Privacy Policy

Titolare del trattamento e contatti

Il Titolare del trattamento è CENTRO SERVIZI RIEDUCATORE SPORTIVO S.R.L., con sede legale in Via Bruno Tosarelli 220/C, 40055 Castenaso (BO), Italia, codice fiscale e Partita IVA 03445171204.

Per richieste relative alla privacy, ai dati Google Health o alla cancellazione: info@rieducatoresportivo.it.

Dati dell’account e finalità

Il database dell’applicazione prevede username, password (conservata come hash), nome, cognome, età o data di nascita, sesso, professione, telefono, email, indirizzo, città, provincia, CAP, interessi, tempo libero, codice fiscale/Partita IVA e preferenze/consensi. Alcuni campi dipendono dal percorso di registrazione e possono non essere compilati.

Queste informazioni servono a creare e gestire l’account, autenticare l’utente, completare il profilo, mostrare le funzionalità dell’area riservata e inviare le comunicazioni previste dai flussi dell’applicazione. I questionari, indici personali, obiettivi e abitudini inseriti dall’utente sono conservati per rendere disponibili le relative funzionalità e lo storico.

Google Health: dati accessibili e utilizzo

Il collegamento a Google Health è volontario e non è necessario per usare Test Energia, indici, obiettivi o abitudini. Se l’utente autorizza l’accesso, l’applicazione richiede esclusivamente gli ambiti di sola lettura googlehealth.activity_and_fitness.readonly, googlehealth.health_metrics_and_measurements.readonly e googlehealth.sleep.readonly.

• Attività: conteggio dei passi di ieri e dell’ultimo intervallo di sette giorni, per le componenti dei punti Day Energy relative ai passi.
• Frequenza cardiaca a riposo giornaliera: battiti al minuto, per la componente Day Energy relativa alla frequenza cardiaca a riposo.
• Sonno: sessioni concluse ieri, minuti dormiti e minuti nel periodo di sonno. I minuti dormiti sono usati per la durata del sonno; il rapporto tra minuti dormiti e periodo di sonno calcola un valore di efficienza equivalente perché Google Health non fornisce il campo Fitbit corrispondente.

I dati delle tre categorie alimentano solo il calcolo e la visualizzazione di Day Energy e della media Week Energy nell’area Google Health. L’implementazione attuale non usa i dati Google Health per l’idoneità a premi.

Cosa viene conservato

L’implementazione non salva il payload grezzo ricevuto dalle API Google Health. Salva in tabelle dedicate i token di accesso e rinnovo OAuth, il tipo e gli ambiti del token, le scadenze, l’identificativo Google Health e l’eventuale identificativo legacy; inoltre salva gli snapshot calcolati di Day Energy, Week Energy, punteggio grezzo e percentuale Day Energy. Questi dati sono associati allo username dell’account.

I token Google Health sono cifrati a livello applicativo con AES-256-GCM prima di essere scritti nel database. La chiave applicativa è configurata fuori dal database e dal codice sorgente; non viene registrata nei log. Il codice non definisce un periodo di conservazione né una procedura automatica di cancellazione per account, token o snapshot Google Health.

Comunicazione a terzi

Per collegare Google Health, il browser e il server comunicano con Google per l’autorizzazione OAuth, il rilascio e il rinnovo dei token e le chiamate API necessarie ai dati descritti. Il codice dell’integrazione Google Health non invia token, dati grezzi o snapshot Google Health a Fitbit, Resend o ai webhook Wix configurati nell’applicazione.

L’applicazione utilizza inoltre fornitori tecnici per hosting, database, invio email e webhook, nella misura necessaria all’erogazione e alla sicurezza del servizio. Sono descritti qui genericamente perché il provider di produzione, il luogo di hosting e i relativi accordi/ruoli privacy non sono determinabili dal codice disponibile. Non viene formulata alcuna dichiarazione specifica sul luogo di conservazione o su eventuali trasferimenti internazionali.

Sicurezza rilevabile nel codice

L’applicazione usa hash delle password, query parametrizzate per le operazioni sui dati e OAuth con codice di autorizzazione, stato casuale legato alla sessione e scadenza di dieci minuti. I token Google Health sono cifrati a livello applicativo con AES-256-GCM e la chiave è tenuta fuori dal database e dal codice sorgente. Le chiamate HTTP verso Google verificano il certificato e l’host TLS e applicano timeout; i cookie di sessione sono configurati come HttpOnly e SameSite=Lax, con Secure quando la connessione lo consente. Non vengono qui dichiarate misure infrastrutturali non presenti nel progetto.

Scollegamento, cancellazione e revoca

Dalla pagina Google Health autenticata puoi usare “Scollega Google Health”: l’azione cancella dal servizio la connessione OAuth locale e interrompe gli aggiornamenti successivi, ma non cancella gli snapshot già importati. Per chiedere la cancellazione della connessione e degli snapshot Google Health, scrivi a info@rieducatoresportivo.it indicando l’account interessato. Le richieste sono gestite manualmente entro i termini previsti dalla normativa applicabile, generalmente senza ingiustificato ritardo e, per le richieste GDPR, entro un mese, salvo la proroga consentita nei casi previsti dalla legge.

Puoi inoltre revocare l’autorizzazione direttamente dal tuo Account Google, nella sezione sicurezza dedicata alle app e ai servizi con accesso all’account. La revoca su Google non cancella automaticamente i dati già salvati da RS Ricarica.

I tuoi diritti

Nei casi previsti dalla normativa applicabile puoi chiedere accesso, rettifica, cancellazione, limitazione, opposizione e portabilità dei dati, nonché proporre reclamo all’autorità di controllo competente. Per esercitare i diritti puoi scrivere a info@rieducatoresportivo.it. Le richieste sono gestite entro i termini previsti dalla normativa applicabile, generalmente entro un mese per le richieste GDPR, salvo proroga legalmente consentita.

Google API Services

L’uso da parte dell’applicazione delle informazioni ricevute dalle API Google è limitato alle funzionalità mostrate all’utente: calcolo e visualizzazione di Day Energy e Week Energy. Il Titolare dichiara che tale uso è effettuato in conformità alla Google API Services User Data Policy, inclusi i requisiti di Limited Use (Uso limitato).

In particolare, l’applicazione richiede solo gli ambiti necessari e usa i dati Google Health per fornire la funzionalità richiesta dall’utente; non usa tali dati per pubblicità personalizzata, non li vende e non li trasferisce a data broker. I dati non sono trasferiti a soggetti terzi estranei per finalità diverse dalla funzionalità richiesta, dalla sicurezza, dagli obblighi di legge o dai casi espressamente consentiti dalla Policy. L’accesso, l’uso e la conservazione sono protetti con le misure applicative descritte sopra.