Privacy
Policy.

1. Titolare e contatti

Il titolare del trattamento è Dimitri Bengardino, D+ Personal Training Studio, sede legale Via Paolo Segneri 6, 20147 Milano (MI), Italia. Lo studio si trova in Via Bartolomeo D’Alviano 55, 20146 Milano. Per richieste privacy: info@fitnessmilano.com; PEC dinodimitri@pecimprese.it.

2. Dati trattati e provenienza

• Contatti: nome, cognome, email, telefono e contenuto della richiesta.
• Account facoltativo: email, UID Firebase, data di creazione, stato di verifica e log di autenticazione. La password è gestita da Firebase Authentication e non è accessibile a D+.
• Ordini: servizi, varianti, quantità, importi, numero ordine, date, consensi contrattuali, note e stato del pagamento.
• Fatturazione: indirizzo, CAP, città, provincia, Paese, codice fiscale, ragione sociale, Partita IVA, codice SDI e PEC quando richiesti.
• Bonifico: stato dell’accredito, importo, data, causale, riferimento TRN/CRO se disponibile e dati minimi del pagatore presenti nella contabile. D+ non richiede credenziali bancarie, PIN o password.
• Sicurezza: indirizzo IP, user agent, eventi applicativi, token anti-abuso e log tecnici prodotti da hosting, Firebase, App Check e sistemi amministrativi.
• Dispositivo: carrello e preferenze cookie salvati localmente; interazioni con Google Maps soltanto dopo il consenso applicabile. Google Analytics non è attivo sul sito.

I dati vengono forniti dall’interessato o generati durante l’uso del sito; possono inoltre essere ricevuti dalla banca per riconciliare il bonifico. I campi liberi non devono contenere diagnosi, referti o altri dati sanitari. Se informazioni sanitarie fossero necessarie all’erogazione, saranno raccolte separatamente dal professionista competente con informativa e misure adeguate.

3. Finalità, basi giuridiche e conferimento

Google Analytics non è attivo in questa release e non riceve dati dal sito.

Non sono previste comunicazioni promozionali basate sui dati dell’ordine senza una base giuridica e un’informativa specifica.

I dati inviati per essere ricontattati non vengono utilizzati per comunicazioni promozionali.

4. Account cliente e verifica dell’identità

L’account è facoltativo e permette di recuperare dati già forniti. Per impedire accessi impropri, l’associazione tra un account e l’anagrafica cliente deve avvenire solo dopo verifica dell’indirizzo email. Fino alla verifica non vengono mostrati telefono, indirizzi, dati fiscali o storico ordini. L’utente è responsabile della riservatezza delle credenziali e deve segnalare accessi sospetti.

La richiesta di cancellazione dell’account non comporta la cancellazione di dati di ordini e fatture che D+ deve conservare per obblighi di legge o tutela di diritti; tali dati vengono separati dall’account operativo e limitati alle finalità residue.

5.4. Destinatari e fornitori

I dati sono accessibili al personale autorizzato e, secondo necessità, a professionisti incaricati dell’erogazione. Possono inoltre essere trattati dai seguenti fornitori, nella misura necessaria ai servizi indicati:

• Aruba S.p.A., hosting, infrastruttura del dominio e casella email utilizzata per le comunicazioni relative alle richieste di contatto e agli ordini;
• Google LLC / Google Cloud EMEA Limited, progetto Firebase dplus-b8120 per Authentication, Firestore, Cloud Functions, App Check, log e infrastruttura;
• istituti bancari del titolare e del cliente, per esecuzione e riconciliazione dei bonifici;
• Google Maps, caricato soltanto dopo la relativa scelta nelle preferenze cookie; Google Analytics 4 non è attivo sul sito;
• WhatsApp / Meta Platforms, soltanto quando l’utente sceglie di aprire il relativo link o avviare una conversazione; WhatsApp riceve allora i dati tecnici della connessione e ciò che l’utente decide di comunicare;
• commercialista, consulenti e autorità, quando necessario per obblighi o tutela di diritti.

I link WhatsApp non incorporano tracker nel sito: il trasferimento verso il servizio esterno inizia con il click dell’utente.

Stripe e PayPal non sono destinatari finché i relativi metodi non vengono effettivamente attivati. Prima di attivarli questa informativa e l’inventario dei fornitori devono essere aggiornati.

6.5. Trasferimenti fuori dallo SEE

Alcuni fornitori del gruppo Google o altri sub-responsabili possono trattare dati anche fuori dallo Spazio Economico Europeo. D+ verifica i meccanismi applicabili al momento del trattamento, come decisioni di adeguatezza, Data Privacy Framework UE-USA per soggetti aderenti o clausole contrattuali standard, insieme alle eventuali misure supplementari. L’elenco dei sub-responsabili e le regioni effettivamente configurate devono essere conservati nel registro interno.

7.6. Tempi di conservazione

• Richieste che non diventano rapporto commerciale: massimo 12 mesi dall’ultima interazione.
• Ordini non pagati, scaduti o falliti: non applicabile finché l’acquisto online resta disattivato.
• Account senza acquisti e inattivi: non applicabile finché gli account cliente restano disattivati.
• Ordini pagati, fatture e documentazione contabile: per i termini imposti dalla legge, ordinariamente 10 anni per la documentazione fiscale.
• Log applicativi nel bucket Google Cloud _Default: 30 giorni; log di audit obbligatori nel bucket _Required: 400 giorni. I dati possono essere isolati più a lungo solo in caso di incidente, contestazione o obbligo.
• Prova delle condizioni e dei consensi contrattuali: per la durata del rapporto e il successivo termine di prescrizione applicabile.
• Preferenze cookie: sei mesi di calendario. Google Analytics non è attivo in questa release.

Alla scadenza i dati vengono cancellati o anonimizzati in modo irreversibile, anche nei backup secondo il ciclo di rotazione documentato. I backup non sono usati per finalità correnti e, se ripristinati, vengono nuovamente sottoposti alle cancellazioni già maturate.

8.7. Diritti dell’interessato

Nei casi previsti dagli articoli 15–22 del GDPR puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità e opposizione, nonché revocare il consenso senza pregiudicare i trattamenti già effettuati. Per proteggere i dati, D+ può chiedere informazioni ragionevoli per verificare l’identità.

Scrivi a info@fitnessmilano.com oppure alla PEC indicata all’articolo 1. La risposta viene fornita di regola entro un mese. Puoi proporre reclamo al Garante per la protezione dei dati personali ↗ o all’autorità competente del tuo Stato.

9.8. Sicurezza e violazioni

D+ adotta misure proporzionate al rischio, tra cui controllo degli accessi, verifica email per i clienti, account amministratore autorizzato, email verificata e sessione protetta, regole Firestore a privilegio minimo, App Check, cifratura in transito, backup, tracciamento delle operazioni amministrative e procedure di gestione degli incidenti. Nessuna misura elimina completamente il rischio; gli incidenti vengono valutati e notificati alle autorità e agli interessati nei casi e nei tempi previsti dalla legge.

10.9. Decisioni automatizzate e minori

Il sito non assume decisioni esclusivamente automatizzate con effetti giuridici o analogamente significativi. La classificazione amministrativa “nuovo/fidelizzato” si basa sul numero di acquisti pagati e serve solo a organizzare il rapporto commerciale. Lo shop è destinato a maggiorenni e D+ non raccoglie consapevolmente dati di minori attraverso il checkout.

11.10. Cookie e aggiornamenti

Gli strumenti non necessari restano bloccati fino al consenso. Categorie, fornitori e durate sono descritti nella Cookie Policy; la scelta è modificabile in ogni momento. Questa informativa viene aggiornata quando cambiano trattamenti o fornitori. Le modifiche sostanziali vengono segnalate con mezzi appropriati e, quando necessario, viene richiesto un nuovo consenso.