In sintesi
- Raccogliamo solo ciò che serve a un allenatore: il suo ID Telegram, un profilo atleta e i dati di allenamento/recupero del dispositivo indossabile che collega. Non sono richiesti nome, e-mail, numero di telefono o indirizzo.
- I dati sanitari (frequenza cardiaca, HRV, sonno, allenamenti, prontezza) sono trattati solo con il suo consenso esplicito, che lei può revocare in qualsiasi momento.
- I dati sul ciclo mestruale sono oggetto di un’adesione separata e più rigorosa: conserviamo solo le date di inizio delle mestruazioni, visibili unicamente a lei — mai agli amministratori — e lei può cancellarle in qualsiasi momento.
- Deliberatamente non conserviamo tracciati GPS, la sua data di nascita completa, indirizzi IP grezzi, stringhe user-agent complete del browser o dati della carta di pagamento.
- I suoi dati sono conservati nell’Unione Europea, cifrati a riposo e in transito.
- Può esportare tutto in formato JSON oppure cancellare tutto, direttamente nel Bot.
- Non vendiamo i suoi dati e non mostriamo pubblicità.
Questa informativa spiega, in modo completo, che cosa raccogliamo, perché, chi tratta i dati per noi e quali sono i suoi diritti.
1. Chi siamo
Sport AI Link (“Sport AI Link”, “noi”, “ci”) gestisce il bot Telegram Sport AI Link (il “Bot”) e il sito web sportai.link (il “Sito”) — insieme, il “Servizio”: un allenatore sportivo personale assistito da intelligenza artificiale che lavora con i dati del suo dispositivo indossabile.
Per qualsiasi questione relativa ai suoi dati personali, scriva a privacy@sportai.link. Per domande generali: hello@sportai.link.
2. Ambito di applicazione
Questa informativa riguarda i dati personali trattati tramite il Bot e il Sito. Non riguarda i trattamenti autonomi effettuati da Telegram, dal produttore del suo dispositivo indossabile o da altri servizi di terzi che lei utilizza secondo i loro termini (si veda la Sezione 7).
3. Quali dati raccogliamo
3.1 Account
Il suo ID Telegram numerico, la lingua dell’interfaccia e lo stato del suo periodo di prova/abbonamento. Non chiediamo nome, numero di telefono, e-mail o indirizzo per utilizzare il Bot.
3.2 Profilo atleta
Dati che lei inserisce durante l’onboarding o nel dialogo, oppure che provengono dal suo dispositivo: sesso, anno di nascita (deliberatamente non la data completa), altezza, peso, VO2max, frequenza cardiaca massima e a riposo, obiettivo di allenamento, limitazioni, unità di misura preferite e fuso orario. Alcuni di questi (sesso, peso, altezza, valori di frequenza cardiaca) sono dati sanitari e sono coperti dal suo consenso esplicito (Sezione 5).
3.3 Dati sanitari (categoria particolare)
Con il suo consenso esplicito, riceviamo dal dispositivo indossabile collegato — tramite il nostro fornitore di aggregazione — e ne calcoliamo: frequenza cardiaca e variabilità della frequenza cardiaca (HRV), frequenza cardiaca a riposo, metriche del sonno, registrazioni degli allenamenti (durata, distanza, frequenza cardiaca media, calorie, tipo di sport), punteggi di prontezza/recupero e dispendio energetico giornaliero.
3.4 Dati sul ciclo mestruale (adesione separata)
Solo se lei attiva separatamente ed esplicitamente il monitoraggio del ciclo, conserviamo esclusivamente le date di inizio delle mestruazioni. Questi dati sono tecnicamente visibili solo a lei: le policy di accesso a livello di database fanno sì che gli amministratori non possano visualizzarli. Può cancellarli in qualsiasi momento nel Bot, indipendentemente dal resto del suo account.
3.5 Messaggi e voce
I messaggi di testo che lei invia all’allenatore (comprese le domande in formato libero) e una cronologia limitata e scorrevole del dialogo recente. I messaggi vocali sono trascritti localmente sulla nostra infrastruttura; l’audio viene eliminato immediatamente dopo la trascrizione e viene conservato solo il testo riconosciuto.
3.6 Pagamenti
I pagamenti avvengono in Telegram Stars all’interno di Telegram. Non riceviamo né conserviamo mai numeri di carta o dettagli degli strumenti di pagamento. Conserviamo solo: l’importo, l’identificativo di pagamento Telegram, il pacchetto acquistato e le date del periodo di abbonamento.
3.7 Analisi del Sito
Su sportai.link raccogliamo un insieme minimo di dati di prima parte: percorso della pagina, lingua, categoria di dispositivo (cellulare/tablet/desktop — la stringa user-agent completa non viene conservata), Paese (codice ISO derivato dalla geolocalizzazione a livello di hosting), l’host di provenienza (senza percorso né parametri) e un identificativo anonimo del visitatore conservato nel suo browser. Gli indirizzi IP grezzi non vengono conservati. Separatamente, e solo se lei accetta il banner sui cookie, utilizziamo Google Analytics 4 (Sezione 12).
3.8 Registri tecnici
Log della coda di sincronizzazione, contabilizzazione dell’uso dell’IA (numero di token e costo), un registro di audit delle azioni degli amministratori ed eventi del funnel di prodotto (ad es. registrazione → dispositivo collegato → abbonamento).
3.9 Ciò che deliberatamente non raccogliamo
- Coordinate GPS e tracciati — i campi di localizzazione vengono rimossi ricorsivamente dai dati di allenamento prima che qualsiasi cosa venga scritta nel nostro database. Non sappiamo dove si allena.
- La sua data di nascita completa (solo l’anno), indirizzi IP grezzi, stringhe user-agent complete, dati della carta di pagamento, il suo nome, la sua e-mail o il suo numero di telefono.
4. Da dove provengono i dati
- Lei — inserimenti durante l’onboarding, dialogo, conferme del profilo, adesioni.
- Il suo dispositivo indossabile, tramite il nostro fornitore di aggregazione — Garmin, Oura, Whoop, Fitbit o Strava, collegati da lei tramite l’autorizzazione OAuth del fornitore stesso.
- Telegram — i suoi messaggi al Bot, il suo ID Telegram e l’impostazione della lingua, nonché le conferme di pagamento.
- Il Sito — le analisi minime descritte nella Sezione 3.7.
5. Perché trattiamo i suoi dati e su quale base giuridica
| Finalità | Dati | Base giuridica (GDPR) |
|---|---|---|
| Fornitura del servizio di coaching: il suo account, i calcoli delle metriche, i piani, i consigli | Account, profilo, dialogo | Esecuzione di un contratto, art. 6(1)(b); per i dati sanitari che vi rientrano — consenso esplicito, art. 9(2)(a) |
| Trattamento dei dati sanitari provenienti dal suo dispositivo indossabile | Sezione 3.3 | Consenso esplicito, art. 9(2)(a) (ambito del consenso: trattamento dei dati sportivi) |
| Coaching consapevole del ciclo | Sezione 3.4 | Consenso esplicito separato, art. 9(2)(a) (ambito del consenso: salute mestruale) |
| Abbonamenti e pagamenti | Sezione 3.6 | Contratto, art. 6(1)(b); obblighi di legge relativi alla conservazione dei documenti, art. 6(1)(c) |
| Analisi del Sito tramite Google Analytics 4 | Analisi basate su cookie | Consenso, art. 6(1)(a) e norme ePrivacy |
| Il nostro beacon di sito minimo e privo di cookie | Sezione 3.7 | Legittimo interesse, art. 6(1)(f) — comprendere l’utilizzo aggregato del Sito con dati minimi |
| Sicurezza, prevenzione degli abusi e amministrazione | Registri tecnici, identificativi | Legittimo interesse, art. 6(1)(f) |
| Conservazione dei registri dei consensi dopo la cancellazione dell’account | Registro dei consensi | Legittimo interesse a dimostrare la conformità e a difendere diritti in sede giudiziaria, art. 6(1)(f), art. 9(2)(f) |
Laddove il trattamento si basi sul consenso, lei può revocarlo in qualsiasi momento (Sezione 10); la revoca non pregiudica la liceità del trattamento effettuato prima della revoca. Laddove ci basiamo sul legittimo interesse, lei può opporsi (Sezione 10).
6. Come viene utilizzata l’IA con i suoi dati
Le metriche sportive (carico, prontezza, zone di frequenza cardiaca) sono calcolate da codice deterministico, non dall’IA. Il modello linguistico di IA è utilizzato solo per formulare i consigli di coaching e riceve:
- un briefing preparato — numeri e fatti aggregati prodotti dal nostro codice, mai un accesso diretto al nostro database; e
- i messaggi in testo libero che lei stessa/o scrive all’allenatore.
Al nostro fornitore di IA è contrattualmente vietato utilizzare questi contenuti per addestrare i propri modelli. Non adottiamo nei suoi confronti decisioni automatizzate che producano effetti giuridici o in modo analogo significativi (art. 22 del GDPR): il Servizio fornisce suggerimenti di coaching a carattere informativo e lei decide sempre come allenarsi.
7. Chi tratta i dati per noi
Ci avvaliamo di un numero ristretto di fornitori di servizi (“responsabili del trattamento”) che agiscono secondo le nostre istruzioni:
| Fornitore | Ruolo | Dati coinvolti | Ubicazione |
|---|---|---|---|
| Supabase | Database, archiviazione, processi in background | Dati dell’account e dati sanitari (cifrati a riposo) | Regione UE |
| Vital (tryvital.io) | Aggregazione dei dati dei dispositivi indossabili | Dati sanitari provenienti dal suo dispositivo | Endpoint UE |
| Anthropic | Generazione tramite IA del testo di coaching | Il briefing (numeri/fatti aggregati) e i suoi messaggi in testo libero | USA (si veda la Sezione 8) |
| Vercel | Hosting del Sito e del pannello di amministrazione | Analisi del Sito, contenuti statici | USA (si veda la Sezione 8) |
| Google (Analytics 4) | Analisi del Sito, solo con il suo consenso | Dati analitici basati su cookie | USA (si veda la Sezione 8) |
| Il nostro server | Esecuzione del Bot e trascrizione vocale locale | Audio vocale (trattato localmente, eliminato immediatamente) | La nostra infrastruttura |
I soggetti seguenti sono servizi indipendenti, non nostri responsabili del trattamento — alle loro attività si applicano le rispettive informative sulla privacy:
- Telegram — la piattaforma tramite la quale lei utilizza il Bot e paga con le Stars;
- Fornitori di dispositivi indossabili (Garmin, Oura, Whoop, Fitbit, Strava) — lei autorizza il collegamento direttamente presso di loro tramite OAuth e può revocarlo lì.
8. Trasferimenti internazionali
I suoi dati sono conservati nell’Unione Europea (database in regione UE ed endpoint UE del nostro aggregatore di dati dei dispositivi indossabili). Alcuni fornitori trattano dati limitati negli Stati Uniti:
- Anthropic (generazione di testo tramite IA): riceve solo il briefing preparato e i suoi messaggi in testo libero. I trasferimenti sono garantiti da un accordo sul trattamento dei dati che incorpora le Clausole Contrattuali Tipo (CCT) dell’UE.
- Vercel (hosting del sito): certificata nell’ambito del EU-U.S. Data Privacy Framework.
- Google (Analytics 4, solo con il suo consenso): certificata nell’ambito del EU-U.S. Data Privacy Framework; l’anonimizzazione degli IP è attiva.
Come ulteriore garanzia by design, il fornitore di IA non riceve mai contenuti grezzi del database — solo briefing aggregati e testo scritto da lei stessa/o.
9. Per quanto tempo conserviamo i dati
| Dati | Conservazione |
|---|---|
| Account, profilo, dati sanitari e dati sul ciclo | Finché il suo account esiste; cancellati immediatamente su sua richiesta (Sezione 10) |
| Account inattivi | Cancellati dopo 24 mesi di inattività, con preavviso |
| Cronologia del dialogo | Finestra scorrevole dei messaggi recenti; i messaggi più vecchi vengono eliminati |
| Audio vocale | Non conservato — eliminato immediatamente dopo la trascrizione locale |
| Analisi del Sito (il nostro beacon) e log tecnici | 12 mesi |
| Registri di pagamento e abbonamento | Per il tempo richiesto dalla normativa contabile e fiscale applicabile |
| Registri dei consensi | Conservati dopo la cancellazione dell’account, fino a 5 anni, unicamente per dimostrare la liceità del trattamento |
10. I suoi diritti
Lei ha il diritto di:
- Accesso e portabilità — esportare tutti i suoi dati in formato JSON, direttamente nel Bot;
- Cancellazione — cancellare il suo account e tutti i dati associati nel Bot; l’operazione si propaga a cascata su tutte le nostre tabelle e attiva la cancellazione dei suoi dati presso il nostro aggregatore di dati dei dispositivi indossabili e la disconnessione del suo dispositivo;
- Rettifica — correggere i dati del suo profilo nel Bot in qualsiasi momento;
- Revoca del consenso — in qualsiasi momento, compresa la disattivazione separata del monitoraggio del ciclo; le funzionalità correlate smettono di funzionare e il trattamento precedente resta lecito;
- Opposizione — al trattamento basato sul legittimo interesse (compreso il nostro beacon di sito);
- Limitazione — chiedere che limitiamo il trattamento mentre una controversia viene risolta;
- Reclamo — presso l’autorità di controllo per la protezione dei dati del suo Paese.
Per esercitare qualsiasi diritto, utilizzi le funzioni integrate nel Bot oppure scriva a privacy@sportai.link. Rispondiamo entro 30 giorni.
11. Età
Il Servizio è destinato a persone di età pari o superiore a 16 anni. Non trattiamo consapevolmente dati di persone di età inferiore a 16 anni. Se ritiene che una persona di età inferiore a 16 anni stia utilizzando il Servizio, contatti privacy@sportai.link e provvederemo a cancellare l’account e i relativi dati.
12. Cookie e analisi del sito
- Il nostro beacon sul Sito è privo di cookie e non conserva il suo indirizzo IP.
- Google Analytics 4 funziona in Google Consent Mode v2: l’archiviazione a fini analitici è negata per impostazione predefinita e GA non imposta cookie né invia hit identificativi finché lei non preme “Accetta” nel banner. Può rifiutare e la sua scelta viene memorizzata nel browser. L’anonimizzazione degli IP è attiva.
13. Sicurezza
I dati sono cifrati in transito (TLS) e a riposo. Ogni tabella del database è protetta da row-level security, così un utente non può mai leggere i dati di un altro nemmeno in caso di bug applicativo. I dati sul ciclo sono inoltre protetti dall’accesso degli amministratori a livello di policy del database. L’accesso degli amministratori richiede l’autenticazione a due fattori e il pannello di amministrazione mostra solo dati aggregati — mai registrazioni sanitarie grezze. I webhook in ingresso sono verificati tramite firma. Una descrizione dettagliata e in linguaggio semplice si trova sulla nostra pagina Dati e sicurezza.
14. Modifiche a questa informativa
Potremmo aggiornare questa informativa con l’evolversi del Servizio. La versione e la data di efficacia sono indicate in alto. In caso di modifiche sostanziali, la informeremo nel Bot e, ove la legge lo richieda, le chiederemo un nuovo consenso. I consensi che lei presta sono registrati insieme alla versione dell’informativa in vigore in quel momento.
15. Contatti
Richieste in materia di privacy: privacy@sportai.link Informazioni generali: hello@sportai.link
La presente informativa è redatta in inglese; le traduzioni sono fornite per comodità e, in caso di discrepanza, prevale la versione inglese.