Privacy Policy

Il Titolare del trattamento dei dati personali è Federico Rosa, titolare della ditta individuale operante con denominazione commerciale EnduAI (di seguito "EnduAI", "noi", "nostro"), con sede in Costa Baldassini 5, 60035 Jesi (AN), P.IVA IT02574120222. Email di contatto: info@enduai.com

Raccogliamo le seguenti categorie di dati personali: Dati di registrazione: nome, cognome, indirizzo email, password (cifrata). Dati del profilo atleta: età, peso, altezza, sport praticati, livello atletico, obiettivi, frequenza cardiaca a riposo e massima, FTP, VDOT. Dati di allenamento: sessioni di allenamento, metriche fisiologiche (FC, passo, potenza, cadenza, TSS), file GPS/FIT, storico degli allenamenti, RPE, umore. Dati tecnici: indirizzo IP, tipo di browser, sistema operativo, log di accesso, cookie tecnici. Dati di pagamento: gestiti da Stripe in modo sicuro. Non conserviamo i dati della carta di credito. Dati da dispositivi terzi: se autorizzi la connessione a Garmin, Polar o Strava, raccogliamo i dati di allenamento sincronizzati da tali piattaforme, nei limiti del consenso espresso.

Trattiamo i tuoi dati per le seguenti finalità: Esecuzione del contratto (art. 6.1.b GDPR): - Fornitura del servizio di coaching AI e pianificazione allenamento - Sincronizzazione con dispositivi e piattaforme terze (Garmin, Polar, Strava) - Elaborazione dei pagamenti Legittimo interesse (art. 6.1.f GDPR): - Sicurezza e integrità della piattaforma - Prevenzione frodi - Miglioramento del servizio tramite dati aggregati e anonimizzati. I dati provenienti da integrazioni con piattaforme terze come Strava sono esclusi da questa finalità e vengono utilizzati esclusivamente per fornire il servizio al singolo utente che li ha generati Consenso (art. 6.1.a GDPR): - Marketing e comunicazioni promozionali - Utilizzo opzionale di dati anonimizzati per miglioramento dei servizi, senza addestramento diretto di modelli AI su dati personali identificabili - Profilazione avanzata per personalizzazione del coaching

Partner tecnologici (sub-responsabili del trattamento): - Garmin Connect: sincronizzazione attività sportive (solo con tuo consenso) - Polar Flow: sincronizzazione dati di allenamento (solo con tuo consenso) - Strava: sincronizzazione attività sportive (solo con tuo consenso) - Stripe: elaborazione pagamenti - Fornitori di infrastruttura cloud certificati Tali partner operano come responsabili del trattamento ai sensi dell'art. 28 GDPR e sono contrattualmente obbligati a trattare i dati esclusivamente per le finalità indicate. Non vendiamo mai i tuoi dati personali a terze parti per scopi commerciali.

Conserviamo i tuoi dati personali per il tempo strettamente necessario alle finalità indicate: - Dati account: per tutta la durata del rapporto contrattuale + 2 anni dopo la cessazione - Dati di allenamento: per tutta la durata del rapporto contrattuale - Dati fiscali e di pagamento: 10 anni (obbligo di legge) - Log di accesso: 12 mesi - Cookie di marketing: fino alla revoca del consenso In caso di cancellazione account, procederemo alla cancellazione irreversibile di tutti i dati entro 30 giorni. I dati provenienti da Strava vengono cancellati entro 48 ore dalla revoca dell'autorizzazione OAuth da parte dell'utente.

Ai sensi del Regolamento UE 2016/679 (GDPR), hai diritto a: - Accesso: ottenere conferma che siano in corso trattamenti di dati personali che ti riguardano e riceverne copia (art. 15) - Rettifica: richiedere la correzione di dati inesatti (art. 16) - Cancellazione ("diritto all'oblio"): richiedere la cancellazione dei tuoi dati (art. 17) - Limitazione: richiedere la limitazione del trattamento in certi casi (art. 18) - Portabilità: ricevere i tuoi dati in formato strutturato e leggibile da macchina (art. 20) - Opposizione: opporti al trattamento basato su legittimo interesse (art. 21) - Revoca del consenso: revocare in qualsiasi momento il consenso senza pregiudicare la liceità del trattamento precedente (art. 7.3) Per esercitare i tuoi diritti: info@enduai.com Hai inoltre diritto di presentare reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it).

Adottiamo misure tecniche e organizzative adeguate per proteggere i tuoi dati: - Cifratura in transito (TLS 1.3) e a riposo (AES-256) - Accesso ai dati limitato al personale autorizzato - Autenticazione a due fattori per gli accessi amministrativi - Monitoraggio continuo per rilevare accessi non autorizzati - Backup giornalieri cifrati - Test di penetrazione periodici In caso di violazione dei dati (data breach) che possa comportare rischi per i tuoi diritti, ti notificheremo entro 72 ore dalla scoperta, come previsto dall'art. 34 GDPR.

Alcuni dei nostri fornitori di servizi (es. infrastruttura cloud) potrebbero elaborare dati al di fuori dello Spazio Economico Europeo. In tali casi, garantiamo che i trasferimenti avvengano nel rispetto del GDPR, attraverso: - Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea - Garanzie adeguate ai sensi dell'art. 46 GDPR

I dati di allenamento degli utenti sono utilizzati esclusivamente per generare piani personalizzati e feedback per quel singolo utente. I dati provenienti da Strava non vengono in nessun caso utilizzati per addestrare modelli di intelligenza artificiale, né in forma identificabile né aggregata/anonimizzata, in conformità all'API Agreement di Strava. EnduAI può avvalersi di fornitori terzi per l'elaborazione AI e infrastruttura tecnica (es. servizi cloud e modelli AI), che operano in conformità al GDPR e trattano i dati esclusivamente per conto del titolare.

EnduAI utilizza le API di Strava per importare le attività dell'utente autenticato. In relazione a tale integrazione: - I dati Strava di ciascun utente sono visualizzati esclusivamente all'utente che li ha generati e non vengono condivisi con altri utenti o terze parti. - Strava, Inc. può raccogliere e utilizzare dati relativi all'accesso alle proprie API da parte di EnduAI, in conformità alla Strava Privacy Policy, che prevale sulla presente policy in caso di conflitto. - I dati Strava non vengono utilizzati per addestrare modelli AI, per analytics aggregate, né per il miglioramento del servizio. - In caso di revoca dell'autorizzazione OAuth da parte dell'utente, tutti i dati Strava in nostro possesso vengono eliminati entro 48 ore.

Utilizziamo le seguenti tipologie di cookie: Cookie tecnici (necessari): essenziali per il funzionamento della piattaforma. Non richiedono consenso. Cookie analitici: ci aiutano a capire come gli utenti interagiscono con la piattaforma (es. Google Analytics con IP anonimizzato). Richiedono consenso. Cookie di marketing: utilizzati per mostrarti contenuti pertinenti. Richiedono consenso esplicito. Puoi gestire le preferenze cookie tramite le impostazioni del tuo browser o la sezione Privacy nelle impostazioni dell'account.

La piattaforma EnduAI è destinata a persone che hanno compiuto il 18° anno di età. Non raccogliamo consapevolmente dati personali di minori. Se vieni a conoscenza che un minore ci ha fornito dati personali, contattaci a info@enduai.com per procedere con la cancellazione.

Possiamo aggiornare questa Privacy Policy periodicamente. Le modifiche sostanziali ti saranno notificate via email e/o attraverso un avviso prominente nella piattaforma prima che entrino in vigore. L'uso continuato della piattaforma dopo la notifica costituisce accettazione delle modifiche. Versione corrente: 1.0 — In vigore dal 1° aprile 2026

Per qualsiasi domanda relativa al trattamento dei tuoi dati personali: Email: info@enduai.com Titolare del trattamento: Federico Rosa, ditta individuale operante con denominazione commerciale EnduAI Indirizzo: Costa Baldassini 5, Jesi (AN), 60035 Partita IVA: IT02574120222 Per reclami: Garante per la Protezione dei Dati Personali — www.garanteprivacy.it