Informativa sul trattamento dei dati personali

Questa informativa spiega come Iscrizioni tratta i dati personali di chi si registra, delle famiglie e dei bambini iscritti ai servizi, come chiedono l'articolo 13 del Regolamento (UE) 2016/679 (GDPR) e il Codice in materia di protezione dei dati personali (decreto legislativo 196/2003, modificato dal decreto legislativo 101/2018). Versione 2.1 del 10/11/2026.

Chi è il titolare

Il titolare del trattamento è Associazione La Strada - Der Weg E.T.S., Via Visitazione 42 (C.F. 00836620211). Per ogni domanda sui tuoi dati puoi scrivere a (da indicare nella Configurazione).

Il responsabile della protezione dei dati

Il contatto del responsabile della protezione dei dati (DPO) non è ancora indicato: per ogni domanda sulla protezione dei dati scrivi al titolare, a (da indicare nella Configurazione).

Quali dati trattiamo

Account: nome, email, telefono, lingua preferita, password (salvata solo in forma cifrata e non leggibile da nessuno).
Pratiche e schede dei figli: nome, cognome, data e luogo di nascita, codice fiscale, residenza, scuola e classe dei bambini; nome, contatti e codice fiscale dei genitori o di chi ne fa le veci; contatti per le emergenze; chi può ritirare il bambino.
Dati relativi alla salute, solo se li indichi tu: allergie, intolleranze e dieta, patologie, certificazioni (per esempio legge 104/1992 o legge 170/2010) e altre informazioni utili per la sicurezza del bambino.
Dati contabili: pro-forma, ricevute, note di credito, rate, buoni, incassi. I dati della carta di pagamento non arrivano mai a noi: li trattano PayPal o Nexi.
Presenze dei bambini ai turni, richieste e messaggi scambiati con il servizio, comunicazioni ricevute.
Dati tecnici: accessi all'account (data, ora, indirizzo IP), dispositivi su cui hai acceso le notifiche, cookie tecnici.

Perché li trattiamo e su quale base

Gestire l'iscrizione e il servizio (pratiche, turni, presenze, comunicazioni sul servizio, richieste): è necessario per eseguire il contratto con te (art. 6, par. 1, lett. b GDPR).
Emettere e conservare i documenti fiscali e tenere la contabilità: è un obbligo di legge (art. 6, par. 1, lett. c GDPR; DPR 633/1972 e art. 2220 del codice civile).
Proteggere la salute e la sicurezza del bambino durante il servizio con i dati relativi alla salute: sulla base del tuo consenso esplicito, che dai nel modulo d'iscrizione (art. 9, par. 2, lett. a GDPR) e che puoi revocare in ogni momento.
Mandarti le notifiche sul telefono: solo se le accendi tu (art. 6, par. 1, lett. a GDPR); le spegni quando vuoi.
Garantire la sicurezza del sistema e poter provare chi ha fatto cosa (registro delle attività): è un nostro legittimo interesse e un obbligo di sicurezza (art. 6, par. 1, lett. f e art. 32 GDPR).

Non usiamo i dati per pubblicità, non facciamo profilazione e non prendiamo decisioni basate unicamente su un trattamento automatizzato.

Se non ci dai i dati

I dati segnati come obbligatori nel modulo servono per iscrivere il bambino e per i documenti fiscali: senza, l'iscrizione non si può fare. I dati relativi alla salute sono facoltativi, ma senza di essi il servizio potrebbe non riuscire a tenere conto delle esigenze del bambino.

Chi vede i dati

Il personale autorizzato del titolare, istruito a trattarli (art. 29 GDPR), e solo per i servizi di cui si occupa.
I fornitori che lavorano per conto del titolare come responsabili del trattamento (art. 28 GDPR): il gestore del server, il servizio di posta elettronica e chi cura la manutenzione del programma.
PayPal e Nexi, se paghi online con loro: trattano i dati del pagamento come titolari autonomi, con le loro informative.
Le autorità pubbliche, quando lo chiede la legge (per esempio l'amministrazione finanziaria).

I dati non vengono diffusi. La traduzione automatica dei testi dei servizi (DeepL) riceve solo titoli e descrizioni pubblici dei servizi, mai dati personali.

Dove sono i dati

I dati sono trattati nell'Unione europea. Se un fornitore dovesse trasferirne una parte fuori dall'Unione, lo farebbe solo con le garanzie previste dagli articoli 44–49 del GDPR (una decisione di adeguatezza della Commissione europea o le clausole contrattuali tipo).

Per quanto tempo li conserviamo

Pratiche, schede dei figli e dati sanitari: Sempre. A un bambino possono essere legati documenti fiscali: pratiche, schede, consensi e dati sanitari non si cancellano mai, nemmeno quando l'account si elimina (resta anonimo).
Documenti fiscali e PDF: Sempre, senza modifiche. Pro-forma, ricevute e note di credito, con i loro PDF, restano come sono stati emessi; la legge chiede di tenerli almeno dieci anni.
Account delle famiglie e dello staff: Finché servono. Un account si elimina su richiesta della famiglia o dall'amministrazione IT: si anonimizza, e nome, email, telefono e password spariscono subito.
Moduli lasciati a metà: Come le pratiche. La famiglia può riprendere un modulo non inviato; quelli abbandonati restano come le pratiche.
Coda degli invii: 30 giorni dopo l'invio. Email e attività automatiche concluse: la pulizia di ogni notte le toglie. Nella coda ci sono solo gli identificativi, mai il testo delle email.
Dispositivi delle notifiche: Finché valgono. Un dispositivo si toglie quando la famiglia spegne le notifiche o quando il servizio del browser dice che non vale più.
Registro delle attività: 10 anni. Chi ha fatto cosa e quando, con gli accessi. 10 anni come le scritture contabili (art. 2220 c.c.) e la prescrizione ordinaria (art. 2946 c.c.); gli accessi degli amministratori almeno 6 mesi (Garante, provvedimento del 27/11/2008). Il programma non può modificare né cancellare le righe: quelle scadute le toglie l'amministrazione IT una volta all'anno (deploy/Pulizia-Registro.sql).
Registro storico della versione precedente: 10 anni dalla data di ogni riga. Le righe del registro della versione precedente portate nel passaggio, in sola lettura. Stessa durata e stesse ragioni del registro delle attività.
Log tecnici del server: 30 giorni. Il programma scrive un file di log al giorno (da «Information» in su, senza dati delle famiglie oltre agli identificativi) e tiene solo gli ultimi 30: i più vecchi si cancellano da soli (minimizzazione, art. 5 GDPR). Gli accessi degli amministratori stanno nel registro delle attività.
Archivio della versione precedente: 10 anni dal passaggio. L'ultima copia del database della versione precedente, cifrata e in sola lettura: contiene i documenti contabili, che si conservano 10 anni (art. 2220 c.c.).
Copie di sicurezza: 30 giorni. Le copie del database fatte dallo script di backup: quelle più vecchie del limite si tolgono da sole (30 giorni, il limite si può cambiare).

I tuoi diritti

Puoi esercitare in ogni momento i diritti degli articoli 15–22 del GDPR:

accesso ai tuoi dati e portabilità: in Il mio profilo → Privacy e dati, Scarica i miei dati ti dà subito una copia completa in un file;
rettifica: dal profilo, dalla pratica o scrivendo al servizio;
cancellazione: Elimina il mio account cancella nome, email, telefono e password; pratiche e documenti fiscali restano per il tempo indicato sopra, perché lo chiede la legge;
limitazione e opposizione al trattamento;
revoca del consenso ai dati relativi alla salute e alle notifiche, senza toccare quello che è stato fatto prima.

Per esercitarli scrivi a (da indicare nella Configurazione): rispondiamo entro un mese. Puoi anche proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it), come prevede l'articolo 77 del GDPR.

I dati dei bambini

I dati dei bambini li inserisce il genitore o chi esercita la responsabilità genitoriale, che ne garantisce la correttezza e riceve questa informativa anche per loro.

Iscrizioni usa solo cookie tecnici: quello dell'accesso, quello della lingua, quello di sicurezza dei moduli e, per chi lavora nei servizi ed è anche genitore, quello che ricorda se la pagina iniziale è quella del lavoro o quella della famiglia (contiene solo «lavoro» o «famiglia»). Non usa cookie di profilazione né statistiche di terze parti, per questo non serve il consenso (Linee guida del Garante sui cookie del 10 giugno 2021). Nella pagina Privacy e dati trovi anche cosa l'app ricorda sul tuo dispositivo.

Le email

Le email che ti mandiamo non contengono pixel di tracciamento né collegamenti che registrano se le apri o dove fai clic: non sappiamo se e quando leggi un'email (Linee guida del Garante sui pixel di tracciamento nelle email, provvedimento n. 284 del 17 aprile 2026).

Modifiche

Se questa informativa cambia, la versione e la data in alto cambiano e lo diciamo nell'app. Nel tuo profilo vedi con quale versione hai dato il consenso per ogni pratica.