Informativa sul trattamento dei dati personali

BOZZA 1.0-draft — documento NON ancora vagliato da un legale. Questo testo è una bozza strutturata predisposta per la revisione del titolare e del consulente legale. Non costituisce parere legale. I campi tra parentesi quadre vanno completati prima della pubblicazione definitiva.

Informativa resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 ("GDPR") e del d.lgs. 196/2003 come modificato dal d.lgs. 101/2018 ("Codice Privacy").

1. Titolare del trattamento

[DENOMINAZIONE COMPLETA ASD], con sede legale in [SEDE LEGALE], C.F./P.IVA [CF_PIVA], in persona del legale rappresentante pro tempore.

Contatti per la privacy: [EMAIL_PRIVACY] — PEC: [PEC].

L'associazione ha designato un referente privacy interno ([REFERENTE]). L'associazione non è tenuta alla designazione di un Responsabile della protezione dei dati (DPO) ai sensi dell'art. 37 GDPR; la valutazione è documentata agli atti.

2. Finalità e basi giuridiche del trattamento

Trattiamo i tuoi dati personali (e quelli dei minori su cui eserciti la responsabilità genitoriale) per le seguenti finalità. Ogni finalità ha la propria base giuridica e non è mai condizionata al consenso per finalità diverse.

| # | Finalità | Base giuridica | |---|---|---| | F1 | Iscrizione e gestione dei corsi (gruppi, presenze, recuperi assenze) | Contratto — art. 6(1)(b) | | F2 | Gestione dei pagamenti (rate corsi, quote) e obblighi contabili/fiscali | Contratto — art. 6(1)(b); obbligo legale — art. 6(1)(c) | | F3 | Tesseramento presso la FITP (Federazione Italiana Tennis e Padel) | Obbligo legale/regolamentare — art. 6(1)(c); vedi documento "Comunicazione dati FITP" | | F4 | Raccolta e verifica del certificato medico sportivo | Obbligo legale — art. 6(1)(c); art. 9(2)(b) GDPR per i dati relativi alla salute | | F5 | Visibilità del nome e dell'immagine verso i compagni di corso/gruppo e nelle classifiche interne | Consenso — art. 6(1)(a), opt-in (vedi "Liberatoria immagine") | | F6 | Uso promozionale di foto/video di eventi e attività (sito, social) | Consenso — art. 6(1)(a), opt-in (vedi "Liberatoria foto eventi") | | F7 | Comunicazioni promozionali (marketing) sulle attività dell'associazione | Consenso — art. 6(1)(a), opt-in, revocabile in ogni momento | | F8 | Analisi statistica dell'uso della piattaforma (analytics) | Consenso — art. 6(1)(a), raccolto tramite il banner cookie (vedi §9) | | — | Pubblicazione del profilo professionale dei maestri (nome, qualifiche, disponibilità, eventuale foto) | Contratto di collaborazione sportiva — art. 6(1)(b) | | — | Prenotazione campi, sfide, partite aperte, gamification interna | Contratto — art. 6(1)(b) | | — | Messaggistica interna dei gruppi corso (chat) | Contratto — art. 6(1)(b); vedi §8 | | — | Sicurezza della piattaforma, prevenzione di abusi e frodi | Legittimo interesse — art. 6(1)(f) |

Il conferimento dei dati per le finalità F1–F4 è necessario: senza di essi non è possibile iscriversi ai corsi, tesserarsi o partecipare all'attività sportiva. Le finalità F5–F8 sono facoltative: il rifiuto non incide in alcun modo sull'accesso ai servizi.

3. Categorie particolari di dati (art. 9 GDPR)

Per l'attività sportiva trattiamo dati relativi alla salute: il certificato medico sportivo (non agonistico o agonistico) e il relativo esito/scadenza. Base giuridica: art. 9(2)(b) GDPR in combinato con la normativa nazionale sulla tutela sanitaria delle attività sportive (D.M. 24/04/2013 e D.M. 08/08/2014). I certificati sono conservati in uno spazio di archiviazione riservato, accessibile solo al personale autorizzato, e non sono mai comunicati a terzi al di fuori degli obblighi di legge.

4. Minori

• I dati dei minori sono trattati esclusivamente previa registrazione da parte di chi esercita la responsabilità genitoriale.
• Per i servizi della società dell'informazione, l'ordinamento italiano fissa a 14 anni la soglia per il consenso autonomo del minore (art. 2-quinquies d.lgs. 196/2003); sotto tale soglia decide il genitore.
• Nomi e dati dei minori sono mascherati verso gli altri utenti della piattaforma (es. "Marco B."); i dati anagrafici completi non sono mai visibili ad altri soci.
• Non inviamo comunicazioni promozionali ai minori, a prescindere dall'età.
• Le immagini dei minori sono trattate solo con il consenso specifico documentato nelle liberatorie dedicate.

5. Destinatari e responsabili del trattamento

I dati possono essere comunicati a:

• FITP – Federazione Italiana Tennis e Padel (titolare autonomo), per il tesseramento — vedi documento "Comunicazione dati FITP";
• fornitori che agiscono come responsabili del trattamento ex art. 28 GDPR: hosting e piattaforma (Vercel), database e autenticazione (Supabase), invio email transazionali (Resend), invio SMS (Twilio), monitoraggio errori (Sentry), analisi d'uso (PostHog, solo previo consenso F8), pianificazione processi (Inngest), protezione applicativa (Upstash, Arcjet);
• consulenti dell'associazione (commercialista, consulente legale), compagnia assicurativa, istituti bancari per gli incassi;
• autorità pubbliche nei casi previsti dalla legge.

L'elenco aggiornato dei responsabili è disponibile su richiesta al contatto privacy.

6. Trasferimenti extra-UE

I fornitori sono configurati, ove possibile, su infrastruttura nell'Unione Europea. Ove un fornitore comporti un trasferimento verso paesi terzi (in particolare Stati Uniti), il trasferimento avviene sulla base di una decisione di adeguatezza (EU-US Data Privacy Framework, per i fornitori certificati) oppure delle clausole contrattuali standard ex art. 46 GDPR, integrate ove necessario da misure supplementari. Copia delle garanzie è disponibile su richiesta.

7. Periodi di conservazione

| Dati | Periodo | |---|---| | Dati associativi e di tesseramento | Durata del rapporto associativo + 10 anni (obblighi fiscali e difesa in giudizio, artt. 2220 e 2946 c.c.) | | Documentazione contabile | 10 anni (art. 2220 c.c.) | | Certificato medico | Durata dell'iscrizione + massimo 12 mesi oltre la scadenza del certificato | | Messaggi della chat di gruppo | 24 mesi dall'invio | | Notifiche in-app | 12 mesi | | Registri tecnici di consegna notifiche | 12 mesi | | Dati di gamification (missioni settimanali) | 24 mesi | | Richieste di lezione privata | 12 mesi (richieste non concluse) / 24 mesi (concluse) | | Prove del consenso | Durata del trattamento + 10 anni (art. 7(1) GDPR) | | Account ospite creati dalla segreteria | 12 mesi |

I periodi operativi della piattaforma sono in corso di validazione legale e possono essere aggiornati; fa fede la versione corrente di questa informativa.

8. Chat di gruppo

La messaggistica dei gruppi corso è parte del servizio (art. 6(1)(b)): i messaggi sono visibili solo ai partecipanti del gruppo (corsisti/genitori e maestro). I nomi dei minori sono mascherati; i messaggi sono conservati per 24 mesi dall'invio e poi cancellati automaticamente. L'associazione non accede ai contenuti della chat se non per obblighi di legge o gestione di abusi segnalati.

9. Cookie e strumenti di tracciamento

La piattaforma utilizza:

Non utilizziamo cookie di profilazione pubblicitaria di terze parti.

10. Processi decisionali automatizzati

La piattaforma calcola automaticamente classifiche, punti esperienza e missioni (gamification) sulla base dell'attività sportiva. Si tratta di funzionalità ludiche interne che non producono effetti giuridici né incidono in modo significativo sulla persona (art. 22 GDPR non applicabile). Non effettuiamo profilazione a fini commerciali.

11. Fonte dei dati (art. 14)

I dati dei minori sono raccolti presso il genitore/esercente la responsabilità genitoriale. Dati di ritorno dal tesseramento (es. numero tessera, categoria) possono pervenire dalla FITP.

12. Diritti dell'interessato

Puoi esercitare in ogni momento i diritti di cui agli artt. 15–22 GDPR: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione. Il consenso, ove richiesto, è revocabile in ogni momento senza pregiudizio della liceità del trattamento anteriore (art. 7(3)). Le revoche dei consensi facoltativi sono disponibili in autonomia nella sezione Profilo → Impostazioni → Privacy e consensi della piattaforma.

Per esercitare i diritti: [EMAIL_PRIVACY]. Risponderemo entro 30 giorni.

Hai inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it — Piazza Venezia 11, 00187 Roma).

13. Versione e aggiornamenti

Questa informativa è versionata: la piattaforma conserva l'impronta crittografica (SHA-256) di ogni versione pubblicata e collega ogni consenso alla versione esatta accettata, che resta consultabile dal tuo profilo. Le modifiche sostanziali saranno comunicate tramite la piattaforma.