Informativa privacy

1 · Chi è il titolare

Associazione Immagini d'Ambiente ETS, sede legale in Corso di Porta Ticinese 50, Milano — C.F. 97871390155, P.IVA 13672380964, iscritta al Registro unico nazionale del Terzo settore (RUNTS) con il n. 169385. Per qualunque questione sui tuoi dati scrivi a [email protected]. Non è stato nominato un responsabile della protezione dei dati (DPO).

2 · Quali dati trattiamo

• Navigazione. Il sito non usa cookie (salvo quello tecnico di sessione quando entri nel tuo account, vedi il punto 7) né strumenti di statistica o di profilazione. Come ogni server web, quello che ospita il sito registra i dati tecnici delle richieste (indirizzo IP, data e ora, pagina richiesta) per sicurezza e funzionamento.
• Account. Se crei un account: nome, email e password (conservata in forma cifrata, mai leggibile da noi) e, se li aggiungi, telefono e una foto profilo, che è privata e vedi solo tu. Ogni account lo conferma l'associazione prima che si possa usare; se il tuo nome corrisponde a quello di un autore delle gallerie del sito precedente, chi conferma lo vede accanto alla richiesta.
• Prenotazioni. Nome, email, telefono, esperienza o servizio scelto, date, numero di partecipanti, eventuali note, i consensi che esprimi (questa informativa e, quando c'è, la caparra) e il codice della prenotazione.
• Dati per la fattura. L'associazione fa la fattura di ogni prenotazione e di ogni tesseramento, quindi te li chiediamo sempre: nome e cognome o ragione sociale, codice fiscale e indirizzo di residenza o sede; la partita IVA e il codice destinatario SDI o la PEC se li hai. Li usiamo solo per la fattura. Sul sito li conserviamo cifrati, e li cancelliamo appena la fattura è fatta (vedi il punto 8).
• Tesseramento. Nome, email, telefono, livello di socio, quota, anno ed eventuale messaggio.
• Preferenze. Se scegli di ricevere gli avvisi su un'uscita prenotata (per esempio il meteo) o le comunicazioni dell'associazione, con la data della scelta.
• Gallerie dei soci. Nome e fotografie dei soci che hanno chiesto di pubblicarle. Le gallerie del sito precedente sono conservate in archivio, non pubblicate: tornano online solo quando l'autore lo chiede.
• Email. Quello che ci scrivi quando ci contatti.

Nei moduli i dati obbligatori sono indicati: senza di essi non possiamo gestire la prenotazione o il tesseramento. Gli altri sono facoltativi.

3 · Perché li trattiamo e su quale base

• Gestire account, prenotazioni e tesseramento e rispondere alle tue richieste: esecuzione di un contratto o di misure precontrattuali chieste da te, e per i soci il rapporto associativo (art. 6.1.b GDPR).
• Avvisarti su un'uscita che hai prenotato (per esempio se cambia il meteo): esecuzione del contratto; puoi spegnere gli avvisi dalla tua area.
• Tenere la contabilità, i documenti fiscali (compresa la fattura) e il libro dei soci: obbligo di legge (art. 6.1.c).
• Mandarti comunicazioni su iniziative ed eventi: il tuo consenso (art. 6.1.a), che puoi revocare in qualsiasi momento.
• Pubblicare nome e fotografie di un socio nella sua galleria: il consenso del socio, revocabile in qualsiasi momento.
• Proteggere il sito da abusi (registri del server): legittimo interesse dell'associazione (art. 6.1.f).

4 · Pagamenti

Dove il sito permette di pagare online (la quota associativa e le prenotazioni che lo indicano), il pagamento avviene sulla pagina sicura di Stripe: i dati della carta li scrivi lì e non passano mai da questo sito. A Stripe passiamo solo quello che serve al pagamento: l'importo, che cosa paghi con il suo codice, e la tua email, a cui Stripe manda la ricevuta. Da Stripe riceviamo l'esito del pagamento e il suo riferimento, che conserviamo con la prenotazione o il tesseramento: il numero della carta non lo riceviamo mai.

Il resto delle prenotazioni e dei tesseramenti inviati dal sito sono una richiesta, che confermiamo noi.

5 · A chi li affidiamo

I dati non vengono diffusi, venduti o ceduti a terzi per marketing. Li trattano per nostro conto, come responsabili del trattamento:

• Cloudflare, Inc. — l'hosting del sito e l'archivio degli account (nome, email, telefono, password conservata in forma cifrata, immagine del profilo, preferenze) e delle prenotazioni e dei tesseramenti pagati online, con i dati per la fattura (cifrati, con una chiave conservata separatamente). Sono conservati su server nell'Unione europea.
• Stripe Payments Europe, Ltd. (Irlanda) — l'incasso dei pagamenti online: importo, descrizione, email e i dati che inserisci sulla sua pagina di pagamento. Per i propri obblighi di legge (antiriciclaggio, prevenzione delle frodi) Stripe tratta questi dati anche come titolare autonomo, secondo la sua informativa.
• Aruba S.p.A. (Italia) — il dominio e la posta elettronica: le richieste senza pagamento online, per ora, ci arrivano per email.
• Google Ireland Ltd (YouTube) — solo se avvii una diretta, vedi il punto 7.

Possono inoltre riceverli il nostro consulente fiscale e le autorità, quando lo impone la legge.

6 · Trasferimenti fuori dall'Unione europea

Cloudflare ha sede negli Stati Uniti: anche se i dati degli account restano su server nell'Unione europea, un accesso dall'estero per assistenza tecnica è possibile. In quel caso il trasferimento avviene con le garanzie previste dal GDPR (artt. 44 e seguenti), cioè le clausole contrattuali standard approvate dalla Commissione europea. Lo stesso vale per Stripe, che può trattare i dati di un pagamento anche negli Stati Uniti, e per Google, se avvii un video di YouTube.

7 · Cookie, memoria del browser e dirette

• Navigando il sito non ricevi cookie, né nostri né di altri: per questo non trovi un banner. L'unica eccezione è tecnica: quando entri nel tuo account il sito usa un cookie di sessione (ida_s), che serve solo a riconoscerti mentre sei dentro, non è leggibile dagli script della pagina e si cancella quando esci, o dopo 30 giorni in cui non torni sul sito.
• Il tuo browser conserva in locale (localStorage) solo quello che serve a ciò che chiedi tu: il tuo nome e la tua email mentre sei nel tuo account (per mostrarli subito, senza password né chiavi). Puoi cancellarli dalle impostazioni del browser.
• Le dirette dell'osservatorio: finché non tocchi il riquadro, YouTube non viene contattato. Al tocco il video si carica da youtube-nocookie.com, la modalità di privacy avanzata di YouTube, e da quel momento vale l'informativa di Google.

8 · Per quanto tempo li conserviamo

• Account: finché non lo cancelli, dalla tua area o scrivendoci.
• Prenotazioni e tesseramenti: per il tempo necessario a gestirli; i dati che servono agli obblighi fiscali e contabili per i 10 anni previsti dalla legge (art. 2220 c.c.), anche se nel frattempo cancelli l'account.
• Dati per la fattura, sul sito: cifrati, e solo finché la fattura non è fatta. Se la fattura non serve più (il pagamento non è andato a buon fine, o la prenotazione o il tesseramento sono annullati senza niente versato) si cancellano da soli, e comunque 30 giorni dopo la fine del soggiorno (dopo l'acquisto, per l'abbonamento e il tesseramento). Per qualche giorno possono restare, sempre cifrati, nelle copie di sicurezza del database. La fattura emessa la conserviamo per i 10 anni previsti dalla legge.
• Comunicazioni: finché non revochi il consenso.
• Fotografie dei soci: finché il socio non chiede di toglierle.
• Registri del server: per il periodo stabilito dal fornitore di hosting a fini di sicurezza.

9 · Minori

Se hai meno di 14 anni, chiedi a un genitore di creare l'account, prenotare o iscriverti al posto tuo.

10 · I tuoi diritti

Puoi chiedere in qualsiasi momento di vedere i tuoi dati, correggerli, cancellarli, limitarne l'uso, riceverli in un formato leggibile da un computer o opporti al trattamento (artt. 15–22 GDPR), e revocare un consenso senza che questo tocchi quanto fatto prima. Molte di queste cose le fai da solo nella tua area; per tutto il resto scrivi a [email protected].

Se ritieni che il trattamento violi il GDPR puoi proporre reclamo al Garante per la protezione dei dati personali.

11 · Modifiche

Se questa informativa cambia, cambia anche la data in alto.