La presente informativa descrive le modalità di trattamento dei dati personali degli utenti che interagiscono con il sito web paintballenna.it (di seguito, il «Sito»), che inviano una richiesta di prenotazione tramite il form del Sito, che si iscrivono allo Splat Club (la tessera fedeltà dei giocatori), che hanno partecipato al contest «Spara e vinci» e dei clienti presenti nella rubrica clienti del Titolare.
1. Titolare del trattamento
Il Titolare del trattamento dei dati è Associazione Sportiva Dilettantistica Splat & Shoot (A.S.D. Splat & Shoot), ente costituito nella forma di Associazione Sportiva Dilettantistica, con:
- Sede legale: Contrada Baronessa snc — 94100 Enna (EN), Italia
- Sede operativa / campo di gioco: Strada Vicinale Scioltabino, 7 — 94100 Enna
- Codice Fiscale: 91072050866
- Partita IVA: 01343440861
- Email: info@paintballenna.it
- Telefono: +39 392 869 4057
Il Titolare non ha nominato un Responsabile della Protezione dei Dati (DPO/RPD) in quanto i trattamenti effettuati non rientrano nei casi di nomina obbligatoria previsti dall'art. 37 GDPR.
2. Categorie di dati trattati
Nel corso dell'utilizzo del Sito e della partecipazione al contest possono essere trattati i seguenti dati:
2.1 Dati forniti volontariamente dall'utente
- Nome e cognome
- Indirizzo email
- Numero di telefono
- Dati della richiesta di prenotazione: tipo di evento, numero di partecipanti, data e ora richieste ed eventuali note inserite liberamente dall'utente
- Dati del buono regalo, se la prenotazione è un regalo: il nome di chi lo riceve e, se indicato, l'indirizzo email a cui mandare il buono
- Giorno selezionato nel calendario del contest
- Dati dello Splat Club: nome, telefono, se il giocatore è minorenne, nome e telefono del genitore che lo iscrive, partite giocate, punti e premi
- Dati della rubrica clienti: lo storico delle prenotazioni e delle richieste, le note e i promemoria inseriti dal personale del Titolare per organizzare il servizio
2.2 Dati raccolti automaticamente
- Indirizzo IP (in forma parziale, per finalità di sicurezza e log applicativi)
- User-agent del browser (sistema operativo, versione browser)
- Data e ora della partecipazione (timestamp del server)
- Dati di navigazione tecnicamente necessari al funzionamento del Sito
Non vengono trattate categorie particolari di dati personali (art. 9 GDPR). Le prenotazioni devono essere fatte da un maggiorenne, anche per le partite dei bambini. I minori che si iscrivono da soli allo Splat Club indicano nome e telefono di un genitore, che presta per loro ogni consenso, compreso quello alle comunicazioni promozionali; i minori registrati dal personale al campo o con il tesseramento non ricevono comunicazioni promozionali.
3. Finalità e base giuridica del trattamento
| Finalità | Base giuridica | Conferimento |
|---|---|---|
| (a0) Gestione della richiesta di prenotazione inviata tramite il form del Sito: presa in carico, verifica della disponibilità per la data e l'ora richieste e ricontatto dell'utente (anche tramite telefono, email o WhatsApp) per dare seguito alla richiesta e, se la prenotazione è un regalo, invio del buono all'indirizzo email indicato. | Art. 6.1.b GDPR — esecuzione di misure precontrattuali adottate su richiesta dell'interessato. | Obbligatorio per i campi contrassegnati. Il rifiuto impedisce la gestione della richiesta. |
| (a1) Tenuta della rubrica clienti: scheda di chi ha prenotato o giocato, con lo storico delle prenotazioni, le note del personale e i promemoria per organizzare le partite successive. | Art. 6.1.b GDPR per le prenotazioni in corso; art. 6.1.f GDPR — legittimo interesse del Titolare a organizzare il servizio e a ricordare le esigenze dei propri clienti. | Non richiede consenso. Ci si può opporre in ogni momento (art. 21). |
| (a2) Gestione dello Splat Club: tessera digitale, registrazione delle partite giocate, punti e premi. Chi prenota viene inserito nel club con nome e telefono, senza alcun consenso promozionale, così le sue partite contano. | Art. 6.1.b GDPR — esecuzione del regolamento del club; per chi viene inserito con la prenotazione, art. 6.1.f GDPR — legittimo interesse a riconoscere le partite dei propri clienti. | Facoltativo. Ci si può opporre in ogni momento (art. 21) e chiedere la cancellazione. |
| (a) Gestione della partecipazione al contest «Spara e vinci»: registrazione del giorno indovinato, verifica dell'esito, comunicazione del risultato e dell'eventuale premio, gestione del codice sconto del 10% sulla prima partita. | Art. 6.1.b GDPR — esecuzione di misure precontrattuali e contrattuali (regolamento contest). | Obbligatorio. Il rifiuto impedisce la partecipazione al contest. |
| (b) Adempimento di obblighi di legge fiscali, contabili e in materia di manifestazioni a premio (DPR 26/10/2001 n. 430 ove applicabile). | Art. 6.1.c GDPR — obbligo legale. | Obbligatorio per normativa. |
| (c) Sicurezza del Sito, prevenzione frodi, log tecnici e gestione di abusi. | Art. 6.1.f GDPR — legittimo interesse del Titolare alla sicurezza e all'integrità del servizio. | Trattamento necessario, non richiede consenso. |
| (d) Invio di comunicazioni promozionali (newsletter, offerte ed eventi dello Splat Club, anche via WhatsApp) — solo previo consenso esplicito. | Art. 6.1.a GDPR — consenso libero, specifico, revocabile. | Facoltativo. La revoca non pregiudica i servizi del contest. |
4. Modalità del trattamento
I dati sono trattati con strumenti elettronici e procedure idonee a garantire sicurezza e riservatezza, nel rispetto dei principi di liceità, correttezza, trasparenza, minimizzazione e accountability (art. 5 GDPR). Sono adottate misure tecniche e organizzative appropriate (art. 32 GDPR), tra cui:
- connessione cifrata HTTPS/TLS;
- accesso al database limitato a credenziali univoche e cifrate;
- accesso ai pannelli di amministrazione con credenziali riservate;
- database replicato su più server; copie di sicurezza notturne e cifrate del gestionale dei clienti;
- log tecnici dei sistemi;
- aggiornamento costante dei componenti software;
- profilazione degli accessi solo al personale autorizzato.
5. Periodo di conservazione
| Tipo di dato | Durata massima di conservazione |
|---|---|
| Dati delle prenotazioni e scheda nella rubrica clienti | Fino a 24 mesi dall'ultima prenotazione o partita, salvo obblighi di conservazione di legge. |
| Dati dello Splat Club | Fino a 24 mesi dall'ultima partita registrata o fino alla richiesta di cancellazione. |
| Dati di partecipazione al contest | Fino a 12 mesi dalla conclusione del contest, salvo obblighi di conservazione di legge. |
| Dati per finalità di marketing (con consenso) | 24 mesi dall'ultimo consenso o fino a revoca. |
| Log tecnici e di sicurezza | Massimo 6 mesi (Provvedimento Garante 27/11/2008). |
| Documenti fiscali, scontistiche emesse | 10 anni (art. 2220 c.c.). |
Al termine del periodo di conservazione i dati sono cancellati in maniera sicura o resi anonimi in via irreversibile.
6. Destinatari dei dati e responsabili esterni
I dati possono essere trattati da soggetti autorizzati dal Titolare (collaboratori, personale di gestione) e da soggetti esterni nominati Responsabili del trattamento ai sensi dell'art. 28 GDPR. I principali Responsabili sono:
| Fornitore | Servizio | Sede |
|---|---|---|
| VIS S.R.L. (P.IVA 01319820864) | Realizzazione e gestione tecnica del Sito e del pannello prenotazioni; gestionale dei clienti «Clienti Vis» (rubrica, richieste, promemoria), che conserva i dati nell'Unione Europea: database MongoDB Atlas e server Vercel a Francoforte | Nissoria (EN), Italia (UE). |
| MongoDB, Inc. | Hosting database (Atlas) — archiviazione di prenotazioni, Splat Club, dati del contest e del gestionale dei clienti | Cluster ubicato in UE (Francoforte). Headquarter: USA. |
| Vercel Inc. | Hosting del Sito e funzioni serverless | USA (CDN in tutto il mondo). |
| Resend Inc. | Invio email transazionali di notifica | USA. |
| GitHub, Inc. | Conservazione per 90 giorni delle copie di sicurezza notturne, cifrate, del gestionale dei clienti | USA. |
| Register.it S.p.A. | Registrazione dominio, email business e DNS | Italia (UE). |
| Google Ireland Ltd. / Google LLC | Foglio di calcolo (Google Sheets) per la raccolta dei contatti del contest | Irlanda (UE). Headquarter: USA. |
| WhatsApp Ireland Ltd. (Meta) | Messaggistica: la richiesta di prenotazione viene aperta in una chat WhatsApp verso il Titolare, con i dati inseriti dall'utente nel form | Irlanda (UE). Headquarter: USA. |
I dati possono inoltre essere comunicati alle Autorità Giudiziarie o di pubblica sicurezza per gli adempimenti previsti dalla legge e ai consulenti del Titolare (commercialista, legale) nei limiti strettamente necessari.
I dati non saranno in alcun caso ceduti, venduti o comunicati a terzi per finalità commerciali senza specifico consenso.
7. Trasferimento dei dati extra-UE
Alcuni fornitori (Vercel, Resend, MongoDB Atlas, GitHub, Google) hanno sede o società madre negli Stati Uniti d'America. Il trasferimento dei dati extra-UE avviene esclusivamente in presenza di adeguate garanzie ai sensi del Capo V GDPR, in particolare:
- Clausole Contrattuali Standard approvate dalla Commissione Europea (Decisione UE 2021/914);
- Misure supplementari tecniche e organizzative (cifratura, pseudonimizzazione);
- Adesione, ove applicabile, all'EU-US Data Privacy Framework.
L'utente può richiedere copia delle garanzie adottate contattando il Titolare.
8. Diritti dell'interessato
In ogni momento l'utente può esercitare nei confronti del Titolare i seguenti diritti previsti dagli artt. 15-22 GDPR:
- Accesso (art. 15): ottenere conferma del trattamento e copia dei dati;
- Rettifica (art. 16): correggere dati inesatti o integrare dati incompleti;
- Cancellazione / oblio (art. 17): ottenere la cancellazione dei dati quando ricorrono le condizioni previste;
- Limitazione (art. 18): limitare il trattamento in casi specifici;
- Portabilità (art. 20): ricevere i dati in formato strutturato e leggibile;
- Opposizione (art. 21): opporsi al trattamento per finalità di legittimo interesse o di marketing diretto;
- Revoca del consenso (art. 7.3): revocare in qualunque momento il consenso prestato, senza pregiudicare la liceità del trattamento precedente;
- Non essere sottoposto a decisioni esclusivamente automatizzate (art. 22). Il Titolare non effettua processi decisionali automatizzati né profilazione.
9. Diritto di reclamo
L'interessato che ritenga che il trattamento dei propri dati personali violi il GDPR ha il diritto di proporre reclamo all'Autorità Garante per la Protezione dei Dati Personali:
- Sede: Piazza Venezia, 11 — 00187 Roma
- Centralino: +39 06 696771 · Fax: +39 06 696773785
- PEC: protocollo@pec.gpdp.it
- Sito: www.garanteprivacy.it
L'interessato può inoltre rivolgersi all'autorità di controllo dello Stato membro UE in cui risiede abitualmente, lavora o si è verificata la presunta violazione (art. 77 GDPR), nonché adire le competenti autorità giurisdizionali (art. 79 GDPR).
10. Conferimento dei dati e conseguenze del rifiuto
Per la prenotazione sono necessari nome e cognome, email e telefono: senza, la richiesta non può essere gestita. Per lo Splat Club sono necessari nome e telefono e, per i minori, nome e telefono di un genitore. Il conferimento dei dati contrassegnati come obbligatori nel form del contest (nome e cognome, email, telefono, giorno scelto) era necessario per la partecipazione al contest.
Il conferimento del consenso al marketing è facoltativo e il suo rifiuto non pregiudica i servizi del contest.
11. Processi decisionali automatizzati
Il Titolare non effettua processi decisionali automatizzati ai sensi dell'art. 22 GDPR, inclusa la profilazione. La verifica del «giorno indovinato» nel contest avviene mediante semplice confronto tra il giorno selezionato dall'utente e la data di apertura comunicata pubblicamente al termine del contest.
11-bis. Notifica di violazioni (data breach)
In caso di violazione dei dati personali (data breach) suscettibile di presentare un rischio per i diritti e le libertà degli interessati, il Titolare provvederà a notificare l'evento al Garante ai sensi dell'art. 33 GDPR entro 72 ore dalla conoscenza dell'evento. In caso di rischio elevato, sarà altresì data comunicazione diretta agli interessati coinvolti ai sensi dell'art. 34 GDPR.
12. Modifiche all'informativa
Il Titolare si riserva il diritto di aggiornare la presente informativa per adeguarla a nuove disposizioni normative, modifiche organizzative o introduzione di nuovi servizi. La data dell'ultimo aggiornamento è indicata in calce. Le modifiche saranno pubblicate su questa pagina ed, ove necessario, comunicate via email agli utenti registrati.
13. Foro competente
Per qualsiasi controversia inerente al trattamento dei dati personali è competente in via esclusiva il Foro di Enna, fatte salve le competenze inderogabili previste dalla normativa vigente.