La presente informativa descrive le modalità di trattamento dei dati personali degli utenti che interagiscono con il sito web paintballenna.it(di seguito, il «Sito»), che inviano una richiesta di prenotazionetramite il form del Sito e che partecipano al contest «Spara e vinci».
1. Titolare del trattamento
Il Titolare del trattamento dei dati è Associazione Sportiva Dilettantistica Splat (A.S.D. Splat), ente costituito nella forma di Associazione Sportiva Dilettantistica, con:
- Sede legale: Contrada Baronessa snc — 94100 Enna (EN), Italia
- Sede operativa / campo di gioco: Strada Vicinale Scioltabino, 7 — 94100 Enna
- Codice Fiscale / Partita IVA: 91072050866
- Email: info@paintballenna.it
- Telefono: +39 392 869 4057
Il Titolare non ha nominato un Responsabile della Protezione dei Dati (DPO/RPD) in quanto i trattamenti effettuati non rientrano nei casi di nomina obbligatoria previsti dall'art. 37 GDPR.
2. Categorie di dati trattati
Nel corso dell'utilizzo del Sito e della partecipazione al contest possono essere trattati i seguenti dati:
2.1 Dati forniti volontariamente dall'utente
- Nome e cognome
- Indirizzo email
- Numero di telefono
- Dati della richiesta di prenotazione: tipo di evento, numero di partecipanti, data e ora richieste ed eventuali note inserite liberamente dall'utente
- Giorno selezionato nel calendario del contest
2.2 Dati raccolti automaticamente
- Indirizzo IP (in forma parziale, per finalità di sicurezza e log applicativi)
- User-agent del browser (sistema operativo, versione browser)
- Data e ora della partecipazione (timestamp del server)
- Dati di navigazione tecnicamente necessari al funzionamento del Sito
Non vengono trattate categorie particolari di dati personali (art. 9 GDPR) né dati di minori. Il Sito è riservato a maggiori di età; per i minori la partecipazione al contest richiede il consenso espresso degli esercenti la responsabilità genitoriale, che dovranno inviare richiesta scritta all'indirizzo email del Titolare.
3. Finalità e base giuridica del trattamento
| Finalità | Base giuridica | Conferimento |
|---|---|---|
| (a0) Gestione della richiesta di prenotazioneinviata tramite il form del Sito: presa in carico, verifica della disponibilità per la data e l'ora richieste e ricontatto dell'utente (anche tramite telefono, email o WhatsApp) per dare seguito alla richiesta. | Art. 6.1.b GDPR — esecuzione di misure precontrattuali adottate su richiesta dell'interessato. | Obbligatorio per i campi contrassegnati. Il rifiuto impedisce la gestione della richiesta. |
| (a)Gestione della partecipazione al contest «Spara e vinci»: registrazione del giorno indovinato, verifica dell'esito, comunicazione del risultato e dell'eventuale premio, gestione del codice sconto del 10% sulla prima partita. | Art. 6.1.b GDPR — esecuzione di misure precontrattuali e contrattuali (regolamento contest). | Obbligatorio. Il rifiuto impedisce la partecipazione al contest. |
| (b) Adempimento di obblighi di legge fiscali, contabili e in materia di manifestazioni a premio (DPR 26/10/2001 n. 430 ove applicabile). | Art. 6.1.c GDPR — obbligo legale. | Obbligatorio per normativa. |
| (c) Sicurezza del Sito, prevenzione frodi, log tecnici e gestione di abusi. | Art. 6.1.f GDPR — legittimo interesse del Titolare alla sicurezza e all'integrità del servizio. | Trattamento necessario, non richiede consenso. |
| (d) Invio di comunicazioni promozionali (newsletter, offerte sui servizi paintball) — solo previo consenso esplicito. | Art. 6.1.a GDPR — consenso libero, specifico, revocabile. | Facoltativo. La revoca non pregiudica i servizi del contest. |
4. Modalità del trattamento
I dati sono trattati con strumenti elettronici e procedure idonee a garantire sicurezza e riservatezza, nel rispetto dei principi di liceità, correttezza, trasparenza, minimizzazione e accountability (art. 5 GDPR). Sono adottate misure tecniche e organizzative appropriate (art. 32 GDPR), tra cui:
- connessione cifrata HTTPS/TLS;
- accesso al database limitato a credenziali univoche e cifrate;
- autenticazione a più fattori per l'accesso ai sistemi di amministrazione;
- backup periodici e ridondanza geografica;
- log di accesso e tracciamento delle operazioni di lettura/modifica;
- aggiornamento costante dei componenti software;
- profilazione degli accessi solo al personale autorizzato.
5. Periodo di conservazione
| Tipo di dato | Durata massima di conservazione |
|---|---|
| Dati della richiesta di prenotazione | Fino a 12 mesi dall'invio della richiesta (o dallo svolgimento dell'evento), salvo obblighi di conservazione di legge. |
| Dati di partecipazione al contest | Fino a 12 mesi dalla conclusione del contest, salvo obblighi di conservazione di legge. |
| Dati per finalità di marketing (con consenso) | 24 mesi dall'ultimo consenso o fino a revoca. |
| Log tecnici e di sicurezza | Massimo 6 mesi (Provvedimento Garante 27/11/2008). |
| Documenti fiscali, scontistiche emesse | 10 anni (art. 2220 c.c.). |
Al termine del periodo di conservazione i dati sono cancellati in maniera sicura o resi anonimi in via irreversibile.
6. Destinatari dei dati e responsabili esterni
I dati possono essere trattati da soggetti autorizzati dal Titolare (collaboratori, personale di gestione) e da soggetti esterni nominati Responsabili del trattamento ai sensi dell'art. 28 GDPR. I principali Responsabili sono:
| Fornitore | Servizio | Sede |
|---|---|---|
| MongoDB, Inc. | Hosting database (Atlas) — archiviazione dati contest | Cluster ubicato in UE (Francoforte). Headquarter: USA. |
| Vercel Inc. | Hosting del Sito e funzioni serverless | USA (CDN in tutto il mondo). |
| Resend Inc. | Invio email transazionali di notifica | USA. |
| Register.it S.p.A. | Registrazione dominio, email business e DNS | Italia (UE). |
| Google Ireland Ltd. / Google LLC | Foglio di calcolo (Google Sheets) per la raccolta dei contatti del contest | Irlanda (UE). Headquarter: USA. |
| WhatsApp Ireland Ltd. (Meta) | Messaggistica: la richiesta di prenotazione viene aperta in una chat WhatsApp verso il Titolare, con i dati inseriti dall'utente nel form | Irlanda (UE). Headquarter: USA. |
I dati possono inoltre essere comunicati alle Autorità Giudiziarie o di pubblica sicurezza per gli adempimenti previsti dalla legge e ai consulenti del Titolare (commercialista, legale) nei limiti strettamente necessari.
I dati non saranno in alcun caso ceduti, venduti o comunicati a terzi per finalità commerciali senza specifico consenso.
7. Trasferimento dei dati extra-UE
Alcuni fornitori (Vercel, Resend, MongoDB Atlas, Google) hanno sede o società madre negli Stati Uniti d'America. Il trasferimento dei dati extra-UE avviene esclusivamente in presenza di adeguate garanzie ai sensi del Capo V GDPR, in particolare:
- Clausole Contrattuali Standard approvate dalla Commissione Europea (Decisione UE 2021/914);
- Misure supplementari tecniche e organizzative (cifratura, pseudonimizzazione);
- Adesione, ove applicabile, all'EU-US Data Privacy Framework.
L'utente può richiedere copia delle garanzie adottate contattando il Titolare.
8. Diritti dell'interessato
In ogni momento l'utente può esercitare nei confronti del Titolare i seguenti diritti previsti dagli artt. 15-22 GDPR:
- Accesso (art. 15): ottenere conferma del trattamento e copia dei dati;
- Rettifica (art. 16): correggere dati inesatti o integrare dati incompleti;
- Cancellazione / oblio (art. 17): ottenere la cancellazione dei dati quando ricorrono le condizioni previste;
- Limitazione (art. 18): limitare il trattamento in casi specifici;
- Portabilità (art. 20): ricevere i dati in formato strutturato e leggibile;
- Opposizione (art. 21): opporsi al trattamento per finalità di legittimo interesse o di marketing diretto;
- Revoca del consenso (art. 7.3): revocare in qualunque momento il consenso prestato, senza pregiudicare la liceità del trattamento precedente;
- Non essere sottoposto a decisioni esclusivamente automatizzate (art. 22). Il Titolare non effettua processi decisionali automatizzati né profilazione.
9. Diritto di reclamo
L'interessato che ritenga che il trattamento dei propri dati personali violi il GDPR ha il diritto di proporre reclamo all'Autorità Garante per la Protezione dei Dati Personali:
- Sede: Piazza Venezia, 11 — 00187 Roma
- Centralino: +39 06 696771 · Fax: +39 06 696773785
- PEC: protocollo@pec.gpdp.it
- Sito: www.garanteprivacy.it
L'interessato può inoltre rivolgersi all'autorità di controllo dello Stato membro UE in cui risiede abitualmente, lavora o si è verificata la presunta violazione (art. 77 GDPR), nonché adire le competenti autorità giurisdizionali (art. 79 GDPR).
10. Conferimento dei dati e conseguenze del rifiuto
Il conferimento dei dati contrassegnati come obbligatori nel form (nome e cognome, email, telefono, giorno scelto) è necessario per la partecipazione al contest. Il loro mancato conferimento impedisce la partecipazione e l'invio del premio/sconto.
Il conferimento del consenso al marketing è facoltativo e il suo rifiuto non pregiudica i servizi del contest.
11. Processi decisionali automatizzati
Il Titolare non effettuaprocessi decisionali automatizzati ai sensi dell'art. 22 GDPR, inclusa la profilazione. La verifica del «giorno indovinato» nel contest avviene mediante semplice confronto tra il giorno selezionato dall'utente e la data di apertura comunicata pubblicamente al termine del contest.
11-bis. Notifica di violazioni (data breach)
In caso di violazione dei dati personali (data breach) suscettibile di presentare un rischio per i diritti e le libertà degli interessati, il Titolare provvederà a notificare l'evento al Garanteai sensi dell'art. 33 GDPR entro 72 ore dalla conoscenza dell'evento. In caso di rischio elevato, sarà altresì data comunicazione diretta agli interessaticoinvolti ai sensi dell'art. 34 GDPR.
12. Modifiche all'informativa
Il Titolare si riserva il diritto di aggiornare la presente informativa per adeguarla a nuove disposizioni normative, modifiche organizzative o introduzione di nuovi servizi. La data dell'ultimo aggiornamento è indicata in calce. Le modifiche saranno pubblicate su questa pagina ed, ove necessario, comunicate via email agli utenti registrati.
13. Foro competente
Per qualsiasi controversia inerente al trattamento dei dati personali è competente in via esclusiva il Foro di Enna, fatte salve le competenze inderogabili previste dalla normativa vigente.