Privacy Policy — Wyora

Versione: 1.0 Data di entrata in vigore: 1 luglio 2026 Ultimo aggiornamento: 1 luglio 2026 Titolare del trattamento: Wyora S.r.l. Sede legale: Fratelli Kennedy , 75, 62015 Monte San Giusto (MC) Contatto privacy: grande.fabio@pec.it Contatto legale: grande.fabio@pec.it

1. Informazioni generali

Wyora (di seguito "noi", "nostro" o "Wyora") fornisce una piattaforma software in modalità SaaS destinata a palestre, box CrossFit e centri fitness. La presente Privacy Policy descrive come raccogliamo, utilizziamo, conserviamo e proteggiamo i dati personali di chi interagisce con:

• Pannello gestionale web (https://admin.wyora.app)
• App mobile Wyora Athlete (iOS, Android)
• API pubbliche e webhook
• Sito marketing (https://wyora.app)

Il trattamento dei dati personali avviene nel rispetto del Regolamento (UE) 2016/679 ("GDPR"), del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018 ("Codice Privacy"), nonché delle altre normative applicabili in materia di protezione dei dati personali.

2. Ruoli: chi è titolare e chi è responsabile del trattamento

Wyora è una piattaforma usata da più palestre. Per questo il ruolo di Wyora cambia in base ai dati:

• Wyora è Titolare del trattamento per i dati degli account del personale e degli amministratori delle palestre clienti, per i dati di fatturazione e contrattuali dei clienti, per i dati di chi visita il sito marketing o ci contatta, e per i dati di sicurezza della piattaforma.
• La palestra è Titolare del trattamento per i dati dei propri atleti, iscritti e collaboratori (anagrafica, abbonamenti, prenotazioni, certificati, allenamenti, nutrizione). Wyora li tratta come Responsabile del trattamento (Art. 28 GDPR), per conto della palestra e secondo le sue istruzioni, sulla base di un accordo di trattamento dei dati (DPA).

Titolare del trattamento (per i dati di cui Wyora è Titolare): Wyora S.r.l., con sede legale in Fratelli Kennedy , 75, 62015 Monte San Giusto (MC), P.IVA [in registrazione], REA [in registrazione], capitale sociale [in registrazione].

Se sei un atleta o un iscritto a una palestra, il Titolare dei tuoi dati è la tua palestra: per esercitare i tuoi diritti (Sezione 8) rivolgiti prima a lei. Se ci scrivi direttamente, inoltreremo la richiesta alla palestra e ti aiuteremo a darvi seguito.

Referente per la protezione dei dati: per qualsiasi richiesta relativa al trattamento dei dati personali scrivi a grande.fabio@pec.it, indicando nell'oggetto "Privacy". Le richieste vengono evase entro 30 giorni dalla ricezione (Art. 12 GDPR).

3. Tipologie di dati personali trattati

3.1 Dati di account e anagrafica

• Nome, cognome
• Indirizzo email (identificativo di login)
• Password (conservata esclusivamente in forma di hash, mai in chiaro)
• Numero di telefono (opzionale)
• Data di nascita e sesso (opzionali)
• Fotografia del profilo (opzionale)
• Codice fiscale e contatti di emergenza, se forniti dalla palestra

3.2 Dati di pagamento e fiscali

• Storico di abbonamenti, transazioni e incassi (data, importo, descrizione, stato)
• Fatture e documenti fiscali, con i relativi dati (partita IVA, codice fiscale, indirizzo di fatturazione)
• Per gli addebiti con carta o SEPA, un riferimento al metodo di pagamento

Nota: i dati completi della carta di pagamento non sono memorizzati sui nostri server: sono gestiti da Stripe, che opera con certificazione PCI-DSS. Wyora conserva soltanto il riferimento al metodo di pagamento.

3.3 Dati di utilizzo della piattaforma

• Prenotazioni dei corsi e accessi in struttura
• Risultati dei WOD e record personali
• Peso corporeo e misurazioni (se l'atleta o la palestra le registrano)
• Piani nutrizionali e registro dei pasti (modulo Nutrizione)
• Post e commenti della community (se il modulo è attivo)
• Preferenze di notifica e di consenso

3.4 Dati tecnici

• Indirizzo IP, tipo di browser e di dispositivo, sistema operativo, user agent
• Registri di accesso e di sicurezza (data e ora di login, tentativi falliti)
• Token per le notifiche push (se attive)
• Segnalazioni di crash dell'app mobile (identificativo di installazione, modello e versione del dispositivo, traccia tecnica dell'errore)
• Cookie tecnici strettamente necessari (vedi Cookie Policy)

3.5 Dati di localizzazione

• Posizione del dispositivo, solo se concessa esplicitamente dall'utente, per le funzioni di accesso e check-in in palestra. Il permesso può essere revocato in qualsiasi momento dalle impostazioni del dispositivo.

3.6 Categorie particolari di dati (dati relativi alla salute)

Alcune funzioni trattano dati relativi alla salute (Art. 9 GDPR), che richiedono tutele rafforzate:

• Certificati medici per l'attività sportiva (documento, data di scadenza, stato di approvazione)
• Scheda nutrizionale dell'atleta: peso, altezza, allergie e intolleranze, patologie, integrazioni, abitudini alimentari e di sonno
• Misurazioni corporee (massa grassa, massa muscolare, circonferenze)

Questi dati sono trattati solo per le finalità indicate alla Sezione 4, sono accessibili al solo personale autorizzato della palestra e, nel caso della Nutrizione AI, sono trattati con le modalità descritte alla Sezione 10.

4. Finalità del trattamento e basi giuridiche

5. Modalità del trattamento e tempi di conservazione

I dati sono trattati con strumenti elettronici, da personale autorizzato, adottando le misure tecniche e organizzative descritte alla Sezione 9.

Tempi di conservazione:

• Account attivo: per tutta la durata del rapporto contrattuale.
• Cancellazione dell'account: i dati personali vengono anonimizzati subito e rimossi definitivamente entro 90 giorni.
• Documenti e registri fiscali (fatture, ricevute, registri IVA): 10 anni, per obbligo di legge, anche dopo la cancellazione dell'account.
• Registri di accesso e di sicurezza: da 12 mesi a 2 anni, secondo il tipo di registro; i registri di audit delle operazioni 180 giorni.
• Cronologia delle notifiche: 12 mesi.
• Copie di backup cifrate: 30 giorni in rotazione. I dati rimossi possono restare nelle copie di backup fino alla loro rotazione.
• Dati di marketing: fino alla revoca del consenso.

6. Comunicazione e diffusione dei dati

I dati personali non sono diffusi. Possono essere comunicati a:

• Personale autorizzato di Wyora, per le finalità della Sezione 4
• La palestra di appartenenza, che è Titolare dei dati dei propri atleti
• Fornitori che trattano i dati per nostro conto (Responsabili o sub-responsabili del trattamento, Art. 28 GDPR):

• Autorità pubbliche, su richiesta e nei casi previsti dalla legge
• Consulenti legali e fiscali, in caso di necessità

Con i fornitori sono adottati accordi di trattamento dei dati (DPA) ai sensi dell'Art. 28 GDPR. L'elenco aggiornato dei sub-responsabili è consultabile nella pagina dedicata del gestionale.

7. Trasferimenti verso paesi terzi

Alcuni fornitori (ad esempio Google, Stripe, Resend e Cloudflare) possono trattare dati negli Stati Uniti. I trasferimenti avvengono sulla base di:

• Decisione di adeguatezza della Commissione Europea, in particolare per i fornitori aderenti all'EU-US Data Privacy Framework
• Clausole contrattuali standard (SCC) della Commissione Europea, dove non si applica una decisione di adeguatezza
• Misure supplementari, ove necessarie (ad esempio la cifratura dei dati)

8. Diritti dell'interessato (Art. 15-22 GDPR)

Hai il diritto di:

Se sei un atleta, rivolgiti prima alla tua palestra (Sezione 2). Le richieste sono evase entro 30 giorni dalla ricezione. L'esercizio dei diritti è gratuito, salvo richieste manifestamente infondate o eccessive (Art. 12.5 GDPR). La cancellazione non si applica ai documenti che la legge impone di conservare (Sezione 5).

9. Sicurezza del trattamento (Art. 32 GDPR)

9.1 Misure tecniche

• Cifratura in transito: tutto il traffico verso la piattaforma è protetto da TLS
• Cifratura mirata dei dati più sensibili: codice fiscale, segreti dell'autenticazione a due fattori e relativi codici di recupero, password di posta della palestra, testi scambiati con l'AI sono cifrati nel database con AES-256-GCM
• Password: conservate solo come hash con algoritmo bcrypt
• Autenticazione a due fattori (TOTP): obbligatoria per gli account amministratore, dopo un breve periodo di tolleranza dalla creazione dell'account
• Sessioni: token a breve durata con rinnovo controllato; cookie di sessione HttpOnly e SameSite=Strict
• Protezione delle richieste: limitazione della frequenza delle richieste sugli endpoint pubblici e controlli sulle intestazioni di sicurezza (Content Security Policy)
• File: accesso tramite collegamenti firmati e a scadenza
• Isolamento tra palestre: ogni palestra vede solo i propri dati; i controlli sono applicati dal server su ogni richiesta e verificati da test automatici
• Registri di audit: le operazioni sensibili sono tracciate
• Backup: copie cifrate, con copia esterna, conservate in rotazione

9.2 Misure organizzative

• Accesso minimo: solo il personale autorizzato accede ai dati personali, in base al ruolo
• Privacy fin dalla progettazione: le nuove funzioni sono valutate per l'impatto sulla privacy
• Gestione delle violazioni: procedura interna per la gestione dei data breach, con notifica all'Autorità e agli interessati nei casi e nei tempi previsti dagli Art. 33-34 GDPR

10. Processi decisionali automatizzati, profilazione e uso dell'AI

Wyora non utilizza processi decisionali automatizzati che producano effetti giuridici o significativi sull'utente (Art. 22 GDPR). Le funzioni basate sull'intelligenza artificiale usano modelli linguistici forniti da Google (Gemini) e hanno le caratteristiche seguenti.

Nutrizione AI (modulo opzionale): l'AI opera esclusivamente come assistente del personale della palestra. Solo lo staff può avviare la generazione, modificare la proposta e pubblicare il piano. L'atleta riceve nell'app il piano pubblicato dallo staff, in sola lettura, e può aggiornare la propria scheda, registrare i pasti e il proprio peso. Le proposte sono suggerimenti soggetti a revisione umana obbligatoria. Puoi chiedere in qualsiasi momento la revisione umana di un piano che ti riguarda ed esercitare i diritti della Sezione 8, in particolare l'opposizione (Art. 21 GDPR).

AI Coach WOD (modulo opzionale): l'atleta genera direttamente il proprio allenamento, senza revisione preventiva dello staff. La richiesta contiene i parametri di allenamento dichiarati dall'atleta (attrezzatura, durata, focus, livello, disciplina). Solo se l'atleta ha dato il consenso esplicito al trattamento dei dati sulla salute (Sezione 3.6) la richiesta include anche età, peso, altezza e sesso, per adattare l'allenamento; senza consenso il workout è generico. Non vengono mai trattati dati su patologie, allergie o integrazioni. È un suggerimento di allenamento e non produce effetti ai sensi dell'Art. 22 GDPR.

10.1 Dati inviati al fornitore AI per la Nutrizione AI

Per generare proposte coerenti con la situazione dell'atleta, la richiesta inviata all'AI include, oltre alla scheda nutrizionale compilata dall'atleta:

• le misurazioni corporee registrate (peso, altezza, composizione corporea, circonferenze);
• lo storico degli allenamenti personali degli ultimi 30 giorni (nome del WOD e tipologia);
• i piani nutrizionali precedenti (periodo, calorie e macronutrienti obiettivo);
• l'aderenza ai pasti degli ultimi 30 giorni (alimenti più registrati e più scartati);
• le note dello staff sui piani precedenti.

Questi dati comprendono dati relativi alla salute. Nella richiesta non sono inclusi identificativi diretti dell'atleta o della palestra (nome, cognome, email, codici identificativi): solo il contesto descrittivo necessario alla generazione.

Base giuridica: consenso esplicito dell'atleta (Art. 6.1.a e 9.2.a GDPR), raccolto prima dell'attivazione della funzione: l'atleta lo dà dall'app (Profilo → Privacy e dati) oppure la palestra lo registra se lo ha acquisito di persona. È revocabile in qualsiasi momento: dopo la revoca la palestra non genera nuovi piani con i tuoi dati e non puoi più modificare la scheda. La revoca non pregiudica i trattamenti già effettuati.

10.2 Conservazione

La richiesta inviata all'AI e la risposta ricevuta sono conservate cifrate insieme al piano, per consentire la verifica della qualità e il controllo da parte dello staff. Periodo di conservazione: 24 mesi dalla generazione, poi la cancellazione è automatica; il piano approvato resta nel tuo storico. Puoi chiedere la cancellazione anticipata scrivendo a grande.fabio@pec.it (Art. 17 GDPR).

10.3 Chiave AI propria della palestra

Una palestra può configurare una propria chiave di accesso a Google Gemini. In questo caso:

• le richieste dei suoi atleti sono inviate all'account Google della palestra, non a quello di Wyora;
• il trattamento da parte di Google è disciplinato dai termini e dall'accordo sul trattamento dei dati che la palestra ha accettato con Google;
• la palestra resta Titolare del trattamento dei dati dei propri atleti e Wyora ne fornisce solo la gestione tecnica sulla piattaforma;
• la chiave è conservata cifrata e usata solo per le chiamate al servizio.

10.4 Dati inviati per la generazione di schede di allenamento

Per generare una bozza di scheda, il sistema invia al fornitore AI soltanto: la disciplina, l'obiettivo scritto dallo staff, la durata in settimane, il numero di allenamenti a settimana, il livello (principiante, intermedio, avanzato) e i nomi degli esercizi del catalogo della palestra.

La richiesta non contiene dati personali dell'atleta: né nome, né età, peso o sesso, né record personali, presenze, patologie, allergie o note cliniche. La bozza non è associata a nessun atleta finché lo staff non la assegna. Lo staff non deve scrivere dati personali di atleti nel campo obiettivo.

La richiesta e la risposta della generazione sono conservate cifrate come audit interno, visibili solo allo staff della palestra.

11. Cookie

Vedi la Cookie Policy: https://wyora.app/cookie-policy. In sintesi, allo stato attuale Wyora utilizza esclusivamente cookie tecnici strettamente necessari (sessione di autenticazione, stato dell'accesso SSO), esenti da consenso ai sensi dell'Art. 122 Codice Privacy. Non sono attivi cookie analitici o di marketing. Se in futuro verranno introdotti, questo documento e la Cookie Policy verranno aggiornati e verrà richiesto il consenso prima dell'attivazione.

12. Modifiche alla Privacy Policy

Possiamo modificare questa Privacy Policy per riflettere cambiamenti normativi, tecnici o organizzativi. Le modifiche sostanziali ti saranno comunicate con congruo anticipo, con evidenza di cosa cambia, e, dove necessario, ti verrà chiesto di accettare la nuova versione. Le versioni precedenti sono consultabili nel registro versioni di questa pagina.

13. Contatti

Per qualsiasi domanda relativa alla privacy:

• Email: grande.fabio@pec.it
• PEC: grande.fabio@pec.it
• Sede legale: Fratelli Kennedy , 75, 62015 Monte San Giusto (MC)

Per questioni legali:

• Email: grande.fabio@pec.it

Registro versioni