Ultimo aggiornamento: 12 novembre 2026
Versione del documento: 2026-11-12 · Informativa ai sensi degli artt. 12, 13 e 14 GDPR · The Ape Shape Donna
Il Titolare del trattamento è Simone Schiavi, titolare di TheApeShape, P.IVA 10525230966, con sede in Via Galimberti 1, 20081 Abbiategrasso (MI), Italia. Per richieste privacy: [email protected]. Per assistenza: [email protected]. PEC: [email protected].
Questa informativa riguarda il sito theapeshape.com, la webapp TheApeShape, l’area riservata, ApeChat, il pannello di pagamento e le funzionalità di collegamento con professionisti esterni. Il servizio è destinato a utenti che abbiano compiuto almeno 16 anni. Per gli utenti di 16 o 17 anni l’attivazione di un piano a pagamento richiede l’autorizzazione del genitore o tutore secondo il flusso previsto in piattaforma.
Le stesse condizioni valgono per la versione donna del servizio, raggiungibile su female.theapeshape.com: cambia il marchio della versione, non il titolare del trattamento.
Dati identificativi e account: nome, cognome, email, data di nascita, sesso, paese/città/provincia, credenziali e identificativi tecnici di autenticazione.
Dati fitness e di performance: altezza, peso, percentuale di massa grassa, obiettivi, giorni di allenamento, preferenze esercizi, carichi, serie, ripetizioni, durata, volume, feedback e storico dei progressi.
Dati alimentari e di stile di vita: calorie, macronutrienti, preferenze alimentari, pasti, acqua, passi, sonno, lavoro e altre informazioni inserite per la personalizzazione.
Dati relativi alla salute eventualmente inseriti dall’utente: allergie, intolleranze, patologie, condizioni mediche, gravidanza, farmaci, dolori e infortuni. Questi dati sono categorie particolari ai sensi dell’art. 9 GDPR.
Contenuti ApeChat: messaggi e contesto strettamente necessario per rispondere alla richiesta.
Dati di pagamento e abbonamento: piano, importo, valuta, stato della transazione e identificativi Stripe. I dati completi della carta non sono memorizzati da TheApeShape.
Dati tecnici e di sicurezza: indirizzo IP, browser, dispositivo, log di accesso, errori, eventi di sicurezza e dati di diagnostica.
Dati cookie e analytics secondo le preferenze espresse nel banner cookie.
Documenti relativi alla salute condivisi con una palestra o un professionista: solo dopo un’autorizzazione specifica e revocabile per singola palestra, professionista e servizio.
| Finalità | Base giuridica | Conservazione |
|---|---|---|
| Creazione account, login, allenamento e funzioni core | Art. 6(1)(b) GDPR - esecuzione del contratto | Fino alla cancellazione dell’account o fino a 24 mesi di inattività, salvo obblighi ulteriori |
| Personalizzazione che utilizza dati relativi alla salute | Art. 6(1)(b) GDPR + art. 9(2)(a) GDPR - consenso esplicito per i dati particolari | Fino a revoca del consenso o cancellazione dell’account; backup fino a 30 giorni |
| ApeChat | Art. 6(1)(b); art. 9(2)(a) quando il messaggio o il contesto contiene dati relativi alla salute | Cronologia applicativa secondo la funzione; dati API del provider secondo la retention applicabile, minimizzata come descritto sotto |
| Pagamenti, rinnovi e fatturazione | Art. 6(1)(b) e 6(1)(c) GDPR | Dati contabili/fiscali fino a 10 anni; metadati tecnici secondo necessità |
| Assistenza e gestione richieste | Art. 6(1)(b) e 6(1)(f) GDPR | Per il tempo necessario e, di regola, fino a 24 mesi dalla chiusura della richiesta salvo controversie |
| Sicurezza, prevenzione abusi, log | Art. 6(1)(f) GDPR | Log applicativi/diagnostici normalmente 30 giorni; sicurezza/autenticazione fino a 6 mesi; audit amministrativi fino a 12 mesi |
| Analytics non necessari | Art. 6(1)(a) GDPR - consenso | Secondo Cookie Policy e preferenze; revocabili in ogni momento |
| Autorizzazioni ai documenti salute di palestre e professionisti | Art. 6(1)(b) GDPR + art. 9(2)(a) GDPR - consenso esplicito separato per singolo servizio | Fino a revoca dell’autorizzazione, alla fine del rapporto o alla cancellazione dell’account; le evidenze delle scelte restano conservate secondo gli obblighi applicabili |
I periodi indicati sono i termini obiettivo del Titolare, non il risultato di procedure automatiche già installate: alla data di questa informativa non risultano procedure automatiche approvate per la cancellazione per inattività, dei log, dei dati di autenticazione o degli audit, la cui gestione è manuale e documentata dal Titolare.
Le funzioni che richiedono dati relativi alla salute vengono attivate solo dopo consenso esplicito separato. Il consenso è facoltativo e può essere revocato in qualsiasi momento dalle impostazioni privacy o contattando [email protected]. La revoca non pregiudica i trattamenti già effettuati ma può rendere indisponibili le funzioni che necessitano di tali dati.
La revoca interrompe i nuovi trattamenti basati sul consenso; non cancella automaticamente i dati sanitari già registrati, i documenti già conservati né le copie già scaricate. Per la cancellazione puoi usare la cancellazione dell’account o scrivere a [email protected].
Le autorizzazioni ai documenti salute di palestre e professionisti sono scelte ulteriori e separate: la sola assegnazione non costituisce autorizzazione.
Per gli utenti di 16 o 17 anni, il consenso privacy dell’utente è distinto dall’autorizzazione contrattuale del genitore/tutore. TheApeShape usa un linguaggio chiaro e comprensibile anche ai minori.
Gli utenti di 16 o 17 anni possono creare e utilizzare il proprio account. Prima di ogni acquisto a pagamento o dell’attivazione della prova serve l’autorizzazione di un genitore o tutore: l’utente indica l’email del genitore o tutore, che riceve un link con piano, prezzo, prova, condizioni di rinnovo e Termini e Condizioni. Il link scade entro 24 ore; dopo la conferma l’autorizzazione vale 7 giorni per completare il checkout del piano approvato, e se l’offerta cambia serve una nuova autorizzazione.
L’autorizzazione si basa sul link inviato via email e su una dichiarazione espressa di responsabilità genitoriale o tutela, con registrazione di data, ora, piano, importo, versione dei Termini e relazione dichiarata. Non è una verifica documentale di identità o di parentela. L’account resta personale del minore e l’autorizzazione non concede al genitore o tutore accesso ai dati sanitari o alle conversazioni ApeChat.
Con un’autorizzazione valida per il piano indicato l’utente di 16 o 17 anni può completare l’acquisto a pagamento del piano flessibile o annuale, con addebito al completamento del checkout. La prova senza carta del piano flessibile è un’opzione separata, senza addebito e senza rinnovo automatico, e richiede una propria autorizzazione.
ApeChat è un sistema di intelligenza artificiale che utilizza OpenAI API. Per generare una risposta può ricevere il messaggio dell’utente e i dati del profilo e del percorso pertinenti alla richiesta. ApeChat non modifica autonomamente il programma di allenamento, le calorie o i dati dell’account: fornisce suggerimenti e informazioni.
Il contenuto effettivamente inviato dipende dall’integrazione attiva e non è oggi uniformemente minimizzato:
Secondo le condizioni del fornitore, i dati inviati tramite OpenAI API non sono usati per addestrare i modelli per impostazione predefinita, salvo un opt-in che TheApeShape non attiva; possono essere conservati dal provider per finalità di erogazione e sicurezza secondo le condizioni applicabili. Le impostazioni di persistenza e tracing devono essere confermate dal Titolare. Dettagli nella informativa ApeChat e sicurezza.
Per erogare il servizio TheApeShape utilizza fornitori tecnici che trattano dati per conto del Titolare o, per specifiche attività, come titolari autonomi secondo i rispettivi servizi. Tra i principali: Hetzner (hosting), Cloudflare (rete/CDN), Supabase (database, autenticazione e storage), Stripe (pagamenti), Resend (email), OpenAI (ApeChat), Sentry (diagnostica tecnica), Google Analytics 4 (analytics previo consenso), Google Maps/Places e servizi OAuth Google/Facebook. L’elenco dei fornitori viene mantenuto aggiornato dal Titolare.
Per ApeChat è utilizzato anche il servizio tecnico ApeChat Coach, sviluppato e mantenuto da Carlo Airaghi; la sua qualificazione privacy e la designazione contrattuale devono essere confermate dal Titolare prima dell’attivazione.
Alcuni fornitori possono trattare dati anche fuori dallo Spazio Economico Europeo. In tali casi TheApeShape utilizza i meccanismi previsti dal GDPR, quali decisioni di adeguatezza, partecipazione al Data Privacy Framework quando applicabile e/o Clausole Contrattuali Standard, unitamente alle ulteriori misure necessarie.
La sezione Professionisti svolge una funzione di collegamento. Il semplice accesso alla scheda o ai contatti di un professionista non comporta la trasmissione a quest’ultimo dei dati fitness, sanitari, di allenamento o di ApeChat dell’utente. Se l’utente decide di rivolgersi al professionista, i dati ulteriori vengono forniti direttamente dall’utente al professionista, che li tratta sotto la propria responsabilità salvo diverso accordo espressamente comunicato.
I documenti relativi alla salute possono essere condivisi con una palestra, per conto del professionista assegnato, solo dopo un’autorizzazione specifica e revocabile per singola palestra, professionista e servizio, prestata anche con consenso salute attivo. La revoca blocca nuovi caricamenti, elenchi, consultazioni e download da parte della palestra, non il tuo accesso ai tuoi documenti; i documenti conservati non vengono cancellati automaticamente e le copie già scaricate non possono essere ritirate. Per richieste di cancellazione: [email protected]. Questa scelta non attribuisce accesso ad allenamenti, ad altri dati sanitari o alle conversazioni ApeChat.
Gli strumenti necessari al funzionamento possono essere utilizzati senza consenso nei limiti di legge. Analytics, attribuzione e altri strumenti non necessari vengono attivati solo dopo la scelta dell’utente. Dettagli e preferenze sono disponibili nella Cookie Policy e nel pannello “Preferenze cookie”.
TheApeShape adotta misure tecniche e organizzative proporzionate al rischio, tra cui HTTPS/TLS, controlli server-side, Row Level Security, gestione dei ruoli, cifratura dei backup, autenticazione sicura, limitazione dei privilegi, logging e procedure di gestione degli incidenti. I dati completi delle carte di pagamento sono gestiti direttamente da Stripe.
Il monitoraggio essenziale degli errori tecnici (Sentry) è configurato senza contesto utente, senza tracing delle performance e senza registrazione della sessione; gli eventi filtrati possono comunque contenere indirizzo IP, URL e metadati su browser, dispositivo e rete. Il session replay e la diagnostica avanzata sono attivi solo con consenso alla categoria Diagnostica avanzata.
L’utente può chiedere accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e revoca del consenso, quando applicabili, scrivendo a [email protected]. Le richieste sono gestite nei termini previsti dal GDPR. È inoltre possibile proporre reclamo al Garante per la protezione dei dati personali. La cancellazione dell’account è disponibile anche dall’area personale; i dati che devono essere conservati per legge restano esclusi dalla cancellazione immediata.
La cancellazione dell’account annulla gli abbonamenti attivi e avvia la cancellazione o anonimizzazione dei dati applicativi associati, comprese le conversazioni ApeChat gestite dall’applicazione. Restano conservati, con accesso limitato, i dati imposti dalla legge (contabili e fiscali fino a 10 anni) e le evidenze legali, del genitore o tutore e delle autorizzazioni ai documenti salute, che sono registrazioni append-only e non vengono cancellate dalla cancellazione dell’account.
Se il servizio ApeChat Coach è configurato, la cancellazione verifica prima la cancellazione delle conversazioni presso il servizio e, se non è confermata, non annulla gli abbonamenti né prosegue sulle altre fasi; se non è configurato, procede senza chiamate al provider. La cancellazione amministrativa resta sospesa finché non sarà disponibile la procedura amministrativa dedicata. I dati presenti nei backup potranno rimanere fino a 30 giorni prima della sovrascrittura, che è un obbligo operativo del Titolare. Le conversazioni storiche eventualmente ancora conservate presso il precedente fornitore della chat non sono cancellate automaticamente: la richiesta viene registrata e gestita separatamente.
Le modifiche sostanziali saranno comunicate con modalità adeguate. Se una modifica richiede un nuovo consenso, questo sarà richiesto separatamente e non sarà desunto dalla semplice prosecuzione dell’uso del servizio.