Informativa sulla Privacy

1. Informazioni che Raccogliamo

1.1 Informazioni dell'Account

Quando crei un account, raccogliamo:

• Indirizzo email (per autenticazione e comunicazioni)
• Timestamp di creazione dell'account
• Attività di accesso e dati di sessione

1.2 Dati Sanitari e di Fitness (Categorie Particolari di Dati)

IMPORTANTE: Ai sensi dell'Articolo 9 del GDPR, i dati sanitari sono "categorie particolari di dati personali" che richiedono consenso esplicito e protezione aggiuntiva.

Raccogliamo i seguenti dati relativi alla salute:

• Misurazioni fisiche: Età, peso, altezza, sesso
• Profilo fitness: Livello di esperienza nell'allenamento, attrezzatura disponibile, frequenza di allenamento
• Prestazioni negli allenamenti: Esercizi eseguiti, serie, ripetizioni, pesi utilizzati, RIR (Ripetizioni in Riserva), tempi di recupero
• Dati su dolore e infortuni: Limitazioni segnalate, localizzazione del dolore, gravità, esercizi interessati
• Note sugli allenamenti: Feedback in formato libero inclusi sensazioni soggettive, affaticamento, disagio
• Preparazione mentale: Punteggi di preparazione auto-riportati
• Composizione corporea: (se fornita) percentuale di grasso corporeo, massa muscolare
• Fase calorica: Stato di massa, mantenimento o definizione
• App salute collegate: Passi, calorie attive e totali, fasi del sonno, frequenza cardiaca a riposo, variabilità cardiaca, peso corporeo e attività importati da Apple Health (iOS) o Health Connect (Android), se scegli di collegarli

I dati letti da Apple Health e Health Connect servono solo a personalizzare allenamento, recupero e nutrizione dentro Arvo. Non li vendiamo, non li usiamo per pubblicità e non li condividiamo con terze parti per i loro scopi. Dal telefono Arvo si limita a leggere da questi servizi: non vi scrive dati. Puoi revocare l'accesso quando vuoi dalle impostazioni salute del dispositivo o da Arvo; eliminando l'account cancelli anche i dati importati.

1.3 Dati di Utilizzo

Raccogliamo automaticamente:

• Informazioni sul dispositivo (browser, sistema operativo, dimensioni dello schermo)
• Indirizzo IP (anonimizzato)
• Pagine visitate e funzionalità utilizzate
• Log degli errori e metriche di performance
• Modelli di interazione con l'AI (es. allenamenti generati, esercizi selezionati)

1.4 Dati da Servizi di Terze Parti

Utilizziamo:

• Supabase: Autenticazione e hosting del database
• Anthropic/OpenAI: Fornitori di modelli AI: dati minimizzati e pseudonimizzati per le funzionalità AI interne di Arvo; dati identificabili possono essere condivisi tramite gli strumenti ChatGPT opzionali e autorizzati descritti nella Sezione 5.4
• Vercel: Hosting e analytics

2. Come Utilizziamo i Tuoi Dati

2.1 Finalità Principali

• Generazione di allenamenti: L'AI utilizza il tuo profilo, lo storico e le limitazioni per creare allenamenti personalizzati
• Raccomandazioni di esercizi: Selezione di esercizi in base ad attrezzatura, esperienza e preferenze
• Tracciamento della progressione: Calcolo di progressioni appropriate di peso/ripetizioni in base alle prestazioni
• Estrazione di insights: L'AI analizza le note degli allenamenti per rilevare pattern, preferenze e potenziali problemi
• Funzionalità di sicurezza: Evitare esercizi che hanno causato dolore o infortuni
• Gestione del volume: Tracciamento del volume settimanale per prevenire il sovrallenamento

2.2 Miglioramento del Servizio

• Migliorare gli algoritmi AI e l'accuratezza delle raccomandazioni
• Debug degli errori e correzione di bug
• Comprendere il comportamento degli utenti per migliorare l'UX
• Sviluppare nuove funzionalità basate sui modelli di utilizzo

2.3 Comunicazione

• Invio di email di autenticazione (link magici)
• Aggiornamenti del servizio e notifiche di sicurezza
• Rispondere alle richieste di supporto
• Comunicazioni di marketing (solo con il tuo consenso esplicito)

2.4 Obblighi Legali

• Rispettare i requisiti legali (es. fiscali, forze dell'ordine)
• Proteggere i nostri diritti e proprietà
• Prevenire frodi e abusi

3. Base Giuridica del Trattamento (GDPR)

Trattiamo i tuoi dati sulla base di:

• Consenso esplicito (Articolo 9): Per la raccolta di dati sanitari e il trattamento tramite AI
• Esecuzione del contratto: Per fornire il Servizio per cui ti sei registrato
• Interessi legittimi: Miglioramento del servizio, prevenzione delle frodi, sicurezza
• Obblighi legali: Conformità a leggi e regolamenti

Puoi revocare il tuo consenso in qualsiasi momento contattandoci o eliminando il tuo account.

4. Conservazione e Sicurezza dei Dati

4.1 Dove Conserviamo i Dati

• Database principale: Supabase (PostgreSQL) ospitato in data center UE
• Archiviazione lato client: localStorage (allenamenti in corso, bozze)
• Backup: Backup crittografati conservati nell'UE

4.2 Misure di Sicurezza

• Crittografia in transito (HTTPS/TLS)
• Crittografia a riposo per dati sensibili
• Sicurezza a livello di riga (RLS) nel database
• Controlli di accesso e autenticazione
• Audit di sicurezza regolari
• Minimizzazione e pseudonimizzazione dei dati per l'elaborazione AI interna di Arvo; la condivisione tramite strumenti ChatGPT autorizzati è descritta separatamente nella Sezione 5.4

4.3 Conservazione dei Dati

Conserviamo i tuoi dati:

• Account attivi: Finché il tuo account esiste
• Account eliminati: 30 giorni (per consentire il recupero), poi eliminati definitivamente
• Backup: Fino a 90 giorni in backup crittografati
• Analytics anonimizzati: Indefinitamente (non ricollegabili a te)

5. Condivisione dei Dati e Terze Parti

5.1 NON Vendiamo i Tuoi Dati

Non vendiamo, affittiamo o scambiamo i tuoi dati personali a terze parti per scopi di marketing.

5.2 Fornitori di Servizi

Condividiamo i dati con fornitori di servizi affidabili che ci aiutano a operare:

• Supabase: Database e autenticazione (conforme GDPR, ospitato nell'UE)
• Anthropic/OpenAI: L'elaborazione AI interna usa dati minimizzati e pseudonimizzati; le chiamate opzionali e autorizzate agli strumenti ChatGPT possono condividere i dati descritti nella Sezione 5.4
• Vercel: Hosting e CDN (conforme GDPR)

Tutti i fornitori di servizi sono vincolati da accordi sul trattamento dei dati (DPA) e sono conformi al GDPR.

5.3 Trattamento tramite Modelli AI

Per le funzionalità AI interne di Arvo, separate dall'integrazione opzionale con ChatGPT della Sezione 5.4, inviamo ai fornitori AI (Anthropic, OpenAI) solo i dati necessari alla funzionalità, minimizzati e pseudonimizzati ove possibile. Questi dati:

• Escludono email e identificativi diretti dell'account quando non necessari; alcune funzionalità di personalizzazione possono usare il tuo nome
• Possono includere storico degli allenamenti, preferenze, limitazioni, metriche di salute o recupero e, quando necessario, il tuo nome
• Non vengono utilizzati per addestrare modelli AI (secondo gli accordi con i fornitori)
• Non vengono conservati dai fornitori AI oltre il tempo di elaborazione

5.4 Integrazioni con App di Terze Parti (ChatGPT)

Puoi collegare opzionalmente il tuo account Arvo a ChatGPT (di OpenAI) tramite OAuth 2.0 per accedere ai tuoi dati di allenamento e strumenti di coaching direttamente in ChatGPT.

Dati Condivisi con ChatGPT

Quando l'account è collegato, ChatGPT può accedere ai seguenti dati solo quando viene invocato uno strumento autorizzato:

• Nome e profilo fitness, inclusi età, sesso o genere, peso, altezza, composizione corporea, esperienza, obiettivi, preferenze, attrezzatura, punti deboli, infortuni o limitazioni, fase calorica e approccio di allenamento
• Split, programmazione e allenamenti, inclusi esercizi, serie, ripetizioni, carichi, durata, stato della sessione, livello di prontezza, prestazioni e storico degli allenamenti
• Statistiche di allenamento, record personali, progressi negli esercizi, storico dei cicli, volume e dati per gruppo muscolare, storico delle fasi caloriche e degli approcci di allenamento
• Progressi corporei e dati fitness o sanitari collegati, inclusi attività cardio, sonno, HRV, frequenza cardiaca a riposo o media, passi, calorie attive, carico di allenamento e metriche di recupero
• Note sugli esercizi, memoria AI, insight attivi su allenamento o recupero, problemi fisici segnalati e informazioni sui video degli esercizi
• Dettagli sulla metodologia di allenamento e risultati restituiti da azioni di lettura o scrittura autorizzate

Accesso in Scrittura

ChatGPT può anche modificare i tuoi dati tramite chiamate di strumenti autorizzate, tra cui:

• Avviare o completare allenamenti e registrare serie, ripetizioni, carichi, tenute a tempo e prestazioni
• Generare o sostituire allenamenti; aggiungere, riordinare, saltare o sostituire esercizi e blocchi di riscaldamento; modificare split o ciclo di allenamento
• Aggiornare attrezzatura, fase calorica, punti deboli, problemi fisici segnalati e approccio di allenamento
• Creare memoria di coaching o risolvere una limitazione memorizzata

L'autenticazione utilizza OAuth 2.0 con PKCE. I token di accesso scadono dopo 1 ora e i token di aggiornamento dopo 90 giorni.

Puoi disconnettere Arvo da ChatGPT in qualsiasi momento dalle impostazioni di ChatGPT. La disconnessione rimuove il collegamento da ChatGPT; i JWT emessi da Arvo non vengono invalidati immediatamente lato server e possono restare tecnicamente validi fino alle scadenze indicate sopra.

Ogni strumento riceve solo i dati necessari per la richiesta; ChatGPT non ha accesso in blocco al database tramite Arvo. Gli output degli strumenti possono comunque contenere i dati personali e sanitari elencati sopra.

I dati inviati tramite le chiamate di strumenti sono soggetti alle politiche di utilizzo e alle pratiche sulla privacy di OpenAI. Ti invitiamo a consultare l'informativa sulla privacy di OpenAI all'indirizzo https://openai.com/privacy.

5.5 Requisiti Legali

Potremmo divulgare i tuoi dati se richiesto da:

• Forze dell'ordine o autorità governative
• Ordinanze del tribunale o procedimenti legali
• Protezione dei nostri diritti, sicurezza o proprietà
• Prevenzione di frodi o attività illegali

6. I Tuoi Diritti (GDPR)

Hai il diritto di:

• Accesso: Richiedere una copia di tutti i dati personali in nostro possesso su di te
• Rettifica: Correggere dati inesatti o incompleti
• Cancellazione ("Diritto all'oblio"): Richiedere la cancellazione dei tuoi dati
• Portabilità dei dati: Ricevere i tuoi dati in un formato strutturato e leggibile meccanicamente
• Limitazione: Limitare il modo in cui trattiamo i tuoi dati
• Opposizione: Opporti al trattamento basato su interessi legittimi
• Revoca del consenso: Revocare il consenso per il trattamento dei dati sanitari in qualsiasi momento
• Presentare un reclamo: Presentare un reclamo presso un'autorità di protezione dei dati

Per esercitare questi diritti, contattaci a privacy@aetha.ai o utilizza la pagina delle impostazioni quando disponibile.

7. Cookie e Tracciamento

Utilizziamo cookie e tracciamento minimi:

7.1 Cookie Essenziali

• Token di autenticazione (per mantenerti connesso)
• Gestione delle sessioni
• Sicurezza e prevenzione delle frodi

7.2 Cookie di Analytics (Opzionali)

• Vercel Analytics (statistiche di utilizzo anonimizzate)
• Tracciamento degli errori (per correggere bug)

Puoi disabilitare i cookie di analytics tramite le impostazioni del tuo browser.

8. Privacy dei Minori

Arvo è destinato a utenti di età pari o superiore a 14 anni. Gli utenti di età inferiore a 18 anni dovrebbero utilizzare il Servizio sotto supervisione parentale.

Non raccogliamo consapevolmente dati da minori di 14 anni. Se ritieni che abbiamo raccolto tali dati, contattaci immediatamente e li elimineremo.

9. Trasferimenti Internazionali di Dati

I tuoi dati sono principalmente conservati ed elaborati all'interno dell'Unione Europea. Se i dati vengono trasferiti al di fuori dell'UE (ad es., ai fornitori di AI negli Stati Uniti), garantiamo misure di salvaguardia adeguate quali:

• Clausole Contrattuali Standard (SCC)
• Minimizzazione e pseudonimizzazione dei dati, ove appropriato
• Accordi sul trattamento dei dati conformi al GDPR

10. Modifiche a Questa Informativa

Potremmo aggiornare questa Informativa sulla Privacy per riflettere cambiamenti nelle nostre pratiche o requisiti legali. Provvederemo a:

• Notificarti di modifiche sostanziali via email o notifica in-app
• Aggiornare la data "Ultimo aggiornamento" in alto
• Ottenere il tuo consenso se richiesto dalla legge

L'uso continuato del Servizio dopo le modifiche costituisce accettazione dell'informativa aggiornata.

11. Contattaci

Per domande relative alla privacy, richieste di accesso ai dati o per esercitare i tuoi diritti:

Contatto per la Protezione dei Dati:
Email: privacy@aetha.ai
Sito web: https://aetha.ai

Rappresentante nell'UE (se applicabile):
[Da determinare se necessario in base alla struttura aziendale]