1. Parti e stipulazione
Questo accordo è stipulato tra:
Cliente: il professionista o l'entità identificati nell'ordine, nella registrazione professionale o nell'accordo di abbonamento e nell'allegato I, rappresentati dalla persona con poteri sufficienti che lo accetta.
Fornitore: Trainingforever OÜ, società estone iscritta nel registro delle imprese con codice 16941437, numero di partita IVA EE102717330, sede in Narva mnt 5, Kesklinna linnaosa, Tallinn, Harju maakond, 10117, Estonia e contatto privacy e sicurezza [email protected], di seguito «TrainingForever».
Il Cliente e TrainingForever sono vincolati per iscritto, anche mediante accettazione elettronica verificabile. L'ordine, l'identità di chi accetta, la sua rappresentanza, la versione integrale di questo accordo e i relativi allegati devono essere associati in modo da poter essere consultati e conservati.
La normale accettazione delle condizioni da parte di un atleta non costituisce la stipulazione di questo DPA a nome del suo allenatore o club. L'accordo non sostituisce neppure l'informativa o il consenso degli atleti.
2. Oggetto, ruoli e prevalenza
Questo accordo disciplina il trattamento di dati personali effettuato da TrainingForever per conto del Cliente per fornire le funzioni contrattualizzate di TrainingForever, conformemente all'articolo 28 del regolamento (UE) 2016/679, «GDPR».
Il Cliente agisce normalmente come titolare del trattamento e TrainingForever come responsabile del trattamento. Se il Cliente agisce come responsabile del trattamento di un'altra entità, TrainingForever sarà sub-responsabile per tale trattamento. Il Cliente identificherà il titolare originario e dimostrerà l'autorizzazione e le istruzioni necessarie. Gli obblighi saranno interpretati in modo da mantenere la catena di protezione dell'articolo 28, senza attribuire al Cliente facoltà che non possiede.
I dati dell'account, della fatturazione propria, della sicurezza e di altre operazioni determinate legittimamente da TrainingForever per finalità proprie sono disciplinati dalla sua Informativa sulla privacy. I dati degli atleti non diventano finalità proprie per il solo fatto di essere elaborati nell'infrastruttura di TrainingForever o tramite IA.
Se le parti determinano congiuntamente finalità e mezzi essenziali, dovranno disciplinare separatamente la contitolarità dell'articolo 26. Questo accordo non la sostituisce né elimina la qualificazione che deriva dai fatti.
Per i trattamenti inclusi, questo DPA prevale sulle clausole incompatibili dei Termini di servizio o dell'ordine. Le norme imperative e le garanzie valide dei trasferimenti internazionali applicabili prevalgono su entrambi.
3. Ambito del trattamento affidato e durata
L'allegato I specifica oggetto, durata, natura, finalità, categorie di persone e dati, operazioni, istruzioni e contatti. L'allegato II contiene le misure di sicurezza richieste e l'allegato III i sub-responsabili autorizzati e i trasferimenti.
Il trattamento inizia quando esiste un accordo valido e le informazioni sono rese disponibili o ricevute per conto del Cliente. Dura per il tempo necessario al servizio contrattualizzato e, dopo la sua conclusione, soltanto per restituire, cancellare o conservare i dati per un obbligo legale applicabile. Gli obblighi di riservatezza e protezione permangono finché vengono conservati dati.
Non è autorizzato il trattamento di categorie aggiuntive o finalità diverse per il solo fatto che possano essere inserite tecnicamente in un campo libero o file.
I limiti di finalità, comunicazione e conservazione del fornitore della fonte dei dati si applicheranno anche al trattamento affidato. Un termine generale di questo DPA non consente di superare una restrizione più rigorosa della fonte.
4. Istruzioni documentate
TrainingForever tratterà i dati esclusivamente seguendo istruzioni documentate del Cliente, incluse quelle relative a destinatari, subappalto e trasferimenti, salvo che una norma dell'Unione o di uno Stato membro lo obblighi a un altro trattamento. In tal caso informerà preventivamente il Cliente di tale obbligo, salvo divieto legale per rilevanti motivi di interesse pubblico.
Costituiscono istruzioni documentate questo accordo, l'ordine e i relativi allegati, la configurazione valida di funzioni e autorizzazioni, le operazioni effettuate da persone autorizzate e le richieste verificate tramite i canali contrattuali. L'istruzione deve rientrare nell'ambito del servizio e delle facoltà di chi la impartisce.
Un output generato da un modello non è considerato di per sé un'istruzione autonoma e valida del Cliente. Le azioni dell'assistente o di MCP richiedono il contesto di autorizzazione dell'utente e i controlli corrispondenti. Non ampliano le finalità né i destinatari approvati.
Se TrainingForever ritiene che un'istruzione violi il GDPR o un'altra norma applicabile sulla protezione dei dati, lo comunicherà immediatamente al Cliente e potrà sospendere l'operazione interessata in attesa di chiarimenti. Non sospenderà trattamenti estranei senza necessità proporzionata.
Se l'adempimento tecnico di un'istruzione richiede un ampliamento del servizio, le parti ne concorderanno l'ambito e il costo quando necessario. Ciò non consente di subordinare o eludere obblighi legali essenziali mediante costi sproporzionati.
5. Obblighi del Cliente
Spetta al Cliente:
Il Cliente non garantisce l'assenza assoluta di incidenti né si assume gli inadempimenti propri di TrainingForever. L'esistenza di una dichiarazione del Cliente non esonera TrainingForever dall'informare sulle istruzioni illecite, applicare misure di sicurezza o adempiere ai propri obblighi legali.
6. Obblighi generali di TrainingForever
TrainingForever si impegna a:
Se TrainingForever determinasse finalità e mezzi propri in contrasto con questo accordo, assumerà il ruolo e le responsabilità che le spettano per legge in relazione a tale trattamento. Nessuna clausola le consente di modificare unilateralmente la finalità del trattamento affidato.
7. Riservatezza e accesso del personale
L'obbligo di riservatezza permane anche dopo la conclusione del rapporto di lavoro, professionale o contrattuale. TrainingForever deve limitare l'accesso al personale che ne ha bisogno per gestire il servizio o fornire assistenza, con assegnazione individuale, controllo e revisione delle autorizzazioni.
L'accesso dell'assistenza a dati relativi alla salute richiede una necessità documentata e l'ambito minimo. Non è autorizzato l'accesso abituale del personale alle cronologie per generiche ragioni di qualità, sviluppo o formazione. Gli accessi privilegiati devono disporre di misure rafforzate e tracciabilità.
La divulgazione imposta da un'autorità sarà limitata ai dati e all'ambito legalmente richiesti, con informazione al Cliente quando non vietata e valutazione delle impugnazioni o delle salvaguardie legalmente applicabili.
8. IA, inferenze e strumenti
L'IA sarà utilizzata sui dati del trattamento affidato solo quando la funzione è contrattualizzata, il Cliente ha impartito un'istruzione valida ed esiste la legittimazione applicabile per i dati degli interessati. Il consenso di un rappresentante del Cliente non sostituisce quello di tali persone.
Il fornitore di IA, qualsiasi intermediario di instradamento e i fornitori finali che possono ricevere dati devono figurare nell'allegato III prima della loro attivazione. L'autorizzazione di un intermediario non implica l'autorizzazione di qualsiasi modello, destinazione o paese che esso possa selezionare.
Gli input saranno limitati ai dati necessari. Messaggi, cronologia, contesto e risultati degli strumenti devono essere soggetti allo stesso controllo: escludere nomi dal messaggio iniziale non basta se uno strumento restituisce successivamente dati identificabili o relativi alla salute. Le inferenze, i riepiloghi e i risultati mantengono la protezione corrispondente.
La conservazione da parte del fornitore, i registri di abuso, la cache e il subappalto devono essere documentati e compatibili con questo accordo. L'assenza di addestramento non equivale a conservazione zero né ad archiviazione esclusivamente europea.
Le chiamate agli strumenti non riceveranno facoltà superiori a quelle dell'account autorizzato. Saranno applicati i limiti, le convalide e le conferme necessarie, in particolare per modifiche massive, distruzione, comunicazioni esterne e dati sensibili. Il testo importato di terzi non può diventare un'autorizzazione a eseguire azioni o rivelare dati.
L'IA del trattamento affidato non sarà utilizzata per decisioni dell'articolo 22 con effetti giuridici o analogamente significativi senza un accordo e un'informativa specifici e una valutazione preventiva della liceità. La revisione umana deve essere effettiva quando richiesta.
9. Servizi esterni e MCP scelti dal Cliente
Una connessione a ChatGPT, Claude o un altro servizio esterno può generare un flusso distinto dal fornitore di IA integrato. Devono essere identificati destinatario, ruolo, piano contrattuale, autorizzazioni, dati, paese e conservazione prima di abilitare i dati del trattamento affidato.
Se tale servizio agisce come sub-responsabile contrattualizzato da TrainingForever, è inserito nell'allegato III e si applicano tutti gli obblighi di subappalto. Se è contrattualizzato direttamente dal Cliente, quest'ultimo deve formalizzare il rapporto giuridico e le garanzie necessarie e documentare l'istruzione di comunicazione. TrainingForever conserva i propri obblighi come responsabile del trattamento nell'eseguire tale istruzione e non consegnerà dati per un ordine non autorizzato o manifestamente illecito.
Non si presume che un account personale o una configurazione predefinita di un client di IA esterno sia adeguata per dati relativi alla salute di terzi. L'autorizzazione tecnica tramite MCP non abilita di per sé una nuova finalità, un trasferimento o un trattamento di dati relativi alla salute.
Le restrizioni della fonte dei dati devono essere rispettate. Una connessione non può comunicare all'IA o ad altri utenti informazioni che un fornitore sportivo vieta di utilizzare in tale modo, anche se il Cliente desidera farlo.
10. Sub-responsabili
Il Cliente autorizza i sub-responsabili identificati e completati nell'allegato III e concede un'autorizzazione generale alle loro modifiche, soggetta alla procedura seguente. Un elenco vuoto, di candidati o privo di destinazioni rilevanti non costituisce un'autorizzazione sufficiente per l'utilizzo in produzione.
TrainingForever notificherà l'aggiunta o la sostituzione di un sub-responsabile con almeno 30 giorni di calendario di preavviso, tramite un mezzo che consenta di conservare l'avviso. La comunicazione identificherà entità, servizio, dati, paesi e garanzie sufficienti per valutare la modifica.
Il Cliente potrà opporsi per ragionevoli motivi di protezione dei dati prima dell'attivazione, preferibilmente entro i primi 15 giorni per facilitare la risoluzione. TrainingForever non avvierà il nuovo accesso durante il preavviso. Un'obiezione ragionevole pendente sarà affrontata prima di inviare i dati interessati.
Le parti cercheranno un'alternativa proporzionata. Se non esiste una soluzione compatibile, il Cliente potrà porre fine alla parte interessata senza penali, con restituzione proporzionale degli importi anticipati del servizio non fornito e con restituzione o cancellazione dei dati. La mancata risposta non è interpretata come consenso a una nuova finalità relativa alla salute; questa procedura riguarda il subappalto nell'ambito del trattamento affidato autorizzato.
TrainingForever formalizzerà con ogni sub-responsabile un contratto che imponga, per quanto pertinente, gli stessi obblighi di protezione, riservatezza, sicurezza, assistenza, cancellazione e trasferimenti. Verificherà garanzie sufficienti e continuerà a rispondere nei confronti del Cliente dell'adempimento degli obblighi del sub-responsabile nei termini dell'articolo 28.4.
11. Ubicazioni e trasferimenti internazionali
Le regioni di archiviazione, i paesi di accesso remoto e il subappalto figureranno nell'allegato III. Cambiare una regione europea non consente di omettere la valutazione dell'assistenza o del trattamento fuori dal SEE.
Non saranno effettuati trasferimenti o accessi da un paese terzo senza istruzioni documentate del Cliente e una base valida del capo V del GDPR. Sarà verificata l'adeguatezza applicabile alla destinazione o saranno formalizzate garanzie adeguate, con la valutazione e le misure supplementari necessarie.
Quando vengono utilizzate clausole contrattuali tipo di trasferimento, sarà selezionato il modulo corrispondente alle parti e ai loro ruoli reali, saranno completati i relativi allegati e sarà fornita la documentazione pertinente. Se si invoca un quadro di adeguatezza per un'entità certificata, saranno verificate la sua vigenza e la copertura specifica.
Questo DPA non è di per sé una clausola contrattuale tipo di trasferimento internazionale. Non costituisce neppure consenso degli atleti per le deroghe dell'articolo 49. I trasferimenti abituali non si baseranno genericamente sul consenso della registrazione.
Se una garanzia cessa di essere valida, TrainingForever informerà senza ritardo e sospenderà il flusso interessato quando non esiste un'alternativa lecita, cooperando alle misure necessarie e al recupero dei dati.
12. Richieste di esercizio dei diritti
TrainingForever fornirà assistenza adeguata affinché il Cliente gestisca accesso, rettifica, cancellazione, limitazione, opposizione, portabilità e diritti sulle decisioni automatizzate.
Quando riceve direttamente una richiesta sui dati del trattamento affidato, la trasmetterà al contatto del Cliente senza ingiustificato ritardo e, contrattualmente, entro un massimo di tre giorni lavorativi. Non risponderà a nome del Cliente senza istruzioni, salvo obbligo di legge o se la richiesta si riferisce a un diverso trattamento proprio.
Fornirà i dati, le ricerche e le operazioni necessari con un anticipo sufficiente per rispettare i termini legali, tenendo conto dell'urgenza comunicata. La complessità tecnica non autorizza a lasciar trascorrere il termine senza avvisare. Le verifiche d'identità saranno coordinate in modo proporzionato.
Quando necessario, aiuterà a comunicare rettifiche, cancellazioni o limitazioni ai destinatari e ai sub-responsabili, e a identificare i dati che non possono essere eliminati per un obbligo legale specifico.
13. Violazioni di sicurezza, valutazione d'impatto e consultazione
TrainingForever notificherà al Cliente una violazione di sicurezza dei dati del trattamento affidato senza ingiustificato ritardo e, in ogni caso, entro le 24 ore successive al momento in cui ne viene a conoscenza. La prima notifica non sarà ritardata fino alla conclusione di un'indagine. Un sospetto fondato che richieda misure urgenti sarà comunicato senza attendere una certezza esaustiva.
Saranno forniti progressivamente, secondo la disponibilità:
TrainingForever conserverà le prove in modo sicuro, coopererà all'indagine, documenterà gli interventi e coordinerà le comunicazioni. Non notificherà per conto del Cliente alle persone o autorità senza istruzione, salvo un proprio obbligo legale. Il Cliente conserva i propri termini: le 24 ore contrattuali del responsabile del trattamento non ampliano il termine legale del titolare.
Tenendo conto della natura del trattamento e delle informazioni disponibili, TrainingForever aiuterà il Cliente ad adempiere agli articoli da 32 a 36, incluse valutazioni d'impatto, analisi delle misure, informazioni sui fornitori e consultazione preventiva quando necessaria. L'assistenza includerà i dati necessari per valutare IA, salute, minori, profili e trasferimenti del servizio.
14. Restituzione, conclusione e cancellazione
Al termine del trattamento affidato, TrainingForever, a scelta del Cliente, restituirà o cancellerà i dati ed eliminerà le copie esistenti, salvo un obbligo di conservazione imposto dal diritto dell'Unione o di uno Stato membro.
La scelta iniziale dell'allegato I può essere modificata mediante istruzione valida. Come istruzione iniziale predefinita è concordata la restituzione e successiva cancellazione: saranno messi a disposizione del Cliente un'esportazione sicura e un periodo di recupero di 30 giorni dalla cessazione, limitando il trattamento a tale finalità. Alla fine di tale periodo i dati saranno cancellati dai sistemi attivi, salvo che sia stata impartita un'altra istruzione lecita o sia richiesto un diverso periodo legale. La preparazione e la consegna dell'esportazione saranno completate entro tale periodo.
Se il Cliente sceglie la cancellazione senza restituzione, sarà eseguita senza ingiustificato ritardo e, in ogni caso, entro i 30 giorni successivi all'istruzione valida. Prevalgono i termini dei diritti o i termini legali più rigorosi. Quando si applicano periodi specifici di passaggio tra fornitori o recupero del regolamento sui dati, il calendario sarà adeguato a essi prima della cancellazione.
I dati eliminati dai sistemi attivi saranno cancellati o sovrascritti nelle copie di sicurezza entro un massimo di 90 giorni da tale cancellazione. Durante tale ciclo non saranno disponibili per l'utilizzo ordinario, l'addestramento di modelli né lo sfruttamento commerciale. Un ripristino deve riapplicare le cancellazioni. Se il fornitore richiede un ciclo diverso, la questione dovrà essere risolta prima di accettarlo come compatibile con questo accordo.
TrainingForever esigerà la stessa esecuzione dai propri sub-responsabili, con i cicli specifici più brevi pertinenti, e fornirà una conferma di restituzione o cancellazione su richiesta del Cliente. La disconnessione di un'API non dimostra di per sé che la cancellazione sia stata eseguita. Per i dati di Garmin Connect, il Cliente impartisce l'istruzione di cancellazione automatica prevista nella sezione 9.1 dell'Informativa sulla privacy alla disconnessione o al ricevimento della revoca, compresi i risultati derivati che contengono tali dati e la propagazione ai sub-responsabili. Non è necessaria un'ulteriore richiesta del Cliente e la cancellazione non viene rinviata per il periodo di restituzione o recupero; si rispettano i termini più brevi richiesti.
Un obbligo legale di conservazione sarà identificato e comunicato, salvo divieto legale, con categorie, motivo e durata. I dati saranno mantenuti isolati e limitati a tale obbligo e saranno cancellati alla sua cessazione. Tale ipotesi non consente di conservare l'intera cronologia per interesse commerciale o per una generica possibilità di pretese.
I registri che TrainingForever deve conservare come titolare del trattamento per dimostrare questo contratto o la propria fatturazione saranno limitati a tale finalità e non includeranno inutilmente i dati relativi alla salute del trattamento affidato.
15. Informazioni, audit e ispezioni
TrainingForever metterà a disposizione del Cliente le informazioni necessarie per dimostrare la conformità e consentirà e contribuirà agli audit, incluse ispezioni effettuate dal Cliente o da un revisore indipendente autorizzato.
Per le revisioni ordinarie, le parti potranno organizzare prima una revisione documentale e concordare un preavviso ragionevole, normalmente 15 giorni, ambito, riservatezza e misure per proteggere i dati di altri clienti e la sicurezza. Tale organizzazione non elimina il diritto a un'ispezione quando necessaria né limita i poteri delle autorità.
Un incidente, un indizio fondato di inadempimento o una richiesta dell'autorità può richiedere una revisione aggiuntiva o urgente. Non saranno imposti una periodicità annuale massima né un preavviso che impediscano di adempiere all'obbligo. Le certificazioni o i rapporti, se esistenti, possono fungere da prova, ma non si presume alcuna certificazione né essi sostituiscono tutti i diritti di audit.
I costi straordinari di assistenza che non costituiscono un obbligo ordinario potranno essere concordati preventivamente e in modo ragionevole. Non saranno utilizzati per impedire la verifica o l'effettivo adempimento degli obblighi legali. Ciascuna parte comunicherà senza ritardo i risultati rilevanti e coopererà alla loro correzione.
16. Responsabilità e cooperazione
Ciascuna parte assume le responsabilità che le spettano per il proprio intervento e per inadempimenti accertati. Il Cliente non indennizza automaticamente TrainingForever per qualsiasi pretesa di un atleta, e TrainingForever non è esonerata limitandosi ad affermare di aver seguito istruzioni.
I diritti al risarcimento degli interessati, incluse la responsabilità e l'azione di regresso dell'articolo 82 del GDPR, e i poteri sanzionatori delle autorità non sono ridotti da questo DPA o da un limite commerciale. Le responsabilità nei confronti delle autorità sono determinate conformemente alla legge; questo accordo non garantisce che una sanzione possa essere trasferita a un'altra parte.
Le parti coopereranno in buona fede per contenere il danno, gestire le richieste e documentare il proprio operato. Una controversia commerciale non consente di negare misure di protezione o trattenere dati violando la normativa.
17. Modifiche, legge e controversie
Le modifiche sostanziali devono essere documentate, comunicate prima della loro applicazione e accettate quando necessario. Non possono ridurre le garanzie dell'articolo 28 mediante un semplice aggiornamento silenzioso di una pagina. Le modifiche dei sub-responsabili seguono la sezione 10 e le nuove finalità richiedono un accordo proprio.
Si applicano il GDPR, il diritto dell'Unione e le norme nazionali pertinenti al trattamento. Per il rapporto contrattuale tra le parti si applicano la legge e la giurisdizione dei Termini di servizio, fatte salve le norme imperative, le autorità competenti e i diritti degli interessati.
Allegato I. Descrizione del trattamento e istruzioni
A. Identificazione e contatti
| Campo | Informazioni che devono essere associate all'accettazione |
|---|---|
| Cliente e ruolo | In attesa: razon social o nombre nif pais y papel |
| Sede del Cliente | In attesa: domicilio cliente |
| Rappresentante | In attesa: nombre cargo y facultad |
| Titolare originario se il Cliente è responsabile del trattamento | In attesa: identidad contacto y autorizacion o no aplica |
| Contatto operativo privacy del Cliente | In attesa: nombre o funcion y correo |
| Contatto del Cliente per gli incidenti | In attesa: correo y medio urgente valido |
| RPD del Cliente, se esistente | In attesa: contacto o no aplica |
| Contatto di TrainingForever | [email protected], oggetti «Privacy», «DPA» o «Incidente di sicurezza» |
| Ordine, organizzazione e funzioni contrattualizzate | In attesa: identificador pedido organizacion y alcance |
| Data e versione accettate | In attesa: fecha hora version dpa y registro subencargados |
B. Oggetto, finalità e operazioni
Oggetto: fornitura della piattaforma di gestione dell'allenamento a persone autorizzate dal Cliente.
Finalità: ospitare e organizzare dati degli atleti, pianificare e registrare allenamenti, facilitare comunicazione e analisi sportiva ed eseguire le integrazioni o funzioni opzionali specificamente istruite.
Natura e operazioni: raccolta o ricezione, registrazione, archiviazione, organizzazione, consultazione, calcolo, aggiornamento, generazione di metriche, comunicazione a persone autorizzate, importazione, esportazione, limitazione, restituzione e cancellazione. L'IA e qualsiasi profilazione sono incluse solo con la legittimazione specifica seguente.
Durata e frequenza: durante il rapporto contrattuale e i periodi limitati di uscita; trattamento continuativo con consultazioni, modifiche e sincronizzazioni secondo utilizzo e autorizzazioni. Non è incluso un riutilizzo indefinito dopo la cessazione.
C. Persone e dati
Interessati: atleti del Cliente; allenatori e personale autorizzato; contatti e membri dei club; rappresentanti legali quando necessario. I minori sono inclusi solo quando esistono la procedura e la legittimazione legale applicabili.
Dati ordinari: identificativi, contatto, account, ruolo, appartenenza, disciplina, obiettivi, calendario, allenamenti, forza e resistenza, attività, messaggi, file pertinenti, partecipazione, dati tecnici minimi e dati amministrativi del servizio del Cliente.
Dati che possono rivelare informazioni sulla salute: frequenza cardiaca, zone, metriche fisiologiche, condizione fisica, recupero, peso o altre misure necessarie, affaticamento, dolore, infortuni, limitazioni, osservazioni e profili o inferenze sulla salute. I percorsi e la localizzazione possono rivelare informazioni sensibili.
Esclusioni: non è autorizzata l'inclusione di cartelle cliniche complete, genetica, dati biometrici per identificazione, dati penali, convinzioni o altre categorie particolari estranee al servizio. Un caso che li richieda esige una valutazione e un accordo preventivi, non il loro inserimento in testo libero.
Salvaguardie rafforzate: base dell'articolo 9 documentata dal titolare del trattamento; separazione per organizzazione e ruolo; assenza di pubblicazione per impostazione predefinita; minimizzazione dei dati relativi alla salute in messaggi e registri; fornitori e paesi autorizzati; accesso privilegiato controllato; formazione e procedure per gli incidenti.
D. Selezione di funzioni e destinatari
| Elemento | Istruzione e condizione da registrare |
|---|---|
| Pianificazione e monitoraggio ordinari | Funzioni contrattualizzate, dati necessari e persone autorizzate |
| IA sui dati del trattamento affidato | In attesa: activada o desactivada proveedor finalidades datos y habilitacion. Disattivata per tale trattamento se non è stata stabilita la legittimazione |
| Integrazioni sportive | In attesa: servicio direccion datos permisos restricciones y destinatarios |
| MCP o client esterni | In attesa: destinatario papel plan contrato alcance y garantias o desactivado |
| Automazioni | In attesa: funcion objetivo disparador frecuencia limites y revocacion o no aplica |
| Club, sfide e visibilità | In attesa: datos publico autorizado y base para publicacion o privado |
| Minori | In attesa: no incluidos o procedimiento edades paises representacion y habilitacion |
| Conservazione indicata dal Cliente durante il rapporto | In attesa: plazos por categoria y revision. Nessuna conservazione illimitata per impostazione predefinita Per Garmin si applica l'istruzione di cancellazione alla disconnessione della sezione 9.1 dell'Informativa sulla privacy, senza proroga tramite istruzioni generali di conservazione. |
| Conclusione | Restituzione e cancellazione secondo la sezione 14, salvo scelta registrata di cancellazione senza restituzione |
Allegato II. Misure tecniche e organizzative
Queste misure sono requisiti contrattuali minimi che devono essere attuati e verificati prima del trattamento interessato. Il loro dettaglio operativo potrà evolvere senza ridurre il livello di protezione. Le prove saranno fornite nell'ambito della sezione 15.
| Area | Misure richieste |
|---|---|
| Governo e rischio | Responsabili interni definiti, inventario dei sistemi e dei trattamenti, valutazione del rischio e revisione delle modifiche che incidono su salute, IA, minori o trasferimenti |
| Separazione delle organizzazioni | Autorizzazione sul server per ogni accesso, convalida dell'appartenenza e isolamento tra clienti; verifica di query, file, esportazioni, attività e strumenti, senza dipendere soltanto dall'interfaccia |
| Privilegi | Privilegio minimo, account individuali, revisione periodica, revoca al termine delle funzioni e autenticazione multifattore per l'amministrazione e gli accessi privilegiati |
| Autenticazione e sessioni | Password protette mediante funzioni di derivazione o hash adeguate, meccanismi di recupero sicuri, protezione della sessione e risposta agli abusi; nessuna archiviazione di password in chiaro |
| Cifratura | Comunicazioni cifrate tramite protocolli vigenti e protezione crittografica dell'archiviazione e delle copie conformemente al rischio; gestione limitata delle chiavi |
| Token e segreti | Archiviazione protetta, autorizzazioni limitate, rotazione e revoca; esclusione da prompt, registri generali, codice pubblico e risposte ai clienti |
| Salute e localizzazione | Minimizzazione, autorizzazioni differenziate, profili e percorsi privati per impostazione predefinita, limitazione delle esportazioni e dell'accesso dell'assistenza |
| IA e MCP | Fornitori autorizzati e destinazioni limitate; convalida di argomenti e autorizzazioni sul server; protezione dalle istruzioni contenute in contenuti non attendibili; controlli di conferma proporzionati e nessuna elevazione dei privilegi da parte del modello |
| Cronologia e risultati dell'IA | Separazione tra cronologia funzionale e registri diagnostici, minimizzazione di identificativi e risultati, conservazione limitata e cancellazione che comprenda messaggi, risultati e cache pertinenti |
| Registri | Registrazione degli eventi rilevanti e degli accessi privilegiati, protezione dell'integrità e accesso limitato; assenza di riversamenti non necessari di dati relativi alla salute, prompt o token |
| Assistenza | Accesso eccezionale giustificato e limitato, registrazione dell'intervento e riservatezza del personale |
| Sviluppo e modifiche | Separazione degli ambienti, revisione delle modifiche, gestione delle vulnerabilità, aggiornamenti e verifica proporzionata dei controlli di autorizzazione |
| Test | Dati sintetici o effettivamente anonimizzati per impostazione predefinita; utilizzo eccezionale di dati reali solo in presenza di necessità, legittimazione e controlli documentati |
| Copie e ripristino | Copie protette conformemente a un piano documentato, test periodici di ripristino, ciclo massimo compatibile con la sezione 14 e riapplicazione delle cancellazioni dopo il ripristino |
| Continuità | Piano di recupero e gestione dei guasti secondo il rischio; obiettivi di recupero documentati e coerenti con l'offerta sottoscritta, senza presumere uno SLA inesistente |
| Incidenti | Canale di ricezione, procedura di valutazione e contenimento, conservazione delle prove e notifica al Cliente conformemente alla sezione 13 |
| Fornitori e accessi fisici | Valutazione di garanzie, contratti, ubicazioni e subappalto; controlli del fornitore sull'infrastruttura fisica e sugli accessi amministrativi |
| Persone e formazione | Riservatezza, istruzioni su salute e minori, formazione sulla sicurezza e alfabetizzazione in materia di IA adeguata al proprio intervento |
| Diritti e uscita | Procedure per localizzare, esportare, correggere, limitare e cancellare dati, inclusa la propagazione ai sub-responsabili e il controllo delle copie |
| Verifica | Revisione periodica e dopo modifiche rilevanti; documentazione dei risultati e delle azioni correttive, senza affermare certificazioni inesistenti |
Allegato III. Registro dei sub-responsabili, delle ubicazioni e dei trasferimenti
Versione del registro: TF-REG-2026-10-29-v2 Data: 26 ottobre 2026.
È incorporata in questo allegato la descrizione di finalità, dati, paesi, garanzie e conservazione della sezione 2 dell'Allegato A dell'Informativa sulla privacy, versione TF-REG-2026-10-29-v2, che deve essere allegata e conservata con la copia accettata di questo DPA. È inoltre fornita come registro separato. Il riferimento corrisponde a tale versione specifica; una pagina che cambia non sostituisce la copia del registro accettato. Le modifiche successive seguono la sezione 10 di questo accordo.
| Entità e servizio identificato | Funzione nel trattamento affidato, quando pertinente | Ubicazione principale dichiarata e altri flussi da valutare | Condizione specifica |
|---|---|---|---|
| Supabase Pte. Ltd. — Supabase | Database e servizi associati utilizzati per il Cliente | Progetto in Irlanda; valutazione di affiliate, assistenza e altri servizi | DPA, piano, ambito e cicli dei dati |
| Vercel Inc. — Vercel | Hosting e backend/API che trattano dati del trattamento affidato | Backend in UE/SEE; altri servizi e accessi da verificare | Verificare la copertura del DPA del piano prima di considerarla esistente |
| BunnyWay d.o.o. — Stream e Storage | Contenuti di allenatori e atleti affidati dal Cliente | Archiviazione e repliche dichiarate solo in UE/SEE; CDN e accessi da verificare | DPA dell'account, privacy dei file e cancellazione di copie/cache |
| Plus Five Five, Inc. — Resend | Invii istruiti dal Cliente nell'ambito del proprio servizio | Stati Uniti secondo le condizioni standard | Non includere dati relativi alla salute non necessari; verificare piano, contratto e conservazione |
| OpenAI Ireland Ltd. — API standard SEE | Inferenza istruita per i dati del Cliente | Nessuna residenza europea speciale dichiarata; flussi internazionali da valutare | Funzione e informazioni relative alla salute abilitate, contratto e configurazione dell'endpoint |
| Anthropic Ireland, Limited — API standard SEE | Inferenza istruita per i dati del Cliente | Nessuna residenza europea speciale dichiarata; flussi internazionali da valutare | Funzione e informazioni relative alla salute abilitate, contratto, modelli e conservazione |
| Molina Studio — Stridee API | Sincronizzazione sportiva istruita dal Cliente | Svizzera e SEE secondo l'infrastruttura pubblicata | Convalidare la catena di sub-responsabilità e la compatibilità dei termini |
| Entità Stripe applicabile al servizio e al contratto | Solo operazioni effettivamente svolte per conto del Cliente, ad esempio una funzione di gestione dei suoi incassi se sottoscritta | Secondo il servizio e la catena di Stripe | Separare i dati propri di fatturazione di TrainingForever e i trattamenti indipendenti di Stripe; verificare l'ambito prima di includerli nel trattamento affidato |
Questa tabella non include come sub-responsabili del Cliente i trattamenti di marketing proprio di TrainingForever né trasforma Google, Meta, Microsoft o i servizi sportivi indipendenti in responsabili del trattamento per il solo fatto di essere collegati. Qualsiasi utilizzo dei dati del trattamento affidato per una finalità diversa richiede un'analisi e una legittimazione proprie.
I client MCP contrattualizzati direttamente dal Cliente sono disciplinati dalla sezione 9 e dalle istruzioni verificate dell'allegato I. L'utilizzo di HealthKit non consente di attribuire automaticamente ad Apple un ruolo di sub-responsabile. Le entità sportive di origine sono descritte separatamente nella sezione 4 del registro.
Verifica di compatibilità da completare: confrontare gli impegni di questo DPA su restituzione, cancellazione, copie, assistenza, incidenti e modifiche dei sub-responsabili con i contratti effettivamente accettati. I termini standard di Stridee, Resend e delle API di IA non devono essere presentati come una conferma dei termini proposti nel corpo del pacchetto. Una differenza richiede di adeguare il servizio o concordare una formulazione lecita prima di formalizzarlo; non si risolve eliminando l'avvertenza.
Allegato IV. Registro di accettazione
| Elemento | Prova associata al contratto |
|---|---|
| Cliente e organizzazione | In attesa: identificador y razon social |
| Rappresentante e poteri dichiarati o verificati | In attesa: identidad y cargo |
| DPA, ordine e allegati forniti | In attesa: versiones y copias integras |
| Registro dei sub-responsabili | In attesa: version y copia |
| Mezzo e data di accettazione | In attesa: fecha hora zona y accion afirmativa |
| Istruzioni opzionali iniziali | In attesa: selecciones ia mcp menores conexiones y salida |
| Copia consegnata al Cliente | In attesa: medio fecha y referencia |
La prova tecnica aggiuntiva deve essere proporzionata e conservata solo per il tempo necessario. Il registro di accettazione non deve contenere cronologie o metriche relative alla salute.