This policy explains how Time Trial ("the app", "we") collects, uses and protects your personal data. Time Trial is a mobile and web application for endurance athletes and coaches, currently in development. We wrote it to be readable: if anything is unclear, contact us.

1. Who is responsible for your data

The data controller is Amilcare G. Canali, sole proprietor, VAT number 09335660966, Via Pietro Bembo 7, 20021 Bollate (MI), Italy.

Contact: privacy@timetrial.io

2. What data we collect

• Account data: name, email address, login method (Apple, Google or email), language, country and app preferences (for example the first day of your week).
• Athlete profile: sports practised, thresholds and training zones with their dates (e.g. FTP, threshold pace, heart rate zones), goals and races, equipment.
• Training data: planned and completed workouts, including structure, targets, time, distance, pace, speed, power, cadence, elevation and GPS route.
• Health and wellness data: heart rate, heart rate variability (HRV), resting heart rate, sleep, body weight and body composition, perceived effort and how you feel. These are special categories of data under the GDPR and are processed only with your explicit consent.
• Recovery sessions: physiotherapy, massage or mobility sessions you log, optionally with the name of the professional who treated you. This name is visible only to you and to a coach you connect with.
• Notes and messages you write in the app or exchange with your coach.
• Technical data: device type, operating system, app version and crash reports, used only to keep the app working.

3. Where the data comes from

You enter some data directly. Other data comes from services you choose to connect, only after you authorise them, and only for the data types you allow:

• watches and bike computers: Garmin Connect, Polar, Suunto, COROS, Wahoo, Hammerhead;
• Apple Health and Apple Watch (HealthKit and WorkoutKit) on iPhone; Health Connect on Android;
• recovery and body data: WHOOP, Oura, Withings;
• indoor training and rowing: Zwift, Rouvy, MyWhoosh, Concept2 Logbook, FORM swim goggles;
• activity files you upload (FIT, TCX, GPX) and data archives you export yourself from other services (for example a Strava archive). We do not connect to the Strava API.

Some of these connections are still being enabled with the partner and may not be available yet. You can disconnect any service at any time from the app settings; from then on we stop receiving new data from it.

4. Why we use your data and on what legal basis

Purpose	Legal basis (GDPR)
Providing the service: calendar, planned workouts, analysis, sync with your devices	Performance of the contract (art. 6.1.b)
Processing health data to calculate training load and adapt your plan	Your explicit consent (art. 9.2.a), which you can withdraw at any time
Sharing your data with a coach you connect with	Your consent (art. 6.1.a and 9.2.a)
AI coach features (explanations, workouts from text, plan suggestions)	Your explicit consent, asked before the first use; the app works fully without them
Security, abuse prevention, fixing errors	Legitimate interest (art. 6.1.f)
Subscriptions and invoices	Contract and legal obligations (art. 6.1.b and 6.1.c)

5. What we never do

• We never sell your data.
• We do not use your data for advertising or marketing profiling.
• We do not use your data to train AI models, and we require the same of our AI provider.
• We do not share your data with other users, except a coach you explicitly connect with.

6. AI features

The AI coach is optional and is switched on only after you agree in the app; you can withdraw this consent at any time in the app settings. When you use it, we send only the data needed for that request. We never send to the AI provider:

• data received from Oura;
• the name of the professional in your recovery sessions;
• your email address or other contact details.

The AI provider is Anthropic (Claude API). AI requests may be processed in the United States; see section 7 for how transfers are protected. Data is not used to train models.

7. Who processes data on our behalf

• Supabase — database, authentication and file storage. Your data is stored in the European Union.
• Anthropic — AI features only, as described in section 6.
• Apple App Store, Google Play and a subscription management service — payments and subscriptions. They do not receive your training or health data.

All processors are bound by data processing agreements. When a provider processes data outside the EU (for example in the United States), the transfer is protected by the EU Standard Contractual Clauses or the EU–US Data Privacy Framework.

8. Rules for data from connected services

For every connected service we receive only the data types you authorise, use them only to provide the features described here, and do not pass them to third parties other than the processors in section 7 and a coach you connect with. When you disconnect a service or delete your account, we delete the data received from it. In addition:

• Oura: data is shown and analysed in the app but never sent to AI features.
• WHOOP: data is never used to train or improve any AI or machine-learning model.
• Garmin: data is used only to show, analyse and plan your training and for the coach you connect with. It is processed only by our hosting provider (Supabase, EU) and is not sent to AI features; if this changes, it will happen only with Garmin's written approval, after we update this policy and only with your explicit consent. Garmin data and anything derived from it are never sold and never used to train, evaluate or improve AI models. You can disconnect Garmin at any time from the app or from Garmin Connect.
• Polar, Suunto, COROS, Wahoo, Hammerhead, Withings, Concept2, Zwift, Rouvy, MyWhoosh, FORM: used under each partner's API terms, only for your own account and your coach.
• Strava: only files from an archive you export and upload yourself.

9. How long we keep data

We keep your data while your account is active. If you delete your account, we delete your personal data within 30 days, except data we must keep by law (for example invoices, for the period required by Italian tax law). Backups are overwritten within a further 30 days.

10. Your rights

Under the GDPR you can at any time:

• access your data and receive a copy;
• correct inaccurate data;
• delete your data and your account;
• export your data in a reusable format (portability);
• withdraw your consent, without affecting processing done before;
• object to or restrict certain processing;
• lodge a complaint with a supervisory authority — in Italy, the Garante per la protezione dei dati personali.

You can exercise most rights directly in the app (Profile → Account and data: export, delete account; disconnect services) — see also how to delete your account — or by writing to privacy@timetrial.io. We reply within 30 days.

11. Security

Data is encrypted in transit and at rest, each user can access only their own records, access by our staff is limited to what is strictly necessary, and connections to partner platforms use their official, authorised interfaces.

12. Age

Time Trial is intended for people aged 16 or over. We do not knowingly collect data from younger users.

13. Not medical advice

Time Trial provides training information, not medical advice. Consult a doctor before starting a training programme or if you have symptoms.

14. Changes

We may update this policy as the app evolves. We will announce significant changes in the app before they take effect. The date at the top shows the latest version. See also our Terms of Use.

Questa informativa spiega come Time Trial ("l'app", "noi") raccoglie, usa e protegge i tuoi dati personali. Time Trial è un'applicazione mobile e web per atleti di endurance e coach, attualmente in sviluppo. L'abbiamo scritta per essere leggibile: se qualcosa non è chiaro, contattaci.

1. Chi è responsabile dei tuoi dati

Il titolare del trattamento è Amilcare G. Canali, ditta individuale, P.IVA 09335660966, Via Pietro Bembo 7, 20021 Bollate (MI), Italia.

Contatto: privacy@timetrial.io

2. Quali dati raccogliamo

• Dati dell'account: nome, email, metodo di accesso (Apple, Google o email), lingua, paese e preferenze dell'app (ad esempio il giorno di inizio della settimana).
• Profilo atleta: sport praticati, soglie e zone di allenamento con le loro date (es. FTP, passo soglia, zone di frequenza cardiaca), obiettivi e gare, attrezzatura.
• Dati di allenamento: allenamenti pianificati e svolti, con struttura, obiettivi, tempo, distanza, passo, velocità, potenza, cadenza, dislivello e percorso GPS.
• Dati sanitari e di benessere: frequenza cardiaca, variabilità della frequenza cardiaca (HRV), frequenza a riposo, sonno, peso e composizione corporea, sforzo percepito e sensazioni. Sono categorie particolari di dati secondo il GDPR e li trattiamo solo con il tuo consenso esplicito.
• Sedute di recupero: fisioterapia, massaggio o mobilità che registri, con il nome del professionista se scegli di inserirlo. Il nome è visibile solo a te e al coach a cui ti colleghi.
• Note e messaggi che scrivi nell'app o scambi con il tuo coach.
• Dati tecnici: tipo di dispositivo, sistema operativo, versione dell'app e rapporti di errore, usati solo per far funzionare l'app.

3. Da dove arrivano i dati

Alcuni dati li inserisci tu. Altri arrivano dai servizi che scegli di collegare, solo dopo che li hai autorizzati e solo per i tipi di dati che consenti:

• orologi e ciclocomputer: Garmin Connect, Polar, Suunto, COROS, Wahoo, Hammerhead;
• Apple Salute e Apple Watch (HealthKit e WorkoutKit) su iPhone; Health Connect su Android;
• recupero e dati corporei: WHOOP, Oura, Withings;
• allenamento indoor e remo: Zwift, Rouvy, MyWhoosh, Concept2 Logbook, occhialini FORM;
• file di attività che carichi (FIT, TCX, GPX) e archivi di dati che esporti tu da altri servizi (ad esempio l'archivio Strava). Non ci colleghiamo alle API di Strava.

Alcuni di questi collegamenti sono ancora in attivazione con il partner e potrebbero non essere ancora disponibili. Puoi scollegare qualsiasi servizio in ogni momento dalle impostazioni dell'app; da quel momento smettiamo di ricevere nuovi dati da quel servizio.

4. Perché usiamo i tuoi dati e su quale base giuridica

Finalità	Base giuridica (GDPR)
Fornire il servizio: calendario, allenamenti pianificati, analisi, sincronizzazione con i dispositivi	Esecuzione del contratto (art. 6.1.b)
Trattare i dati sanitari per calcolare il carico e adattare il piano	Tuo consenso esplicito (art. 9.2.a), revocabile in qualsiasi momento
Condividere i dati con un coach a cui ti colleghi	Tuo consenso (art. 6.1.a e 9.2.a)
Funzioni del coach AI (spiegazioni, allenamenti da testo, proposte sul piano)	Tuo consenso esplicito, chiesto prima del primo uso; l'app funziona completamente anche senza
Sicurezza, prevenzione di abusi, correzione di errori	Legittimo interesse (art. 6.1.f)
Abbonamenti e fatture	Contratto e obblighi di legge (art. 6.1.b e 6.1.c)

5. Cosa non facciamo mai

• Non vendiamo i tuoi dati.
• Non usiamo i tuoi dati per pubblicità o profilazione commerciale.
• Non usiamo i tuoi dati per addestrare modelli di AI, e chiediamo lo stesso al nostro fornitore di AI.
• Non condividiamo i tuoi dati con altri utenti, salvo il coach a cui ti colleghi esplicitamente.

6. Funzioni di AI

Il coach AI è facoltativo e si attiva solo dopo il tuo consenso nell'app; puoi revocarlo in qualsiasi momento dalle impostazioni. Quando lo usi, inviamo solo i dati necessari a quella richiesta. Non inviamo mai al fornitore di AI:

• i dati ricevuti da Oura;
• il nome del professionista delle sedute di recupero;
• la tua email o altri dati di contatto.

Il fornitore di AI è Anthropic (Claude API). Le richieste di AI possono essere elaborate negli Stati Uniti; la sezione 7 spiega come è tutelato il trasferimento. I dati non vengono usati per addestrare modelli.

7. Chi tratta i dati per nostro conto

• Supabase — database, autenticazione e archiviazione file. I tuoi dati sono conservati nell'Unione Europea.
• Anthropic — solo per le funzioni di AI, come descritto nella sezione 6.
• Apple App Store, Google Play e un servizio di gestione abbonamenti — per pagamenti e abbonamenti. Non ricevono i tuoi dati di allenamento o di salute.

Tutti i fornitori sono vincolati da accordi sul trattamento dei dati. Quando un fornitore tratta dati fuori dall'UE (ad esempio negli Stati Uniti), il trasferimento è tutelato dalle Clausole Contrattuali Standard UE o dal Data Privacy Framework UE–USA.

8. Regole per i dati dei servizi collegati

Per ogni servizio collegato riceviamo solo i tipi di dati che autorizzi, li usiamo solo per le funzioni descritte qui e non li passiamo a terzi, salvo i fornitori della sezione 7 e il coach a cui ti colleghi. Quando scolleghi un servizio o elimini l'account, cancelliamo i dati ricevuti da quel servizio. Inoltre:

• Oura: i dati sono mostrati e analizzati nell'app ma non vengono mai inviati alle funzioni di AI.
• WHOOP: i dati non vengono mai usati per addestrare o migliorare modelli di AI o di machine learning.
• Garmin: i dati sono usati solo per mostrare, analizzare e pianificare il tuo allenamento e per il coach a cui ti colleghi. Li tratta solo il nostro fornitore di hosting (Supabase, UE) e non vengono inviati alle funzioni di AI; se questo cambierà, accadrà solo con l'approvazione scritta di Garmin, dopo aver aggiornato questa informativa e solo con il tuo consenso esplicito. I dati Garmin e quanto ne deriva non vengono mai venduti né usati per addestrare, valutare o migliorare modelli di AI. Puoi scollegare Garmin in qualsiasi momento dall'app o da Garmin Connect.
• Polar, Suunto, COROS, Wahoo, Hammerhead, Withings, Concept2, Zwift, Rouvy, MyWhoosh, FORM: usati secondo i termini API di ciascun partner, solo per il tuo account e per il tuo coach.
• Strava: solo i file di un archivio che esporti e carichi tu.

9. Per quanto tempo conserviamo i dati

Conserviamo i dati finché il tuo account è attivo. Se elimini l'account, cancelliamo i tuoi dati personali entro 30 giorni, salvo quelli che dobbiamo conservare per legge (ad esempio le fatture, per il periodo previsto dalla normativa fiscale italiana). Le copie di backup vengono sovrascritte entro ulteriori 30 giorni.

10. I tuoi diritti

Secondo il GDPR puoi in qualsiasi momento:

• accedere ai tuoi dati e riceverne una copia;
• correggere dati inesatti;
• cancellare i tuoi dati e l'account;
• esportare i dati in un formato riutilizzabile (portabilità);
• revocare il consenso, senza effetti sui trattamenti già svolti;
• opporti o chiedere la limitazione di alcuni trattamenti;
• presentare reclamo al Garante per la protezione dei dati personali.

Puoi esercitare la maggior parte dei diritti direttamente nell'app (Profilo → Account e dati: esporta, elimina account; scollega servizi) — vedi anche come eliminare l'account — o scrivendo a privacy@timetrial.io. Rispondiamo entro 30 giorni.

11. Sicurezza

I dati sono cifrati durante la trasmissione e l'archiviazione, ogni utente può accedere solo ai propri dati, l'accesso da parte nostra è limitato allo stretto necessario e i collegamenti con le piattaforme dei partner avvengono tramite le loro interfacce ufficiali e autorizzate.

12. Età

Time Trial è destinata a persone di almeno 16 anni. Non raccogliamo consapevolmente dati di utenti più giovani.

13. Non è un consiglio medico

Time Trial fornisce informazioni sull'allenamento, non consigli medici. Consulta un medico prima di iniziare un programma di allenamento o in presenza di sintomi.

14. Modifiche

Potremo aggiornare questa informativa con l'evoluzione dell'app. Annunceremo le modifiche importanti nell'app prima che entrino in vigore. La data in alto indica la versione più recente. Vedi anche i Termini d'uso.