ELEVATE / LEGAL

Informativa PrivacyPrivacy Notice

Trasparenza totale sul trattamento dei dati personali, conformità GDPR ed EU AI Act.Complete transparency on personal data processing, GDPR and EU AI Act compliance.

Ultimo aggiornamento: 21 settembre 2026Last updated: 21 September 2026

1. Titolare del trattamento e contatti1. Data controller and contact

La presente Informativa sulla Privacy descrive le modalità di trattamento dei dati personali raccolti tramite l'applicazione mobile Elevate e il relativo sito web. Il Titolare del trattamento dei dati è Robert Murariu, con recapito in Via del Mazziere, 90018 Termini Imerese (PA), Italia. Per qualsiasi richiesta, esercizio dei diritti o chiarimento in materia di protezione dei dati personali, puoi contattare il Titolare all'indirizzo email dedicato: elevate.gym.app@gmail.com.

Elevate è sviluppata secondo i principi di Privacy by Design e Privacy by Default, adottando un'architettura principalmente "offline-first" in cui la quasi totalità dei dati sensibili di fitness e alimentazione risiede esclusivamente sul dispositivo dell'utente, senza transito o archiviazione sui server dello Sviluppatore.

This Privacy Notice explains how personal data is collected, handled, and safeguarded when using the Elevate mobile application and official website. The Data Controller is Robert Murariu, contact address: Via del Mazziere, 90018 Termini Imerese (PA), Italia. For any privacy queries or to exercise your statutory rights, contact the dedicated email address: elevate.gym.app@gmail.com.

Elevate is architected strictly under Privacy by Design and Privacy by Default methodologies, utilizing an "offline-first" database structure where virtually all sensitive fitness and nutritional metrics remain stored exclusively on your device, without developer server access or storage.

2. Quali dati vengono trattati e architettura locale2. Data we process and local architecture

A. Dati dell'Account (Cloud Firebase): Indirizzo email, identificativo univoco Firebase UID e data di registrazione per l'autenticazione sicura, il ripristino password e la gestione dell'accesso.

B. Dati di Fitness e Salute Controllati ESCLUSIVAMENTE dall'Utente (Archiviazione Locale Cifrata Hive): I seguenti dati sono memorizzati esclusivamente nella memoria locale del dispositivo dell'utente tramite database Hive crittografato (chiavi protette da Android KeyStore o iOS Keychain) e/o negli archivi di backup personali su Apple iCloud o Google Drive. Lo Sviluppatore non ha alcun accesso, lettura, copia o possesso su tali dati:

  • Misure corporee dettagliate (17 punti anatomici: torace, vita, fianchi, collo, spalle, bicipiti, avambracci, polsi, cosce, polpacci, caviglie) e peso corporeo;
  • Calcoli biometrici e modelli statistici (percentuale di grasso corporeo BF%, massa magra LBM, indice FFMI, rapporto vita/fianchi WHtR, stima RFM, Wilks score);
  • Stime somatotipo e potenziale muscolare naturale (formule Casey Butt e Creff);
  • Schede di allenamento, storico esercizi, carichi sollevati (kg), serie, ripetizioni, note tecniche e record personali (PR);
  • Diario pasti e log nutrizionali (alimenti consumati, grammature, calorie, macronutrienti: proteine, carboidrati, grassi, fibre);
  • Registrazioni dell'idratazione (acqua) e cronologia delle sessioni cardio;
  • Dati di attività fisica e salute autorizzati (conteggio passi giornalieri e metriche di sonno letti da Google Health Connect o Apple HealthKit);
  • Dati di gamification (punti esperienza XP, livelli, gradi Hunter, badge sbloccati).

C. Dati Tecnici, Prestazioni e Sicurezza: Indirizzo IP transitorio, dati tecnici del dispositivo, registrazioni di crash anonimi (Crashlytics) e controlli di integrità locale anti-manomissione (FreeRASP). FreeRASP opera interamente sul dispositivo senza raccogliere o trasmettere dati personali identificativi.

D. Dati di Pagamento e Abbonamenti: Gli acquisti in-app e gli abbonamenti sono elaborati direttamente dall'App Store di Apple o dal Google Play Store. Lo stato dei diritti di abbonamento è sincronizzato tramite RevenueCat. Lo Sviluppatore non raccoglie, non elabora e non ha accesso alle coordinate della carta di credito o ai dettagli bancari dell'utente.

A. Account Credentials (Firebase Cloud): Email address, Firebase unique UID, and registration timestamps to manage secure authentication, password resets, and subscription entitlement linking.

B. Fitness and Health Metrics EXCLUSIVELY Controlled by the User (Encrypted Hive Local Storage): The following metrics reside exclusively within local device memory inside an AES-encrypted Hive database (keys managed via Android KeyStore / iOS Keychain) and/or inside user-controlled personal cloud backups on Apple iCloud or Google Drive. The Developer has zero access, custody, read, or copying rights to these records:

  • Comprehensive body circumferences (17 anatomical sites: chest, waist, hips, neck, shoulders, biceps, forearms, wrists, thighs, calves, ankles) and scale weight;
  • Biometric equations and body composition estimates (BF%, lean mass LBM, fat-free mass index FFMI, WHtR, RFM, Wilks scores);
  • Somatotype classification and natural muscular potential projections (Casey Butt and Creff formulas);
  • Workout routines, exercise logs, lifted loads (kg), sets, repetitions, workout notes, and personal records (PRs);
  • Nutrition logs and food diary entries (items consumed, gram portions, caloric counts, macronutrients: proteins, carbs, fats, dietary fiber);
  • Water intake logs and cardiovascular session summaries;
  • Authorized health tracker inputs (daily step counts and sleep duration/stages from Google Health Connect or Apple HealthKit);
  • Gamification records (XP points, player levels, Hunter ranks, achievements).

C. Technical, Diagnostics and App Shielding: Transient IP addresses, hardware parameters, anonymous crash logs (Firebase Crashlytics), and on-device runtime application self-protection checks (FreeRASP). FreeRASP operates entirely client-side without storing or transmitting personal identifiers.

D. Subscription and Billing Data: In-app purchases and subscriptions are processed directly through the Apple App Store or Google Play Store. Subscription entitlements are verified via RevenueCat. The Developer never receives, processes, or stores payment card credentials or financial account numbers.

3. Finalità e basi giuridiche del trattamento (GDPR)3. Purposes and legal grounds for processing (GDPR)

Il trattamento dei dati personali avviene nel rispetto delle condizioni di liceità previste dal Regolamento (UE) 2016/679 (GDPR):

  • Esecuzione Contrattuale (Art. 6(1)(b) GDPR): Creazione e gestione dell'account utente, autenticazione, erogazione delle funzionalità di tracciamento dell'app, elaborazione acquisti e gestione delle richieste di supporto tecnico.
  • Consenso Esplicito per Dati Particolari relativi alla Salute (Art. 9(2)(a) GDPR): Il trattamento contestuale dei dati di allenamento, misure antropometriche, alimentazione e sonno tramite l'assistente Insi AI avviene esclusivamente previo consenso esplicito e consapevole dell'utente, attivabile e revocabile selettivamente nelle impostazioni.
  • Consenso per Pubblicità Personalizzata e Dati Opzionali (Art. 6(1)(a) GDPR): Visualizzazione di inserzioni pubblicitarie pertinenti tramite Google AdMob nello Spazio Economico Europeo (gestita tramite CMP/Google UMP) e localizzazione generica per contestualizzazione alimenti.
  • Legittimo Interesse (Art. 6(1)(f) GDPR): Salvaguardia della sicurezza informatica dell'app, prevenzione di frodi o manomissioni (FreeRASP), analisi di stabilità dei crash per garantire la continuità operativa del servizio.
  • Obblighi di Legge (Art. 6(1)(c) GDPR): Adempimento di obblighi fiscali, contabili o ordini legittimi delle autorità giudiziarie o di vigilanza.

Personal data is processed in full compliance with the lawfulness criteria set forth in Regulation (EU) 2016/679 (GDPR):

  • Performance of a Contract (Article 6(1)(b) GDPR): Account registration, user authentication, delivery of core workout and nutrition tracking features, subscription management, and contractual support.
  • Explicit Consent for Special Category Health Data (Article 9(2)(a) GDPR): Processing fitness context, body circumferences, nutrition logs, and sleep metrics within Insi AI occurs strictly upon your voluntary and explicit opt-in, managed via granular permission switches.
  • Consent for Targeted Advertising and Location (Article 6(1)(a) GDPR): Delivering personalized advertising via Google AdMob in the EEA (regulated through Google UMP consent dialogs) and optional coarse location for food regionalization.
  • Legitimate Interests (Article 6(1)(f) GDPR): Maintaining app cybersecurity, runtime anti-tampering (FreeRASP), crash diagnostics, and fraud prevention balanced against user fundamental rights.
  • Legal Obligations (Article 6(1)(c) GDPR): Meeting accounting, fiscal, or regulatory obligations and responding to lawful requests from judicial authorities.

4. Assistente Insi AI, conformità EU AI Act e sicurezza4. Insi AI assistant, EU AI Act compliance and security

L'Assistente Insi AI è progettato per supportare l'utente nell'organizzazione degli allenamenti, nella spiegazione di concetti fitness, nella stima calorica dei pasti e nell'analisi della composizione corporea. Nella modalità integrata standard:

  • I messaggi, il contesto autorizzato e le immagini inviate transitano in modo cifrato (TLS 1.3) attraverso l'infrastruttura serverless Cloudflare di Elevate e vengono elaborati dall'API Google Gemini (Paid Services Enterprise).
  • Nessun Addestramento sui Tuoi Dati: Ai sensi dei termini Google Cloud Gemini API Paid Services e del relativo Data Processing Addendum (DPA), i prompt, i testi e le immagini inviati non vengono MAI utilizzati per addestrare, riaddestrare o affinare i modelli pubblici di intelligenza artificiale di Google.
  • Monitoraggio Anti-Abuso: I server Google possono conservare i log tecnici delle richieste API per un periodo transitorio massimo di 55 giorni esclusivamente per controlli di sicurezza e prevenzione di abusi informatici, trascorsi i quali vengono eliminati definitivamente.

🇪🇺 Conformità al Regolamento EU AI Act (Regolamento (UE) 2024/1689):

  • Trasparenza Articolo 50: Sei informato in modo chiaro che stai interagendo con un sistema di intelligenza artificiale. Insi dichiara la propria natura sintetica e ogni risposta o stima nutrizionale costituisce un'approssimazione algoritmica probabilistica.
  • Classificazione a Basso Rischio: Insi AI è classificato quale sistema di IA a basso rischio per il lifestyle e il fitness personale. Non è un dispositivo medico (MDR 2017/745), non compie diagnosi cliniche e non effettua categorizzazione biometrica vietata né riconoscimento delle emozioni.
  • Controllo Umano (Human Oversight): L'utente mantiene piena sovranità decisionale sulle proprie scelte atletiche e nutrizionali; il sistema non impone mai modifiche vincolanti senza conferma dell'utente.

Crittografia Locale AES-256 e Controllo Totale: La cronologia delle chat Insi è conservata esclusivamente nella memoria locale del tuo dispositivo, protetta da crittografia simmetrica AES-256 con chiavi salvate nell'Android KeyStore o iOS Keychain. Il codice applica una pulizia automatica dei messaggi oltre 30 giorni (massimo 10 sessioni contemporanee). L'utente può eliminare singole sessioni con un tocco o revocare il consenso da Impostazioni → Assistente AI Insi & Privacy: la revoca comporta l'immediata e irreversibile distruzione del database locale delle chat.

The Insi AI Assistant supports your workout planning, exercise methodology queries, meal calorie estimations, and body composition tracking. In standard integrated mode:

  • Chat queries, authorized fitness context, and meal photos travel over encrypted connections (TLS 1.3) through Elevate's Cloudflare serverless reverse proxy to Google Gemini API (Paid Services tier).
  • Zero Model Training: Under Google Cloud Gemini API Paid Services terms and Enterprise Data Processing Addendum (DPA), user prompts and fitness contexts are NEVER used to train, retrain, or improve Google's public foundation AI models.
  • Abuse Monitoring Retention: Google may retain technical request logs for up to 55 days solely for automated abuse monitoring and security investigations, after which they are permanently expunged.

🇪🇺 EU AI Act Compliance (Regulation (EU) 2024/1689):

  • Article 50 Transparency: Users are explicitly informed that they are interacting with an artificial intelligence system. Insi explicitly identifies itself as an AI and all nutritional or workout suggestions are computational approximations.
  • Low-Risk Classification: Insi AI is classified as a low-risk general-purpose AI application for athletic lifestyle and fitness tracking. It is NOT a medical device (MDR 2017/745), does not offer medical diagnoses, and performs no prohibited biometric categorization or emotion inference.
  • Human Oversight & Agency: Users retain complete decision-making autonomy over training loads and dietary choices; the system never executes automated binding decisions without confirmation.

On-Device AES-256 Encryption & Right to Erasure: Insi chat sessions are stored strictly on your local device, encrypted with 256-bit AES algorithms backed by hardware KeyStore/Keychain. Chat messages older than 30 days are automatically pruned (capped at 10 active sessions). Users can wipe sessions instantly or withdraw consent under Settings → Insi AI Assistant & Privacy, which immediately and permanently destroys all local encrypted chat databases.

5. Architettura BYOK (Bring Your Own Key) e sovranità dei dati5. Bring Your Own Key (BYOK) architecture and data sovereignty

Elevate consente agli utenti di configurare una chiave API personale (modalità BYOK) collegando provider supportati: Google Gemini, OpenAI, Anthropic Claude, OpenRouter, DeepSeek, Groq, NVIDIA NIM o un endpoint compatibile OpenAI locale (es. Ollama):

  • Comunicazione Diretta Dispositivo-API: Le richieste AI, i prompt e il contesto viaggiano direttamente dal tuo smartphone all'infrastruttura del fornitore da te scelto tramite connessione crittografata TLS/HTTPS, scavalcando completamente i server e i proxy di Elevate.
  • Conservazione Zero sui Server di Elevate: I server di Elevate non intercettano, non elaborano né registrano mai la tua chiave API o i contenuti delle chat BYOK. La chiave è memorizzata esclusivamente nella memoria hardware sicura del tuo smartphone.
  • Accesso Gratuito: Gli utenti BYOK usufruiscono di Insi AI senza consumare gettoni di energia Elevate e senza necessità di abbonamento Pro.

🛡️ Qualifica GDPR e Manleva di Responsabilità per BYOK: Ai sensi del Regolamento (UE) 2016/679 (GDPR), inserendo una chiave API personale, l'utente agisce quale unico ed esclusivo Titolare del Trattamento ("Data Controller" ai sensi degli artt. 4 n. 7 e 24 GDPR) in merito alla decisione di trasmettere i propri dati a tale fornitore. Il fornitore prescelto tratta i dati secondo le proprie condizioni contrattuali e policy privacy. Elevate opera unicamente come software client locale neutro e non è né Titolare né Responsabile del Trattamento (art. 28 GDPR) per i flussi BYOK. Elevate e il suo sviluppatore sono totalmente esonerati e manlevati da qualsiasi responsabilità GDPR, pretesa civile, violazione di dati (data breach) o sanzione derivante dal trattamento effettuato dal fornitore terzo prescelto.

Elevate allows users to connect their personal API keys (BYOK mode) from supported providers: Google Gemini, OpenAI, Anthropic Claude, OpenRouter, DeepSeek, Groq, NVIDIA NIM, or custom local OpenAI-compatible endpoints (e.g. Ollama):

  • Direct Device-to-API Transmission: AI requests, prompts, and context transmit directly from your mobile device to your chosen provider's API endpoint over encrypted TLS/HTTPS, completely bypassing Elevate's proxy servers.
  • Zero Server Custody: Elevate servers never receive, inspect, or log your personal API key or the contents of BYOK communications. Keys remain confined to your device's hardware Keystore/Keychain.
  • Free Pro Access: BYOK users access Insi AI features without consuming in-app energy tokens and without requiring an Elevate Pro subscription.

🛡️ GDPR Legal Status & Full Liability Exemption in BYOK: Under Regulation (EU) 2016/679 (GDPR), when configuring a personal API key, the user acts as the sole and autonomous Data Controller ("Titolare del Trattamento" under Articles 4(7) and 24 GDPR) deciding to transmit data to that provider. The third-party provider processes data under its own terms and privacy policy. Elevate acts solely as neutral client-side software and is neither a Data Controller nor a Data Processor (Article 28 GDPR) for BYOK data flows. Elevate and the Developer are fully released, indemnified, and held harmless from any GDPR liabilities, civil claims, data breaches, or regulatory fines resulting from third-party AI provider actions.

6. Permessi del dispositivo, dati sanitari e backup cloud6. Device permissions, health integrations and cloud backups

Per erogare le funzionalità di monitoraggio atletico e nutrizionale, l'App richiede l'accesso a specifiche risorse di sistema, limitate a quanto segue:

  • INTERNET: Indispensabile per la sincronizzazione dell'account Firebase, le chiamate AI (Gemini), le query barcode su database alimentari aperti e la pubblicità.
  • ACTIVITY_RECOGNITION: Utilizzato per il rilevamento del movimento e il conteggio passi giornaliero on-device. I dati restano sul dispositivo.
  • ACCESS_COARSE_LOCATION (Facoltativo): Utilizzato nello scanner cibo AI per identificare alimenti e marchi regionali, e da AdMob per annunci pertinenti previo consenso UMP.
  • ACCESS_FINE_LOCATION (Facoltativo): Utilizzato unicamente durante le sessioni del GPS Running Tracker per tracciare percorso, distanza, velocità e rendering su mappe OpenStreetMap. Le coordinate GPS sono memorizzate esclusivamente sul dispositivo dell'utente e non vengono mai inviate ai server dello Sviluppatore.
  • CAMERA: Scansione di codici a barre alimentari e acquisizione foto piatti per la stima delle calorie da parte dell'AI.
  • READ_MEDIA_IMAGES / File Picker: Selezione di foto pasti ed esportazione/importazione di file di backup o report PDF di allenamento.
  • VIBRATE & WAKE_LOCK: Feedback tattile e mantenimento dello schermo attivo durante timer di recupero e sessioni di allenamento attivo.
  • FOREGROUND_SERVICE: Garantisce l'esecuzione affidabile del cronometro di recupero e del contapassi in background.
  • POST_NOTIFICATIONS & RECEIVE_BOOT_COMPLETED: Notifiche per scadenze timer, promemoria allenamento e ripristino allarmi dopo il riavvio dello smartphone.
  • health.READ_STEPS & health.READ_SLEEP (Google Health Connect & Apple HealthKit — Facoltativi): Lettura del totale passi e della durata del sonno per monitorare il recupero.

DIVIETO ASSOLUTO DI USO COMMERCIALE DEI DATI SALUTE: I dati letti da Google Health Connect e Apple HealthKit sono utilizzati esclusivamente a scopo di visualizzazione storica personale nell'app. Tali dati non vengono MAI venduti, MAI condivisi con broker di dati o reti pubblicitarie, e MAI impiegati per finalità di marketing o profilazione commerciale.

CONFORMITÀ GOOGLE DRIVE API LIMITED USE: L'utilizzo delle informazioni ricevute dalle API di Google aderisce integralmente alla Google API Services User Data Policy, compresi i requisiti di Limited Use. I backup sono archiviati direttamente nello spazio Drive dell'utente e lo Sviluppatore non ha alcun accesso ad essi.

APPLE ICLOUD: Su iOS, i backup cifrati sono salvati nel container privato iCloud.com.elevategym.app gestito da Apple, inaccessibile allo Sviluppatore.

To provide personal fitness and nutritional tracking, the App requests access to specific device capabilities, strictly restricted to the following purposes:

  • INTERNET: Essential for Firebase authentication, AI API requests (Gemini), open food database barcode queries, and advertising.
  • ACTIVITY_RECOGNITION: Detects physical motion for on-device daily step counting. Data remains on your smartphone.
  • ACCESS_COARSE_LOCATION (Optional): Used by the Food AI scanner to identify regional food items and by AdMob for relevant ads upon UMP consent.
  • ACCESS_FINE_LOCATION (Optional): Used strictly during GPS Running sessions for real-time route tracing, pace, and OpenStreetMap rendering. GPS coordinates are stored strictly on the local device and are never sent to Developer servers.
  • CAMERA: Barcode scanning of packaged foods and meal photos for AI nutritional estimates.
  • READ_MEDIA_IMAGES / File Picker: Selecting meal photos and exporting/importing encrypted backups or PDF workout summaries.
  • VIBRATE & WAKE_LOCK: Haptic feedback alerts and keeping screen awake during workout timers.
  • FOREGROUND_SERVICE: Keeps workout rest timers and background step counters functioning reliably.
  • POST_NOTIFICATIONS & RECEIVE_BOOT_COMPLETED: Restores timer alerts, hydration reminders, and scheduled alarms following device reboots.
  • health.READ_STEPS & health.READ_SLEEP (Google Health Connect & Apple HealthKit — Optional): Reads total steps and sleep duration for recovery logging.

STRICT PROHIBITION ON COMMERCIAL USE OF HEALTH DATA: Information read from Google Health Connect and Apple HealthKit is utilized strictly for personal historical progress display within the App. This health data is NEVER sold, NEVER shared with advertisers or data brokers, and NEVER used for advertising, marketing, or commercial profiling.

GOOGLE DRIVE API LIMITED USE COMPLIANCE: The App's use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements. Backups are transferred directly from device to user Drive; the Developer has zero access.

APPLE ICLOUD: On iOS, encrypted backups reside inside the private container iCloud.com.elevategym.app managed by Apple, inaccessible to the Developer.

7. Fornitori terzi e trasferimenti internazionali7. Third parties and international data transfers

Per erogare i servizi, Elevate si avvale dei seguenti fornitori tecnologici affidabili:

  • Google Firebase (Google Ireland Ltd. / Google LLC): Autenticazione sicura, database cloud Firestore (profili utente), Crashlytics e monitoraggio stabilità.
  • Google Gemini API (Google LLC): Elaborazione di richieste testuali e immagini per l'assistente Insi AI (soggetto a DPA Paid Services, nessun addestramento).
  • Cloudflare, Inc.: Reverse proxy serverless per la protezione DDoS e la sicurezza crittografica (TLS 1.3) delle chiamate API.
  • Google AdMob: Circuito pubblicitario per annunci banner e video premiati (gestito tramite CMP UMP).
  • RevenueCat, Inc.: Gestione degli acquisti in-app e validazione dello stato degli abbonamenti.
  • Apple Inc. & Google LLC: Servizi di sistema per backup cloud (iCloud, Google Drive) e sincronizzazione salute (Apple HealthKit, Health Connect).
  • Open Food Facts & USDA FoodData Central: Database alimentari aperti per query barcode anonime e dati nutrizionali di base.
  • OpenStreetMap: Mappe interattive e visualizzazione percorsi per la corsa GPS (nessun dato personale trasmesso oltre alle richieste standard di tile).
  • Google ML Kit & FreeRASP (Talsec): Librerie on-device per OCR ed auto-protezione dell'app contro manomissioni; operano interamente sul dispositivo senza trasmissione di dati personali.
  • Formspree, Inc.: Raccolta di moduli di contatto e contributi volontari inviati dall'utente.
  • GitHub (Microsoft): Repository pubblico per la distribuzione dell'Elevate Open Database.

Trasferimenti di Dati Extra-UE: Alcuni fornitori (es. Google, Cloudflare, RevenueCat) hanno sede o server negli Stati Uniti. I trasferimenti transfrontalieri avvengono in conformità al Capo V del GDPR, sulla base delle Clausole Contrattuali Standard (SCC) adottate dalla Commissione Europea e dell'adesione al Data Privacy Framework UE-USA.

To provide app functionality, Elevate partners with reputable technology providers:

  • Google Firebase (Google Ireland Ltd. / Google LLC): Authentication, Cloud Firestore (user profiles), Crashlytics, and stability diagnostics.
  • Google Gemini API (Google LLC): Processing text prompts and photos for Insi AI (under Paid Services DPA, zero foundation model training).
  • Cloudflare, Inc.: Serverless edge reverse proxy ensuring DDoS protection and TLS 1.3 encryption.
  • Google AdMob: Displaying rewarded and banner advertising (governed by Google UMP CMP).
  • RevenueCat, Inc.: In-app purchase verification and subscription lifecycle management.
  • Apple Inc. & Google LLC: System-level cloud backups (iCloud, Google Drive) and health framework integration (Apple HealthKit, Health Connect).
  • Open Food Facts & USDA FoodData Central: Open databases queried anonymously for barcode data and generic nutritional values.
  • OpenStreetMap: Map tiles and GPS run route rendering (no personal data transmitted beyond standard tile requests).
  • Google ML Kit & FreeRASP (Talsec): On-device libraries for OCR and application shielding; all operations execute locally without transmitting identifiers.
  • Formspree, Inc.: Processing voluntary user feedback and website contact submissions.
  • GitHub (Microsoft): Public repository host for the open Elevate food database.

International Data Transfers: Certain providers maintain infrastructure in the United States. Transfers outside the EEA comply with Chapter V of the GDPR, relying on European Commission Standard Contractual Clauses (SCCs) and the EU-US Data Privacy Framework.

8. Conservazione dei dati e cancellazione8. Data retention and deletion

I dati personali vengono conservati per il tempo strettamente necessario a perseguire le finalità descritte:

  • Dati dell'Account: Conservati fino alla cancellazione dell'account da parte dell'utente. All'eliminazione, le credenziali Firebase Authentication e il profilo Firestore vengono cancellati permanentemente dai server.
  • Dati di Fitness Locali: Conservati nella memoria del dispositivo fino alla disinstallazione dell'app o alla cancellazione manuale dei dati dall'archivio dell'OS.
  • Backup Cloud Personali: Conservati nel Google Drive o nell'iCloud personale dell'utente fino alla cancellazione manuale da parte dell'utente stesso.
  • Cronologia Insi AI: Cifrata localmente; eliminazione automatica on-device per messaggi oltre 30 giorni (max 10 sessioni); cancellazione immediata in caso di revoca del consenso o uso del comando di cancellazione chat.
  • Log Anti-Abuso Gemini: Fino a 55 giorni su server protetti Google prima della distruzione definitiva.

Procedura di Cancellazione Account: L'utente può eliminare autonomamente il proprio account in qualsiasi momento direttamente dall'app (Impostazioni → Account → Elimina Account). Qualora l'utente abbia smarrito le credenziali, può inoltrare una richiesta formale di cancellazione via email a elevate.gym.app@gmail.com, che verrà evasa tempestivamente e comunque entro 30 giorni.

Personal data is retained only for the duration necessary to satisfy the stated processing purposes:

  • Account Information: Stored until the user initiates account deletion. Upon deletion, Firebase Authentication records and Firestore profiles are permanently purged.
  • Local Fitness Records: Retained in device storage until app uninstallation or clearing of local app storage.
  • Personal Cloud Backups: Maintained in the user's private Google Drive or Apple iCloud storage until manually deleted by the user.
  • Insi AI Conversation Records: Encrypted locally; messages older than 30 days are automatically pruned on-device (capped at 10 sessions); instantly deleted upon consent withdrawal or manual wipe.
  • Gemini Abuse Logs: Retained for a maximum of 55 days on secure Google infrastructure before permanent deletion.

Account Deletion Protocol: You can delete your account at any moment directly within the app (Settings → Account → Delete Account). If you cannot access the app, you may email a formal deletion request to elevate.gym.app@gmail.com, which will be executed within 30 days.

9. Pubblicità e gestione del consenso UMP9. Advertising and UMP consent management

Per sostenere i costi di sviluppo e mantenere l'applicazione gratuita per la community, Elevate mostra annunci pubblicitari (Google AdMob). Nello Spazio Economico Europeo (SEE) e nel Regno Unito, all'avvio dell'app viene mostrato il banner di consenso certificato IAB TCF (Google User Messaging Platform - UMP), che consente all'utente di:

  • Accettare la pubblicità personalizzata basata sui propri interessi;
  • Rifiutare la personalizzazione e visualizzare esclusivamente annunci generici contestuali;
  • Sottoscrivere l'abbonamento Elevate Pro per rimuovere totalmente ogni forma di pubblicità dall'app.

L'utente può revocare o modificare le proprie scelte sul consenso pubblicitario in qualsiasi momento dall'app (Impostazioni → Privacy → Preferenze Annunci).

To fund continuous engineering and provide free features, Elevate displays advertisements through Google AdMob. Within the European Economic Area (EEA) and the UK, users are presented with an IAB TCF certified consent dialog (Google User Messaging Platform - UMP) enabling users to:

  • Accept personalized advertising based on online activity and interests;
  • Reject personalization and receive non-targeted, contextual generic advertisements;
  • Upgrade to Elevate Pro to eliminate all advertisements throughout the application.

You can adjust or revoke your advertising consent preferences at any time in the app (Settings → Privacy → Ad Preferences).

10. Misure di sicurezza tecniche e organizzative10. Technical and organizational security measures

Ai sensi dell'Art. 32 del GDPR, Elevate adotta rigorose misure di sicurezza tecniche e organizzative a tutela dei dati:

  • Crittografia end-to-end in transito per tutte le comunicazioni di rete mediante protocolli moderni TLS 1.3 / HTTPS;
  • Crittografia a riposo con algoritmo simmetrico AES-256 per il database locale Hive e per le conversazioni dell'assistente Insi;
  • Gestione hardware delle chiavi di cifratura tramite Android KeyStore crittografico e Apple iOS Keychain;
  • Protezione attiva contro la manomissione, strumenti di debug non autorizzati, hooking ed esecuzione su dispositivi rootati/jailbroken tramite la libreria FreeRASP;
  • Nessuna memorizzazione di password in chiaro (gestione token crittografati tramite Firebase Authentication).

Pursuant to Article 32 of the GDPR, Elevate deploys rigorous technical and organizational controls to protect personal data:

  • End-to-end transport encryption for all network traffic utilizing modern TLS 1.3 / HTTPS protocols;
  • At-rest encryption using symmetric 256-bit AES algorithms for local Hive databases and Insi AI chat histories;
  • Hardware-backed cryptographic key generation and storage via Android KeyStore and Apple iOS Keychain;
  • Active runtime application self-protection against tampering, reverse engineering, unauthorized debuggers, and rooted/jailbroken environments via FreeRASP;
  • Zero plain-text password storage (secure token-based authentication managed by Firebase Authentication).

11. Sito web, cookie, sicurezza e tutela asset11. Website, cookies, security and asset protection

Il sito web ufficiale di Elevate utilizza esclusivamente l'oggetto localStorage del browser ("elevate_lang") per ricordare la preferenza di lingua selezionata dall'utente (Italiano o Inglese). Il sito non fa uso di cookie di profilazione, cookie pubblicitari o strumenti di web analytics di terze parti.

Sicurezza e Monitoraggio Anti-Abuso: I server e le reti perimetrali (Cloudflare) registrano metadati tecnici di connessione (indirizzo IP di provenienza, URI risorsa, user-agent e data/ora) al fine esclusivo di garantire l'integrità del servizio, prevenire attacchi informatici (DDoS) e bloccare tentativi di estrazione o scraping automatizzato dei modelli anatomici vettoriali protetti da copyright. Tale trattamento si fonda sul legittimo interesse del Titolare alla sicurezza dei propri sistemi (art. 6(1)(f) GDPR).

Diritti di Proprietà Intellettuale sui Modelli Visivi: La navigazione sul sito web non conferisce alcun diritto di proprietà, copia o sfruttamento economico su loghi, modelli anatomici SVG, texture o codice sorgente, che restano riservati a norma di legge (L. 633/1941).

I collegamenti verso piattaforme esterne (es. LinkedIn, Instagram, repository GitHub) costituiscono semplici link ipertestuali e non incorporano widget o script di tracciamento terzi.

The official Elevate website utilizes solely the browser's localStorage feature ("elevate_lang") to store your language preference (Italian or English). The website does not deploy marketing cookies, profiling trackers, or third-party web analytics.

Security and Anti-Abuse Monitoring: Infrastructure and edge network proxies (Cloudflare) log technical connection metadata (source IP, requested URI, user-agent, timestamp) strictly to guarantee service availability, prevent cyber-attacks (DDoS), and block unauthorized automated scraping of copyright-protected vector anatomical models. This processing is based on the Controller's legitimate interest in network and asset security (Art. 6(1)(f) GDPR).

Intellectual Property Rights on Visual Models: Accessing this website conveys no license, title, or right to extract, copy, or redistribute logos, SVG anatomical graphics, or source code, which remain fully protected under Copyright Law (Law 633/1941, WIPO).

External links to social media platforms (such as LinkedIn, Instagram, or GitHub) are plain hyperlinks and do not run third-party tracking scripts or embedded social widgets.

12. I tuoi diritti e Autorità di Controllo (Garante Privacy)12. Your rights and Supervisory Authority

Ai sensi degli articoli 15-22 del Regolamento (UE) 2016/679 (GDPR), in qualità di interessato hai il diritto di:

  • Diritto di Accesso (Art. 15): Ottenere conferma dell'esistenza o meno di trattamenti di tuoi dati personali e riceverne copia;
  • Diritto di Rettifica (Art. 16): Richiedere l'aggiornamento o la rettifica di dati inesatti o incompleti;
  • Diritto alla Cancellazione / Diritto all'Oblio (Art. 17): Richiedere la cancellazione definitiva dei tuoi dati personali;
  • Diritto di Limitazione (Art. 18): Richiedere la limitazione del trattamento nelle ipotesi previste dalla legge;
  • Diritto alla Portabilità (Art. 20): Ricevere i tuoi dati in formato strutturato, di uso comune e leggibile da dispositivo automatico;
  • Diritto di Opposizione (Art. 21): Opporti in qualsiasi momento ai trattamenti fondati sul legittimo interesse;
  • Diritto di Revoca del Consenso: Revocare in qualsiasi momento il consenso espresso per le funzioni AI o la pubblicità senza pregiudicare la liceità del trattamento pregresso.

Per esercitare i tuoi diritti, puoi inviare una comunicazione scritta via email a elevate.gym.app@gmail.com. Il Titolare fornirà riscontro senza ingiustificato ritardo e comunque entro un mese dalla ricezione (termine prorogabile di due mesi in casi di eccezionale complessità).

Reclamo all'Autorità di Controllo: Se ritieni che il trattamento dei tuoi dati violi il GDPR, hai il diritto di presentare reclamo all'Autorità Garante per la Protezione dei Dati Personali (Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it, Telefono: (+39) 06.696771) o all'autorità di protezione dati del tuo Paese di residenza o lavoro nell'Unione Europea.

Under Articles 15-22 of Regulation (EU) 2016/679 (GDPR), as a data subject you have the following enforceable rights:

  • Right of Access (Article 15): Obtain confirmation of whether your data is processed and receive a copy;
  • Right to Rectification (Article 16): Request correction of inaccurate or incomplete personal information;
  • Right to Erasure / "Right to be Forgotten" (Article 17): Request the permanent deletion of your personal data;
  • Right to Restriction of Processing (Article 18): Obtain restriction of processing under legally defined circumstances;
  • Right to Data Portability (Article 20): Receive your data in a structured, commonly used, machine-readable format;
  • Right to Object (Article 21): Object at any time to processing based on legitimate interests;
  • Right to Withdraw Consent: Withdraw consent for AI processing or advertising at any time without affecting past lawful processing.

To exercise your rights, send an email to elevate.gym.app@gmail.com. We will respond without undue delay and within one month of receipt (extendable by two additional months in complex cases).

Right to Lodge a Complaint: If you consider that personal data processing infringes the GDPR, you have the right to lodge a complaint with the Italian Data Protection Authority (Garante per la Protezione dei Dati Personali, Piazza Venezia 11, 00187 Rome, www.garanteprivacy.it) or the supervisory authority of your EU Member State of residence or workplace.

13. Minori, processi decisionali automatizzati e modifiche13. Minors, automated decision making and policy updates

Minori di Età (Divieto di Utilizzo under 18): Elevate e tutti i relativi servizi digitali sono rigorosamente riservati a soggetti di età pari o superiore a 18 anni. L'app non è concepita né autorizzata per minori di 18 anni per ragioni di tutela della salute muscolo-scheletrica durante la crescita, specificità adulta dei modelli nutrizionali e conformità ai termini di servizio dei fornitori di intelligenza artificiale (Google Gemini API User Data Policy). Non raccogliamo, né trattiamo o conserviamo consapevolmente dati personali relativi a minori. Qualora un genitore o tutore rilevi che un minore abbia registrato un account o fornito dati personali, è invitato a contattarci immediatamente a elevate.gym.app@gmail.com per la cancellazione immediata e definitiva di ogni informazione.

Assenza di Processi Decisionali Automatizzati (Art. 22 GDPR): Elevate non impiega algoritmi o sistemi di intelligenza artificiale per prendere decisioni automatizzate che producano effetti giuridici sull'utente o che incidano significativamente sulla sua persona (come decisioni creditizie, occupazionali o assicurative). I calcoli di calorie, carichi e progressioni sono meramente consultivi e di supporto sportivo.

Aggiornamenti dell'Informativa: Ci riserviamo il diritto di aggiornare la presente Informativa sulla Privacy per riflettere evoluzioni tecniche, nuove funzionalità o variazioni normative. Le modifiche sostanziali saranno comunicate tramite notifica in-app o email. L'utilizzo continuato dell'app dopo la pubblicazione delle modifiche costituisce accettazione dell'informativa aggiornata.

Minors & Children's Privacy (Strict 18+ Policy): Elevate and its associated digital services are strictly reserved for individuals aged 18 or older. The application is neither designed nor authorized for minors under 18 due to adolescent musculoskeletal health considerations, adult-specific metabolic formulas, and compliance with Google API Services User Data Policies for AI integrations. We do not knowingly collect, process, or store personal data from individuals under 18. If a parent or guardian becomes aware that a minor has registered an account, please notify us immediately at elevate.gym.app@gmail.com for prompt and permanent account and data erasure.

No Automated Decision-Making Producing Legal Effects (Article 22 GDPR): Elevate does not utilize algorithms or AI systems to conduct automated decision-making that produces legal effects or similarly significant consequences concerning you (such as credit scoring, employment suitability, or insurance underwriting). Caloric and training computations are strictly motivational and advisory fitness calculations.

Updates to This Privacy Notice: We may periodically update this Privacy Notice to reflect technical developments or legal amendments. Substantial modifications will be highlighted through in-app notifications or email communications. Continued use of the App following updates signifies your acknowledgment of the revised terms.

Riferimenti normativiRegulatory references

GDPR (Reg. UE 2016/679) · EU AI Act (Reg. UE 2024/1689) · MDR (Reg. UE 2017/745) · Google API Services User Data Policy · Garante Privacy

Puoi stampare o archiviare copia del presente documento tramite il pulsante Stampa / Salva PDF in cima alla pagina.You can print or archive a copy of this document using the Print / Save PDF button at the top of the page.