1. Chi tratta i tuoi dati
1.1 Titolare del trattamento: [DA COMPILARE: ragione sociale esatta — L-24], sede legale [DA COMPILARE — L-24], codice fiscale e partita IVA [DA COMPILARE — L-24], PEC [DA COMPILARE — L-24], telefono [DA COMPILARE — L-25]. Email per la privacy: [DA COMPILARE: casella dedicata; il piano caselle propone privacy@imolesefc.it, casella separata con accesso ristretto — EMAIL-07, EMAIL-61, D-61].
1.2 Responsabile della protezione dei dati (DPO): [DA COMPILARE: nome o società e contatto del DPO, oppure «Il titolare non ha nominato un DPO» — L-28]. [DA VERIFICARE CON IL LEGALE: obbligo di nomina ex art. 37 GDPR considerando i dati dei minori dell'Academy — scelta S-05 del registro-scelte-legali.md.]
1.3 Academy e settore giovanile: [DA COMPILARE: indicare se sono gestiti dallo stesso titolare o da un altro soggetto — L-27]. [DA VERIFICARE CON IL LEGALE: eventuale contitolarità ex art. 26 GDPR.]
2. Principi
2.1 Il sito raccoglie solo i dati necessari alla funzione che usi (art. 5.1.c GDPR; SQ04).
2.2 Il sito non raccoglie dati sanitari (SQ07, AC05). Ti chiediamo di non scriverne nei campi liberi.
2.3 I dati della carta di pagamento non arrivano al sito: li raccoglie direttamente il fornitore di pagamento sulla propria pagina (EC06; il server rifiuta qualunque evento di pagamento che contenga dati di carta — apps/commerce/README.md § M04).
2.4 Nomi personalizzati protetti: il nome e il numero che fai stampare sulla maglia non compaiono mai negli indirizzi delle pagine (URL), nei feed di prodotto, nelle statistiche, nei pixel pubblicitari, nei log o nelle intestazioni (MERCH-T16; apps/commerce/README.md § «Regole codificate»: le richieste di preventivo sono registrate senza nome, numero, indirizzo IP né chiave).
3. Trattamenti, finalità e basi giuridiche
Ogni base giuridica è una proposta. [DA VERIFICARE CON IL LEGALE: base giuridica di ciascuna riga.] Colonna «Stato»: attivo in prova = costruito e provato sull'ambiente di test con dati di prova; da costruire (Fxx) = previsto nella fase indicata; nessun trattamento è oggi attivo su dati reali.
| # | Trattamento | Dati | Finalità | Base giuridica proposta | Obbligatorio? | Stato |
|---|---|---|---|---|---|---|
| TR-01 | Account My Imolese (registrazione, verifica dell'email, accesso, recupero della password, profilo, indirizzo, lingua) | nome, email, password (solo in forma derivata non reversibile), indirizzo, lingua, preferenze | creare e gestire l'account | art. 6.1.b | sì per avere l'account; il sito e lo store si usano anche senza | attivo in prova (AC01; apps/web/app/account/) |
| TR-02 | Ordini dello store (carrello, checkout, pagamento, consegna o ritiro) | email, nome, indirizzo, telefono, contenuto dell'ordine, personalizzazione (§ 4), esito del pagamento, tracciamento | concludere ed eseguire il contratto di vendita | art. 6.1.b | sì per acquistare | carrello e ordini attivi in prova; checkout da costruire (F07) |
| TR-03 | Adempimenti fiscali e contabili | dati dell'ordine e del documento fiscale | obblighi di legge | art. 6.1.c | sì | da costruire (F07, L-22) |
| TR-04 | Resi, recesso, rimborsi, garanzia | ordine, righe restituite, motivo, nota facoltativa, esito del controllo, importo rimborsato | diritti del consumatore | art. 6.1.b e 6.1.c | sì per chiedere il reso | attivo in prova (API M04; D-139) |
| TR-05 | Accesso all'ordine di chi compra senza account e associazione all'account | email dell'ordine, numero d'ordine, chiave di accesso firmata | far vedere l'ordine solo a chi l'ha fatto | art. 6.1.b | — | attivo in prova (D-180; associazione all'account in F07) |
| TR-06 | Assistenza e ticket | nome, email, categoria, messaggio, allegati, numero d'ordine facoltativo | rispondere alle richieste | art. 6.1.b (ordini e servizi) o 6.1.f (richieste generiche) | sì per avere risposta | da costruire (F10); vedi informativa-assistenza-e-accrediti.md |
| TR-07 | Richieste privacy | dati per identificarti e risponderti | adempiere agli artt. 12-22 GDPR | art. 6.1.c | — | procedura manuale via email finché non c'è la funzione (F12-F13) |
| TR-08 | Newsletter | email, temi scelti, frequenza, stato dell'iscrizione, eventi di consenso | comunicazioni del club e dello store | art. 6.1.a, con doppia conferma (doppio opt-in) | no | motore pronto (EMAIL-38, EMAIL-39); invii reali solo dopo la scelta del fornitore (F12, D-61) |
| TR-09 | Accrediti stampa | nome, email, testata, partita, documentazione | gestire la richiesta | art. 6.1.b o 6.1.f | sì per chiedere l'accredito | da costruire (F09) |
| TR-10 | Academy e area famiglie | dati del tutore e del minore | prove, iscrizioni, comunicazioni | vedi informativa-minori-academy.md | — | chiuso al pubblico fino a L-29 |
| TR-11 | Sponsor e partner | referente, azienda, recapiti, richiesta | rispondere e gestire il rapporto | art. 6.1.b | sì per essere ricontattati | da costruire (F10) |
| TR-12 | Eventi, membership, sondaggi | iscrizione, voto (uno per utente) | partecipazione | art. 6.1.b | — | non attivo (AC08, AC09) |
| TR-13 | Sicurezza e log tecnici | indirizzo IP, data e ora, esito delle richieste, tentativi di accesso | proteggere il sito, prevenire abusi | art. 6.1.f (sicurezza) | — | attivo in prova (§ 6) |
| TR-14 | Statistiche (analytics) | identificativi del browser, pagine viste, eventi | misurare l'uso del sito | art. 6.1.a (consenso «Statistiche») | no | nessuno strumento caricato (§ 7) |
| TR-15 | Marketing e misura delle campagne (pixel) | identificativi, eventi d'acquisto con event_id | misurare le campagne | art. 6.1.a (consenso «Marketing») | no | nessun pixel caricato; Meta e TikTok solo se il club li sceglie (L-41) |
| TR-16 | Video esterni | dati raccolti dalla piattaforma video | mostrare i video incorporati | art. 6.1.a (consenso «Video esterni») | no | nessun lettore esterno caricato |
| TR-17 | Biglietteria | nessun dato: il sito porta al circuito esterno ETES | — | — | — | link esterno (AD13) |
| TR-18 | Personalizzazione e lavorazione (nome e numero sulla maglia) | testo scelto, numero, taglia, colore, prezzo, modello di stampa (§ 4) | produrre e consegnare il prodotto come confermato | art. 6.1.b | sì per acquistare un personalizzato | attivo in prova (D-141, D-139) |
| TR-19 | Registro delle attività del pannello (audit) | identificativo dell'operatore, azione, oggetto, esito, data e ora; IP e dispositivo delle sessioni dello staff | responsabilizzazione, sicurezza, prova delle operazioni (rimborsi, resi, accessi negati) | art. 6.1.f e 6.1.c (art. 5.2 e 32 GDPR) | — | attivo in prova (D-77, D-111; § 6) |
| TR-20 | Email transazionali (conferme d'ordine, preparazione, spedizione, ritiro, annullamento, rimborso, verifica account, recupero password) | email, nome, numero d'ordine, contenuto dell'ordine | informarti sul servizio richiesto | art. 6.1.b | sì: non si disattivano con la disiscrizione dal marketing (EMAIL-40) | attivo in prova solo verso la casella di test (D-139; nessun invio reale, D-61) |
3.1 Consensi separati e mai presunti. Marketing separato dalle comunicazioni di servizio; consensi sulle immagini separati dai documenti di iscrizione (SQ05). Nessuna casella facoltativa è preselezionata (UX14). L'acquisto non iscrive alla newsletter (EMAIL-56).
3.2 Casella «Ho letto l'informativa». Vale come presa visione, mai come consenso, e non è usata come base per il marketing (decisione 3 della review BOZZE-LEGALI). Nella registrazione la casella è obbligatoria (apps/web/lib/account-regole.ts). [DA VERIFICARE CON IL LEGALE: mantenerla o sostituirla con un rimando all'informativa vicino al pulsante.]
3.3 Consensi dal profilo. Dal profilo puoi chiedere la newsletter (resta «in attesa» fino alla conferma via email, F12) e attivare o revocare le comunicazioni promozionali; ogni scelta è salvata come evento in sola aggiunta, con data, testo e versione del consenso (EMAIL-53).
4. Personalizzazione: che cosa conserviamo e dove
4.1 Quando chiedi un'anteprima con nome e numero, il server calcola un preventivo e lo conserva per 120 minuti di validità più 7 giorni, poi lo cancella da solo (D-141; Redis del negozio). Il codice del preventivo non permette di risalire al nome.
4.2 Quando l'ordine è creato, nella riga d'ordine resta una copia firmata e immutabile della personalizzazione: testo e numero normalizzati, taglia, colore, titolo del prodotto, modello e versione di stampa, colore del testo, prezzo e supplementi, data (D-141; packages/domain/src/merch/produzione/snapshot.ts). Serve a stampare esattamente ciò che hai confermato e a provarlo in caso di difetto; non cambia se il modello di stampa cambia dopo.
4.3 Chi la vede. Nel pannello, secondo i ruoli (D-139): l'operatore dello store vede nome e numero ma non i prezzi; il supervisore dei rimborsi non vede la coda di lavorazione; il supporto clienti vede la coda senza nomi. Il file per il laboratorio contiene la personalizzazione e le zone di stampa, non i tuoi recapiti; l'esportazione richiede un permesso specifico ed è registrata. [DA COMPILARE: laboratorio di stampa — L-15.]
4.4 La personalizzazione si conserva per lo stesso tempo dell'ordine (§ 9).
5. Ordini senza account (accesso ospite)
5.1 Se compri senza account, l'email di conferma contiene un link con una chiave di accesso personale valida 30 giorni, legata al numero d'ordine e alla tua email (D-180). La chiave sta nella parte finale del link (dopo #), che il browser non invia al server: non finisce nei log del sito né in altri siti visitati dopo. Chi conosce solo il numero d'ordine non vede i dati. Ogni tentativo di accesso negato è registrato senza dati dell'ordine (D-111).
5.2 Dopo i 30 giorni il link non apre più l'ordine; l'ordine resta conservato (§ 9) e puoi chiedere un nuovo link o associarlo a un account con la stessa email (da verificare in F07).
6. Sicurezza, log e registro delle attività
6.1 Misure del progetto (art. 32 GDPR): autorizzazione verificata dal server per ogni operazione; autenticazione a due fattori per lo staff; sessioni dello staff con durata massima di 12 ore e scadenza dopo 2 ore di inattività (packages/cms/src/auth/sessioni.ts); cookie di sessione non leggibili dagli script; limiti di frequenza; file privati con link a scadenza; segreti fuori dal codice; backup cifrati con ripristino provato (SQ01, SQ02).
6.2 Limiti di frequenza e indirizzo IP. L'accesso all'account ammette 5 tentativi in 15 minuti per combinazione di indirizzo IP ed email, in memoria e solo per quella finestra (apps/web/lib/account-regole.ts); le richieste di preventivo hanno un limite per IP conservato solo come impronta non reversibile (D-141). Le sessioni dello staff registrano IP e dispositivo (apps/admin/lib/azioni/accesso.ts). [DA COMPILARE: log del server web e del fornitore di hosting, tempi di conservazione — L-43; da verificare in F13.]
6.3 Registro delle attività (audit). Il pannello e il negozio registrano chi ha fatto che cosa e quando: rimborsi (con motivo obbligatorio), resi, cambi di stato degli ordini e delle lavorazioni, esportazioni, accessi negati. Gli accessi negati sono registrati senza i dati del record (D-77, D-111). I log non contengono password, token, documenti o informazioni dei minori (master righe 1414-1417).
6.4 In caso di violazione dei dati il titolare applica gli artt. 33-34 GDPR [DA COMPILARE: procedura interna e referente].
7. Cookie, statistiche, pixel e feed di prodotto
7.1 I cookie usati dal sito sono elencati in cookie-policy.md. Oggi il sito usa solo cookie necessari: nessuno strumento di statistica, pixel pubblicitario o lettore video esterno è caricato (verificato nel codice di apps/web al 07/10/2026).
7.2 Statistiche (Google Analytics 4) e pixel (Meta, TikTok, Google Ads) partiranno solo con il tuo consenso nella categoria corrispondente, valutato al momento di ogni evento (GA4 = «Statistiche»; Meta e TikTok = «Marketing»; packages/domain/src/analytics/), e senza dati personali nei parametri degli indirizzi (F12; L-40, L-41).
7.3 Feed di prodotto verso Google e Meta. Per mostrare i prodotti su Google Shopping (e su Meta, solo se il club lo sceglie) il sito pubblica un elenco dei prodotti con soli dati di prodotto: codice, titolo, descrizione, prezzo, disponibilità, immagini, categoria. Il feed non contiene dati personali né nomi personalizzati (D-190…D-196, approvate dal direttore il 07/10/2026, review FEED-PRODOTTI; MERCH-70, MERCH-T16; account del club in L-57). Nessun feed è inviato finché il club non apre l'account (L-57).
8. I tuoi diritti
8.1 Puoi chiedere in ogni momento: accesso (art. 15), rettifica (art. 16), cancellazione (art. 17), limitazione (art. 18), portabilità dei dati forniti per contratto o consenso (art. 20), opposizione ai trattamenti basati sul legittimo interesse (art. 21.1) e, senza motivazione, al marketing diretto (art. 21.2). Puoi revocare il consenso in ogni momento, senza effetto sui trattamenti precedenti (art. 7.3).
8.2 Come. Scrivi a [DA COMPILARE: email privacy — § 1.1]. Nel profilo puoi correggere nome, indirizzo e lingua e revocare i consensi; le preferenze sui cookie si cambiano in /preferenze-cookie; la newsletter si revoca dal link in ogni email (EMAIL-39). Rispondiamo entro un mese, prorogabile nei casi dell'art. 12.3.
8.3 Puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it), art. 77 GDPR, o ricorrere al giudice (art. 79).
9. Per quanto tempo conserviamo i dati
9.1 I periodi sono scelte del titolare da approvare (scelta S-06 del registro). La cancellazione automatica non tocca le evidenze contabili soggette a conservazione (master riga 1211).
| Categoria | Proposta | Riferimento |
|---|---|---|
| Account My Imolese | fino alla cancellazione richiesta; account inattivo da [DA COMPILARE] mesi → avviso e cancellazione | S-06 |
| Ordini, personalizzazione e documenti fiscali | [DA COMPILARE: es. 10 anni] | art. 2220 c.c. [DA VERIFICARE CON IL LEGALE] |
| Preventivi di personalizzazione non acquistati | 120 minuti + 7 giorni, poi cancellazione automatica | D-141 (già nel sistema) |
| Chiave di accesso ospite all'ordine | valida 30 giorni (non è un dato conservato: è firmata e verificata a ogni uso) | D-180 (già nel sistema) |
| Resi e rimborsi | come gli ordini | art. 2220 c.c. [DA VERIFICARE CON IL LEGALE] |
| Ticket di assistenza | [DA COMPILARE] | S-06 |
| Richieste privacy ed esito | [DA COMPILARE] | art. 5.2 GDPR |
| Newsletter | fino alla revoca; dopo, solo la voce minima nella lista di esclusione | EMAIL-39 |
| Eventi di consenso | durata del consenso + [DA COMPILARE] | art. 7.1 GDPR; EMAIL-53 |
| Preferenze cookie | 180 giorni sul dispositivo | D-87 (già nel sistema) |
| Registro delle attività (audit) | [DA COMPILARE] | S-06 |
| Log tecnici | [DA COMPILARE — L-43] | S-06 |
| Backup | giornalieri 30 giorni, mensili 12 mesi (proposta del piano di produzione) | L-44, D-93 [DA VERIFICARE CON IL LEGALE] |
10. Destinatari
10.1 Personale del club autorizzato (art. 29 GDPR; art. 2-quaterdecies D.Lgs. 196/2003), ciascuno solo per il proprio ruolo: la matrice dei permessi nega tutto ciò che non è espressamente consentito (docs/matrice-permessi.md).
10.2 Fornitori. Nessuno è oggi attivo: ciascuno va contrattualizzato e qualificato prima dell'attivazione (nomine-responsabili-bozza.md).
| Fornitore | Servizio | Dati | Ruolo proposto | Stato |
|---|---|---|---|---|
| Hosting di produzione [DA COMPILARE — L-43] | server, database, archivi, backup | tutte le categorie | responsabile (art. 28) | da scegliere, regione UE |
| Stripe [DA VERIFICARE CON IL LEGALE: entità contraente] | pagamento con carta | dati di pagamento, email, importo, riferimento d'ordine | titolare autonomo per i propri obblighi e/o responsabile [DA VERIFICARE CON IL LEGALE] | segnaposto spento (L-19) |
| PayPal [DA VERIFICARE CON IL LEGALE: entità contraente] | pagamento PayPal | dati del conto PayPal, importo | titolare autonomo [DA VERIFICARE CON IL LEGALE] | segnaposto spento (L-20) |
| Poste Italiane / SDA | spedizione e tracciamento | nome, indirizzo, telefono, email del destinatario | responsabile o titolare autonomo [DA VERIFICARE CON IL LEGALE] | da contrattualizzare (L-47) |
| Laboratorio di stampa [DA COMPILARE — L-15] | stampa dei personalizzati | testo, numero, taglia (non i recapiti) | responsabile (art. 28) | da scegliere |
| Aruba | caselle email imolesefc.it | contenuto della posta | responsabile (art. 28) | da verificare (D-61) |
| Brevo (solo se scelto) | invio newsletter ed email di servizio | email, preferenze, eventi di invio | responsabile (art. 28) | candidato non collegato (D-61) |
| statistiche GA4 (solo con consenso); Merchant Center (solo dati di prodotto); Search Console | identificativi online (GA4); nessun dato personale (feed) | responsabile o contitolare per GA4 [DA VERIFICARE CON IL LEGALE] | non collegato (L-40, L-57) | |
| Meta, TikTok (solo se scelti) | pixel e catalogo | identificativi online, eventi | possibile contitolarità (art. 26) [DA VERIFICARE CON IL LEGALE] | non collegati (L-41) |
| ETES | biglietteria (link esterno) | nessuno dal sito | titolare autonomo | link esterno |
| Commercialista [DA COMPILARE — L-22] | adempimenti fiscali | dati degli ordini e dei documenti | responsabile o titolare autonomo [DA VERIFICARE CON IL LEGALE] | — |
10.3 Autorità pubbliche, quando la legge lo richiede (art. 6.1.c). I dati non sono venduti né diffusi.
11. Trasferimenti fuori dallo Spazio economico europeo
11.1 L'hosting di produzione è previsto in regione UE (L-43). Per Stripe, PayPal, Google, Meta, TikTok, Brevo e Aruba l'esistenza di trasferimenti extra-SEE, il paese e la garanzia adottata (decisione di adeguatezza, compreso l'EU-U.S. Data Privacy Framework per i destinatari certificati, o clausole contrattuali tipo: artt. 45-49 GDPR) vanno verificati sul contratto di ciascuno. [DA VERIFICARE CON IL LEGALE.] Nessun trasferimento è qui affermato o escluso.
12. Minori
12.1 Academy e settore giovanile: informativa-minori-academy.md. Le richieste Academy restano chiuse al pubblico finché il legale non approva informativa e modulo dei genitori (L-29); nessun nome o foto di un minore è pubblicato senza l'autorizzazione di chi esercita la responsabilità genitoriale (L-03).
12.2 Account My Imolese e newsletter: età minima [DA COMPILARE — scelta S-07]. In Italia il consenso ai servizi della società dell'informazione è valido dai 14 anni (art. 2-quinquies D.Lgs. 196/2003, attuativo dell'art. 8 GDPR); per i contratti di acquisto valgono le regole sulla capacità di agire del Codice civile.
13. Processo decisionale automatizzato
13.1 Il sito non prende decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o analoghi (art. 22 GDPR): resi, rimborsi, iscrizioni e accrediti sono decisi da personale del club. Il controllo automatico del testo personalizzato (lunghezza e caratteri ammessi) è una regola tecnica di stampa, non una decisione sulla persona. L'assistente AI è disattivato (R-14).
14. Modifiche
14.1 Ogni modifica crea una nuova versione con data di efficacia; quando la modifica riguarda le preferenze sui cookie, la scelta precedente decade e viene richiesta di nuovo (D-87; apps/web/lib/consenso.ts, VERSIONE_INFORMATIVA).