Il presente Accordo sul trattamento dei dati («DPA», Data Processing Agreement) integra i Termini di Servizio e disciplina il trattamento dei dati personali che [Ragione sociale — P.IVA — sede legale da inserire] («PumpBro», il responsabile) effettua per conto del professionista che utilizza il servizio (il titolare), ai sensi dell'art. 28 del Regolamento UE 2016/679 («GDPR»). Accettando i Termini di Servizio, il professionista accetta anche il presente DPA.
1. Ruoli e ambito
Rispetto ai dati dei propri clienti/atleti inseriti nel servizio, il professionista è titolare del trattamento e PumpBro è responsabile e tratta tali dati esclusivamente per erogare il servizio e secondo le istruzioni documentate del titolare (i Termini, il presente DPA e le funzioni dell'applicazione). Per i dati dell'account del professionista, invece, PumpBro è autonomo titolare: quel trattamento è descritto nell'Informativa Privacy e non è oggetto di questo DPA.
2. Oggetto, durata, natura e finalità
- Oggetto e durata: il trattamento dei dati dei clienti del titolare per tutta la durata del rapporto contrattuale, sino alla cessazione dell'account.
- Natura e finalità: gestione di schede di allenamento, piani alimentari, appuntamenti, misurazioni, progressi e area cliente, tramite l'infrastruttura di PumpBro.
- Tipi di dati: anagrafica dei clienti (nome, email, telefono, data di nascita, genere), dati di allenamento e nutrizionali, misurazioni, foto dei progressi, note. Alcuni costituiscono categorie particolari (dati relativi alla salute, art. 9): il titolare garantisce di averne una base giuridica idonea (di norma il consenso esplicito del cliente).
- Categorie di interessati: i clienti/atleti del professionista.
3. Obblighi del responsabile
PumpBro, in qualità di responsabile, si impegna a:
- trattare i dati solo su istruzione documentata del titolare;
- garantire che le persone autorizzate al trattamento siano vincolate a un obbligo di riservatezza;
- adottare misure di sicurezza adeguate ai sensi dell'art. 32 (vedi §6);
- rispettare le condizioni per il ricorso a sub-responsabili (§4) e restare responsabile del loro operato;
- assistere il titolare, con misure tecniche e organizzative adeguate, nel dar seguito alle richieste di esercizio dei diritti degli interessati (artt. 15-22);
- assistere il titolare nel garantire il rispetto degli obblighi di sicurezza, notifica di violazioni e valutazione d'impatto (artt. 32-36);
- a scelta del titolare, cancellare o restituire i dati al termine del rapporto (§7);
- mettere a disposizione del titolare le informazioni necessarie a dimostrare il rispetto degli obblighi e consentire attività di revisione ragionevoli.
4. Sub-responsabili
Il titolare autorizza PumpBro ad avvalersi dei sub-responsabili elencati di seguito, che trattano i dati per erogare il servizio e sono vincolati da obblighi di protezione dei dati equivalenti a quelli del presente DPA. PumpBro comunicherà con congruo anticipo eventuali modifiche (aggiunta o sostituzione di un sub-responsabile), consentendo al titolare di opporsi per motivi legittimi.
- Supabase — database e autenticazione. Dati ospitati nell'Unione Europea (Francoforte, Germania).
- Vercel — hosting dell'applicazione; statistiche di utilizzo aggregate e prive di cookie.
- Cloudflare — CDN e archiviazione (R2) delle immagini degli esercizi.
- Resend — invio delle email transazionali.
- Sentry — monitoraggio degli errori tecnici (configurato senza dati personali dell'utente).
- Anthropic — elaborazione dei file caricati dal professionista per la trascrizione tramite intelligenza artificiale di schede e piani alimentari esistenti (import). Il contenuto può includere dati personali del cliente; l'invio avviene solo su azione esplicita del professionista, previo avviso. I dati non vengono usati per l'addestramento di modelli.
5. Trasferimenti extra-UE
Alcuni sub-responsabili (ad esempio Anthropic) possono trattare dati al di fuori dell'Unione Europea. In tali casi il trasferimento avviene sulla base di garanzie adeguate previste dal Capo V del GDPR, in particolare le Clausole Contrattuali Standard approvate dalla Commissione Europea.
6. Misure di sicurezza (art. 32)
- cifratura dei dati in transito (HTTPS/TLS);
- isolamento dei dati per professionista tramite Row Level Security a livello di database: ogni professionista accede esclusivamente ai propri clienti;
- controllo degli accessi basato su ruoli e autenticazione;
- monitoraggio, logging e gestione degli errori;
- backup gestiti dal provider del database.
7. Violazioni dei dati (data breach)
In caso di violazione dei dati personali trattati per conto del titolare, PumpBro ne informa il titolare senza ingiustificato ritardo dopo esserne venuto a conoscenza, fornendo le informazioni ragionevolmente disponibili utili al titolare per adempiere ai propri obblighi di notifica al Garante (art. 33) ed eventuale comunicazione agli interessati (art. 34).
8. Cancellazione o restituzione
Alla cessazione del rapporto, su scelta del titolare, PumpBro cancella o restituisce i dati personali trattati per suo conto e cancella le copie esistenti, salvo che la conservazione sia richiesta dalla legge. Il professionista può inoltre esportare i propri dati in qualsiasi momento dall'applicazione e, cancellando il proprio account, ne determina l'eliminazione definitiva.
9. Contatti
Per qualsiasi richiesta relativa al presente DPA puoi scrivere a info@pumpbro.app o dalla pagina Contatti.