Ultimo aggiornamento · 2026-09-08

Fornitori e sub-responsabili

Versione 2.7 · 9 ottobre 2026

Pagina di trasparenza per il trattamento svolto per conto della palestra; non è un elenco immutabile né una dichiarazione di conformità definitiva.

1. Quando un fornitore è sub-responsabile

Un fornitore è qualificato come sub-responsabile solo se tratta dati personali della palestra per conto di Ciro Minopoli e Lorenzo Tèttine, quali responsabili del trattamento nell'ambito di un DPA applicabile, ad esempio per un servizio di assistenza o migrazione espressamente richiesto.

2. Elenco applicabile

Per evitare informazioni non aggiornate o inesatte, l'elenco effettivo di ciascun sub-responsabile, funzione, localizzazione e garanzie di trasferimento deve essere allegato all'ordine o al DPA della palestra interessata. Prima di nominare un sub-responsabile si applica la procedura prevista dal DPA sottoscritto.

3. Dati locali, infrastruttura e pagamenti

Nessun sub-responsabile predefinito riceve dati locali di soci della palestra senza DPA e ordine che ne definiscano il servizio istruito. I dati di soci, dipendenti e visitatori restano normalmente locali e sotto la titolarità della palestra.

Fornitori di infrastruttura possono trattare dati B2B e del control plane Palesya per conto dei contitolari, limitatamente ai servizi necessari al prodotto e senza diventare automaticamente sub-responsabili della palestra. L'architettura mantiene un confine preciso: nessuna custodia ordinaria dei database soci delle palestre. Quando l'accesso remoto è attivo, il relay Railway tratta inoltre in transito le richieste e le risposte dirette al gestionale della sede; in questo caso ruolo e garanzie devono essere riflessi nel DPA applicabile.

Fornitori di pagamento operano secondo i propri termini e ruoli per la gestione del pagamento e non sono indicati qui come sub-responsabili dei dati locali della palestra.

OneDrive e Google Drive, quando scelti e autenticati direttamente dalla palestra per sincronizzare la propria cartella di backup, operano nel rapporto contrattuale tra cliente e provider. Palesya non riceve API, token o credenziali e non li nomina come sub-responsabili del backup ordinario.

WhatsApp Business, quando collegato dalla palestra con il proprio account, numero, template e token, opera nel rapporto contrattuale tra cliente e Meta/WhatsApp. Il token resta protetto sul PC e Palesya non riceve credenziali, numeri selezionati o contenuti dei messaggi. La palestra resta responsabile di informativa, base giuridica o consenso, template, destinatari, condizioni del provider ed eventuali trasferimenti.

L'assistente AI locale elabora le conversazioni sul PC della struttura. Il modello e il runtime installati localmente non ricevono domande o dati come servizio remoto e non sono sub-responsabili del cliente. Palesya non utilizza provider AI cloud per generare le risposte del modulo locale.

Quando il modulo App soci è attivo, Railway conserva la proiezione minima dei soli profili abilitati affinché l'area personale resti consultabile anche a PC spento. Il database operativo completo non viene archiviato. Le immagini della postazione QR non vengono archiviate. La proiezione include identità di accesso e dati già visibili al socio, è isolata per sede, limita pagamenti e scadenze agli ultimi 730 giorni e comunicazioni agli ultimi 365 giorni, e viene eliminata alla disattivazione del modulo.

Se il socio abilita le notifiche, il sistema operativo o il browser utilizza il proprio servizio Web Push (ad esempio Apple Push Notification service, Firebase Cloud Messaging, Mozilla o Microsoft). Palesya non sceglie il provider del dispositivo: conserva nella proiezione della sede la sottoscrizione cifrata e cifra il contenuto prima della consegna. Ruolo, localizzazione e condizioni del servizio effettivo dipendono dal browser scelto dal socio e devono essere considerati nell'informativa della palestra.

4. Infrastruttura B2B attuale

Per le sole strutture che configurano Pagamenti online, Railway tratta anche i piani e gli esiti delle rate, i riferimenti della sede e il nome/email del pagante; credenziali e autorizzazioni PSP sono cifrate con chiavi dedicate. Questo servizio è distinto dal relay e dalla proiezione App soci. Il provider merchant (GoCardless, Mollie, Satispay Business o Nexi XPay) è scelto e contrattualizzato direttamente dalla struttura: i suoi ruoli e le garanzie dipendono dai contratti e non sono attribuiti automaticamente da Palesya. Attivazione reale subordinata a collaudo e riesame legale.

5. Aggiornamenti e contatto

Per richiedere l'allegato applicabile alla propria palestra o comunicare un'obiezione nei casi previsti dal DPA, contattare info@palesya.it.