Informativa sulla privacy

1. Chi è il titolare

Il titolare del trattamento è Marcello Chiesa, Corso Svizzera 123e, Torino, Italia. Per qualsiasi domanda sulla privacy o per esercitare i tuoi diritti scrivi a marcellochiesa.it@gmail.com.

2. Quali dati trattiamo

• Account: email e password. Della password salviamo solo un'impronta cifrata (bcrypt), mai il testo in chiaro.
• Profilo: nome, età, peso, frequenza cardiaca massima e zone, sport praticati, preferenze, infortuni e limiti che ci racconti.
• Allenamenti: sport, durata, dislivello, tempo nelle zone cardiache, fatica percepita e note, inseriti da te, dalla chat, dal timer o importati da Strava.
• Recupero: ore di sonno, variabilità cardiaca (HRV) e frequenza a riposo, se li inserisci o li invii.
• Obiettivi: le mete che imposti e l'analisi di cosa richiedono.
• Chat: i messaggi scambiati con Vetta e i ricordi che approvi.
• Strava, se lo colleghi: id e nome atleta, permessi concessi, token di accesso (conservati cifrati, AES-256-GCM) e le attività importate.
• Uso dell'app: i giorni in cui la usi, i passi dell'onboarding completati, le animazioni già viste e le card condivise (solo tipo e formato: nessuna immagine o foto viene conservata).
• Dati tecnici: indirizzo IP e tipo di browser nei log del fornitore di hosting, per sicurezza e diagnosi.

3. Dati sulla salute

Frequenza cardiaca, HRV, sonno, peso e infortuni sono dati relativi alla salute (art. 9 del GDPR). Li trattiamo solo con il tuo consenso esplicito, che dai al momento della registrazione, e solo per costruire e adattare il tuo piano.

Puoi revocare il consenso in qualsiasi momento chiedendo la cancellazione dell'account. Senza questi dati Vetta non può calcolare il carico e il recupero, quindi non può funzionare.

4. Perché li usiamo e su quale base

• Fornirti il servizio (account, piano settimanale, progressi, chat): esecuzione del contratto (art. 6.1.b GDPR) e, per i dati sulla salute, consenso esplicito (art. 9.2.a).
• Collegamento a Strava e riepilogo nelle attività: il tuo consenso, che dai quando colleghi l'account e revochi scollegandolo.
• Sicurezza, prevenzione degli abusi e limiti d'uso della chat: legittimo interesse (art. 6.1.f).
• Statistiche d'uso per migliorare l'app: legittimo interesse. Usiamo Vercel Web Analytics, che non usa cookie e non ti identifica: riceve solo il percorso della pagina visitata.

Non vendiamo i tuoi dati, non li usiamo per pubblicità e non li condividiamo con altri utenti.

5. Intelligenza artificiale

La chat, l'analisi degli obiettivi e la revisione della settimana sono generate da Claude, il modello di Anthropic. Per rispondere, Vetta invia ad Anthropic il contesto necessario: profilo, allenamenti recenti, recupero, obiettivi e messaggi. Per le condizioni commerciali di Anthropic, i dati inviati tramite API non vengono usati per addestrare i modelli.

Per cercare nei testi tecnici di Vetta, brevi testi di ricerca (la tua domanda in chat, la descrizione di una meta, i nomi dei tuoi sport) vengono trasformati in vettori numerici da Voyage AI. Il tuo profilo e i dati di recupero non vengono inviati a Voyage.

Quello che propone l'IA è un suggerimento: il piano lo decidi sempre tu, e nessuna decisione con effetti giuridici viene presa in modo automatico.

6. Con chi li condividiamo

Solo con i fornitori che ci servono per far funzionare Vetta, nominati responsabili del trattamento e vincolati a usare i dati solo per conto nostro:

• Vercel Inc. (USA): hosting dell'app, log tecnici e statistiche d'uso senza cookie.
• Neon (USA): il database in cui sono salvati i tuoi dati.
• Anthropic PBC (USA): il modello di intelligenza artificiale.
• Voyage AI (USA): la ricerca nei testi tecnici.
• Strava Inc. (USA): solo se colleghi il tuo account.

Alcuni fornitori trattano i dati fuori dallo Spazio economico europeo. Il trasferimento si basa sull'EU-US Data Privacy Framework, per i fornitori certificati, o sulle clausole contrattuali standard della Commissione europea.

Il titolare può accedere ai dati solo per assistenza e manutenzione. Li comunichiamo ad autorità pubbliche solo se la legge lo impone.

7. Per quanto tempo

• Finché il tuo account è attivo, per mostrarti lo storico e calcolare il piano.
• Sessioni, obiettivi e ricordi puoi eliminarli uno per uno quando vuoi; la cronologia della chat si cancella da Tu.
• Se scolleghi Strava cancelliamo subito i token; le attività già importate restano nel diario finché non le elimini.
• Se chiedi la cancellazione dell'account eliminiamo tutti i tuoi dati entro 30 giorni. Le copie di sicurezza del database si sovrascrivono entro lo stesso periodo.
• I log tecnici del fornitore di hosting durano pochi giorni.

8. Cookie e memoria del browser

Usiamo solo cookie tecnici, necessari al funzionamento, per cui non serve il consenso:

• Sessione di accesso: ti tiene collegato.
• vetta_lingua e vetta_lingua_dispositivo: la lingua che hai scelto e quella del tuo dispositivo.
• vetta_strava_state: protegge il collegamento a Strava e scade dopo pochi minuti.

Nella memoria locale del browser salviamo piccole preferenze dell'interfaccia, per esempio se hai chiuso l'invito a installare l'app. Non usiamo cookie di profilazione né cookie di terze parti per la pubblicità.

9. I tuoi diritti

Puoi chiedere di accedere ai tuoi dati, correggerli, cancellarli, limitarne il trattamento, riceverli in un formato leggibile (portabilità), opporti al trattamento basato sul legittimo interesse e revocare il consenso, senza che questo tocchi la liceità di quanto fatto prima.

Molti dati li modifichi o elimini da solo nell'app. Per esportare tutto o cancellare l'account, per ora scrivi a marcellochiesa.it@gmail.com: rispondiamo entro 30 giorni.

Se pensi che il trattamento violi il GDPR puoi presentare reclamo al Garante per la protezione dei dati personali (garanteprivacy.it) o all'autorità del Paese in cui vivi.

10. Età minima

Vetta è pensata per chi ha almeno 16 anni. Se scopriamo che un account appartiene a una persona più giovane, lo cancelliamo.

11. Sicurezza

Il traffico passa su HTTPS, le password sono salvate con bcrypt, i token di Strava sono cifrati e l'accesso al database è limitato. Nessun sistema è sicuro al 100%: in caso di violazione dei dati avvisiamo te e il Garante come previsto dalla legge.

12. Modifiche

Se cambiamo questa informativa aggiorniamo la data in alto. Per cambiamenti importanti ti avvisiamo nell'app e, quando serve, ti chiediamo di nuovo il consenso.