Premesse
Il presente accordo regola il rapporto tra:
- il Cliente (il gestore del club sportivo che utilizza Aedra), in qualità di Titolare del trattamento dei dati dei propri soci, e
- Giovanni Buzelli (fornitore del servizio Aedra), in qualità di Responsabile del trattamento ai sensi dell'art. 28 GDPR.
L'accordo si applica automaticamente nel momento in cui il Cliente firma i Termini di Servizio.
1. Oggetto
Aedra tratta i dati personali presenti nel tenant del Cliente esclusivamente per fornire il servizio descritto nei Termini: gestione soci, lezioni, comunicazioni, pagamenti, certificati medici. Non utilizza i dati per finalità proprie, marketing o profilazione.
2. Istruzioni del Titolare
Aedra tratta i dati solo su istruzione documentata del Cliente. Le funzionalità della piattaforma costituiscono le istruzioni standard. Istruzioni particolari (es. export massivo, anonimizzazione) vanno richieste a privacy@aedra.club.
3. Riservatezza
Le persone autorizzate da Aedra al trattamento sono vincolate al segreto professionale e firmano accordi NDA.
4. Misure di sicurezza (art. 32)
- Cifratura TLS in transito (HTTPS obbligatorio).
- Cifratura at-rest dei certificati medici e dei backup.
- Hardening dei segreti applicativi (JWT separato dal token del bot, validazione fail-fast in produzione, rotation log).
- Rate-limit + audit dei tentativi di accesso.
- Backup giornalieri con conservazione 30 gg (off-site cifrato: roadmap Q3 2026).
- Test di restore semestrale.
5. Sub-processor
Aedra utilizza i seguenti sub-responsabili. Variazioni sostanziali sono notificate al Cliente con 30 gg di preavviso e diritto di opposizione.
Vedi Allegato B in fondo.
6. Diritti degli interessati
Aedra assiste il Cliente a rispondere a richieste degli interessati (accesso, rettifica, cancellazione, portabilità) entro 7 giorni lavorativi dalla ricezione della richiesta inoltrata dal Cliente.
7. Data breach
In caso di violazione di dati personali, Aedra notifica il Cliente entro 48 ore dalla scoperta, con descrizione dell'incidente, dati interessati, misure adottate.
8. Restituzione / cancellazione
Al termine del contratto Aedra, su scelta del Cliente, restituisce i dati in formato esportabile (JSON/CSV) o li cancella definitivamente entro 60 giorni, salvo obblighi di legge (es. registrazioni contabili).
9. Audit
Il Cliente ha diritto di richiedere, una volta all'anno, un audit documentale delle misure di sicurezza. Audit on-site su appuntamento.
10. Legge applicabile
Legge italiana. Foro di Roma.
Allegato A — Tipologia di dati e finalità
- Dati anagrafici dei soci (nome, cognome, data di nascita, codice fiscale, contatti) → gestione associazione.
- Dati di minori (nome, data di nascita, contatti del genitore) → tesseramento sportivo.
- Dati sanitari — certificati medici sportivi (art. 9 GDPR categoria speciale) → requisito di legge per la pratica sportiva.
- Dati di pagamento (importo, data, esito) → fatturazione. Dati di carta NON trattati da Aedra (Stripe).
- Identificativi di canale chat (Telegram chat_id, WhatsApp wa_id) → recapito notifiche operative.
Allegato B — Sub-processor attivi
- Hetzner Online GmbH (Germania) — hosting applicativo. DPA: hetzner.com/legal/dpa
- Cloudflare Inc. (USA, EU SCC) — CDN, DNS, WAF.
- Stripe Inc. (USA, EU SCC) — pagamenti.
- Google LLC (USA, EU SCC) — solo SMTP transazionale (mittente: noreply@aedra.club).
- Meta Platforms Ireland — solo per la consegna di messaggi WhatsApp Business iniziati dall'utente.
- Groq Inc. (USA) — LLM API solo per l'assistente "Briglia" (opt-in del Cliente).