Privacy Policy

Ultimo aggiornamento: novembre 2026

1. Titolare del trattamento

Il titolare del trattamento dei dati degli utenti registrati (personal trainer, "PT", palestre e i trainer che le palestre invitano) è Transform Your Business S.R.L., società di diritto rumeno con sede in Str. Badea Cârțan nr. 5, bl. K2, sc. A, et. 3, ap. 14, 900507 Constanța, Romania, P.IVA RO40220390, iscritta al Registro del Commercio con il n. J13/3447/2018 ("TrainerSheet", "noi"). Per qualsiasi richiesta sulla privacy: amministrazione@trainersheet.com. La nostra autorità di controllo capofila è l'autorità rumena (ANSPDCP). Non è stato nominato un Responsabile della protezione dei dati (DPO), non essendo obbligatorio ai sensi dell'art. 37 GDPR.

2. Ruoli: PT, palestre e i loro clienti

Per i dati dei propri clienti (nome, contatti, note, schede e allenamenti e, per le palestre, scadenze e pagamenti degli abbonamenti) il PT o la palestra è titolare del trattamento e TrainerSheet agisce come responsabile del trattamento ai sensi dell'art. 28 GDPR, secondo l'Accordo sul trattamento dei dati allegato ai Termini di servizio. In palestra il titolare è la palestra, anche per i clienti seguiti dai trainer che ha invitato. I clienti possono esercitare i propri diritti rivolgendosi al proprio PT o alla propria palestra o, in subordine, a noi.

3. Dati trattati

  • Account PT: nome, nome dello studio, email, password (salvata solo come hash bcrypt), eventuale partita IVA, piano e stato dell'abbonamento, data in cui hai fornito il codice fiscale.
  • Account palestra: nome della palestra, ragione sociale e indirizzo (facoltativi), email amministrativa, partita IVA e paese, piano, periodo e stato dell'abbonamento; dell'amministratore nome, email e password (salvata solo come hash bcrypt).
  • Trainer invitati da una palestra: nome ed email inseriti dalla palestra per l'invito (il link vale 7 giorni e lo conserviamo solo come hash); dopo l'accettazione, i dati dell'account come per i PT.
  • Controllo della partita IVA: se la indichi, la verifichiamo sul registro europeo VIES della Commissione europea e conserviamo solo l'esito e la data del controllo.
  • Codice fiscale: lo chiedi all'iscrizione ma non lo conserviamo. Ne calcoliamo un'impronta cifrata con una chiave segreta (HMAC) e teniamo solo quella, senza collegarla al tuo account. L'impronta non mostra il codice, ma noi possiamo riconoscerla se lo stesso codice viene usato di nuovo: per questo resta un dato personale (pseudonimizzato).
  • Fatturazione: nome o ragione sociale, indirizzo, eventuale P.IVA e dati di pagamento, raccolti ed elaborati direttamente da Stripe: TrainerSheet non vede né conserva i dati della carta.
  • Clienti del PT o della palestra: nome, email e telefono facoltativi, note inserite dal PT o dalla palestra, schede assegnate e sessioni di allenamento (esercizi, serie, ripetizioni, carichi, durata). Per le palestre anche trainer assegnato, cadenza e scadenza dell'abbonamento e pagamenti segnati a mano (data, importo, cadenza): il denaro non passa da TrainerSheet.
  • Demo “Guarda come funziona”: solo se acconsenti a essere ricontattato, l'email lasciata per vedere la demo, la data del consenso e quella dell'ultimo accesso, e se ti interessa la versione per PT o per palestre (l'ultima demo che hai guardato), per mandarti informazioni pertinenti.
  • Lista d'attesa: l'email che lasci nella pagina “In arrivo” per essere avvisato del lancio e la data del consenso.
  • Dati tecnici: indirizzo IP, usato solo come impronta cifrata con chiave segreta e per pochi minuti, per limitare i tentativi (protezione da abusi), e log tecnici del server.

4. Dati obbligatori

Nome, email, password e codice fiscale sono necessari per creare l'account e attivare la prova gratuita: senza, non possiamo offrirti il servizio. Nome dello studio, partita IVA e i dati dei clienti oltre al nome sono facoltativi. Per le palestre sono obbligatori nome della palestra, nome, email e password dell'amministratore e partita IVA.

5. Dati relativi alla salute

Schede e allenamenti non sono di per sé dati sanitari, ma le note libere del PT potrebbero contenere informazioni sullo stato di salute del cliente (es. infortuni, patologie, farmaci), che rientrano nelle categorie particolari di dati dell'art. 9 GDPR. Il PT si impegna a inserirle solo se strettamente necessario e dopo aver raccolto il consenso esplicito del cliente (art. 9, par. 2, lett. a GDPR); l'app lo ricorda accanto al campo note. TrainerSheet tratta questi dati solo per conto del PT, con le misure di sicurezza descritte al punto 10.

6. Finalità e base giuridica

  • Erogare il servizio e gestire l'account: esecuzione del contratto (art. 6, par. 1, lett. b GDPR).
  • Fatturazione e adempimenti fiscali: obbligo di legge (art. 6, par. 1, lett. c).
  • Email di servizio (attivazione, pagamenti, sicurezza dell'account, avvisi prima della cancellazione): esecuzione del contratto.
  • Sicurezza e prevenzione degli abusi (limitazione dei tentativi, log): nostro legittimo interesse a proteggere il servizio e gli account (art. 6, par. 1, lett. f).
  • Prova gratuita una sola volta per persona o per palestra (impronta del codice fiscale o della partita IVA): nostro legittimo interesse a impedire usi ripetuti della prova. Abbiamo valutato che non prevale sui tuoi diritti perché conserviamo solo un'impronta, non collegata all'account e con una scadenza.
  • Controllo della partita IVA sul VIES: nostro legittimo interesse a verificare i dati di fatturazione e l'applicazione corretta dell'IVA.
  • Promemoria di scadenza ai clienti delle palestre: li inviamo per conto della palestra, quando lo chiede, come responsabile del trattamento.
  • Ex abbonati: possiamo scriverti via email per proporti servizi TrainerSheet analoghi a quello che hai usato (art. 130, comma 4, Codice Privacy; legittimo interesse), per 24 mesi dalla cancellazione dell'account. Puoi opporti in ogni momento, gratis, con il link presente in ogni email o scrivendoci. Non inviamo email promozionali a chi ha usato solo la prova, salvo consenso.
  • Demo del prodotto: l'email resta nel tuo browser per precompilare la registrazione e non viene salvata sui nostri sistemi. La conserviamo solo se spunti la casella facoltativa, per ricontattarti con informazioni sul servizio (consenso, art. 6, par. 1, lett. a), revocabile in qualsiasi momento.
  • Lista d'attesa: ti scriviamo una sola email quando TrainerSheet apre (consenso, art. 6, par. 1, lett. a). Puoi revocarlo in qualsiasi momento scrivendoci all'indirizzo del punto 1: cancelliamo subito la tua email.

Nessuna vendita di dati a terzi e nessuna profilazione.

7. Conservazione

  • Account, clienti, schede e storico: finché l'account è attivo. Puoi cancellarlo in autonomia dalle Impostazioni: i dati vengono eliminati definitivamente e l'eventuale abbonamento annullato.
  • Prova finita senza attivare un piano: account e dati restano per i 60 giorni di sospensione (puoi scaricarli in PDF o CSV), poi vengono cancellati automaticamente.
  • Abbonamento terminato: l'account resta sospeso con tutti i dati per 6 mesi, per permetterti di riattivarlo. Ti avvisiamo 30 giorni prima; poi account, clienti, schede e storico vengono cancellati.
  • Dopo quella cancellazione conserviamo solo nome, email e data di fine abbonamento, per le comunicazioni del punto 6, per 24 mesi; se ti opponi li cancelliamo subito e teniamo solo un'impronta dell'email, per non scriverti più.
  • Impronta del codice fiscale: 5 anni dalla prima prova, poi cancellata automaticamente. Lo stesso vale per l'impronta della partita IVA delle palestre.
  • Palestre: account, trainer, clienti e pagamenti restano finché l'amministratore non elimina l'account; anche a prova finita o abbonamento terminato il portale resta sospeso con i dati. L'eliminazione cancella subito palestra, trainer e clienti.
  • Trainer rimosso da una palestra: i suoi clienti passano alla palestra; il suo account viene sospeso e poi cancellato con le stesse regole degli account PT.
  • Copie di backup del database: sovrascritte a rotazione entro 30 giorni dalla cancellazione.
  • Fatture e dati contabili: per il periodo previsto dalla normativa contabile e fiscale applicabile, conservati presso Stripe.
  • Log tecnici del server: al massimo 30 giorni.
  • Email lasciate per la demo con consenso al ricontatto: 12 mesi dall'ultimo accesso, poi eliminate automaticamente.
  • Email della lista d'attesa: 12 mesi dall'ultimo consenso, o fino alla revoca, poi eliminate automaticamente.

8. Destinatari e fornitori

I dati possono essere comunicati al nostro consulente contabile, per gli adempimenti fiscali, e alle autorità quando la legge lo richiede. Per erogare il servizio ci avvaliamo inoltre dei seguenti fornitori, nominati responsabili del trattamento con accordi conformi all'art. 28 GDPR:

  • Vercel Inc. (USA; funzioni eseguite nella regione UE di Francoforte): hosting dell'applicazione.
  • Neon Inc., regione UE (Francoforte, Germania): database.
  • Stripe Payments Europe Ltd. (Irlanda): pagamenti e fatturazione. Per antifrode e obblighi di legge Stripe tratta alcuni dati come titolare autonomo: vedi stripe.com/privacy.
  • Resend (Plus Five Five Inc., USA): invio delle email.
  • Upstash Inc. (USA): limitazione dei tentativi, che tratta solo impronte cifrate di IP e token.

Per i fornitori con sede negli Stati Uniti, o che possono accedere ai dati da lì, il trasferimento si basa sul Data Privacy Framework UE-USA per chi vi aderisce o, altrimenti, sulle Clausole Contrattuali Standard approvate dalla Commissione europea (art. 46 GDPR). Puoi chiederci copia delle garanzie scrivendo a amministrazione@trainersheet.com.

9. I tuoi diritti

Hai diritto di accesso, rettifica, cancellazione, limitazione e portabilità dei dati, e di revocare in ogni momento il consenso che ci hai dato, senza effetti sui trattamenti già fatti (artt. 7 e 15-20 GDPR).

Diritto di opposizione (art. 21 GDPR): puoi opporti in qualsiasi momento ai trattamenti basati sul nostro legittimo interesse e, senza dover dare motivazioni, alle email promozionali.

Scrivi a amministrazione@trainersheet.com: rispondiamo entro un mese. Puoi anche proporre reclamo all'autorità rumena ANSPDCP (www.dataprotection.ro) o al Garante per la protezione dei dati personali (www.garanteprivacy.it).

10. Sicurezza

Connessioni cifrate (HTTPS/HSTS), password salvate con hash bcrypt, codice fiscale e indirizzi IP conservati solo come impronte con chiave segreta, link di accesso dei clienti salvati solo in forma di hash e revocabili in qualsiasi momento, separazione rigorosa dei dati tra PT e palestre diversi e limitazione dei tentativi di accesso.

11. Cookie

Utilizziamo solo cookie e archiviazione locale tecnici. Dettagli nella Cookie policy.