Informativa sul trattamento dei dati personali

Premessa

La presente informativa è resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali (di seguito: GDPR) e del Decreto Legislativo 30 giugno 2003, n. 196 (Codice Privacy), come modificato dal Decreto Legislativo 10 agosto 2018, n. 101.

L'informativa descrive le modalità con cui SOUTH PIXEL S.R.L., operante con i marchi commerciali DEZIQ e MATCHBOARD, raccoglie, utilizza e protegge i dati personali degli utenti che interagiscono con il sito istituzionale www.deziq.com, con il presente sito e con i prodotti SaaS erogati dalla medesima società, tra cui la piattaforma MatchBoard (di seguito, collettivamente, i Servizi).

Il trattamento dei dati personali è improntato ai principi di liceità, correttezza e trasparenza, limitazione delle finalità, minimizzazione dei dati, esattezza, limitazione della conservazione, integrità e riservatezza, ai sensi dell'art. 5 GDPR.

1. Identità e dati di contatto del Titolare del trattamento

Il Titolare del trattamento dei dati personali è SOUTH PIXEL S.R.L. (marchi commerciali: DEZIQ, MATCHBOARD), con sede legale in Via Pascoli 13, 76015 Trinitapoli (BT), Italia. Codice Fiscale, Partita IVA e numero di iscrizione al Registro delle Imprese: 09018310723. REA: BT-335706. Amministratore Unico: Quaranta Alessio.

• PEC istituzionale: southpixel@pec.it
• E-mail privacy: privacy@deziq.com (contatto dedicato per richieste ai sensi del GDPR)
• Sito web: https://www.deziq.com/it

Per qualsiasi comunicazione relativa al trattamento dei dati personali, l'interessato può rivolgersi al Titolare attraverso l'indirizzo e-mail privacy o tramite raccomandata A/R all'indirizzo della sede legale.

Nota: SOUTH PIXEL S.R.L. non ha nominato un Responsabile della Protezione dei Dati (DPO) ai sensi dell'art. 37 GDPR, in quanto il trattamento effettuato non rientra nelle fattispecie obbligatorie. Qualora tale obbligo dovesse sorgere, il Titolare provvederà alla nomina e alla pubblicazione dei relativi dati di contatto.

2. Tipologie di dati trattati per categoria di interessato

2.1 Visitatori dei siti

• Dati di navigazione: indirizzo IP, tipo e versione del browser, sistema operativo, pagine visitate, orari di accesso, URL di provenienza. Sono generati automaticamente e conservati temporaneamente nei file di log del server.
• Dati forniti volontariamente: nome, cognome, e-mail, nome dell'azienda e informazioni inserite nei form di contatto, richiesta demo o prenotazione.
• Dati raccolti tramite cookie e tecnologie analoghe: si rinvia all'apposita Cookie Policy.

2.2 Prospect e lead

• Dati anagrafici e professionali: nome, cognome, qualifica, azienda, settore, dimensione aziendale.
• Dati di contatto: e-mail professionale, telefono.
• Dati arricchiti da fonti pubbliche (LinkedIn, siti aziendali, registri camerali), tra cui ruolo, tecnologie adottate, indicatori finanziari pubblici, segnali di intento d'acquisto.
• Dati di scoring: punteggi di rilevanza commerciale generati dai sistemi interni.

Nota: i dati dei prospect possono essere raccolti non direttamente dall'interessato. In tal caso, l'informativa è resa al primo contatto utile (art. 14 GDPR).

2.3 Clienti e utenti finali dei prodotti SaaS

• MATCHBOARD (piattaforma di gestione e visualizzazione sportiva): dati di registrazione degli operatori; preferenze di configurazione; dati inseriti dagli operatori del circolo (squadre, iscritti, partite, contatti delle prenotazioni); per le palestre, le schede di allenamento assegnate agli iscritti e gli allenamenti da loro registrati (esercizi, serie, ripetizioni, carichi, durata) e, per chi collega un orologio, frequenza cardiaca e calorie della seduta; log di accesso. Il trattamento dei dati di allenamento è descritto in dettaglio alla sezione 10.
• VEENDO (e-commerce B2X): dati anagrafici e di contatto; dati su prodotti, catalogo e transazioni; log di accesso.
• IMOOGE (fotografia AI): dati di registrazione; immagini caricate; output generati dall'AI; log di utilizzo.
• QUILL (chatbot RAG su documenti): dati di registrazione; documenti caricati; log conversazionali.
• DEZIQ CRM: dati degli utenti interni al CRM; dati dei prospect gestiti dal cliente (in questo caso SOUTH PIXEL S.R.L. agisce come Responsabile del trattamento ex art. 28 GDPR).

Se scegli di accedere a MatchBoard con Google, riceviamo da Google un identificativo stabile del tuo account, l'indirizzo e-mail verificato e, se disponibile, il nome. Usiamo questi dati per verificare l'accesso, creare o ritrovare il tuo account MatchBoard e mostrare nel profilo il metodo di accesso. Conserviamo identificativo, e-mail e nome con i dati dell'account secondo i termini indicati nella sezione 5; il token di identità viene verificato durante l'accesso e non è salvato come credenziale permanente. Non chiediamo accesso a contatti, file o altri contenuti del tuo account Google e non usiamo questi dati per il marketing senza il tuo consenso.

2.4 Utenti business dei servizi di sviluppo e consulenza

Dati anagrafici e di contatto dei referenti aziendali; dati necessari all'esecuzione dei contratti; dati contenuti nei sistemi o documenti condivisi nell'ambito del servizio.

3. Finalità e basi giuridiche del trattamento

• Gestione delle richieste di contatto e informazioni. Rispondere a richieste via form o e-mail. Base giuridica: esecuzione di misure precontrattuali (art. 6, par. 1, lett. b, GDPR) o consenso (art. 6, par. 1, lett. a, GDPR).
• Erogazione dei Servizi SaaS. Gestione account, accesso alle funzionalità, supporto, fatturazione. Base giuridica: esecuzione del contratto (art. 6, par. 1, lett. b, GDPR).
• Adempimento di obblighi legali. Conservazione contabile e fiscale, risposta ad autorità. Base giuridica: obbligo legale (art. 6, par. 1, lett. c, GDPR).
• Marketing diretto. Invio di comunicazioni commerciali e newsletter. Base giuridica: consenso dell'interessato, revocabile in qualsiasi momento (art. 6, par. 1, lett. a, GDPR).
• Sales intelligence e outbound B2B. Identificazione potenziali clienti, arricchimento profili, scoring, gestione pipeline. Base giuridica: legittimo interesse del Titolare (art. 6, par. 1, lett. f, GDPR), previa valutazione di bilanciamento e fermo restando il diritto di opposizione.
• Analisi statistiche e miglioramento dei Servizi. Analisi aggregate dell'utilizzo. Base giuridica: legittimo interesse del Titolare (art. 6, par. 1, lett. f, GDPR).
• Sicurezza informatica e prevenzione delle frodi. Monitoraggio sistemi, rilevamento accessi non autorizzati. Base giuridica: legittimo interesse del Titolare (art. 6, par. 1, lett. f, GDPR).

4. Modalità del trattamento e misure di sicurezza

I dati sono trattati con strumenti elettronici e cartacei da personale autorizzato o da Responsabili designati, vincolati da obblighi di riservatezza. Le misure di sicurezza includono: cifratura in transito (TLS/HTTPS) e a riposo, controllo degli accessi (least privilege), autenticazione a più fattori (MFA) per gli amministratori, monitoraggio dei log, backup periodici e formazione del personale. In caso di data breach, il Titolare notificherà l'Autorità entro 72 ore e comunicherà l'evento agli interessati ove necessario (artt. 33-34 GDPR).

5. Periodo di conservazione dei dati

• Dati di navigazione e log server: 30 giorni.
• Dati form di contatto (senza contratto): 24 mesi dal primo contatto.
• Dati account SaaS (utente attivo): per tutta la durata del contratto.
• Dati account SaaS (dopo cancellazione): 10 anni dalla chiusura per obblighi legali e contenzioso.
• Dati fiscali e contabili: 10 anni (adempimenti tributari).
• Dati prospect: 24 mesi dall'ultimo aggiornamento del profilo, salvo opposizione.
• Dati campagne marketing: fino alla revoca del consenso, più 12 mesi per documentazione legale.
• Dati contrattuali business: 10 anni dalla conclusione del contratto.

Decorsi i termini, i dati vengono cancellati in modo sicuro o resi anonimi in via irreversibile.

6. Trasferimento dei dati al di fuori dell'Unione Europea

Alcuni fornitori hanno sede fuori dall'UE. I trasferimenti avvengono nel rispetto del Capo V del GDPR, utilizzando Decisioni di Adeguatezza o Clausole Contrattuali Standard (SCC). Principali trasferimenti:

• Amazon Web Services (Stati Uniti): dati utenti, log. Garanzia: SCC e AWS DPA. Dati prevalentemente processati in UE, con limitate operazioni extra-UE.
• OpenAI, L.L.C. (Stati Uniti): contenuti API (nessun addestramento modelli con i dati API). Garanzia: SCC e OpenAI DPA.
• Vercel, Inc. (Stati Uniti): dati navigazione e log. Garanzia: SCC e Vercel DPA.

Copia delle garanzie può essere richiesta a privacy@deziq.com.

7. Responsabili del trattamento (sub-processor)

• Amazon Web Services EMEA S.à r.l. (Lussemburgo/USA): infrastruttura cloud, storage e computing.
• Vercel, Inc. (USA): hosting, CDN e distribuzione.
• OpenAI, L.L.C. (USA): modelli di linguaggio AI per i prodotti che li integrano.
• Stripe, Inc. (USA, se applicabile): elaborazione pagamenti.
• Fornitori e-mail transazionali (es. Resend, SendGrid): invio notifiche.

Nelle ipotesi in cui il cliente (es. il circolo sportivo che utilizza MatchBoard) agisca da Titolare del trattamento dei dati dei propri iscritti e clienti, SOUTH PIXEL S.R.L. assume il ruolo di Responsabile del trattamento. Le condizioni sono disciplinate dal Data Processing Agreement (DPA) allegato ai contratti.

8. Diritti degli interessati

• Accesso (art. 15): ottenere conferma del trattamento e accesso ai dati.
• Rettifica (art. 16): correggere dati inesatti o incompleti.
• Cancellazione o "oblio" (art. 17): cancellare i dati in specifiche ipotesi (es. revoca consenso).
• Limitazione (art. 18): bloccare temporaneamente il trattamento in caso di contestazioni.
• Portabilità (art. 20): ricevere i dati in formato strutturato e trasferirli ad altro Titolare.
• Opposizione (art. 21): opporsi al trattamento basato sul legittimo interesse, compresa la profilazione B2B.
• Revoca del consenso (art. 7): revocabile in ogni momento senza pregiudicare i trattamenti precedenti.
• Reclamo (art. 77): rivolgersi all'Autorità Garante per la Protezione dei Dati Personali (www.garanteprivacy.it).

Modalità di esercizio: le richieste vanno inviate a privacy@deziq.com, via PEC a southpixel@pec.it, o via raccomandata A/R alla sede legale indicando nell'oggetto "Esercizio diritti GDPR". Il riscontro verrà fornito gratuitamente entro un mese (prorogabile a tre mesi per casi complessi).

9. Cancellazione dell'account Matchboard

L'account Matchboard (quello con cui si prenotano i campi da app e da sito) può essere eliminato in autonomia, senza contattare nessuno:

• dall'app: Profilo → Elimina account (la stessa voce è presente su iPhone e su Android);
• dal sito: area riservata della struttura → Il mio profilo → Elimina account;
• in alternativa scrivendo a privacy@deziq.com dall'indirizzo e-mail dell'account.

Con la cancellazione vengono eliminati l'account, le credenziali di accesso e i dati personali collegati (nome, e-mail, telefono), e cade il collegamento con le strutture sportive presso cui si è prenotato. Le prenotazioni future non ancora pagate vengono annullate e la struttura ne è avvisata; le prenotazioni già pagate restano valide, con i soli contatti necessari alla struttura per erogare il servizio già acquistato (art. 6.1.b GDPR). Lo storico delle prenotazioni passate resta alle strutture in forma anonimizzata, per i soli obblighi contabili e fiscali (art. 6.1.c GDPR, conservazione decennale). L'operazione è immediata e irreversibile.

10. Dati di allenamento

Nelle strutture che usano il modulo palestra, l'iscritto può ricevere una scheda di allenamento e registrare dall'app gli allenamenti che svolge: esercizi, serie, ripetizioni, carichi, durata ed eventuali note personali.

Esistono due casi, e cambia chi risponde di quei dati. L'allenamento su scheda nasce da un programma preparato da un istruttore, ed è descritto nei punti 10.1 e 10.2. L'allenamento libero — quello che l'iscritto registra da solo, senza alcuna scheda — non è collegato a nessuna struttura sportiva: nessun istruttore vi ha accesso, e di quei dati è Titolare del trattamento direttamente SOUTH PIXEL S.R.L., che li conserva per il solo scopo di mostrarli all'interessato. Anche a questi si applica integralmente il punto 10.1.

Chi collega un orologio (Apple Watch o Wear OS) può inoltre far registrare all'app la frequenza cardiaca e le calorie attivedella singola seduta. Sono dati relativi alla salute e hanno regole proprie, alla sezione 10.4.

10.1 Cosa non facciamo con questi dati

• Non li usiamo per pubblicità: non concorrono in alcun modo alla scelta, alla personalizzazione o alla misurazione degli annunci mostrati sulla piattaforma, sui tabelloni o nelle pagine dei tornei.
• Non li usiamo per profilazione commerciale, né per costruire segmenti di pubblico.
• Non li vendiamo, non li cediamo e non li comunichiamo a terzi per finalità proprie di quei terzi.
• Non li usiamo per addestrare sistemi di intelligenza artificiale.
• Non li consultiamo per finalità nostre: SOUTH PIXEL S.R.L. vi accede solo su richiesta della struttura, per assistenza tecnica, e per il tempo necessario a risolvere il problema segnalato.

10.2 Cosa facciamo, perché il servizio esista

• Li conserviamo per conto della struttura sportiva presso cui l'iscritto è tesserato: di questi dati è Titolare del trattamento la struttura, mentre SOUTH PIXEL S.R.L. agisce come Responsabile ai sensi dell'art. 28 GDPR.
• Li rendiamo visibili all'iscritto e al personale della sua struttura abilitato alla gestione delle schede (tipicamente l'istruttore che lo segue). Nessun'altra struttura presente sulla piattaforma vi ha accesso.

10.3 Conservazione e cancellazione

Ogni allenamento registrato può essere eliminato dall'iscritto in qualunque momento, dall'app, sulla riga dello storico.

La cancellazione dell'account Matchboard (sezione 9) fa cadere il collegamento fra l'account e gli allenamenti su scheda, ma lo storico resta alla struttura sportiva sulla scheda del proprio iscritto, perché ne è Titolare e le serve per il percorso di allenamento. Per ottenerne la cancellazione l'interessato può rivolgersi direttamente alla struttura, oppure scrivere a privacy@deziq.com: in questo secondo caso inoltriamo la richiesta alla struttura e la eseguiamo su sua istruzione.

Gli allenamenti liberi, non essendo di nessuna struttura, non hanno nessuno a cui restare: con la cancellazione dell'account vengono eliminati insieme ad esso.

10.4 Frequenza cardiaca e calorie (dati relativi alla salute)

Frequenza cardiaca e calorie attive misurate dall'orologio sono dati relativi alla salute ai sensi dell'art. 9 GDPR e appartengono a una categoria particolare, protetta più degli altri dati personali. Per questo valgono regole aggiuntive rispetto al resto di questa sezione.

• Base giuridica: il consenso esplicito dell'interessato (art. 9.2.a GDPR), raccolto nel momento in cui collega l'orologio e autorizza l'accesso ai dati sanitari del dispositivo. Non c'è nessun'altra base: né il contratto né il legittimo interesse reggono un trattamento di questo tipo.
• Il consenso è revocabile in ogni momento, dalle impostazioni del telefono o dell'orologio, senza dover contattare nessuno e senza alcuna conseguenza sul resto del servizio: l'app continua a funzionare identica, solo senza quei valori. Dalla revoca non viene raccolta nessuna nuova misura. Le misure già registrate restano legate ai rispettivi allenamenti e si cancellano eliminando l'allenamento dallo storico, oppure scrivendo a privacy@deziq.com.
• Sono facoltativi. Scheda, allenamenti, prenotazioni e ogni altra funzione di Matchboard funzionano senza collegare alcun orologio. Non condizioniamo nessun servizio a questo consenso (art. 7.4 GDPR).
• Restano sul dispositivo se non li registri. I dati che l'app legge da Apple Salute o da Android Health Connect non escono dal telefono se non nel momento in cui l'interessato li registra in un proprio allenamento.
• Non li vede l'istruttore. A differenza delle serie e dei carichi, frequenza cardiaca e calorie non compaiono nel gestionale della struttura: li vede solo l'interessato, nel proprio storico.
• Mai per pubblicità, in nessuna forma. È un divieto nostro e anche delle regole di Apple e Google, che vietano l'uso dei dati sanitari raccolti dalle rispettive piattaforme per finalità pubblicitarie o di profilazione.

Conservazione: queste misure restano legate all'allenamento a cui appartengono e si cancellano insieme a quello (dall'app, sulla riga dello storico) o con la revoca del consenso.

11. Modifiche alla presente informativa

Il Titolare si riserva il diritto di modificare l'informativa per evoluzioni normative o operative. Gli aggiornamenti saranno pubblicati su questa pagina con modifica della data di intestazione. Se le modifiche riguardano trattamenti basati sul consenso, verrà richiesto un nuovo consenso. Si invita a consultare periodicamente il documento.

Per qualsiasi richiesta relativa al trattamento dei tuoi dati personali scrivici a privacy@deziq.com, oppure via PEC a southpixel@pec.it.