1Che cosa raccogliamo, e solo quello
Se compili il modulo di contatto raccogliamo quello che scrivi tu, più tre informazioni che la richiesta si porta dietro. In tutto è questa tabella, e non c’è nient’altro.
Nel modulo non c’è un tuo identificativo né il tuo indirizzo IP. Il sito conta soltanto, in forma anonima, quante persone lo visitano (visite, pagine viste, paese, tipo di dispositivo, pagina di provenienza) con Vercel Web Analytics: senza cookie, senza ricostruire il tuo percorso e senza collegare quei numeri al modulo. Non usa strumenti di pubblicità, non costruisce profili e non ti segue su altri siti.
| Dato | A che cosa serve | Base giuridica |
|---|
| Nome e cognome | Sapere con chi stiamo parlando | Art. 6.1.b — misure precontrattuali |
|---|
| Indirizzo e-mail | Risponderti | Art. 6.1.b |
|---|
| Club od organizzazione (facoltativo) | Capire di che rosa parliamo | Art. 6.1.b |
|---|
| Ruolo | Preparare una risposta adatta al tuo lavoro | Art. 6.1.b |
|---|
| Cellulare (facoltativo) | Richiamarti, se lo lasci | Art. 6.1.b |
|---|
| Motivo della richiesta (demo o contatto) | Capire che cosa ti serve | Art. 6.1.b |
|---|
| Messaggio | Rispondere alla domanda che fai tu | Art. 6.1.b |
|---|
| Lingua del sito da cui hai scritto | Risponderti nella tua lingua | Art. 6.1.b |
|---|
| Pagina da cui hai scritto | Capire quale parte del sito genera domande | Art. 6.1.f — legittimo interesse |
|---|
| Data e ora | Rispettare l’ordine di arrivo e i tempi di conservazione | Art. 6.1.b |
|---|
| Consenso agli aggiornamenti (facoltativo) | Ricordare se ci hai autorizzato a mandarti aggiornamenti su MarkerDrift, e da quando | Art. 6.1.a — consenso |
|---|
2Se apri un account
Chi apre un account per la propria società, e chi lo riceve dal proprio amministratore, ci dà altri dati. Di questi il titolare siamo noi: sono i dati del RAPPORTO con il cliente, non quelli degli atleti — per quelli il titolare è il club, come dice la sezione «I dati degli atleti non passano da qui».
I dati di fatturazione — indirizzo, partita IVA, strumento di pagamento — li raccoglie Paddle, che rivende il servizio per nostro conto ed emette la fattura: non passano da noi e non li conserviamo. A Paddle passiamo soltanto quello che serve a collegare il pagamento alla società: nome ed e-mail di chi acquista e l’identificativo della società. Dell’abbonamento restano da noi il pacchetto, il periodo, lo stato e gli identificativi con cui chiediamo a Paddle che cosa è successo.
Niente di tutto questo serve a profilare: non costruiamo profili degli utenti dello staff e non misuriamo la loro produttività. Il registro delle azioni esiste per ricostruire un accesso o un errore, non per valutare chi lavora.
| Dato | A che cosa serve | Base giuridica |
|---|
| Nome e cognome | Sapere chi usa il programma, e firmare le sue azioni nel registro | Art. 6.1.b — esecuzione del contratto |
|---|
| Indirizzo e-mail | L’accesso, il recupero della password, le comunicazioni sul contratto | Art. 6.1.b |
|---|
| Password | Proteggere l’accesso. È conservata solo come impronta (hash): non è leggibile da nessuno, noi compresi | Art. 6.1.b, e art. 32 per la misura |
|---|
| Ruolo e livello di accesso | Decidere che cosa ognuno vede, compresi i dati sanitari | Art. 6.1.b |
|---|
| Società e squadra di appartenenza | Tenere separati i dati di clienti diversi | Art. 6.1.b |
|---|
| Preferenze dello schermo (lingua, tema, tavolozza, riquadri) | Ritrovare il programma come lo hai lasciato | Art. 6.1.b |
|---|
| Documenti accettati e consenso facoltativo agli aggiornamenti: quale documento, quale versione, la sua impronta, con quale e-mail, in che lingua e quando | Dimostrare che cosa è stato accettato e a che cosa hai acconsentito | Art. 6.1.b, e art. 6.1.c per la prova del consenso |
|---|
| Registro delle azioni: chi ha inserito o cambiato un dato, e chi ha aperto dati sanitari, consensi o esportazioni | Ricostruire un accesso o un errore | Art. 6.1.c — obblighi degli artt. 5.2 e 32 |
|---|
| Dati tecnici dell’accesso: data dell’ultimo accesso e, finché la sessione resta aperta, indirizzo IP e browser | Tenere aperta la sessione e proteggere l’account | Art. 6.1.b, e art. 32 per la misura |
|---|
| Abbonamento: pacchetto, periodo, stato e gli identificativi presso Paddle | Far funzionare l’abbonamento e le fatture | Art. 6.1.b |
|---|
3Perché li trattiamo
Per rispondere alla tua richiesta e, se la chiedi, mostrarti una demo del programma: è l’esecuzione di misure precontrattuali che chiedi tu (art. 6.1.b GDPR).
Se apri un account, i dati servono a eseguire il contratto (art. 6.1.b) e a rispettare gli obblighi di sicurezza e di prova (art. 6.1.c): la finalità e la base giuridica di ciascuno stanno nella tabella qui sopra.
Solo se spunti l’apposita casella, di tanto in tanto ti mandiamo aggiornamenti su MarkerDrift (novità e nuove funzioni): la base giuridica è il tuo consenso (art. 6.1.a), separato dalla richiesta e libero — la richiesta parte comunque, che tu lo dia o no. Puoi revocarlo quando vuoi, con il link di disiscrizione presente in ogni messaggio o scrivendoci: la revoca non tocca la liceità degli invii precedenti. Se non spunti la casella, non ricevi nessuna comunicazione commerciale.
Fornire i dati è una tua scelta, ma senza quelli che il modulo e l’iscrizione chiedono come obbligatori non possiamo rispondere alla richiesta né aprire l’account. Nessuna decisione che ti riguarda è presa in modo automatizzato (art. 22 GDPR).
4Per quanto li teniamo
Cancelliamo la richiesta ventiquattro mesi dopo che è arrivata, e con lei la copia ricevuta per e-mail. Se ci hai dato il consenso agli aggiornamenti, la teniamo finché non lo revochi: quando lo revochi, la cancelliamo.
L’account dello staff resta attivo fino alla fine del rapporto e per i 60 giorni di sola lettura che seguono, che servono al passaggio di consegne e all’esportazione dei dati. Poi si disattiva da solo, e 90 giorni dopo i suoi dati si cancellano insieme a quelli della società, alla scadenza che la clausola 11 dell’Accordo sul trattamento dei dati fissa per i dati del club, con un preavviso per e-mail almeno 14 giorni prima. Un operatore che lascia la squadra prima di allora lo rimuove l’amministratore del cliente, dal programma, quando vuole. Se un’iscrizione non arriva al pagamento, account e società si cancellano da soli dopo sette giorni, con un promemoria prima. Il registro delle azioni si conserva ventiquattro mesi al massimo, e il club può sceglierne meno: oltre, un registro non serve più a ricostruire un incidente e diventa esso stesso un archivio di dati personali. Il registro delle accettazioni si conserva finché l’accordo che certifica può essere fatto valere. Le fatture le emette e le conserva Paddle, per i tempi della legge fiscale; i dati dell’abbonamento che restano da noi si cancellano insieme alla società.
5A chi li comunichiamo
I dati passano da fornitori che agiscono come responsabili del trattamento, sulle nostre istruzioni e con un accordo ai sensi dell’art. 28 GDPR.
Paddle è l’eccezione, e va detta: rivende il servizio per nostro conto ed emette la fattura, quindi per la vendita è titolare autonomo del trattamento e applica la propria informativa. Noi non riceviamo i dati di pagamento.
Non vendiamo i tuoi dati e non li cediamo a terzi per finalità di marketing.
| Fornitore | Che cosa fa | Dove stanno i dati |
|---|
| Supabase Pte. Ltd. (Singapore) | Conserva le richieste e i dati degli account (database e autenticazione) | Database in Irlanda; il personale tecnico può accedervi da paesi terzi, con le clausole contrattuali standard |
|---|
| Vercel Inc. (Stati Uniti) | Fa funzionare il sito e il programma, riceve il modulo e conta le visite in forma anonima | Applicazione a Dublino (Irlanda); la società tratta dati anche negli Stati Uniti, con il Data Privacy Framework UE-USA e le clausole contrattuali standard |
|---|
| Resend — Plus Five Five, Inc. (Stati Uniti) | Ci avvisa per e-mail che è arrivata una richiesta, e invia le e-mail degli account | Stati Uniti, con il Data Privacy Framework UE-USA e le clausole contrattuali standard |
|---|
| Paddle.com Market Limited (Regno Unito) | Incassa il pagamento ed emette la fattura: per la vendita è titolare autonomo | Regno Unito, che la Commissione europea riconosce adeguato; per i passaggi successivi fuori dal Regno Unito e dallo Spazio economico europeo, le clausole contrattuali standard |
|---|
| IONOS SE (Germania) | Ospita le caselle di posta dell’assistenza: le e-mail che ci scrivi, le nostre risposte e gli avvisi delle richieste arrivate dal modulo | Unione europea |
|---|
6Dove stanno
La tua richiesta è conservata in un database su server situati nell’Unione europea (Irlanda). Una copia ci arriva per e-mail: passa da Resend, che la conserva negli Stati Uniti, e finisce nelle caselle dell’assistenza, ospitate da IONOS nell’Unione europea, dove restano anche i messaggi che ci scrivi direttamente.
L’applicazione che riceve il modulo gira nella regione di Dublino (Irlanda). Le pagine pubbliche del sito, che non contengono niente di tuo, vengono invece consegnate dal nodo più vicino a chi le apre, e quel nodo può trovarsi fuori dall’Unione.
Come su qualunque sito, chi consegna le pagine vede l’indirizzo IP da cui arriva la visita: senza, non potrebbe consegnarle. Noi non lo registriamo e non lo colleghiamo alla tua richiesta. Quando entri nel programma, il servizio di autenticazione lo tiene con la sessione finché resta aperta (vedi «Se apri un account»).
Alcuni dati escono dall’Unione europea, e lo diciamo fornitore per fornitore. Paddle raccoglie i dati del pagamento, che noi non riceviamo, e li tratta nel Regno Unito, che la Commissione europea riconosce adeguato. Resend conserva negli Stati Uniti le e-mail che ci avvisano delle richieste e quelle che mandiamo agli account. Supabase tiene i dati in Irlanda e Vercel vi fa girare l’applicazione, ma sono società con sede fuori dall’Unione (Singapore e Stati Uniti): il loro personale tecnico può accedere ai dati da paesi terzi, e Vercel tratta alcuni dati anche negli Stati Uniti. Ogni trasferimento avviene con le garanzie del capo V del GDPR: la decisione di adeguatezza per il Regno Unito; le clausole contrattuali standard della Commissione europea per gli altri fornitori e per i passaggi successivi di Paddle; in più il Data Privacy Framework UE-USA per Vercel e Resend, che vi aderiscono.
7I tuoi diritti
Puoi chiedere di accedere ai tuoi dati, correggerli, cancellarli, limitarne il trattamento, opporti al trattamento e riceverli in un formato leggibile da una macchina (artt. 15–22 GDPR).
Per esercitarli scrivi a support@markerdrift.com: rispondiamo entro un mese.
Se ritieni che il trattamento violi il regolamento puoi proporre reclamo all’autorità di controllo dello Stato in cui risiedi, lavori o è avvenuta la presunta violazione. In Italia è il Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma — garanteprivacy.it, protocollo@gpdp.it.
8I dati degli atleti non passano da qui
Dentro MarkerDrift un club tratta dati dei propri atleti, compresi dati relativi alla salute. In quel trattamento il titolare è il club: decide lui che cosa raccogliere, su quale base giuridica e per quanto tempo.
Noi li trattiamo come responsabile, sulle istruzioni del club e nei limiti dell’accordo di nomina previsto dall’art. 28 GDPR. Quel documento è separato da questa informativa e viene accettato dal cliente prima di caricare qualunque dato.
9Chi tratta i tuoi dati
Titolare del trattamento: Lorenzo Vitale (CPSS, CSCS), partita IVA 01344880867.
Per qualunque richiesta su questa informativa o per esercitare i tuoi diritti puoi scrivere a support@markerdrift.com.