PRIVACY POLICY

Premessa e ambito di applicazione

La presente Informativa (di seguito, l'"Informativa") è resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (di seguito, "GDPR") e dell'art. 13 del D.Lgs. 196/2003, come modificato dal D.Lgs. 101/2018 (di seguito, "Codice Privacy"), a tutti i soggetti che interagiscono con il sito web amicioltreilpesoets.it (di seguito, il "Sito").

Il Sito è gestito dall'ASSOCIAZIONE AMICI OLTRE IL PESO ETS, ente del terzo settore iscritto nel Registro Unico Nazionale del Terzo Settore (RUNTS) ai sensi del D.Lgs. 117/2017 (Codice del Terzo Settore), che opera a tutela e a sostegno delle persone che convivono con l'obesità, riconosciuta quale patologia cronica dalla Legge 3 ottobre 2025, n. 149. L'Associazione si occupa di informazione e sensibilizzazione, promozione di gruppi di ascolto in collaborazione con enti terzi, raccolta di iscrizioni associative e donazioni a supporto delle proprie attività.

Il Titolare si riserva di modificare o aggiornare la presente Informativa in qualsiasi momento, pubblicando la versione aggiornata sul Sito con indicazione della data. La nuova versione diventa vincolante dalla data di pubblicazione. L'Utente è invitato a consultare periodicamente questa pagina. In caso di mancato accettazione delle modifiche, l'Utente è tenuto a cessare l'utilizzo del Sito e può richiedere al Titolare la cancellazione dei propri Dati Personali.

Titolare del Trattamento

L'Associazione, in ragione della propria natura associativa e della dimensione dei trattamenti effettuati, non ha nominato un Responsabile della Protezione dei Dati (DPO), non essendo tale nomina obbligatoria ai sensi dell'art. 37 GDPR (non si tratta di un'autorità pubblica, né il trattamento ha ad oggetto su larga scala categorie particolari di dati o dati relativi a reati e sanzioni). Per qualsiasi richiesta relativa ai dati personali, l'Interessato può rivolgersi direttamente al Titolare all'indirizzo email indicato.

Dati Personali raccolti

Dati forniti volontariamente tramite il Contact Form

Attraverso il modulo di contatto presente sul Sito, l'Utente fornisce in modo volontario e consapevole le seguenti categorie di dati:

• Dati anagrafici: nome, cognome, eventuale data di nascita;
• Recapiti: indirizzo email (obbligatorio per l'elaborazione della richiesta), numero di telefono (facoltativo), indirizzo di residenza (facoltativo);
• Dati associativi: tipologia di iscrizione richiesta (socio/a, sostenitore/a), eventuale motivazione, area di interesse, eventuale riferimento a centri di ascolto di preferenza;
• Dati di pagamento: modalità di pagamento prescelta per la quota associativa (bonifico bancario, PayPal, Satispay) e, ove applicabile, il nominativo per la ricevuta di versamento;
• Altre informazioni che l'Utente scelga di inserire liberamente nel campo note o messaggio del form.

Il mancato conferimento dei dati indicati come obbligatori comporta l'impossibilità di procedere con l'iscrizione o con la richiesta. I dati facoltativi possono essere omessi senza alcun pregiudizio per l'erogazione dei servizi associativi. Il Titolare non è tenuto a richiedere dati non pertinenti alle finalità del trattamento (principio di minimizzazione, art. 5 par. 1 lett. c) GDPR).

I dati inseriti nel Contact Form sono trasmessi via protocollo sicuro (HTTPS/TLS) alla casella email del Titolare (amicioltreilpeso@gmail.com, gestita tramite il servizio Gmail – v. par. "Responsabili del Trattamento").

Dati tecnici e di navigazione raccolti automaticamente

I sistemi informatici e le procedure software preposte al funzionamento del Sito acquisiscono, nel corso del loro normale esercizio, alcuni dati la cui trasmissione è implicita nell'uso dei protocolli di comunicazione internet (c.d. data di log), tra cui:

• indirizzi IP o nomi a dominio dei dispositivi che si connettono al Sito;
• indirizzi URI/URL delle risorse richieste;
• data e orario della richiesta;
• metodo HTTP utilizzato (GET, POST, ecc.);
• codice di stato della risposta del server;
• quantità di dati trasmessi;
• informazioni relative al browser (user agent) e al sistema operativo;
• eventuali dati relativi al dispositivo e alla connessione.

Tali dati, in quanto non raccolti per essere associati a un Utente identificato, sono c.d. dati "indirettamente identificativi": per la loro stessa natura potrebbero, attraverso elaborazioni ed associazioni con dati detenuti da terzi, permettere l'identificazione degli Utenti. Sono trattati in forma aggregata e, ove tecnicamente possibile, in forma anonimizzata. La base giuridica è il legittimo interesse del Titolare alla sicurezza e alla manutenzione del Sito (art. 6 par. 1 lett. f GDPR).

Dati relativi ai pagamenti

Per il pagamento della quota associativa o per l'effettuazione di una donazione, l'Utente può avvalersi di tre canali:

1. Bonifico bancario: l'Utente provvede autonomamente tramite il proprio istituto bancario utilizzando le coordinate bancarie indicate sul Sito. L'Associazione riceve esclusivamente la conferma di accredito (intestazione, importo, data, causale). Nessun dato di conto corrente è trasmesso o archiviato dal Sito.
2. PayPal: il pagamento avviene in ambiente sicuro gestito da PayPal (Europe) S.à r.l. et Cie, S.C.A. L'Utente è reindirizzato al portale PayPal; i dati di pagamento (IBAN, carta, conto PayPal) sono trattati esclusivamente da PayPal in qualità di responsabile del trattamento. L'Associazione riceve da PayPal la sola conferma di pagamento (nome, email, importo, data, riferimento transazione).
3. Satispay: il pagamento avviene tramite scansione di un QR code esposto sul Sito, che reindirizza l'Utente all'applicazione Satispay S.p.A. L'intera transazione avviene nell'ambiente Satispay; i dati di pagamento non transitano dal Sito. L'Associazione riceve da Satispay la sola conferma di pagamento (nome, email, importo, data).

Nota: l'Associazione non raccoglie, non memorizza e non ha accesso a numeri di carta di credito, codici CVV, IBAN di conto corrente o credenziali di pagamento in alcun formato, sia in fase di iscrizione sia in fase di donazione.

Informazioni sui centri di ascolto

Il Sito pubblica l'elenco di centri di ascolto attivi sul territorio, approvati dall'Associazione e gestiti da enti terzi sotto la supervisione e la garanzia di Amici Oltre il Peso ETS. Le informazioni pubblicate (denominazione della struttura, indirizzo, recapiti telefonici, orari di apertura) sono dati pubblici forniti dalle strutture stesse e non configurano trattamento di dati personali di Utenti del Sito. Le strutture di ascolto dispongono ciascuna di propria documentazione privacy, da firmare in sede prima di partecipare alle attività.

Finalità e basi giuridiche del trattamento

I Dati Personali sono trattati per le seguenti finalità, ciascuna fondata sulla relativa base giuridica ai sensi dell'art. 6 GDPR:

È possibile chiedere in qualsiasi momento al Titolare il chiarimento sulla specifica base giuridica applicata a ciascun trattamento, ai sensi dell'art. 14 par. 2 lett. d) GDPR.

Modalità del trattamento

Il trattamento è effettuato mediante strumenti informatici e/o telematici, con logiche strettamente correlate alle finalità indicate, nel pieno rispetto dei principi di liceità, correttezza, trasparenza, limitazione delle finalità, minimizzazione, accuratezza, limitazione della conservazione, integrità e riservatezza (art. 5 GDPR).

In particolare:

• i dati forniti tramite il Contact Form sono trasmessi via protocollo sicuro (HTTPS/TLS 1.2 o superiore) all'indirizzo email del Titolare gestito tramite il servizio Gmail;
• le transazioni PayPal e Satispay avvengono in ambiente cifrato gestito dai rispettivi provider, senza che i dati di pagamento transitino dal Sito;
• i log di server sono conservati e consultati esclusivamente a fini di sicurezza e manutenzione;
• Google Analytics è configurato in modalità anonimizzata (truncamento dell'indirizzo IP) e i dati sono aggregati, non riconducibili a singoli Utenti;
• non vengono effettuati trattamenti automatizzati che producano effetti giuridici o che incidano significativamente sulla persona (art. 22 GDPR).

Comunicazione, diffusione e Responsabili del Trattamento

I Dati Personali non sono oggetto di diffusione in senso stretto (art. 4 n. 2 GDPR). Possono essere comunicati, esclusivamente per le finalità di cui alla sezione "Finalità e basi giuridiche", a:

• Enti pubblici e autorità competenti: Agenzia delle Entrate, INPS, Ministero del Lavoro e delle Politiche Sociali (ex Direzione Generale del Terzo Settore), Tribunale competente per i procedimenti in materia di terzo settore, Autorità Garante per la Protezione dei Dati Personali – nell'adempimento di obblighi di legge o su loro specifica richiesta;
• Centri di ascolto e enti terzi collaboratori: nei limiti strettamente necessari per l'organizzazione delle attività associative (es. condivisione del nominativo del socio per la convocazione a un gruppo), e solo con i dati strettamente pertinenti alla specifica finalità;
• Professionisti e consulenti (commercialista, avvocato, consulente del lavoro): operanti in qualità di Responsabili del trattamento ex art. 28 GDPR o di incaricati ex art. 29 GDPR, sotto la direzione del Titolare.

Responsabili del Trattamento ex art. 28 GDPR

L'Associazione ha nominato i seguenti soggetti in qualità di Responsabili del Trattamento, ai quali sono stati conferiti incarichi mediante accordo contrattuale (Data Processing Agreement – DPA) che ne disciplina gli obblighi di riservatezza, sicurezza e cooperazione:

L'elenco aggiornato dei Responsabili del Trattamento può essere richiesto via email all'indirizzo indicato nella sezione Contatti, ai sensi dell'art. 28 par. 3 lett. e) GDPR.

Trasferimento di Dati Personali in Paesi terzi

I Dati Personali possono essere trasferiti al di fuori dello Spazio Economico Europeo (SEE) nelle seguenti circostanze, in conformità agli artt. 44-49 GDPR:

• Svizzera (Infomaniak Network SA): il trasferimento avviene in forza della Decisione di Adeguatezza (UE) 2023/974 della Commissione Europea del 27 giugno 2023, che riconosce il livello di protezione adeguato dei dati personali in Svizzera. Non sono necessarie garanzie aggiuntive. La decisione ha validità quinquennale (fino al 27 giugno 2028), salvo rinnovo o revoca.
• Stati Uniti (Google LLC, PayPal US): il trasferimento si avvale delle Clausole Contrattuali Standard (SCC) adottate con Decisione (UE) 2021/914 della Commissione e, per le entità che ne hanno fatto richiesta, della certificazione ex EU-U.S. Data Privacy Framework (in vigore dal 10 luglio 2023). Il Titolare richiede a ciascun responsabile l'adozione di misure supplementari tecniche e organizzative adeguate (crittografia, pseudonimizzazione, accesso limitato) in coerenza con le indicazioni del Garante (Provvedimento del 18 maggio 2022, n. 208) e con la sentenza del Tribunale di Giustizia UE (causa C-311/18, "Schrems II").
• Lussemburgo (PayPal (Europe) S.à r.l.): sede nel SEE; non costituisce trasferimento a Paese terzo. I dati possono essere ulteriori trattati da entità PayPal negli USA in forza delle garanzie sopra indicate.

Per qualsiasi trasferimento non coperto dalle garanzie sopra indicate, il Titolare adotta le misure previste dagli artt. 46-49 GDPR (SCC, BCR, deroghe di cui all'art. 49) e ne informa l'Interessato.

Periodi di conservazione dei Dati Personali

I Dati Personali sono conservati per il tempo strettamente necessario al perseguimento delle finalità per le quali sono stati raccolti, e comunque per i seguenti periodi massimi:

Decorso il periodo di conservazione, i Dati Personali sono cancellati o anonimizzati in modo irreversibile. Allo scadere dei termini, i diritti di accesso, rettifica, cancellazione e portabilità non potranno più essere esercitati.

In ogni caso, i Dati Personali possono essere conservati per un periodo superiore quando necessario per adempiere a un obbligo di legge, per esigere o difendersi in sede giudiziale (art. 6 par. 1 lett. f GDPR), o su disposizione di un'autorità competente.

Misure di sicurezza

Il trattamento è effettuato adottando misure tecniche e organizzative adeguate a garantire un livello di sicurezza appropriato al rischio, ai sensi dell'art. 32 GDPR. Tra le misure adottate:

• crittografia TLS (HTTPS) di tutte le comunicazioni tra il browser dell'Utente e il Sito;
• utilizzo di un hosting professionale (Infomaniak Network SA) con certificazioni di settore e controlli di accessibilità al data center;
• autenticazione e controllo degli accessi ai sistemi di gestione del Sito e alla casella email del Titolare mediante password robuste e autenticazione a due fattori (2FA);
• procedure di backup periodico dei dati;
• monitoraggio dei log di accesso per la rilevazione di anomalie e tentativi di intrusione;
• accordi contrattuali (DPA) con tutti i Responsabili del Trattamento, con obbligo di riservatezza e assistenza al Titolare;
• formazione del personale, dei volontari e degli amministratori di sistema che accedono ai dati;
• procedure interne per la gestione e la notifica dei data breach (artt. 33 e 34 GDPR) entro 72 ore dalla conoscenza della violazione.

Qualsiasi violazione dei dati personali (data breach) sarà notificata all'Autorità Garante entro 72 ore dalla consapevolezza e, ove il rischio per i diritti e le libertà degli Utenti sia elevato, saranno informati anche gli Interessati interessati (art. 34 GDPR).

Diritti dell'Interessato

L'Interessato ha diritto di esercitare, nei limiti e con le modalità previste dagli artt. 15-22 del GDPR, i seguenti diritti:

• Diritto di accesso (art. 15): ottenere conferma dell'esistenza o meno di un trattamento e copia dei Dati Personali, delle finalità, delle categorie di dati, dei destinatari, del periodo di conservazione, dell'origine (se non raccolti dall'Interessato) e di ogni informazione relativa a processi decisionali automatizzati;
• Diritto di rettifica (art. 16): ottenere la rettifica dei dati inesatti e/o l'integrazione di quelli incompleti, senza ingiustificato ritardo;
• Diritto di cancellazione ("diritto all'oblio", art. 17): ottenere la cancellazione dei Dati Personali nei casi ivi previsti (cessazione della base giuridica, revoca del consenso, opposizione, trattamento illecito, obbligo di diritto UE, dati di minori);
• Diritto di limitazione del trattamento (art. 18): ottenere la limitazione del trattamento nei casi ivi previsti (contestazione dell'esattezza, trattamento illecito, necessità di conservazione per finalità diverse, opposizione in pendenza di verifica);
• Diritto alla portabilità dei dati (art. 20): ricevere i Dati Personali forniti in un formato strutturato, di uso comune e leggibile da dispositivo automatico, e trasmetterli a un altro titolare senza impedimenti, ove il trattamento si basi su consenso o contratto e sia effettuato con mezzi automatizzati;
• Diritto di opposizione (art. 21): opporsi in tutto o in parte al trattamento fondato su legittimo interesse o interesse pubblico/esercizio di pubblici poteri; l'opposizione ha effetto vincolante salvo dimostrazione di motivi legittimi imperativi del Titolare;
• Diritto di revoca del consenso (art. 7 par. 3): revocare in qualsiasi momento il consenso prestato, con effetto per il futuro, senza pregiudicare la liceità del trattamento basata sul consenso prima della revoca;
• Diritto di non essere sottoposto a decisioni basate unicamente su trattamenti automatizzati, compresa la profilazione (art. 22). Tale trattamento non viene effettuato dal Titolare.

Per esercitare i propri diritti, l'Interessato può inviare una richiesta scritta (anche in formato elettronico) all'indirizzo email indicato nella sezione Contatti. Il Titolare darà riscontro entro un (1) mese dalla ricezione della richiesta; in caso di complessità o di un elevato numero di richieste, il termine può essere prorogato di ulteriori due mesi, con comunicazione delle ragioni del ritardo entro il primo mese. L'esercizio dei diritti è gratuito; in caso di richieste manifestamente infondate o eccessive, il Titolare può rifiutare di darvi seguito o applicare un contributo spese ragionevole (art. 12 par. 5 GDPR).

Reclamo all'Autorità Garante

Senza pregiudizio per eventuali rimedi giurisdizionali, l'Interessato ha diritto di proporre reclamo all'Autorità di controllo competente, il Garante per la Protezione dei Dati Personali (www.garanteprivacy.it), ai sensi dell'art. 77 GDPR, e/o di agire in sede giudiziale per il risarcimento del danno (materiale e/o morale) ai sensi degli artt. 79 e 82 GDPR, dinanzi al giudice competente territorialmente.

Cookie e tecnologie di tracciamento

Il Sito utilizza cookie e tecnologie di tracciamento analoghe nel rispetto delle Linee Guida del Garante per la Protezione dei Dati Personali n. 229/2014 (modalità semplificate per l'informativa e l'acquisizione del consenso per l'uso dei cookie), delle Linee Guida su cookie e altri strumenti di tracciamento (8 maggio 2014, come integrate) e della disciplina di cui al GDPR e al D.Lgs. 196/2003.

Per la descrizione dettagliata delle tipologie di cookie e tecnologie di tracciamento impiegate, delle relative finalità, della durata, della titolarità e delle modalità di gestione e disabilitazione, si rimanda alla Cookie Policy del Sito, resa disponibile in calce a ogni pagina e accessibile tramite link permanente nel footer.

Modifiche alla presente Informativa

La presente Informativa può essere sottoposta ad aggiornamenti periodici, derivanti da modifiche normative (es. nuove linee guida del Garante, evoluzione del quadro GDPR), da cambiamenti nei servizi offerti, da variazioni nell'organizzazione del trattamento o dall'adozione di nuovi strumenti e servizi di terze parti. La versione vigente è sempre quella pubblicata in questa pagina con indicazione della data dell'ultimo aggiornamento. L'Utente è invitato a consultarla ad ogni accesso al Sito.

In caso di modifiche sostanziali, il Titolare valuterà l'opportunità di notificarle attivamente agli Utenti tramite i recapiti disponibili (es. email per i soci iscritti).

Contatti

Per qualsiasi richiesta relativa al trattamento dei Dati Personali, per l'esercizio dei diritti di cui alla sezione "Diritti dell'Interessato", o per informazioni sulla presente Informativa:

ASSOCIAZIONE AMICI OLTRE IL PESO ETS – C.F. 97712540158 – Via Roberto Tremelloni, 42 – 20148 Milano (MI)
Informativa redatta ai sensi degli artt. 13-14 del Regolamento (UE) 2016/679 (GDPR) e dell'art. 13 del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018.
Ultimo aggiornamento: [DATA DI PUBBLICAZIONE]