La presente informativa descrive come PumpBro tratta i dati personali ai sensi del Regolamento UE 2016/679 («GDPR»). Vale per tutti i canali del servizio: il sito pumpbro.app, l'area riservata web e l'app mobile PumpBro per iOS e Android.
PumpBro è un ecosistema per personal trainer e nutrizionisti e per i loro clienti: il professionista gestisce schede, piani alimentari e appuntamenti dal web; il cliente/atleta li consulta e registra i propri allenamenti e il proprio diario dall'app mobile o dall'area riservata. Il servizio è attualmente in beta privata.
1. Titolare del trattamento
Il titolare del trattamento è Simone De Rinaldo — con recapito in Corso Umberto I 214, 80016 Marano di Napoli (NA). Per qualsiasi richiesta relativa alla privacy puoi scrivere a info@pumpbro.app o dalla pagina Contatti. Non è nominato un Responsabile della protezione dei dati (DPO): il trattamento non rientra nei casi in cui l'art. 37 GDPR lo rende obbligatorio.
2. A chi si rivolge questa informativa, e in che ruolo
PumpBro tratta dati di due categorie di persone, con ruoli diversi. Leggi il punto che ti riguarda:
- Sei un professionista (personal trainer, nutrizionista) che usa PumpBro per lavorare: rispetto ai dati del tuo account PumpBro è titolare. Rispetto ai dati dei tuoi clienti che inserisci nel gestionale, il titolare sei tu: PumpBro agisce come responsabile del trattamento e tratta quei dati solo per erogarti il servizio e secondo le tue istruzioni. Il rapporto è disciplinato dall'Accordo sul trattamento dei dati (DPA), ai sensi dell'art. 28 GDPR.
- Sei un cliente/atleta seguito da un professionista e usi l'app mobile o l'area riservata: titolare è il tuo professionista, che ha deciso di seguirti con PumpBro e determina quali dati raccogliere e perché. PumpBro è suo responsabile per il contenuto della tua scheda, del tuo piano alimentare e dei tuoi progressi. Fanno però eccezione alcuni dati che raccogliamo in proprio per far funzionare e mettere in sicurezza l'app, e per i quali PumpBro è titolare autonomo: le credenziali di accesso, i consensi che presti (di cui dobbiamo conservare prova, art. 7.1 GDPR), il token delle notifiche push e le relative preferenze, i log tecnici e le segnalazioni di errore. Per questi ultimi puoi rivolgerti direttamente a noi.
3. Quali dati trattiamo
- Dati dell'account del professionista: nome, email, password (in forma cifrata) e le informazioni di profilo che scegli di fornire (bio, telefono, avatar, slug della vetrina pubblica).
- Dati dei clienti inseriti dal professionista: anagrafica (nome, email, telefono, data di nascita, genere), schede di allenamento, piani alimentari, misurazioni, foto dei progressi, progressi e note.
- Dati che il cliente inserisce dall'app o dall'area riservata: carichi, ripetizioni, tempi e distanze delle serie eseguite, sessioni di allenamento e durata, note personali sugli esercizi, diario alimentare (alimenti, quantità, pasti, codici a barre scansionati), peso e misurazioni, foto del profilo, richieste di appuntamento e note per il professionista.
- Messaggi scambiati con il tuo professionista (chat nell'app): il testo dei messaggi, gli allegati che invii o ricevi (foto, video, messaggi vocali) e il riferimento all'esercizio o alla scheda da cui è nata la domanda, quando lo alleghi tu. I messaggi possono contenere informazioni sulla tua salute: vedi il punto 5.
- Dati tecnici dell'app mobile: identificativo del dispositivo per le notifiche push («push token») e preferenze di notifica, modello del dispositivo, sistema operativo e versione dell'app, dati diagnostici e segnalazioni di errore (crash) associate al tuo account.
- Dati tecnici e di utilizzo del sito: log di sistema, indirizzo IP, tipo di dispositivo e browser, dati aggregati e anonimi sull'uso del servizio, necessari alla sicurezza e al funzionamento.
- Contenuti caricati per l'import: file (Excel, PDF, foto) che il professionista carica per trascrivere schede esistenti tramite intelligenza artificiale. Questa funzione non è disponibile nell'app dei clienti e non riguarda i dati che l'atleta inserisce.
4. Permessi del dispositivo richiesti dall'app
L'app chiede un permesso solo nel momento in cui serve davvero, mai all'avvio, e continua a funzionare se lo neghi:
- Fotocamera — solo per leggere il codice a barre di un prodotto e aggiungerlo al diario alimentare. L'immagine viene elaborata sul dispositivo per ricavarne il codice e non viene salvata né trasmessa: al server arriva solo il codice a barre. Se neghi il permesso puoi aggiungere gli alimenti per nome o a mano.
- Libreria foto — solo per scegliere l'immagine del tuo profilo. Carichiamo unicamente la foto che selezioni tu; non leggiamo la galleria.
- Notifiche — per ricevere promemoria e avvisi (vedi §7). Puoi rifiutarle all'inizio o disattivarle in ogni momento.
L'app non accede alla posizione, ai contatti, al microfono, al calendario, né alle app di salute del sistema (Apple Salute / Health Connect).
5. Dati relativi alla salute
Peso, misurazioni, foto dei progressi, diario alimentare e allenamenti possono costituire categorie particolari di dati (dati relativi alla salute, art. 9 GDPR). Il trattamento avviene sulla base del tuo consenso esplicito (art. 9.2.a), raccolto quando attivi il tuo accesso e richiesto separatamente dagli altri consensi nell'app. Il professionista che ti segue è responsabile di raccoglierlo su una base giuridica idonea nei tuoi confronti.
Puoi revocare il consenso in qualsiasi momento: dato che senza questi dati il servizio non ha oggetto, la revoca comporta la cessazione del servizio e la cancellazione del tuo account (vedi §11). Questi dati non vengono mai usati per finalità pubblicitarie, non vengono venduti e non vengono condivisi con terzi per scopi diversi da quelli descritti in questa informativa.
6. Finalità e basi giuridiche
- Erogazione del servizio (gestione account, schede, diete, agenda, diario, area cliente e app) — base giuridica: esecuzione del contratto (art. 6.1.b).
- Trattamento dei dati sulla salute — base giuridica: consenso esplicito (art. 9.2.a).
- Notifiche push e comunicazioni di servizio (email transazionali: conferme, reset password; notifiche su appuntamenti, schede e piani) — base giuridica: esecuzione del contratto; per le categorie non essenziali, il tuo consenso, revocabile dalle impostazioni dell'app.
- Sicurezza, prevenzione abusi, diagnostica e assistenza — base giuridica: legittimo interesse (art. 6.1.f) a mantenere il servizio funzionante e sicuro.
- Prova dei consensi prestati (registro delle accettazioni di Termini, Privacy e consenso sanitario, con data e versione del documento) — base giuridica: obbligo di dimostrare il consenso (art. 7.1) e obbligo legale (art. 6.1.c).
- Adempimenti di legge (contabili, fiscali) — base giuridica: obbligo legale (art. 6.1.c).
- Marketing — base giuridica: consenso, facoltativo, separato e revocabile in ogni momento dall'app o scrivendoci. Rifiutarlo non limita in alcun modo il servizio.
7. Notifiche push
L'app può inviarti notifiche relative agli appuntamenti (conferma, spostamento, annullamento, promemoria del giorno prima), alle schede (nuova scheda assegnata, scheda in scadenza), al piano alimentare e ai messaggi del tuo professionista. Per recapitarle il tuo dispositivo genera un token che identifica l'installazione dell'app — non te come persona — e che associamo al tuo account.
La consegna avviene attraverso Expo e, a seconda del dispositivo, Firebase Cloud Messaging di Google (Android) o APNs di Apple (iOS): questi servizi ricevono il token e il contenuto della notifica, che manteniamo privo di dati sanitari di dettaglio. Puoi disattivare le notifiche per categoria dalle impostazioni dell'app o revocarle del tutto dalle impostazioni di sistema; al logout il token viene cancellato dai nostri sistemi. Restano attive anche a categoria silenziata solo le notifiche critiche di annullamento o spostamento di un appuntamento, perché la loro mancata ricezione ti farebbe presentare a un appuntamento che non esiste più; l'app te lo dichiara nella schermata delle notifiche.
7-bis. La chat con il tuo professionista
Nell'app puoi scrivere direttamente al professionista che ti segue e allegare foto, video e messaggi vocali, oltre al riferimento dell'esercizio di cui stai parlando. I messaggi sono visibili solo a te e a lui: nessun altro cliente vi accede, e i file sono conservati in un'area di archiviazione privata, raggiungibile unicamente tramite collegamenti temporanei generati per chi partecipa alla conversazione.
Il contenuto di un messaggio può riguardare la tua salute (per esempio un dolore o un infortunio): in quel caso si applica quanto detto al punto 5 sui dati particolari, e la base giuridica è il tuo consenso esplicito. Sei libero di non scriverne.
Anteprima nelle notifiche. Quando ricevi un messaggio, l'anteprima del testo compare sulla schermata di blocco del telefono e transita per i servizi di consegna (Expo, Apple, Google) come ogni altra notifica. Puoi disattivare l'anteprima dalle impostazioni delle notifiche dell'app: la notifica continuerà ad arrivare, ma senza il testo. Al tuo professionista, che lavora dal gestionale web, inviamo invece una email che segnala la presenza di nuovi messaggi senza riportarne il contenuto.
La conversazione resta disponibile finché dura il rapporto con quel professionista e viene cancellata insieme all'account, allegati compresi. Se cambi professionista, la conversazione precedente resta consultabile in sola lettura e quella nuova parte da zero: le due non si mescolano.
8. Fornitori e responsabili esterni
Per erogare il servizio ci avvaliamo di fornitori selezionati che trattano dati per nostro conto come responsabili:
- Supabase — database, autenticazione e archiviazione dei file, dati ospitati nell'Unione Europea (Francoforte, Germania).
- Vercel — hosting dell'applicazione e statistiche di utilizzo aggregate e prive di cookie.
- Expo — distribuzione degli aggiornamenti dell'app e servizio di invio delle notifiche push.
- Google (Firebase Cloud Messaging) — recapito delle notifiche push sui dispositivi Android. Di Firebase usiamo esclusivamente il servizio di messaggistica: nessun Analytics, nessun servizio pubblicitario, nessun identificativo pubblicitario.
- Apple (APNs) — recapito delle notifiche push sui dispositivi iOS.
- Resend — invio delle email transazionali.
- Sentry — monitoraggio degli errori tecnici e dei crash dell'app.
- Cloudflare R2 — archiviazione delle immagini degli esercizi.
- Anthropic — elaborazione dei file caricati dal professionista (PDF, foto, Excel) per la trascrizione tramite intelligenza artificiale di schede e piani alimentari esistenti. L'invio avviene solo su azione esplicita del professionista, previo avviso in-app; i dati non vengono utilizzati per l'addestramento di modelli. I dati che l'atleta inserisce dall'app non passano da questo fornitore.
- Open Food Facts — banca dati pubblica e collaborativa (licenza ODbL) da cui l'app ricava denominazione e valori nutrizionali di un prodotto a partire dal codice a barre. La interroghiamo con il solo codice: nessun dato personale lascia PumpBro in questa operazione.
L'elenco aggiornato dei sub-responsabili autorizzati e i relativi impegni sono riportati nell'Accordo sul trattamento dei dati.
9. Trasferimenti extra-UE
Il database e i file, cioè i dati del tuo percorso, sono ospitati nell'Unione Europea. Alcuni fornitori infrastrutturali (Vercel, Expo, Google, Apple, Sentry, Anthropic) possono trattare dati anche al di fuori dell'Unione, in particolare negli Stati Uniti. In tali casi il trasferimento avviene sulla base di garanzie adeguate previste dal Capo V del GDPR: le Clausole Contrattuali Standard approvate dalla Commissione Europea e, ove il fornitore vi aderisca, il EU-US Data Privacy Framework.
10. Conservazione
Conserviamo i dati per il tempo necessario a erogare il servizio e finché l'account è attivo. Alla chiusura dell'account i dati vengono cancellati o resi anonimi entro un termine ragionevole e comunque non superiore a 30 giorni, fatti salvi gli obblighi di legge (es. conservazione dei documenti contabili). Il token delle notifiche push viene eliminato al logout o quando il servizio di consegna ci segnala che non è più valido. I messaggi della chat e i loro allegati vivono quanto il rapporto con il professionista e vengono cancellati con l'account. Il registro dei consensi viene conservato per il tempo necessario a dimostrarne il rilascio, anche dopo la revoca.
11. I tuoi diritti, l'esportazione e la cancellazione
In qualità di interessato puoi esercitare i diritti previsti dagli artt. 15-22 GDPR: accesso, rettifica, cancellazione, limitazione, portabilità e opposizione al trattamento, oltre al diritto di revocare il consenso in ogni momento e di proporre reclamo al Garante per la protezione dei dati personali. Se sei cliente di un professionista che usa PumpBro, per i dati del tuo percorso (scheda, dieta, progressi) fai riferimento in primo luogo al professionista, che ne è titolare; per i dati di cui siamo titolari noi (§2) scrivici direttamente. Puoi comunque scrivere a info@pumpbro.app o dalla pagina Contatti: risponderemo senza ingiustificato ritardo e comunque entro 30 giorni.
Senza passare da noi puoi inoltre, in autonomia, esportare tutti i tuoi dati in formato leggibile e cancellare definitivamente il tuo account: nell'app dal menu Profilo → Elimina account, e nell'area riservata web dalla stessa voce. Se non hai più l'app installata o non riesci ad accedere, le istruzioni e il canale per richiedere la cancellazione sono sulla pagina Elimina il tuo account.
12. Minori
PumpBro non è destinato ai minori di 16 anni e non raccogliamo consapevolmente i loro dati. Il servizio tratta dati relativi alla salute e richiede il consenso esplicito dell'interessato: per questo abbiamo scelto una soglia più alta dei 14 anni previsti in Italia per i servizi della società dell'informazione. Se ritieni che un minore ci abbia fornito i propri dati, scrivici a info@pumpbro.app: provvederemo alla cancellazione senza indugio.
13. Cookie, statistiche, pubblicità e tracciamento
Il sito e l'area riservata utilizzano cookie tecnici necessari all'autenticazione e al funzionamento del servizio, esenti da consenso. Le statistiche di utilizzo sono raccolte in forma aggregata e senza cookie di profilazione.
L'app mobile non usa cookie, non contiene SDK pubblicitari o di tracciamento e non accede all'identificativo pubblicitario del dispositivo (IDFA su iOS, Advertising ID su Android). Non tracciamo la tua attività su app o siti di altre aziende e non partecipiamo a network pubblicitari. Non vendiamo dati personali e non li condividiamo con terzi per finalità di marketing loro proprie.
Qualora attivassimo strumenti di marketing e misurazione delle campagne pubblicitarie (ad esempio pixel o cookie di terze parti per retargeting e conversioni), questi verranno installati solo previo tuo consenso, raccolto tramite un apposito banner con scelte granulari e sempre revocabile; fino ad allora nessuno strumento di questo tipo è attivo. Potremo inoltre trattare dati in forma aggregata e anonima — che non consente di identificarti — per statistiche di settore, benchmark e miglioramento del prodotto.
14. Sicurezza
Adottiamo misure tecniche e organizzative adeguate: cifratura in transito (HTTPS), isolamento dei dati imposto dal database stesso (ogni trainer accede esclusivamente ai propri clienti, ogni cliente esclusivamente ai propri dati), controllo degli accessi e monitoraggio. Sui dispositivi mobili le credenziali di sessione sono custodite nell'archivio cifrato del sistema operativo (Keychain su iOS, Keystore su Android) e mai in memorie in chiaro.
15. Modifiche
Potremo aggiornare questa informativa; la versione vigente è sempre pubblicata su questa pagina, con la data di ultimo aggiornamento in alto. Se le modifiche sono sostanziali ti chiederemo di prenderne nuovamente visione al primo accesso, sul web e nell'app.