Accordo di nomina a Responsabile del trattamento

Accordo ai sensi dell'art. 28 del Reg. UE 2016/679 (GDPR) tra il personal trainer che attiva ZenitPT e il fornitore del Servizio.

Versione 1.0 — 27 settembre 2026.

1. Parti

• Titolare del trattamento: il personal trainer (o altro professionista del fitness) che attiva il Servizio ZenitPT, identificato dai dati inseriti al momento dell'attivazione (nome, email, P.IVA o codice fiscale se presente). Di seguito, il “Titolare” o il “PT”.
• Responsabile del trattamento: Mattias Zoratto, ditta individuale che opera con il nome commerciale “ZenitPT”, P.IVA 03084430309, sede Via Dante Alighieri 16, 33040 Pradamano (UD), email info@zenitpt.it. Di seguito, il “Responsabile” o “ZenitPT”.

Questo accordo fa parte dei Termini di servizio. Se c'è un contrasto, per la protezione dei dati prevale questo accordo.

2. Oggetto e durata

Il Titolare nomina ZenitPT Responsabile del trattamento dei dati personali dei propri clienti (gli “Assistiti”), che ZenitPT tratta solo per erogare il Servizio: promemoria degli appuntamenti, prenotazioni e disdette, sincronizzazione del calendario, conteggio dei pacchetti, avvisi di rinnovo e di pagamento, richieste di feedback, messaggi di riattivazione e cruscotto per il PT, secondo il piano sottoscritto.

L'accordo vale dall'accettazione fino alla cessazione del Servizio e, dopo, per il tempo necessario a completare la cancellazione o la restituzione dei dati (sezione 11). Per i PT che usavano già il Servizio prima dell'accettazione, l'accordo copre anche i trattamenti svolti dalla loro data di attivazione.

3. Dati trattati e interessati

Interessati: i clienti del PT (Assistiti), compresi i potenziali clienti che il PT inserisce o che scrivono al numero del Servizio. Se un Assistito è minorenne, i messaggi vanno al recapito indicato da chi esercita la responsabilità genitoriale, che è anch'esso un dato trattato.

Categorie di dati:

• nome o nome di riferimento, alias usato nel calendario del PT e numero di telefono WhatsApp;
• dati inseriti dal PT nella scheda del cliente: obiettivo, note («cose da ricordare»), giorni preferiti, con chi si allena;
• consenso dell'Assistito a ricevere i messaggi del Servizio (data e modalità);
• appuntamenti: data, ora, stato, disdette, storico delle lezioni;
• eventi del calendario Google del PT letti dal Servizio: orari, titoli e descrizioni, per riconoscere gli appuntamenti;
• pacchetti acquistati e residui, scadenze e rinnovi;
• pagamenti tra Assistito e PT come registrati dal PT: importi, rate, stato (pagato o da pagare). ZenitPT non incassa questi pagamenti e non tratta i dati delle carte degli Assistiti;
• pause e chiusure del rapporto: motivo scelto dal PT e data;
• risposte ai feedback e ai check-in;
• contenuto dei messaggi WhatsApp scambiati tra l'Assistito e il Servizio;
• dati tecnici legati ai messaggi: identificativi e stato di consegna;
• la scheda clienti su Google Sheets compilata dal PT e il cruscotto del PT, che riassumono i dati sopra.

Operazioni: raccolta, registrazione, conservazione, consultazione, uso per l'invio dei messaggi configurati, sincronizzazione con il calendario del PT, cancellazione.

4. Istruzioni del Titolare

ZenitPT tratta i dati solo su istruzione documentata del Titolare. Le istruzioni sono: questo accordo, i Termini di servizio, il piano scelto, la configurazione delle automazioni e le richieste che il PT invia per email o via WhatsApp al Servizio. ZenitPT non usa i dati degli Assistiti per finalità proprie, non li vende, non li usa per pubblicità e non contatta gli Assistiti a proprio nome. Accettando questo accordo, il Titolare istruisce ZenitPT anche a effettuare i trasferimenti descritti alla sezione 8.

Se un'istruzione sembra violare il GDPR o altre norme sulla protezione dei dati, ZenitPT lo segnala subito al Titolare (art. 28, par. 3, GDPR) e può sospenderne l'esecuzione finché il Titolare non la conferma o la modifica.

Se una norma obbliga ZenitPT a trattare i dati in modo diverso, ZenitPT ne informa prima il Titolare, salvo che la legge lo vieti.

5. Riservatezza

Ai dati degli Assistiti accedono solo le persone autorizzate per iscritto da ZenitPT (art. 29 GDPR e art. 2-quaterdecies D.Lgs. 196/2003), nella misura necessaria a erogare e assistere il Servizio. Oggi sono Mattias Zoratto e Alessandro Chittaro, autorizzato per iscritto. Le persone autorizzate sono vincolate alla riservatezza anche dopo la fine del rapporto. Chi si aggiunge in futuro riceve l'autorizzazione scritta e l'impegno di riservatezza prima di ottenere l'accesso.

6. Misure di sicurezza (art. 32 GDPR)

ZenitPT applica queste misure:

• Trasmissione cifrata: le comunicazioni tra il Servizio e i fornitori (Meta, Google, n8n, Cloudflare) passano su HTTPS.
• Verifica dei messaggi in arrivo: il Worker che riceve i callback di WhatsApp controlla la firma di Meta e scarta le chiamate senza firma valida.
• Separazione dei dati: ogni riga dei dati degli Assistiti è legata al PT a cui appartiene. Un PT non vede gli Assistiti, gli appuntamenti o i messaggi di un altro PT.
• Accessi limitati: ai pannelli di gestione (n8n, Meta, Google, Cloudflare, Stripe) si accede solo con gli account di ZenitPT, usati dalle persone autorizzate della sezione 5.
• Minimizzazione: i campi del Servizio non chiedono dati di salute (sezione 3).
• Conservazione limitata: tempi e cancellazioni come alla sezione 11 e nella Privacy Policy.
• Controllo quotidiano: ogni sera si controllano le esecuzioni del giorno e gli errori, per individuare subito anomalie e invii non previsti.

7. Sub-responsabili

Il Titolare autorizza in via generale ZenitPT a usare i sub-responsabili qui sotto. ZenitPT resta responsabile verso il Titolare del loro operato (art. 28, par. 2 e 4, GDPR). Per ciascuno è indicato su quale base tratta i dati.

• n8n GmbH (Berlino, Germania): motore delle automazioni e archivio dei dati (Data Tables), su infrastruttura Microsoft Azure nell'UE. L'assistenza tecnica può coinvolgere n8n US Inc. (USA) e la società del gruppo nel Regno Unito. Garanzie: accordo sul trattamento di n8n con Clausole Contrattuali Standard; Data Privacy Framework per gli USA; decisione di adeguatezza per il Regno Unito.
• Meta Platforms Ireland Ltd. (Dublino, Irlanda): WhatsApp Business Platform, Cloud API. I messaggi sono trattati nei data center di Meta, che possono trovarsi fuori dall'UE, e conservati da Meta fino a 30 giorni per il funzionamento del servizio. Garanzie: WhatsApp Business Data Processing Terms, Clausole Contrattuali Standard (Decisione UE 2021/914) e Data Privacy Framework.
• Google Ireland Ltd. (Irlanda): Google Calendar del PT (lettura degli appuntamenti), Google Drive e Sheets (scheda clienti compilata dal PT), usati tramite un account Google di ZenitPT.
• Cloudflare, Inc. (USA): Worker che riceve e inoltra i messaggi in arrivo da Meta, e archivio (KV) dei cruscotti dei PT, replicato sulla rete globale di Cloudflare. Garanzie: accordo sul trattamento di Cloudflare con Clausole Contrattuali Standard e Data Privacy Framework.
• Register S.p.A. (Italia): casella di posta info@zenitpt.it, dove arrivano richieste e comunicazioni dei PT. Nessun trasferimento fuori dall'UE.

Stripe non compare nell'elenco perché tratta soltanto i dati di pagamento del PT verso ZenitPT, di cui ZenitPT è Titolare autonomo, e non i dati degli Assistiti.

Prima di aggiungere o sostituire un sub-responsabile, ZenitPT avvisa il Titolare per email con almeno 15 giorni di anticipo. Entro quel termine il Titolare può opporsi per motivi legati alla protezione dei dati. Se non si trova una soluzione, il Titolare può disdire senza penali e con rimborso del canone già pagato per il periodo non goduto.

8. Trasferimenti fuori dall'UE

Alcuni sub-responsabili possono trattare dati fuori dallo Spazio Economico Europeo, in particolare negli Stati Uniti (Cloudflare, Meta, la società statunitense di n8n e le rispettive società del gruppo) e nel Regno Unito (assistenza di n8n). Per n8n, Meta e Cloudflare questi trasferimenti avvengono, come indicato alla sezione 7, sulla base di:

• Clausole Contrattuali Standard della Commissione Europea (Decisione di esecuzione UE 2021/914), incluse negli accordi sul trattamento dei fornitori;
• dove il fornitore è certificato, la decisione di adeguatezza sull'EU-US Data Privacy Framework (Decisione di esecuzione UE 2023/1795 del 10 luglio 2023);
• per il Regno Unito, la decisione di adeguatezza della Commissione Europea.

ZenitPT non trasferisce dati fuori dall'UE per scelta propria, oltre a quanto indicato sopra.

9. Assistenza al Titolare e diritti degli interessati

ZenitPT aiuta il Titolare a rispondere alle richieste degli Assistiti (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione, artt. 15–22 GDPR):

• se una richiesta arriva a ZenitPT, la inoltra al PT entro 5 giorni lavorativi e non risponde nel merito senza sua istruzione, salvo la richiesta di non ricevere più messaggi: quella, per istruzione permanente del Titolare, viene applicata subito e comunicata al PT;
• su richiesta del PT, fornisce entro 10 giorni lavorativi l'estrazione, la correzione o la cancellazione dei dati di un Assistito;
• fornisce le informazioni di cui dispone per aiutare il Titolare negli obblighi degli artt. 32–36 GDPR (sicurezza, violazioni, eventuale valutazione d'impatto).

10. Violazioni dei dati (data breach)

Se ZenitPT viene a conoscenza di una violazione dei dati degli Assistiti, la comunica al Titolare senza ingiustificato ritardo, e comunque entro 48 ore da quando ne ha avuto conoscenza, per email all'indirizzo del PT e per WhatsApp. In questo modo il Titolare ha il tempo per notificarla al Garante entro 72 ore, se necessario (art. 33 GDPR). La comunicazione indica, per quanto noto: che cosa è successo, quali dati e quanti Assistiti sono coinvolti, le conseguenze probabili, le misure prese o proposte e un contatto. Se non tutto è noto subito, le informazioni arrivano a fasi. La notifica al Garante e l'eventuale comunicazione agli Assistiti (art. 34) spettano al Titolare, con l'aiuto di ZenitPT.

11. Fine del rapporto: cancellazione e restituzione

Alla cessazione del Servizio, su scelta del Titolare comunicata a info@zenitpt.it:

• ZenitPT restituisce i dati degli Assistiti in un formato di uso comune (foglio di calcolo), poi li cancella; oppure
• li cancella senza restituirli.

Durante il rapporto, il contenuto dei messaggi è conservato nel Servizio al massimo 12 mesi. Senza una scelta, alla cessazione i dati sono cancellati entro 30 giorni dalla disattivazione. I messaggi restano comunque presso Meta al massimo 30 giorni, secondo le regole della Cloud API. Su richiesta, ZenitPT conferma per iscritto l'avvenuta cancellazione. Restano solo i dati che una legge obbliga a conservare.

12. Verifiche e audit

ZenitPT mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto di questo accordo: questo documento, l'elenco aggiornato dei sub-responsabili e i loro accordi sul trattamento pubblici. Il Titolare, o un revisore da lui incaricato e vincolato alla riservatezza, può chiedere una verifica, comprese ispezioni, anche in loco o da remoto, con almeno 15 giorni di preavviso, al massimo una volta l'anno, salvo dopo una violazione o su richiesta di un'autorità. La verifica si svolge in modo da non compromettere i dati degli altri PT. Le verifiche sui sub-responsabili si basano sui loro rapporti e certificazioni.

13. Obblighi del Titolare

Il PT garantisce di:

• avere una base giuridica per trattare i dati dei suoi Assistiti e per farli contattare dal Servizio;
• aver informato gli Assistiti (artt. 13–14 GDPR) che ricevono messaggi WhatsApp automatici tramite ZenitPT;
• aver raccolto dagli Assistiti il consenso esplicito (opt-in) a ricevere messaggi WhatsApp dal numero del Servizio, come richiesto dalla WhatsApp Business Messaging Policy, e di conservarne traccia;
• non inserire dati di salute (sezione 3) e non inserire persone che non sono suoi clienti o che hanno chiesto di non essere contattate.

14. Versione, modifiche e accettazione

Versione 1.0 — 27 settembre 2026. L'accordo si accetta all'attivazione del Servizio, insieme ai Termini; ZenitPT conserva la prova dell'accettazione (il pagamento dell'attivazione o la risposta via email) con la data e il numero di versione. Le modifiche sostanziali vengono comunicate per email con almeno 30 giorni di preavviso. Il PT che non le accetta può disdire senza penali.

Legge applicabile: italiana. Foro: come nei Termini di servizio.