C’è un accordo di trattamento dei dati?

Sì. Il Processor addendum è l’accordo dell’articolo 28. Si applica quando la palestra usa la piattaforma. Non serve una copia separata.

Dove vedo quali società trattano dati per Sessy?

Su Sub-processors, per tipo di trattamento. Sessy aggiorna l’elenco quando cambiano i fornitori. La palestra può opporsi entro 30 giorni.

Dove sono conservati i dati dei soci?

Principalmente su Google Cloud / Firebase nell’UE (Sub-processors, Privacy statement). Alcuni servizi, per esempio i pagamenti Stripe, possono trattare dati fuori dal SEE con garanzie adeguate.

Per quanto tempo Sessy conserva sessioni e newsletter?

Sessioni: fino a 3 anni (TTL). Newsletter: cancellazione automatica dopo 1 anno (Archiviazione e ritenzione).

Sessy addestra l’IA con i dati dei soci?

No. Sessy non usa i dati della palestra o dei soci per addestrare modelli di IA (Processor addendum §7, Sub-processors).

Chi è il responsabile se colleghiamo ChatGPT o Claude via MCP?

Il fornitore di IA scelto dalla palestra — non Sessy (Sub-processors).

Sessy memorizza i numeri di carta?

Non i numeri completi. Il pagamento passa da Stripe (Sub-processors).

La chat del sito è la stessa cosa di Sessy AI nell’app?

No. Chatwoot su sessy.app è ospitato da Sessy nell’UE e non accede ai database dei soci (Sub-processors).

Software palestra GDPR: cosa verificare

Per una palestra nell’UE o nel SEE dovresti poter citare un contratto pubblicato ai sensi dell’articolo 28, un elenco di sub-responsabili e fatti chiari su hosting e conservazione. Sessy lo mette nero su bianco in una pagina dedicata e nei testi legali: un riassunto, non una consulenza legale.

Risposta breve: la tua palestra è titolare del trattamento, Sessy è responsabile del trattamento. I dati principali della piattaforma sono trattati principalmente nell’UE su Google Cloud / Firebase. Il Processor addendum è il contratto scritto dell’articolo 28; non serve chiederne una copia separata. I sub-responsabili sono su Sub-processors. Le sessioni hanno un TTL di 3 anni; le newsletter vengono rimosse dopo 1 anno. Il consenso opzionale per i dati sanitari (articolo 9) è disponibile dalla versione 11.0.0. L’IA in-app (modalità piattaforma) usa Opper (UE) e Azure (UE); Sessy non addestra modelli sui dati della palestra. Con MCP, il fornitore di IA scelto dalla palestra è il responsabile del trattamento, non Sessy.

Lo stesso riepilogo, con le FAQ: software palestra conforme al GDPR.

Fatti citabili

Hosting: Google Cloud / Firebase — UE (primario) per hosting cloud e infrastruttura applicativa (Sub-processors, Privacy statement).
Contratto con il responsabile: il Processor addendum è l’accordo dell’articolo 28. Non serve una copia a parte.
Sub-responsabili: elenco pubblico per tipo di trattamento su Sub-processors, parte dell’addendum. Le modifiche rilevanti sono pubblicate lì; la palestra può opporsi entro 30 giorni (Processor addendum).
Conservazione: sessioni con TTL di 3 anni; le newsletter più vecchie di 1 anno le rimuove una pulizia pianificata, immagini collegate incluse (Archiviazione e ritenzione).
Dati sanitari (art. 9): consenso opzionale, esplicito e revocabile dalla 11.0.0, casella non preselezionata, dalle preferenze di abbonamento e di socio (Tipi di abbonamento, versione 11.0.0).
Sessy AI (modalità piattaforma): da Opper (UE) a Microsoft Azure nell’UE. Sessy non addestra modelli sui dati della palestra; il percorso predefinito non viene usato per addestrare il modello (Sub-processors, Privacy statement).
MCP / IA esterna: Claude, ChatGPT, Cursor o un altro client MCP: quel fornitore di IA è responsabile del trattamento della palestra, non di Sessy (Sub-processors, Collega agente IA).
Pagamenti: Stripe può trattare dati fuori dal SEE. Sessy non memorizza i numeri di carta completi (Sub-processors).
Chat del sito: Chatwoot, in hosting proprio di Sessy nell’UE, separato dai database dei soci (Sub-processors).

Ruoli: titolare, responsabile e documenti

Per i dati dei soci in Sessy, la palestra è titolare e Sessy responsabile del trattamento. Per finalità proprie — fatturazione della licenza, account della palestra, visitatori del sito, chat di supporto su sessy.app — Sessy è titolare. Quel trattamento è nella Privacy statement, non nell’addendum.

Tema	Dove è scritto
Palestra = titolare, Sessy = responsabile del trattamento per i dati dei soci	Processor addendum, Privacy statement
Contratto articolo 28	Processor addendum
Autorizzazione dei sub-responsabili e opposizione	Processor addendum §5, Sub-processors
Misure di sicurezza (art. 32)	Processor addendum §4
Avviso alla palestra in caso di violazione	Processor addendum §8
Diritti degli interessati, a seconda che Sessy sia titolare o responsabile	Privacy statement

L’addendum inglese indica che prevale la versione olandese: Verwerkersaddendum e Subverwerkers.

Dove stanno i dati e chi altro li tratta

Sessy tratta i dati personali principalmente nell’Unione europea. La pagina Sub-processors raggruppa i fornitori per tipo:

Hosting cloud — Google Cloud / Firebase (UE, primario)
Pagamenti — Stripe (può includere trattamento fuori dal SEE, con garanzie adeguate)
Supporto sul sito — Chatwoot, in hosting di Sessy nell’UE
Inferenza IA (in-app, modalità piattaforma) — Opper (UE) e Azure (UE)
Analisi e sicurezza (sito) — Google Analytics, reCAPTCHA

Google Cloud / Firebase non è usato per addestrare modelli di IA (Sub-processors).

Conservazione e pulizia

Il comportamento tecnico è in Archiviazione e ritenzione:

Sessioni: _meta.ttl impostato a 3 anni. La pulizia rimuove i documenti di sessione più vecchi.
Newsletter: quelle pubblicate o in bozza più vecchie di 1 anno vengono eliminate, immagini referenziate incluse.
Altre pulizie: per esempio le registrazioni di attivazione degli utenti backend e i token dei dispositivi inattivi, entrambi dopo 90 giorni (lo stesso documento).

Dati sanitari e consenso (articolo 9)

Note o preferenze possono contenere categorie particolari (articolo 9), per esempio infortuni. La palestra deve avere una base giuridica valida. Sessy supporta un consenso opzionale, esplicito e revocabile nell’app, casella non preselezionata. Si configura in Tipi di abbonamento, dalla versione 11.0.0.

Se un socio revoca il consenso, Sessy non cancella le note in automatico. La palestra controlla note e allegati.

Sessy AI e MCP

Modalità piattaforma (predefinita): lo staff usa Sessy AI nell’app. Le richieste vanno a Opper e al modello Azure nell’UE predefinito. Sessy non usa i dati della palestra o dei soci per addestrare modelli. Sul percorso predefinito il contenuto non viene usato per addestrare il modello. Azure può conservare i contenuti fino a 30 giorni per il monitoraggio degli abusi (Privacy statement, Sub-processors, Processor addendum §7).

BYOK: account Opper e modello della palestra. La palestra sceglie regione e condizioni del fornitore e deve avere un proprio accordo con Opper (Processor addendum).

MCP: il fornitore di IA collegato con un token agente è il responsabile del trattamento della palestra, non un sub-responsabile di Sessy. Luogo, addestramento e conservazione seguono quel fornitore (Sub-processors, Collega agente IA).

Documenti ufficiali

Addendum ed elenco dei sub-responsabili sono pubblicati in inglese. Se i testi divergono, prevale la versione olandese.

Domande frequenti sul GDPR

Gli stessi punti che Sessy pubblica nell’addendum, nell’elenco dei sub-responsabili e nella pagina GDPR.

Prova gratuita →

Esiste un software per palestre conforme al GDPR?