Informativa sul trattamento dei dati personali

Rhino Coaching

Versione privacy-1.0 — in vigore dal 26 settembre 2026

Titolare del trattamento

Nativa Ventures Ltd, company number 16995740, 158 Meadow Head, Sheffield S8 7UF, Regno Unito.

La presente informativa descrive come vengono trattati i dati personali nell'ambito del servizio Rhino Coaching, ai sensi del GDPR, dell'UK GDPR e della normativa applicabile.

Per ogni questione relativa al trattamento dei propri dati è possibile scrivere a privacy@nativaventures.com.

1. Origine dei dati

Tutti i dati trattati sono forniti direttamente dall'interessato, oppure generati dal suo utilizzo dell'applicazione e della piattaforma. La Società non acquista né raccoglie dati personali da fonti terze.

2. Categorie di dati

Dati comuni: dati anagrafici e di contatto; data di nascita; dati di fatturazione e pagamento; dati relativi ad allenamento e alimentazione; foto dei progressi; messaggi e conversazioni; dati di utilizzo della piattaforma.

Dati relativi alla salute, trattati solo quando l'interessato li fornisce e solo in presenza del relativo consenso esplicito: infortuni, dolore e limitazioni; allergie e intolleranze rilevanti; patologie dichiarate; gravidanza ove pertinente; sintomi ricorrenti; dati gastrointestinali; ciclo mestruale e contraccezione ormonale; dati di recupero quando qualificabili come dati relativi alla salute.

Campi di testo libero. Alcuni campi dell'applicazione consentono di scrivere liberamente. Possono quindi contenere, incidentalmente, informazioni relative alla salute. Per questo motivo sono trattati con misure prudenziali: accesso ristretto, stessa conservazione prevista per i dati sanitari, ed esclusione totale dai dataset di ricerca. All'interno dell'applicazione l'interessato è invitato a non inserire in questi campi diagnosi, informazioni mediche o dati identificativi di terzi.

3. Finalità e basi giuridiche

Erogazione del servizio e gestione dell'account: esecuzione del contratto, art. 6(1)(b).

Adempimenti fiscali e contabili: obbligo di legge, art. 6(1)(c).

Sicurezza della piattaforma, prevenzione di abusi e tutela dei diritti: legittimo interesse, art. 6(1)(f).

Dati relativi alla salute necessari alla sicurezza e alla personalizzazione del percorso: esecuzione del contratto, art. 6(1)(b), unitamente al consenso esplicito ai sensi dell'art. 9(2)(a). Il consenso è raccolto prima della creazione del piano individualizzato e non al momento dell'acquisto.

Sintomi, benessere e ciclo mestruale: consenso esplicito, separato e facoltativo per ciascuna delle due aree.

Uso promozionale di foto, video e testimonianze: consenso separato, facoltativo e revocabile. L'uso delle foto ai soli fini del coaching rientra invece nell'esecuzione del contratto.

Analisi statistiche e miglioramento del servizio: consenso facoltativo. Il rifiuto non incide in alcun modo sul coaching.

Marketing promozionale: consenso, secondo il canale e la normativa applicabile. Le comunicazioni strettamente connesse al servizio, all'assistenza e al rinnovo hanno natura amministrativa e non costituiscono marketing promozionale.

4. I tre consensi sanitari e cosa comporta il rifiuto

I dati relativi alla salute sono raccolti attraverso tre consensi distinti, ciascuno separato dagli altri, non preselezionato e revocabile in qualsiasi momento.

Consenso A, sicurezza del percorso. Riguarda infortuni, limitazioni, allergie e intolleranze rilevanti, patologie dichiarate e, ove pertinente, gravidanza. Sono le informazioni necessarie a valutare che il percorso proposto sia sicuro e appropriato.
Se non viene prestato: non viene creato il piano individualizzato che richiede tali informazioni. L'account e le funzioni che non dipendono da quei dati restano disponibili.

Consenso B, sintomi e benessere. Riguarda sintomi ricorrenti e dati gastrointestinali.
Se non viene prestato: restano disattivate esclusivamente le funzioni corrispondenti. Il resto del coaching non è interessato.

Consenso C, ciclo mestruale. Riguarda regolarità, lunghezza del ciclo e contraccezione ormonale.
Se non viene prestato: restano disattivate esclusivamente le funzioni collegate al ciclo.

La revoca di un consenso si effettua dalla stessa schermata in cui è stato prestato, con lo stesso numero di passaggi, senza necessità di contattare l'assistenza.

5. Chi accede ai dati

Accedono ai dati il coach assegnato e il personale autorizzato, secondo il principio del minimo privilegio. Accessi più ampi sono riservati a ruoli amministrativi autorizzati e sono registrati.

Il biologo nutrizionista o altro professionista sanitario incaricato accede ai soli dati necessari alla revisione o alla presa in carico della componente nutrizionale.

I responsabili del trattamento di cui la Società si avvale sono:

• Supabase, per l'infrastruttura di database e l'archiviazione dei file
• Railway e Vercel, per l'esecuzione e la distribuzione dell'applicazione
• Stripe, per la gestione dei pagamenti
• Resend, per l'invio delle comunicazioni di servizio

Ciascun fornitore opera sulla base di un accordo sul trattamento. L'elenco è mantenuto aggiornato e la versione corrente può essere richiesta ai contatti indicati all'articolo 16.

La Società non si avvale di alcun fornitore esterno di intelligenza artificiale per il trattamento dei dati degli interessati. Qualora in futuro venisse introdotto un fornitore che riceva dati personali, la presente informativa sarà aggiornata prima dell'attivazione.

6. Elaborazioni automatiche

La piattaforma utilizza algoritmi e regole software per generare suggerimenti relativi ad allenamento, alimentazione, recupero e organizzazione del percorso.

I motori propongono e la decisione spetta al coach o, nelle funzioni autonome, all'interessato. In un numero limitato di casi predefiniti il sistema applica un aggiustamento standard già impostato, che resta sempre modificabile dal coach e dall'interessato. In nessun caso vengono adottate decisioni basate unicamente su trattamento automatizzato che producano effetti giuridici o incidano in modo analogamente significativo.

Il testo libero delle dichiarazioni relative alla salute e le note descrittive dei rinvii a professionisti non sono utilizzati come input di tali elaborazioni.

7. Ricerca, pseudonimizzazione e anonimizzazione

Il dataset longitudinale interno utilizzato per le analisi e per il miglioramento del servizio è pseudonimizzato. I dati pseudonimizzati restano dati personali a tutti gli effetti e continuano a essere soggetti ai diritti dell'interessato e ai termini di conservazione previsti.

I risultati destinati all'esterno o a partner commerciali sono esclusivamente aggregati, non contengono alcun identificatore individuale persistente e sono sottoposti a controlli documentati del rischio di re-identificazione prima della diffusione.

8. Per quanto tempo conserviamo i dati

In caso di revoca di un consenso, i dati coperti da quel consenso sono resi immediatamente inaccessibili e cancellati secondo la procedura prevista, senza attendere i termini sopra indicati.

Sui dati di pagamento la Società conserva esclusivamente quanto necessario come prova contabile, fiscale e del pagamento: documento di fatturazione, importo, data, valuta, identificativo della transazione, stato del pagamento o del rimborso, dati di fatturazione, eventuale partita IVA ed eventuale documentazione di contestazione. I dati completi dello strumento di pagamento restano presso il fornitore dei servizi di pagamento e non sono conservati dalla Società.

Quando finisce il rapporto. I termini della tabella decorrono dalla cessazione del Piano di coaching. La cancellazione o l'anonimizzazione avvengono secondo la categoria del dato, senza attendere una richiesta dell'interessato.

Cosa resta dopo la cancellazione dell'account. La cancellazione non rimuove i dati che la legge impone di conservare: i documenti fiscali e contabili e la prova dei pagamenti, per sei anni dalla fine del relativo periodo contabile, e il registro dei consensi, per dieci anni, che non contiene dati relativi alla salute.

La cancellazione non è mai indiscriminata. A fronte di una richiesta di cancellazione vengono rimossi i dati relativi alla salute e il testo libero, lo storico viene anonimizzato, e restano conservati esclusivamente i dati che un obbligo di legge impone di mantenere.

9. Trasferimenti al di fuori del Regno Unito e dello Spazio economico europeo

Quando dati personali sono trattati al di fuori del Regno Unito o dello Spazio economico europeo, la Società si avvale delle garanzie richieste dalla normativa applicabile: decisioni di adeguatezza, clausole contrattuali standard o UK Addendum, secondo il caso.

10. Rappresentante nell'Unione Europea

Poiché la Società offre servizi a interessati che si trovano nell'Unione Europea, ha nominato un proprio rappresentante nell'Unione ai sensi dell'art. 27 GDPR. Di seguito l'informazione resa dal rappresentante:

Rappresentante

Diamo valore alla tua privacy e ai tuoi diritti come interessato ai dati e abbiamo quindi nominato il Gruppo Prighter con i suoi partner locali come nostro rappresentante per la privacy e il tuo punto di contatto per le seguenti regioni:

• Unione Europea (UE)

Prighter ti offre un modo facile per esercitare i tuoi diritti relativi alla privacy (ad esempio richieste di accesso o cancellazione dei dati personali). Se desideri contattarci tramite il nostro rappresentante, Prighter, o esercitare i tuoi diritti di interessato, visita il seguente sito web: https://app.prighter.com/portal/18820100537

Rivolgersi al rappresentante è una facoltà e non sostituisce gli altri canali indicati all'articolo 16, né il diritto di proporre reclamo a un'autorità di controllo.

11. Diritti dell'interessato

L'interessato può esercitare, nei casi e nei limiti previsti dalla legge, i diritti di accesso, rettifica, cancellazione, limitazione del trattamento, portabilità, opposizione e di revoca del consenso.

La revoca del consenso opera per il futuro e non pregiudica la liceità dei trattamenti già effettuati sulla base del consenso prestato in precedenza.

L'esercizio dei diritti è gratuito e la Società risponde nei termini previsti dalla legge.

Come esercitare i diritti. Oltre ai contatti indicati all'articolo 16, l'interessato può presentare la propria richiesta attraverso il rappresentante nell'Unione, che mette a disposizione un canale dedicato: https://app.prighter.com/portal/18820100537

Reclamo a un'autorità di controllo. L'interessato ha diritto di proporre reclamo a un'autorità di controllo. Per il Regno Unito l'autorità competente è l'Information Commissioner's Office (ICO). Gli interessati che si trovano nell'Unione Europea possono in alternativa rivolgersi all'autorità di controllo dello Stato membro in cui risiedono abitualmente, in cui lavorano o in cui si è verificata la presunta violazione; per l'Italia, il Garante per la protezione dei dati personali.

12. Registro dei consensi

La Società conserva un registro separato degli eventi di consenso e di revoca, contenente il soggetto, il tipo di consenso, la versione del testo, l'azione compiuta, la data e l'ora e un riferimento immutabile al testo che è stato mostrato.

Il registro non contiene dati relativi alla salute e sopravvive alla cancellazione dei dati che il consenso copriva, in quanto costituisce la prova del rispetto degli obblighi di legge.

13. Sicurezza e violazioni dei dati

La Società applica misure tecniche e organizzative proporzionate al rischio, fra cui la segregazione degli accessi, la registrazione delle attività, le copie di sicurezza, il controllo dei privilegi e una procedura di gestione delle violazioni.

Le violazioni dei dati personali sono valutate e, quando richiesto dalla legge, notificate all'autorità di controllo e agli interessati.

14. Età minima

Il servizio è riservato a soggetti di età pari o superiore a 18 anni. La data di nascita è richiesta in fase di registrazione e l'accesso è impedito ai minori. La Società non raccoglie consapevolmente dati di minori.

15. Modifiche alla presente informativa

La presente informativa può essere aggiornata. Ogni versione è identificata da un codice e da una data. Le modifiche sostanziali sono comunicate con ragionevole preavviso attraverso i canali di contatto o all'interno dell'applicazione.

16. Contatti

Per esercitare i propri diritti o per qualsiasi questione relativa al trattamento dei dati personali:

privacy@nativaventures.com

Per le richieste relative ai diritti dell'interessato è disponibile anche il canale del rappresentante nell'Unione: https://app.prighter.com/portal/18820100537

Nativa Ventures Ltd, 158 Meadow Head, Sheffield S8 7UF, Regno Unito.

17. Cookie e archiviazione locale

Il sito e l'applicazione non utilizzano cookie di profilazione, non ospitano strumenti di analisi statistica o di pubblicità di terze parti e non caricano risorse esterne a fini di tracciamento. Per questa ragione non viene mostrato alcun banner di consenso ai cookie: non vi è alcun trattamento da consentire.

Vengono utilizzati esclusivamente strumenti tecnici necessari al funzionamento del servizio: un identificativo di sessione che mantiene l'utente collegato dopo l'accesso, e l'archiviazione locale del browser o del dispositivo per conservare le preferenze di visualizzazione e i dati che consentono l'uso dell'applicazione anche in assenza temporanea di connessione. Tali strumenti non tracciano la navigazione dell'utente su altri siti, non costruiscono profili e non vengono condivisi con terzi. Ai sensi della normativa applicabile non richiedono consenso, in quanto strettamente necessari all'erogazione del servizio richiesto dall'utente.

Le pagine che ospitano video incorporati li caricano dal servizio di hosting video in modalità priva di cookie di tracciamento. Il pagamento avviene sulle pagine del fornitore di servizi di pagamento, che opera come autonomo titolare per gli strumenti tecnici impiegati sulle proprie pagine e applica la propria informativa.