WattRun

Informativa sulla privacy

1. Titolare del trattamento

Matthias Henkert
Birkenstraße 52c
16321 Bernau b. Berlin
E-mail: hallo@wattrun.de

2. Quali dati trattiamo

Trattiamo i seguenti dati personali:

  • Dati dell'account: indirizzo e-mail, nome (tramite Supabase Auth)
  • Dati di allenamento: file FIT, tracce GPS, dati di potenza e di frequenza cardiaca, cadenza e le metriche che ne derivano (FTP, Fitness, Fatica, Forma, curva di potenza, carico di allenamento).
  • Dati relativi alla salute (art. 9 GDPR): frequenza cardiaca, dati di potenza e andamento dell'allenamento sono considerati dati relativi alla salute e vengono trattati solo con il tuo consenso esplicito.
  • Dati di connessione (tecnicamente necessari): indirizzo IP, tipo di browser, sistema operativo, URL di provenienza (referrer), risorsa richiesta, data e ora. I log del server vengono conservati per max. 7 giorni e successivamente cancellati o anonimizzati. L'indirizzo IP viene inoltre trattato per breve tempo (in memoria, max. pochi minuti) per la difesa da spam e abusi tramite limitazione delle richieste (rate limiting) (art. 6, par. 1, lett. f) GDPR).
  • Giorni di utilizzo (registro delle attività): memorizziamo i giorni di calendario in cui un account viene utilizzato — per il funzionamento e la protezione del servizio (base giuridica: legittimo interesse, art. 6, par. 1, lett. f) GDPR).

3. Finalità del trattamento

  • Fornitura delle funzioni di analisi dell'allenamento
  • Consigli di allenamento supportati dall'AI (Anthropic Claude API)
  • Autenticazione e gestione dell'account
  • E-mail: e-mail relative all'account (benvenuto, accesso, password), suggerimenti sull'utilizzo di WattRun e — solo con consenso — la newsletter
  • Misurazione del traffico in self-hosting (Umami) — solo con consenso

4. Responsabili del trattamento e destinatari

  • Anthropic, PBC (USA): elaborazione tramite AI per consigli di allenamento, insight del coach e riepiloghi settimanali. Vengono trasmesse metriche di allenamento (FTP, Fitness/Fatica/Forma, statistiche degli allenamenti, eventualmente l'obiettivo di allenamento) e dati aggregati sulle attività — nessun dato GPS grezzo, nessun collegamento al nome reale. In base alle Anthropic Commercial Terms, gli input inviati all'API non vengono utilizzati per l'addestramento dei modelli. Base giuridica: art. 6, par. 1, lett. b) GDPR + consenso esplicito al trattamento dei dati relativi alla salute ai sensi dell'art. 9, par. 2, lett. a) GDPR. Trasferimento verso un paese terzo (USA) sulla base di clausole contrattuali standard (art. 46 GDPR) secondo il DPA di Anthropic. Ai fini del controllo qualità registriamo internamente soltanto il numero di richieste API e il consumo di token — nessun contenuto.
  • Supabase, Inc. (USA): autenticazione, gestione delle sessioni e hosting del database dell'applicazione (dati dell'account, di allenamento e relativi alla salute). I dati sono conservati in una regione UE. Dati trattati: e-mail, nome, data e ora di accesso, token di sessione e i dati di allenamento e di salute salvati nell'app. Base giuridica: art. 6, par. 1, lett. b) GDPR ovvero — per i dati relativi alla salute — art. 9, par. 2, lett. a) GDPR (consenso esplicito). È in essere un accordo sul trattamento dei dati ai sensi dell'art. 28 GDPR (DPA di Supabase). Poiché Supabase Inc. è una società statunitense, un eventuale accesso dagli USA avviene sulla base di clausole contrattuali standard (art. 46 GDPR).
  • Hostinger UAB (Jolantos g. 3, Vilnius, Lituania, UE): hosting del backend/dell'API su un VPS dedicato. Ubicazione del server: data center a Francoforte sul Meno, Germania. Base giuridica: art. 6, par. 1, lett. f) GDPR. È in essere un accordo sul trattamento dei dati ai sensi dell'art. 28 GDPR (DPA).
  • Resend (Plus Five Five, Inc., USA): invio delle nostre e-mail; la consegna avviene tramite server nell'UE (Irlanda). Vengono trattati indirizzo e-mail, nome, lingua, contenuto dell'e-mail e stato di consegna (ad es. consegnata, non recapitabile, segnalata come spam). Da noi vengono conservati tipo, data e ora e stato di ogni e-mail inviata; se un indirizzo risulta permanentemente non recapitabile o un'e-mail viene segnalata come spam, non inviamo più e-mail a quell'indirizzo, nemmeno quelle relative all'account. Base giuridica: per le e-mail relative all'account art. 6, par. 1, lett. b) GDPR, per i suggerimenti sull'utilizzo di WattRun art. 6, par. 1, lett. f) GDPR (legittimo interesse a un utilizzo proficuo del servizio), per la newsletter il tuo consenso (art. 6, par. 1, lett. a) GDPR). Inviamo la newsletter solo dopo che hai confermato la tua iscrizione tramite il link contenuto in un'e-mail di conferma (double opt-in); conserviamo come prova la data e l'ora del tuo consenso e della tua conferma. Puoi annullare in qualsiasi momento l'iscrizione ai suggerimenti e alla newsletter nelle impostazioni o tramite il link presente in ogni e-mail. È in essere un accordo sul trattamento dei dati ai sensi dell'art. 28 GDPR (DPA di Resend). Resend tratta i dati anche negli USA; il trasferimento avviene sulla base di clausole contrattuali standard (art. 46 GDPR).
  • Misurazione del traffico in self-hosting (Umami): funziona su un nostro server (umami.wattrun.app, anch'esso ospitato presso Hostinger) — nessun trasferimento verso paesi terzi. Viene caricata esclusivamente dopo il tuo consenso nel banner dei cookie (art. 6, par. 1, lett. a) GDPR in combinato disposto con § 25 Abs. 1 TDDDG). Vengono trattati pagine visualizzate, durata della visita, informazioni su browser/sistema operativo e un hash di IP+user agent che cambia ogni giorno. Non vengono impostati cookie.

Servizi collegati (solo su tua richiesta):

  • intervals.icu (Intervals.icu Ltd, 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, Regno Unito): solo se configuri tu stesso il collegamento in «Sincronizza i dati di allenamento», WattRun recupera le tue attività tramite l'interfaccia di intervals.icu – i file FIT originali e informazioni come sport, data, durata, distanza, nome del dispositivo e fonte dei dati (ad es. Garmin). Al momento del collegamento vengono importati gli ultimi 90 giorni; successivamente intervals.icu segnala in automatico le nuove attività. A tal fine memorizziamo una chiave di accesso con sola lettura delle attività e il tuo ID atleta di intervals.icu. A intervals.icu trasmettiamo solo questa chiave, per recuperare i dati o scollegare il servizio – nessun dato di allenamento da WattRun. intervals.icu non è un responsabile del trattamento di WattRun, ma un servizio autonomo da te scelto; per il trattamento presso di esso si applica l'informativa sulla privacy di intervals.icu. Base giuridica: art. 6, par. 1, lett. b) GDPR (funzione da te richiesta) ovvero – per i dati relativi alla salute – art. 9, par. 2, lett. a) GDPR (consenso esplicito). Puoi scollegare il servizio in qualsiasi momento; in tal caso revochiamo l'accesso presso intervals.icu e cancelliamo la chiave. Le sessioni già importate restano nel tuo account finché non cancelli le sessioni stesse o il tuo account.
  • Wahoo (Wahoo Fitness, LLC, 90 West Wieuca Rd NE #110, Atlanta, Georgia 30342, USA): solo se configuri tu stesso il collegamento, WattRun recupera i tuoi allenamenti tramite l'interfaccia di Wahoo – i file FIT e il riepilogo dell'allenamento (ad es. data, durata, distanza). Wahoo segnala in automatico i nuovi allenamenti. Al momento del collegamento leggiamo inoltre una sola volta il tuo profilo Wahoo (nome, indirizzo e-mail) per mostrarti l'account collegato; questi dati non vengono memorizzati. Vengono memorizzati le chiavi di accesso e di rinnovo, la loro scadenza, le autorizzazioni concesse e il tuo ID utente Wahoo. A Wahoo trasmettiamo solo queste chiavi, per recuperare i dati o scollegare il servizio – nessun dato di allenamento da WattRun. Wahoo non è un responsabile del trattamento di WattRun, ma un servizio autonomo da te scelto; per il trattamento presso di esso si applica l'informativa sulla privacy di Wahoo. Base giuridica: art. 6, par. 1, lett. b) GDPR (funzione da te richiesta) ovvero – per i dati relativi alla salute – art. 9, par. 2, lett. a) GDPR (consenso esplicito). Quando scolleghi il servizio e quando cancelli il tuo account revochiamo l'accesso presso Wahoo e cancelliamo le chiavi. Le sessioni già importate restano nel tuo account finché non cancelli le sessioni stesse o il tuo account.

5. I tuoi diritti

  • Accesso ai dati memorizzati (art. 15)
  • Rettifica dei dati inesatti (art. 16)
  • Cancellazione dei tuoi dati (art. 17)
  • Limitazione del trattamento (art. 18)
  • Portabilità dei dati (art. 20) — puoi scaricare tu stesso l'esportazione dei tuoi dati nelle impostazioni, alla voce «I tuoi dati»: come file ZIP con JSON, una tabella CSV delle tue sessioni e i file FIT originali.
  • Opposizione al trattamento (art. 21)
  • Revoca di un consenso in qualsiasi momento, senza dover fornire motivazioni

Per esercitare i tuoi diritti scrivi a hallo@wattrun.de.

6. Cookie e tecnologie simili

L'app imposta cookie tecnicamente necessari e token di sessione per l'autenticazione tramite Supabase. Sono necessari per il funzionamento e non possono essere disattivati senza perdere l'accesso.

Nel localStorage del tuo browser vengono inoltre memorizzate: le tue impostazioni dell'interfaccia (ad es. tema, modalità sport) e la tua scelta sul consenso alla misurazione del traffico (wattrun-consent-v1). Questa memorizzazione è consentita senza consenso ai sensi del § 25 Abs. 2 Nr. 2 TDDDG (per fornire il servizio da te espressamente richiesto ovvero per rispettare la tua scelta).

La misurazione del traffico con Umami viene attivata solo dopo il tuo consenso esplicito nel banner dei cookie. Puoi revocare il consenso in qualsiasi momento cancellando, nel tuo browser e per questo dominio, la voce wattrun-consent-v1 (DevTools del browser → Application → Local Storage).

7. Periodo di conservazione

I dati del tuo account e di allenamento vengono conservati finché il tuo account è attivo. In caso di cancellazione dell'account, tutti i dati vengono rimossi dai sistemi attivi entro 30 giorni; eventuali residui nei backup vengono sovrascritti secondo la rotazione standard dei backup (max. ulteriori 30 giorni). Log del server: max. 7 giorni. Log dell'API di AI: max. 30 giorni (anonimizzati).

8. Diritto di reclamo

Hai il diritto di proporre reclamo a un'autorità di controllo per la protezione dei dati. È competente l'autorità del tuo Land federale; per il titolare del trattamento, la Landesbeauftragte für Datenschutz und Informationsfreiheit Brandenburg (Garante per la protezione dei dati e la libertà di informazione del Land Brandeburgo). Puoi rivolgerti anche all'autorità di controllo del luogo in cui risiedi abitualmente, ad esempio il Garante per la protezione dei dati personali (www.garanteprivacy.it).

Ultimo aggiornamento: ottobre 2026