy: info@smp-digital.it
Responsabile del trattamento La palestra che usa TrainingCompanionAI, nella persona del suo legale rappresentante
Interessati Gli iscritti della palestra, e i trainer che vi lavorano

1. Perché questo documento esiste

La palestra, usando TrainingCompanionAI, vede dati personali di altre persone: chi è iscritto, chi lo segue, quando si è iscritto, cosa gli è stato scritto nelle note tecniche.

⚖️ L'art. 28(3) GDPR chiede che questo rapporto sia regolato per iscritto, prima che cominci. ⛔ Senza questo documento firmato la palestra non può accedere ai dati dei propri iscritti attraverso la piattaforma: non è una formalità che si sistema dopo.

2. Cosa la palestra può fare con quei dati

La palestra tratta i dati solo per seguire i propri iscritti dentro la piattaforma, e precisamente:

  1. Vedere l'elenco degli iscritti: nome, email, nome utente, data d'iscrizione, stato.
  2. Assegnare e togliere i trainer che seguono una persona.
  3. Invitare persone e disiscriverle.
  4. Gestire il proprio piano commerciale e i limiti dell'assistente AI.

⛔ Qualunque altro uso è fuori da questa nomina, in particolare:

⛔ Vietato Perché
Usare gli indirizzi per marketing, proprio o altrui Non è la finalità per cui la persona ha dato i dati
Esportare elenchi per tenerli fuori dalla piattaforma Fuori di qui non c'è più nessuna delle protezioni concordate
Cedere o comunicare i dati a terzi Nemmeno a un consulente, senza un accordo scritto con il titolare
Fare profilazione o valutazioni automatiche sugli iscritti Non previsto, e cambierebbe le basi giuridiche dichiarate
Chiedere agli iscritti dati sanitari fuori dall'app Quei dati hanno una base giuridica che vive dentro l'app (consenso esplicito)
Continuare a trattare i dati dopo la disiscrizione della persona Il rapporto finisce, il trattamento anche

3. 🚨 Cosa la palestra non può vedere, e non è una scelta sua né nostra

Non è una limitazione contrattuale che qualcuno può togliere: è com'è fatto il prodotto. Va letto prima di firmare, perché è la ragione per cui questa nomina è più leggera di altre.

Richiesta Risposta Perché
«Fammi vedere i messaggi fra un trainer e un iscritto» 🚫 Impossibile Sono cifrati fra i due telefoni: la chiave non esiste sui nostri server
«Dammi peso, misure, foto dei progressi dei miei iscritti» 🚫 Impossibile Non stanno sui nostri server: stanno sul telefono della persona
«Dammi il diario alimentare» 🚫 Impossibile Idem
«Dimmi quale scheda segue Tal dei Tali» 🚫 Impossibile Il legame persona ↔ scheda non è scritto sul server
«Fammi leggere gli appunti dei miei trainer» 🚫 Impossibile Il «Rif. Allievo» lo vede solo chi l'ha scritto

💡 Questo protegge anche la palestra: dati che non si possono avere non si possono nemmeno perdere, e non fanno di lei la custode di uno schedario sanitario dei propri iscritti.

4. Gli obblighi della palestra

  1. Riservatezza. Chi accede al pannello è autorizzato per iscritto dalla palestra e tenuto al segreto. ⛔ Nessun account condiviso fra più persone: ogni persona ha il suo.
  2. Sicurezza minima. Password non riutilizzate altrove, dispositivo bloccato, accesso revocato entro 24 ore a chi lascia la palestra.
  3. Nessun sub-responsabile senza autorizzazione scritta del titolare.
  4. Violazioni. Se sospetta che qualcuno abbia visto ciò che non doveva — account rubato, pannello lasciato aperto, elenco finito fuori — avvisa il titolare entro 24 ore, a info@smp-digital.it. ⚠️ Il termine è stretto perché il titolare ne ha 72 per il Garante, e le prime ore servono a capire cos'è successo.
  5. Diritti degli interessati. Se un iscritto chiede accesso, rettifica o cancellazione, la palestra non risponde da sé: gira la richiesta al titolare entro 3 giorni. 💡 Molte di quelle richieste l'iscritto le esegue da solo dall'app (Profilo → Backup e dati → «Scarica i miei dati», e «Elimina account»).
  6. Fine del rapporto. Quando la palestra smette di usare la piattaforma, o quando una persona si disiscrive, la palestra non conserva copie di quei dati fuori dalla piattaforma.

5. Cosa fa il titolare

  1. Tiene i dati su server nell'Unione Europea, e dichiara i fornitori nel registro dei trattamenti.
  2. Cifra i messaggi da un capo all'altro, e tiene fuori dai propri server i dati del corpo.
  3. Mantiene il registro di controllo degli accessi e delle azioni sul pannello.
  4. Assiste la palestra se il Garante o un interessato chiedono conto di qualcosa.
  5. Avvisa la palestra se cambia questo testo: la versione nuova va accettata di nuovo.

6. Firma

Firmando, la palestra dichiara di aver letto e accettato questo documento, e di accettare la nomina a responsabile del trattamento ai sensi dell'art. 28 GDPR.

Campo Come si raccoglie
Chi firma L'account gym_admin che accetta: nome, email, id
Quando Data e ora dell'accettazione
Cosa ha accettato La versione del testo (palestra-v1), conservata insieme alla firma
Da dove Indirizzo IP e browser, come prova dell'atto

⚠️ La firma sta nel prodotto, non in un PDF allegato a un'email: il pannello della palestra non si apre finché non è stata data, e resta registrata con la sua versione. Se il testo cambia, si rifirma — accettare «una volta per sempre» un testo che cambia non dimostrerebbe niente.

Hai una domanda su questo documento? Scrivici prima di accettare qualcosa che non ti torna: è il momento in cui serve.