1. Chi siamo (titolare del trattamento)
Il titolare del trattamento dei tuoi dati personali è NEXTA SRL, P.IVA IT02602140978, con sede legale in Via Fabbroni 12, 59100 Prato (PO), Italia. Per ogni questione privacy scrivi a privacy@ksm-official.com. PEC: amministrazione@pec.nextasolutions.it. Non abbiamo nominato un Responsabile della Protezione dei Dati (DPO): il nostro trattamento non rientra nei casi di nomina obbligatoria previsti dall'art. 37 GDPR. Preferiamo dirtelo invece di lasciare intendere che ci sia una figura che non c'è: il riferimento per la privacy è la casella qui sopra.
2. A cosa si applica questa informativa
Questa informativa descrive come trattiamo i dati personali di chi usa la piattaforma: visitatori, utenti registrati, kiter, professionisti (istruttori, coach, scuole, negozi) e acquirenti. Eccezione importante — KSM Spaces (B2B): per i dati di studenti, istruttori e clienti gestiti dalle scuole tramite il modulo Spaces, KSM agisce come responsabile del trattamento per conto della scuola, che è titolare. Vedi la sezione dedicata a Spaces. Questa informativa non si applica a siti o servizi di terzi raggiungibili tramite link dalla piattaforma.
3. Quali dati trattiamo
Trattiamo solo i dati necessari alle funzioni che usi. Ecco l’elenco, funzione per funzione.
Account e profilo
Email, username e password (conservata solo in forma cifrata: non conosciamo mai la tua password in chiaro). Dati di profilo facoltativi: nome, foto, biografia, livello di esperienza, attrezzatura (quiver), lingua preferita. Se accedi con Google riceviamo nome, email e immagine profilo: non riceviamo mai la password del tuo account Google.
Profilo pubblico kiter
Il tuo profilo kiter (username, foto, bio, statistiche, achievement, contenuti pubblicati) è visibile pubblicamente sulla piattaforma. Tu decidi cosa pubblicare; i dati di account, a partire dall’email, non sono mai pubblici.
Contenuti della community
Post, commenti, like, repost, follow, recensioni e foto che carichi nei post, sul profilo, negli annunci del mercatino e nelle vetrine professionali. I contenuti pubblicati sono visibili agli altri utenti: non caricare dati che non vuoi rendere pubblici e non pubblicare foto di altre persone senza il loro consenso.
Posizione (check-in negli spot)
Se usi il check-in in uno spot del catalogo trattiamo la tua posizione solo nel momento del check-in e solo per registrarlo. Non tracciamo la tua posizione in modo continuativo e non usiamo la posizione in background. Il permesso di localizzazione è gestito dal sistema operativo e puoi revocarlo quando vuoi: senza permesso la piattaforma resta utilizzabile, semplicemente senza check-in geolocalizzato.
Gamification
XP, achievement, badge e posizione in classifica, calcolati dalla tua attività sulla piattaforma. La classifica mostra pubblicamente username, avatar e punteggio.
Mercatino dell’usato
Annunci pubblicati, offerte e contro-offerte scambiate con altri utenti, messaggi relativi alle trattative e recensioni sulle trattative concluse.
Acquisti e pagamenti (shop, e-learning, lezioni, KSM Pro)
Dati dell’ordine: prodotti o servizi acquistati, importi, indirizzo di fatturazione e spedizione, dati fiscali dove richiesti. I dati di pagamento sono raccolti e trattati direttamente da Stripe, fornitore certificato PCI-DSS: KSM non riceve e non memorizza mai il numero completo della tua carta, vediamo solo esito del pagamento, ultime quattro cifre e circuito, per assistenza e riconciliazione. Per gli abbonamenti trattiamo stato, scadenze e rinnovi.
Richieste di prenotazione viaggio
KSM non vende e non organizza viaggi. Quando invii una richiesta per un viaggio pubblicato da un host (scuola, centro kite, organizzatore) trattiamo i dati della richiesta — date, numero di partecipanti, contatti, messaggio, preferenze — e li comunichiamo all’host, che da quel momento è titolare autonomo per la gestione della trattativa e del viaggio. Il pagamento del viaggio avviene tra te e l’host: KSM non incassa il prezzo del viaggio e non riceve i tuoi dati di pagamento per quella transazione. Conserviamo l’esistenza e lo stato della richiesta per far funzionare il servizio e per calcolare la commissione di intermediazione dovuta dall’host.
Iscrizioni agli eventi (modulo GetResponse)
Nella landing dei nostri eventi, per esempio Week’nd Fly, il modulo di iscrizione è ospitato da GetResponse S.A. e raccoglie nome, email, telefono, data di nascita, altezza e peso. Altezza e peso servono a dimensionare vela e tavola e a valutare l’idoneità alla prova in acqua: non sono dati sanitari e non li usiamo per altro. I dati non transitano dai sistemi KSM: il tuo browser li invia direttamente a GetResponse, che li conserva nella lista contatti dell’organizzatore ed è quindi titolare autonomo di quel trattamento. Base giuridica: il consenso che presti inviando il modulo (art. 6.1.a GDPR) e l’esecuzione di misure precontrattuali su tua richiesta (art. 6.1.b). Puoi revocare il consenso e chiedere la cancellazione dalla lista con il link di disiscrizione presente in ogni email. Il modulo carica anche la protezione antiabuso reCAPTCHA di Google, che riceve dati tecnici del tuo browser per distinguere una persona da un bot.
Messaggistica
I messaggi che scambi con altri utenti tramite la messaggistica interna. Non li usiamo per profilazione né per pubblicità; vi accediamo solo se necessario per obblighi di legge o per gestire segnalazioni di abuso.
Notifiche
Email di servizio (conferme ordine, sicurezza account, notifiche attività) inviate tramite Mailgun su infrastruttura europea. Notifiche push, in arrivo su iOS e Android: token del dispositivo, gestito tramite APNs (Apple) e FCM (Google). Puoi disattivare le push dal dispositivo o dalle preferenze notifiche in-app.
Dati tecnici, log e diagnostica
Log di accesso e sicurezza: indirizzo IP, data e ora, user agent, metodo e percorso della richiesta, intestazioni tecniche, parametri e contenuto della richiesta, eventi di autenticazione; sulle richieste terminate in errore registriamo anche la risposta del server, per poterlo diagnosticare. Le password sono oscurate, il contenuto di messaggi privati e recensioni non viene registrato e le intestazioni che trasportano credenziali (cookie di sessione, token) sono redatte. Error tracking con Sentry: in caso di errore tecnico raccogliamo dati diagnostici (tipo di errore, dispositivo, versione dell’app, identificativo utente se sei autenticato) per correggere i malfunzionamenti.
Dati che NON trattiamo
Non raccogliamo categorie particolari di dati (per esempio dati sulla salute) come requisito del servizio: se scegli di inserirle in contenuti liberi, per esempio nella tua bio, le rendi pubbliche tu volontariamente. Non vendiamo dati personali a terzi. Non facciamo pubblicità comportamentale.
4. Perché trattiamo i dati e su quale base giuridica
Ogni trattamento ha una finalità e una base giuridica dichiarata. Questa è la tabella completa.
| Trattamento | Finalità | Base giuridica (art. 6 GDPR) |
|---|---|---|
| Account, profilo, community, gamification, mercatino, messaggistica | Fornirti il servizio che hai richiesto registrandoti | Esecuzione del contratto (art. 6.1.b) |
| Check-in geolocalizzato | Registrare il check-in nello spot che scegli | Esecuzione del contratto (art. 6.1.b) su tua azione volontaria; il permesso di localizzazione sul dispositivo resta sotto il tuo controllo |
| Ordini, pagamenti, abbonamenti, prenotazioni di lezioni | Eseguire acquisti, rinnovi e prenotazioni | Esecuzione del contratto (art. 6.1.b) |
| Richieste di prenotazione viaggio inoltrate all’host | Metterti in contatto con l’host, che gestisce e incassa il viaggio | Esecuzione del contratto di intermediazione con te (art. 6.1.b) e misure precontrattuali su tua richiesta |
| Iscrizione agli eventi tramite il modulo GetResponse (nome, email, telefono, data di nascita, altezza, peso) | Gestire l’iscrizione, dimensionare l’attrezzatura, valutare l’idoneità alla prova in acqua | Consenso prestato inviando il modulo (art. 6.1.a) e misure precontrattuali (art. 6.1.b) |
| Fatturazione e contabilità | Adempiere a obblighi fiscali e contabili | Obbligo legale (art. 6.1.c) |
| Moderazione, gestione segnalazioni, prevenzione di abusi e frodi | Mantenere la community sicura e far rispettare i Termini | Legittimo interesse (art. 6.1.f) e, dove applicabile, obbligo legale (art. 6.1.c) |
| Log tecnici, sicurezza, error tracking | Sicurezza, continuità del servizio e correzione degli errori | Legittimo interesse (art. 6.1.f) |
| Email di servizio e notifiche di sistema | Comunicazioni necessarie al funzionamento del servizio | Esecuzione del contratto (art. 6.1.b) |
| Notifiche push e preferenze notifiche facoltative | Aggiornarti sull’attività che ti interessa | Consenso (art. 6.1.a), revocabile in ogni momento dalle preferenze in-app o dal dispositivo |
| Comunicazioni promozionali, se e quando le attiveremo | Marketing diretto | Consenso (art. 6.1.a), revocabile in ogni momento |
| Difesa di diritti in sede giudiziaria | Tutela legale | Legittimo interesse (art. 6.1.f) |
Il conferimento dei dati contrassegnati come obbligatori in fase di registrazione o di acquisto è necessario per fornirti il servizio: senza, non possiamo dar seguito alla richiesta. Tutti gli altri dati sono facoltativi.
5. Per quanto tempo conserviamo i dati
Conserviamo i dati solo per il tempo necessario alle finalità per cui sono stati raccolti.
| Categoria | Conservazione |
|---|---|
| Account e profilo | Finché l’account è attivo. Alla cancellazione l’account viene anonimizzato: i dati identificativi sono rimossi o sostituiti e la riga dell’account resta priva di identità, perché è agganciata a ordini e pagamenti da conservare per obbligo di legge. I contenuti pubblici (post, recensioni, vetrina Pro, annunci) vengono ritirati dalla pubblicazione; commenti, repost, diario delle session e alert vengono cancellati |
| Contenuti community e foto | Finché l’account è attivo o finché non li elimini tu; alla cancellazione dell’account si applica quanto sopra |
| Check-in geolocalizzati | Finché l’account è attivo, come parte dello storico attività; eliminati o anonimizzati insieme all’account |
| Messaggi | Finché l’account è attivo; alla cancellazione il tuo lato della conversazione viene anonimizzato |
| Richieste di prenotazione viaggio | Finché l’account è attivo, per la gestione della trattativa e il calcolo della commissione dovuta dall’host. I dati già passati all’host seguono la conservazione decisa da lui, che ne è titolare autonomo |
| Dati di ordini e fatturazione | 10 anni (obblighi civilistici e fiscali, art. 2220 c.c.) |
| Log tecnici e di sicurezza | 14 giorni, sia per i file di log dei sistemi di produzione (rotazione giornaliera) sia per il log di accesso applicativo conservato su database, che una procedura notturna cancella oltre quella soglia |
| Registro delle accettazioni dei documenti Spaces | Per tutta la durata dello Space e per i dieci anni successivi: è la prova di quale versione del contratto e del DPA è stata accettata, da chi e quando, e serve a ricostruire a quali condizioni operava lo Space. Alla cancellazione dell’account i dati tecnici della richiesta (indirizzo IP e browser) vengono rimossi subito; resta il fatto — documento, versione e data — agganciato a un account ormai privo di identità |
| Dati diagnostici di error tracking | 90 giorni |
| Iscrizioni agli eventi (GetResponse) | Conservazione decisa nella lista contatti dell’organizzatore; puoi cancellarti in ogni momento dal link presente in ogni email |
| Dati per la gestione di contenziosi | Fino alla definizione del contenzioso e ai relativi termini di prescrizione |
7. Fornitori che trattano i dati
Per far funzionare la piattaforma ci appoggiamo ai fornitori elencati qui sotto: alcuni ricevono dati dai nostri sistemi, altri vengono contattati direttamente dal tuo browser quando usi una funzione (mappe, video, statistiche). Non vendiamo i tuoi dati a nessuno.
| Fornitore | Finalità | Dove vengono trattati i dati |
|---|---|---|
| Stripe Payments Europe, Ltd.in verificaRiceve i dati dai nostri sistemi | Pagamenti, abbonamenti e prevenzione delle frodi | Entità europea (Irlanda), con possibili trattamenti negli Stati Uniti Possibili trattamenti fuori dall'Unione Europea |
| Sinch MailgunRiceve i dati dai nostri sistemi | Invio delle email di servizio: conferme, notifiche, recupero password | Infrastruttura europea (endpoint UE configurato) Dati trattati nell'Unione Europea |
| Functional Software, Inc. (Sentry)Riceve i dati dai nostri sistemi | Rilevazione degli errori tecnici dell'applicazione | Infrastruttura europea (Germania); società del gruppo negli Stati Uniti Possibili trattamenti fuori dall'Unione Europea |
| DigitalOcean LLCRiceve i dati dai nostri sistemi | Hosting dell'infrastruttura e archiviazione dei file caricati | Datacenter di Francoforte (Germania); società del gruppo negli Stati Uniti Possibili trattamenti fuori dall'Unione Europea |
| Google Ireland Limitedin verificaRiceve i dati dai nostri sistemi | Accesso con account Google se scegli il login social, e protezione antiabuso reCAPTCHA sul modulo di iscrizione agli eventi | Entità europea (Irlanda), con possibili trattamenti negli Stati Uniti Possibili trattamenti fuori dall'Unione Europea |
| Plausible Insights OÜin verificaContattato direttamente dal tuo browser | Statistiche d'uso aggregate, senza cookie | Unione Europea Dati trattati nell'Unione Europea |
| YouTube (Google Ireland Limited)in verificaContattato direttamente dal tuo browser | Riproduzione dei video delle lezioni, solo dopo che premi play | Entità europea (Irlanda), con possibili trattamenti negli Stati Uniti Possibili trattamenti fuori dall'Unione Europea |
| OpenFreeMapin verificaContattato direttamente dal tuo browser | Mappe e mattonelle cartografiche degli spot | Da confermare Localizzazione da confermare |
| EOX IT Services GmbHin verificaContattato direttamente dal tuo browser | Immagini satellitari della scheda spot (vista satellite) | Austria (UE): sede del fornitore Localizzazione da confermare |
| GetResponse S.A.Contattato direttamente dal tuo browser | Modulo di iscrizione agli eventi Week’nd Fly: raccoglie nome, email, telefono, data di nascita, altezza e peso, questi ultimi per dimensionare l’attrezzatura e valutare l’idoneità alla prova in acqua. Base giuridica: il consenso che presti inviando il modulo, e le misure precontrattuali per gestire l’iscrizione | Polonia (Unione Europea). I dati non passano dai sistemi KSM: il tuo browser li invia direttamente a GetResponse, che è titolare autonomo della lista contatti Dati trattati nell'Unione Europea |
Le voci contrassegnate come «in verifica» sono al vaglio del nostro consulente legale: ragione sociale esatta, sede del trattamento e garanzie contrattuali saranno confermate nella prossima versione di questa informativa. Per l'elenco aggiornato puoi scriverci in qualsiasi momento.
8. Trasferimenti fuori dall’Unione Europea
L’infrastruttura che ospita la piattaforma e i file che carichi è nell’Unione Europea: DigitalOcean, datacenter di Francoforte (Germania). Per l’hosting, quindi, non c’è trasferimento di dati fuori dall’UE. Questo però non significa che non esistano trasferimenti. Alcuni fornitori appartengono a gruppi extra-UE o possono trattare dati fuori dall’Unione: — Stripe (pagamenti): entità contraente irlandese, possibili trattamenti negli Stati Uniti; — Sentry (error tracking): raccolta sulla region tedesca, ma società madre statunitense; — Google e YouTube (login social, reCAPTCHA sul modulo eventi, video delle lezioni): entità irlandese, possibili trattamenti negli Stati Uniti; — DigitalOcean: i dati stanno a Francoforte, ma la società madre è statunitense e può accedervi per assistenza tecnica. Dove un trasferimento c’è, è protetto dalle Clausole Contrattuali Standard approvate dalla Commissione Europea e/o dalla certificazione al EU-U.S. Data Privacy Framework, oltre a misure supplementari come la cifratura in transito e la minimizzazione. Puoi chiederci copia delle garanzie scrivendo a privacy@ksm-official.com.
9. Annunci importati da altri portali
Per arricchire il mercatino KSM può mostrare, in una sezione dedicata e chiaramente etichettata, annunci di attrezzatura usata pubblicati su portali terzi con cui abbiamo un accordo. Di ogni annuncio importiamo solo i dati essenziali (titolo, categoria, marca, modello, prezzo, zona) e al massimo una foto richiamata dal sito di origine; non copiamo la descrizione né i tuoi contatti. Ogni annuncio riporta la fonte e un link diretto al portale originale, dove avviene ogni contatto e trattativa. Base giuridica: legittimo interesse (art. 6.1.f). Conservazione: massimo 30 giorni, con rimozione automatica quando l'annuncio sparisce dalla fonte. Puoi chiedere in qualsiasi momento la rimozione del tuo annuncio con il pulsante «Rimuovi questo annuncio» presente su ogni scheda: la rimozione è immediata e ne impedisce il reinserimento. Questi contenuti non vengono indicizzati dai motori di ricerca né usati per marketing o profilazione.
10. I tuoi diritti
Il GDPR ti riconosce i diritti di accesso (art. 15), rettifica (art. 16), cancellazione (art. 17), limitazione (art. 18), portabilità (art. 20) e opposizione (art. 21), oltre alla revoca del consenso in qualsiasi momento, senza pregiudicare i trattamenti già effettuati. Direttamente dall’app. Molti diritti li eserciti in autonomia dalle impostazioni: esportazione dei tuoi dati in formato strutturato (portabilità), cancellazione dell’account — che anonimizza il profilo e ritira dalla pubblicazione i tuoi contenuti pubblici, come descritto nella tabella di conservazione — gestione delle preferenze notifiche canale per canale, modifica del profilo in ogni momento. Via email. Per tutto il resto scrivi a privacy@ksm-official.com. Rispondiamo entro 30 giorni, prorogabili di 60 nei casi complessi con avviso. L’esercizio dei diritti è gratuito. Reclamo. Se ritieni che il trattamento violi il GDPR puoi proporre reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it) o all’autorità del tuo Paese UE di residenza, ferma restando la tutela giurisdizionale.
11. Minori: 14 anni per iscriversi, 18 per acquistare
Puoi registrarti alla piattaforma se hai almeno 14 anni. È l’età che l’art. 2-quinquies del Codice Privacy fissa in Italia per il consenso ai servizi della società dell’informazione, avvalendosi della facoltà che l’art. 8 GDPR lascia agli Stati membri (il Regolamento indica 16 come default, ma consente di scendere fino a 13). Sotto i 14 anni la registrazione non è consentita. Acquisti e abbonamenti sono invece riservati a chi ha almeno 18 anni. Questa non è una regola di privacy ma di capacità di agire (art. 2 c.c.): un quattordicenne può iscriversi alla community e usare le funzioni gratuite, non concludere un contratto di acquisto o di abbonamento. Per farlo deve agire, con il proprio account, chi esercita la responsabilità genitoriale. Se veniamo a conoscenza di un account creato da un minore sotto i 14 anni lo chiudiamo ed eliminiamo i dati. I genitori possono segnalarci casi all’indirizzo privacy indicato in questa pagina.
12. Processi decisionali automatizzati
Non adottiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o incidano in modo significativo su di te (art. 22 GDPR). Le funzioni di gamification (XP, classifiche) e l’ordinamento dei contenuti sono meccanismi di funzionamento del servizio, non profilazione con effetti rilevanti. La moderazione dei contenuti può usare soglie automatiche, per esempio l’oscuramento temporaneo dopo più segnalazioni, ma le decisioni di rimozione definitiva e di sospensione dell’account prevedono sempre una revisione umana.
13. Come proteggiamo i dati
Adottiamo misure tecniche e organizzative adeguate (art. 32 GDPR): cifratura in transito (TLS), password con hashing robusto, controllo degli accessi per ruolo, ambienti segregati, backup, registrazione degli eventi di sicurezza e principio di minimizzazione. Nessun sistema è sicuro al 100%: in caso di violazione che comporti rischi per i tuoi diritti ti informeremo come previsto dagli artt. 33 e 34 GDPR.
14. KSM Spaces: trattamenti per conto delle scuole
Il modulo KSM Spaces consente a scuole e centri kite di gestire i propri studenti, istruttori e attività. Per quei dati il titolare del trattamento è la scuola che usa Spaces, che decide finalità e mezzi; NEXTA SRL agisce come responsabile del trattamento ai sensi dell’art. 28 GDPR, sulla base di un Accordo sul Trattamento dei Dati (DPA) da stipulare con ciascuna scuola. Dal 13 agosto 2026 l’apertura di uno Space è tecnicamente subordinata all’accettazione del DPA e del contratto B2B «Ordine e Abbonamento KSM Spaces»: la piattaforma non attiva alcuno Space, nemmeno di prova, se l’accettazione della versione corrente di entrambi i documenti non risulta registrata. Il testo integrale è consultabile dalla piattaforma prima di accettarlo, e dell’accettazione registriamo chi l’ha fatta, quale documento, quale versione, quando, in quale lingua e i dati tecnici della richiesta (indirizzo IP e browser): senza il numero di versione, fra sei mesi non sarebbe ricostruibile quale testo è stato accettato. Se pubblichiamo una versione nuova gli Space già attivi non vengono sospesi — restano operativi e all’intestatario viene chiesto di accettare il testo aggiornato — mentre le nuove aperture richiedono da subito la versione corrente. I due documenti sono alla versione 1.0, in vigore dal 14 agosto 2026, redatta internamente e sottoposta a una revisione legale non ancora conclusa. È il testo che regola il rapporto: l’accettazione che registriamo vale come accettazione di quella versione, non come adesione a una bozza. Se la revisione porterà modifiche sostanziali pubblicheremo la versione nuova e ti chiederemo di accettarla, registrata con il proprio numero. Finché la revisione non è conclusa la cautela te la chiediamo noi, e la manteniamo per intero perché riguarda dati di altre persone: usa lo Space per valutare il prodotto, con dati tuoi o fittizi, e non per trattare dati reali di studenti e istruttori. Puoi chiedere copia dei documenti anche via email a privacy@ksm-official.com. Trattiamo quei dati solo su istruzione documentata della scuola, con gli stessi fornitori elencati in questa informativa, e li restituiamo o cancelliamo a fine contratto secondo il DPA. Se sei uno studente o un istruttore di una scuola che usa Spaces, per esercitare i tuoi diritti su quei dati rivolgiti alla scuola: se contatti noi, inoltriamo la richiesta e assistiamo la scuola nel risponderti. Se hai anche un account personale KSM, per quello il titolare resta NEXTA SRL e vale questa informativa.
15. Modifiche a questa informativa
Possiamo aggiornare questa informativa per riflettere modifiche del servizio o della normativa. Le modifiche sostanziali ti saranno comunicate via email o con avviso in piattaforma con congruo anticipo. La data di ultimo aggiornamento è indicata in testa al documento ed è verificata automaticamente contro il contenuto pubblicato: se il testo cambia, la data cambia. Le versioni precedenti sono disponibili su richiesta.
16. Contatti
Titolare del trattamento: NEXTA SRL, P.IVA IT02602140978, Via Fabbroni 12, 59100 Prato (PO), Italia. PEC: amministrazione@pec.nextasolutions.it. Per qualsiasi domanda su questa informativa o sui tuoi dati scrivi a: