Informativa sulla privacy
Questa è una traduzione. In caso di dubbio fa stato la versione tedesca.
Liftando è un’app per l’allenamento e l’alimentazione. Per questo trattiamo dati sul tuo corpo, su ciò che mangi e sul tuo allenamento, ossia dati sanitari. La presente informativa ti spiega quali sono questi dati, a cosa ci servono, chi oltre a noi può vederli e quali diritti hai. Si applica al sito web e all’app all’indirizzo https://liftando.com.
Fa stato la legge federale svizzera sulla protezione dei dati (LPD). Se risiedi nell’Unione europea o nello SEE, si applica inoltre il regolamento generale sulla protezione dei dati (RGPD). Dove le due normative usano termini diversi, li indichiamo entrambi.
1. Titolare del trattamento
Il titolare del trattamento dei tuoi dati personali è:
[da completare: nome e cognome o ragione sociale]
[da completare: via e numero civico]
[da completare: NPA e località]
Svizzera
E-mail: [da completare: indirizzo e-mail]
Telefono: [da completare: numero di telefono (facoltativo, altrimenti null)]
IDI: [da completare: IDI (facoltativo, altrimenti null)]
Per qualsiasi richiesta in materia di protezione dei dati puoi contattarci all’indirizzo [da completare: indirizzo e-mail]. Rappresentante nell’UE ai sensi dell’art. 27 RGPD: [da completare: nome e indirizzo del rappresentante nell’UE, se necessario].
2. Quali dati trattiamo
Dati dell’account
- nome, indirizzo e-mail, fuso orario e, facoltativamente, una foto del profilo
- la tua password, solo sotto forma di hash irreversibile (PBKDF2), nonché le chiavi pubbliche delle tue passkey
- data e ora dei tuoi consensi e della registrazione
Dati sanitari e corporei
Secondo la LPD questi dati sono dati personali degni di particolare protezione e, ai sensi dell’art. 9 RGPD, dati relativi alla salute:
- sesso, data di nascita, altezza, peso, percentuale di grasso corporeo, misure corporee e foto dei progressi
- obiettivi, attività quotidiana, esperienza di allenamento, tipo di alimentazione, allergie e alimenti non graditi
- diario alimentare, acqua, integratori, ricette, piani pasti e liste della spesa
- allenamenti, serie, programmi, routine e record personali
- valori calcolati a partire da questi dati, come obiettivi di calorie e macronutrienti, tendenza del peso, fabbisogno energetico stimato, serie e traguardi
Dati da fonti collegate
Solo se configuri una fonte in Impostazioni › Connessioni, Liftando ne riprende:
- da Apple Salute (tramite un comando rapido sul tuo iPhone o come file di esportazione) e in futuro da Health Connect (Android): valori giornalieri di passi, energia attiva, battito a riposo e variabilità della frequenza cardiaca, notti con inizio, fine, durata e fasi del sonno, peso, percentuale di grasso corporeo e allenamenti con tipo, orario, distanza, energia e battito
- da Strava: le tue attività con titolo, sport, orario, distanza, energia e battito
- per ogni valore la sua fonte, così vedi da dove proviene
Liftando legge un’esportazione di Salute direttamente nel tuo browser. Al nostro server arrivano solo i valori giornalieri, le notti, le pesate e gli allenamenti indicati, non il file stesso né dati grezzi come singole misurazioni del battito, percorsi o cartelle cliniche.
Contenuti per il coach IA
Solo se attivi le funzioni di IA: i tuoi messaggi al coach e le sue risposte, le foto dei pasti e le registrazioni vocali che invii per il riconoscimento. Maggiori informazioni nella sezione 5.
Dati tecnici
- sessioni attive con la denominazione del dispositivo (User-Agent), data e ora dell’accesso e dell’ultimo utilizzo
- l’indirizzo IP delle tue richieste: per la protezione dagli abusi (limitazione delle richieste, protezione dai bot) e nei log del server, conservati per breve tempo; non lo salviamo nel tuo account
- per i promemoria, l’indirizzo push del tuo dispositivo e le tue impostazioni dei promemoria
- contatori dell’utilizzo giornaliero delle funzioni di IA
- token di importazione personali con nome, data di creazione e ultimo utilizzo; il token stesso è salvato solo sotto forma di hash
- se colleghi Strava: il tuo ID atleta Strava, il tuo nome e le chiavi di accesso di Strava, salvate in forma cifrata
Non utilizziamo strumenti di analisi o pubblicitari, non creiamo profili di utilizzo a fini di marketing e non vendiamo dati.
3. Finalità e basi giuridiche
| Finalità | Base giuridica (RGPD) |
|---|---|
| Gestione dell’account, accesso, sincronizzazione tra i tuoi dispositivi | contratto, art. 6 par. 1 lett. b |
| Salvataggio e analisi dei dati sanitari per fornirti l’app | consenso esplicito, art. 9 par. 2 lett. a e art. 6 par. 1 lett. a |
| Importare i dati di Apple Salute, Health Connect o Strava che colleghi | consenso esplicito, art. 9 par. 2 lett. a e art. 6 par. 1 lett. a |
| Coach IA, riconoscimento di foto e voce, piani creati dall’IA | consenso esplicito separato, art. 9 par. 2 lett. a e art. 6 par. 1 lett. a |
| E-mail per la sicurezza dell’account (conferma, password, eliminazione) | contratto, art. 6 par. 1 lett. b |
| Promemoria sotto forma di notifica | consenso (autorizzazione nel browser), art. 6 par. 1 lett. a |
| Sicurezza, protezione dagli abusi e dai bot, diagnosi degli errori | legittimo interesse a un funzionamento sicuro, art. 6 par. 1 lett. f |
Ai sensi della LPD trattiamo i tuoi dati secondo i principi dell’art. 6 LPD. Per i dati personali degni di particolare protezione chiediamo il tuo consenso esplicito (art. 6 cpv. 7 LPD).
Liftando calcola automaticamente obiettivi e suggerimenti a partire dai tuoi dati. Si tratta di raccomandazioni: l’app non prende decisioni che producono effetti giuridici o conseguenze analogamente rilevanti. Sei tu ad applicare le modifiche ai tuoi obiettivi.
4. Consenso per i dati sanitari
Al momento della registrazione acconsenti esplicitamente al trattamento dei tuoi dati sanitari da parte di Liftando per le finalità indicate. Senza questo consenso non possiamo offrirti l’app, perché ogni funzione si basa su questi dati.
Puoi revocare il consenso in qualsiasi momento eliminando il tuo account (Impostazioni › Dati e privacy). In tal caso cancelliamo immediatamente tutti i dati. La revoca non pregiudica la liceità del trattamento effettuato fino a quel momento. Puoi revocare separatamente il consenso per le funzioni di IA con un interruttore nelle impostazioni, senza perdere il tuo account.
Liftando si rivolge a persone a partire dai 16 anni.
5. Funzioni di IA
Le funzioni di IA sono facoltative e disattivate per impostazione predefinita. Solo quando le attivi nell’app e dai il tuo consenso inviamo dati a modelli di IA:
- Coach: il tuo messaggio e i dati necessari per la risposta, ad esempio profilo, obiettivi, voci del diario, allenamenti o la tendenza del tuo peso
- Riconoscimento: la foto di un pasto o la tua registrazione vocale, per riconoscere alimenti, quantità o serie
- Piani: obiettivo, attrezzatura, tipo di alimentazione e allergie, per creare un programma o un piano pasti
I modelli sono eseguiti su Cloudflare Workers AI; le richieste passano attraverso Cloudflare AI Gateway, che registra data e ora, modello e volume delle richieste ai fini del controllo dei costi e della protezione dagli abusi. Cloudflare tratta i contenuti per nostro conto e non li utilizza per addestrare modelli. L’elaborazione può avvenire in centri di calcolo di Cloudflare al di fuori della Svizzera e dell’UE (sezione 7).
Non trasmettiamo mai le attività di Strava a modelli di IA, nemmeno al coach.
Non salviamo le foto e le registrazioni vocali inviate per il riconoscimento. Le conversazioni con il coach restano nel tuo account finché non elimini le conversazioni stesse o il tuo account. Le risposte dell’IA sono stime e possono essere errate. Il coach non formula diagnosi.
6. Destinatari e responsabili del trattamento
Trasmettiamo i tuoi dati solo a fornitori di servizi che li trattano per nostro conto e secondo le nostre istruzioni, oppure se una legge ci obbliga a farlo.
| Destinatario | Compito | Luogo |
|---|---|---|
| Cloudflare, Inc., San Francisco, USA, e società collegate | Hosting dell’app (Workers), banca dati (D1) e archivio di file (R2), invio di e-mail, protezione dai bot (Turnstile), limitazione delle richieste, log del server | Banca dati e file: centri di calcolo nell’UE. Distribuzione: rete globale di Cloudflare |
| Cloudflare, Inc. (Workers AI, AI Gateway) | Funzioni di IA, solo con il tuo consenso | rete globale di Cloudflare |
| Servizio push del tuo browser (p. es. Apple, Google, Mozilla, Microsoft) | Recapito dei promemoria. Il contenuto è cifrato end-to-end, il servizio vede solo l’indirizzo push e l’orario | a seconda del fornitore, anche USA |
| Strava, Inc., San Francisco, USA | Solo se colleghi Strava: con la tua autorizzazione Liftando recupera le tue attività da Strava e riceve notifiche sulle nuove attività. Strava viene così a sapere che usi Liftando. Per i tuoi dati presso Strava vale l’informativa sulla privacy di Strava | USA |
| Open Food Facts (Association Open Food Facts, Francia) | Dati di prodotto relativi a un codice a barre scansionato. Il nostro server interroga solo il numero del codice a barre, senza dati personali | Francia |
Font, immagini degli esercizi e tutti gli altri file sono forniti direttamente dai nostri server. Non vengono caricati contenuti di terzi come Google Fonts o reti pubblicitarie.
7. Trattamento all’estero
La banca dati e i file si trovano in centri di calcolo di Cloudflare nell’Unione europea (giurisdizione UE). Cloudflare ha sede negli USA; nell’ambito della gestione del servizio, della distribuzione tramite la rete globale e delle funzioni di IA, i dati possono essere trattati negli USA o in altri Paesi. Cloudflare è certificata secondo l’EU-US Data Privacy Framework e lo Swiss-US Data Privacy Framework, che la Commissione europea e il Consiglio federale riconoscono come adeguati. Si applicano inoltre le clausole contrattuali tipo della Commissione europea contenute nell’accordo sul trattamento dei dati di Cloudflare, integrate dagli adeguamenti necessari per la Svizzera.
8. Cookie e archiviazione sul tuo dispositivo
Liftando utilizza un solo cookie: __Host-liftora_session. Mantiene attivo il tuo accesso, è tecnicamente necessario per l’utilizzo, è valido solo per questo sito web, non è leggibile dagli script e scade 30 giorni dopo l’ultimo utilizzo. Per questo non ci serve un banner per i cookie.
Affinché l’app funzioni in palestra anche senza segnale, salva sul tuo dispositivo:
- una copia dei dati caricati più di recente (IndexedDB, risalente al massimo a 24 ore prima)
- le modifiche non ancora trasmesse e un allenamento in corso (IndexedDB)
- i file dell’app e le immagini degli esercizi (cache del Service Worker)
- la tua scelta tra tema chiaro e scuro (Local Storage)
Quando esci dall’account o lo elimini, l’app rimuove i dati salvati. Puoi anche cancellarli in qualsiasi momento tramite le impostazioni del tuo browser.
Durante la registrazione, l’accesso e la reimpostazione della password, Cloudflare Turnstile verifica che la richiesta provenga da una persona. A tal fine Turnstile analizza caratteristiche del tuo browser e il tuo indirizzo IP, ma non imposta cookie di tracciamento.
9. Notifiche ed e-mail
Ti inviamo promemoria solo se consenti le notifiche nel tuo browser e imposti dei promemoria. Puoi disattivare entrambi in qualsiasi momento nelle impostazioni dell’app o del tuo dispositivo. Ricevi e-mail solo per la sicurezza del tuo account: conferma dell’indirizzo, nuova password, password modificata e conferma dell’eliminazione dell’account. Non inviamo newsletter né pubblicità.
10. Durata di conservazione
- Dati dell’account e dati sanitari, foto, conversazioni con il coach: finché esiste il tuo account. Se elimini il tuo account o una foto, rimuoviamo immediatamente i dati dalla banca dati e dall’archivio di file. Se elimini singole voci, queste non sono più visibili con effetto immediato; affinché la sincronizzazione tra i tuoi dispositivi funzioni, restano contrassegnate come eliminate per al massimo 30 giorni e vengono poi rimosse definitivamente. Dai punti di ripristino automatici della banca dati tutti i dati scompaiono al più tardi dopo 30 giorni.
- Sessioni: fino a quando esci dall’account, al più tardi 30 giorni dopo l’ultimo utilizzo e 180 giorni dopo l’accesso
- Link nelle e-mail: 1 ora (password) o 24 ore (conferma), poi cancellati
- Log del server: al massimo 7 giorni
- Indirizzi push: finché non disattivi le notifiche o il servizio push non li dichiara non validi
- dati importati: finché non li elimini in Impostazioni › Connessioni o elimini il tuo account. Se disconnetti Strava o revochi l’accesso di Liftando su strava.com, eliminiamo subito i dati importati da Strava, al più tardi entro 48 ore
- token di importazione: finché non li revochi; richieste di collegamento a Strava: 10 minuti
11. Sicurezza dei dati
Tutte le connessioni sono cifrate (HTTPS con HSTS). Salviamo le password solo sotto forma di hash, e lo stesso vale per i token di sessione, per quelli inviati via e-mail e per i token di importazione. Salviamo le chiavi di accesso di Strava cifrate con AES-GCM. Un token di importazione permette solo di importare dati nel tuo account. Ogni interrogazione è limitata al tuo account e le foto sono accessibili solo a te. Presso Cloudflare i dati sono memorizzati in forma cifrata. Nessuna protezione è perfetta; se constatiamo una violazione della sicurezza dei dati, informiamo te e le autorità competenti secondo le disposizioni di legge.
12. I tuoi diritti
Ai sensi della LPD e del RGPD hai diritto:
- all’accesso ai tuoi dati (art. 25 LPD, art. 15 RGPD)
- alla rettifica dei dati inesatti (art. 32 LPD, art. 16 RGPD)
- alla cancellazione (art. 32 LPD, art. 17 RGPD)
- alla consegna e alla trasmissione dei tuoi dati (art. 28 LPD, art. 20 RGPD)
- alla limitazione del trattamento e all’opposizione (art. 18 e 21 RGPD)
- alla revoca dei tuoi consensi con effetto per il futuro
- a presentare reclamo a un’autorità di vigilanza
Puoi esercitare la maggior parte dei diritti direttamente nell’app: in Impostazioni › Dati e privacy puoi scaricare tutti i dati come file ZIP (JSON, tabelle CSV e foto) o eliminare il tuo account. In Impostazioni › Connessioni puoi disconnettere le fonti ed eliminare i dati importati. Per tutto il resto scrivici a [da completare: indirizzo e-mail]. Rispondiamo entro 30 giorni e possiamo verificare preliminarmente che la richiesta provenga davvero da te.
13. Autorità di vigilanza
In Svizzera: Incaricato federale della protezione dei dati e della trasparenza (IFPDT), Feldeggweg 1, 3003 Berna, www.edoeb.admin.ch.
Nell’UE e nello SEE: l’autorità di protezione dei dati del Paese in cui risiedi o lavori oppure in cui si è verificata la presunta violazione. Trovi un elenco sul sito del comitato europeo per la protezione dei dati.
14. Modifiche
Adeguiamo la presente informativa quando cambiano l’app o la situazione giuridica. È valida la versione pubblicata qui. Ti informiamo delle modifiche sostanziali tramite l’app.