Informativa sulla privacy

Versione 1.3 · In vigore dal 18 settembre 2026

Questa Informativa sulla privacy spiega come Velka raccoglie, utilizza e protegge i tuoi dati personali quando usi Velka Coach, l'app Velka per i clienti e l'assistente Kilo. Ci impegniamo a proteggere la tua privacy e a trattare i tuoi dati nel rispetto del Regolamento generale sulla protezione dei dati dell'UE (GDPR).

1. Chi siamo (Titolare del trattamento)

Il titolare del trattamento è Velka, [TODO: registered legal entity + address], con sede in Italia. Per qualsiasi domanda sulla privacy o per esercitare i tuoi diritti, scrivici a privacy@velka.fit.

2. Dati che raccogliamo

Raccogliamo le seguenti categorie di dati personali:

• Dati di account e identità: nome, indirizzo email, numero di telefono facoltativo e indirizzo di fatturazione.
• Dati su salute e fitness (categoria particolare, art. 9 GDPR): profilo di benessere (data di nascita, altezza, genere, esperienza di allenamento, obiettivo, condizioni mediche), check-in (peso corporeo, energia), schede di allenamento e dietetiche, sessioni di allenamento e certificati medici.
• Foto e immagini: immagini di check-in e di sessione che carichi.
• Comunicazioni: messaggi tra coach e clienti, conversazioni e la cronologia chat con l'assistente AI Kilo.
• Audio (solo Velka Coach): la voce che detti a Kilo. L'audio è trascritto in tempo reale e non è conservato come registrazione.
• Dati diagnostici: segnalazioni di arresto anomalo (crash) ed eventi operativi specifici (ad esempio la durata di un'operazione nell'app) provenienti dalle app, inviati alla nostra risorsa Application Insights nell'UE e non collegati alla tua identità di account. Non contengono alcun identificativo persistente del dispositivo e non scrivono nulla nell'archiviazione del tuo dispositivo (nessun cookie, nessuna archiviazione locale o di sessione). Gli unici identificativi rimasti sono ID di sessione e di utente che la libreria di diagnostica crea solo in memoria a ogni avvio e non conserva mai. La diagnostica non ancora inviata quando l'app si ricarica o si arresta in modo anomalo può andare persa.
• Token per le notifiche push: se consenti le notifiche su Velka Coach o sull'app Velka, memorizziamo un token push del dispositivo collegato al tuo account, in modo da poterti recapitare una notifica sul tuo dispositivo — ad esempio quando il tuo coach lascia una nota su un questionario compilato. Questo token è collegato al tuo account — a differenza dei dati diagnostici sopra — perché deve esserlo, per raggiungere proprio il tuo dispositivo. Quando ti disconnetti, il token viene rimosso dal dispositivo.

3. Perché usiamo i tuoi dati (finalità)

• Per erogare il servizio di coaching e le sue funzioni principali.
• Per fornire l'assistenza AI tramite Kilo.
• Per mantenere il servizio sicuro e per tenere i registri di audit.
• Per inviarti email transazionali relative al tuo account e al servizio.

4. Basi giuridiche

Ci basiamo sulle seguenti basi giuridiche ai sensi del GDPR:

• Art. 6(1)(b), esecuzione di un contratto: per fornire il servizio a cui ti iscrivi.
• Art. 6(1)(f), legittimo interesse: per mantenere il servizio sicuro e sottoposto ad audit.
• Art. 9(2)(a), consenso esplicito: per trattare i dati particolari su salute e fitness. Puoi revocare questo consenso in qualsiasi momento.

5. Con chi condividiamo i dati (destinatari e sub-responsabili)

Non vendiamo i tuoi dati. Li condividiamo solo con i fornitori necessari per far funzionare Velka:

• Microsoft Azure (Unione Europea, West Europe / Amsterdam): hosting, database, archiviazione file, segreti e telemetria diagnostica su arresti anomali e prestazioni, relativa al nostro backend e alle nostre app.
• OpenAI (Stati Uniti): funzioni AI e trascrizione vocale. Le condizioni mediche sono escluse dai prompt inviati a OpenAI.
• Resend (Stati Uniti): invio delle email transazionali.
• Firebase Cloud Messaging (Google): recapito delle notifiche push sul tuo dispositivo, tramite il token push descritto nella Sezione 2. Nessun contenuto dei messaggi, dato sanitario o dato relativo alla scheda di allenamento viene inviato a Google — solo il token e la piattaforma (iOS o Android).

6. Trasferimenti internazionali

Il trattamento su Azure resta all'interno dell'Unione Europea. OpenAI, Resend e Firebase Cloud Messaging (Google) sono servizi con sede negli Stati Uniti; questi trasferimenti sono protetti dal Data Privacy Framework UE-USA e dalle Clausole Contrattuali Standard, ove applicabili.

7. Conservazione

Conserviamo i tuoi dati finché il tuo account è attivo e per il tempo necessario alle finalità sopra indicate o per adempiere a obblighi di legge (ad esempio contabili). Quando elimini il tuo account dall'app, eliminiamo i tuoi dati. I registri di audit di sicurezza sono conservati per finalità di sicurezza. Un token per le notifiche push viene rimosso dai nostri sistemi 30 giorni dopo che smette di essere utilizzato (ad esempio dopo la disconnessione o la disinstallazione dell'app). Consulta la nostra pagina di eliminazione dell'account per le istruzioni passo passo e per sapere cosa viene conservato.

8. Come proteggiamo i tuoi dati (misure di sicurezza)

• Cifratura in transito (TLS) e cifratura a riposo.
• Hashing delle password con PBKDF2.
• Controlli di accesso e isolamento multi-tenant.
• Limitazione delle richieste (rate limiting) e archiviazione file privata.
• Registri di audit e autenticazione con bearer token (nessun cookie).
• Nessun SDK di analisi di terze parti né tracciamento cross-app — solo segnalazioni di arresto anomalo ed eventi operativi specifici di prima parte, inviati alla nostra risorsa Azure Application Insights nell'UE, senza identificativo persistente del dispositivo, senza cookie, senza scrivere nulla nell'archiviazione del tuo dispositivo e con gli URL ripuliti prima che lascino il tuo dispositivo.

9. I tuoi diritti

Ai sensi del GDPR (articoli da 15 a 22) hai diritto di accesso, rettifica, cancellazione, limitazione, portabilità dei dati, opposizione e di revocare il consenso. Per esercitare questi diritti, scrivi a privacy@velka.fit oppure elimina il tuo account dall'app. Hai inoltre il diritto di proporre reclamo all'autorità di controllo italiana, il Garante per la protezione dei dati personali (il Garante).

10. Minori

Velka è destinata a utenti di età pari o superiore a 18 anni. Non trattiamo consapevolmente dati di minori.

11. Modifiche a questa informativa

Questa è la Versione 1.3, con data di efficacia 18 settembre 2026. In caso di modifiche sostanziali, ti informeremo via email e/o con un avviso in-app. L'uso continuato del servizio dopo la data di efficacia di una modifica costituisce accettazione dell'informativa aggiornata.

12. Contatti

Domande su questa informativa o sui tuoi dati: privacy@velka.fit.