Informativa privacy

Questa informativa spiega quali dati personali tratta Sprintz (sito sprintz e app per iPhone), perché, per quanto tempo e con chi li condivide. Vale per la lista d’attesa, per l’account e per l’uso del servizio.

1. Titolare del trattamento

Tommaso Pauletto, Milano. Contatto per la privacy: amministrazione@sprintz.it. Non è stato nominato un responsabile della protezione dei dati (DPO), perché non è obbligatorio per questo trattamento.

2. Quali dati trattiamo

• Lista d’attesa: email, zona di Milano, fascia di passo, data del consenso e, se arrivi da un nostro link, il canale (per esempio «volantino» o «instagram»).
• Account: email; nome e cognome (agli altri mostriamo solo «Nome I.»); fascia di passo, distanza e zona preferite; preferenze per le notifiche.
• Dichiarazioni: maggiore età, idoneità alla corsa non agonistica, accettazione di regolamento, informativa e liberatoria (con data e versione). Facoltativa: la dichiarazione di essere una donna, che serve solo per vedere e prenotare le uscite riservate alle donne.
• Uso del servizio: prenotazioni, liste d’attesa, disdette, presenze e assenze, check-in, conferme di presenza date e ricevute, valutazioni delle uscite, persone che segui o hai bloccato, badge, codici sconto sbloccati.
• Affidabilità: percentuale di presenze sulle uscite prenotate, calcolata in automatico (vedi punto 5).
• Chat dell’uscita e segnalazioni: i messaggi che scrivi; le segnalazioni che fai o che ricevi, con una copia del messaggio segnalato.
• Posizione: solo quando tocchi «Sono arrivato» (check-in) o «Centra su di me», e solo con il tuo permesso. Serve a calcolare la distanza dal punto di ritrovo: non la salviamo, conserviamo solo l’esito del check-in e l’orario.
• Notifiche: se le attivi, l’identificativo del dispositivo per le notifiche push e il tipo di dispositivo.
• Dati tecnici: indirizzo IP e dati di navigazione necessari al funzionamento e alla sicurezza (per esempio per limitare i tentativi ripetuti). Per la lista d’attesa salviamo solo un’impronta cifrata dell’IP, mai l’IP.

Non trattiamo dati sanitari: la dichiarazione di idoneità è un sì/no, non chiediamo certificati medici.

3. Finalità del trattamento e base giuridica

Usiamo i tuoi dati solo per queste finalità, ognuna con la sua base giuridica:

• Farti usare Sprintz (account, prenotazioni, uscite, check-in, chat, codici sconto, notifiche di servizio): esecuzione del contratto, art. 6.1.b GDPR.
• Uscite riservate alle donne: tuo consenso esplicito alla dichiarazione, art. 6.1.a; puoi toglierla in ogni momento dal profilo.
• Lista d’attesa e avviso del lancio: tuo consenso, art. 6.1.a.
• Sicurezza del sito e della community, prevenzione degli abusi, gestione delle segnalazioni e affidabilità: nostro legittimo interesse, art. 6.1.f, bilanciato con i tuoi diritti (i dati sono minimi e visibili solo a chi corre con te).
• Obblighi di legge (per esempio richieste delle autorità, obblighi del Digital Services Act): art. 6.1.c.

Se non ci dai i dati: per entrare nella lista d’attesa servono l’email e la fascia di passo; la zona è facoltativa. Per creare l’account e prenotare servono email, nome e cognome e le dichiarazioni (maggiore età, idoneità, accettazione di regolamento e liberatoria): senza questi dati non puoi usare Sprintz. Sono facoltativi la foto, la posizione (senza, non puoi fare il check-in dallo spot né centrare la mappa su di te), le notifiche e la dichiarazione di essere una donna (senza, non vedi le uscite riservate alle donne).

4. Chi vede i tuoi dati

• Gli altri utenti vedono il tuo «Nome I.», la foto se la carichi e la tua fascia di passo. Chi sei, in quale uscita, la tua affidabilità e i tuoi messaggi li vedono solo le persone iscritte alla stessa uscita.
• Luogo e orario delle uscite solo donne li vedono solo le persone che si sono dichiarate donne.
• Il personale di Sprintz, solo per gestire il servizio e le segnalazioni.

5. Decisioni automatiche: affidabilità e stop

L’affidabilità è calcolata in automatico: presenze diviso (presenze + assenze + metà delle disdette tardive). Con 2 assenze in 30 giorni le prenotazioni si fermano per 7 giorni, sempre in automatico; le prenotazioni già fatte restano. Puoi chiedere che una persona riesamini lo stop o un’assenza scrivendo a amministrazione@sprintz.it: possiamo togliere lo stop se l’assenza non era tua responsabilità. Una segnalazione «non è una donna» fatta da una compagna della stessa uscita sospende subito le uscite solo donne fino al controllo, che fa una persona.

6. Per quanto tempo

• Lista d’attesa: fino al lancio e per i 12 mesi successivi, o finché non revochi il consenso.
• Account e storico delle uscite: finché non elimini l’account; poi cancelliamo tutto, salvo quanto sotto.
• Messaggi in chat: cancellati 7 giorni dopo l’uscita.
• Segnalazioni: fino a 12 mesi dopo la chiusura, per gestire eventuali recidive e richieste delle autorità; dopo l’eliminazione dell’account restano senza il collegamento al tuo profilo.
• Dati tecnici di sicurezza (limiti dei tentativi): pochi giorni.

7. Fornitori e trasferimenti fuori dall’UE

Ci avvaliamo di fornitori che trattano i dati per nostro conto, con contratto ai sensi dell’art. 28 GDPR:

• Supabase (database, accesso, file): server nell’Unione europea (Francoforte).
• Vercel (hosting del sito): società statunitense.
• Resend (invio delle email): società statunitense; le email partono da server nell’Unione europea (Irlanda).
• Sentry (segnalazione degli errori del sito e dell’app): società statunitense. Riceve i dettagli tecnici di un errore (pagina, tipo di dispositivo e di browser), senza nome, email né indirizzo IP.
• Expo (inoltro delle notifiche push dell’app ad Apple): società statunitense; riceve l’identificativo del dispositivo e il testo della notifica.
• Apple (notifiche push e, se lo usi, Accedi con Apple), per l’app iPhone.
• OpenFreeMap e Apple Mappe (mappe): ricevono l’indirizzo IP del tuo dispositivo quando carichi la mappa.
• Open-Meteo (previsioni meteo): riceve solo le coordinate degli spot, nessun dato personale.

I trasferimenti verso gli Stati Uniti avvengono sulla base del Data Privacy Framework UE-USA, se il fornitore è certificato, o delle Clausole contrattuali standard della Commissione europea.

8. I tuoi diritti

Puoi chiedere accesso, rettifica, cancellazione, limitazione e portabilità dei dati, opporti al trattamento basato sul legittimo interesse e revocare il consenso in qualsiasi momento, senza effetti sui trattamenti precedenti. Dal profilo puoi già scaricare tutti i tuoi dati («Scarica i miei dati») ed eliminare l’account; per il resto scrivi a amministrazione@sprintz.it. Rispondiamo entro un mese. Puoi presentare reclamo al Garante per la protezione dei dati personali.

9. Minori

Sprintz è riservato ai maggiorenni. Se scopriamo un account di un minore, lo eliminiamo.

10. Modifiche

Se cambiamo questa informativa in modo rilevante te lo diciamo nell’app o via email prima che le modifiche valgano.