Boxly

Informativa privacy

Ultimo aggiornamento: 26 ottobre 2026 · English · Français

Boxly è un'app per prenotare i corsi della propria palestra e un pannello con cui le palestre gestiscono orari, clienti e abbonamenti. Qui spieghiamo quali dati trattiamo, perché, chi li vede, per quanto tempo e quali sono i tuoi diritti. I termini di servizio regolano invece l'uso dell'app.

Chi tratta i tuoi dati

Il tuo account Boxly (email, password, nome, telefono e foto se li inserisci, lingua, dispositivi per le notifiche): il titolare è Boxly, servizio di Tommaso Rosso, contattabile a [email protected]. I recapiti completi del titolare sono disponibili su richiesta allo stesso indirizzo.
I dati della tua iscrizione a una palestra (abbonamenti, ingressi, quote, pagamenti registrati, prenotazioni, presenze, certificato medico, messaggi): il titolare è la palestra a cui ti iscrivi. Boxly li tratta per suo conto come responsabile del trattamento, sulla base di un accordo ai sensi dell'art. 28 GDPR, solo per far funzionare il servizio. Per questi dati puoi rivolgerti anche direttamente alla palestra, che ti fornisce la propria informativa.

Quali dati

Account: nome, cognome, email, password (salvata solo come hash, non leggibile), telefono e foto profilo se li inserisci, lingua preferita.
Palestra: palestre a cui sei iscritto e ruolo, abbonamenti e ingressi, quota associativa, pagamenti registrati dalla palestra, prenotazioni, lista d'attesa, presenze e assenze, messaggi della palestra, note scritte dallo staff.
Certificato medico: date di rilascio e scadenza, tipo e, se lo carichi, il file (PDF o immagine). È un dato relativo alla salute (art. 9 GDPR).
Eventi e gare: se ti iscrivi a un evento pubblicato da una palestra (pagina boxly.run/events/…): email, nome, cognome, telefono, categoria, nome e componenti della squadra (nome, cognome, data di nascita, sesso, codice fiscale, taglia e email se li inserisci), documenti richiesti dall'organizzatore (certificato medico o autocertificazione, liberatoria, consenso di un genitore, documento d'identità, ricevuta), consensi dati con data, versione del testo e indirizzo IP, punteggi e classifica, codice di check-in. L'account dell'evento è separato dall'account Boxly, anche se entri "con Boxly": in quel caso copiamo nome, cognome, email e telefono nel modulo e tu li confermi.
Abbonamento della palestra a Boxly (solo il titolare che paga): ragione sociale, indirizzo di fatturazione, partita IVA, codice SDI o PEC, email, storico degli addebiti e stato dell'abbonamento. I dati della carta li inserisci direttamente su Stripe e non arrivano a Boxly.
Dati tecnici: codice del dispositivo per le notifiche push (se le attivi), sessioni attive (con il tipo di dispositivo o browser), indirizzo IP e registri di sicurezza (accessi, tentativi falliti, errori), azioni dello staff nel pannello.

Non usiamo pubblicità, non tracciamo la tua attività su altre app o siti, non usiamo strumenti di analisi di terze parti, non facciamo profilazione e non vendiamo dati a nessuno. I caratteri tipografici del sito e delle app sono inclusi nel software: non vengono scaricati da server esterni.

Perché e su che base

Creare e gestire il tuo account e permetterti di prenotare: esecuzione del servizio che hai richiesto (art. 6.1.b).
Gestire iscrizione, abbonamenti, quote e presenze per conto della palestra: esecuzione del contratto tra te e la palestra (art. 6.1.b), secondo le sue istruzioni.
Certificato medico: la palestra lo richiede per i propri obblighi in materia di attività sportiva o per il proprio regolamento. Boxly lo conserva e lo mostra allo staff autorizzato per conto della palestra sulla base del tuo consenso esplicito (art. 9.2.a), che l'app ti chiede al caricamento e registra con data e versione del testo. Puoi revocarlo in qualsiasi momento cancellando il certificato non ancora verificato dall'app, chiedendo alla palestra di eliminarlo o eliminando l'account; senza certificato valido la palestra potrebbe non farti prenotare.
Eventi e gare: il titolare dei dati dell'iscrizione è la palestra organizzatrice; Boxly li tratta per suo conto (art. 28 GDPR) per gestire iscrizione, documenti, check-in e classifica: esecuzione del contratto tra te e l'organizzatore (art. 6.1.b). Il certificato medico o l'autocertificazione di idoneità sono dati sulla salute: li trattiamo sulla base del tuo consenso esplicito (art. 9.2.a), chiesto all'iscrizione e registrato; chi iscrive una squadra dichiara di avere il consenso dei componenti e, se inserisce la loro email, questi ricevono un avviso. Foto e video dell'evento: consenso facoltativo. Le classifiche e la lista degli iscritti sono visibili solo se l'organizzatore le attiva, nel formato che sceglie (nome completo, squadra o iniziali); i minorenni compaiono sempre in forma anonima nelle pagine pubbliche e chi lo chiede può non comparire.
Notifiche (promemoria, posto libero in lista d'attesa, lezioni cancellate, avvisi della palestra): funzionamento del servizio; puoi disattivarle dalle impostazioni dell'app o del telefono.
Sicurezza del servizio e prevenzione degli abusi (limiti ai tentativi di accesso, registri, controllo delle azioni dello staff): legittimo interesse (art. 6.1.f).

Chi vede i tuoi dati

Lo staff della tua palestra, secondo il ruolo: titolare, admin e reception vedono i tuoi dati di iscrizione, le note e il certificato medico (file compreso) e lo verificano; il coach vede nome, email, prenotazioni e presenze e, del certificato, solo se è valido.
Gli altri iscritti della stessa palestra vedono nome, iniziale del cognome e foto profilo tra i partecipanti delle lezioni, ma solo se attivi "Mostrami agli altri iscritti" nel profilo; per i nuovi account l'opzione è spenta e compari come "Atleta". Il nome dei coach è mostrato ai clienti nelle lezioni.
Boxly: chi gestisce la piattaforma può accedere ai dati di una palestra solo per assistenza, manutenzione o sicurezza, in modo tracciato e nei limiti dell'accordo con la palestra.
Fornitori tecnici, solo per quanto necessario (vedi sotto).

Fornitori e trasferimenti fuori dall'Unione Europea

I server e i backup sono nell'Unione Europea (Hetzner Online GmbH, Germania). Usiamo inoltre: Cloudflare, Inc. per rete, protezione e certificati del sito e dell'API; Firebase Cloud Messaging di Google e l'Apple Push Notification service per recapitare le notifiche push; Resend, Inc. per inviare le email di servizio; Stripe Payments Europe, Ltd. (Irlanda) per incassare l'abbonamento delle palestre, che riceve i dati di fatturazione del titolare e i dati della carta secondo la propria informativa. Cloudflare, Google, Apple e Resend hanno sede o server negli Stati Uniti: il trasferimento avviene verso fornitori aderenti all'EU-US Data Privacy Framework o sulla base delle clausole contrattuali standard della Commissione europea, e riguarda solo i dati tecnici necessari (indirizzo IP e traffico cifrato per Cloudflare, token del dispositivo e testo delle notifiche per Google e Apple, indirizzo email e testo dell'email per Resend). Il certificato medico non lascia i server nell'Unione Europea.

Notifiche push

Quando attivi le notifiche, il telefono genera un codice del dispositivo (token) che salviamo sui nostri server; Google e Apple lo usano solo per recapitare le notifiche. Il token è un dato pseudonimo: da solo non identifica una persona, ma è collegato al tuo account sui nostri server. Il testo delle notifiche (per esempio il nome e l'orario della lezione) transita sui server di Google e Apple; per il certificato medico la notifica di scadenza dice solo che un documento sta per scadere, senza nominarlo né indicare la palestra. Non usiamo Firebase per analisi, profilazione o pubblicità. Il token viene cancellato quando esci dall'account, usi "Esci da tutti i dispositivi" o disinstalli l'app.

Cookie e memoria locale

Il sito non usa cookie di tracciamento né di analisi; Cloudflare può impostare cookie tecnici necessari alla sicurezza. L'app e il pannello salvano sul dispositivo o nel browser i token di sessione, la palestra selezionata e la lingua, nella memoria protetta del sistema (Keychain, Keystore o storage cifrato del browser); vengono eliminati al logout. Niente di tutto questo serve a tracciarti.

Per quanto tempo

Account: finché è attivo. Quando lo elimini dall'app i dati personali vengono cancellati subito e le copie di backup entro 30 giorni; restano alla palestra, senza il tuo nome, pagamenti e presenze che deve conservare per legge.
Certificato medico: record e file vengono eliminati automaticamente 12 mesi dopo la scadenza del certificato, oppure prima se lo cancelli tu, la palestra, o elimini l'account.
Eventi e gare: i documenti caricati (certificato medico compreso) vengono eliminati automaticamente dopo la fine dell'evento entro il termine scelto dall'organizzatore, di norma 30 giorni e al massimo 90 (può anche cancellarli prima); account, dati dell'iscrizione e punteggi vengono eliminati automaticamente 180 giorni dopo la fine dell'evento (l'organizzatore può scegliere da 30 giorni a 2 anni; la cancellazione automatica non si può disattivare), con un avviso via email 7 giorni prima. Le copie di backup vengono sovrascritte entro 7 giorni. Puoi eliminare il tuo account dell'evento, o scaricarne i dati, in qualsiasi momento dalla pagina dell'evento.
Dati di iscrizione: seguono le istruzioni della palestra e vengono comunque cancellati entro 30 giorni dalla fine del servizio Boxly per quella palestra.
Registri tecnici (notifiche, eventi, azioni dello staff, sicurezza): al massimo 12 mesi. Le sessioni scadono dopo 30 giorni di inattività.

Come proteggiamo i dati

Connessioni cifrate (TLS), password salvate con hash argon2id, accesso al pannello per ruolo con il certificato riservato a titolare, admin e reception, limiti ai tentativi di accesso, registrazione delle azioni dello staff, file caricati controllati e serviti solo a chi è autorizzato, backup giornalieri cifrati, server nell'Unione Europea.

I tuoi diritti

Puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità dei dati e opporti al trattamento. Molte cose le fai da solo nell'app: dal profilo puoi modificare i tuoi dati, scaricare tutti i tuoi dati in formato JSON ("Scarica i miei dati"), revocare il consenso sul certificato, cambiare password, uscire da tutti i dispositivi ed eliminare l'account. Per il resto scrivi a [email protected]: rispondiamo entro 30 giorni. Per i dati della tua iscrizione puoi rivolgerti anche alla palestra. Se ritieni che i tuoi dati siano trattati in modo non corretto puoi rivolgerti al Garante per la protezione dei dati personali (garanteprivacy.it).

Minori

Per creare un account servono almeno 14 anni; sotto i 14 anni l'account va creato e gestito da un genitore o, con il suo consenso, dalla palestra. Per gli eventi, l'iscrizione di un minorenne la fa un genitore o chi ne ha la responsabilità (o il capo squadra con il loro consenso) e l'organizzatore può richiedere il consenso scritto di un genitore; nelle pagine pubbliche dell'evento i minorenni compaiono senza nome.

Modifiche

Se cambiamo questa informativa aggiorniamo la data in alto e, per i cambiamenti importanti, te lo segnaliamo nell'app.