Informativa sul trattamento dei dati personali

1. Titolare del trattamento

Andrea Sambruni, contattabile all'indirizzo e-mail andrea.sambruni@gmail.com (di seguito, il "Titolare", salvo quanto precisato al punto 3 in relazione ai dati sulla salute). In questa fase di sviluppo e test non è pubblicato un indirizzo fisico separato: per qualsiasi richiesta, il contatto di riferimento è l'e-mail sopra indicata.

2. Categorie di dati trattati

Dati identificativi e di contatto degli utenti della piattaforma (nome, cognome, e-mail, ruolo all'interno della società sportiva).

Dati relativi agli atleti gestiti dallo staff della società sportiva tramite la piattaforma, ivi inclusi dati appartenenti a categorie particolari ex art. 9 GDPR (stato di salute: infortuni, referti medici, terapie, idoneità agonistica).

Risposte fornite direttamente dall'atleta tramite i questionari ("moduli") messi a disposizione dallo staff, quando l'atleta dispone di un proprio accesso alla piattaforma (vedi punto 3): possono includere informazioni relative al proprio stato di salute.

Dati tecnici di utilizzo del servizio (log di accesso, indirizzo IP, informazioni sul dispositivo utilizzato).

3. Origine dei dati relativi allo stato di salute

I dati relativi allo stato di salute degli atleti sono inseriti nella piattaforma dallo staff autorizzato delle società sportive aderenti al servizio. Ciascuna società sportiva, in qualità di titolare autonomo del trattamento nei confronti dei propri tesserati, dichiara di aver raccolto il consenso libero, specifico e informato degli interessati (o, per i minori, degli esercenti la responsabilità genitoriale) prima dell'inserimento di tali dati sulla piattaforma. Ogni membro dello staff conferma questa condizione al primo accesso, prima di poter usare qualunque funzione della piattaforma. La piattaforma non raccoglie direttamente tale consenso dagli atleti e tratta i dati per conto della società sportiva in qualità di responsabile del trattamento.

Alcuni atleti possono disporre di un proprio accesso diretto alla piattaforma per consultare i propri infortuni in corso, il programma di riabilitazione, i risultati dei test e le proprie disponibilità, e per rispondere ai questionari inviati dallo staff. L'attivazione di questo accesso richiede un consenso specifico all'uso del servizio digitale, distinto da quello relativo ai dati sanitari descritto sopra: se l'atleta ha già compiuto 14 anni (soglia del consenso digitale autonomo ex art. 2-quinquies del Codice Privacy) lo presta lui stesso al momento dell'attivazione, pur restando minorenne a tutti gli altri effetti; sotto i 14 anni, l'invito e il relativo consenso sono riservati al genitore o all'esercente la responsabilità genitoriale, che attiva l'accesso per suo conto.

4. Finalità e base giuridica del trattamento

Gestione medico-sportiva della squadra tramite la piattaforma — base giuridica: esecuzione del rapporto con la società sportiva (art. 6.1.b GDPR) e, per i dati relativi allo stato di salute, consenso specifico dell'interessato raccolto dalla società sportiva (art. 9.2.a GDPR). Rientra in questa stessa finalità, quando la funzione di valutazione del rischio infortunio è attiva, la verifica nel tempo dell'affidabilità statistica del modello di rischio (confronto aggregato tra le classificazioni prodotte e gli infortuni realmente occorsi): serve a mantenere l'affidabilità dello stesso strumento clinico, non è una finalità distinta.

Test, sviluppo e miglioramento della piattaforma nella fase beta attualmente in corso — base giuridica: legittimo interesse del Titolare allo sviluppo del servizio (art. 6.1.f GDPR), esercitato riducendo al minimo i dati reali trattati.

5. Modalità del trattamento e misure di sicurezza

I dati sono trattati con strumenti elettronici, con accesso riservato al personale autorizzato della società sportiva in base al proprio ruolo (admin, dottore, fisioterapista, preparatore, allenatore, team manager), verificato a ogni richiesta anche lato server e non solo nell'interfaccia.

Le password sono conservate con hash bcrypt, mai in chiaro; l'accesso allo staff è possibile solo su invito di un amministratore, non con registrazione libera; ogni accesso e modifica ai dati relativi allo stato di salute è registrato in un log interno consultabile dagli amministratori. Le connessioni avvengono in HTTPS.

Per i ruoli che accedono più direttamente ai dati sanitari (dottore, fisioterapista) e per l'amministratore, l'accesso richiede anche un secondo fattore di autenticazione (un codice a tempo generato da un'app sul telefono, oltre alla password); è disponibile anche per gli altri ruoli su base volontaria.

6. Statistiche di utilizzo (analytics)

La piattaforma utilizza Vercel Web Analytics per raccogliere statistiche aggregate e anonime sull'utilizzo del servizio (pagine visitate, provenienza, tipo di dispositivo), al solo scopo di capire come viene usata la piattaforma e migliorarla. Questo strumento non utilizza cookie, non raccoglie alcun dato personale e non consente di identificare singoli utenti.

7. Fornitori e responsabili del trattamento

Il database (dati anagrafici, clinici e di utilizzo) è ospitato su Neon, con infrastruttura nella regione UE (Francoforte). I file allegati (foto, referti, esami diagnostici) sono conservati su Cloudflare R2, bucket configurato in giurisdizione UE.

L'applicazione è ospitata su Vercel: le funzioni che elaborano le richieste sono configurate per girare nella regione UE (Francoforte, co-localizzata con il database), e Vercel mette a disposizione un Data Processing Addendum con Clausole Contrattuali Standard per qualsiasi trattamento residuo che coinvolga i suoi sistemi negli Stati Uniti (es. rete di distribuzione dei contenuti, statistiche di utilizzo aggregate e anonime di cui al punto 6).

Le e-mail transazionali (inviti staff, reimpostazione password, report periodico delle segnalazioni destinate ai club delle squadre nazionali) sono inviate tramite Brevo, società francese con infrastruttura interamente nell'Unione Europea (Francia, Germania, Belgio) e senza trasferimento di dati verso paesi terzi. Il report per i club, riservato alle squadre nazionali e ai soli destinatari indicati dalla società sportiva, può includere dati relativi allo stato di salute degli atleti (tipo di infortunio, diagnosi, note cliniche); il trattamento da parte di Brevo avviene sulla base del Data Processing Addendum ex art. 28 GDPR che il fornitore mette a disposizione per ogni account.

I dati non sono ceduti a terzi per finalità commerciali o di marketing.

8. Trasferimento dei dati verso paesi terzi

Con fornitori aventi infrastruttura europea per database, storage e invio e-mail (Neon, Cloudflare R2, Brevo) e la regione UE impostata per le funzioni applicative su Vercel, non sono previsti trasferimenti sistematici di dati personali verso paesi terzi. Residua un trasferimento verso gli Stati Uniti solo per alcuni sistemi ausiliari di Vercel non configurabili in UE (es. rete di distribuzione dei contenuti statici, statistiche di utilizzo aggregate e anonime di cui al punto 6), coperto dal Data Processing Addendum con Clausole Contrattuali Standard citato al punto 7.

9. Periodo di conservazione

I dati di un atleta sono conservati per tutta la durata della sua appartenenza alla società sportiva. Dopo l'uscita dalla società, sono conservati per un periodo configurabile dalla società stessa (di norma 5 anni), trascorso il quale i dati anagrafici e clinici vengono resi anonimi in modo automatico dalla piattaforma. I dati di un account staff sono conservati finché l'account resta attivo.

10. Diritti dell'interessato

In qualità di interessato, è possibile esercitare in qualsiasi momento i diritti previsti dagli artt. 15-22 GDPR, tra cui: accesso ai propri dati, rettifica, cancellazione, limitazione del trattamento, portabilità dei dati e opposizione al trattamento. È inoltre possibile proporre reclamo all'Autorità Garante per la protezione dei dati personali (www.garanteprivacy.it), fatta salva ogni altra tutela in sede amministrativa o giurisdizionale.

11. Natura del conferimento dei dati

Il conferimento dei dati è necessario per l'utilizzo della piattaforma e l'erogazione del servizio di gestione medico-sportiva; l'eventuale rifiuto comporta l'impossibilità di utilizzare la piattaforma o alcune delle sue funzionalità.

12. Nota sulla fase di sviluppo e test (beta)

La piattaforma è attualmente in fase di sviluppo e test. Non è garantita la continuità del servizio, la disponibilità ininterrotta né l'integrità dei dati inseriti durante questa fase. Si raccomanda alle società sportive e agli utenti coinvolti nel test di non inserire dati sanitari reali oltre quanto strettamente necessario alla verifica delle funzionalità della piattaforma.

13. Contatti

Per l'esercizio dei diritti sopra descritti o per qualsiasi informazione relativa al trattamento dei dati, è possibile contattare il Titolare all'indirizzo e-mail andrea.sambruni@gmail.com.