Informativa sulla privacy

Ultimo aggiornamento: 2026-08-27

La presente Informativa sulla privacy spiega quali dati personali Arrowdex tratta, per quali finalità, con chi vengono condivisi e come esercitare i Suoi diritti ai sensi del Regolamento generale sulla protezione dei dati dell'UE (GDPR) e della legge federale tedesca sulla protezione dei dati (BDSG).

La presente informativa si applica all'app mobile Arrowdex (Android, iOS) e al backend Arrowdex raggiungibile all'indirizzo https://api.arrowlab.pott.dev.

1. Titolare del trattamento

Titolare ai sensi dell'art. 4, n. 7 del GDPR e del § 18, comma 2 MStV:

Johannes Ptaszyk
Gladbecker Str. 291
46240 Bottrop, Germania
E-mail: contact@pott.dev

Non è previsto per legge un responsabile della protezione dei dati: il titolare si colloca al di sotto della soglia del § 38, comma 1 BDSG. Per qualsiasi questione in materia di protezione dei dati La preghiamo di scrivere all'indirizzo sopra indicato.

2. Quali dati trattiamo

Non trattiamo categorie particolari di dati personali (art. 9 del GDPR: salute, dati biometrici, religione, opinioni politiche).

È obbligato a fornire questi dati? I dati dell'account e i dati di allenamento che inserisce ci occorrono per l'esecuzione del contratto: senza di essi non possiamo fornire né un account né la sincronizzazione. Non sussiste un obbligo di legge di fornirli, ma senza account il Servizio non è utilizzabile. Tutto ciò che nella sezione 3 è indicato come basato sul consenso — statistiche, logging esteso, meteo, notifiche, condivisione con società e allenatori — è del tutto facoltativo e il rifiuto non comporta altra conseguenza che il mancato funzionamento di quella funzione.

Processo decisionale automatizzato. Non utilizziamo processi decisionali automatizzati che producano effetti giuridici nei Suoi confronti o che incidano in modo analogamente significativo (art. 22 del GDPR), né effettuiamo profilazione. Le statistiche mostrate dall'app sono calcolate a partire dalle Sue registrazioni e non hanno alcun effetto giuridico.

3. Perché li trattiamo: finalità e basi giuridiche

4. Responsabili del trattamento e destinatari

4.1 Responsabili del trattamento (art. 28 del GDPR)

Questi fornitori trattano i dati esclusivamente su nostra istruzione. Con ciascuno di essi è in essere un accordo di trattamento dei dati.

4.2 Titolari autonomi

I soggetti seguenti non sono nostri responsabili del trattamento. Determinano autonomamente finalità e mezzi, rispondono di tale trattamento in proprio e ad esso si applicano le loro informative sulla privacy. Non abbiamo alcun controllo su di esso e non possiamo evadere per loro conto le richieste degli interessati.

4.3 Nessuna trasmissione di dati personali

La richiesta meteo a MET Norway non costituisce né un rapporto di responsabilità del trattamento ai sensi dell'art. 28 del GDPR né una trasmissione di dati personali: non viene trasmesso alcun identificativo personale, soltanto una coppia di coordinate opaca a 4 decimali e uno user agent generico. MET Norway non può ricondurre la richiesta al Suo account o dispositivo.

5. Trasferimenti verso paesi terzi

Alcuni responsabili hanno sede al di fuori dello Spazio economico europeo:

• Svizzera (Zitadel Cloud): la Commissione europea ha riconosciuto che la Svizzera garantisce un livello adeguato di protezione dei dati (art. 45 del GDPR).
• Stati Uniti (RevenueCat, Apple, Google): i trasferimenti si fondano sul quadro UE-USA per la protezione dei dati (decisione di adeguatezza del 10/07/2023, art. 45 del GDPR) laddove il destinatario sia certificato, oppure, in via subordinata, sulle clausole contrattuali tipo ai sensi dell'art. 46, par. 2, lett. c del GDPR.
• Grafana Labs è una società di diritto statunitense, ma l'infrastruttura che utilizziamo è ospitata nell'UE (Francoforte) e i dati vi rimangono. Per eventuali accessi da parte della casa madre valgono le medesime garanzie sopra indicate.

Può richiedere copia delle clausole contrattuali tipo scrivendo all'indirizzo del titolare indicato nella sezione 1.

6. Per quanto tempo conserviamo i dati

7. I Suoi diritti

Ai sensi degli artt. 15-22 del GDPR Le spettano i seguenti diritti. Per esercitarli scriva a contact@pott.dev oppure utilizzi i percorsi indicati nell'app. Rispondiamo entro un mese (art. 12, par. 3 del GDPR).

• Diritto di accesso (art. 15): richiedere copia dei Suoi dati. Nell'app: Profilo → Esporta dati dell'account.
• Diritto di rettifica (art. 16): correggere dati inesatti. Nell'app: Profilo → Modifica nome visualizzato; per gli altri campi ci scriva.
• Diritto alla cancellazione (art. 17): nell'app, Profilo → Elimina account (conferma digitando l'indirizzo e-mail).
• Diritto di limitazione (art. 18): limitare il trattamento in pendenza di una controversia.
• Diritto alla portabilità (art. 20): ricevere i Suoi dati in formato leggibile da dispositivo automatico (JSON). Nell'app: Profilo → Esporta.
• Diritto di opposizione (art. 21): opporsi ai trattamenti fondati sul legittimo interesse. Nell'app: revocare il consenso da Profilo → Impostazioni privacy, oppure scriverci.
• Diritto di revocare il consenso (art. 7, par. 3): per qualsiasi trattamento fondato sul consenso. Nell'app: Profilo → Impostazioni privacy. La revoca non pregiudica la liceità del trattamento precedente.
• Diritto di proporre reclamo a un'autorità di controllo (art. 77): l'autorità competente per il titolare è:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2–4
40213 Düsseldorf, Germania
poststelle@ldi.nrw.de

Il Suo diritto di opposizione — da leggere

Ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla Sua situazione particolare, al trattamento dei Suoi dati personali fondato sull'art. 6, par. 1, lett. f del GDPR (legittimo interesse). Ciò riguarda il rilevamento di arresti anomali ed errori, la telemetria del backend e i nostri log di sicurezza e di accesso.
In caso di opposizione cesseremo di trattare i Suoi dati per tali finalità, salvo che possiamo dimostrare motivi legittimi cogenti prevalenti sui Suoi interessi, diritti e libertà, oppure che il trattamento serva all'accertamento, all'esercizio o alla difesa di un diritto in sede giudiziaria.
L'opposizione non è soggetta a forma ed è gratuita. La indirizzi a contact@pott.dev.

8. Gestione del consenso e archiviazione sul dispositivo

L'app mostra una finestra di consenso al primo avvio e dopo ogni modifica sostanziale della presente informativa. Può riaprirla in qualsiasi momento da Profilo → Impostazioni privacy.

Ove un servizio archivi informazioni sul Suo dispositivo o acceda a informazioni ivi già archiviate, ciò richiede il Suo consenso ai sensi del § 25, comma 1 TDDDG, salvo che l'archiviazione o l'accesso siano strettamente necessari per fornire il servizio da Lei espressamente richiesto (§ 25, comma 2, n. 2 TDDDG). Ci avvaliamo di tale eccezione solo per le categorie indicate di seguito come necessarie. Il consenso prestato ai sensi del § 25 TDDDG vale al contempo come consenso ai sensi dell'art. 6, par. 1, lett. a del GDPR per il successivo trattamento di tali dati.

I servizi sono raggruppati in tre categorie:

• Necessari: strettamente necessari all'app stessa — l'archiviazione locale della Sua sessione di accesso e dei Suoi dati di allenamento sul dispositivo e l'acquisizione di base degli arresti anomali, senza la quale non possiamo mantenere l'app utilizzabile. La registrazione alla messaggistica push avviene solo dopo che Lei ha concesso l'autorizzazione alle notifiche a livello di sistema operativo; in mancanza, l'app funziona senza di essa.
• Statistiche: statistiche d'uso anonime. Predefinito: disattivate.
• Funzionali: logging degli errori esteso con contesto diagnostico aggiuntivo. Predefinito: disattivato.

L'elenco aggiornato dei servizi per ciascuna categoria è mostrato nella finestra stessa. Ogni interruttore ha effetto immediato e revocare il consenso è semplice quanto prestarlo: la stessa schermata, un tocco.

9. Notifiche push

Se concede l'autorizzazione alle notifiche a livello di sistema operativo, inviamo notifiche transazionali tramite Firebase Cloud Messaging (Android) e Apple Push Notification service (iOS). Ad esempio:

• Promemoria di allenamento programmati che ha attivato
• Eventi di sincronizzazione quando le modifiche da un altro dispositivo richiedono attenzione

Non utilizziamo le notifiche a fini di marketing. Può revocare l'autorizzazione in qualsiasi momento nelle impostazioni del dispositivo; l'app continua a funzionare anche senza notifiche.

10. Cookie e tracciamento

L'app mobile Arrowdex non utilizza cookie: è un'app nativa, e non La traccia su altre app o siti web. Il § 25 TDDDG non è tuttavia limitato ai cookie: riguarda qualsiasi archiviazione di informazioni sul Suo dispositivo o accesso alle stesse. Gli interruttori SDK descritti nella sezione 8 sono quindi il meccanismo con cui Lei lo controlla; questa schermata si chiama Impostazioni privacy nell'app.

Nemmeno per l'app il backend imposta cookie. Utilizza token bearer emessi da Zitadel nell'intestazione Authorization. Il backoffice /admin, usato solo da noi, imposta un cookie di sessione strettamente necessario per l'accesso.

11. Sicurezza

• TLS 1.3 per ogni connessione tra app e backend e tra backend e ciascun responsabile.
• I token bearer hanno una durata limitata e vengono ruotati a ogni rinnovo.
• I backup del database sono cifrati a riposo con SSE-C (cifratura lato server con chiave fornita dal cliente); la chiave non lascia mai la nostra infrastruttura.
• Non trattiamo password: l'autenticazione è delegata a Zitadel.

12. Minori

La Germania non ha abbassato il limite di età dell'art. 8, par. 1 del GDPR: il consenso a un servizio della società dell'informazione è pertanto valido a partire dai 16 anni. Se ha meno di 16 anni, ogni trattamento da noi fondato sul consenso — statistiche, logging esteso, meteo, notifiche, condivisione con una società o un allenatore — richiede il consenso del titolare della responsabilità genitoriale, e lo stesso contratto richiede il suo assenso (sezione 3 delle nostre Condizioni).

Arrowdex non si rivolge a minori di 13 anni e non ne consentiamo consapevolmente la registrazione. Qualora venisse a conoscenza del fatto che un minore ci ha fornito dati personali senza il consenso richiesto, ci contatti: provvederemo alla cancellazione.

Le funzioni per società e allenatori comportano prevedibilmente anche squadre giovanili. Ove sia coinvolta una persona minorenne, l'autorizzazione di accesso a un allenatore o a una società dovrebbe essere concessa dal titolare della responsabilità genitoriale o con il suo assenso.

13. Condivisione con società e allenatori

Arrowdex consente di collegarsi a una società o a un allenatore. Per impostazione predefinita non viene condiviso nulla: ogni condivisione è un'autorizzazione di accesso creata da Lei, limitata alle categorie di dati che sceglie.

• È Lei a decidere quali categorie un allenatore o una società possono vedere. Le categorie non autorizzate restano invisibili.
• Può revocare un'autorizzazione in qualsiasi momento dall'app. La revoca interrompe ogni accesso successivo; non annulla quanto il destinatario ha legittimamente visto mentre era attiva.
• Le classifiche all'interno di una società mostrano i record personali dei membri che vi partecipano. Uscendo dalla società, Lei ne viene rimosso.
• Allenatori e responsabili di società agiscono come titolari autonomi per quanto annotano sul Suo conto al di fuori di Arrowdex. All'interno di Arrowdex il titolare restiamo noi.
• L'eliminazione dell'account revoca tutte le autorizzazioni da Lei concesse.

14. Modifiche alla presente informativa

Potremo aggiornare la presente informativa con l'evolversi dell'app e dei suoi responsabili. Il numero di versione riportato nella schermata dell'app viene incrementato a ogni modifica sostanziale. In tal caso, l'app riapre la finestra di consenso al successivo avvio affinché possa esaminare la nuova versione prima di proseguire.

Fa fede il numero di versione mostrato in cima alla schermata sulla privacy nell'app; questo documento è stato aggiornato l'ultima volta il 2026-08-27.