Ultimo aggiornamento · 2026-08-30
Informativa privacy
Informativa per i trattamenti connessi al sito e al prodotto Palesya.
Versione 2.1 · 1 settembre 2026
1. Ruoli, contitolari e contatto
Ciro Minopoli e Lorenzo Tèttine operano come contitolari soltanto per le finalità Palesya di cui determinano congiuntamente finalità e mezzi essenziali, tra cui sito, contatti commerciali condivisi, licenze e control plane. I recapiti identificativi sono riportati nel footer quando configurati. Per esercitare i diritti o chiedere informazioni: Palesya@outlook.it.
Il professionista indicato nell'ordine come billing owner opera invece quale titolare autonomo per fatturazione, contabilità, adempimenti fiscali e difesa dei propri diritti. Il punto di contatto sopra indicato resta utilizzabile per ogni richiesta; le parti essenziali dell'accordo interno di contitolarità possono essere richieste via email. I ruoli dipendono sempre dal trattamento concretamente svolto.
2. Dati e finalità del sito
Trattiamo dati tecnici di navigazione e sicurezza (ad esempio indirizzo IP, data, user-agent ed esito della richiesta) per funzionamento, protezione del sito e prevenzione di abusi. Nel modulo demo trattiamo dati dei lead: palestra o società, referente B2B, email aziendale, telefono, sedi, gestionale indicato e note tecniche. La presa visione dell'informativa è separata dal consenso facoltativo al marketing.
Per installazioni attivate, il control plane tratta identificativi tecnici pseudonimizzati, versione e stato del software. Soltanto su istruzione documentata e autorizzazione locale Palesya può raccogliere diagnostica sanitizzata di porte, processi, servizi, hardware ed endpoint pertinenti. Le cartelle tecniche scelte localmente espongono solo nomi, percorsi relativi, dimensioni e date, non il contenuto dei file.
Il database operativo della palestra e i backup ordinari restano sul PC del cliente. La copia esterna, se configurata, viene cifrata localmente e salvata in una cartella OneDrive o Google Drive Desktop intestata e autenticata direttamente dalla palestra. Palesya non riceve credenziali, token cloud o una copia ordinaria del database e non verifica il completamento della sincronizzazione del provider: questa verifica e la prova di ripristino restano sotto il controllo del cliente.
Nella sessione tecnica avanzata, l'operatore può avviare una condivisione schermo visibile in sola visione. Il flusso video è peer-to-peer, non viene registrato o archiviato da Palesya e non abilita mouse, tastiera, microfono o trasferimento file. I segnali tecnici necessari al collegamento possono includere indirizzi IP pubblici e privati e sono cancellati entro 10 minuti e comunque alla chiusura. Se lo schermo mostra incidentalmente dati di soci, il trattamento avviene per conto della palestra, su sua istruzione e nel perimetro del DPA; prima della condivisione l'operatore deve chiudere contenuti non necessari.
Palesya comprende un assistente AI locale facoltativo dedicato a spiegazioni, tutorial e navigazione nelle procedure. La domanda, un breve contesto della conversazione, la schermata indicata e le procedure Palesya approvate vengono elaborati sul PC della struttura. Il modulo non interroga direttamente database soci, pagamenti, certificati, badge o accessi; le conversazioni non vengono inviate a Palesya o a un provider AI cloud, non sono usate per addestrare il modello e non vengono archiviate nei log applicativi.
Il contesto della conversazione resta nella memoria volatile del dispositivo e scade entro 15 minuti di inattività. L'amministratore può rimuovere i file del modello senza modificare licenza, database o guida standard. La struttura deve evitare di inserire dati sanitari, dati di minori, credenziali, segreti e dati completi di pagamento: non sono necessari alla finalità del modulo.
Palesya non utilizza un agente telefonico o vocale AI. Retell AI e altri provider vocali non ricevono chiamate, registrazioni, trascrizioni o dati di produzione Palesya.
3. Categorie, basi giuridiche e conservazione
I periodi seguenti costituiscono i criteri di conservazione applicati, fatti salvi obblighi di legge, contenziosi o richieste dell'autorità.
| Categoria e finalità | Base giuridica | Conservazione o criterio |
|---|---|---|
| Lead precontrattuali non convertiti | Art. 6(1)(b) | massimo 24 mesi dall'ultimo contatto. |
| Contatti B2B e gestione del contratto | Art. 6(1)(b) se parte; altrimenti Art. 6(1)(f) | durata del contratto più prescrizione o difesa. |
| Marketing facoltativo | Art. 6(1)(a) | fino alla revoca e massimo 24 mesi senza nuova interazione o consenso. |
| Fatturazione e dati fiscali | Art. 6(1)(c) | 10 anni; oltre solo per contenzioso o obbligo legale. |
| Licenza e attivazione | Art. 6(1)(b) | identificativi finché la licenza perpetua resta attiva; prove transazionali e audit massimo 10 anni dall'ultima obbligazione. |
| Telemetria e stato proattivo dell'installazione | Art. 6(1)(b) e Art. 6(1)(f) | ultimo stato disponibile; log di sicurezza normalmente 12 mesi, oltre solo per incidente documentato. |
| Segnalazione temporanea della condivisione schermo | Art. 6(1)(b); art. 28 quando svolta per conto della palestra | massimo 10 minuti e comunque non oltre la sessione. |
| Referti tecnici di supporto | Art. 6(1)(b); art. 28 quando applicabile | contenuto massimo 180 giorni; ticket e audit massimo 24 mesi dalla chiusura, salvo obbligo o contenzioso documentato. |
| Artefatti tecnici temporanei richiesti durante il supporto | Art. 6(1)(b); art. 28 quando contengono dati trattati per conto della palestra | massimo 7 giorni, salvo cancellazione anticipata o legal hold documentato. |
| Conversazione con assistente AI locale | Determinata dalla struttura per l'uso dei propri operatori; esecuzione locale della funzione richiesta | breve contesto in memoria volatile, massimo 15 minuti di inattività; nessun archivio centrale o log persistente di domande e risposte. |
| Dati locali di soci della palestra | non centralizzati ordinariamente; se trattati su istruzioni e DPA, art. 28 GDPR. | durata dell'attività; copie temporanee restituite o cancellate entro 30 giorni salvo legal hold. |
4. Destinatari, trasferimenti e garanzie
I dati sono accessibili a Ciro Minopoli e Lorenzo Tèttine e, quando necessario, a fornitori selezionati per il singolo servizio e vincolati da istruzioni o accordi adeguati. Per trasferimenti fuori dallo SEE sono applicate, secondo il caso, decisioni di adeguatezza, clausole contrattuali standard o altre garanzie previste dal GDPR.
Quando il collegamento commerciale è attivo, i dati B2B inviati nel modulo demo possono essere trasmessi a HubSpot per gestire contatto, trattativa e relativo avanzamento. HubSpot non riceve da questo flusso anagrafiche dei soci, certificati, pagamenti, planning, badge o accessi delle palestre. Stato e funzione dei fornitori sono riepilogati in Fornitori e sub-responsabili.
Microsoft OneDrive e Google Drive, quando scelti dalla palestra come destinazione della propria cartella sincronizzata, sono servizi contrattualizzati e amministrati direttamente dal cliente: non sono sub-responsabili nominati da Palesya per il backup ordinario.
Quando la palestra abilita il proprio canale WhatsApp Business, numeri selezionati, testo template e metadati di consegna sono trasmessi direttamente dal PC della struttura a Meta/WhatsApp secondo l’account del cliente. Il token resta nel portachiavi protetto del dispositivo e Palesya non riceve credenziali, destinatari o contenuti. Informativa ai soci, base giuridica o consenso, condizioni del provider ed eventuali trasferimenti restano nel perimetro della palestra.
Il modello AI locale e il relativo runtime operano sul dispositivo della struttura e non costituiscono un destinatario esterno. Il download iniziale trasferisce soltanto i file software necessari; le successive conversazioni non vengono inviate al fornitore del modello.
I provider di pagamento scelti per l'ordine, inclusi PayPal, Mollie o Stripe, trattano i dati necessari alla transazione secondo le proprie informative e condizioni. Palesya non conserva nel proprio database numeri completi di carte o credenziali di pagamento.
5. Sicurezza e processo decisionale
Gli accessi proprietari sono individuali, protetti da password e autenticazione a due fattori; le operazioni amministrative rilevanti sono registrate. Le sessioni di assistenza sono isolate per sede, hanno scadenza, revoca locale e capacità firmate. L'assistente AI locale è confinato all'interfaccia loopback del dispositivo, non dispone di capacità di scrittura o comandi hardware e mantiene disponibile il fallback deterministico. Non utilizziamo i dati descritti per decisioni esclusivamente automatizzate con effetti giuridici o analogamente significativi. Per il modulo AI si applica la pagina AI e trasparenza; le misure pubbliche sono riepilogate in Sicurezza e conformità.
6. Dati particolari, minori e istruzioni della palestra
Scadenze o informazioni relative a certificati medici possono costituire dati relativi alla salute ai sensi dell'articolo 9 GDPR. Restano normalmente nel database locale. La palestra determina basi giuridiche, informative, autorizzazioni e conservazione per soci, minori, dipendenti e visitatori. Palesya non usa tali dati per addestrare modelli AI e non li centralizza senza un servizio espressamente istruito e disciplinato dal DPA.
7. Diritti, incidenti e reclamo
Nei casi previsti dal GDPR si possono chiedere accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e revoca del consenso, nonché presentare reclamo al Garante per la protezione dei dati personali. Riferimento: Regolamento (UE) 2016/679.
Per i dati inseriti dagli operatori nell'assistente locale, la struttura è il primo punto di contatto. Poiché domande e risposte non sono conservate centralmente e scadono dalla memoria volatile, Palesya non può recuperare una conversazione non ricevuta. Una segnalazione relativa al comportamento del modulo può essere inviata senza allegare dati personali non necessari.
Eventuali incidenti che coinvolgono dati trattati per conto della palestra sono comunicati senza ingiustificato ritardo con le informazioni disponibili, così da consentire al titolare le valutazioni e gli adempimenti previsti dagli articoli 33 e 34 GDPR.