Come trattiamo i dati personali, in parole semplici: chi siamo, quali dati usiamo e perché, per quanto tempo e come puoi esercitare i tuoi diritti (articoli 13 e 14 del Regolamento UE 2016/679, GDPR).
Aggiornato il
In breve
Trattiamo i dati di chi ci scrive, dei soci, dei volontari, dei donatori e, tramite i genitori, dei bambini iscritti alle attività: solo per gestire le attività dell'associazione e rispettare gli obblighi di legge. Non vendiamo i dati e non facciamo pubblicità. Il sito non usa cookie né strumenti di statistica: salva solo una chiave tecnica nella sessione del browser. Qui sotto trovi ogni trattamento e come esercitare i tuoi diritti, compresa l'opposizione.
1.Titolare del trattamento
Il titolare del trattamento è l'associazione:
Denominazione
LasQuolachevola APS
Forma giuridica
Associazione di promozione sociale (APS), ente del Terzo settore
Codice fiscale
95105000137
Sede legale
Via Campagna 11, 22100 Como (CO)
Anno di fondazione
2010
Iscrizione al RUNTS
[DA COMPLETARE: sezione, numero di repertorio e data di iscrizione confermati dall'estratto RUNTS]
Referente privacy: [DA COMPLETARE: ruolo del referente privacy interno, senza nome personale].
Non abbiamo nominato un Responsabile della protezione dei dati perché non è obbligatorio per le nostre attività.
2.Quali dati trattiamo e perché
Per ogni attività trovi una scheda: di chi sono i dati, quali dati usiamo, perché, su quale base giuridica, se devi fornirli, chi li riceve e per quanto tempo li conserviamo.
[DA COMPLETARE: tempi di conservazione deliberati dal Consiglio direttivo, con la data del verbale]
a)Navigazione del sito
Di chi sono i dati
Chi visita il sito.
Quali dati
Indirizzo IP, data e ora della visita, pagina richiesta, browser e sistema operativo, registrati nei log del server dal fornitore di hosting.
Perché li usiamo
Far funzionare il sito, proteggerlo da attacchi e risolvere i guasti. Non usiamo questi dati per profilare chi visita il sito.
Base giuridica
Nostro legittimo interesse a offrire un sito funzionante e sicuro (art. 6.1.f GDPR).
Devi fornirli?
Necessario per navigare: senza questi dati tecnici il server non può mostrarti le pagine.
Chi li riceve
Fornitore di hosting, responsabile del trattamento (punto 6).
Per quanto tempo li conserviamo
[DA COMPLETARE: tempo di conservazione dei log configurato o dichiarato dal fornitore di hosting]
b)Protezione del modulo dagli abusi
Di chi sono i dati
Chi invia il modulo «Richiedi informazioni».
Quali dati
Indirizzo IP trasformato con una funzione di hash con chiave segreta (dato pseudonimizzato) e ora dei tentativi di invio. L'indirizzo in chiaro non viene salvato.
Perché li usiamo
Limitare gli invii ripetuti e lo spam: dallo stesso indirizzo si possono inviare al massimo 10 richieste in un'ora.
Base giuridica
Nostro legittimo interesse a prevenire spam e abusi senza usare servizi di altre società (art. 6.1.f GDPR).
Devi fornirli?
Necessario per inviare il modulo. In alternativa puoi scriverci via email.
Chi li riceve
Nessuno: il dato resta sul server del fornitore di hosting, responsabile del trattamento (punto 6).
Per quanto tempo li conserviamo
Al massimo 75 minuti dall'ultimo tentativo di invio: il dato si cancella a ogni invio e con una pulizia automatica ogni 15 minuti.
c)Richieste di informazioni (modulo ed email)
Di chi sono i dati
Genitori, chi esercita la responsabilità genitoriale e adulti interessati alle attività che ci scrivono.
Quali dati
Nome e cognome, email, telefono se lo indichi, se sei socio, argomento, per chi chiedi, scuola e classe se le indichi, testo del messaggio.
Perché li usiamo
Rispondere alla tua richiesta.
Base giuridica
Misure precontrattuali adottate su tua richiesta (art. 6.1.b GDPR); per domande generiche e segnalazioni, nostro legittimo interesse a rispondere (art. 6.1.f GDPR).
Devi fornirli?
I campi con * sono necessari per risponderti: senza, non possiamo farlo. Telefono, scuola e classe sono facoltativi.
Chi li riceve
Volontari incaricati dall'associazione; fornitore della casella email e fornitore di hosting, che invia il messaggio del modulo (punto 6).
Per quanto tempo li conserviamo
Fino a 12 mesi dall'ultimo contatto, se non ti iscrivi a un'attività.
d)Adesione e libro degli associati
Di chi sono i dati
Soci e persone che chiedono di associarsi.
Quali dati
Dati anagrafici e di contatto del socio, quota associativa versata.
Perché li usiamo
Gestire il rapporto associativo: domanda di adesione, libro degli associati, quote, convocazioni delle assemblee.
Base giuridica
Rapporto associativo (art. 6.1.b GDPR) e obblighi di legge, come la tenuta del libro degli associati (art. 15 del Codice del Terzo settore) e gli obblighi fiscali (art. 6.1.c GDPR).
Devi fornirli?
Necessario per diventare socio: senza questi dati non possiamo accogliere la domanda di adesione.
Chi li riceve
Consiglio direttivo e volontari incaricati; consulente contabile e autorità per gli obblighi di legge (punto 6). I dati dei soci non vengono diffusi.
Per quanto tempo li conserviamo
Per la durata del rapporto associativo; dopo, solo i dati che la legge ci obbliga a conservare, per il tempo previsto.
e)Iscrizione alle attività
Di chi sono i dati
Genitori o chi esercita la responsabilità genitoriale, bambini iscritti alle attività, soci iscritti alle attività per adulti.
Quali dati
Dati del genitore e del bambino strettamente necessari per organizzare l'attività, indicati nel modulo di iscrizione.
Perché li usiamo
Organizzare l'attività, comunicare con le famiglie, gestire le quote di partecipazione.
Necessario per l'iscrizione: senza questi dati non possiamo iscrivere il bambino all'attività.
Chi li riceve
Volontari incaricati; istruttori ed educatori dell'attività, solo per i dati necessari; Istituto Comprensivo Como Lora solo se e quanto necessario (punto 6).
Per quanto tempo li conserviamo
Fino alla fine dell'anno scolastico, più il tempo necessario per la contabilità e per eventuali contestazioni.
f)Allergie e intolleranze (Doposcuola)
Di chi sono i dati
Bambini iscritti al Doposcuola, tramite i genitori.
Quali dati
Allergie e intolleranze del bambino: sono dati relativi alla salute.
Perché li usiamo
Proteggere la salute del bambino durante il Doposcuola.
Base giuridica
Consenso esplicito del genitore, dato separatamente nel modulo di iscrizione e revocabile in qualsiasi momento (art. 9.2.a GDPR).
Devi fornirli?
Facoltativo. [DA COMPLETARE: cosa succede se il consenso non è dato o viene revocato, deciso dal Consiglio direttivo]
Chi li riceve
Solo i volontari e gli educatori che seguono il bambino al Doposcuola. Nessuna diffusione.
Per quanto tempo li conserviamo
Fino alla fine dell'anno scolastico, con accesso riservato a chi segue il bambino.
g)Persone delegate al ritiro
Di chi sono i dati
Persone delegate dai genitori a ritirare il bambino. Le informiamo al più tardi al primo contatto, per esempio al momento del ritiro.
Quali dati
Nome, cognome ed estremi del documento, che ci fornisce il genitore nel modulo: non li riceviamo dalla persona delegata. Non chiediamo né conserviamo fotocopie.
Perché li usiamo
Controllare chi ritira il bambino, per affidarlo solo a persone autorizzate dai genitori.
Base giuridica
Nostro legittimo interesse alla sicurezza nell'affidamento del bambino (art. 6.1.f GDPR).
Devi fornirli?
Necessario per delegare il ritiro: senza questi dati non possiamo affidare il bambino alla persona delegata.
Chi li riceve
Volontari ed educatori incaricati del ritiro.
Per quanto tempo li conserviamo
Fino alla fine dell'anno scolastico.
h)Foto e video
Di chi sono i dati
Bambini e adulti ripresi durante le attività.
Quali dati
Foto e video in cui le persone sono riconoscibili.
Perché li usiamo
Documentare e far conoscere le attività dell'associazione, solo sui canali autorizzati: sito, Facebook, Instagram, materiale stampato.
Base giuridica
Consenso scritto, separato per ogni canale e revocabile in qualsiasi momento (art. 6.1.a GDPR); per i bambini lo danno i genitori.
Devi fornirli?
Facoltativo: non dare il consenso non ha conseguenze sulla partecipazione alle attività.
Chi li riceve
Chi visita il sito, le nostre pagine social o legge il materiale stampato. Pubblichiamo le immagini senza nome, cognome, classe o sezione.
Per quanto tempo li conserviamo
Finché le immagini restano pubblicate, più il tempo necessario a documentare la revoca del consenso.
i)Gruppi WhatsApp delle attività
Di chi sono i dati
Genitori e soci che scelgono di entrare nel gruppo WhatsApp di un'attività.
Quali dati
Numero di telefono e nome, visibili agli altri partecipanti del gruppo.
Perché li usiamo
Comunicazioni pratiche sull'attività.
Base giuridica
Adesione volontaria con il link di invito (art. 6.1.a GDPR). Meta, che gestisce WhatsApp, è titolare autonomo del servizio.
Devi fornirli?
Facoltativo: in alternativa ricevi le comunicazioni via email.
Chi li riceve
Gli altri partecipanti del gruppo; Meta, per il servizio WhatsApp, secondo la propria informativa.
Per quanto tempo li conserviamo
Il gruppo si chiude alla fine dell'attività.
j)Pagine Facebook e Instagram
Di chi sono i dati
Chi visita, segue o scrive alle nostre pagine Facebook e Instagram.
Quali dati
Interazioni con le pagine (reazioni, commenti, condivisioni), messaggi che ci invii, statistiche delle pagine fornite da Meta.
Perché li usiamo
Informare sulle attività e rispondere ai messaggi.
Base giuridica
Per le statistiche delle pagine l'associazione è contitolare con Meta (art. 26 GDPR; Corte di giustizia dell'Unione europea, causa C-210/16). Per messaggi e contenuti è titolare autonomo, con le stesse basi giuridiche delle richieste di informazioni (trattamento c).
Devi fornirli?
Facoltativo: puoi seguirci senza scriverci e contattarci via email.
Chi li riceve
Volontari che gestiscono le pagine; Meta Platforms Ireland Limited, per i propri servizi, secondo la propria informativa.
Per quanto tempo li conserviamo
[DA COMPLETARE: conservazione di messaggi e contenuti delle pagine social]
k)Volontari e collaboratori
Di chi sono i dati
Volontari e collaboratori dell'associazione.
Quali dati
Dati per il registro dei volontari e per l'assicurazione. Per chi opera a contatto con i bambini, solo l'annotazione dell'esito della verifica del certificato del casellario giudiziale, senza copie del certificato.
Perché li usiamo
Tenere il registro dei volontari, assicurarli e verificare che chi opera con i bambini abbia i requisiti.
Base giuridica
Obblighi di legge (art. 6.1.c GDPR; artt. 17 e 18 del Codice del Terzo settore); per il certificato del casellario, art. 10 GDPR e art. 2-octies del Codice in materia di protezione dei dati personali.
Devi fornirli?
Necessario per svolgere attività di volontariato o di collaborazione con l'associazione.
Chi li riceve
Compagnia assicurativa; autorità, solo se lo chiede la legge (punto 6).
Per quanto tempo li conserviamo
Per i tempi previsti dall'art. 17 del Codice del Terzo settore e dagli obblighi assicurativi.
l)Donatori e 5x1000
Di chi sono i dati
Chi fa una donazione all'associazione.
Quali dati
Codice fiscale, importo, data e modalità di pagamento della donazione.
Perché li usiamo
Registrare le donazioni, rilasciare le ricevute, rispettare gli obblighi fiscali e contabili, compresa l'eventuale comunicazione all'Agenzia delle Entrate per la dichiarazione precompilata.
Base giuridica
Obblighi di legge fiscali e contabili (art. 6.1.c GDPR; decreto del Ministero dell'Economia e delle finanze del 1° marzo 2024).
Devi fornirli?
Il codice fiscale serve per la ricevuta e per la comunicazione all'Agenzia delle Entrate, alla quale puoi opporti (punto 4).
Chi li riceve
Consulente contabile; Agenzia delle Entrate (punto 6).
Per quanto tempo li conserviamo
Dieci anni, nel rispetto dei termini di conservazione delle scritture contabili (art. 22 del DPR 600/1973).
3.Legittimi interessi
Per quattro trattamenti la base giuridica è il nostro legittimo interesse (art. 6.1.f GDPR). Ecco quale interesse perseguiamo:
Abbiamo valutato che questi interessi non prevalgono sui tuoi diritti e sulle tue libertà. [DA VERIFICARE: valutazione del legittimo interesse documentata per iscritto dall'associazione]
4.Diritto di opposizione
Puoi opporti in qualsiasi momento
Per motivi legati alla tua situazione particolare puoi opporti ai trattamenti basati sul nostro legittimo interesse: navigazione del sito (a), protezione del modulo (b), richieste generiche e segnalazioni (c), persone delegate al ritiro (g). Dopo l'opposizione smettiamo di trattare i tuoi dati, salvo motivi legittimi prevalenti o la necessità di difendere un diritto in giudizio (art. 21 GDPR).
Se ci hai fatto una donazione, puoi opporti alla trasmissione dei dati della donazione all'Agenzia delle Entrate per la dichiarazione dei redditi precompilata (provvedimento dell'Agenzia delle Entrate del 9 febbraio 2018). [DA VERIFICARE: modalità e termini dell'opposizione dei donatori]
Il sito e il modulo «Richiedi informazioni» sono rivolti agli adulti: genitori, chi esercita la responsabilità genitoriale e adulti interessati alle attività.
Il modulo online non chiede il nome né l'età del bambino.
I dati dei bambini ci arrivano solo dai genitori, con i moduli di iscrizione alle attività, e li usiamo solo per gestire l'attività.
Non chiediamo di inviare per email copie dei documenti dei bambini.
Pubblichiamo foto in cui un bambino è riconoscibile solo con il consenso scritto dei genitori (trattamento h).
6.Chi riceve i dati
I dati sono trattati dai volontari dell'associazione autorizzati e istruiti a farlo, con misure di sicurezza adeguate. Oltre a loro, li possono ricevere solo questi soggetti, per le attività indicate nelle schede:
fornitore di hosting del sito, che tratta i dati per nostro conto come responsabile del trattamento (art. 28 GDPR): [DA COMPLETARE: nome e sede del fornitore di hosting];
fornitore della casella email dell'associazione: [DA COMPLETARE: nome, sede e ruolo privacy del fornitore della casella email];
istruttori ed educatori delle attività, solo per i dati necessari: [DA COMPLETARE: ruolo privacy degli istruttori, responsabili del trattamento o titolari autonomi];
Istituto Comprensivo Como Lora, solo se e quanto necessario per le attività che si svolgono a scuola;
compagnia assicurativa, per la copertura di volontari e attività;
consulente contabile, per la contabilità e gli adempimenti fiscali;
Agenzia delle Entrate e ufficio del Registro unico nazionale del Terzo settore (RUNTS), per gli obblighi di legge; altre autorità solo se lo chiede la legge;
Meta, titolare autonomo di WhatsApp, Facebook e Instagram, solo se usi i gruppi WhatsApp o le nostre pagine social (trattamento i e trattamento j).
Non vendiamo i dati, non li cediamo a nessuno per fare pubblicità e non li diffondiamo, tranne le foto e i video pubblicati con il consenso (trattamento h).
7.Trasferimenti fuori dall'Unione europea
Mentre navighi, il sito non contatta servizi di altre società: caratteri, immagini e script sono serviti dal nostro dominio.
[DA COMPLETARE: trasferimenti fuori dall'Unione europea legati ai fornitori effettivi (hosting, casella email, WhatsApp, Facebook, Instagram), con la base giuridica, per esempio la decisione di adeguatezza (UE) 2023/1795 per le società aderenti all'EU-US Data Privacy Framework; se non ce ne sono, dirlo]
8.Decisioni automatizzate
Non prendiamo decisioni basate unicamente su trattamenti automatizzati.
9.I tuoi diritti e la revoca del consenso
In qualsiasi momento, e senza costi, puoi chiederci:
di accedere ai tuoi dati e di riceverne una copia (art. 15 GDPR);
di correggerli o completarli (art. 16);
di cancellarli, per esempio quando non servono più (art. 17);
di limitarne l'uso, per esempio mentre verifichiamo una tua richiesta (art. 18);
di riceverli in un formato di uso comune per trasmetterli a un altro titolare, quando li trattiamo con strumenti automatizzati sulla base del tuo consenso o di un contratto (art. 20);
di non trattarli più, se la base è il nostro legittimo interesse: è il diritto di opposizione (art. 21, riquadro al punto 4).
Se un trattamento si basa sul tuo consenso (allergie, foto e video, gruppi WhatsApp) puoi revocarlo quando vuoi. La revoca non rende illegittimo quello che abbiamo fatto prima (art. 7.3 GDPR).
Ti rispondiamo entro un mese. Se la richiesta è complessa possiamo prorogare di altri due mesi, e in quel caso te lo diciamo entro il primo mese (art. 12.3 GDPR).
Ti chiediamo di dimostrare chi sei solo se abbiamo dubbi fondati sulla tua identità (art. 12.6 GDPR).
Puoi anche scriverci prima: proveremo a risolvere il problema insieme.
11.Cookie e strumenti di tracciamento
Il sito non usa cookie né strumenti di statistica o di profilazione. Salva solo una chiave tecnica nella memoria della scheda del browser, per non ripetere l'animazione della home.
Aggiorniamo questa informativa quando cambiano i trattamenti, i fornitori o le norme, e la rivediamo comunque una volta l'anno, a settembre. La data dell'ultimo aggiornamento è in cima alla pagina.
Testo approvato dal Consiglio direttivo il [DA COMPLETARE: data di approvazione del Consiglio direttivo].