Informativa privacy

Questa informativa spiega come trattiamo i tuoi dati personali quando usi il sito pumpshake.it, quando crei un account PumpShake e quando acquisti uno shake dalle nostre macchine. È redatta ai sensi degli articoli 13 e 14 del Regolamento UE 2016/679 (GDPR).

1. Chi tratta i tuoi dati

Il titolare del trattamento è BLOOM S.r.l.s. (società a socio unico), con sede legale in Via Canonico F. Chiesa 8, 12046 Montà (CN), Italia — P.IVA e codice fiscale 04218310045, iscritta al Registro Imprese di Cuneo, REA CN - 344586.
Per qualsiasi questione sui tuoi dati puoi scrivere a info@pumpshake.it.

2. Quali dati raccogliamo

Dati dell'account

• Nome (quello che inserisci tu, anche solo di battesimo) e indirizzo email.
• Se accedi con Google: nome, email e immagine del profilo che Google ci comunica. Non riceviamo la tua password Google.
• Foto del profilo, solo se decidi di caricarne una dall'area personale. È facoltativa: se non la carichi usiamo le tue iniziali. Puoi rimuoverla in qualsiasi momento.
• Se accedi con email e password: la password è conservata solo in forma cifrata (hash) dal nostro fornitore di autenticazione e non è leggibile né da noi né da altri.

Dati degli acquisti

• Prodotto scelto, eventuali aggiunte (per esempio la creatina), importo, data e ora, macchina e palestra in cui hai acquistato, metodo di pagamento usato (carta, Satispay, shake premio).
• Bollini accumulati e premi usati nel programma fedeltà.
• Se attivi un cartoncino con lo shake offerto: il codice del cartoncino, quando l'hai attivato e quando hai ritirato lo shake. Per impedire che qualcuno provi a indovinare i codici, teniamo per 24 ore anche il numero di codici sbagliati inseriti dal tuo account.
• Se ti colleghi a un personal trainer con il suo codice: a quale personal sei collegato, da quando, il tuo consenso e l'eventuale shake offerto di benvenuto.
• Da quale canale ti sei registrato: un cartoncino, il link di un personal trainer, il QR di una macchina, un nostro link (per esempio quello nella bio di Instagram o su un volantino) oppure il sito. Lo usiamo solo per statistiche aggregate su quali canali funzionano.

Non trattiamo i dati della tua carta di pagamento. Il pagamento avviene tramite il terminale e i circuiti dei fornitori di servizi di pagamento: noi riceviamo soltanto l'esito (pagato/non pagato) e l'importo.

Dati tecnici

• Cookie tecnici necessari a tenerti collegato e a ricordare le tue scelte sui cookie (vedi la cookie policy).
• Log del server (indirizzo IP, data e ora, pagina richiesta, browser), generati automaticamente e usati per sicurezza e diagnostica.
• Registro dei consensi: cosa hai accettato, quando e con quale versione dell'informativa.

Quello che compare sullo schermo della macchina

Quando inquadri il QR code e colleghi il tuo account, la macchina ti saluta per nome e mostra in alto a destra la tua foto profilo (o le tue iniziali, se non ne hai caricata una), per tutta la durata dell'acquisto. Serve a farti capire che sei stato riconosciuto e che la tessera fedeltà sta contando il tuo shake.

Lo schermo si trova in palestra, quindi chi ti è vicino in quel momento può vedere il tuo nome e la tua foto. Tienine conto quando decidi se caricare una foto: non è obbligatoria, e senza di essa compaiono solo le iniziali. Il collegamento dura il tempo di un acquisto: appena la macchina torna in attesa, i tuoi dati spariscono dallo schermo e dalla sua memoria. Alla macchina inviamo il tuo nome, la foto se c'è, e il conteggio della tessera: non il cognome, non l'email.

L'indirizzo internet della foto è raggiungibile da chi lo possiede, perché è la macchina stessa a doverla scaricare. Non è elencata da nessuna parte e non è associata pubblicamente al tuo nome.

Richieste di rimborso

Se la macchina non riesce ad annullare da sola un pagamento, ti mostra un codice e un QR che portano alla pagina /rimborso. Lì ti chiediamo nome, email e, se vuoi, un messaggio. Li usiamo solo per ritrovare il tuo pagamento tramite il codice, farti il rimborso e risponderti. Non serve avere un account, e questi dati non finiscono nel tuo profilo né in nessuna lista di marketing. La base giuridica è l'esecuzione del contratto di acquisto (art. 6.1.b GDPR).

3. Perché li trattiamo e con quale base giuridica

4. Storico acquisti e personalizzazione

Lo storico dei tuoi acquisti ci serve, prima di tutto, per far funzionare la tessera fedeltà: senza contare gli shake non possiamo regalarti il premio.

Se hai attivato il consenso marketing, possiamo usare lo stesso storico per proporti comunicazioni più pertinenti (per esempio informarti di un gusto nuovo simile a quello che prendi di solito). Non prendiamo decisioni automatizzate che producano effetti giuridici su di te e non stiliamo profili che incidano sul prezzo che paghi. Puoi revocare il consenso marketing in qualsiasi momento dall'area personale: da quel momento lo storico resta usato solo per la fedeltà e per i nostri conti.

5. A chi comunichiamo i dati

Non vendiamo i tuoi dati a nessuno. Li trattano per nostro conto, come responsabili del trattamento e sulla base di un contratto ai sensi dell'art. 28 GDPR, i fornitori che ci servono per far funzionare il servizio:

• il fornitore di hosting del sito e delle nostre funzioni server;
• il fornitore del database e del sistema di autenticazione, dove sono conservati account, ordini e consensi;
• il fornitore del servizio di invio email, se hai dato il consenso marketing, e per gli avvisi interni con cui riceviamo le richieste di rimborso.

Trattano invece dati come titolari autonomi: Google, se scegli di accedere con il tuo account Google, e i gestori dei pagamenti (terminale di pagamento e Satispay) per la parte di transazione che li riguarda. Per capire come trattano i tuoi dati puoi leggere le loro informative.

Se ti colleghi a un personal trainer con il suo codice, e solo con il tuo consenso, quel personal vede il tuo nome e cognome e quanti shake compri (numero, date degli acquisti e se hai ritirato lo shake offerto); non vede email, telefono, importi o metodi di pagamento. Il collegamento dura 12 mesi e puoi toglierlo quando vuoi dall'area personale: da quel momento il personal non ti vede più.

I dati possono essere comunicati ad autorità pubbliche quando la legge lo impone, e ai nostri consulenti (per esempio il commercialista) nei limiti di quanto necessario.

6. Trasferimenti fuori dall'Unione Europea

Preferiamo fornitori che conservino i dati su server nell'Unione Europea. Quando un fornitore comporta un trasferimento verso un paese terzo, questo avviene solo in presenza di una decisione di adeguatezza della Commissione europea o di clausole contrattuali standard approvate dalla Commissione (artt. 45-46 GDPR), con le misure aggiuntive del caso. Se acconsenti ai cookie di statistica, Google Analytics (Google Ireland Limited) può trasferire dati negli Stati Uniti nel quadro del Data Privacy Framework UE-USA (vedi la cookie policy). Puoi chiederci copia delle garanzie in essere scrivendo a info@pumpshake.it.

7. Per quanto tempo li conserviamo

• Account e bollini fedeltà: finché il tuo account esiste. Se lo cancelli, eliminiamo nome, email e consensi; gli acquisti restano nei nostri registri di vendita ma privati di ogni collegamento a te.
• Account inattivi: se non usi il servizio per 24 mesi possiamo cancellare l'account previo avviso via email.
• Dati contabili e fiscali: 10 anni, come impone la normativa.
• Registro dei consensi: per tutta la durata del rapporto e per il tempo necessario a dimostrare di aver rispettato le tue scelte.
• Richieste di rimborso: il tempo necessario a gestirle e, se il rimborso viene fatto, quanto richiesto dalla normativa contabile per documentarlo.
• Log tecnici: di norma non oltre 12 mesi, salvo necessità di accertare un abuso.

8. I tuoi diritti

Puoi chiederci in qualsiasi momento: l'accesso ai tuoi dati e una copia (art. 15), la rettifica di dati sbagliati (art. 16), la cancellazione (art. 17), la limitazione del trattamento (art. 18), la portabilità in formato leggibile da una macchina (art. 20), e puoi opporti ai trattamenti basati sul nostro legittimo interesse (art. 21). Se un trattamento si basa sul consenso, puoi revocarlo quando vuoi senza dover spiegare perché e senza che questo tocchi la liceità di quanto fatto prima.

Il modo più rapido: la cancellazione dell'account e l'attivazione o revoca del consenso marketing le fai da solo dall'area personale. Per tutto il resto scrivi a info@pumpshake.it: ti rispondiamo entro un mese.

Se ritieni che stiamo trattando i tuoi dati in modo illecito puoi rivolgerti al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità dello Stato UE in cui risiedi.

9. Obbligatorietà del conferimento

Nome ed email servono per avere un account e la tessera fedeltà: senza di essi non possiamo creare l'account, ma puoi comunque acquistare come ospite alla macchina, senza registrarti e senza darci alcun dato personale. Il consenso marketing è invece del tutto facoltativo: se non lo dai, usi il servizio esattamente come gli altri.

10. Minori

L'account PumpShake è riservato a chi ha compiuto almeno 14 anni, età che in Italia consente di prestare validamente il consenso per i servizi della società dell'informazione. Alcuni prodotti, in particolare quelli con caffeina, non sono adatti ai minori: le avvertenze sono sempre mostrate sullo schermo della macchina prima dell'acquisto.

11. Modifiche a questa informativa

Se cambiamo qualcosa di sostanziale pubblichiamo qui la versione aggiornata e, quando la modifica riguarda trattamenti basati sul tuo consenso, te lo chiediamo di nuovo. La versione di questa informativa è 2026-09-19.