È l'accordo fra ogni personal trainer che usa Ghisa e il gestore della piattaforma. Il trainer lo accetta nell'app, insieme ai Termini di servizio, al primo accesso: data e versione restano registrate sul suo profilo, e gli arriva una copia per email. La forma elettronica vale come forma scritta (art. 28, par. 9 GDPR).
Tra
1.1 Il Titolare usa Ghisa per programmare e seguire gli allenamenti dei propri assistiti. Per farlo, il Responsabile tratta per conto del Titolare i dati personali dei suoi assistiti, alle condizioni di questo accordo.
1.2 Questo accordo integra i Termini di servizio di Ghisa. Per tutto ciò che riguarda la protezione dei dati personali, in caso di contrasto prevale questo accordo. I termini con l'iniziale maiuscola che non sono definiti qui hanno il significato del Regolamento (UE) 2016/679 («GDPR»).
2.1 Finalità. Il Responsabile tratta i dati solo per fornire al Titolare la piattaforma Ghisa, e cioè per permettergli di:
2.2 Natura. Raccolta tramite l'app, registrazione, organizzazione, conservazione, consultazione, comunicazione al Titolare e all'assistito interessato, cancellazione; copie di sicurezza; invio delle email di servizio.
2.3 Durata. Dall'accettazione di questo accordo finché sulla piattaforma ci sono dati di assistiti collegati al Titolare, anche se l'abbonamento del Titolare è sospeso o scaduto (in quel caso, come prevedono i Termini, i suoi assistiti continuano a usare l'app), e fino alla cancellazione o alla restituzione dei dati del punto 12.
3.1 Interessati: gli assistiti del Titolare, compresi i clienti diretti di Ghisa collegati al Titolare dalla vetrina, per i dati di allenamento e di salute; le persone che chiedono di entrare dal link del Titolare.
3.2 Non rientrano in questo accordo i dati di cui il Responsabile è titolare: quelli di chi si allena su Ghisa senza trainer, l'abbonamento a Ghisa dei clienti collegati dalla vetrina con la regola A, i dati del Titolare stesso come cliente di Ghisa, i messaggi che chiunque manda all'assistenza di Ghisa, e i trattamenti del punto 5.
3.3 Dati trattati:
4.1 Il Responsabile tratta i dati solo su istruzione documentata del Titolare. Le istruzioni sono: questo accordo, i Termini, e l'uso che il Titolare fa delle funzioni dell'app (invitare, assegnare, consultare, scrivere, chiudere, eliminare). Rientrano nelle istruzioni anche i trasferimenti fuori dall'Unione europea descritti al punto 9.
4.2 Il Titolare dà inoltre istruzione di applicare questi tempi di conservazione, che il database applica da solo ogni notte:
4.3 Il Responsabile informa subito il Titolare se ritiene che un'istruzione violi il GDPR o altre norme sulla protezione dei dati. Se una legge gli impone di trattare i dati in modo diverso, lo comunica prima al Titolare, salvo che la legge lo vieti.
4.4 Il Responsabile non usa i dati degli assistiti per finalità proprie, salvo quelle del punto 5, e non li vende né li cede.
Per queste sole finalità, che decide da sé, il Responsabile è titolare autonomo (art. 28, par. 10) e ne risponde direttamente agli interessati, come spiega l'Informativa privacy di Ghisa:
6.1 Ai dati accedono solo il Responsabile e le persone che lui autorizza, vincolate alla riservatezza per contratto o per legge.
6.2 Dall'app, l'amministratore di Ghisa vede degli assistiti solo ciò che serve a gestire la piattaforma e a dare assistenza: il profilo (nome, email, data di nascita, genere, altezza), le schede e le sedute. Non vede peso, circonferenze, indici, benessere, i messaggi del Titolare, accordi, pagamenti e lezioni fra Titolare e assistiti: la separazione è applicata dal database, non solo dall'app. Ai dati completi il Responsabile accede soltanto tecnicamente, per le copie di sicurezza, il ripristino e la manutenzione, senza consultarli.
7.1 Il Responsabile applica queste misure, e le tiene aggiornate:
7.2 Se una misura cambia in modo rilevante, il Responsabile lo comunica al Titolare per email.
8.1 Autorizzazione generale. Il Titolare autorizza il Responsabile a ricorrere a questi fornitori:
| Fornitore | Sede | Cosa fa | Dati degli assistiti | Dove |
|---|---|---|---|---|
| Supabase Pte. Ltd. (gruppo Supabase) | Singapore | database, accesso, archivio dei loghi, funzioni del server | tutti quelli del punto 3 | server a Francoforte (Germania, UE); assistenza e manutenzione possono avvenire da fuori dall'UE, anche dagli Stati Uniti |
| Netlify, Inc. | Stati Uniti | pubblica il sito e l'app | solo dati tecnici della connessione | rete mondiale, Stati Uniti |
| Plus Five Five, Inc. («Resend») | Stati Uniti | spedisce le email di servizio | email e nome dei destinatari, testo delle email (per esempio i nomi degli assistiti nel riepilogo settimanale) | Stati Uniti |
jsDelivr (che fornisce al browser del Titolare le librerie per creare PDF ed Excel) riceve solo i dati tecnici della connessione del Titolare, non dati degli assistiti. Le caselle di posta del Responsabile (Google Gmail) e l'inoltro di info@ghisapt.com (ImprovMX) servono all'assistenza e alle comunicazioni proprie di Ghisa, di cui il Responsabile è titolare: il Titolare non deve mandare per email all'assistenza dati sulla salute dei propri assistiti.
8.2 Stessi obblighi. A ogni sub-responsabile il Responsabile impone, con il contratto di trattamento dei dati di quel fornitore, obblighi di protezione dei dati sostanzialmente uguali a quelli di questo accordo. Il Responsabile risponde verso il Titolare dell'adempimento dei sub-responsabili.
8.3 Cambi. Il Responsabile comunica per email al Titolare ogni aggiunta o sostituzione di un sub-responsabile almeno 30 giorni prima. Entro quel termine il Titolare può opporsi per motivi ragionevoli legati alla protezione dei dati; se non si trova una soluzione, il Titolare può recedere dal suo abbonamento con il rimborso della parte già pagata del periodo che non userà.
Dove un dato può uscire dall'Unione europea (Supabase per l'assistenza e la manutenzione, Netlify, Resend), il trasferimento si basa sulle clausole contrattuali standard approvate dalla Commissione europea (decisione 2021/914), contenute nel contratto di trattamento dei dati di ciascun fornitore: per Supabase, che ha sede a Singapore, sono la base del trasferimento; per i fornitori statunitensi certificati (Netlify, Resend) vale anche il Data Privacy Framework UE-USA (decisione di adeguatezza della Commissione europea del 10 luglio 2023). Il Titolare dà istruzione di effettuare questi trasferimenti (punto 4.1). Su richiesta, il Responsabile indica la base di ogni trasferimento.
10.1 Diritti degli interessati (artt. 15-22 GDPR). L'app permette al Titolare di vedere, esportare (report PDF ed Excel) ed eliminare i dati di un assistito, e all'assistito di correggere i propri dati, di cancellare peso, misure e benessere e di revocare il consenso. Se un assistito si rivolge al Responsabile per esercitare i suoi diritti sui dati trattati per conto del Titolare, il Responsabile inoltra la richiesta al Titolare entro 5 giorni lavorativi e non vi risponde nel merito senza istruzioni, salvo che riguardi i trattamenti di cui è titolare. Se il Titolare ha bisogno di una copia completa dei dati di un assistito in un formato strutturato (portabilità), il Responsabile la fornisce in Excel entro 15 giorni dalla richiesta.
10.2 Sicurezza, valutazione d'impatto e consultazione preventiva (artt. 32-36). Il Responsabile fornisce al Titolare le informazioni sulla piattaforma che gli servono per valutare la sicurezza dei trattamenti, per svolgere una valutazione d'impatto sulla protezione dei dati e per un'eventuale consultazione preventiva del Garante: in particolare una descrizione dei trattamenti, dei flussi di dati, dei fornitori e delle misure di sicurezza.
10.3 Violazioni dei dati (artt. 33-34). Il Responsabile comunica al Titolare ogni violazione dei dati personali che riguardi i suoi assistiti senza ingiustificato ritardo, e comunque entro 48 ore da quando ne viene a conoscenza, all'email di contatto del suo Studio e a quella del suo account. La comunicazione indica, per quanto noto: la natura della violazione, le categorie e il numero approssimativo di interessati e di dati coinvolti, le conseguenze probabili, le misure adottate o proposte e un contatto per avere informazioni; ciò che non è ancora noto lo comunica appena possibile. Il Responsabile collabora con il Titolare per la notifica al Garante, che spetta al Titolare entro 72 ore quando dovuta, e per l'eventuale comunicazione agli interessati.
10.4 Il Responsabile tiene il registro dei trattamenti svolti come responsabile (art. 30, par. 2).
11.1 Il Responsabile mette a disposizione del Titolare tutte le informazioni necessarie a dimostrare il rispetto di questo accordo e dell'art. 28 GDPR, rispondendo per iscritto alle sue domande entro 30 giorni.
11.2 Il Responsabile consente e contribuisce alle attività di revisione, comprese le ispezioni, svolte dal Titolare o da un revisore da lui incaricato e vincolato alla riservatezza, con un preavviso di almeno 30 giorni, in giorni e orari lavorativi, di norma una volta l'anno o dopo una violazione dei dati, e in modo da non mettere a rischio i dati degli altri utenti né la sicurezza del servizio. I costi della verifica sono a carico del Titolare, salvo che emerga una violazione di questo accordo da parte del Responsabile.
12.1 Quando il rapporto finisce (il Titolare chiede di chiudere il suo account, o il Responsabile lo chiude come prevedono i Termini), il Titolare sceglie se:
12.2 Se il Titolare non sceglie entro 30 giorni dalla fine del rapporto, il Responsabile cancella i dati. La cancellazione elimina dal database gli account degli assistiti del Titolare con tutti i loro dati; le copie di sicurezza che li contengono si sovrascrivono entro 5 settimane. Fanno eccezione i dati che il Responsabile deve conservare per legge, e quelli dei clienti collegati dalla vetrina con la regola A, che restano clienti di Ghisa (senza trainer, e con un nuovo consenso, perché il titolare dei loro dati cambia).
Ciascuna parte risponde dei danni causati dalla violazione dei propri obblighi secondo l'art. 82 GDPR.
14.1 Una modifica di questo accordo è comunicata al Titolare per email almeno 30 giorni prima, e vale quando il Titolare accetta la nuova versione nell'app; finché non la accetta resta valida la versione precedente. Le modifiche imposte dalla legge o da un'autorità possono valere da prima.
14.2 Questo accordo è regolato dalla legge italiana. Per le controversie è competente il Foro di Padova.
Per il Responsabile: info@ghisapt.com, telefono +39 344 567 5961. Per il Titolare: l'email di contatto indicata nel suo Studio (obbligatoria nell'app) e quella del suo account.
Versione 2 del 19 ottobre 2026. Accettata nell'app dal Titolare: data e versione registrate sul suo profilo.
© 2026 Ghisa · Nicolò Castaldo · P.IVA 05811580280 · REA PD-494249