Accordo sul trattamento dei dati (DPA)

1. Parti e ambito

Titolare del trattamento («Titolare»): il titolare dell'Account Professionale, identificato dai dati dell'account; nei team, il Titolare del team, come definito nei Termini. Responsabile del trattamento («noi»): Vasco José Cardoso Correia, imprenditore individuale, NIF 262045630, Rua de Campezinhos, 27, Lomba, 4600-663 Amarante, Portogallo, che gestisce MyFitnessClient ([email protected]).

Il presente DPA si applica ai dati personali che il Titolare registra o riceve sui propri clienti e su altre persone nell'ambito del percorso («Dati del Titolare»), ai sensi dell'articolo 28 del Regolamento (UE) 2016/679 (GDPR).

Non sono compresi, perché per essi siamo titolari del trattamento e sono disciplinati dall'Informativa sulla privacy: gli account e la fatturazione; la sicurezza e l'analisi dell'utilizzo della piattaforma; il marketplace (profili pubblici, richieste fino alla loro accettazione e contatti dei visitatori fino alla loro consegna al Titolare); e i dati che un cliente registra nel proprio account finché non è collegato a un professionista. Non sono nostri responsabili nemmeno i servizi che il Titolare collega direttamente, in base a un proprio contratto, come il suo account Stripe, il suo account Google Calendar o le piattaforme video di cui incorpora i contenuti.

2. Oggetto, durata, natura e finalità

Trattiamo i Dati del Titolare finché il suo account esiste e fino alla scadenza dei termini della sezione 9, al solo scopo di fornirgli il Servizio descritto nei Termini: ospitare, visualizzare, calcolare, trasmettere e notificare, effettuare copie di backup ed eliminare tali dati, secondo le sue istruzioni. Non li usiamo per finalità proprie, in particolare pubblicità, profilazione, vendita o addestramento di modelli di intelligenza artificiale. L'unica eccezione sono statistiche aggregate e anonime sull'utilizzo del Servizio, che non identificano il Titolare né gli interessati.

3. Interessati e tipi di dati

Interessati: clienti del Titolare, con o senza un proprio account; persone che rispondono ai suoi moduli o acquistano i suoi corsi e pacchetti; membri del suo team; visitatori che gli lasciano i propri contatti nel profilo pubblico; terzi menzionati in note o messaggi.

Dati: dati identificativi e di contatto; NIF e registrazioni dei pagamenti; misurazioni, composizione corporea, fotografie e video; anamnesi e questionari, che possono includere dati relativi alla salute; valori calcolati a partire dalle misurazioni (ad esempio IMC e composizione corporea stimata); piani e registrazioni di allenamento, nutrizione, integrazione e abitudini; messaggi di testo e audio e file; calendario; metadati delle chiamate. I dati relativi alla salute sono categorie particolari (articolo 9 del GDPR).

4. Istruzioni

Trattiamo i Dati del Titolare soltanto sulla base delle sue istruzioni documentate: i Termini, il presente DPA e il modo in cui utilizza e configura il Servizio. Le istruzioni aggiuntive sono impartite per iscritto a [email protected]; quelle che vanno oltre il normale funzionamento del Servizio e quanto previsto nei Termini e nel presente DPA dipendono dal nostro accordo e possono essere addebitate. Se il diritto dell'Unione o di uno Stato membro ci obbliga a trattare i dati in altro modo, ne informiamo prima il Titolare, salvo che la legge lo vieti. Se riteniamo che un'istruzione violi la normativa sulla protezione dei dati, ne informiamo immediatamente il Titolare; se egli la mantiene, possiamo sospendere il trattamento in questione e, qualora la situazione persista, risolvere il contratto.

Il Titolare impartisce fin d'ora le seguenti istruzioni permanenti: (a) quando un cliente con un proprio account elimina l'account, rimuoviamo dai Dati del Titolare i dati del profilo di tale cliente (nome, email, contatti, fotografia, data di nascita, genere, altezza, peso, NIF e anamnesi clinica), le registrazioni del percorso restano nell'account del Titolare, che decide se eliminarle, e, se il percorso era in corso o programmato, avvisiamo il Titolare, indicando il nome del cliente, che l'account è stato eliminato e il percorso è terminato; (b) gli account dei clienti inattivi da 12 mesi possono essere eliminati secondo quanto previsto dall'Informativa sulla privacy; (c) i file ospitati possono essere eliminati 90 giorni dopo la fine di un abbonamento a pagamento, ai sensi della sezione 9 dei Termini; (d) i contatti lasciati dai visitatori nel profilo pubblico vengono eliminati un anno dopo la loro ricezione.

5. Riservatezza e accesso

Accede ai Dati del Titolare soltanto il personale che ne ha bisogno, vincolato alla riservatezza e al dovere di segreto dell'articolo 29, paragrafo 4, della legge portoghese n. 58/2019. L'accesso è limitato a quanto necessario per fornire, mantenere e proteggere il Servizio (in particolare su richiesta del Titolare o dell'interessato tramite l'assistenza, per indagare su incidenti di sicurezza o errori, o per testare aggiornamenti) o per adempiere a un obbligo di legge. Ogni sessione in cui il personale entra in un account per fornire assistenza viene registrata ed è limitata nel tempo; ciò che il personale salva in tale sessione resta registrato nell'account, come qualsiasi modifica. Né tali sessioni né gli strumenti di amministrazione mostrano file privati (fotografie e documenti), salvo una fotografia che fosse sullo schermo dell'applicazione mobile quando si è verificato un errore e che compaia nell'acquisizione della segnalazione di errore; l'applicazione non effettua tale acquisizione in schermate come i progressi, le valutazioni, l'anamnesi e i messaggi.

6. Sicurezza

Applichiamo le misure tecniche e organizzative dell'Allegato II, che rivediamo regolarmente senza ridurre il livello complessivo di protezione, tenendo conto dello stato dell'arte e del rischio del trattamento, compreso il trattamento di dati relativi alla salute.

7. Sub-responsabili del trattamento

Il Titolare autorizza, in via generale, i sub-responsabili del trattamento dell'Allegato III. Informiamo il Titolare via email, con almeno 30 giorni di preavviso, di qualsiasi aggiunta o sostituzione, salvo in caso di sostituzione urgente per motivi di sicurezza o per cessazione del servizio del fornitore, nel qual caso informiamo il prima possibile. Il Titolare può opporsi per motivi fondati di protezione dei dati; se non troviamo una soluzione, può risolvere il contratto senza penali, con rimborso proporzionale del periodo pagato ed esportazione dei dati. Imponiamo a ciascun sub-responsabile obblighi di protezione dei dati equivalenti a quelli del presente DPA e restiamo pienamente responsabili nei confronti del Titolare del loro adempimento (articolo 28, paragrafo 4, del GDPR).

8. Assistenza e violazioni dei dati

Le richieste degli interessati che ci pervengono vengono inoltrate al Titolare senza ingiustificato ritardo; non rispondiamo senza autorizzazione, se non per indicare a chi devono rivolgersi. Mettiamo a disposizione nel Servizio strumenti per consultare, rettificare ed eliminare i dati di ciascun cliente e, su richiesta, la loro esportazione o la loro cancellazione completa. Assistiamo il Titolare, tenendo conto della natura del trattamento e delle informazioni a nostra disposizione, nell'adempimento degli obblighi degli articoli da 32 a 36 del GDPR (sicurezza, violazioni, valutazione d'impatto e consultazione preventiva).

In caso di violazione dei dati personali che riguardi i Dati del Titolare, gliela notifichiamo via email senza ingiustificato ritardo e, ove possibile, entro 48 ore dal momento in cui ne siamo venuti a conoscenza, indicando la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni coinvolti, il punto di contatto, le probabili conseguenze e le misure adottate o proposte. Le informazioni non ancora disponibili vengono inviate in fasi successive, senza ingiustificato ritardo.

9. Fine del trattamento

Finché l'account esiste e dopo la fine di un abbonamento a pagamento, il Titolare può richiedere l'esportazione dei Dati del Titolare ai sensi delle sezioni 20 e 23 dei Termini. Quando l'account viene eliminato, cancelliamo i Dati del Titolare entro 30 giorni, salvo conservazione imposta dalla legge; ciò che risulti ancora nei registri di audit e nelle copie di backup viene cancellato alla scadenza dei termini dell'Allegato II, e le segnalazioni di errore fino a 90 giorni dopo. I dati che un cliente ha inserito nel proprio account restano in tale account; da quel momento cessano di essere Dati del Titolare e sono disciplinati dall'Informativa sulla privacy. Fanno eccezione le fotografie e i file che il cliente ha inviato nell'ambito del percorso con il Titolare: restano ospitati nell'account di quest'ultimo e vengono cancellati insieme ad esso.

10. Informazioni e audit

Mettiamo a disposizione del Titolare le informazioni necessarie per dimostrare il rispetto dell'articolo 28 del GDPR e consentiamo le attività di revisione, comprese le ispezioni, svolte dal Titolare o da un revisore da lui scelto e soggetto a riservatezza. Gli audit si svolgono con un ragionevole preavviso, al massimo una volta all'anno, salvo indizi di inadempimento o richiesta della CNPD, in primo luogo tramite documentazione e questionari, e senza compromettere la sicurezza degli altri clienti. Sono a carico del Titolare, salvo che venga accertato un nostro inadempimento. Mettiamo queste informazioni a disposizione dell'autorità di controllo quando richieste.

11. Trasferimenti internazionali

Trasferiamo Dati del Titolare al di fuori dello Spazio economico europeo solo con le garanzie del Capo V del GDPR. L'Allegato III indica la sede di ciascun sub-responsabile e, quando il trattamento avviene al di fuori dello Spazio economico europeo, la garanzia applicabile. Inviamo copia delle Clausole contrattuali tipo su richiesta.

12. Obblighi del Titolare

Spetta al Titolare: disporre di una base giuridica per ogni trattamento e, per i dati relativi alla salute, di una base dell'articolo 9, paragrafo 2, del GDPR (di norma il consenso esplicito dell'interessato; i professionisti sanitari soggetti al segreto professionale possono invocare la lettera h), in combinato disposto con il paragrafo 3); informare gli interessati (articoli 13 e 14), comprese le persone che registra senza un proprio account; ottenere l'autorizzazione dei rappresentanti legali dei minori; garantire che i membri del suo team agiscano sotto la sua autorità e con riservatezza (articolo 29); effettuare, quando richiesta, la valutazione d'impatto sulla protezione dei dati; e impartire istruzioni lecite.

13. Responsabilità, prevalenza e modifiche

I limiti di responsabilità dei Termini si applicano solo tra le parti e non pregiudicano i diritti degli interessati (articolo 82 del GDPR). In caso di conflitto relativo al trattamento dei Dati del Titolare, il presente DPA prevale sui Termini. Le modifiche al presente DPA seguono la sezione 25 dei Termini. Il presente DPA è disciplinato dalla legge portoghese. Le espressioni non definite hanno il significato loro attribuito dal GDPR.

Allegato I: Sintesi del trattamento

Allegato II: Misure tecniche e organizzative

• Server di produzione ospitati nell'Unione europea (Germania)
• Crittografia in transito (HTTPS/TLS) nelle connessioni via Internet
• Password con hash; segreti dell'autenticazione a due fattori e connessioni a servizi esterni cifrati sui server
• Autenticazione a due fattori disponibile per tutti gli account
• Separazione dei dati per account e per team, con autorizzazioni configurabili dal Titolare
• Limiti di tentativi, protezione anti-bot e monitoraggio degli accessi
• Registri di audit delle modifiche (180 giorni; 365 giorni per account e pagamenti) e degli accessi dell'assistenza (365 giorni)
• Sessioni di assistenza all'interno degli account, registrate e limitate nel tempo; né esse né gli strumenti di amministrazione danno accesso a file privati, salvo ciò che è visibile nell'acquisizione di una segnalazione di errore dell'applicazione mobile
• Copie di backup del database, cancellate a rotazione, di norma dopo 30 giorni
• Chiamate senza registrazione; ritrasmissione e chiamate di gruppo su server propri
• Personale con accesso vincolato alla riservatezza

Allegato III: Sub-responsabili del trattamento