Informativa sulla privacy — MyG

Versione 1.3 — Data ultimo aggiornamento: 7 ottobre 2026

1. Introduzione

MyG è un'applicazione mobile e web pensata per personal trainer (i coach) e clienti per gestire programmi di allenamento e piani alimentari, registrare sessioni e tenere traccia dei progressi.

Questa informativa descrive come raccogliamo, usiamo, conserviamo e proteggiamo i tuoi dati personali quando usi MyG. È redatta in conformità al Regolamento (UE) 2016/679 (GDPR).

Cosa cambia con la versione 1.2. Da quando abbiamo scritto la 1.1, MyG ha imparato tre cose che qui dentro non erano ancora raccontate: la lettura AI delle foto di schede e diete, le foto (i progressi del cliente, la faccia del coach) e i pagamenti dei coach. Le trovi nelle sezioni 3, 4, 5 e 6. Abbiamo anche elencato per nome tutti i fornitori che usiamo oggi.

2. Titolare del trattamento

Il Titolare del trattamento dei tuoi dati personali è:

• Ragione sociale: Alessandro Boasso, persona fisica (ditta individuale) iscritta al Registro delle imprese albanese (QKB), nome commerciale «createme»
• Indirizzo: Rruga Qemal Stafa, Tirana, Albania
• Partita IVA / NUIS: M52130021M
• Email: mygdev.98@gmail.com

Per qualsiasi domanda relativa a questa informativa o per esercitare i tuoi diritti (vedi sezione 8), puoi scrivere all'email indicata sopra.

Trasparenza sull'extra-UE. Il titolare risiede in Albania, paese terzo rispetto all'Unione Europea. I tuoi dati sono comunque conservati su server all'interno dell'UE (vedi sezione 6). L'accesso ai dati da parte del titolare avviene secondo le garanzie GDPR descritte in questa informativa.

3. Dati personali che raccogliamo

Raccogliamo solo i dati necessari al funzionamento dell'app. Di seguito l'elenco completo di cosa raccogliamo oggi.

3.1 Dati di registrazione (account)

• Email — usata per autenticazione e comunicazioni di servizio.
• Password — conservata in forma cifrata (hash), mai in chiaro. Non possiamo leggere la tua password.

3.2 Dati del profilo

• Nome visualizzato (display name).
• Ruolo nell'app (cliente o personal trainer).
• Data di nascita (opzionale, usata per personalizzare i programmi).
• Sesso (opzionale).
• Altezza in cm (opzionale).
• Peso in kg (opzionale).
• Foto profilo — se sei un coach puoi caricarla dalla dashboard (vedi 3.5).
• Solo se sei un coach: il nome della tua attività e una breve presentazione, che scrivi tu e che servono a farti riconoscere dai tuoi clienti.

3.3 Dati del questionario iniziale (solo clienti)

Al primo accesso, ti chiediamo di compilare un breve questionario per personalizzare il tuo programma di allenamento. Raccogliamo:

• Obiettivo (es. dimagrimento, ipertrofia, forza).
• Livello di esperienza (principiante, intermedio, avanzato).
• Attrezzatura disponibile (es. casa, palestra completa).
• Eventuali infortuni o limitazioni fisiche ⚠️
• Note libere.

⚠️ Categorie particolari di dati (Art. 9 GDPR). Le informazioni su infortuni e limitazioni fisiche rientrano tra i dati relativi alla salute. Le trattiamo solo con il tuo consenso esplicito, prestato al momento della compilazione del questionario, e esclusivamente per personalizzare il programma di allenamento. Puoi revocare il consenso in qualunque momento (vedi sezione 8).

3.4 Dati di utilizzo dell'app

Quando alleni, registriamo:

• Sessioni di allenamento (data, ora di inizio e fine, durata, status, note).
• Set log: ripetizioni completate, peso usato, RPE percepito, recupero effettivo.
• Blocchi cardio: minuti, distanza, livello o velocità, come li registri tu.
• Streak (giorni consecutivi di allenamento) e cronologia.
• Eventi XP (punti esperienza guadagnati per la gamification).
• Badge sbloccati.
• Codici di invito (se sei un cliente, viene registrato il PT che ti ha invitato; se sei un PT, vengono registrati i codici emessi).
• Piano alimentare, se il tuo coach te ne assegna uno o se lo importi tu: pasti, alimenti e quantità, orari, obiettivo d'acqua, e le spunte dei pasti che segni giorno per giorno.
• Lista d'attesa — se entri senza il codice di un coach e tocchi «Avvisami», teniamo la tua email per scriverti quando apriremo la ricerca del PT dentro l'app.

3.5 Foto

Foto dei progressi (cliente). Le scatti o le scegli tu dall'app. Insieme alla foto conserviamo la data, la posa (frontale, laterale, schiena) e, se li scrivi, il peso e una nota. Stanno in un archivio privato (Supabase Storage, server in UE): le vedi tu e le vede il tuo personal trainer, nessun altro. Ogni volta che si aprono, l'app genera un link temporaneo che scade dopo un'ora.

Foto profilo del coach. Se sei un coach puoi caricare la tua foto: serve ai tuoi clienti per riconoscerti. Sta in un archivio pubblico: chiunque conosca l'indirizzo esatto del file può aprirlo, anche senza un account MyG. Caricala sapendolo. Puoi sostituirla quando vuoi: la vecchia viene cancellata.

Foto di schede e diete. Sono quelle dell'import AI: passano e basta, non le conserviamo. Come funziona è scritto qui sotto.

3.6 Lettura AI delle foto di schede e diete (import)

Nell'app puoi fotografare una scheda di allenamento o una dieta (fino a 4 foto) e MyG te la trascrive dentro l'app, pronta da usare. Ecco cosa succede davvero:

• Le foto vengono inviate ad Anthropic e lette dal modello Claude, attraverso la sua API. È il modello che le legge: senza quel passaggio l'import non esiste.
• MyG non conserva le foto. Non finiscono in nessun archivio nostro e non restano nel database: viaggiano, vengono lette, e finiscono lì. Sul telefono restano solo quelle che hai già nella tua galleria.
• Quello che resta è il risultato: la scheda o la dieta trascritta (esercizi, serie, ripetizioni, recuperi, note, pasti, alimenti), salvata nel tuo account come qualunque altra scheda.
• Del passaggio teniamo un appunto tecnico nei log del server: chi ha fatto la richiesta, quante foto, quanto ci ha messo, se è andata a buon fine. Nessun pezzo del contenuto delle foto.
• Se nella foto ci sono informazioni di salute (per esempio una nota su un infortunio scritta dal tuo coach), passano anche loro dal modello. È il motivo per cui l'import lo avvii tu, quando lo scegli tu: fotografa solo quello che vuoi far leggere.

Anthropic tratta queste immagini come fornitore per nostro conto, non le usa per addestrare i suoi modelli e le conserva solo per il tempo tecnico previsto dai suoi termini per le API. I suoi server sono negli Stati Uniti (vedi sezione 6).

3.7 Dati di pagamento (solo coach)

I clienti non pagano nulla. Se sei un coach e passi a un piano a pagamento, paghi con carta su una pagina di POK Payments, il nostro incassatore.

I dati della tua carta non passano mai da MyG: non li vediamo, non li riceviamo, non li conserviamo. Li tratta POK.

Di ogni pagamento MyG tiene soltanto: l'identificativo dell'ordine, l'importo, la valuta, l'esito (creato, pagato, fallito, scaduto), la data e la risposta tecnica che POK ci manda a pagamento avvenuto. Serve a sapere se il tuo piano è attivo e a emettere la fattura.

3.8 Dati tecnici per il funzionamento e la stabilità dell'app

• Dati di sessione locali salvati sul tuo dispositivo (token di autenticazione, cache dei programmi). Sul telefono usiamo lo storage sicuro nativo (Keychain iOS); sul web una sessione cookie HTTP-only.
• Indirizzo IP raccolto in modo transitorio dai nostri fornitori (autenticazione, hosting, aggiornamenti dell'app) per ragioni di sicurezza e di funzionamento.
• Crash report — quando l'app va in errore raccogliamo automaticamente le informazioni tecniche che servono a correggerlo: tipo di dispositivo, versione del sistema operativo, stack trace. Lo strumento è Sentry, con i dati su server europei (Germania). L'invio automatico dei dati personali è disattivato: a Sentry non mandiamo né la tua email né il tuo indirizzo IP.
• Registro delle email mandate — per non scriverti due volte la stessa cosa, teniamo nota di quali email di servizio ti abbiamo mandato e quando.

3.9 Il sito trymyg.com: visite e cookie

Questa parte riguarda solo chi visita il sito trymyg.com, non l'app né la dashboard del coach.

• Contatore delle visite (senza cookie). Contiamo le pagine viste e i clic sui pulsanti principali (per esempio «Provala gratis» o la prenotazione della call), insieme a provenienza della visita, paese e tipo di dispositivo. Lo strumento è Vercel Web Analytics: non usa cookie, non salva il tuo indirizzo IP e non ci permette di riconoscerti; vediamo solo numeri aggregati. Serve a capire se il sito funziona.
• Pixel di Meta (solo se accetti). Quando arrivi sul sito ti chiediamo se accetti i cookie di Meta. Finché non premi «Accetta», il pixel non si carica. Se acconsenti, il pixel dice a Meta che hai visitato il sito e se hai cliccato «Provala gratis» o la prenotazione della call. Ci serve per capire se i nostri annunci su Facebook e Instagram portano qui le persone giuste e per mostrarli a persone simili. Meta riceve anche l'indirizzo IP, i dati del browser e un identificativo salvato in un cookie (_fbp, dura 90 giorni); se sei collegato a Facebook o Instagram, Meta può associare la visita al tuo account secondo la sua informativa.
• La tua scelta. La ricordiamo nel tuo browser per 6 mesi (un dato tecnico, myg-cookie, che non va a nessuno). Puoi cambiarla quando vuoi dal link «Cookie» in fondo a trymyg.com: se togli il consenso, il pixel si spegne e cancelliamo il suo cookie dal nostro sito.

Cosa non raccogliamo (oggi)

Per trasparenza, dichiariamo esplicitamente cosa MyG non raccoglie nella versione attuale:

• ❌ Nessuna analitica dentro l'app e nella dashboard (no PostHog, Mixpanel, Google Analytics, Firebase Analytics, ecc.). Sul sito trymyg.com contiamo le visite senza cookie (vedi 3.9).
• ❌ Nessun cookie di tracciamento nell'app e nella dashboard. Sul sito trymyg.com il pixel di Meta parte solo se acconsenti (vedi 3.9).
• ❌ Nessun dato di geolocalizzazione.
• ❌ Nessun dato sanitario importato da Apple Health, Google Fit o altri.
• ❌ Nessun dato della tua carta di pagamento (li tratta POK, vedi 3.7).
• ❌ Nessuna registrazione audio o video fatta da te (l'app mostra i video dimostrativi degli esercizi, non ne registra).
• ❌ Nessun token di notifica push: MyG non manda notifiche push.
• ❌ Nessuna integrazione con social network dentro l'app e nessun accesso con account social.

4. Finalità del trattamento e basi giuridiche

Non usiamo i dati dell'app per finalità di marketing diretto, profilazione o cessione a terzi. L'unico strumento pubblicitario è il pixel di Meta sul sito trymyg.com, e parte solo col tuo consenso (vedi 3.9).

5. Destinatari dei dati

I tuoi dati sono accessibili soltanto ai seguenti soggetti:

5.1 Il titolare del trattamento

Alessandro Boasso accede ai dati per gestire l'app, fornire supporto e risolvere bug.

Strumenti interni di notifica. Quando un coach si iscrive, scrive la prima scheda, collega un cliente, ha un cliente che chiude il primo allenamento o paga, il titolare riceve un avviso su Telegram, in una chat privata: una riga con che cosa è successo, il nome del coach, il nome della sua attività, il suo piano e — per i pagamenti — l'importo. Una volta al giorno arriva un riassunto con i nomi dei coach che si sono fermati, e a fine giornata i conteggi della giornata. Il titolare può anche chiedere allo stesso bot dei conteggi complessivi (quanti coach, quanti clienti collegati, quanti allenamenti chiusi, quanti pagamenti) e la scheda di un coach: piano, passo raggiunto, quanti clienti, quanti allenamenti hanno chiuso i suoi clienti.

Su Telegram non viaggia nessun indirizzo email, né del coach né di nessun altro, e i clienti non vengono mai nominati: il messaggio dice «ha collegato un cliente», non chi. Non ci viaggiano nemmeno i dati del questionario, i singoli allenamenti (viaggia solo il conto di quanti ne sono stati chiusi, mai di chi), le foto o i dati di pagamento oltre all'importo. Chi è di preciso un coach, il titolare lo vede dentro MyG, dietro al suo login.

5.2 Il tuo personal trainer (se sei un cliente)

Se hai usato un codice invito di un PT, il tuo PT può vedere i dati che servono a seguirti: profilo, dati del questionario (compresi infortuni), sessioni svolte, set log, streak, badge, foto dei progressi, piano alimentare e spunte dei pasti. Non può vedere la tua password.

Se sei un personal trainer, i tuoi clienti non possono vedere i tuoi dati personali al di là del tuo nome visualizzato, della tua presentazione e della tua foto.

5.3 Fornitori di servizi (responsabili del trattamento)

Usiamo i seguenti servizi terzi, ognuno con il proprio ruolo limitato:

Questi fornitori agiscono come responsabili del trattamento sulla base dei rispettivi accordi di trattamento dati (DPA). Non vendiamo e non cediamo i tuoi dati a nessun altro.

Meta Platforms Ireland Ltd (facebook.com/privacy) — solo se acconsenti al pixel sul sito trymyg.com. Per la raccolta e l'invio dei dati del pixel MyG e Meta sono contitolari del trattamento (secondo l'accordo di contitolarità di Meta per gli strumenti business); quello che Meta fa dopo con i dati lo decide Meta come titolare autonomo, secondo la sua informativa.

6. Trasferimenti di dati extra-UE

I tuoi dati a riposo sono conservati all'interno dell'Unione Europea: il database, gli account e le foto stanno su server AWS in Irlanda (Supabase), il sito e la dashboard girano a Dublino (Vercel), i crash report in Germania (Sentry).

Fuori dall'UE vanno solo questi passaggi, e solo per quello che servono:

• Le foto dell'import AI → Anthropic, Stati Uniti, per il tempo della lettura.
• Le email di servizio → Resend, Stati Uniti: il tuo indirizzo e il testo del messaggio.
• Gli aggiornamenti dell'app → Expo / EAS, Stati Uniti: versione, dispositivo, indirizzo IP.
• Gli avvisi interni al titolare → Telegram, fuori dall'UE: il nome, l'attività e il piano di un coach, l'importo di un pagamento, dei conteggi complessivi. Nessuna email, nessun cliente.
• I pagamenti dei coach → POK, Albania, paese terzo.
• Il pixel di Meta, solo se acconsenti sul sito → Meta può trasferire i dati negli Stati Uniti; Meta Platforms Inc. aderisce al EU-U.S. Data Privacy Framework.
• La distribuzione dell'app → Apple, Stati Uniti. Apple Inc. aderisce al EU-U.S. Data Privacy Framework, riconosciuto dalla Commissione europea come livello di protezione adeguato.

Per i fornitori statunitensi il trasferimento avviene sulla base dei loro accordi di trattamento dati, che includono le clausole contrattuali standard della Commissione europea, o dell'adesione al Data Privacy Framework dove prevista.

Il titolare accede ai dati dall'Albania, paese terzo. L'accesso transfrontaliero ai dati per finalità tecniche e di supporto avviene nei limiti delle finalità descritte in questa informativa.

7. Conservazione dei dati

Quando chiudi il tuo account, i dati vengono cancellati salvo eventuali obblighi di conservazione di legge (es. i documenti contabili dei pagamenti, i log di sicurezza dei 30 giorni precedenti).

8. I tuoi diritti

In qualunque momento puoi esercitare i seguenti diritti previsti dal GDPR (Art. 15-22):

• Accesso — chiedere quali dati abbiamo su di te e ottenerne una copia.
• Rettifica — correggere dati inesatti o incompleti.
• Cancellazione ("diritto all'oblio") — chiedere la rimozione dei tuoi dati.
• Limitazione del trattamento — chiedere di sospendere temporaneamente l'uso dei tuoi dati.
• Portabilità — ricevere i tuoi dati in un formato strutturato e leggibile (es. JSON).
• Opposizione — opporti al trattamento basato su legittimo interesse, comprese le email di richiamo ai coach.
• Revoca del consenso — revocare in qualunque momento il consenso prestato al trattamento dei dati su salute (questionario infortuni) e quello al pixel di Meta sul sito (link «Cookie» in fondo a trymyg.com). La revoca non pregiudica la liceità del trattamento svolto prima della revoca.
• Reclamo all'autorità — proporre reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it) o all'autorità di controllo del tuo paese di residenza UE.

La cancellazione puoi farla da solo. Nell'app: Impostazioni → Elimina account. Scrivi la parola di conferma e spariscono account, allenamenti, dati del questionario e foto. È definitiva: non si torna indietro.

Se usi solo la dashboard web da coach, oggi quel pulsante non c'è: scrivici e cancelliamo noi entro 30 giorni.

Per esercitare gli altri diritti scrivi a mygdev.98@gmail.com. Risponderemo entro 30 giorni dalla ricezione della richiesta, come previsto dal GDPR.

9. Sicurezza dei dati

Adottiamo le seguenti misure tecniche e organizzative per proteggere i tuoi dati:

• Cifratura in transito (HTTPS/TLS) tra app e server.
• Cifratura a riposo sui database Supabase (gestita dal fornitore).
• Password hashate — non sono mai conservate in chiaro.
• Row Level Security (RLS) sul database: ogni utente accede esclusivamente ai propri dati, e il PT solo a quelli dei propri clienti.
• Foto dei progressi in un archivio privato: nessun indirizzo pubblico, solo link firmati che scadono dopo un'ora, leggibili da te e dal tuo PT.
• Foto profilo del coach in un archivio pubblico: è una scelta, non una svista — serve a farla vedere ai clienti. Chi ha l'indirizzo esatto del file può aprirla.
• Accesso limitato ai sistemi di produzione — solo il titolare ha accesso amministrativo.
• Chiavi dei fornitori (AI, email, pagamenti, avvisi) solo nelle variabili d'ambiente dei server, mai nel codice dell'app.
• Storage sicuro sul dispositivo — i token di sessione mobile sono salvati nel Keychain iOS; sul web in cookie HTTP-only e Secure.

Nessun sistema è perfettamente sicuro al 100%. In caso di violazione di dati personali che possa comportare un rischio elevato per i tuoi diritti, ti notificheremo entro 72 ore, come previsto dal GDPR (Art. 33-34).

10. Minori

MyG non è destinato a minori di 16 anni. Non raccogliamo consapevolmente dati di minori di 16 anni. Se sei un genitore o tutore e ritieni che il tuo figlio/figlia abbia fornito dati personali a MyG, scrivi a mygdev.98@gmail.com e provvederemo alla cancellazione.

11. Modifiche a questa informativa

Possiamo aggiornare questa informativa quando aggiungiamo nuove funzionalità, cambiamo i fornitori di servizi o per adeguamenti normativi. La versione corrente è sempre consultabile su trymyg.com/privacy.

In caso di modifiche rilevanti (es. nuove categorie di dati raccolti, nuovi fornitori, cambio di finalità) ti notificheremo via email o tramite avviso in-app almeno 15 giorni prima dell'entrata in vigore delle modifiche.

12. Contatti

• Titolare del trattamento: Alessandro Boasso — «createme», NUIS M52130021M
• Indirizzo: Rruga Qemal Stafa, Tirana, Albania
• Email: mygdev.98@gmail.com

Per qualunque domanda, richiesta o esercizio dei diritti GDPR, scrivici all'indirizzo email sopra. Risponderemo nel più breve tempo possibile e comunque entro 30 giorni.

Versione 1.3 — 7 ottobre 2026 — MyG.