Informativa sul trattamento dei dati personali
Informativa resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 ("GDPR") e del d.lgs. 196/2003 come modificato dal d.lgs. 101/2018 ("Codice Privacy"), relativa alla piattaforma app.scuolatennis.it e ai servizi che eroga.
1. Titolare del trattamento
Scuolatennis.it SSD a R.L. — società sportiva dilettantistica a responsabilità limitata, affiliata alla FITP.
- Sede legale: Via Maria Virginia Staurenghi 32, 21100 Varese (VA)
- Codice fiscale e Partita IVA: 03432630121 — REA VA-351100 — capitale sociale € 1.000,00 i.v.
- Legale rappresentante: Alessandro Borlandelli
- Email per la privacy: info@scuolatennis.it — PEC: pec@scuolatennis.it
Sedi operative: Bolzano (Via Parma 8), Varese (Via Gerolamo Garoni 7), Luino (Piazzale Guglielmo Marconi 21).
Il riferimento interno per le questioni privacy è il legale rappresentante. La società non è tenuta alla designazione di un Responsabile della protezione dei dati (DPO) ai sensi dell'art. 37 GDPR: non è un'autorità pubblica, il monitoraggio regolare e sistematico su larga scala non costituisce la sua attività principale e il trattamento di dati sanitari, pur non occasionale, non raggiunge la larga scala richiesta dalla norma. La valutazione è documentata agli atti ed è riesaminata al crescere del bacino di utenza.
2. Finalità e basi giuridiche del trattamento
Trattiamo i tuoi dati personali (e quelli dei minori su cui eserciti la responsabilità genitoriale) per le finalità elencate di seguito. Ogni finalità ha una propria base giuridica e non è mai condizionata al consenso per finalità diverse.
| # | Finalità | Base giuridica |
|---|---|---|
| F1 | Iscrizione e gestione dei corsi (gruppi, presenze, recuperi assenze, liste d'attesa) | Contratto — art. 6(1)(b) |
| F2 | Gestione dei pagamenti: rate dei corsi e tessera corsi, anche con carta e addebito ricorrente, riconciliazione e obblighi contabili e fiscali | Contratto — art. 6(1)(b); obbligo legale — art. 6(1)(c) |
| F3 | Tesseramento presso la FITP (Federazione Italiana Tennis e Padel) | Obbligo legale e regolamentare — art. 6(1)(c); vedi documento "Comunicazione dati FITP" |
| F4 | Raccolta e verifica del certificato medico sportivo | Obbligo legale — art. 6(1)(c); art. 9(2)(b) GDPR per i dati relativi alla salute |
| F5 | Visibilità del nome e dell'immagine verso i compagni di corso e nelle classifiche interne alla piattaforma | Consenso — art. 6(1)(a), opt-in (vedi "Liberatoria immagine") |
| F6 | Uso promozionale di foto e video di eventi e attività (sito, social, materiale promozionale) | Consenso — art. 6(1)(a), opt-in (vedi "Liberatoria foto eventi") |
| F7 | Comunicazioni promozionali (marketing) sulle attività della società | Consenso — art. 6(1)(a), opt-in, revocabile in ogni momento |
| F8 | Analisi statistica dell'uso della piattaforma (analytics) | Consenso — art. 6(1)(a), raccolto tramite il banner cookie (vedi §9) |
| F9 | Prenotazione campi, lezioni private, sfide, partite aperte e funzioni di gioco interne | Contratto — art. 6(1)(b) |
| F10 | Messaggistica interna dei gruppi corso (chat) | Contratto — art. 6(1)(b); vedi §8 |
| F11 | Pubblicazione del profilo professionale dei maestri (nome, qualifiche, disponibilità, foto facoltativa) | Contratto di collaborazione sportiva — art. 6(1)(b) |
| F12 | Sicurezza della piattaforma, prevenzione di abusi e frodi, continuità del servizio | Legittimo interesse — art. 6(1)(f) |
Il conferimento dei dati per le finalità F1–F4 è necessario: senza di essi non è possibile iscriversi ai corsi, essere tesserati o partecipare all'attività sportiva. Le finalità F5–F8 sono facoltative: il rifiuto non incide in alcun modo sull'accesso ai servizi.
3. Categorie particolari di dati (art. 9 GDPR)
Per l'attività sportiva trattiamo dati relativi alla salute: il certificato medico sportivo (non agonistico o agonistico) e il relativo esito e scadenza. Base giuridica: art. 9(2)(b) GDPR in combinato con la normativa nazionale sulla tutela sanitaria dell'attività sportiva. I certificati sono conservati in uno spazio di archiviazione riservato, accessibile solo al personale autorizzato, e non sono comunicati a terzi al di fuori degli obblighi di legge e del tesseramento federale per l'attività agonistica.
4. Minori
- I dati dei minori sono trattati esclusivamente previa registrazione da parte di chi esercita la responsabilità genitoriale.
- Per i servizi della società dell'informazione, l'ordinamento italiano fissa a 14 anni la soglia per il consenso autonomo del minore (art. 2-quinquies d.lgs. 196/2003); sotto tale soglia decide chi esercita la responsabilità genitoriale.
- Sul piano sportivo vale una regola ulteriore e distinta: il minore che ha compiuto 14 anni non può essere tesserato senza il proprio assenso personale (art. 16, comma 2, d.lgs. 36/2021). Per il tesseramento di un quattordicenne servono quindi due atti: la richiesta del genitore e l'assenso del ragazzo o della ragazza.
- Nomi e dati dei minori sono mascherati verso gli altri utenti della piattaforma (ad esempio "Marco B."); i dati anagrafici completi non sono mai visibili ad altri iscritti.
- Non inviamo comunicazioni promozionali ai minori, a prescindere dall'età e a prescindere dal consenso del genitore.
- Le immagini dei minori sono trattate solo con il consenso specifico documentato nelle liberatorie dedicate.
- Le notifiche push e le email non contengono mai nomi di minori, importi o contenuti dei messaggi: il dettaglio resta dentro l'applicazione.
5. Destinatari e responsabili del trattamento
I dati possono essere comunicati a:
- FITP – Federazione Italiana Tennis e Padel, che li riceve come titolare autonomo per il tesseramento e le finalità istituzionali federali — vedi documento "Comunicazione dati FITP";
- Stripe Payments Europe Ltd. per l'incasso con carta. Stripe agisce come responsabile del trattamento per l'esecuzione dei pagamenti e come titolare autonomo per gli obblighi antifrode, antiriciclaggio e regolamentari cui è soggetta. Verso Stripe transitano soltanto nome ed email di chi paga e identificativi tecnici: mai il codice fiscale, mai nomi di minori. I dati della carta non transitano né sono conservati sui nostri sistemi;
- fornitori che agiscono come responsabili del trattamento ex art. 28 GDPR: hosting e piattaforma (Vercel), database, autenticazione e archiviazione file (Supabase), invio email transazionali (Resend), monitoraggio degli errori applicativi (Sentry), analisi d'uso (PostHog, solo previo consenso F8), esecuzione di processi pianificati (Inngest), protezione applicativa e limitazione degli abusi (Arcjet, Upstash);
- consulenti della società (commercialista, consulente legale), compagnia assicurativa, istituti bancari;
- autorità pubbliche nei casi previsti dalla legge.
L'elenco aggiornato dei responsabili è disponibile su richiesta al contatto privacy. Nuovi fornitori sono aggiunti soltanto dopo la stipula dell'accordo ex art. 28 GDPR e la verifica delle garanzie sui trasferimenti.
6. Trasferimenti verso paesi terzi
I fornitori sono configurati, ove possibile, su infrastruttura nell'Unione Europea: il database, l'archiviazione dei file e lo strumento di analytics operano su region europee. Ove un fornitore comporti un trasferimento verso paesi terzi (in particolare Stati Uniti), il trasferimento avviene sulla base di una decisione di adeguatezza (EU-US Data Privacy Framework, per i fornitori certificati) oppure delle clausole contrattuali standard ex art. 46 GDPR, integrate ove necessario da misure supplementari. Copia delle garanzie è disponibile su richiesta.
7. Periodi di conservazione
| Dati | Periodo |
|---|---|
| Dati anagrafici, di tesseramento e documentazione contabile | Durata del rapporto + 10 anni (art. 2220 c.c.; prescrizione ordinaria art. 2946 c.c.) |
| Transazioni, rate e mandati di pagamento | 10 anni (obblighi contabili e fiscali) |
| Registrazioni tecniche grezze ricevute dal gestore dei pagamenti | 18 mesi (copertura del termine per contestazioni e riaddebiti) |
| Certificato medico | Durata dell'iscrizione + massimo 12 mesi oltre la scadenza del certificato |
| Messaggi della chat di gruppo | 24 mesi dall'invio, poi cancellazione automatica |
| Notifiche in-app | 12 mesi |
| Registri tecnici di consegna delle notifiche | 12 mesi |
| Dati delle funzioni di gioco interne (missioni settimanali) | 24 mesi |
| Richieste di lezione privata | 12 mesi se concluse senza lezione, 24 mesi se accettate |
| Immagini del profilo non più associate ad alcun account | 30 giorni |
| Prove del consenso e della revoca | Durata del trattamento + 10 anni (art. 7(1) GDPR) |
Le cancellazioni sono eseguite da procedure automatiche notturne. Dati necessari alla difesa di un diritto in giudizio possono essere conservati oltre i termini indicati, per il tempo strettamente necessario.
8. Chat di gruppo
La messaggistica dei gruppi corso è parte del servizio (art. 6(1)(b)): i messaggi sono visibili solo ai partecipanti del gruppo (iscritti, genitori e maestro). I nomi dei minori sono mascherati; i messaggi sono conservati per 24 mesi dall'invio e poi cancellati automaticamente. La società non accede ai contenuti della chat se non per obblighi di legge o per la gestione di abusi segnalati.
9. Cookie e strumenti di tracciamento
La piattaforma utilizza:
- Cookie tecnici, necessari al funzionamento e installati senza consenso ai sensi dell'art. 122 del Codice Privacy: autenticazione (
sb-*), preferenza del tema (theme), lingua (NEXT_LOCALE), sede sportiva attiva (active_region_id), sede amministrativa (admin_club_id), memorizzazione delle scelte sui cookie (cookie_consent). - Strumenti di analytics (PostHog, host europeo): attivati solo previo consenso espresso tramite il banner. Chi non presta il consenso non riceve nemmeno il codice di tracciamento, che non viene scaricato. Non sono attive la registrazione delle sessioni né la raccolta automatica di tutti i clic.
- Vercel Analytics: statistiche aggregate senza cookie né identificatori persistenti, assimilabile agli strumenti tecnici.
- Sentry: monitoraggio tecnico degli errori applicativi, per la sicurezza e la continuità del servizio (art. 6(1)(f)). Non è uno strumento di profilazione; i dati personali eventualmente presenti nei rapporti di errore sono filtrati prima dell'invio.
Non utilizziamo cookie di profilazione pubblicitaria di terze parti. La scelta sui cookie è revocabile in ogni momento dal collegamento "Gestisci cookie", presente nel piè di pagina e nella sezione Profilo, ed è comunque riproposta al massimo ogni sei mesi.
10. Processi decisionali automatizzati
La piattaforma calcola automaticamente classifiche, punti esperienza e missioni sulla base dell'attività sportiva svolta. Si tratta di funzioni ludiche interne che non producono effetti giuridici né incidono in modo analogamente significativo sulla persona: l'art. 22 GDPR non trova applicazione. Non effettuiamo profilazione a fini commerciali. Gli addebiti automatici delle rate eseguono un piano concordato al momento dell'iscrizione e non comportano alcuna valutazione automatizzata della persona.
11. Fonte dei dati (art. 14)
I dati dei minori sono raccolti presso chi esercita la responsabilità genitoriale. Alcuni dati possono pervenire dalla FITP a seguito del tesseramento (ad esempio numero di tessera e categoria) e dal gestore dei pagamenti a seguito dell'incasso (esito, ultime quattro cifre e scadenza della carta). I dati di chi è stato iscritto dalla segreteria sono raccolti presso l'interessato o presso il genitore al momento dell'iscrizione allo sportello.
12. Diritti dell'interessato
Puoi esercitare in ogni momento i diritti previsti dagli artt. 15–22 GDPR: accesso, rettifica, cancellazione, limitazione, portabilità e opposizione. Il consenso, ove richiesto, è revocabile in ogni momento senza pregiudizio della liceità del trattamento anteriore (art. 7(3) GDPR).
Le revoche dei consensi facoltativi sono disponibili in autonomia nella sezione Profilo → Impostazioni → Privacy e consensi della piattaforma. Per ogni altro diritto scrivi a info@scuolatennis.it: rispondiamo entro 30 giorni, prorogabili di ulteriori due mesi nei casi di particolare complessità, dandotene conto.
Alcuni trattamenti non possono essere interrotti su semplice richiesta finché prosegue il rapporto: iscrizione e pagamenti si fondano sul contratto, tesseramento e certificato medico su obblighi di legge. La cancellazione integrale dei dati può essere richiesta alla cessazione del rapporto, fatti salvi i termini di conservazione obbligatori indicati al §7.
Hai inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma — www.garanteprivacy.it) o di ricorrere all'autorità giudiziaria.
13. Versione e aggiornamenti
Questa informativa è versionata: la piattaforma conserva l'impronta crittografica (SHA-256) di ogni versione pubblicata e collega ogni consenso alla versione esatta accettata, che resta consultabile dal tuo profilo. Le modifiche sostanziali sono comunicate tramite la piattaforma con ragionevole preavviso.