Hypemove è un progetto ideato e gestito congiuntamente da Mattia Carlisi e Danilo Napolitano, co-fondatori. Entrambi accedono ai dati degli utenti nell'ambito della gestione operativa del Servizio e determinano congiuntamente finalità e mezzi del trattamento: sono pertanto Co-Titolari del Trattamento ai sensi dell'art. 26 GDPR.
Ai fini fiscali e contrattuali, il Servizio è gestito da Mattia Carlisi, Ditta Individuale, P.IVA 13008420013, Via Ventimiglia 16 int. 7, Torino (TO), Italia.
I Co-Titolari hanno definito tra loro, con accordo scritto ai sensi dell'art. 26 GDPR, le rispettive responsabilità. In sintesi: la gestione dell'infrastruttura tecnica, dei rapporti con i fornitori e degli adempimenti verso l'utente fa capo a Mattia Carlisi; entrambi i Co-Titolari accedono ai dati per le attività operative e di supporto. Indipendentemente da tale ripartizione, l'interessato può esercitare i propri diritti nei confronti di ciascuno dei Co-Titolari, ai sensi dell'art. 26.3 GDPR, scrivendo all'unico indirizzo di contatto sotto indicato; le richieste sono gestite congiuntamente, con risposta entro 30 giorni.
I Co-Titolari hanno valutato di non essere tenuti alla nomina di un Responsabile della Protezione dei Dati (DPO) ai sensi dell'art. 37 GDPR. Tale valutazione, insieme all'analisi dei rischi connessi al trattamento di dati relativi alla salute e all'uso di sistemi di intelligenza artificiale, è documentata e riesaminata periodicamente in funzione della crescita del Servizio.
Il trattamento di questi dati è disciplinato nella sezione 03.
Si tratta di un dato relativo alla salute: il trattamento è disciplinato nella sezione 03.
Si tratta di valori derivati da altri dati dell'utente e riferiti al suo stato fisico: sono trattati con le stesse cautele dei dati relativi alla salute.
Il personale autorizzato dei Co-Titolari può accedere ai dati comportamentali, ai feedback e alle conversazioni con il Coach AI per finalità di assistenza, supporto, risoluzione di problemi tecnici e miglioramento del Servizio. Tale accesso è limitato a quanto strettamente necessario, è soggetto a istruzioni scritte di riservatezza e, per i dati relativi alla salute, avviene solo quando indispensabile.
Alcuni dati trattati dal Servizio rientrano fra le categorie particolari di dati ai sensi dell'art. 9 GDPR, in quanto rivelano lo stato di salute dell'utente. In particolare:
Il trattamento di questi dati avviene esclusivamente sulla base del consenso esplicito dell'utente ai sensi dell'art. 9.2.a GDPR, raccolto in modo separato e specifico nel momento in cui l'utente sceglie di attivare la funzione corrispondente, e ha la sola finalità di adattare e personalizzare il percorso e di restituire all'utente ciò che ha registrato.
Sono previsti due consensi distinti e indipendenti: uno per i dati sanitari legati all'allenamento, uno per i dati alimentari e il controllo dei pasti. Nessuno dei due è obbligatorio: l'App resta utilizzabile senza fornirli, con le sole funzionalità corrispondenti disattivate. Ciascuno può essere revocato in qualsiasi momento dalle impostazioni dell'App: la revoca del consenso nutrizione comporta la cancellazione dei pasti già registrati e non pregiudica il consenso sanitario, e viceversa.
La lettura dei passi camminati da Health Connect è anch'essa facoltativa e indipendente dai due consensi sopra: si attiva dal tocco dell'utente sulla scheda dei passi nel profilo, dove il sistema Android chiede il permesso, e si revoca in ogni momento dalle impostazioni di Health Connect. Revocata l'autorizzazione, l'App smette immediatamente di leggere il dato; poiché il valore non viene conservato, non resta nulla da cancellare.
Ogni modifica ai dati sanitari è registrata in un log interno che ne conserva la storia, per garantire tracciabilità e correttezza dei trattamenti.
Quando l'utente fotografa un piatto per il controllo del pasto:
Il fornitore che esegue l'analisi tratta l'immagine come Responsabile del Trattamento, per il solo tempo necessario a produrre la risposta e senza utilizzarla per addestrare i propri modelli.
Poiché l'immagine transita comunque presso un fornitore esterno, l'utente è invitato a inquadrare solo il proprio piatto e a non riprendere altre persone, minori o elementi identificativi di terzi.
| Finalità | Base giuridica GDPR |
|---|---|
| Erogazione del Servizio (account, percorso, workout, gamification) | Esecuzione del contratto — art. 6.1.b |
| Gestione dell'abbonamento Premium, della prova gratuita e della fatturazione | Esecuzione del contratto — art. 6.1.b |
| Funzionamento del Coach AI e personalizzazione del percorso | Esecuzione del contratto — art. 6.1.b |
| Trattamento dei dati sanitari dichiarati per adattare gli esercizi | Consenso esplicito — art. 9.2.a |
| Controllo dei pasti, dati alimentari, peso e indici derivati | Consenso esplicito — art. 9.2.a |
| Comunicazioni di servizio (promemoria, aggiornamenti tecnici, notifiche di funzionamento) | Esecuzione del contratto — art. 6.1.b / Legittimo interesse — art. 6.1.f |
| Email di riattivazione e follow-up basate sull'utilizzo dell'App, con possibilità di opposizione e di disiscrizione in ogni messaggio | Legittimo interesse — art. 6.1.f |
| Analisi aggregate e statistiche per il miglioramento del prodotto, prevenzione degli abusi e sicurezza | Legittimo interesse — art. 6.1.f |
| Analisi comportamentale tramite strumenti di terzi (Google Analytics, Firebase) | Consenso — art. 6.1.a |
| Pubblicità in-app personalizzata e misurazione delle campagne (incluso l'invio di eventi di conversione a Meta) | Consenso — art. 6.1.a |
| Comunicazioni di marketing, newsletter e promozioni | Consenso — art. 6.1.a (separato, revocabile) |
| Adempimento di obblighi fiscali e contabili | Obbligo legale — art. 6.1.c |
| Accertamento, esercizio o difesa di un diritto in sede giudiziaria | Legittimo interesse — art. 6.1.f / art. 9.2.f per i dati sanitari |
Il Servizio raccoglie consensi separati e indipendenti. Rifiutarne uno non impedisce l'uso dell'App né condiziona gli altri: disattiva soltanto la funzione corrispondente.
| Consenso | A cosa serve | Se lo neghi | Dove si revoca |
|---|---|---|---|
| Termini e informativa privacy | Creazione dell'account e funzionamento di base | Non è possibile registrarsi | Cancellando l'account |
| Dati sanitari (art. 9.2.a) | Adattare gli esercizi a condizioni e limitazioni | L'App funziona, senza adattamenti sulle condizioni | Impostazioni dell'App |
| Dati alimentari (art. 9.2.a) | Controllo dei pasti, calorie e indice | La funzione resta disattivata | Impostazioni dell'App, con cancellazione dello storico |
| Analytics | Capire come viene usata l'App per migliorarla | Nessuna analisi comportamentale identificativa | Impostazioni dell'App e del sito |
| Pubblicità personalizzata | Annunci pertinenti e misurazione delle campagne | Annunci non personalizzati, nessun evento inviato a Meta | Richiesta all'indirizzo di contatto |
| Marketing | Newsletter, offerte e novità via email | Solo comunicazioni di servizio | Link in ogni email, o impostazioni dell'App |
Lo storico dei consensi prestati e revocati è conservato in forma immutabile, come richiesto dal principio di responsabilizzazione (art. 5.2 GDPR). La revoca non pregiudica la liceità del trattamento effettuato prima di essa.
Il Servizio utilizza sistemi di intelligenza artificiale di terzi per il Coach AI, per la generazione e l'adattamento dei percorsi di allenamento e per l'analisi delle fotografie dei pasti.
Le richieste non vengono inviate direttamente a ciascun fornitore, ma transitano attraverso OpenRouter, Inc. (Stati Uniti), una piattaforma di intermediazione che instrada la richiesta verso il modello di volta in volta selezionato. OpenRouter opera come Responsabile del Trattamento e ha accesso al contenuto della richiesta per il tempo necessario a inoltrarla.
| Fornitore | Impiego nel Servizio | Paese |
|---|---|---|
| Google LLC / Google Ireland Ltd. | Modello principale della conversazione e dell'analisi delle foto dei pasti | USA |
| Anthropic, PBC | Modello di esecuzione del Coach e riserva per l'analisi delle foto | USA |
| Moonshot AI | Modello di riserva, utilizzato solo quando i precedenti non sono disponibili | Cina |
L'elenco dei modelli può variare per ragioni di disponibilità, qualità o costo. Le modifiche rilevanti ai fornitori sono riflesse in questa Informativa e, ove comportino un cambiamento sostanziale delle garanzie applicabili, comunicate agli utenti.
A seconda della funzione, possono essere trasmessi: il contenuto del messaggio scritto dall'utente e la conversazione recente; i dati di profilo utili alla personalizzazione (obiettivo, livello, preferenze, attrezzatura, progressi); le annotazioni della memoria del Coach; le condizioni e limitazioni dichiarate, quando necessarie ad adattare una proposta; la fotografia del pasto, per la sola durata dell'analisi.
Non vengono trasmessi l'indirizzo email, il nome reale, i dati di pagamento né identificativi diretti dell'utente: le richieste utilizzano riferimenti pseudonimizzati. Se l'utente inserisce spontaneamente dati identificativi o sanitari nel testo della conversazione, questi vengono trasmessi insieme al messaggio: è consigliabile non scrivere al Coach informazioni che non si desidera far transitare da fornitori esterni.
Per verificare informazioni di carattere generale, il Coach AI può eseguire ricerche su fonti web pubbliche. In tal caso viene trasmessa la sola query di ricerca, formulata dal sistema e priva di dati identificativi dell'utente.
Per erogare il Servizio i Co-Titolari si avvalgono di fornitori che trattano dati personali per loro conto come Responsabili del Trattamento ai sensi dell'art. 28 GDPR, salvo dove diversamente indicato:
| Fornitore | Finalità | Paese / trasferimento |
|---|---|---|
| Supabase Inc. | Database, autenticazione, backend, archiviazione dell'immagine del profilo | Dati ospitati in Svizzera (Zurigo), Paese con decisione di adeguatezza UE; società con sede negli USA — SCC |
| OpenRouter, Inc. | Instradamento delle richieste ai modelli di AI | USA — SCC |
| Google LLC / Google Ireland | Modelli AI, Firebase, Google Analytics, autenticazione Google, AdMob | UE / USA — SCC + DPA Google |
| Anthropic, PBC | Modelli AI | USA — SCC |
| Moonshot AI | Modello AI di riserva | Cina — SCC + misure supplementari |
| Resend | Invio di email transazionali, di servizio e di marketing | USA — SCC |
| Meta Platforms Ireland Ltd. | Misurazione delle campagne pubblicitarie (vedi sez. 09) | UE / USA — SCC |
| Google Play (Google) / Apple App Store (Apple) | Distribuzione dell'App, gestione dei pagamenti e degli abbonamenti — titolari autonomi per i dati di pagamento | USA — SCC |
| Netlify | Hosting del sito web | USA — SCC |
L'elenco aggiornato dei Responsabili del Trattamento può essere richiesto in qualsiasi momento all'indirizzo di contatto. I dati degli utenti non vengono mai venduti né ceduti a terzi per finalità proprie di questi ultimi, fatta eccezione per quanto descritto alla sezione seguente e sempre previo consenso.
L'App integra il sistema pubblicitario Google AdMob. Prima di qualsiasi trattamento a fini pubblicitari viene mostrato un pannello di consenso conforme allo standard del settore (Google UMP), attraverso il quale l'utente sceglie se acconsentire agli annunci personalizzati. In assenza di consenso possono essere mostrati esclusivamente annunci non personalizzati. Il consenso può essere revocato in qualsiasi momento, gratuitamente e senza ritardo, scrivendo all'indirizzo di contatto.
Il Servizio promuove l'App attraverso campagne pubblicitarie sulle piattaforme di Meta (Facebook, Instagram). Per misurarne l'efficacia, e solo se l'utente ha prestato il relativo consenso, vengono inviati a Meta eventi di conversione (ad esempio: registrazione completata, avvio della prova, acquisto) accompagnati da un identificativo dell'utente e dall'indirizzo email in forma cifrata irreversibile (hash) e da un identificativo interno pseudonimizzato. Non viene inviato alcun dato relativo alla salute, all'alimentazione, al peso o alle conversazioni con il Coach.
Se il consenso viene revocato, l'invio si interrompe, anche per gli eventi già in coda e non ancora trasmessi. L'App integra inoltre l'SDK di Meta, necessario al funzionamento della misurazione, che raccoglie identificativi tecnici del dispositivo secondo le medesime regole di consenso. In relazione a questi trattamenti Meta agisce come titolare autonomo o contitolare secondo le condizioni pubblicate da Meta stessa.
Gli strumenti di analisi (Google Analytics 4 sul sito, Firebase nell'App) sono attivati solo previo consenso; sul sito il consenso è gestito tramite il banner descritto nella Cookie Policy, che dettaglia anche gli identificativi utilizzati.
Il Servizio prevede classifiche e confronti fra utenti. In queste sezioni possono essere visibili ad altri utenti esclusivamente:
L'utente può modificare in qualsiasi momento nome e immagine del profilo, o rimuovere quest'ultima, dalle impostazioni dell'App.
Per costruire e adattare il percorso, e per restituire all'utente i propri andamenti, il Servizio effettua una profilazione basata sui dati raccolti: obiettivi, preferenze, feedback, progressi, attrezzatura, e — ove l'utente li abbia forniti — vincoli fisici e dati alimentari. La profilazione ha l'unica finalità di personalizzare i contenuti e le informazioni proposte.
Il Servizio non adotta decisioni esclusivamente automatizzate che producano effetti giuridici o incidano in modo analogamente significativo sull'utente ai sensi dell'art. 22 GDPR: le proposte dell'App sono suggerimenti che l'utente è libero di accettare, modificare o ignorare, e non determinano l'accesso a diritti, prestazioni o condizioni economiche.
L'utente può in qualsiasi momento opporsi alla profilazione, richiedere l'intervento di una persona fisica e ottenere una revisione delle proposte scrivendo all'indirizzo di contatto.
Alcuni fornitori hanno sede o infrastrutture al di fuori dello Spazio Economico Europeo. In tali casi il trasferimento avviene nel rispetto del Capo V del GDPR, sulla base di:
Copia delle garanzie adottate può essere richiesta scrivendo a hypemoveapp@gmail.com.
| Categoria | Periodo di conservazione |
|---|---|
| Fotografie dei pasti | Non conservate — eliminate al termine dell'analisi |
| Dati di account e profilo | Durata del rapporto e 2 anni dalla cancellazione dell'account, salvo obblighi di legge più lunghi |
| Dati sanitari dichiarati, dati alimentari, storico del peso e attività | Fino alla revoca del consenso o alla cancellazione dell'account; cancellati entro 30 giorni dalla revoca |
| Conversazioni con il Coach AI e memoria del Coach | Fino alla cancellazione da parte dell'utente o dell'account; le annotazioni sono consultabili e cancellabili singolarmente nell'App |
| Dati di utilizzo e comportamentali | 24 mesi dalla raccolta, poi aggregati e anonimizzati |
| Storico dei consensi | Per tutta la durata del rapporto e per il periodo di prescrizione, come prova di conformità (art. 5.2 e 7.1 GDPR) |
| Log tecnici, dati di crash e metadati delle chiamate AI | Massimo 12 mesi |
| Consenso marketing e relative comunicazioni | Fino alla revoca, poi cancellati entro 30 giorni |
| Dati fiscali e contabili | 10 anni, ai sensi della normativa fiscale italiana |
| Dati necessari alla tutela di un diritto in giudizio | Fino alla prescrizione del relativo diritto |
La cancellazione dell'account, richiedibile direttamente dall'App, comporta l'eliminazione dei dati personali associati, fatti salvi i dati la cui conservazione sia imposta dalla legge o necessaria alla difesa di un diritto, che restano conservati in forma limitata e non più utilizzati per finalità operative.
Con il tuo consenso esplicito e separato — fornito tramite apposita spunta durante la registrazione o successivamente nelle impostazioni dell'App — potremo inviarti comunicazioni promozionali, newsletter, offerte e aggiornamenti su nuove funzionalità di Hypemove.
Il consenso al marketing è sempre facoltativo: puoi utilizzare l'App pienamente anche senza averlo prestato, e il Servizio non è in alcun modo condizionato ad esso.
Indipendentemente dal consenso marketing, potrai ricevere comunicazioni di servizio (conferme, avvisi tecnici, promemoria legati al funzionamento del percorso) e, sulla base del legittimo interesse, alcune email di riattivazione collegate al tuo utilizzo dell'App. Anche queste contengono sempre un link di disiscrizione e puoi opporti in qualsiasi momento.
Puoi revocare il consenso quando vuoi tramite il link di disiscrizione presente in ogni email, le impostazioni dell'App, o una richiesta diretta a hypemoveapp@gmail.com. La revoca non pregiudica la liceità del trattamento precedente. I tuoi dati non vengono mai ceduti a terzi per finalità di marketing.
Ai sensi degli artt. 15-22 GDPR, hai diritto di:
Ottenere conferma del trattamento e copia dei tuoi dati personali
Richiedere la correzione di dati inesatti o incompleti
Richiedere l'eliminazione dei tuoi dati ("diritto all'oblio"), salvo obblighi di conservazione legale
Richiedere la sospensione del trattamento nei casi previsti dalla legge
Ricevere i tuoi dati in formato strutturato, leggibile da macchina e trasferibile
Opporti al trattamento basato su legittimo interesse o per finalità di marketing diretto
Revocare in qualsiasi momento qualsiasi consenso prestato, senza pregiudizio per il trattamento precedente
Proporre reclamo al Garante per la protezione dei dati personali — garanteprivacy.it
Molti di questi diritti sono esercitabili direttamente dall'App: modifica del profilo, revoca dei singoli consensi, cancellazione dei dati alimentari e sanitari, cancellazione delle annotazioni del Coach, eliminazione definitiva dell'account.
Per ogni altra richiesta scrivi a hypemoveapp@gmail.com: i Co-Titolari risponderanno entro 30 giorni dalla ricezione, prorogabili di ulteriori due mesi in caso di richieste particolarmente complesse, con informativa all'interessato.
I Co-Titolari adottano misure tecniche e organizzative adeguate — in conformità allo stato dell'arte e ai principi di privacy by design e privacy by default — per proteggere i dati personali da accessi non autorizzati, perdita, distruzione, alterazione o divulgazione non consentita. Fra le altre: cifratura delle comunicazioni, isolamento dei dati per singolo utente a livello di database, controllo degli accessi, registrazione delle modifiche ai dati sanitari, minimizzazione dei dati trasmessi ai fornitori di intelligenza artificiale e mancata conservazione delle fotografie dei pasti.
In caso di violazione dei dati personali (data breach) che presenti un rischio per i diritti e le libertà degli interessati, i Co-Titolari notificheranno l'evento al Garante per la protezione dei dati personali entro 72 ore dalla scoperta, ai sensi dell'art. 33 GDPR, e agli utenti interessati senza ingiustificato ritardo ove il rischio sia elevato, ai sensi dell'art. 34 GDPR.
Il Servizio è riservato esclusivamente a persone che abbiano compiuto 18 anni e la registrazione è tecnicamente impedita a chi dichiari un'età inferiore. I Co-Titolari non raccolgono consapevolmente dati personali di minori. Qualora venisse rilevata o segnalata la raccolta involontaria di dati di un minore, i Co-Titolari procederanno alla cancellazione immediata e definitiva di tutti i dati associati all'account. Le segnalazioni possono essere inviate all'indirizzo di contatto.
I Co-Titolari si riservano il diritto di aggiornare la presente Informativa per riflettere modifiche normative, tecniche o operative — inclusa l'introduzione di nuovi fornitori o di nuovi provider di intelligenza artificiale. Le modifiche rilevanti saranno comunicate tramite notifica nell'App o via email e, ove riguardino trattamenti fondati sul consenso, sarà richiesto un nuovo consenso. La versione aggiornata, con la data di entrata in vigore, è sempre disponibile su questa pagina.