Accordo sul trattamento dei dati
Data Processing Agreement (DPA) — ex art. 28 GDPR · Ultimo aggiornamento: 6 agosto 2026
Il presente Accordo disciplina il trattamento dei dati personali che GymShift effettua per conto del Cliente nell'ambito dell'erogazione del Servizio. Costituisce parte integrante dei Termini e Condizioni e si intende accettato con la loro accettazione, senza necessità di ulteriore sottoscrizione.
1. Parti e ruoli
Titolare del trattamento: il Cliente — la palestra, il centro sportivo o l'ente che utilizza il Servizio e vi inserisce dati del proprio personale.
Responsabile del trattamento: Jacopo Gemmoli — Via Matorano SNC, 87046 Montalto Uffugo (CS), Italia — ciao@gymshift.it
Il Cliente determina finalità e mezzi del trattamento dei dati del proprio personale. GymShift tratta tali dati esclusivamente per conto del Cliente e secondo le sue istruzioni.
2. Oggetto, natura e finalità del trattamento
Il trattamento consiste nella conservazione, organizzazione, consultazione, elaborazione algoritmica e cancellazione dei dati inseriti dal Cliente, al solo fine di erogare le funzionalità del Servizio: pianificazione dei turni, gestione delle richieste di cambio turno, invio di notifiche, esportazione e stampa dei piani.
GymShift non utilizza i dati del personale del Cliente per finalità proprie, non li cede a terzi e non li impiega per addestrare modelli o sistemi di analisi.
3. Durata
Il trattamento ha durata pari a quella del rapporto contrattuale tra le Parti e cessa con la chiusura dell'account, fatti salvi i termini di cancellazione indicati all'art. 9.
4. Tipi di dati e categorie di interessati
| Categorie di interessati | Tipi di dati personali |
|---|---|
| Personale dipendente o collaboratore del Cliente | Nome, cognome, ruolo o mansione, turni e orari di lavoro, disponibilità e preferenze dichiarate, richieste di cambio turno |
| Personale con accesso al portale staff | Indirizzo email, credenziali di accesso in forma cifrata, token di notifica push del dispositivo |
Il Servizio non è progettato per trattare categorie particolari di dati ai sensi dell'art. 9 GDPR (tra cui dati sanitari, certificati medici, appartenenza sindacale). Il Cliente si impegna a non inserirne, in nessun campo del gestionale, note comprese.
5. Obblighi del Responsabile
Ai sensi dell'art. 28(3) GDPR, GymShift si impegna a:
- Trattare i dati personali soltanto su istruzione documentata del Cliente, incluso il trasferimento verso Paesi terzi, salvo obblighi di legge
- Garantire che le persone autorizzate al trattamento siano vincolate a un obbligo di riservatezza
- Adottare le misure di sicurezza di cui all'art. 32 GDPR, descritte all'art. 7
- Rispettare le condizioni previste per il ricorso a sub-responsabili, di cui all'art. 6
- Assistere il Cliente, con misure tecniche e organizzative adeguate, nel dare seguito alle richieste di esercizio dei diritti degli interessati (artt. 15-22 GDPR)
- Assistere il Cliente nel garantire il rispetto degli obblighi di cui agli artt. 32-36 GDPR, tenuto conto delle informazioni a disposizione
- Cancellare o restituire i dati al termine del rapporto, secondo quanto previsto all'art. 9
- Mettere a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto degli obblighi previsti, e consentire attività di revisione secondo l'art. 8
6. Sub-responsabili
Il Cliente autorizza in via generale il ricorso ai sub-responsabili elencati di seguito, necessari all'erogazione del Servizio:
| Sub-responsabile | Attività | Ubicazione dei dati |
|---|---|---|
| Supabase, Inc. | Database, autenticazione, storage | Unione Europea (regione eu-west) |
| Vercel Inc. | Hosting applicativo e CDN | Stati Uniti — trasferimento regolato da SCC |
| Resend (Plus Five Five, Inc.) | Invio email transazionali | Stati Uniti — trasferimento regolato da SCC |
GymShift informerà il Cliente di ogni variazione dell'elenco con almeno 30 giorni di preavviso, tramite email o avviso nell'applicazione. Il Cliente può opporsi per motivi ragionevoli e documentati; in caso di mancato accordo, può recedere dal Servizio senza penali per la parte di corrispettivo non goduta.
7. Misure di sicurezza
- Cifratura delle comunicazioni in transito tramite HTTPS/TLS
- Password conservate esclusivamente in forma cifrata, mai in chiaro
- Autenticazione tramite token di sessione a scadenza, con rinnovo controllato
- Isolamento dei dati tra clienti tramite Row Level Security (RLS) a livello di database
- Accesso ai sistemi di produzione limitato al solo titolare del Servizio
- Backup gestiti dal fornitore dell'infrastruttura database
8. Audit e informazioni
Su richiesta scritta e con ragionevole preavviso, GymShift fornisce al Cliente le informazioni necessarie a dimostrare la conformità agli obblighi del presente Accordo, inclusa la documentazione resa disponibile dai sub-responsabili. Eventuali ispezioni in loco sono ammesse una volta l'anno, salvo che a seguito di una violazione accertata, con oneri a carico del Cliente e nel rispetto della riservatezza degli altri clienti.
9. Restituzione e cancellazione
Il Cliente può esportare in ogni momento i dati inseriti tramite le funzioni di esportazione del Servizio. Alla cessazione del rapporto, i dati sono cancellati entro 30 giorni, salvo diversi obblighi di conservazione previsti dalla legge. La cancellazione si estende alle copie presenti presso i sub-responsabili, nei tempi tecnici dei rispettivi sistemi di backup.
10. Violazioni dei dati personali
GymShift notifica al Cliente ogni violazione di dati personali di cui venga a conoscenza senza ingiustificato ritardo e comunque entro 48 ore, fornendo le informazioni ragionevolmente disponibili per consentire al Cliente di adempiere agli obblighi di notifica di cui agli artt. 33 e 34 GDPR. Resta in capo al Cliente, in quanto titolare, la valutazione e l'eventuale notifica all'autorità di controllo.
11. Legge applicabile
Il presente Accordo è regolato dalla legge italiana e si interpreta in conformità al Regolamento (UE) 2016/679. In caso di conflitto tra il presente Accordo e i Termini e Condizioni, per le materie relative al trattamento dei dati personali prevale il presente Accordo.
12. Contatti
Per ogni comunicazione relativa al presente Accordo:ciao@gymshift.it