Ultimo aggiornamento: 30 Ottobre 2026
La presente Privacy Policy descrive le modalità di raccolta, utilizzo e protezione dei dati personali degli utenti dell'applicazione mobile “MA-ZONE Hub”, in conformità al Regolamento UE 2016/679 (GDPR) e al D.Lgs 196/2003 (Codice Privacy italiano).
TITOLARE DEL TRATTAMENTO
Marco Di Micoli (titolare del brand “MA-ZONE Body As Home”)
Sede legale: Via Mameli 44, 21040 Morazzone (VA)
Sede operativa: Via Morazzone 19, 21045 Gazzada Schianno (VA)
P.IVA: 03844880124
Email: studio@ma-zone.it
SVILUPPATORE APPLICAZIONE
L'applicazione “MA-ZONE Hub” è stata sviluppata da Ivan Frenda su incarico del Titolare. Lo sviluppatore non ha accesso autonomo ai dati personali degli utenti, che sono gestiti esclusivamente dal Titolare tramite i sistemi indicati in questa policy.
In conformità all'Art. 37 GDPR, il Titolare non è tenuto alla nomina di un Responsabile della Protezione dei Dati (DPO), in quanto:
Per qualsiasi richiesta relativa alla protezione dei dati, è possibile contattare direttamente il Titolare all'indirizzo studio@ma-zone.it.
L'applicazione raccoglie e tratta le seguenti categorie di dati personali:
L'applicazione supporta l'autenticazione tramite riconoscimento facciale (Face ID) o impronta digitale (Touch ID).
IMPORTANTE: I dati biometrici sono trattati esclusivamente in locale sul dispositivo dell'utente tramite le API di sicurezza di Apple (iOS) e Google (Android). Nessun dato biometrico viene mai trasmesso, archiviato o elaborato sui server del Titolare o di terze parti.
Base giuridica: Consenso esplicito dell'utente (Art. 9.2.a GDPR), ottenuto al momento dell'attivazione della funzionalità.
I pagamenti elettronici gestiti tramite Stripe riguardano esclusivamente gli abbonamenti Fitness Boutique con pagamento dilazionato (PIANO RATEALE RID) tramite Addebito Diretto SEPA. Per tutti gli altri acquisti (ingressi a consumo, pacchetti non dilazionati, ecc.) il pagamento avviene tramite contanti, bonifico bancario o POS della struttura e viene registrato amministrativamente dall'Admin a fini contabili.
SICUREZZA PAGAMENTI: Il Titolare non memorizza né ha accesso ai dati completi del conto bancario o ad altri dati sensibili del metodo di pagamento utilizzato su Stripe. L'infrastruttura Stripe gestisce l'addebito diretto SEPA in ambiente sicuro e crittografato.
Per le finalità di riconciliazione contabile vengono conservati solo:
NOTA – DATI SULLA SALUTE: Le note personali possono contenere informazioni relative allo stato di salute del Membro (es. infortuni, patologie, parametri fisici). Tali dati costituiscono dati particolari ai sensi dell'Art. 9 GDPR e sono trattati esclusivamente previo consenso esplicito dell'interessato (Art. 9.2.a GDPR), ottenuto in forma scritta al momento dell'iscrizione.
Tali dati sono facoltativi, trattati previo consenso esplicito (Art. 9.2.a GDPR) e accessibili esclusivamente al Membro e al personale autorizzato della struttura.
I consensi per il diario, per le fotografie di controllo, per l'analisi dei progressi, per la lettura dei dati di Salute e per il calendario collegato sono distinti: il Membro li presta nell'app quando la funzione lo richiede e può revocarli in qualsiasi momento dalla sezione Profilo > Privacy e permessi. Alla revoca il Membro sceglie se eliminare i dati già inseriti o conservarli visibili solo a sé; il personale non vi ha più accesso. Ogni consenso, revoca e accettazione dei documenti è registrato con data e versione del testo.
| Tipologia di Dati | Base Giuridica |
|---|---|
| Dati anagrafici, contatti, abbonamenti | Art. 6.1.b GDPR – Esecuzione del contratto di servizio |
| Dati biometrici (Face ID / Touch ID) | Art. 9.2.a GDPR – Consenso esplicito dell'utente |
| Dati di pagamento e fatturazione | Art. 6.1.c GDPR – Obbligo legale (normativa fiscale) |
| Dati tecnici e log di sistema | Art. 6.1.f GDPR – Legittimo interesse (sicurezza e diagnosi) |
| Dati relativi all'allenamento (incluse note sulla salute), diario e check periodici | Art. 9.2.a GDPR – Consenso esplicito dell'interessato |
Non sono adottate decisioni basate unicamente su trattamenti automatizzati ai sensi dell'Art. 22 GDPR.
I Suoi dati personali potranno essere comunicati a soggetti che operano in qualità di Titolari autonomi o Responsabili del trattamento:
Fornitore: Supabase Inc. — Infrastruttura: AWS EU-WEST-1 (Irlanda)
Garanzie GDPR: Dati in server UE, crittografia AES-256, TLS 1.3, ISO 27001, SOC 2 Type II, DPA conforme GDPR.
Fornitore: Stripe Inc. — PCI-DSS Level 1, SCC per trasferimenti verso USA, SCA conforme PSD2.
Hosting del sito istituzionale www.ma-zone.it e dei file della versione web dell'app (app.ma-zone.it): i dati dell'app non sono conservati su Netlify. Se il Membro attiva il calendario collegato, il suo link personale (ma-zone.it/calendario/…) transita da Netlify per raggiungere il servizio che restituisce le prenotazioni. DPA conforme GDPR.
Sede: Italia (Pesaro) — Società italiana soggetta direttamente al GDPR. DPA conforme GDPR.
Archiviazione delle fotografie di controllo e dei video degli esercizi caricati dal personale, con localizzazione dei dati nell'Unione Europea. DPA conforme GDPR.
Invio delle notifiche push (Firebase Cloud Messaging). DPA conforme GDPR.
Invio delle email dell'app (inviti, recupero della password, avvisi) dal dominio ma-zone.it: vengono trattati indirizzo email del destinatario e contenuto del messaggio. Eventuali trasferimenti verso gli USA avvengono sulla base delle Standard Contractual Clauses. DPA conforme GDPR.
I video dimostrativi degli esercizi che non sono caricati direttamente nell'app sono pubblicati su YouTube (Google). Aprendo la scheda di un esercizio viene mostrata l'immagine di anteprima del video e, solo quando il Membro avvia la riproduzione, viene caricato il lettore di YouTube in modalità a privacy avanzata. YouTube riceve dati tecnici come l'indirizzo IP e il tipo di dispositivo e li tratta come titolare autonomo, secondo la propria informativa. Se il personale collega video di un altro servizio (per esempio Vimeo), vale lo stesso per quel servizio. I video caricati direttamente nell'app restano invece sull'archivio indicato al punto 5.5.
Per le analisi dei progressi e le proposte di programma, se hai dato il consenso, i dati di allenamento e del diario, pseudonimizzati (senza nome, email né foto), sono elaborati da fornitori di servizi di elaborazione automatizzata (ad esempio Google, OpenAI, Anthropic, xAI, Groq) che agiscono per nostro conto come responsabili del trattamento, sulla base di accordi ai sensi dell'art. 28 GDPR. Alcuni fornitori possono trattare i dati fuori dall'Unione Europea: in questo caso il trasferimento avviene con le garanzie previste dal GDPR (decisioni di adeguatezza o clausole contrattuali standard).
I dati personali degli utenti sono archiviati esclusivamente in server localizzati nell'Unione Europea (Irlanda – AWS EU-WEST-1). Stripe utilizza le Standard Contractual Clauses (SCC) approvate dalla Commissione Europea. Eventuali trasferimenti da parte di Cloudflare, Google, Netlify, Resend e dai fornitori delle analisi (punto 5.9) avvengono sulla base dell'EU-US Data Privacy Framework o delle Standard Contractual Clauses. Nessun altro trasferimento extra-UE è previsto.
| Tipologia di Dati | Periodo di Conservazione |
|---|---|
| Dati account attivo | Per tutta la durata del rapporto contrattuale |
| Dati account eliminato (soft delete) | 30 giorni dalla richiesta, poi anonimizzazione irreversibile |
| Dati di fatturazione | 10 anni (obbligo fiscale DPR 633/1972) |
| Diario, misure e fotografie di controllo | Fino alla cancellazione da parte del Membro o all'eliminazione dell'account |
| Registro dei consensi e delle accettazioni | Per la durata del rapporto e successivamente per il tempo necessario a dimostrare i consensi prestati (Art. 7.1 GDPR) |
| Dati statistici anonimi | Indefinita (non riconducibili all'utente) |
| Dati per finalità di marketing | 12 mesi dal conferimento del consenso |
| Log di sistema e audit | 12 mesi (sicurezza e diagnosi) |
Hai il diritto di ottenere conferma dell'esistenza dei tuoi dati personali e di riceverne una copia in formato leggibile.
Puoi richiedere la correzione di dati inesatti tramite l'app (sezione Profilo) o contattando studio@ma-zone.it.
Puoi richiedere la cancellazione dei tuoi dati tramite la funzione “Richiedi Cancellazione Account” disponibile nell'app. Anonimizzazione entro 30 giorni. Dati di fatturazione conservati per obbligo legale (10 anni).
Puoi richiedere il “congelamento” temporaneo del trattamento dei tuoi dati.
Puoi richiedere di ricevere i tuoi dati in formato strutturato (es. JSON, CSV).
Puoi opporti al trattamento dei dati basato su legittimo interesse.
Il consenso può essere revocato in qualsiasi momento (Art. 7.3 GDPR), anche dalla sezione Profilo > Privacy e permessi dell'app, senza pregiudicare la liceità del trattamento precedente.
Garante per la Protezione dei Dati Personali
Piazza Venezia 11, 00187 Roma — Tel: +39 06 696771
Email: garante@gpdp.it — PEC: protocollo@pec.gpdp.it
Sito: www.garanteprivacy.it
Invia richiesta via email a studio@ma-zone.it con oggetto “Esercizio diritti GDPR – [Nome Cognome]”. Risposta entro 30 giorni.
In caso di data breach: notifica al Garante entro 72 ore; comunicazione agli interessati senza ingiustificato ritardo.
L'applicazione mobile non utilizza cookie. Utilizza Supabase Auth Token (JWT) per sessione utente e Local Storage per preferenze locali. Nessun dato viene condiviso con reti pubblicitarie o social network.
L'applicazione è destinata a utenti maggiorenni (≥ 18 anni). Per rimozione dati di minori: studio@ma-zone.it.
Il Titolare si riserva il diritto di modificare la presente Privacy Policy. Gli utenti saranno informati tramite notifica push, email o banner nell'app; in caso di modifiche sostanziali, al primo accesso successivo l'app chiede di prendere visione della nuova versione.
Marco Di Micoli – Titolare del Trattamento
Email: studio@ma-zone.it
Indirizzo: Via Morazzone 19, 21045 Gazzada Schianno (VA)
La presente Privacy Policy è redatta in conformità al Regolamento UE 2016/679 (GDPR) e al D.Lgs 196/2003.