Informativa sulla privacy

Versione privacy-2026-10-10 · in vigore dal 10 ottobre 2026

Questa traduzione è fornita per comodità. In caso di discrepanze prevale la versione originale in spagnolo.

Clybo’ tratta i dati personali in conformità al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio (regolamento generale sulla protezione dei dati, GDPR) e alla legislazione maltese che lo integra (Data Protection Act, Chapter 586 of the Laws of Malta), poiché il titolare è stabilito a Malta, nonché alle leggi statali sulla privacy degli Stati Uniti eventualmente applicabili. Questa informativa spiega quali dati raccogliamo, per cosa li usiamo, per quanto tempo e quali sono i tuoi diritti.

1. Titolare del trattamento

Il titolare del trattamento dei tuoi dati personali è FlamaTech Consulting LTD, società iscritta presso il C99332, con sede in The Penthouse 20, Lyons Range Court, Bisazza Street,Sliema (Malta), partita IVA (VAT) MT28308119.

Identità: FlamaTech Consulting LTD (Clybo’)
Codice fiscale / VAT: MT28308119
Dati di registrazione: C99332
Sede: The Penthouse 20, Lyons Range Court, Bisazza Street, Sliema, Malta
Contatto generale: hola@clybo.app
Responsabile della protezione dei dati (DPO): dpo@clybo.app

2. Dati che raccogliamo

In base al tuo rapporto con Clybo’, trattiamo le seguenti categorie di dati:

Amministratori della società sportiva: nome, email, telefono, dati della società (codice fiscale, indirizzo fiscale), dati bancari per l’addebito dell’abbonamento.
Tutori: nome, email, telefono, documento d’identità, riferimento di pagamento e indirizzo postale.
Atleti: nome, data di nascita, documento, dati medici (quando forniti dal tutore), consensi firmati.
Dati tecnici: indirizzo IP, user agent, registri di audit e, con il tuo consenso, email di accesso come identificativo analitico dell’account, pagine visitate, accessi, funzioni utilizzate, browser, dispositivo, posizione approssimativa e metriche di prestazione LCP, INP, CLS e FCP.

Dati sensibili. I dati medici dei minori sono cifrati a riposo con AES-256 e sono accessibili solo alle persone autorizzate della società. Vengono cancellati automaticamente quando l’atleta lascia la società.

3. Finalità e base giuridica

Trattiamo i tuoi dati per le seguenti finalità:

Finalità	Dati trattati	Base giuridica
Gestire la registrazione di una società e l’accesso alla piattaforma	Email, password con hash, nome, dati fiscali della società (codice fiscale, ragione sociale, domicilio fiscale)	Esecuzione di un contratto (art. 6.1.b GDPR)
Gestire le quote ed emettere fatture elettroniche (VeriFactu)	Dati del tutore pagante, riferimento tokenizzato della carta e dati dell’atleta	Esecuzione di un contratto + obbligo legale (artt. 6.1.b e 6.1.c GDPR)
Assistenza clienti	Email, contenuto del messaggio, cronologia della conversazione	Legittimo interesse (art. 6.1.f GDPR)
Prevenzione delle frodi e sicurezza della piattaforma	Log di accesso, IP, user agent ed errori tecnici del server con contesto ridotto al minimo	Legittimo interesse (art. 6.1.f GDPR)
Diagnosi e correzione degli errori del pannello di gestione della società	Identificativo interno dell’account (non l’email), società e ruolo, schermata e momento dell’errore, tipo e traccia tecnica dell’errore e operazione non riuscita. Non include i dati inseriti nei moduli né il contenuto delle risposte. Viene inviato tramite la nostra API, senza cookie né registrazione della sessione, e senza creare un profilo personale in PostHog.	Legittimo interesse (art. 6.1.f GDPR): fornire e mantenere il servizio sottoscritto. Non dipende dal consenso all’analisi; puoi opporti scrivendo all’indirizzo di contatto.
Analisi del prodotto e miglioramento della piattaforma	Email di accesso normalizzata come identificativo dell’account in PostHog, pagine visitate, metodo ed esito dell’accesso, funzioni utilizzate, browser, dispositivo, posizione approssimativa e metriche di prestazione LCP, INP, CLS e FCP. Nell’app per le famiglie e nei moduli di iscrizione, registrazione della sessione per individuare malfunzionamenti: struttura della schermata, clic, scorrimenti e tempi. Il testo, ciò che scrivi, le immagini e i link vengono nascosti nel browser prima dell’invio, per cui la registrazione non contiene nomi, documenti né dati di contatto. Google Analytics 4 è limitato alla landing pubblica e non riceve l’identificativo dell’account.	Consenso (art. 6.1.a GDPR), revocabile in qualsiasi momento
Comunicazioni commerciali	Email, nome, nome della società	Consenso (art. 6.1.a GDPR), revocabile in qualsiasi momento

4. Accesso con Google

Clybo’ offre Google come metodo facoltativo di registrazione e accesso. L’autenticazione avviene tramite Google OAuth 2.0 e Supabase Auth. Gliscope utilizzati sono email e profile:

email consente di ricevere l’email principale del tuo Account Google e di sapere se Google l’ha verificata.
profile consente di ricevere i dati di profilo di base disponibili, come nome, cognome o immagine. Google potrebbe non fornire tutti questi campi.

Accediamo a questi dati esclusivamente per creare o collegare il tuo account, autenticarti, mantenere la tua sessione e inizializzare i dati di base del tuo profilo. Questa integrazione non richiede autorizzazioni per leggere Gmail, Google Drive, Google Calendar, i tuoi contatti né altri contenuti del tuo Account Google.

Google consegna i dati tramite Supabase Auth, che li tratta in qualità di fornitore di autenticazione di Clybo’. L’identificativo dell’identità, l’email e i metadati di profilo ricevuti sono conservati nel registro di autenticazione associato al tuo account. Sono conservati per i periodi applicabili ai dati dell’account indicati nella sezione «Periodi di conservazione» e non sono condivisi al di fuori dei fornitori necessari descritti in questa informativa. Non vendiamo questi dati né li usiamo per finalità pubblicitarie.

Puoi rimuovere il collegamento dalle connessioni di terze parti del tuo Account Google. Rimuovere il collegamento impedisce future autorizzazioni tramite Google, ma non elimina di per sé il tuo account Clybo’ né i dati già inseriti al suo interno. Per richiederne l’accesso, la rettifica o la cancellazione, utilizza i canali indicati nella sezione «I tuoi diritti».

L’uso e il trasferimento delle informazioni ricevute dalle API di Google sono conformi alla Google API Services User Data Policy, inclusi i relativi requisiti di uso limitato.

5. Destinatari dei dati

Condividiamo i tuoi dati solo con i fornitori strettamente necessari per prestare il servizio, sempre in base a un contratto di responsabile del trattamento conforme all’articolo 28 GDPR:

Amazon Web Services (Francoforte, UE): hosting della piattaforma.
Supabase (Supabase Auth): autenticazione, collegamento delle identità e gestione delle sessioni.
Stripe Payments Europe Ltd. (Dublino, UE): elaborazione degli incassi.
Resend (Germania, UE): invio di email transazionali.
Cloudflare (rete globale): DNS, sicurezza perimetrale e transito tecnico del proxy gestito di PostHog.
PostHog (infrastruttura UE): analisi del prodotto e delle prestazioni nel browser previo consenso, che usa l’email di accesso normalizzata per collegare l’attività di un account tra una sessione e l’altra e include, nell’app per le famiglie e nei moduli di iscrizione, registrazioni di sessione con tutto il contenuto nascosto; inoltre diagnosi degli errori del server e del pannello di gestione della società sulla base del legittimo interesse, con minimizzazione e pulizia preventive. Ospita anche l’assistenza di Clybo’ del pannello, del sito, dell’app per lo staff e dell’app per le famiglie (assistenza clienti, legittimo interesse): messaggi, la versione dell’app, il tipo di dispositivo e la lingua che vengono aggiunti al primo messaggio dall’app per lo staff o per le famiglie e, se li fornisci, nome ed email. Nel pannello di gestione la chat è sempre disponibile; sul sito e nelle app per lo staff e per le famiglie si carica solo quando la apri. In nessun caso registra la tua attività.
Google Ireland Limited (Google Analytics 4): analisi previo consenso solo sulla landing pubblica. Il tag non viene scaricato prima dell’accettazione; non riceve identificativi dell’account, moduli né dati di contatto, e i segnali e le finalità pubblicitarie restano disattivati.
B2Brouter (Spagna, UE): emissione e trasmissione delle fatture quando la società attiva l’add-on Fiscalità.
Agencia Tributaria Española (AEAT, l’Agenzia delle Entrate spagnola): non è un fornitore; riceve i record di fatturazione trasmessi tramite VeriFactu quando la legge lo richiede (obbligo legale).

Non vendiamo né cediamo i dati a terzi per finalità pubblicitarie.

6. Trasferimenti internazionali

I server principali e l’acquisizione finale di PostHog si trovano nell’Unione europea. Il transito di rete può passare per l’infrastruttura globale di fornitori come Cloudflare. Google Analytics può comportare un trattamento da parte di entità del gruppo Google al di fuori del SEE. A questi trasferimenti si applicano le garanzie previste dalle condizioni di misurazione di Google, come una decisione di adeguatezza in vigore o clausole contrattuali tipo approvate dalla Commissione europea.

7. Periodi di conservazione

Account attivo: finché la società mantiene l’abbonamento.
Identità Google: l’identificativo, l’email e il profilo inseriti nell’account seguono gli stessi periodi dei dati dell’account. Rimuovere il collegamento in Google non li elimina da Clybo’; puoi richiederne la cancellazione tramite i canali indicati di seguito.
Dati fiscali e fatture: 6 anni dalla chiusura dell’esercizio (art. 30 del Código de Comercio, il codice di commercio spagnolo) e 7 anni dall’emissione per i record VeriFactu.
Dati di prospezione commerciale: fino alla revoca del consenso.
PostHog: massimo 12 mesi; le registrazioni di sessione, 30 giorni.
Google Analytics 4: 2 mesi per i dati a livello di utente e di evento; i report standard aggregati non sono soggetti a questo controllo di conservazione. I suoi cookie scadono al massimo dopo 12 mesi e non rinnovano tale periodo a ogni visita.
Preferenza sull’analisi: finché non la modifichi o non cancelli l’archiviazione locale del sito corrispondente.

8. I tuoi diritti · GDPR

In qualità di interessato hai diritto a:

Accesso ai tuoi dati personali.
Rettifica dei dati inesatti.
Cancellazione quando non sono più necessari.
Opposizione al trattamento basato sul legittimo interesse.
Limitazione del trattamento.
Portabilità in un formato strutturato e leggibile.
Revoca del consenso in qualsiasi momento, senza effetti retroattivi.

Per esercitarli scrivi a dpo@clybo.app indicando il tuo nome e il diritto che vuoi esercitare. Risponderemo entro un mese al massimo.

Se ritieni che il trattamento non sia conforme alla normativa, puoi presentare un reclamo all’autorità di controllo capofila del titolare, l’Information and Data Protection Commissioner (IDPC) di Malta, oppure all’autorità dello Stato membro in cui risiedi, lavori o in cui si è verificata la presunta violazione (art. 77 GDPR). In Spagna è l’Agencia Española de Protección de Datos (AEPD).

9. Diritti alla privacy negli Stati Uniti

Quando è applicabile una legge statale degli Stati Uniti, i residenti possono avere il diritto di conoscere i propri dati personali o accedervi, correggerli, chiederne la cancellazione, ottenerne una copia portabile e opporsi alla loro vendita, alla condivisione per pubblicità comportamentale, alla pubblicità mirata o alla profilazione con effetti giuridici significativi. Possono inoltre esercitare questi diritti senza subire un trattamento discriminatorio.

Clybo’ non vende né condivide dati personali ai sensi del California Consumer Privacy Act (CCPA) e non utilizza Google Analytics per la pubblicità mirata. Ciononostante, la landing riconosce il Global Privacy Control (GPC) come richiesta di esclusione dall’analisi facoltativa. Puoi anche usare Impostazioni cookie nel piè di pagina o scrivere a dpo@clybo.app. Se una richiesta viene respinta e la legge del tuo Stato riconosce un diritto di ricorso, puoi presentare ricorso rispondendo alla nostra decisione tramite lo stesso canale.

10. Dati dei minori

Clybo’ è progettato affinché la società sportiva sia il Titolare del trattamento dei dati degli atleti minorenni e dei loro tutori. Clybo’ agisce come Responsabile del trattamento in base a un DPA (accordo sul trattamento dei dati) firmato tra le parti. L’informativa specifica della società applicabile ai minori viene fornita dalla società stessa ai tutori al momento dell’iscrizione.

11. Sicurezza

Applichiamo misure tecniche e organizzative ragionevoli per proteggere i dati: cifratura AES-256 a riposo, TLS 1.3 in transito, controllo degli accessi per ruoli, registro delle attività, backup cifrati e revisione periodica dei fornitori.

12. Modifiche a questa informativa

Questa informativa può essere aggiornata per riflettere modifiche normative od operative. La data dell’ultima revisione è indicata all’inizio del documento. Se le modifiche sono sostanziali, ti avviseremo via email prima che entrino in vigore.

13. Come contattarci

DPO: dpo@clybo.app. Assistenza generale: hola@clybo.app.