Chi sono le parti, e quando questo accordo vale
Da una parte la società sportiva, che è il TITOLARE del trattamento: decide quali dati raccogliere sui propri atleti, per quali finalità e per quanto tempo. Dall’altra Lorenzo Vitale (CPSS, CSCS), partita IVA 01344880867, che è il RESPONSABILE: tratta quei dati per conto del titolare e sulle sue istruzioni.
Nel programma un club tratta dati relativi alla salute (art. 9 GDPR) e, nei settori giovanili, dati di persone minori di età. L’art. 28.3 GDPR vuole che ogni trattamento svolto da un responsabile sia disciplinato da un contratto: questo.
L’accordo si accetta prima di caricare qualunque dato, e si conserva chi ha accettato quale versione e quando. La versione pubblicata qui è la 1.9.
Il cliente accetta questo accordo all’iscrizione: la versione accettata resta legata alla sua società, con la data e l’ora dell’accettazione. Il testo della versione in vigore è quello di questa pagina; quello delle versioni precedenti resta conservato.
1Oggetto, natura e finalità del trattamento
1.1 Il responsabile tratta i dati personali esclusivamente per fornire e mantenere il programma, e per nessun’altra finalità.
1.2 Le caratteristiche del trattamento sono descritte nell’Allegato A, che vale come istruzione documentata del titolare ai sensi dell’art. 28.3.a.
1.3 Il titolare dichiara di aver individuato una base giuridica idonea per ciascuna finalità e di aver dato agli interessati l’informativa dell’art. 13. Il responsabile non risponde della liceità dei trattamenti decisi dal titolare, ma è tenuto a informarlo immediatamente se un’istruzione ricevuta gli appare in violazione della normativa.
2Istruzioni del titolare, e che cosa non facciamo con i suoi dati
2.1 Il responsabile tratta i dati soltanto su istruzione documentata del titolare, comprese le istruzioni sui trasferimenti verso paesi terzi.
2.2 Valgono come istruzioni documentate: questo accordo e i suoi allegati, la documentazione del programma e le configurazioni che il titolare imposta dentro il programma — ruoli, permessi, metriche, soglie, livelli di accesso ai dati sanitari, per ruolo e per persona.
2.3 Il responsabile non usa i dati del titolare per finalità proprie. In particolare si obbliga a non usarli per costruire archivi, valori di riferimento, statistiche o parametri di confronto fra società, nemmeno in forma aggregata; a non usarli per addestrare, mettere a punto o valutare sistemi di apprendimento automatico o modelli statistici; a non cederli o renderli accessibili a terzi diversi dai sub-responsabili autorizzati; e a non usarli per finalità commerciali o promozionali.
2.4 Il responsabile può trattare dati anonimi — privi di qualunque riferimento, diretto o indiretto, a una persona identificabile — per diagnostica tecnica e miglioramento del programma. Una serie di misurazioni giornaliere di un singolo atleta non è un dato anonimo ai fini di questa clausola, e non rientra in questa facoltà.
3Riservatezza
3.1 Il responsabile assicura che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di segretezza.
3.2 L’accesso ai dati del titolare è consentito al solo personale che ne abbia effettiva necessità, e limitatamente a quanto serve per l’assistenza richiesta o per la manutenzione.
3.3 Il responsabile non accede ai dati sanitari del titolare, salvo esplicita richiesta di assistenza di quest’ultimo, e in tal caso ne dà atto per iscritto.
4Misure di sicurezza
4.1 Il responsabile adotta le misure tecniche e organizzative descritte nell’Allegato B.
4.2 Le misure possono essere aggiornate, ma nessun aggiornamento può diminuirne il livello complessivo di sicurezza.
4.3 Il titolare riconosce che la sicurezza dipende anche da comportamenti suoi — custodia delle credenziali, assegnazione dei ruoli, scelta di chi può vedere i dati sanitari, gestione dei collegamenti pubblici per la raccolta del questionario — e se ne assume la responsabilità.
5Sub-responsabili
5.1 Il titolare autorizza in via generale il ricorso ai sub-responsabili elencati nell’Allegato C.
5.2 Il responsabile informa il titolare di ogni intenzione di aggiungere o sostituire un sub-responsabile con almeno 30 giorni di preavviso. Il titolare può opporsi entro quel termine per motivi ragionevoli e documentati; in tal caso le parti cercano in buona fede una soluzione, e in mancanza il titolare può recedere senza penali per la parte di servizio interessata.
5.3 Il responsabile impone a ogni sub-responsabile, per contratto, gli stessi obblighi in materia di protezione dei dati previsti da questo accordo, e risponde verso il titolare del loro inadempimento.
6Trasferimenti fuori dallo Spazio economico europeo
6.1 I dati sono conservati nell’Unione europea: il database sta in Irlanda e l’applicazione gira nella regione di Dublino (Irlanda). Supabase, Vercel e Resend, fra i sub-responsabili dell’Allegato C, sono però società con sede fuori dallo Spazio economico europeo, e il loro personale può accedere ai dati da paesi terzi per assistenza e manutenzione; Vercel tratta alcuni dati anche negli Stati Uniti; le e-mail di servizio sono conservate da Resend negli Stati Uniti e non contengono dati degli atleti. La posta dell’assistenza è ospitata da IONOS nell’Unione europea. Questi trasferimenti avvengono con le garanzie indicate nell’Allegato C, e il titolare li autorizza accettando questo accordo.
6.2 Oltre a quelli dell’Allegato C, il responsabile non trasferisce i dati fuori dallo Spazio economico europeo senza autorizzazione scritta del titolare. Un nuovo trasferimento avverrebbe solo sulla base di una decisione di adeguatezza o delle clausole contrattuali standard adottate dalla Commissione, accompagnate da una valutazione d’impatto sul trasferimento.
6.3 Il responsabile comunica al titolare se il supporto tecnico di un sub-responsabile può accedere ai dati da un paese terzo, indicando le garanzie applicabili.
7Assistenza al titolare
7.1 Il responsabile assiste il titolare nel dare seguito alle richieste degli interessati. Il programma mette a disposizione del club, in autonomia: l’esportazione completa dei dati di un singolo atleta in formato strutturato, la rettifica dalle schermate di gestione, la limitazione del trattamento e la cancellazione definitiva con anonimizzazione delle voci di registro che lo riguardano.
7.2 Se un atleta si rivolge direttamente al responsabile, questi non risponde nel merito e trasmette senza ritardo la richiesta al club.
7.3 Il responsabile notifica al titolare ogni violazione di dati personali senza ingiustificato ritardo e comunque entro 24 ore da quando ne ha avuto conoscenza, con le informazioni dell’art. 33.3 di cui dispone. Le 24 ore sono più strette di quanto il regolamento chieda a un responsabile, e servono a lasciare al club un margine utile dentro le sue 72 ore.
7.4 Il responsabile assiste il titolare nella valutazione d’impatto e nell’eventuale consultazione preventiva dell’autorità, mettendo a disposizione le informazioni tecniche necessarie.
8Responsabilità
8.1 Ciascuna parte risponde del danno cagionato dal proprio inadempimento, nei limiti dell’art. 82 GDPR.
8.2 La responsabilità del responsabile per i danni derivanti da questo accordo è limitata a 3.000 € per anno contrattuale. La limitazione non opera in caso di dolo o colpa grave, né rispetto alle sanzioni amministrative irrogate a una parte per fatto imputabile all’altra.
8.3 Quanto alla copertura assicurativa per la responsabilità civile professionale e informatica, il responsabile dichiara di non disporre, allo stato, di una copertura assicurativa dedicata.
9Verifiche
9.1 Il responsabile mette a disposizione del titolare le informazioni necessarie a dimostrare il rispetto degli obblighi dell’art. 28.
9.2 Il titolare può svolgere una verifica all’anno, con almeno 30 giorni di preavviso, in orario lavorativo e senza pregiudizio per la continuità del servizio. Ulteriori verifiche sono ammesse dopo una violazione di dati o su richiesta motivata dell’autorità di controllo.
9.3 Il responsabile può assolvere l’obbligo della clausola 9.1 fornendo la documentazione tecnica del programma, i rapporti di sicurezza dei propri sub-responsabili e le eventuali certificazioni possedute. I costi della verifica sono del titolare, salvo che la verifica accerti un inadempimento del responsabile.
10Registro dei trattamenti
10.1 Il responsabile tiene il registro previsto dall’art. 30.2 e lo rende disponibile al titolare e all’autorità di controllo che ne facciano richiesta.
11Durata, restituzione e cancellazione
11.1 L’accordo dura quanto il contratto di fornitura.
11.2 Alla cessazione del contratto, al termine del periodo di sola lettura previsto dai Termini di servizio, il titolare può chiedere, in qualunque momento fino alla cancellazione prevista dalla clausola 11.3, che il responsabile gli restituisca i dati in formato strutturato e leggibile da una macchina, oppure che li cancelli. Il responsabile esegue la richiesta entro 30 giorni dal suo ricevimento.
11.3 Se entro 90 giorni dalla cessazione il titolare non ha chiesto niente, il responsabile cancella i dati, con un preavviso per e-mail almeno 14 giorni prima e una conferma a cancellazione avvenuta. Fino ad allora la scelta resta aperta: il termine serve a evitare che la disattenzione di un club produca la perdita irreversibile dei dati dei suoi atleti.
11.4 Il responsabile può conservare i dati oltre quel termine solo se e finché un obbligo di legge glielo imponga, informandone il titolare.
11.5 I backup seguono il proprio ciclo di rotazione e vengono cancellati al più tardi entro 7 giorni dalla cancellazione dei dati attivi; fino ad allora restano soggetti a tutte le misure di questo accordo.
12Legge applicabile e foro
12.1 L’accordo è regolato dalla legge italiana, integrata dal Codice Privacy (D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018).
12.2 Per ogni controversia è competente in via esclusiva il foro di Enna.
Allegato A — Descrizione del trattamento
Questo allegato è l’istruzione documentata del titolare: dice che cosa si tratta, di chi e perché. È la parte che un responsabile della protezione dei dati legge per prima.
| Voce | Contenuto |
|---|
| Oggetto | Fornitura del programma per il monitoraggio del carico di lavoro e la tutela della salute degli atleti |
|---|
| Durata | La durata del contratto di fornitura |
|---|
| Natura delle operazioni | Raccolta, registrazione, organizzazione, strutturazione, conservazione, adattamento, estrazione, consultazione, uso, raffronto, cancellazione |
|---|
| Finalità | Programmazione e monitoraggio del carico; registrazione di che cosa lo staff ha visto e deciso sulle segnalazioni di lettura; gestione dei periodi di indisponibilità (infortuni, malattie, altri motivi) e delle fasi del rientro; descrizione epidemiologica della stagione della squadra; produzione di report e documenti stampabili; conservazione della prova dei consensi; sicurezza e tracciabilità degli accessi |
|---|
| Categorie di interessati | Atleti maggiorenni; atleti minorenni; chi esercita la responsabilità genitoriale (nome e legame); membri dello staff e atleti con un account |
|---|
| Categorie di dati comuni | Anagrafica e dati sportivi (ruolo, numero di maglia, piede, nazionalità, fotografia facoltativa, valore di mercato se il club lo indica, collegamenti esterni, squadre in più); dati GPS di allenamento e gara e misure di altre fonti caricate dal club, con le metriche calcolate; percezione dello sforzo e durata; valori di riferimento dichiarati (velocità aerobica massimale, frequenza cardiaca massima e a riposo); presenze e minuti giocati; assenze per convocazione in nazionale, squalifica o motivo personale (date e motivo, senza dettagli); consensi raccolti e loro revoche; credenziali del collegamento del telefono dell’atleta (codice e PIN); note dello staff sui giorni del calendario; account dello staff e degli atleti; registro degli accessi |
|---|
| Categorie particolari (art. 9) | Dati relativi alla salute: questionario giornaliero di benessere, comprese le zone del corpo indicate dall’atleta alla voce del dolore muscolare (facoltative, una parola per zona: indolenzito o dolore); note libere dell’atleta sul questionario e sulla seduta, che possono contenere informazioni sulla salute, con l’indicazione di chi le ha lette e quando; periodi di indisponibilità per infortunio o malattia (date, regione del corpo, lato, attività in cui è avvenuto l’infortunio, fasi del rientro con la data, chi le ha scritte e una riga facoltativa di indicazioni per lo staff tecnico, che non contiene la diagnosi; rientro programmato; giorni persi); dettaglio clinico di ogni periodo (diagnosi, tessuto o apparato e causa, modalità di insorgenza, meccanismo e contatto, azione di gioco, codice diagnostico facoltativo, note cliniche, ripetizione), conservato separatamente e accessibile solo al livello più alto; che cosa lo staff ha visto e deciso sulle segnalazioni di lettura di un atleta (chi le ha viste, quali e quando; facoltativi la decisione, scelta da un elenco chiuso che comprende l’invio al medico o al fisioterapista, una nota breve dello staff e il collegamento a un questionario o a una nota inviati dall’atleta o a un suo periodo di indisponibilità), che rientra fra i dati relativi alla salute perché la nota può contenerne e la decisione può essere l’invio allo staff medico; test su pedana di forza; misure antropometriche compresa la massa grassa e il metodo di rilevazione |
|---|
| Dati di minori | Sì, nei settori giovanili |
|---|
| Dati esclusi | Dati genetici; dati biometrici a fini identificativi; dati giudiziari; dati che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale, la vita sessuale o l’orientamento sessuale |
|---|
| Trattamenti automatizzati | Il programma calcola indici descrittivi (medie mobili, ACWR, monotonia, scostamenti dalla norma personale) e produce segnalazioni di lettura. Non effettua profilazione con effetti giuridici né decisioni automatizzate ai sensi dell’art. 22: non produce diagnosi, non calcola rischi di infortunio e non esprime giudizi di idoneità. Che cosa si decide su una segnalazione lo registra una persona dello staff, a proprio nome: il programma non propone la scelta |
|---|
Allegato B — Misure tecniche e organizzative
Sono le misure dell’art. 32. Dove una misura è applicata nel DATABASE e non solo nell’interfaccia lo diciamo, perché è la differenza fra un permesso che è solo disegnato sullo schermo, e quindi si può scavalcare, e uno che non si può scavalcare.
| Ambito | Misura |
|---|
| Cifratura in transito | HTTPS/TLS obbligatorio su ogni connessione |
|---|
| Cifratura a riposo | Cifratura a livello di volume presso il sub-responsabile di hosting |
|---|
| Separazione fra clienti | Regole di accesso applicate nel database, su tutte le tabelle, per identificativo di società: un cliente non può leggere i dati di un altro nemmeno a fronte di un difetto del programma |
|---|
| Accesso ai dati sanitari | Applicato nel database e non solo nell’interfaccia, su due livelli che il club assegna per ruolo e, come eccezione, per persona: il primo legge periodi, fasi e date senza diagnosi; il secondo anche il dettaglio clinico, e solo il secondo, con il permesso di modifica, scrive periodi, fasi e dettaglio clinico. Il dettaglio clinico sta in una tabella separata con regole proprie, così un difetto del programma non lo può mostrare a chi ha il primo livello. L’amministratore ha sempre il secondo livello; l’atleta vede i propri dati. Le date di assenza, con il tipo (infortunio, malattia, altro motivo) e l’attività ma senza diagnosi, arrivano a tutto lo staff, compresi gli account in sola lettura, perché i calcoli del carico ne hanno bisogno |
|---|
| Che cosa lo staff ha visto e deciso | Si scrive solo a proprio nome, dallo staff (non dagli account in sola lettura) e nelle squadre a cui ha accesso: il limite è applicato nel database. Ognuno corregge o cancella solo ciò che ha scritto. Lo legge lo staff che apre le segnalazioni di lettura, compresi gli account in sola lettura; l’atleta non lo vede nel programma (anche questo limite è nel database), ma lo riceve nell’esportazione dei propri dati. Ogni apertura e ogni scrittura è registrata. Si conserva e si cancella con i dati relativi alla salute dell’atleta |
|---|
| Ruolo «atleta» | Limitato nel database ai soli dati propri |
|---|
| Autenticazione | Password di almeno 10 caratteri, custodite con una funzione di hash e rifiutate se note come rubate o troppo deboli; nessuna password in chiaro. Il PIN di 4 cifre del collegamento dell’atleta resta leggibile allo staff, che lo consegna e lo rigenera, e si blocca per 15 minuti dopo 5 errori. Il primo account lo crea chi si iscrive dal sito e non può scrivere dati finché il pagamento non è confermato; un’iscrizione mai pagata si cancella da sola. Gli altri account li crea l’amministratore del club. A programma aperto la sessione si chiude dopo un’ora senza attività, a programma chiuso dopo due ore |
|---|
| Impossibilità di auto-promozione | Un utente non può elevare il proprio ruolo ad amministratore: il divieto è applicato nel database |
|---|
| Registro delle scritture | Registrazione automatica di creazioni, modifiche ed eliminazioni sulle tabelle degli atleti, dei periodi di indisponibilità con fasi e dettaglio clinico, dell’antropometria, dei consensi, delle decisioni sulle segnalazioni, degli account e della configurazione (squadre, stagioni, metriche, partite, sedute); per le misure si registrano i caricamenti dei file e gli inserimenti a mano |
|---|
| Registro delle letture | Registrazione dell’apertura della cartella e del registro dell’area medica al secondo livello e della loro esportazione, della vista dell’infermeria con le diagnosi, della casella e del registro delle segnalazioni inviate dagli atleti, di che cosa lo staff ha visto e deciso sulle segnalazioni di lettura, del registro dei consensi, dell’esportazione completa dei dati di un atleta e di quella di tutta la società. Non si registra ogni singola lettura dei dati di carico, delle statistiche e dei riquadri del Cruscotto, né quella dei periodi senza diagnosi al primo livello: sarebbero centinaia di righe al giorno per persona, e un registro così non lo apre nessuno |
|---|
| Minimizzazione | Le schermate chiedono al database solo i dati che mostrano; il dettaglio clinico non viene né chiesto né trasmesso a chi non ha il secondo livello |
|---|
| Cancellazione e anonimizzazione | L’eliminazione definitiva di un atleta rimuove misure, presenze, periodi di indisponibilità con il loro dettaglio clinico e le fasi, antropometria, valori di riferimento, consensi, invii dal telefono con le note e le zone del corpo, decisioni sulle segnalazioni, collegamenti con il PIN, squadre in più e foto, e rende anonime le voci di registro che lo riguardano: resta la prova che un’operazione è avvenuta, spariscono il nome e la diagnosi. L’eventuale account personale dell’atleta si toglie a parte, dalla gestione degli utenti |
|---|
| Esportazione | Esportazione completa per singolo atleta in formato strutturato, che dichiara che cosa non contiene (le credenziali del collegamento del telefono); esportazione di tutti i dati della società, tabelle e file, riservata all’amministratore. Tutte e due sono registrate |
|---|
| Backup | Del DATABASE: giornalieri e automatici presso il fornitore dell’infrastruttura, conservati 7 giorni, cifrati in transito (TLS) e a riposo. Comprendono dati, permessi e account. Il servizio si apre ai clienti solo quando questi backup sono in funzione. NON comprendono i file caricati — logo della società, foto degli atleti, loghi degli avversari, immagini di sfondo — che stanno in un archivio separato, a indirizzi non indovinabili e non elencabili, senza copia automatica: se andassero persi, andrebbero ricaricati dal programma. Il ripristino si prova e si documenta prima dell’apertura del servizio, poi almeno una volta l’anno e dopo ogni modifica sostanziale della struttura del database (per esempio nuove tabelle che contengono dati degli atleti): un backup mai ripristinato non è un backup |
|---|
| Continuità | Perdita massima di dati (RPO) 24 ore, cioè l’ultimo backup giornaliero. Tempo di ripristino previsto (RTO) 2 giorni lavorativi dalla rilevazione. Il servizio non prevede un impegno di disponibilità: questi sono obiettivi dichiarati, non garantiti |
|---|
| Segregazione degli ambienti | Sviluppo e produzione separati; i dati di produzione non vengono usati in sviluppo |
|---|
Allegato C — Sub-responsabili autorizzati
Sono i fornitori che trattano dati per nostro conto. Un sub-responsabile non dichiarato è una violazione dell’art. 28.2, ed è anche la più facile da contestare: per questo l’elenco è qui e non su richiesta.
Nessun altro destinatario. Durante l’uso il programma non chiama servizi esterni: i caratteri tipografici sono serviti dal dominio del programma, e nessun indirizzo IP degli utenti viene comunicato a terzi. L’unica eccezione è il PAGAMENTO: la pagina del pagamento e, dentro il programma, la scheda per riattivare l’abbonamento caricano il modulo di Paddle; il portale dei clienti e le fatture di Paddle si aprono, su richiesta, in una scheda a parte. Riguarda l’acquisto dell’abbonamento, non il trattamento dei dati degli atleti, e da lì non passa nessun dato di atleti.
| Sub-responsabile | Servizio | Sede del trattamento | Garanzie |
|---|
| Supabase Pte. Ltd. (Singapore) | Database, autenticazione, archiviazione dei file | Infrastruttura AWS, regione eu-west-1 (Irlanda); il personale tecnico può accedere da paesi terzi | Accordo di nomina di Supabase con le clausole contrattuali standard (moduli 2 e 3) |
|---|
| Vercel Inc. (Stati Uniti) | Esecuzione dell’applicazione web | Regione di Dublino (Irlanda); la società tratta dati anche negli Stati Uniti | Accordo di nomina di Vercel con le clausole contrattuali standard; adesione al Data Privacy Framework UE-USA |
|---|
| Resend — Plus Five Five, Inc. (Stati Uniti) | Invio delle e-mail di servizio all’amministratore del club: nome, indirizzo e nome della società, nessun dato degli atleti | Stati Uniti | Accordo di nomina di Resend con le clausole contrattuali standard (modulo 2); adesione al Data Privacy Framework UE-USA |
|---|
| IONOS SE (Germania) | Caselle di posta dell’assistenza: i messaggi che il cliente ci scrive e le nostre risposte, con quello che contengono | Unione europea | Accordo di nomina di IONOS ai sensi dell’art. 28 GDPR |
|---|