1. Titolare e mittenti
1.1 Titolare: [DA COMPILARE: ragione sociale], contatti come in informativa-privacy.md § 1.
1.2 Mittente delle campagne: newsletter@news.imolesefc.it con Reply-To assistenza@imolesefc.it (EMAIL-13); mittente dei messaggi di servizio: notifiche@notify.imolesefc.it (EMAIL-14). Entrambi da attivare solo dopo verifica di provider e DNS (R-09; docs/integrations.md § 6.2).
2. Cosa trattiamo e perché
| Trattamento | Dati | Base giuridica proposta | Note |
|---|---|---|---|
| Iscrizione alla newsletter e invio delle campagne | email, temi scelti, frequenza, lingua, stato (pending/confirmed/unsubscribed/suppressed), fonte, data, testo e versione del consenso, prova della conferma | consenso (art. 6.1.a GDPR; art. 130 c. 1 Codice privacy) | EMAIL-37, EMAIL-38, EMAIL-39 |
| Segmentazione per preferenze esplicite, lingua, stato, attività e acquisti quando consentito | come sopra + storico acquisti se autorizzato | consenso [DA VERIFICARE CON IL LEGALE: se l'uso degli acquisti per segmentare richieda un consenso alla profilazione distinto] | EMAIL-41 |
| Statistiche delle campagne (consegne, bounce, reclami, disiscrizioni, click quando misurabili/consentiti) | eventi di consegna e interazione | [DA VERIFICARE CON IL LEGALE: consenso o legittimo interesse; tracciamento dei click e delle aperture configurabile] | EMAIL-42, EMAIL-45 («Aperture come indicatore non affidabile») |
| Lista di esclusione (suppression) | email (o sua impronta) e motivo dell'esclusione | obbligo di rispettare l'opposizione (art. 6.1.c / 21.3 GDPR) [DA VERIFICARE CON IL LEGALE] | EMAIL-39 «impedisce reinserimenti accidentali» |
| Carrello abbandonato, riattivazione | email, contenuto del carrello | solo se autorizzati da regole e preferenze | ECX07; EMAIL-47 |
3. Doppio opt-in
3.1 L'iscrizione avviene in due passi: inserisci l'email e scegli i temi (Club, Prima squadra, Academy per adulti/tutori, Store, Eventi e biglietteria — EMAIL-39), poi confermi cliccando il link monouso che ricevi via email; il link scade dopo [DA COMPILARE: durata configurata] (EMAIL-38 «double opt-in con token monouso, scadenza configurabile»; configurazione MARKETING_DOUBLE_OPT_IN=true, docs/integrations.md § 6.3). Fino alla conferma non ricevi campagne.
3.2 Registriamo fonte, data, testo e versione del consenso e la prova della conferma come eventi append-only, senza sovrascrivere la storia (EMAIL-38, EMAIL-53).
3.3 Non importiamo vecchie rubriche come iscritte senza prova di un'autorizzazione adeguata (EMAIL-38).
4. Nessuna iscrizione implicita
4.1 Il consenso marketing è separato da account, acquisto, assistenza e adesione Academy (EMAIL-37; SQ05). Nessun acquisto genera un'iscrizione (EMAIL-56). Nessuna casella è preselezionata (UX14).
4.2 Le richieste Academy usano l'email del tutore e non iscrivono il minore a campagne (EMAIL-31). Il tema «Academy per adulti/tutori» si rivolge agli adulti (EMAIL-39).
4.3 Soft spam. [DA VERIFICARE CON IL LEGALE: l'art. 130 c. 4 del Codice privacy consente di usare, senza consenso, l'email fornita dal cliente nel contesto della vendita per promuovere prodotti o servizi analoghi, se il cliente è informato e non rifiuta, inizialmente e a ogni comunicazione. Il progetto non lo usa: EMAIL-56 vieta l'iscrizione implicita dall'acquisto. Se il club volesse usarlo, serve una decisione scritta che modifichi EMAIL-56 e l'informativa di vendita.]
5. Revoca a un click
5.1 Ogni email promozionale contiene un link di disiscrizione e le intestazioni richieste dal provider, preferibilmente con disiscrizione a un clic (List-Unsubscribe e List-Unsubscribe-Post) [DA VERIFICARE CON IL LEGALE e col provider: requisiti tecnici effettivi] (EMAIL-44 «Link di disiscrizione e intestazioni richieste dal provider»).
5.2 La revoca è semplice e immediata nei sistemi di invio (EMAIL-39): sopprime il prossimo invio anche se la campagna è già programmata (AD24 «revoca consenso sopprime il prossimo invio»; EMAIL-43 «il consenso deve essere ricontrollato subito prima dell'invio»; EMAIL-57 «revoca dopo programmazione rispettata»).
5.3 La disiscrizione dal marketing non disattiva le email necessarie a gestire un ordine o una richiesta (EMAIL-40; T15 «email servizio separata»).
6. Fornitori
6.1 Provider di invio: Brevo, candidato da verificare, non un account già collegato (D-61; EMAIL-18). Ruolo proposto: responsabile ex art. 28 GDPR. [DA VERIFICARE CON IL LEGALE: DPA e luogo del trattamento.] Hosting e caselle: vedi nomine-responsabili-bozza.md.
6.2 Staging e test non inviano a clienti reali (AD24; allowlist dei destinatari di prova).
7. Conservazione (proposte)
| Dato | Proposta |
|---|---|
| Iscrizione confermata | fino alla revoca [DA VERIFICARE CON IL LEGALE: eventuale scadenza dopo un lungo periodo di inattività, es. 24 mesi, con richiesta di conferma] |
| Iscrizione mai confermata (pending) | [DA COMPILARE: es. 30 giorni] |
| Eventi di consenso | durata dell'iscrizione + [DA COMPILARE: periodo di prova] |
| Lista di esclusione | finché serve a rispettare l'opposizione, con il minimo di dati [DA VERIFICARE CON IL LEGALE] |
| Statistiche di campagna | [DA COMPILARE] |
8. Diritti
8.1 Come in informativa-privacy.md § 8; per la newsletter in particolare: opposizione al marketing diretto in ogni momento (art. 21.2-21.3 GDPR) e modifica dei temi dal centro preferenze.
9. Testo proposto per il form del footer
«Iscriviti alla newsletter dell'Imolese. Ti mandiamo un'email per confermare l'iscrizione. Puoi disiscriverti in ogni momento dal link in fondo a ogni messaggio. Informativa: [link].» — nessuna casella preselezionata. [DA VERIFICARE CON IL LEGALE.]
--- Bozza tecnica da validare dal legale del club — non costituisce parere legale e non è un testo definitivo. Nessun invio reale prima dell'approvazione e della chiusura di R-09.