Accordo di nomina a Responsabile del trattamento

Accordo ai sensi dell'art. 28 del Reg. UE 2016/679 (GDPR) tra il personal trainer che attiva ZenitPT e il fornitore del Servizio.

Versione 1.3 — 15 ottobre 2026.

1. Parti

• Titolare del trattamento: il personal trainer (o altro professionista del fitness) che attiva il Servizio ZenitPT, identificato dai dati inseriti al momento dell'attivazione (nome, email, P.IVA o codice fiscale se presente). Di seguito, il “Titolare” o il “PT”.
• Responsabile del trattamento: Mattias Zoratto, ditta individuale che opera con il nome commerciale “ZenitPT”, P.IVA 03084430309, sede Via Dante Alighieri 16, 33040 Pradamano (UD), email info@zenitpt.it. Di seguito, il “Responsabile” o “ZenitPT”.

Questo accordo fa parte dei Termini di servizio. Se c'è un contrasto, per la protezione dei dati prevale questo accordo.

2. Oggetto e durata

Il Titolare nomina ZenitPT Responsabile del trattamento dei dati personali dei propri clienti (gli “Assistiti”), che ZenitPT tratta solo per erogare il Servizio: promemoria degli appuntamenti, prenotazioni e disdette, sincronizzazione del calendario, conteggio dei pacchetti, avvisi di rinnovo e di pagamento, richieste di feedback, messaggi di riattivazione, avvisi di orari liberi, check-in settimanali, auguri di compleanno e cruscotto per il PT, secondo il piano sottoscritto. Il PT consulta, inserisce, modifica, esporta e cancella questi dati in un'area web a lui riservata (app ZenitPT, di seguito «area web»).

L'accordo vale dall'accettazione fino alla cessazione del Servizio e, dopo, per il tempo necessario a completare la cancellazione o la restituzione dei dati (sezione 11). Per i PT che usavano già il Servizio prima dell'accettazione, l'accordo copre anche i trattamenti svolti dalla loro data di attivazione.

3. Dati trattati e interessati

Interessati: i clienti del PT (Assistiti), compresi i potenziali clienti che il PT inserisce o che scrivono al numero del Servizio. Se un Assistito è minorenne, i messaggi vanno al recapito indicato da chi esercita la responsabilità genitoriale, che è anch'esso un dato trattato.

Categorie di dati:

• nome o nome di riferimento, alias usato nel calendario del PT, numero di telefono WhatsApp e, se il PT la inserisce, data di nascita (per gli auguri);
• dati inseriti dal PT nella scheda del cliente: obiettivo, note («cose da ricordare»), giorni preferiti, con chi si allena;
• consenso dell'Assistito a ricevere i messaggi del Servizio (data e modalità);
• appuntamenti: data, ora, stato, disdette, storico delle lezioni;
• eventi del calendario Google del PT letti dal Servizio (orari, titoli e descrizioni, per riconoscere gli appuntamenti) e eventi delle lezioni che il Servizio scrive nel calendario (data, ora, nome dell'Assistito);
• pacchetti acquistati e residui, scadenze e rinnovi;
• pagamenti tra Assistito e PT come registrati dal PT: importi, rate, stato (pagato o da pagare). ZenitPT non incassa questi pagamenti e non tratta i dati delle carte degli Assistiti;
• pause e chiusure del rapporto: motivo scelto dal PT e data;
• risposte ai feedback e ai check-in;
• contenuto dei messaggi WhatsApp scambiati tra l'Assistito e il Servizio;
• dati tecnici legati ai messaggi: identificativi e stato di consegna;
• i dati che il PT inserisce o consulta nell'area web (scheda del cliente, consenso registrato con data e versione del testo, pagamenti, cruscotto);
• le schede clienti su Google Sheets compilate dal PT, fino al trasferimento nell'area web e alla loro cancellazione.

Operazioni: raccolta, registrazione, conservazione, consultazione, uso per l'invio dei messaggi configurati, sincronizzazione con il calendario del PT, cancellazione.

4. Istruzioni del Titolare

ZenitPT tratta i dati solo su istruzione documentata del Titolare. Le istruzioni sono: questo accordo, i Termini di servizio, il piano scelto, la configurazione delle automazioni e le richieste che il PT invia per email, via WhatsApp al Servizio o con le funzioni dell'area web. ZenitPT non usa i dati degli Assistiti per finalità proprie, non li vende, non li usa per pubblicità e non contatta gli Assistiti a proprio nome. Accettando questo accordo, il Titolare istruisce ZenitPT anche a effettuare i trasferimenti descritti alla sezione 8.

Se un'istruzione sembra violare il GDPR o altre norme sulla protezione dei dati, ZenitPT lo segnala subito al Titolare (art. 28, par. 3, GDPR) e può sospenderne l'esecuzione finché il Titolare non la conferma o la modifica.

Se una norma obbliga ZenitPT a trattare i dati in modo diverso, ZenitPT ne informa prima il Titolare, salvo che la legge lo vieti.

5. Riservatezza

Ai dati degli Assistiti accedono solo le persone autorizzate da ZenitPT (art. 29 GDPR e art. 2-quaterdecies D.Lgs. 196/2003), nella misura necessaria a erogare e assistere il Servizio. Oggi sono Mattias Zoratto e Alessandro Chittaro. Le persone autorizzate sono vincolate alla riservatezza anche dopo la fine del rapporto. Chi si aggiunge in futuro riceve l'autorizzazione scritta e l'impegno di riservatezza prima di ottenere l'accesso.

6. Misure di sicurezza (art. 32 GDPR)

ZenitPT applica queste misure:

• Trasmissione cifrata: le comunicazioni tra il Servizio e i fornitori (Meta, Google, n8n, Cloudflare) passano su HTTPS.
• Verifica dei messaggi in arrivo: il Worker che riceve i callback di WhatsApp controlla la firma di Meta e scarta le chiamate senza firma valida.
• Separazione dei dati: ogni riga dei dati degli Assistiti è legata al PT a cui appartiene. Un PT non vede gli Assistiti, gli appuntamenti o i messaggi di un altro PT.
• Accessi limitati: ai pannelli di gestione (n8n, Meta, Google, Cloudflare, Stripe) si accede solo con gli account di ZenitPT, usati dalle persone autorizzate della sezione 5.
• Accesso all'area web: codice di 6 cifre mandato su WhatsApp al numero del PT, valido 10 minuti e usabile una volta; sessione di 30 giorni con cookie tecnico HttpOnly e Secure; nel database solo l'impronta (SHA-256) di codici e sessioni.
• Controlli sull'area web: al massimo 10 tentativi di accesso ogni 10 minuti; il PT vede i dispositivi collegati e può scollegarli; le modifiche fatte dall'area web sono registrate con data e operazione e conservate 12 mesi.
• Minimizzazione: i campi del Servizio non chiedono dati di salute e l'area web rifiuta i testi che ne contengono (sezione 3).
• Conservazione limitata: tempi e cancellazioni come alla sezione 11 e nella Privacy Policy.
• Controllo quotidiano: ogni sera si controllano le esecuzioni del giorno e gli errori, per individuare subito anomalie e invii non previsti.

7. Sub-responsabili

Il Titolare autorizza in via generale ZenitPT a usare i sub-responsabili qui sotto. ZenitPT resta responsabile verso il Titolare del loro operato (art. 28, par. 2 e 4, GDPR). Per ciascuno è indicato su quale base tratta i dati.

• n8n GmbH (Berlino, Germania): motore delle automazioni e archivio dei dati (Data Tables), su infrastruttura Microsoft Azure nell'UE. L'assistenza tecnica può coinvolgere n8n US Inc. (USA) e la società del gruppo nel Regno Unito. Garanzie: accordo sul trattamento di n8n con Clausole Contrattuali Standard; Data Privacy Framework per gli USA; decisione di adeguatezza per il Regno Unito.
• Meta Platforms Ireland Ltd. (Dublino, Irlanda): WhatsApp Business Platform, Cloud API. I messaggi sono trattati nei data center di Meta, che possono trovarsi fuori dall'UE, e conservati da Meta fino a 30 giorni per il funzionamento del servizio. Garanzie: WhatsApp Business Data Processing Terms, Clausole Contrattuali Standard (Decisione UE 2021/914) e Data Privacy Framework.
• Google Ireland Ltd. (Irlanda): Google Calendar (lettura del calendario del PT, per riconoscere le lezioni e gli orari occupati, e scrittura delle lezioni: l'assistente crea, sposta e annulla gli eventi delle lezioni prenotate, spostate o disdette dagli Assistiti, nel calendario che il PT condivide con il permesso di modificare gli eventi oppure in un calendario delle lezioni creato da ZenitPT, che il PT può vedere anche dall'iPhone con un link privato; gli altri eventi del PT non vengono modificati), Google Drive e Sheets (schede clienti compilate dal PT, fino al trasferimento nell'area web e alla loro cancellazione entro 30 giorni; copie di sicurezza fatte fino al 15 ottobre 2026, cancellate tra il 12 e il 30 novembre 2026), usati tramite un account Google gratuito di ZenitPT. Per questo account valgono i termini di Google per gli utenti privati: oggi non c'è un accordo sul trattamento firmato con Google, come invece c'è con gli altri fornitori di questo elenco. ZenitPT si impegna a passare a un account Google con accordo sul trattamento, oppure a spostare questi dati presso un fornitore di questo elenco, e lo comunica al Titolare per email.
• Cloudflare, Inc. (USA): Worker che riceve i messaggi in arrivo da Meta e serve l'area web del PT; database D1 dell'area web, creato con vincolo di giurisdizione UE (i dati sono conservati nell'UE; le richieste possono essere elaborate da server Cloudflare anche fuori dall'UE); archivio (KV) dei cruscotti, replicato sulla rete globale. Garanzie: accordo sul trattamento di Cloudflare con Clausole Contrattuali Standard e Data Privacy Framework.
• Register S.p.A. (Italia): casella di posta info@zenitpt.it, dove arrivano richieste e comunicazioni dei PT, e server di posta (SMTP) da cui partono le email del Servizio ai PT, che possono contenere dati degli Assistiti (per esempio nomi e appuntamenti). Nessun trasferimento fuori dall'UE.

Stripe non compare nell'elenco perché tratta soltanto i dati di pagamento del PT verso ZenitPT, di cui ZenitPT è Titolare autonomo, e non i dati degli Assistiti.

Prima di aggiungere o sostituire un sub-responsabile, ZenitPT avvisa il Titolare per email con almeno 15 giorni di anticipo. Entro quel termine il Titolare può opporsi per motivi legati alla protezione dei dati. Se non si trova una soluzione, il Titolare può disdire senza penali e con rimborso del canone già pagato per il periodo non goduto.

8. Trasferimenti fuori dall'UE

Alcuni sub-responsabili possono trattare dati fuori dallo Spazio Economico Europeo, in particolare negli Stati Uniti (Cloudflare, Meta, la società statunitense di n8n e le rispettive società del gruppo) e nel Regno Unito (assistenza di n8n). Per n8n, Meta e Cloudflare questi trasferimenti avvengono, come indicato alla sezione 7, sulla base di:

• Clausole Contrattuali Standard della Commissione Europea (Decisione di esecuzione UE 2021/914), incluse negli accordi sul trattamento dei fornitori;
• dove il fornitore è certificato, la decisione di adeguatezza sull'EU-US Data Privacy Framework (Decisione di esecuzione UE 2023/1795 del 10 luglio 2023);
• per il Regno Unito, la decisione di adeguatezza della Commissione Europea.

Anche Google può trattare dati fuori dall'UE. Per l'account gratuito usato oggi le garanzie sono quelle dei termini di Google per gli utenti privati, non un accordo con ZenitPT (sezione 7). ZenitPT non trasferisce dati fuori dall'UE per scelta propria, oltre a quanto indicato sopra.

9. Assistenza al Titolare e diritti degli interessati

ZenitPT aiuta il Titolare a rispondere alle richieste degli Assistiti (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione, artt. 15–22 GDPR):

• se una richiesta arriva a ZenitPT, la inoltra al PT entro 5 giorni lavorativi e non risponde nel merito senza sua istruzione, salvo la richiesta di non ricevere più messaggi: quella, per istruzione permanente del Titolare, viene applicata subito e comunicata al PT;
• su richiesta del PT, fornisce entro 10 giorni lavorativi l'estrazione, la correzione o la cancellazione dei dati di un Assistito;
• fornisce le informazioni di cui dispone per aiutare il Titolare negli obblighi degli artt. 32–36 GDPR (sicurezza, violazioni, eventuale valutazione d'impatto).

10. Violazioni dei dati (data breach)

Se ZenitPT viene a conoscenza di una violazione dei dati degli Assistiti, la comunica al Titolare senza ingiustificato ritardo, e comunque entro 48 ore da quando ne ha avuto conoscenza, per email all'indirizzo del PT e per WhatsApp. In questo modo il Titolare ha il tempo per notificarla al Garante entro 72 ore, se necessario (art. 33 GDPR). La comunicazione indica, per quanto noto: che cosa è successo, quali dati e quanti Assistiti sono coinvolti, le conseguenze probabili, le misure prese o proposte e un contatto. Se non tutto è noto subito, le informazioni arrivano a fasi. La notifica al Garante e l'eventuale comunicazione agli Assistiti (art. 34) spettano al Titolare, con l'aiuto di ZenitPT.

11. Fine del rapporto: cancellazione e restituzione

Alla cessazione del Servizio, su scelta del Titolare comunicata a info@zenitpt.it:

• ZenitPT restituisce i dati degli Assistiti in un formato di uso comune (JSON o foglio di calcolo), poi li cancella; oppure
• li cancella senza restituirli.

Il PT può anche scaricare i dati in ogni momento dall'area web. Durante il rapporto, il contenuto dei messaggi è conservato nel Servizio al massimo 12 mesi. Senza una scelta, alla cessazione i dati sono cancellati entro 30 giorni dalla disattivazione. I messaggi restano comunque presso Meta al massimo 30 giorni, secondo le regole della Cloud API. Le copie di ripristino automatiche del database dell'area web si sovrascrivono entro 30 giorni. Su richiesta, ZenitPT conferma per iscritto l'avvenuta cancellazione. Restano solo i dati che una legge obbliga a conservare.

12. Verifiche e audit

ZenitPT mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto di questo accordo: questo documento, l'elenco aggiornato dei sub-responsabili e i loro accordi sul trattamento pubblici. Il Titolare, o un revisore da lui incaricato e vincolato alla riservatezza, può chiedere una verifica, comprese ispezioni, anche in loco o da remoto, con almeno 15 giorni di preavviso, al massimo una volta l'anno, salvo dopo una violazione o su richiesta di un'autorità. La verifica si svolge in modo da non compromettere i dati degli altri PT. Le verifiche sui sub-responsabili si basano sui loro rapporti e certificazioni.

13. Obblighi del Titolare

Il PT garantisce di:

• avere una base giuridica per trattare i dati dei suoi Assistiti e per farli contattare dal Servizio;
• aver informato gli Assistiti (artt. 13–14 GDPR), prima del primo messaggio, che ricevono messaggi WhatsApp automatici tramite ZenitPT. Può usare il modello di informativa pubblicato su zenitpt.it/informativa-clienti.html, completato con i propri dati. Il modello è un aiuto: la responsabilità dell'informativa resta del Titolare;
• aver raccolto dagli Assistiti il consenso esplicito (opt-in) a ricevere messaggi WhatsApp dal numero del Servizio, come richiesto dalla WhatsApp Business Messaging Policy, e di conservarne traccia;
• non inserire dati di salute (sezione 3) e non inserire persone che non sono suoi clienti o che hanno chiesto di non essere contattate.

14. Versione, modifiche e accettazione

Versione 1.3 — 15 ottobre 2026 (cambiano le sezioni 3, 5 e 7: scrittura delle lezioni nel calendario del PT, persone autorizzate, fine delle copie su Google Drive. Versioni precedenti: versione 1.2 del 7 ottobre 2026; versione 1.1 del 7 ottobre 2026; versione 1.0 del 27 settembre 2026). L'accordo si accetta all'attivazione del Servizio, insieme ai Termini; ZenitPT conserva la prova dell'accettazione (la sottoscrizione del piano sul modulo di pagamento, anche quando all'iscrizione non è addebitato nulla, o la risposta via email) con la data e il numero di versione. Le modifiche sostanziali vengono comunicate per email con almeno 30 giorni di preavviso. Il PT che non le accetta può disdire senza penali.

Legge applicabile: italiana. Foro: come nei Termini di servizio.