Privacy Policy

1. Titolare del trattamento

Il titolare del trattamento dei dati è KaiPai, con sede a Genova (contatto: privacy@kaipaicoaching.com). La presente informativa è resa ai sensi del Regolamento (UE) 2016/679 («GDPR»).

2. Dati trattati

• Dati di account: nome, cognome, email e password. La password non è mai conservata in chiaro: l’autenticazione è gestita da Supabase Auth, che ne custodisce solo una versione cifrata.
• Dati di profilo: per gli atleti, sport praticato, livello e obiettivi che scegli di indicare; per i Coach, le informazioni professionali pubblicate volontariamente (biografia, certificazioni, specializzazioni, foto e video di presentazione) e, se vuoi indicarlo, l’indirizzo del tuo profilo LinkedIn, che usiamo solo per verificare la tua identità professionale e non mostriamo agli atleti. Per gli uni e per gli altri puoi indicare, se vuoi, il genere: è facoltativo, lo usiamo solo per scegliere le immagini della tua area personale e per rivolgerci a te al maschile o al femminile nei messaggi (per esempio «Benvenuta»; se non lo indichi usiamo una forma neutra), non incide su ricerca, ordinamento o tariffe e lo puoi cambiare o togliere in qualsiasi momento dal profilo.
• Risposte al questionario «Aiutami a scegliere»: lo sport, il livello, ciò che vuoi migliorare, i momenti in cui senti più la pressione, lo stile che preferisci e, se li scrivi, le tue parole. Servono soltanto a proporti i Coach più adatti in quel momento e non vengono salvate da KaiPai (vedi la sezione 3 e la sezione 12).
• Presenza dei Coach: finché un Coach ha aperta la propria area, sulla sua foto compare il bollino «Online», visibile a chiunque consulti l’elenco. È uno stato del momento: non viene registrato né conservato come storico.
• Dati d’uso: richieste di sessione, appuntamenti, messaggi di chat, recensioni, preferiti e notifiche.
• Dati degli acquisti, se acquisti un percorso o una seduta singola: il percorso scelto, il prezzo, lo stato dell’abbonamento, le date del periodo pagato, le sedute prenotate e usate, il momento in cui hai chiesto di iniziare subito (art. 18 dei Termini), gli identificativi assegnati da Stripe al pagamento e al cliente. I dati della carta non li vediamo e non li conserviamo: li inserisci direttamente su Stripe. Marca e ultime quattro cifre della carta le leggiamo da Stripe solo per mostrartele nella tua area, senza salvarle.
• Dati degli inviti: se ti registri dal link personale di un Coach o di un altro utente, registriamo chi ti ha invitato. Dal 1° gennaio 2027 il dato serve anche a calcolare la commissione di KaiPai sulle sedute con quel Coach (Termini, art. 9-bis).
• Dati di svolgimento delle sessioni: orario di inizio e di fine effettivi delle videochiamate. Il video non viene mai registrato; l’audio viene registrato esclusivamente per Appunti AI, alle condizioni indicate nella sezione 9.
• Dati delle notifiche push, se le attivi: un identificativo del browser sul dispositivo e le chiavi crittografiche necessarie a cifrare i messaggi. Non contengono il tuo nome e non consentono di seguirti su altri siti.
• Dati del genitore o tutore, per gli atleti fra i 15 e i 17 anni: nome, email, rapporto e titolo dichiarati, firma digitata, versione e impronta del documento, opzione Appunti AI, data e ora, indirizzo IP, browser, ricevute, notifiche e revoche (vedi la sezione 15). Se paga lui un percorso o una seduta per l’atleta, anche la richiesta di pagamento (email, data, scadenza ed esito dell’invio) e il momento in cui ha chiesto di iniziare subito; la sua email passa a Stripe per il pagamento. I token dei collegamenti sono conservati soltanto come hash.
• Dati tecnici: indirizzo IP e informazioni sul browser, trattati dall’infrastruttura di hosting per servire le pagine e per la sicurezza.
• Dati di funzionamento e di utilizzo, trattati per far funzionare e tenere in ordine il servizio (interesse legittimo): i gesti principali compiuti da chi ha un account — accesso, richiesta o annullamento di una sessione, ingresso in una sessione, completamento della guida di benvenuto, apertura della demo — registrati senza indirizzo IP; per chi è maggiorenne, anche quali pagine apre nell’area personale (e quali finestre o schede apre al loro interno) e per quanto tempo restano visibili sullo schermo, salvate come tipo di pagina e mai con il contenuto; e, in forma anonima, quanto ci mette una pagina ad aprirsi, gli errori mostrati sullo schermo e il numero di visite alle pagine pubbliche con la categoria di provenienza (ricerca, social, diretto). Queste ultime misure non portano con sé nessun utente e non usano cookie: per contare i visitatori diversi di un giorno si usa un’impronta che cambia ogni giorno e non permette di risalire alla persona, cancellata dopo due giorni. Non li usiamo per profilarti né per decidere qualcosa su di te. L’amministrazione li legge soprattutto in forma aggregata, per capire se il servizio funziona; per risolvere un problema o aiutarti può aprire la cronologia dei gesti di una singola persona, e ogni consultazione viene registrata.
• Dati analytics, solo se presti il consenso: pagine visitate, eventi di utilizzo, informazioni sul browser e dispositivo, area geografica approssimativa e identificativi pseudonimi conservati nei cookie di Google Analytics. Non trasmettiamo a Google nome, email o altri identificativi del tuo account.
• Dati di navigazione Microsoft Clarity, solo se presti il consenso e solo sulle pagine pubbliche del sito (mai nell’area personale, nelle sedute o nelle pagine per i tutori): movimenti del mouse, clic, scorrimento e pagine visitate, con cui Clarity ricostruisce mappe di calore e registrazioni anonime della navigazione. I testi inseriti nei campi sono mascherati e non vengono inviati.

Cosa è obbligatorio e cosa no. Sono necessari per erogare il servizio, e senza di essi non è possibile usare la piattaforma: nome, email, password e — per gli atleti — la data di nascita, che serve ad applicare l’età minima e le tutele per i minorenni. Tutto il resto è facoltativo: sport, livello, obiettivi, città, fotografia, preferiti e notifiche push. Non fornirli limita alcune funzioni, ma non impedisce di usare il servizio.

3. Finalità e base giuridica

I dati sono trattati per erogare il servizio e permettere l’incontro fra atleti e Coach (esecuzione del contratto), per inviare comunicazioni di servizio come conferme e promemoria di sessione (esecuzione del contratto), per garantire la sicurezza della piattaforma e prevenirne gli abusi (legittimo interesse) e per adempiere a obblighi di legge.

Quando acquisti un percorso o una seduta singola, trattiamo i dati degli acquisti per collegare il pagamento alle sedute che puoi prenotare, mostrarti lo stato dell’abbonamento e gestire annullamenti, recessi e rimborsi (esecuzione del contratto). Il pagamento vero e proprio lo gestisce Stripe per conto del Coach che lo riceve.

Se usi «Aiutami a scegliere», le tue risposte vengono elaborate da OpenAI (responsabile del trattamento, sezione 12) per valutare quali Coach si adattano meglio a ciò che hai indicato, su tua richiesta e prima di qualunque prenotazione (misure precontrattuali). Insieme alle risposte non inviamo il tuo nome, la tua email né altri identificativi del tuo account; a OpenAI chiediamo di non conservare la richiesta, i contenuti non sono usati per addestrare i suoi modelli e KaiPai non li salva. Il risultato è un aiuto alla ricerca: nessuna decisione automatizzata produce effetti su di te, e la scelta del Coach resta tua.

Non trattiamo i tuoi dati per finalità di marketing e non inviamo comunicazioni commerciali o newsletter: tutte le email che riceverai sono legate a un fatto che ti riguarda. Non profiliamo gli utenti e non prendiamo decisioni automatizzate che producano effetti giuridici nei tuoi confronti.

Con il tuo consenso (art. 6.1.a GDPR) utilizziamo Google Analytics per produrre statistiche aggregate e migliorare il sito. Il tag non viene caricato e nessun dato viene inviato a Google prima della tua scelta. Puoi rifiutare senza conseguenze sull’uso di KaiPai e puoi revocare il consenso in qualsiasi momento da «Preferenze cookie» nel footer.

4. Navigazione del sito pubblico

Le pagine pubbliche — la home, l’elenco dei coach e i profili — sono consultabili senza registrarsi. Anche in questo caso i sistemi che servono il sito registrano automaticamente alcuni dati tecnici: indirizzo IP, tipo di browser e di dispositivo, pagina richiesta, data e ora.

Servono a consegnare le pagine, diagnosticare i malfunzionamenti e difendere il sito dagli abusi; la base giuridica è il nostro legittimo interesse a un servizio funzionante e sicuro (art. 6.1.f GDPR). Questi log sono conservati per il breve periodo necessario alla diagnostica e alla sicurezza, e comunque non oltre 12 mesi.

Solo dopo il consenso, Google Analytics misura le visite e le interazioni con il sito. Le funzioni pubblicitarie, Google Signals e la personalizzazione degli annunci restano disattivate; non impostiamo un identificativo utente collegato all’account e non usiamo Analytics per profilare le persone.

Con lo stesso consenso, sulle sole pagine pubbliche, Microsoft Clarity registra in forma anonima come si naviga (clic, scorrimento, movimenti del mouse) per capire dove le pagine non sono chiare. Non lo colleghiamo all’account e non lo carichiamo mai dopo l’accesso.

5. Dati sulla salute: non li chiediamo

KaiPai eroga allenamento mentale sportivo, non prestazioni sanitarie. Di conseguenza non richiediamo, non raccogliamo e non vogliamo dati relativi alla salute — che il Regolamento classifica fra le «categorie particolari» (art. 9 GDPR) e sottopone a tutele rafforzate.

I campi liberi della piattaforma — obiettivi, note alla richiesta, messaggi in chat — servono a descrivere il tuo momento sportivo e su cosa vuoi lavorare: concentrazione, gestione della pressione, fiducia. Vale anche per lo spazio di testo libero di «Aiutami a scegliere», che va a un fornitore esterno (sezione 12): lì scrivi soltanto ciò che ti serve per trovare un Coach, senza dettagli sanitari. Non vanno usati per diagnosi, terapie, farmaci o altre informazioni cliniche, né tue né di terzi.

Se attivi gli Appunti AI, la conversazione viene registrata e trascritta così com’è: può quindi capitare che vi finisca, per tua libera scelta di parlarne, un contenuto che rivela il tuo stato psicologico o di salute. Non lo chiediamo e non lo cerchiamo, ma è la ragione per cui quella funzione richiede un consenso esplicito e separato, revocabile in ogni momento, e per cui il report resta invisibile finché il coach non lo ha rivisto.

Se durante il percorso emerge un bisogno di natura clinica, il coach non è la figura appropriata: il suo compito è fermarsi e indirizzarti verso un professionista sanitario, coinvolgendo la famiglia quando l’atleta è minorenne. In caso di emergenza contatta i servizi sanitari competenti o il numero unico 112.

6. Dati pubblici del profilo Coach

Se ti registri come Coach, una volta approvato il tuo profilo diventa pubblico e consultabile anche da chi non ha un account. Sono pubblici il nome, la fotografia, la biografia, le specializzazioni, le certificazioni dichiarate, le recensioni ricevute e alcuni indicatori di esperienza calcolati automaticamente dalla piattaforma — il numero di atleti seguiti e il totale delle ore di sessione erogate, entrambi ricavati dalle sole sessioni completate. Questi indicatori sono aggregati e non rendono identificabili i singoli atleti.

Il profilo di un atleta non è mai pubblico: è visibile soltanto ai Coach con cui ha una sessione in corso o già svolta.

7. Se sei un Coach

Questa informativa si rivolge principalmente agli atleti, ma anche tu sei un interessato e alcune regole ti riguardano in modo specifico.

• Cosa trattiamo: dati di account e di profilo professionale (biografia, certificazioni, specializzazioni, tariffe, foto e video), disponibilità settimanale, sessioni erogate e recensioni ricevute.
• Cosa diventa pubblico: quanto descritto alla sezione 6, inclusi gli indicatori di esperienza calcolati automaticamente. Sono il fondamento della fiducia degli atleti, quindi restano visibili finché il profilo è pubblicato.
• Documenti di verifica: le certificazioni che invii per l’approvazione e l’indirizzo del profilo LinkedIn, se lo indichi, sono visti solo dal personale autorizzato, servono a verificare quanto dichiari e non vengono pubblicati: sulla scheda compare soltanto l’esito della verifica («Profilo professionale verificato»). Se cambi l’indirizzo, la verifica si ripete.
• Pagamenti: per ricevere i pagamenti degli atleti completi la verifica d’identità richiesta dalla legge (antiriciclaggio) in un modulo di Stripe dentro la tua area. Documento, codice fiscale, indirizzo e IBAN li raccoglie e li conserva Stripe: KaiPai non li riceve e conosce solo l’esito della verifica (completa, in corso, cosa manca), l’identificativo del tuo conto Stripe, i prezzi che fissi e i pagamenti ricevuti dai tuoi atleti. Per aprire il conto e precompilare il modulo passiamo a Stripe nome, cognome, data di nascita ed email del tuo account, che puoi correggere lì.
• Conservazione: valgono i termini della sezione 13. Le recensioni ricevute e lo storico delle sessioni restano oltre la chiusura del profilo, perché riguardano anche gli atleti coinvolti.
• I tuoi diritti sono quelli della sezione 16, con la stessa procedura.

Per la tua attività professionale sei tu il titolare del trattamento dei dati degli atleti che segui: sei tenuto a rispettare la normativa e gli obblighi previsti dai Termini, fra cui la riservatezza e il divieto di usare quei dati per finalità diverse dalle sessioni.

8. Videochiamate e chat

Le videochiamate si svolgono attraverso un’infrastruttura specializzata. Il video non viene mai registrato: transita per il tempo della sessione e non viene conservato. Della sessione restano l’orario di inizio e di fine.

L’audio viene registrato in un solo caso, descritto nel dettaglio al paragrafo successivo: quando entrambi i partecipanti hanno attivato gli Appunti AI. Senza quel consenso non viene registrato nulla.

I messaggi di chat sono conservati, per permettere a entrambi di rileggere gli accordi presi, e sono accessibili unicamente ai due partecipanti alla conversazione.

9. Appunti AI della sessione

Gli Appunti AI sono una funzione facoltativa, spenta per impostazione predefinita. Quando è attiva, l’audio della sessione viene registrato, trascritto automaticamente e usato per preparare una bozza di report che il coach rivede prima di qualsiasi condivisione.

Serve il consenso di entrambi. La registrazione parte solo se coach e atleta accettano, ciascuno per sé, prima che cominci. Se anche uno solo rifiuta, non viene registrato nulla. Il consenso è la base giuridica del trattamento (art. 6.1.a e, per quanto la conversazione possa rivelare, art. 9.2.a GDPR) ed è revocabile in ogni momento, anche a sessione in corso: dal momento della revoca la registrazione si interrompe.

Per un atleta minorenne serve inoltre che il genitore o tutore abbia autorizzato separatamente gli Appunti AI e che tale autorizzazione sia ancora valida. L’autorizzazione generale del percorso non abilita automaticamente audio, trascrizione o report.

Cosa viene conservato, e per quanto:

• la registrazione audio grezza, in un archivio privato, per al massimo 7 giorni, dopodiché viene cancellata automaticamente; se il report viene approvato prima, l’audio si cancella già nella notte successiva. Serve solo a produrre la trascrizione;
• la trascrizione resta per 6 mesi dall’approvazione del report, perché il coach possa ritrovare le parole da cui nasce il riepilogo, poi viene cancellata automaticamente; il report resta legato alla sessione e segue i tempi di conservazione del paragrafo sulla conservazione;
• il video non viene mai registrato, in nessun caso.

L’audio viene registrato su tracce separate, una per partecipante: serve a distinguere con certezza chi ha detto cosa, senza doverlo dedurre.

La trascrizione è prodotta da Deepgram e la bozza di report da OpenAI, entrambi elencati fra i responsabili del trattamento. I contenuti non vengono usati per addestrare i loro modelli.

Il report non è mai automatico. L’AI produce una bozza visibile al solo coach, che la corregge, elimina ciò che non deve restare e decide che cosa condividere con te. Esistono due piani distinti: le note condivise, che vedi anche tu, e le note private del coach, che restano sue. Nessun contenuto della sessione ti viene mostrato prima che il coach lo abbia approvato.

Trasparenza sull’intelligenza artificiale

Il riepilogo della sessione è prodotto da un sistema di intelligenza artificiale a partire dalla trascrizione, e te lo diciamo prima di ogni sessione, nel momento in cui ti chiediamo il consenso. Il testo che leggi è generato automaticamente e poi letto e approvato da una persona: il tuo coach.

Che cosa il sistema non fa. Non prende decisioni al posto del coach e non produce diagnosi. Non ti attribuisce un punteggio che determini l’accesso a un servizio. Non riconosce emozioni dalla tua voce, dal tuo volto o da altri dati biometrici: gli indicatori che vedi nel riepilogo sono ricavati dalle parole dette, e ognuno cita la frase da cui nasce, così che tu e il coach possiate verificarlo.

Dove può sbagliare. Un sistema di questo tipo può fraintendere, dare peso a una frase detta di sfuggita o non cogliere un’ironia. Per questo il coach rivede la bozza prima di condividerla, e per questo ogni affermazione porta con sé la citazione da cui deriva. Se leggi qualcosa che non ti corrisponde, dillo al tuo coach: può correggerlo o non condividerlo affatto.

I documenti esportati dalla piattaforma riportano in modo esplicito che il contenuto è generato da un’intelligenza artificiale, così da restare riconoscibile anche fuori di qui.

Il contenuto della trascrizione e del report non viene mai inserito nelle email che ti inviamo: la notifica dice soltanto che qualcosa è pronto, e si consulta accedendo alla piattaforma.

Se sei minorenne, la funzione richiede che l’account sia già stato autorizzato da un genitore o tutore, oltre al tuo consenso e a quello del coach.

10. Email e notifiche push

Le email che inviamo sono esclusivamente di servizio, legate a fatti che ti riguardano: una richiesta ricevuta, una sessione confermata o annullata, un nuovo messaggio e, se acquisti un percorso o una seduta, la conferma dell’acquisto, il promemoria prima di ogni rinnovo, l’avviso di un pagamento non riuscito e la conferma di un annullamento. Al Coach segnaliamo anche quando deve completare la configurazione dei pagamenti. Non inviamo comunicazioni commerciali. Dalle preferenze di notifica del tuo account puoi scegliere, per ogni tipo di evento, se riceverlo nell’applicazione, via email, in entrambi i modi o in nessuno. Fanno eccezione gli avvisi di sicurezza e le email che contengono un link necessario ad accedere: quelli non sono disattivabili.

Le notifiche push sono facoltative e disattivate finché non le attivi esplicitamente su un dispositivo. Per recapitarle, il messaggio cifrato passa necessariamente dal servizio push del tuo browser (Google, Apple o Mozilla, a seconda di quale usi). Puoi revocarle in ogni momento dal pulsante nelle notifiche o dalle impostazioni del browser: in quel momento l’iscrizione del dispositivo viene cancellata dai nostri archivi.

11. Il Coach come destinatario dei tuoi dati

Il Coach non è un nostro fornitore tecnico: è un professionista indipendente, che opera come autonomo titolare del trattamento per la propria attività professionale. KaiPai non è parte del rapporto professionale fra te e il Coach e non interviene nel merito delle sessioni.

Quando invii una richiesta, comunichiamo al Coach i dati necessari a valutarla e a condurre il percorso: nome, indirizzo email, sport, livello, gli obiettivi che hai indicato, il messaggio della richiesta, i messaggi scambiati in chat e — se hai fra i 15 e i 17 anni — il fatto che sei minorenne. La base giuridica è l’esecuzione del contratto.

Se acquisti un percorso o una seduta singola, il Coach riceve anche i dati del pagamento (importo, data, stato, nome ed email che hai indicato a Stripe), perché è lui a venderti le sedute e a emettere il documento fiscale quando dovuto.

Il Coach è tenuto contrattualmente alla riservatezza e può usare questi dati solo per erogare le sessioni sulla piattaforma: non può contattarti per altre finalità, cederli o usarli per proprie comunicazioni commerciali. Nessun altro Coach vede i tuoi dati: la visibilità è limitata a chi ha con te una sessione richiesta, in corso o già svolta.

12. Responsabili del trattamento

Ci avvaliamo inoltre dei seguenti fornitori, che trattano i dati per nostro conto e su nostra istruzione, in qualità di responsabili del trattamento. Non vendiamo i dati personali a terzi e non li cediamo per finalità pubblicitarie.

Per i fornitori che trattano dati al di fuori dell’Unione Europea il trasferimento avviene solo verso Paesi coperti da una decisione di adeguatezza della Commissione (art. 45 GDPR) oppure, in mancanza, sulla base delle Clausole Contrattuali Standard approvate dalla Commissione (art. 46 GDPR), che ti attribuiscono diritti azionabili e mezzi di ricorso effettivi.

Per la verifica d’identità dei Coach, la prevenzione delle frodi e gli obblighi antiriciclaggio, Stripe agisce come titolare autonomo, secondo la propria informativa (stripe.com/it/privacy).

13. Conservazione

Un account si considera cessato dopo 24 mesi senza alcuna attività sulla piattaforma, oppure dal momento della chiusura volontaria. Da lì decorrono i termini che seguono.

• Account e profilo: per tutta la durata dell’account attivo e per 36 mesi dalla cessazione.
• Prenotazioni e storico delle sessioni: 36 mesi dalla cessazione, termine necessario a far valere o difendere un diritto. Se pende un contenzioso, la conservazione prosegue fino alla sua definizione.
• Messaggi di chat: finché resta attivo l’account di almeno uno dei due partecipanti, e comunque non oltre 36 mesi dalla cessazione di entrambi.
• Registrazione audio degli Appunti AI: 7 giorni dalla sessione, poi cancellata automaticamente. È il termine più breve di tutti perché l’audio serve soltanto a produrre la trascrizione: una volta ottenuta, non ha più ragione di esistere.
• Trascrizione della sessione: 6 mesi dall’approvazione del report, poi cancellata automaticamente.
• Report della sessione: segue lo storico delle sessioni, quindi 36 mesi dalla cessazione. Puoi chiedere la cancellazione anticipata di report e trascrizione anche senza chiudere l’account.
• Dati degli acquisti: 36 mesi dalla cessazione dell’account, come lo storico delle sessioni, per gestire contestazioni e rimborsi. Le registrazioni contabili e fiscali dei pagamenti le conservano Stripe e il Coach secondo i rispettivi obblighi di legge.
• Iscrizioni alle notifiche push: fino alla revoca, o fino a quando il servizio push segnala il dispositivo come non più raggiungibile — nel qual caso l’iscrizione viene rimossa automaticamente.
• Dati di funzionamento e di utilizzo: i gesti registrati con un account si conservano 13 mesi; le misure dei tempi e gli errori mostrati (anonimi) 90 giorni; le visite alle pagine pubbliche restano come semplici contatori giornalieri, senza dati personali. Poi si cancellano da soli.
• Google Analytics: i cookie analytics scadono dopo 6 mesi e non vengono rinnovati a ogni visita. I dati evento associati sono conservati nella proprietà Analytics per un massimo di 14 mesi; revocando il consenso cancelliamo dal browser i cookie analytics.
• Microsoft Clarity: le registrazioni della navigazione sono conservate da Microsoft per 30 giorni e le mappe di calore aggregate fino a 13 mesi; revocando il consenso fermiamo Clarity e cancelliamo dal browser i suoi cookie.
• Recensioni: restano pubblicate anche dopo la chiusura dell’account di chi le ha scritte, perché concorrono alla reputazione del Coach recensito.

14. Chiusura dell’account

Dalla sezione Sicurezza puoi chiudere il tuo account in autonomia. L’operazione disattiva immediatamente l’accesso: le credenziali di autenticazione vengono eliminate, l’indirizzo email viene reso inutilizzabile e il profilo non è più raggiungibile né consultabile.

Lo storico collegato — prenotazioni, messaggi scambiati e recensioni — viene invece conservato, perché riguarda anche l’altra persona coinvolta nella sessione, che mantiene il diritto di consultarlo. Se desideri la cancellazione integrale dei tuoi dati ai sensi dell’art. 17 GDPR, scrivi a privacy@kaipaicoaching.com: vi daremo seguito nei limiti degli obblighi di conservazione previsti dalla legge.

15. Atleti minorenni

La piattaforma è offerta agli atleti dai 15 anni in su. Poiché la soglia italiana per il consenso digitale è fissata a 14 anni (art. 2-quinquies del Codice Privacy), l’atleta può prestare direttamente i consensi privacy facoltativi applicabili al servizio online. I trattamenti indispensabili al servizio si fondano invece sul contratto, sugli obblighi di legge e sulla sicurezza, come indicato nelle sezioni precedenti.

L’autorizzazione del genitore o tutore serve per una ragione diversa e di natura contrattuale — un minore non può concludere validamente il contratto con la piattaforma — ed è descritta nei Termini e Condizioni. Per raccoglierla e dimostrarla trattiamo i dati elencati nella sezione 2. La base giuridica è l’esecuzione del contratto, l’adempimento di obblighi di legge e il legittimo interesse a prevenire abusi e difendere un diritto. La prova resta conservata per la durata dell’account e per 36 mesi dalla cessazione; se pende un contenzioso, fino alla sua definizione. I dati non sono usati per marketing o profilazione.

Il genitore o tutore riceve la ricevuta e le comunicazioni di sicurezza, senza ricevere il contenuto riservato di chat, trascrizioni o report. Può esercitare i diritti del minore nei limiti previsti dalla legge.

16. Diritti dell’interessato

Puoi esercitare in ogni momento i diritti previsti dagli artt. 15–22 GDPR scrivendo a privacy@kaipaicoaching.com: risponderemo entro un mese dalla richiesta.

• Accesso: sapere quali dati trattiamo e ottenerne copia.
• Rettifica: correggere dati inesatti o completare quelli incompleti.
• Cancellazione, al ricorrere delle condizioni dell’art. 17 e salvo quanto dobbiamo conservare per legge.
• Limitazione del trattamento nei casi dell’art. 18.
• Portabilità: ricevere i tuoi dati in un formato strutturato e leggibile da un dispositivo automatico.
• Opposizione (art. 21): puoi opporti in qualsiasi momento ai trattamenti che svolgiamo sulla base del legittimo interesse — nel nostro caso la sicurezza della piattaforma e la prevenzione degli abusi. Opporsi non ti impedisce di continuare a usare il servizio.

Se ritieni che il trattamento violi il Regolamento, hai diritto di proporre reclamo a un’autorità di controllo (art. 77 GDPR): in Italia il Garante per la protezione dei dati personali (www.garanteprivacy.it), oppure l’autorità dello Stato UE in cui risiedi o lavori.

17. Come proteggiamo i dati

Il trattamento avviene con strumenti informatici, secondo i principi di liceità, minimizzazione ed esattezza, e con misure tecniche e organizzative adeguate al rischio. In concreto:

• il traffico fra il tuo browser e la piattaforma è cifrato (HTTPS), e i dati sono cifrati anche a riposo dall’infrastruttura che li ospita;
• le password non sono mai conservate in chiaro: le custodisce Supabase Auth in forma cifrata, e nessuno in KaiPai può leggerle;
• l’accesso ai dati è limitato al personale autorizzato e istruito, e ai fornitori nominati responsabili;
• le videochiamate non vengono registrate e i loro contenuti non transitano nei nostri archivi;
• i dati personali non vengono in alcun modo diffusi, fatta eccezione per le informazioni che il Coach sceglie di pubblicare sul proprio profilo.

Nessuna misura elimina del tutto il rischio: se dovesse verificarsi una violazione dei dati personali che comporta un rischio elevato per i tuoi diritti, te ne daremo comunicazione secondo l’art. 34 GDPR.

18. Modifiche a questa informativa

Questa informativa può essere aggiornata quando cambiano il servizio, i fornitori o la normativa. La data di ultimo aggiornamento è indicata in cima alla pagina; le modifiche rilevanti sono comunicate agli utenti registrati.