Informativa ai sensi dell'articolo 13 del Regolamento (UE) 2016/679
Privacy Policy
Questa informativa descrive come l'associazione tratta i dati personali di chi visita il sito AIDB Italia e ne usa i moduli.
Ultimo aggiornamento:
1. Titolare del trattamento e contatti
Il titolare del trattamento è Associazione Italiana Docenti Bobath A.I.D.B., con sede in Via Vittorio Emanuele II, 25122 Brescia (BS), P. IVA 04332420985, C.F. 95087060109.
Per esercitare i propri diritti o per qualsiasi richiesta relativa alla privacy si può scrivere alla presidente dell'associazione, all'indirizzo bortolottiele@gmail.com.
L'associazione non ha nominato un Responsabile della protezione dei dati.
2. Categorie di dati trattati e provenienza
I dati provengono direttamente dall'interessato oppure sono generati dal dispositivo durante l'uso del sito.
- Navigazione e sicurezza: indirizzo IP, data e ora, URL richiesto, intestazioni HTTP e informazioni sul browser o dispositivo necessari a consegnare e proteggere il servizio. L'applicazione usa temporaneamente l'indirizzo IP per generare un'impronta crittografica destinata al rate limiting; l'IP grezzo non viene scritto nel database D1 dall'applicazione.
- Richieste di informazioni: nominativo, email e messaggio; telefono e argomento o corso di interesse, se forniti. Il Worker registra inoltre tipo di modulo, pagina di provenienza, stato della richiesta e date di creazione e aggiornamento.
- Newsletter: email obbligatoria e nominativo facoltativo. Per documentare la richiesta di iscrizione vengono registrati anche il tipo di modulo, l'accettazione dichiarata, la pagina di provenienza e la data e ora di ricezione.
- Protezione antiabuso dei moduli: valore del campo honeypot e impronta HMAC dell'indirizzo IP, usata per limitare invii ripetuti. Il valore honeypot non viene conservato nella richiesta accettata; l'impronta è separata dai dati del modulo e non consente di collegare l'indirizzo IP al contenuto inviato.
Le richieste di contatto e le iscrizioni newsletter sono inviate al Worker del sito e conservate in Cloudflare D1. Possono essere visualizzate, classificate o cancellate soltanto da persone autorizzate dall'associazione.
I moduli non richiedono dati sulla salute o altre categorie particolari di dati ai sensi dell'articolo 9 GDPR. L'utente è invitato a non inserirli nei campi liberi.
3. Finalità e basi giuridiche
| Finalità | Dati | Base giuridica |
|---|---|---|
| Mostrare il sito, gestire la rete e garantire sicurezza e continuità | Dati di navigazione | Legittimo interesse alla sicurezza e all'erogazione del servizio, articolo 6, paragrafo 1, lettera f GDPR; per lo storage strettamente necessario, articolo 122 del Codice privacy |
| Ricevere, conservare nel database D1 e gestire richieste su associazione e corsi | Dati inviati nel modulo Contatti e metadati della richiesta | Misure precontrattuali richieste dall'interessato, articolo 6, paragrafo 1, lettera b GDPR, quando pertinenti; negli altri casi, legittimo interesse a rispondere alle richieste ricevute, articolo 6, paragrafo 1, lettera f GDPR |
| Registrare e gestire l'iscrizione newsletter e documentare la scelta espressa | Email, eventuale nominativo e prova della richiesta | Consenso, articolo 6, paragrafo 1, lettera a GDPR e articolo 130 del Codice privacy; obbligo di dimostrare il consenso ai sensi dell'articolo 7, paragrafo 1 GDPR |
| Contrastare spam e invii automatizzati mediante honeypot e rate limiting | Dati tecnici e impronta crittografica dell'indirizzo IP | Legittimo interesse alla sicurezza e alla disponibilità dei moduli, articolo 6, paragrafo 1, lettera f GDPR |
| Adempiere obblighi e difendere diritti | Dati pertinenti alla singola pratica | Obbligo legale o legittimo interesse, articolo 6, paragrafo 1, lettere c e f GDPR |
Al momento l'iscrizione newsletter viene registrata in D1 ma non attiva l'invio di email e non trasferisce i dati a una piattaforma newsletter esterna.
L'iscrizione viene registrata solo dopo aver selezionato la casella presente nel modulo e può essere revocata in qualsiasi momento scrivendo al contatto indicato nella sezione 1. Prima di attivare l'invio di comunicazioni questa informativa sarà aggiornata con il fornitore utilizzato e la modalità di disiscrizione.
4. Natura del conferimento
Per il modulo Contatti, nominativo ed email sono necessari; telefono, argomento e messaggio sono facoltativi. Per la newsletter è necessaria l'email, mentre il nominativo è facoltativo. Il mancato invio dei dati necessari impedisce di registrare la richiesta.
Il consenso newsletter è facoltativo e il suo mancato rilascio impedisce soltanto l'iscrizione. I controlli honeypot e rate limiting sono misure tecniche sempre attive e non richiedono una categoria di consenso facoltativa.
Il sito non usa cookie di profilazione né strumenti di analisi che identificano i visitatori. Le statistiche di traffico sono quelle aggregate fornite da Cloudflare, ricavate dalle richieste di rete senza cookie e senza identificare i singoli visitatori.
5. Tempi di conservazione
- Le richieste di contatto sono cancellate automaticamente dopo 24 mesi dalla ricezione. Una persona autorizzata può cancellarle prima, anche su richiesta dell'interessato.
- Le iscrizioni newsletter sono conservate fino alla revoca.
- L'impronta HMAC usata per il rate limiting è conservata in una tabella tecnica separata e non nella richiesta. Dopo 15 minuti non concorre più al controllo; le righe scadute vengono eliminate al successivo accesso all'endpoint dei moduli. L'applicazione non conserva l'IP grezzo in D1.
- La cancellazione di una richiesta dal database principale è annotata in un registro interno con i soli metadati dell'azione, senza conservare il contenuto del messaggio.
- I dati necessari per obblighi di legge o difesa di un diritto possono essere conservati per il periodo imposto o consentito dalla normativa applicabile.
Le copie di ripristino del database gestite da Cloudflare si esauriscono entro 30 giorni.
6. Destinatari, persone autorizzate e fornitori
Le richieste salvate in D1 possono essere consultate, classificate e cancellate soltanto dalle persone autorizzate dall'associazione. Nei limiti necessari al servizio, possono inoltre trattare dati i seguenti fornitori tecnici:
- Cloudflare: hosting del sito su Workers, Worker che riceve i moduli, database D1 e storage R2.
- Adobe: distribuzione dei caratteri Adobe Fonts. Adobe dichiara che il servizio web font non imposta cookie, riceve l'indirizzo IP per consegnare il font e non lo conserva.
Quando arriva una richiesta il sito può inviare all'associazione un avviso email che segnala soltanto il tipo di modulo e la pagina di provenienza, senza i dati inseriti. Non è presente un fornitore newsletter esterno e i dati dei moduli non vengono inoltrati automaticamente ad altri sistemi.
Le persone autorizzate sono membri dell'associazione incaricati della gestione del sito. Cloudflare e Adobe operano in base alle rispettive condizioni di servizio e agli accordi sul trattamento dei dati che ne fanno parte. Un eventuale fornitore email o newsletter sarà aggiunto a questa informativa prima dell'attivazione.
7. Trasferimenti verso paesi terzi
L'uso di fornitori internazionali può comportare trattamenti fuori dallo Spazio economico europeo. Tali operazioni devono poggiare su una decisione di adeguatezza o su garanzie appropriate ai sensi degli articoli 44 e seguenti GDPR.
Il database D1 e il bucket R2 sono stati creati con indicazione di località Europa occidentale, senza una giurisdizione vincolante limitata all'Unione europea. Cloudflare e Adobe hanno sede negli Stati Uniti: aderiscono al Data Privacy Framework UE-USA e i rispettivi accordi sul trattamento dei dati includono le clausole contrattuali tipo approvate dalla Commissione europea.
8. Processi automatizzati
Il Worker applica automaticamente un honeypot e un limite alla frequenza degli invii. Una richiesta riconosciuta come automatizzata può essere scartata e richieste troppo frequenti possono essere temporaneamente rifiutate. Questi controlli proteggono il servizio e non producono effetti giuridici o analogamente significativi ai sensi dell'articolo 22 GDPR.
Se un invio legittimo viene rifiutato, l'interessato può riprovare più tardi o usare il contatto indicato nella sezione 1.
Il sito non effettua profilazione né altri processi decisionali automatizzati.
9. Diritti degli interessati
Nei casi previsti dal GDPR, l'interessato può chiedere accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e informazioni sui trattamenti che lo riguardano. Il consenso può essere revocato in qualsiasi momento senza pregiudicare la liceità del trattamento precedente.
Per revocare l'iscrizione newsletter o esercitare gli altri diritti si può usare il contatto indicato nella sezione 1. Una persona autorizzata dall'associazione può consultare la registrazione e cancellarla su richiesta.
È inoltre possibile proporre reclamo al Garante per la protezione dei dati personali.