Informativa privacy

1. Titolare del trattamento

Il titolare del trattamento dei dati descritti in questa informativa è Guido Dell'Orto, residente in Milano (MI), che gestisce a titolo personale e gratuito il sito www.incoro.app e la piattaforma inCoro.

Email di contatto

[email protected]

Responsabile della protezione dei dati (DPO)

Non nominato: non ricorrono i presupposti dell'art. 37 del GDPR.

2. A chi si rivolge questa informativa

Questa informativa riguarda tre categorie di persone:

• chi visita il sito www.incoro.app, incluse le pagine di guida;
• chi richiede l'attivazione di un'istanza per il proprio coro compilando il modulo di richiesta (di seguito, il "referente").
• chi utilizza un'istanza attiva, limitatamente ai trattamenti che il gestore della piattaforma effettua per finalità proprie di sicurezza e funzionamento tecnico, descritti al punto 3.d.

3. Dati trattati, finalità e basi giuridiche

a. Navigazione del sito

Per capire quante persone visitano il sito e quali pagine consultano, il sito utilizza Umami, uno strumento di statistica che non installa cookie, non crea identificatori persistenti e non profila i visitatori. Umami elabora l'indirizzo IP in modo transitorio, senza conservarlo, per stimare il numero di visitatori unici; i dati risultanti sono aggregati (pagine viste, provenienza, tipo di dispositivo, Paese) e non permettono di risalire a una persona identificata. Come tutto il traffico del sito e dell'app, le visite transitano inoltre attraverso la rete di Cloudflare, che protegge il servizio da attacchi e da traffico automatizzato (vedi punti 3.d e 4).

Base giuridica: legittimo interesse del titolare a conoscere in forma aggregata l'utilizzo del sito e a mantenerlo funzionante (art. 6, par. 1, lett. f, GDPR). Trattandosi di uno strumento senza cookie né identificatori memorizzati sul dispositivo, non è richiesto il consenso preventivo previsto per i cookie non tecnici.

Conservazione: i dati aggregati sono conservati per 6 mesi.

b. Richiesta di attivazione di un'istanza

Compilando il modulo di richiesta vengono raccolti: nome e cognome e indirizzo email del referente; nome del coro; configurazione delle voci; eventuale sito web del coro; informazione sull'esistenza o meno di una forma giuridica; per i cori costituiti in forma di associazione o altro ente, denominazione, codice fiscale o partita IVA, sede e nome del legale rappresentante; per i gruppi informali, la dichiarazione del referente relativa al soggetto o ai soggetti che determinano effettivamente finalità e mezzi del trattamento dei dati dei coristi; eventuali note libere. Vengono inoltre registrate l'accettazione dei Termini e condizioni e dell'Accordo sul trattamento dei dati e la presa visione della presente informativa, con data, ora e versione dei relativi testi.

Finalità: valutare la richiesta, contattare il referente, attivare e configurare l'istanza, individuare correttamente il soggetto che agisce come titolare del trattamento dei dati dei coristi e conservare la prova dell'accettazione delle condizioni e della presa visione dell'informativa.

Base giuridica: esecuzione di misure precontrattuali e del successivo rapporto richiesto dall'interessato (art. 6, par. 1, lett. b, GDPR); per la conservazione della prova dell'accettazione, legittimo interesse del titolare a dimostrare i termini del rapporto (art. 6, par. 1, lett. f, GDPR).

Natura del conferimento: i campi contrassegnati come obbligatori sono necessari per valutare e attivare la richiesta; senza di essi l'attivazione non è possibile. Il sito web del coro e le note aggiuntive sono facoltativi. Si invita a non inserire nelle note dati non necessari, e in nessun caso dati relativi alla salute o ad altre categorie particolari.

Conservazione: se la richiesta non viene accolta o viene ritirata, i dati sono cancellati entro 2 mesi. Se l'istanza viene attivata, i dati di contatto del referente sono conservati per tutta la durata del servizio e cancellati entro 10 giorni dalla sua cessazione, salvo la prova dell'accettazione delle condizioni, conservata per il termine di prescrizione ordinaria.

c. Gestione dell'istanza attiva e comunicazioni al referente

All'indirizzo email del referente vengono inviate le comunicazioni necessarie al servizio: credenziali iniziali, avvisi tecnici, notifiche di sospensione o cessazione, informazioni su modifiche rilevanti della piattaforma o delle presenti condizioni. Non vengono inviate comunicazioni commerciali o promozionali.

Base giuridica: esecuzione del rapporto (art. 6, par. 1, lett. b, GDPR).

d. Sicurezza della piattaforma e funzionamento tecnico

Per proteggere il servizio da accessi non autorizzati e da abusi vengono registrati i tentativi di accesso falliti associati all'identificativo digitato, con blocco temporaneo dopo un numero eccessivo di tentativi. Il fornitore di hosting genera inoltre log tecnici del server, e tutto il traffico del sito e dell'app transita attraverso la rete di Cloudflare, che elabora i dati tecnici delle connessioni (come l'indirizzo IP e il tipo di browser) per bloccare attacchi e traffico automatizzato. All'interno dell'app vengono utilizzati cookie tecnici (vedi punto 4) e, se attivate dall'utente, iscrizioni alle notifiche push.

Base giuridica: legittimo interesse del titolare alla sicurezza del servizio (art. 6, par. 1, lett. f, GDPR) e, per i cookie tecnici e le notifiche richieste dall'utente, esecuzione del servizio.

Conservazione: i contatori dei tentativi falliti sono azzerati al primo accesso riuscito o allo scadere della finestra di blocco; i log del server e i dati tecnici delle connessioni seguono i tempi del fornitore di hosting e di Cloudflare; le iscrizioni alle notifiche sono cancellate quando l'utente le disattiva, quando l'account viene eliminato o quando il servizio di push segnala che non sono più valide.

4. Cookie e tecnologie simili

Sono utilizzati esclusivamente cookie tecnici, necessari al funzionamento. Sul sito pubblico c'è soltanto il cookie di sicurezza di Cloudflare (vedi punto 5); all'interno dell'app si aggiungono i cookie di accesso:

Non sono utilizzati cookie di profilazione o di pubblicità, né cookie di altri domini, e non viene effettuato alcun tracciamento su altri siti. Per questo non è presente un banner di consenso: i cookie tecnici e le statistiche senza cookie non lo richiedono. L'app memorizza inoltre sul dispositivo, tramite la cache del browser, i contenuti necessari al funzionamento offline; questi dati si rimuovono disinstallando l'app o svuotando i dati del sito dal browser.

5. Destinatari dei dati

I dati non sono diffusi né ceduti a terzi per finalità proprie di questi. Sono accessibili ai seguenti fornitori, che agiscono come responsabili del trattamento sulla base di un accordo ai sensi dell'art. 28 del GDPR:

L'invio delle notifiche push richiede inoltre il transito attraverso i servizi di notifica dei produttori dei sistemi operativi e dei browser (Apple, Google, Mozilla), che ricevono un identificativo del dispositivo e il contenuto della notifica. Questo transito è tecnicamente necessario per la consegna e non è evitabile se l'utente attiva le notifiche.

6. Trasferimenti fuori dallo Spazio economico europeo

Il servizio di statistica Umami, la rete di Cloudflare e i servizi di notifica push comportano un trasferimento di dati verso gli Stati Uniti. Il trasferimento avviene sulla base delle clausole contrattuali standard approvate dalla Commissione europea e, dove applicabile, dell'adesione dei fornitori al Data Privacy Framework UE-USA. L'hosting dei dati dell'applicazione e l'invio delle email restano all'interno dell'Unione europea.

7. Misure di sicurezza

I dati sono protetti con misure tecniche e organizzative adeguate al rischio, tra cui: trasmissione cifrata tramite HTTPS; cifratura dei file di dati e degli allegati a riposo, con chiave conservata fuori dalla radice web; conservazione delle password sotto forma di hash non reversibile; blocco temporaneo dopo ripetuti tentativi di accesso falliti; separazione dei dati di ciascun coro in un'area distinta; permessi differenziati per funzione, con accesso all'anagrafica completa limitato a chi gestisce gli utenti; accesso amministrativo del gestore della piattaforma limitato alle attività di manutenzione e assistenza.

Trattandosi di un servizio gratuito e senza garanzia di continuità, si invitano i cori a conservare copie autonome dei dati e dei materiali caricati, come previsto dai Termini e condizioni.

8. Processi decisionali automatizzati

Non vengono effettuati processi decisionali automatizzati né attività di profilazione ai sensi dell'art. 22 del GDPR.

9. Diritti dell'interessato

In relazione ai trattamenti descritti in questa informativa è possibile esercitare i diritti previsti dagli artt. 15-22 del GDPR:

• accesso ai propri dati e alle informazioni sul trattamento;
• rettifica dei dati inesatti e integrazione di quelli incompleti;
• cancellazione dei dati, nei casi previsti;
• limitazione del trattamento;
• opposizione al trattamento basato sul legittimo interesse;
• portabilità dei dati forniti, nei casi previsti;
• revoca del consenso, dove il trattamento sia basato sul consenso, senza che ciò pregiudichi la liceità del trattamento svolto in precedenza.

Le richieste si inviano a [email protected] e ricevono risposta entro un mese, prorogabile di due mesi in caso di richieste complesse. Chi ha un account attivo in un'istanza può inoltre modificare autonomamente i propri dati ed eliminare il proprio account direttamente dall'app: le istruzioni sono nella pagina Eliminazione account e dati.

Se ritiene che il trattamento violi la normativa, l'interessato può proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o ricorrere all'autorità giudiziaria.

10. Minori

Il sito pubblico non è rivolto ai minori e non raccoglie deliberatamente i loro dati: la richiesta di attivazione può essere inviata solo da persone maggiorenni autorizzate a rappresentare il coro. Se un coro inserisce nell'app i dati di coristi minorenni, spetta al coro, in qualità di titolare di quel trattamento, individuare la base giuridica corretta e coinvolgere chi esercita la responsabilità genitoriale, secondo quanto previsto dall'Accordo sul trattamento dei dati.

11. Modifiche a questa informativa

Questa informativa può essere aggiornata per adeguarla a modifiche del servizio o della normativa. La versione in vigore è sempre pubblicata su questa pagina, con indicazione del numero di versione e della data. Le modifiche rilevanti sono comunicate ai referenti delle istanze attive tramite email.