La presente informativa è resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 («GDPR») agli utenti che utilizzano l'applicazione PB Lab (di seguito, l'«App»).
1. Titolare del trattamento
Titolare del trattamento è Digital Districts S.r.l., con sede in Via degli Artisti 6, 34121 Trieste (TS), Italia.
Email di contatto: info@digitaldistricts.it.
2. Categorie di dati trattati
- Dati di registrazione e account: email, password (cifrata), eventuali dati forniti tramite provider di autenticazione (es. Google).
- Profilo atleta: nome, età, sesso, città, livello, discipline, gara obiettivo, personal best.
- Composizione corporea e dati biometrici: peso, altezza, percentuale di massa grassa, frequenza cardiaca a riposo.
- Dati relativi alla salute (categoria particolare ex art. 9 GDPR): condizioni mediche, allergie, intolleranze, infortuni, farmaci assunti, dichiarati volontariamente dall'utente.
- Stile di vita e alimentazione: ore di sonno, livello di stress, abitudini alimentari, preferenze e cibi da evitare, abitudini di cucina.
- Dati di attività sportiva: tracce GPS, distanza, pace, dislivello, durata, frequenza cardiaca delle sessioni registrate.
- Dati di posizione (app mobile): coordinate GPS precise raccolte solo durante una registrazione avviata dall'utente, anche a schermo bloccato/in background finché la sessione è attiva (vedi sezione 13).
- Dati di pagamento: trattati direttamente dal fornitore Stripe; non memorizziamo numeri di carta.
- Dati tecnici: indirizzo IP, tipo di dispositivo, browser, log di accesso, identificativi di sessione.
3. Finalità e basi giuridiche
- Erogazione del servizio (creazione account, accesso, gestione del profilo, generazione di piani di allenamento e nutrizione, registrazione delle corse): base giuridica art. 6.1.b GDPR — esecuzione del contratto.
- Trattamento dei dati sanitari per la personalizzazione di piani alimentari e di allenamento: base giuridica art. 9.2.a GDPR — consenso esplicito dell'interessato, prestato in fase di compilazione del profilo medico.
- Gestione abbonamenti e pagamenti: art. 6.1.b e art. 6.1.c (obblighi fiscali e contabili).
- Sicurezza, prevenzione frodi e log di sistema: art. 6.1.f — legittimo interesse del Titolare.
- Adempimento di obblighi di legge: art. 6.1.c.
4. Conferimento dei dati
Il conferimento dei dati anagrafici e di account è necessario per l'utilizzo dell'App. Il conferimento dei dati sanitari, alimentari e di stile di vita è facoltativo, ma la mancata compilazione comporta una significativa riduzione della qualità e personalizzazione dei piani AI generati.
5. Modalità di trattamento
I dati sono trattati con strumenti elettronici, conservati su infrastrutture cloud sicure, protetti da misure tecniche e organizzative adeguate (cifratura in transito tramite TLS, controllo degli accessi basato su ruoli, Row-Level Security a livello di database).
6. Destinatari e responsabili esterni
I dati possono essere comunicati ai seguenti fornitori, nominati Responsabili del trattamento ex art. 28 GDPR:
- Fornitore di hosting e database (Supabase / Cloudflare) — infrastruttura dell'applicazione.
- Fornitori di modelli AI (Google, OpenAI tramite gateway) — generazione dei piani; i dati inviati sono limitati al contesto necessario.
- Stripe Payments Europe Ltd. — gestione pagamenti e abbonamenti.
- Strava, Inc. (San Francisco, USA) — piattaforma di terze parti a cui l'utente può volontariamente collegare il proprio account per importare attività (corse, uscite in bici, trail). Il collegamento avviene tramite OAuth ufficiale Strava: PB Lab riceve solo i dati delle attività (distanza, durata, dislivello, pace, frequenza cardiaca, traccia GPS) e i dati identificativi minimi dell'atleta (id Strava, nome pubblico). L'utente può revocare l'accesso in qualunque momento dalla pagina Sync di PB Lab o dalle impostazioni del proprio account Strava. Riferimenti: Strava Privacy Policy, Strava API Agreement.
- Provider di email transazionali — invio comunicazioni di servizio.
I dati non sono ceduti a terzi a fini commerciali e non vengono venduti.
7. Trasferimenti extra-UE
Alcuni fornitori (es. modelli AI, Stripe) possono comportare trasferimenti verso paesi al di fuori dello SEE. Tali trasferimenti avvengono sulla base delle Clausole Contrattuali Standard approvate dalla Commissione Europea o di decisioni di adeguatezza.
8. Periodo di conservazione
- Dati di account: per tutta la durata del rapporto contrattuale e fino a 24 mesi dalla cancellazione.
- Dati sanitari e di profilo: cancellati entro 30 giorni dalla richiesta di chiusura account.
- Dati di fatturazione: 10 anni come da obblighi fiscali.
- Log tecnici: massimo 12 mesi.
9. Diritti dell'interessato
Hai il diritto di esercitare in qualsiasi momento i diritti di cui agli artt. 15-22 GDPR: accesso, rettifica, cancellazione («diritto all'oblio»), limitazione, portabilità, opposizione, revoca del consenso (senza pregiudicare la liceità dei trattamenti precedenti). Puoi inoltre proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).
Per esercitare i tuoi diritti scrivi a info@digitaldistricts.it.
10. Processi decisionali automatizzati
I piani di allenamento e nutrizione sono generati con l'ausilio di modelli di intelligenza artificiale a partire dai dati di profilo. Tali output hanno natura informativa e non sostituiscono il parere di un medico o di un nutrizionista. L'utente mantiene piena autonomia nelle scelte e può rifiutare o modificare qualsiasi piano proposto.
11. Minori
Il servizio non è destinato a minori di 16 anni. In caso di registrazione di un minore, il consenso deve essere prestato dal titolare della responsabilità genitoriale.
12. Modifiche
Il Titolare si riserva di aggiornare la presente informativa. Le modifiche saranno comunicate tramite l'App o via email.
13. Geolocalizzazione e dati di posizione (app mobile)
Le app mobili PB Lab (Android e iOS) possono raccogliere dati di posizione precisi tramite GPS esclusivamente quando l'utente avvia una sessione di allenamento dalla schermata «Registra». Prima della richiesta del permesso di sistema, l'app mostra un avviso esplicito che descrive l'uso dei dati di posizione; il permesso è sempre revocabile dalle impostazioni del dispositivo.
- Posizione in primo piano: usata per tracciare il percorso, calcolare distanza, pace, dislivello e mostrare la mappa live della sessione.
- Posizione in background (schermo bloccato o app non in primo piano): raccolta solo mentre una registrazione è attiva, per non interrompere la traccia quando lo schermo si spegne o l'app passa in secondo piano. Su Android è attivo un foreground service con notifica persistente sempre visibile durante la registrazione; su iOS è utilizzato l'aggiornamento di posizione in background. La raccolta si interrompe immediatamente quando l'utente mette in pausa o termina la sessione.
- Nessun uso pubblicitario: i dati di posizione non sono usati per profilazione, pubblicità, analytics di terze parti, né sono venduti o ceduti a terzi.
- Destinatari: i punti GPS sono salvati nel database del servizio (Supabase, UE) associati all'account e, se l'utente attiva volontariamente l'integrazione, possono essere sincronizzati con Strava. Se l'utente è seguito da un coach o iscritto a un club, il coach può visualizzare le attività condivise.
- Conservazione: le tracce restano associate all'attività fino alla cancellazione dell'attività o dell'account; l'utente può eliminare singole attività dall'app in qualsiasi momento.
- Base giuridica: art. 6.1.b GDPR (esecuzione del contratto) per la funzione di registrazione richiesta dall'utente; il permesso di sistema costituisce comunque un consenso revocabile in ogni momento.
- Funzionamento senza posizione: negando il permesso l'app resta pienamente utilizzabile (piani, nutrizione, coach AI, importazione attività da Strava); non è disponibile solo la registrazione GPS in-app.