Privacy Policy · SK Brdina

Premessa

La presente informativa è resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (di seguito «GDPR») e del Decreto Legislativo 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali), come modificato dal Decreto Legislativo 10 agosto 2018, n. 101, allo scopo di descrivere le modalità con cui l'Associazione tratta i dati personali degli utenti della piattaforma web https://brdina.org, dei genitori, dei minori e degli altri soggetti che interagiscono con i servizi offerti. La lettura del presente documento consente all'interessato di comprendere quali dati vengono raccolti, per quali finalità, su quali basi giuridiche e con quali garanzie.

1. Titolare del trattamento

Il titolare del trattamento è l'A.S.D. SK Brdina, Associazione Sportiva Dilettantistica Sci Club Brdina, con sede in Via di Monrupino 38, Repentaborska ulica 38, 34151 Opicina (Opčine), Trieste, Codice Fiscale 90040070329, Partita IVA 00785000324, nella persona del legale rappresentante pro tempore, sig. Andrea Don.

Contatto per la protezione dei dati: info@brdina.org, recapito telefonico +39 342 0730513.
Responsabile per la tutela dei minori (Safeguarding): sig.ra Tatjana Čač, quale riferimento per le questioni attinenti alla protezione dei bambini nell'ambito delle attività sociali.
Responsabile della protezione dei dati (DPO): non nominato, non ricorrendo allo stato le condizioni di obbligatorietà di cui all'articolo 37 del GDPR; la relativa valutazione è periodicamente riesaminata dall'Associazione.

2. Categorie di interessati

Il trattamento riguarda distinte categorie di soggetti, tra le quali i visitatori del sito pubblico, i genitori o tutori che si registrano e gestiscono l'area riservata, i minori iscritti alle attività i cui dati sono conferiti dal genitore, gli istruttori e i collaboratori dell'Associazione. Non sono previsti account intestati direttamente a minori, i cui dati sono in ogni caso inseriti e gestiti dall'adulto esercente la responsabilità genitoriale o la tutela.

3. Categorie di dati personali trattati

In relazione ai servizi utilizzati, l'Associazione tratta le seguenti categorie di dati personali.

Dati del genitore o utente: indirizzo di posta elettronica, password conservata in forma cifrata, nome, cognome, codice fiscale, numero di telefono, lingua preferita, stato dell'indirizzo email, eventuale attivazione delle notifiche push, dichiarazione di presa visione dell'Informativa Privacy e dei Termini e Condizioni con data e ora, nonché l'identità Google in caso di autenticazione mediante tale servizio.
Dati del minore: nome, cognome, data di nascita, luogo di nascita, indirizzo, codice fiscale, cittadinanza e livello di sci.
Dati associativi e operativi: iscrizioni ai corsi, modulo di iscrizione firmato acquisito in formato immagine o PDF, pagamenti con importo, riferimento del bonifico, stato e nominativo del soggetto che ha effettuato il versamento, quota associativa, prenotazioni del trasporto ed eventuale lista d'attesa, presenze, carta FISI e assegnazione dei bambini ai gruppi.
Ricevuta di pagamento: documento in formato PDF contenente il nominativo del bonificante, con uno spazio lasciato in bianco in corrispondenza del relativo codice fiscale, compilabile dal genitore ove necessario, l'importo in cifre e in lettere, il nome, la data e il luogo di nascita e l'indirizzo del bambino, l'oggetto del pagamento e la dicitura sulla detraibilità fiscale ai sensi dell'articolo 15 del TUIR.
Comunicazioni e registri interni: comunicati e messaggi in bacheca, notifiche in applicazione, registro delle notifiche inviate via email o push e registro delle azioni amministrative.
Contenuti pubblicati sul sito: fotografie della galleria e delle sezioni agonistiche, che possono ritrarre minori, e risultati delle gare recanti nominativi e piazzamenti, pubblicati sulla base dei consensi all'utilizzo delle immagini raccolti in forma cartacea.
Dati tecnici: l'indirizzo IP è utilizzato esclusivamente e in forma non persistente per la limitazione del traffico sui form pubblici e sull'assistente virtuale; le conversazioni con l'assistente non vengono conservate.

L'Associazione non tratta categorie particolari di dati ai sensi dell'articolo 9 del GDPR. Nessun dato sanitario e nessun certificato medico viene richiesto o transita sulla Piattaforma, non essendo necessario per le attività non agonistiche gestite.

4. Fonte dei dati

I dati sono raccolti direttamente presso l'interessato o, con riferimento ai minori, presso il genitore che li conferisce. In caso di autenticazione tramite Google, l'Associazione riceve dal fornitore i dati di identificazione strettamente necessari all'accesso. I dati contenuti nel modulo di iscrizione cartaceo sono acquisiti attraverso il caricamento del documento firmato nell'area riservata.

5. Finalità del trattamento e basi giuridiche

I dati personali sono trattati per le finalità e sulle basi giuridiche di seguito specificate.

Gestione del rapporto associativo e delle iscrizioni: costituzione e gestione dell'adesione a socio, iscrizione ai corsi, gestione delle quote, delle presenze, delle prenotazioni e dei gruppi, sulla base dell'esecuzione del rapporto associativo di cui l'interessato è parte e delle relative misure preliminari, ai sensi dell'articolo 6, paragrafo 1, lettera b), del GDPR.
Adempimenti di legge: emissione delle ricevute, tenuta della documentazione contabile e assolvimento degli obblighi fiscali e amministrativi, ai sensi dell'articolo 6, paragrafo 1, lettera c), del GDPR.
Comunicazioni di servizio: invio delle email transazionali e delle notifiche connesse al funzionamento della Piattaforma e al rapporto associativo, in esecuzione del medesimo rapporto ai sensi dell'articolo 6, paragrafo 1, lettera b), del GDPR.
Notifiche push facoltative: invio delle notifiche push agli utenti che le attivano, sulla base del consenso manifestato mediante l'attivazione, ai sensi dell'articolo 6, paragrafo 1, lettera a), del GDPR.
Pubblicazione di immagini e risultati: diffusione di fotografie, video e risultati delle gare, anche riferiti a minori, sulla base del consenso specifico raccolto in forma cartacea, ai sensi dell'articolo 6, paragrafo 1, lettera a), del GDPR.
Trasporto del minore con mezzi societari: organizzazione del trasporto sulla base del consenso raccolto in forma cartacea, ai sensi dell'articolo 6, paragrafo 1, lettera a), del GDPR.
Sicurezza e prevenzione degli abusi: limitazione del traffico, protezione anti-spam, monitoraggio degli errori tecnici e tenuta dei registri, in base al legittimo interesse dell'Associazione a garantire la sicurezza e il corretto funzionamento del servizio, ai sensi dell'articolo 6, paragrafo 1, lettera f), del GDPR.

6. Trattamento dei dati dei minori

In ragione della destinazione delle attività a bambini di età tipicamente compresa tra i quattro e i quattordici anni, la protezione dei dati dei minori riceve particolare attenzione. I dati del minore sono conferiti e gestiti unicamente dal genitore o dal tutore, che agisce in nome e per conto del minore e garantisce la legittimazione a fornirne i dati. La pubblicazione di immagini o risultati che riguardano i minori avviene esclusivamente ove sia stato prestato il relativo consenso in forma cartacea, sempre revocabile. L'Associazione adotta misure adeguate a garantire che il trattamento dei dati riferiti ai minori sia limitato a quanto necessario per le finalità istituzionali.

7. Natura del conferimento

Il conferimento dei dati necessari alla registrazione, all'adesione associativa, all'iscrizione ai corsi e all'adempimento degli obblighi di legge ha natura obbligatoria; l'eventuale rifiuto rende impossibile la fruizione dei relativi servizi. Il conferimento dei dati connessi alle finalità fondate sul consenso, quali le notifiche push, la pubblicazione delle immagini e il trasporto con mezzi societari, ha natura facoltativa e il rifiuto comporta la sola impossibilità di beneficiare dello specifico servizio, senza pregiudizio per il rapporto associativo.

8. Modalità del trattamento e misure di sicurezza

Il trattamento è effettuato con strumenti informatici e telematici, nel rispetto dei principi di liceità, correttezza, trasparenza, minimizzazione e limitazione della conservazione previsti dall'articolo 5 del GDPR. L'Associazione adotta misure tecniche e organizzative adeguate a garantire un livello di sicurezza appropriato al rischio, tra cui la cifratura dei dati in transito mediante protocolli HTTPS e TLS e la cifratura a riposo del database e dell'archiviazione dei file, il controllo degli accessi a livello di singola riga in modo che ciascun utente acceda unicamente ai propri dati, la conservazione dei file contenenti dati personali in aree private accessibili solo mediante collegamenti firmati a scadenza breve, la conservazione delle password in forma non leggibile, la limitazione del traffico e la protezione anti-spam sui form pubblici, nonché la tenuta di un registro delle azioni amministrative.

Nella modalità applicazione, l'area riservata può inoltre conservare temporaneamente sul dispositivo dell'istruttore autenticato, mediante IndexedDB, una copia locale dei dati dei gruppi assegnati, inclusi i nominativi dei bambini appartenenti al gruppo, al solo fine di consentire la visualizzazione dell'elenco e la registrazione delle presenze in assenza di connessione. Tali dati rimangono sul dispositivo dell'utente autenticato e sono sovrascritti a ogni successiva sincronizzazione.

9. Destinatari e responsabili del trattamento

Per l'erogazione dei servizi l'Associazione si avvale di fornitori esterni e di servizi tecnici funzionali alla Piattaforma, che operano, secondo la rispettiva attività, quali responsabili del trattamento ai sensi dell'articolo 28 del GDPR ovvero quali soggetti tecnici coinvolti nella trasmissione dei dati mediante il browser dell'utente. I principali soggetti e servizi coinvolti sono di seguito indicati.

Hetzner: hosting dell'applicazione presso i data center di Falkenstein, Germania.
Supabase: database, autenticazione e archiviazione dei file, con dati ubicati a Francoforte, Germania.
Brevo: invio delle sole email transazionali e di servizio, con sede in Francia.
Google Cloud, Vertex AI: erogazione dell'assistente virtuale basato sul modello Gemini in regione europea, coperta dal Google Cloud Data Processing Addendum e senza utilizzo dei contenuti per l'addestramento dei modelli.
Google OAuth: servizio facoltativo di autenticazione tramite account Google.
Sentry: monitoraggio degli errori tecnici, con trattamento nell'Unione Europea.
Web Push: le notifiche push, per i soli utenti che le attivano, sono recapitate tramite il servizio push del browser dell'utente, gestito dal relativo produttore, quale Google per Chrome, Mozilla per Firefox o Apple per Safari, la cui infrastruttura può essere ubicata anche al di fuori dell'Unione Europea e sulla quale l'Associazione non esercita alcun controllo. Il contenuto della notifica è cifrato secondo lo standard Web Push (RFC 8291); il servizio riceve pertanto il payload cifrato e l'endpoint tecnico di consegna, senza accedere al contenuto in chiaro.
OpenFreeMap: servizio no-profit basato su OpenStreetMap che fornisce le componenti grafiche della mappa nella pagina dei contatti, senza cookie né tracciamento, ricevendo il solo indirizzo IP del visitatore quale dato tecnico di connessione.

Le statistiche di traffico sono raccolte mediante Plausible Analytics in versione self-hosted, ospitata sullo stesso server dell'Associazione, in modalità priva di cookie e limitata a dati aggregati e anonimi, senza tracciamento tra siti e senza trasferimento a terzi. I dati personali non sono diffusi né ceduti a terzi per finalità commerciali. Non sono utilizzati servizi di profilazione, advertising o tracciamento di terze parti.

10. Trasferimento dei dati verso paesi terzi

I dati trattati direttamente dall'Associazione e dai principali fornitori infrastrutturali della Piattaforma sono conservati, per quanto indicato dai rispettivi servizi, all'interno dell'Unione Europea. Qualora, in relazione a specifici servizi tecnici, dovesse verificarsi un trasferimento verso paesi terzi, esso avverrebbe unicamente in presenza delle garanzie previste dal Capo V del GDPR, quali una decisione di adeguatezza della Commissione Europea, le clausole contrattuali tipo o altra garanzia applicabile. Un'ipotesi di tale natura può ricorrere per il recapito delle notifiche push, attive solo su scelta dell'utente, che transitano attraverso il servizio push del produttore del browser; in tale caso il contenuto viaggia esclusivamente in forma cifrata, secondo quanto illustrato alla Sezione 9. L'interessato può richiedere informazioni in ordine alle garanzie applicate scrivendo ai recapiti indicati alla Sezione 1.

11. Periodo di conservazione

I dati sono conservati per il tempo strettamente necessario al conseguimento delle finalità per cui sono stati raccolti e in conformità agli obblighi di legge. I dati relativi al rapporto associativo e alle iscrizioni sono conservati per la durata del rapporto e, successivamente alla sua cessazione, nei limiti utili all'adempimento degli obblighi residui e alla tutela dei diritti dell'Associazione, nel termine di prescrizione ordinaria decennale di cui all'articolo 2946 del Codice Civile. La documentazione contabile e fiscale, comprese le ricevute di pagamento, è conservata per dieci anni, in ottemperanza all'articolo 2220 del Codice Civile e alla normativa tributaria. I dati trattati sulla base del consenso sono conservati fino alla revoca del consenso stesso o alla rimozione dei contenuti. Le copie locali temporanee conservate tramite IndexedDB per la modalità offline dell'area istruttore sono sovrascritte a ogni sincronizzazione e restano limitate al dispositivo dell'utente autenticato. Decorsi i termini, i dati sono cancellati o resi anonimi.

12. Comunicazioni di servizio e diritto di opposizione

Le email inviate hanno carattere esclusivamente transazionale e di servizio, non essendo prevista alcuna newsletter né comunicazione di marketing. Ogni email di carattere informativo contiene un collegamento personale di disiscrizione, basato su un token firmato con validità di trenta giorni. L'esercizio della disiscrizione interrompe l'invio delle comunicazioni informative, mentre restano inviate quattro categorie di messaggi ritenute strettamente necessarie al rapporto associativo, ossia la conferma del pagamento con la ricevuta, l'approvazione del modulo di iscrizione, il rigetto del modulo e la conferma della registrazione. La disiscrizione riguarda le sole email e non incide sulle notifiche push e sulla bacheca interna. Il sistema blocca automaticamente gli invii verso indirizzi non recapitabili.

13. Assenza di profilazione e di decisioni automatizzate

L'Associazione non effettua alcuna attività di profilazione. Non è presente alcun processo decisionale automatizzato che produca effetti giuridici o incida in modo analogamente significativo sugli interessati ai sensi dell'articolo 22 del GDPR. L'assistente virtuale attinge a una base di conoscenza di domande frequenti e non utilizza dati personali per elaborare decisioni sugli interessati.

14. Diritti dell'interessato

In relazione ai trattamenti descritti, l'interessato può esercitare in ogni momento i diritti riconosciuti dagli articoli da 15 a 22 del GDPR.

Accesso: ottenere conferma dell'esistenza di un trattamento e ricevere copia dei dati che lo riguardano.
Rettifica: ottenere la correzione dei dati inesatti e l'integrazione di quelli incompleti.
Cancellazione: ottenere la rimozione dei dati nei casi previsti dall'articolo 17 del GDPR.
Limitazione: ottenere la limitazione del trattamento nelle ipotesi di cui all'articolo 18 del GDPR.
Portabilità: ricevere in formato strutturato e di uso comune i dati trattati con strumenti automatizzati sulla base del consenso o del rapporto associativo.
Opposizione: opporsi, per motivi connessi alla propria situazione particolare, ai trattamenti fondati sul legittimo interesse.
Revoca del consenso: revocare in qualsiasi momento i consensi prestati, senza pregiudizio della liceità del trattamento effettuato anteriormente alla revoca.

Le richieste sono inoltrate all'indirizzo info@brdina.org e riscontrate senza ingiustificato ritardo e comunque entro un mese, prorogabile nei casi previsti dall'articolo 12 del GDPR. A supporto dei diritti di accesso e di portabilità, l'utente autenticato dispone inoltre di una funzione della Piattaforma che consente di scaricare autonomamente, in un formato elettronico di uso comune mediante archivio ZIP, l'insieme dei propri dati personali. Tale funzione non limita la facoltà dell'interessato di rivolgersi comunque all'Associazione per l'esercizio dei diritti riconosciuti dal GDPR.

15. Diritto di reclamo

Fatta salva ogni altra azione in sede amministrativa o giurisdizionale, l'interessato che ritenga che il trattamento dei propri dati avvenga in violazione della normativa vigente ha diritto di proporre reclamo al Garante per la protezione dei dati personali, con sede in Piazza Venezia 11, 00187 Roma, sito https://www.garanteprivacy.it.

16. Modifiche all'informativa

L'Associazione si riserva di aggiornare la presente informativa per adeguarla a modifiche normative, organizzative o tecniche. La versione vigente è sempre pubblicata sulla Piattaforma con l'indicazione della data di ultimo aggiornamento. Le variazioni sostanziali sono portate a conoscenza degli utenti registrati mediante gli ordinari canali di comunicazione.