Informativa sulla privacy

Ultimo aggiornamento: 18 ottobre 2026

Questa informativa, resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 («GDPR»), spiega come l'app Endurian per Apple Watch e iPhone («l'app») e il sito endurian.app trattano i tuoi dati personali.

1. Titolare del trattamento

Pietro Senoner, persona fisica, Viale Sabotino 19/2, 20135 Milano (MI), Italia.
Contatto per qualsiasi questione sulla privacy: support@endurian.app.

Non è stato nominato un Responsabile della protezione dei dati (DPO), non essendo obbligatorio.

2. Dati trattati, finalità e basi giuridiche

2.1 Account e accesso con Apple

Dati: identificativo utente Apple, indirizzo e-mail (solo se scegli di condividerlo; può essere un indirizzo anonimo del servizio di inoltro privato di Apple) e token di sessione.
Finalità: creare l'account, autenticarti e mantenere la sessione.
Base giuridica: esecuzione del contratto, cioè della fornitura dell'app (art. 6, par. 1, lett. b GDPR).

2.2 Allenamenti, Salute (HealthKit), posizione e sensori sul dispositivo

L'app legge e scrive in Salute (Apple HealthKit) sul tuo iPhone e sul tuo Apple Watch, solo dopo che hai concesso le relative autorizzazioni, e usa il GPS e i sensori Bluetooth per registrare l'attività. Questi dati restano sul dispositivo e in Salute e lasciano il dispositivo solo nei casi descritti ai punti 2.3 e 2.4.

I dati di HealthKit non sono mai usati per pubblicità o marketing, non sono venduti e non sono ceduti a intermediari di dati. Puoi modificare o revocare le autorizzazioni in ogni momento da Impostazioni di iOS o dall'app Salute.

Base giuridica: il tuo consenso, espresso con le autorizzazioni di iOS (art. 6, par. 1, lett. a e, per i dati relativi alla salute, art. 9, par. 2, lett. a GDPR).

2.3 Consegna dei file degli allenamenti ai servizi partner

Dati: i file degli allenamenti in formato FIT, che possono contenere percorso GPS, frequenza cardiaca, velocità, tempi e altri dati dell'attività; un registro delle consegne (identificativi dell'attività, data e ora, servizio di destinazione, esito).
Quando: i file vengono caricati sui server di Endurian solo se hai collegato un servizio partner che passa dal nostro server (oggi Strava), e solo per consegnarli a quel servizio. Non vengono usati per altri scopi.
Conservazione: i file sono cancellati automaticamente 30 giorni dopo la consegna; se non vengono mai consegnati, 30 giorni dopo il caricamento. Il registro delle consegne (non contiene il contenuto degli allenamenti) è conservato finché esiste l'account, per sapere che cosa è stato consegnato e dove e per diagnosticare eventuali errori.
Base giuridica: il tuo consenso, che dai collegando il servizio e puoi revocare scollegandolo (art. 6, par. 1, lett. a e, per i dati relativi alla salute eventualmente contenuti nei file, art. 9, par. 2, lett. a GDPR); per il registro delle consegne, l'esecuzione del servizio richiesto (art. 6, par. 1, lett. b).

2.4 Collegamento ai servizi partner

Su tua richiesta, Endurian si collega tramite i nostri server a Strava. Dropbox e Xert si collegano oggi direttamente dal tuo iPhone: i relativi token sono conservati solo nel Portachiavi (Keychain) del tuo iPhone. TrainingPeaks, Komoot e Trailforks sono in arrivo (non ancora disponibili).

• Token di accesso: il collegamento avviene con autorizzazione OAuth. I token di Strava sono conservati cifrati (AES-256-GCM) sui nostri server; quelli di Dropbox e Xert solo nel Portachiavi del tuo iPhone. Per Xert è oggi previsto l'accesso con nome utente e password: la password non viene mai conservata, ma solo i token ottenuti con quell'accesso.
• Dati importati dai partner (ad esempio percorsi e allenamenti pianificati): sono passati al tuo dispositivo e non sono conservati sui nostri server oltre 7 giorni.
• Dati provenienti da Strava: sono mostrati solo all'utente a cui appartengono e non sono mai usati per addestrare o far funzionare sistemi di intelligenza artificiale o apprendimento automatico, né per analisi.
• Scollegamento o revoca: quando scolleghi un servizio, o ne revochi l'autorizzazione dal servizio stesso, i token sono eliminati subito e i dati correlati entro 30 giorni.
• Ruolo dei partner: una volta consegnati, i dati sono trattati dal servizio partner come titolare autonomo, secondo la sua informativa (ad esempio Strava, Dropbox; per gli altri consulta il sito del servizio). Endurian non controlla ciò che il partner fa dei dati dopo la consegna.

Base giuridica: il tuo consenso, che puoi revocare in qualsiasi momento scollegando il servizio (art. 6, par. 1, lett. a GDPR). La revoca non pregiudica i trattamenti già effettuati.

2.5 Mappe

Le mappe offline si scaricano da maps.endurian.app, servito da Cloudflare (R2). Per consegnare i file e proteggere il servizio, Cloudflare tratta i dati tecnici della richiesta, in particolare l'indirizzo IP (log del server). Non usiamo queste richieste per profilarti. I dati cartografici e altimetrici sono descritti nella pagina Crediti.
Base giuridica: legittimo interesse a fornire e mettere in sicurezza il servizio di download (art. 6, par. 1, lett. f GDPR).

2.6 Notifiche push

Se le attivi, le notifiche push sono recapitate tramite il servizio di notifiche push di Apple. Base giuridica: il tuo consenso (art. 6, par. 1, lett. a), che gestisci dalle Impostazioni di iOS.

2.7 Assistenza via e-mail

Se ci scrivi a support@endurian.app trattiamo il tuo indirizzo e-mail e il contenuto del messaggio per risponderti. Base giuridica: esecuzione di misure precontrattuali o contrattuali su tua richiesta e legittimo interesse a gestire le richieste (art. 6, par. 1, lett. b e f).

2.8 Sito web

Il sito endurian.app non usa cookie, strumenti di analisi o pubblicità. Come per ogni sito, il fornitore di hosting (Cloudflare) può trattare dati tecnici di navigazione, come l'indirizzo IP, per erogare e proteggere il servizio (art. 6, par. 1, lett. f).

3. Destinatari e fornitori

• Cloudflare (Cloudflare, Inc. e società del gruppo): hosting, Workers, database D1 e archiviazione R2 dei file; database e archiviazione dei file sono situati nell'Unione europea (giurisdizione UE di Cloudflare).
• Apple (Apple Inc. e società del gruppo): Accedi con Apple e notifiche push.
• Servizi partner che scegli di collegare (punto 2.4), come titolari autonomi.

Nella misura in cui trattano dati per nostro conto, i fornitori sono designati responsabili del trattamento ai sensi dell'art. 28 GDPR. Non vendiamo né cediamo i dati a terzi per finalità proprie di questi ultimi. Possiamo comunicare dati se imposto dalla legge o da un'autorità.

4. Trasferimenti fuori dallo SEE

Cloudflare e Apple fanno capo a società statunitensi; Cloudflare può inoltre trattare dati tecnici (ad esempio l'indirizzo IP) a livello globale per erogare e proteggere il servizio. Il trasferimento verso gli Stati Uniti avviene sulla base della decisione di adeguatezza della Commissione europea sul Data Privacy Framework UE-USA (10 luglio 2023), per i fornitori che vi aderiscono, e comunque delle clausole contrattuali standard approvate dalla Commissione europea, con eventuali misure supplementari. Se colleghi un servizio partner con sede fuori dallo SEE, il trasferimento dei dati a quel servizio avviene su tua richiesta.

5. Cosa non facciamo

Non mostriamo pubblicità, non usiamo strumenti di analisi o di tracciamento, non profiliamo gli utenti, non vendiamo i dati e non li usiamo per addestrare sistemi di intelligenza artificiale.

6. Conservazione

7. Sicurezza

Le comunicazioni con i nostri server avvengono su connessione cifrata (HTTPS) e i token dei servizi partner sono conservati cifrati (AES-256-GCM). Nessun sistema è sicuro al cento per cento: in caso di violazione dei dati che presenti un rischio per te, faremo le comunicazioni previste dagli artt. 33 e 34 GDPR.

8. I tuoi diritti

Hai diritto di accedere ai tuoi dati, di farli rettificare o cancellare, di limitarne il trattamento, di riceverli in un formato strutturato e di uso comune (portabilità) e di opporti ai trattamenti fondati sul legittimo interesse (artt. 15-21 GDPR). Dove il trattamento si basa sul consenso, puoi revocarlo in qualsiasi momento senza pregiudicare i trattamenti precedenti.

Per esercitare i tuoi diritti scrivi a support@endurian.app; rispondiamo entro un mese, prorogabile di due mesi nei casi complessi previsti dal GDPR. Hai inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma, garanteprivacy.it) o all'autorità di controllo del paese UE in cui risiedi o lavori.

9. Eliminazione dell'account

Puoi eliminare l'account in qualsiasi momento direttamente nell'app. Con l'eliminazione cancelliamo l'account e tutti i tuoi dati sui nostri server (dati dell'account, registro delle consegne e file ancora presenti), per te in modo immediato. Tentiamo subito di revocare le autorizzazioni di Apple e dei servizi partner; se un partner è temporaneamente irraggiungibile, il tentativo è ripetuto automaticamente per un massimo di 7 giorni, usando soltanto il token cifrato (non conserviamo altri tuoi dati). I dati presenti in Salute sul tuo dispositivo e quelli già consegnati ai servizi partner restano fuori dal nostro controllo: per questi ultimi rivolgiti al servizio interessato.

10. Minori

Endurian non è rivolta ai minori di 14 anni. In Italia il minore che ha compiuto 14 anni può prestare autonomamente il consenso al trattamento dei dati in relazione ai servizi della società dell'informazione (art. 2-quinquies del D.Lgs. 196/2003); sotto tale età serve l'autorizzazione di chi esercita la responsabilità genitoriale. Altri paesi UE possono fissare soglie diverse (tra 13 e 16 anni). Non raccogliamo consapevolmente dati di minori di 14 anni: se pensi che un minore abbia creato un account, scrivici e lo elimineremo.

11. Obbligo di conferimento e decisioni automatizzate

Il conferimento dei dati dell'account è necessario per usare le funzioni che richiedono l'account; il collegamento dei servizi partner e le autorizzazioni a Salute sono facoltativi. Non adottiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici sulla tua persona.

12. Modifiche

Possiamo aggiornare questa informativa, ad esempio quando aggiungiamo funzioni o servizi partner. Pubblicheremo la nuova versione su questa pagina con la data di aggiornamento e, se le modifiche sono rilevanti, ti avviseremo in modo adeguato.