Accordo sul trattamento dei dati personali (DPA)

tra la Società (Titolare del trattamento) e Cianchi Francesco (Responsabile del trattamento)

Versione 1.2 — Ultimo aggiornamento: 19 agosto 2026

Premesse

Il presente Accordo (di seguito «DPA») è parte integrante dei Termini e Condizioni del Servizio di lapallavolo.it ed è accettato dalla Società al momento della registrazione. Disciplina il trattamento dei dati personali che il Portale effettua per conto della Società nell'erogazione del Servizio.

In caso di contrasto tra il presente DPA e i Termini e Condizioni, in materia di protezione dei dati personali prevale il DPA.

1. Ruoli e definizioni

1.1 — Titolare. La Società è titolare del trattamento dei dati personali di atleti (anche minori), esercenti la responsabilità genitoriale, staff, tesserati e visitatori del proprio sito. Ne determina le finalità e i mezzi, raccoglie i consensi e le liberatorie, risponde della liceità del trattamento.

1.2 — Responsabile. Il Portale è responsabile del trattamento dei medesimi dati: li tratta esclusivamente per conto della Società e su sua istruzione, nei limiti necessari a erogare il Servizio.

1.3 — Trattamenti in cui il Portale è autonomo titolare. Restano fuori dal presente DPA, e sono disciplinati dall'informativa del Portale, i trattamenti in cui il Portale agisce come titolare autonomo: i dati degli account di Responsabile ed Editor, i dati di fatturazione del rapporto contrattuale, i log tecnici di sicurezza della piattaforma nel suo complesso. Su tali dati la Società non impartisce istruzioni.

1.4 — Definizioni. I termini «dato personale», «trattamento», «interessato», «violazione dei dati personali», «titolare», «responsabile» e «sub-responsabile» hanno il significato loro attribuito dal Regolamento (UE) 2016/679 (GDPR).

2. Oggetto, durata, natura e finalità del trattamento

2.1 — Oggetto. Il trattamento ha per oggetto i dati personali indicati nell'Allegato A, trattati nell'ambito del Servizio.

2.2 — Durata. Il trattamento ha la durata del contratto di Servizio e si conclude con le operazioni di restituzione e cancellazione di cui all'art. 10.

2.3 — Natura e finalità. Il Portale tratta i dati per le sole finalità di erogazione del Servizio, e in particolare per:

• ospitare, conservare e rendere accessibile il sito pubblico della Società;
• gestire l'anagrafica degli atleti e delle squadre, e le relative funzioni di gestione;
• gestire l'area riservata e il controllo degli accessi (genitori e atlete maggiorenni);
• conservare i documenti caricati nell'archivio riservato dell'atleta;
• gestire gallerie fotografiche, stati di consenso all'immagine e dichiarazioni di pubblicazione;
• gestire il registro delle quote e delle ricevute (senza alcuna intermediazione nei pagamenti);
• inviare le comunicazioni di servizio disposte dalla Società;
• registrare gli accessi e le azioni critiche, a fini di sicurezza e di prova;
• fornire assistenza tecnica alla Società;
• eseguire copie di sicurezza funzionali alla continuità del Servizio.

2.4 — Nessuna finalità propria. Il Portale non utilizza i dati trattati per conto della Società per finalità proprie: non li cede, non li commercializza, non li impiega per profilazione, marketing, addestramento di sistemi automatizzati né per la costruzione di prodotti derivati.

3. Categorie di interessati e tipi di dati

Le categorie di interessati e i tipi di dati trattati sono descritti nell'Allegato A.

3.1 — Minori. Il trattamento riguarda in via ordinaria dati di minori. Entrambe le Parti ne tengono conto nella valutazione del rischio e nelle misure adottate.

3.2 — Assenza di categorie particolari di dati. Il Servizio non prevede il trattamento strutturato di dati di cui all'art. 9 GDPR. In particolare, del certificato medico sono registrati soltanto dati amministrativi (data di rilascio, data di scadenza, ente rilasciante): nessun esito di idoneità e nessun caricamento del documento.

3.3 — Archivio riservato dell'atleta. L'archivio riservato è un contenitore documentale generico, il cui contenuto è determinato unilateralmente dalla Società. Il Portale non ne controlla né ne classifica il contenuto. La Società si obbliga a non caricarvi documenti contenenti dati di cui all'art. 9 GDPR (in particolare certificati medici, referti, dati sanitari): il Servizio non è progettato per il trattamento di tali dati e non offre le garanzie specifiche che essi richiederebbero.

3.4 — Conseguenze. Il caricamento di documenti in violazione dell'art. 3.3 costituisce inadempimento della Società e non attribuisce al Portale alcuna responsabilità.

4. Istruzioni documentate del Titolare

4.1 — Vincolo di istruzione. Il Portale tratta i dati soltanto su istruzione documentata della Società, salvo che vi sia tenuto per obbligo di legge; in tal caso ne informa preventivamente la Società, salvo che la legge lo vieti per rilevanti motivi di interesse pubblico.

4.2 — Cosa vale come istruzione. Costituiscono istruzioni documentate della Società:

• i presenti Termini e il presente DPA;
• la configurazione del Servizio operata dalla Società (visibilità dei dati, tipo e visibilità delle gallerie, abilitazione dei moduli, stati di consenso, accessi concessi);
• le operazioni compiute dal Responsabile e dagli Editor tramite le funzioni del Servizio;
• le richieste specifiche inoltrate per iscritto ai contatti di cui all'art. 15.

4.3 — Accesso di assistenza (impersonation). La Società istruisce sin d'ora il Portale ad accedere, tramite personale autorizzato, all'area di gestione della Società impersonandone l'utenza, quando ciò sia necessario per fornire assistenza richiesta, diagnosticare un malfunzionamento o rimuovere un rischio per la sicurezza o per gli interessati. Ogni accesso di questo tipo è motivato, tracciato e conservato nel registro delle azioni, consultabile dalla Società.

4.4 — Poteri di tutela. Gli interventi di rimozione di contenuti illeciti e di modifica dell'indirizzo pubblico previsti dai Termini e Condizioni sono esercitati dal Portale in adempimento di obblighi propri e nell'interesse degli interessati, e non in qualità di responsabile su istruzione della Società. Ogni intervento è motivato e comunicato.

4.5 — Istruzioni illegittime. Il Portale informa immediatamente la Società qualora ritenga che una sua istruzione violi il GDPR o altre disposizioni sulla protezione dei dati, e può sospenderne l'esecuzione fino a chiarimento.

5. Riservatezza

Il Portale garantisce che le persone autorizzate al trattamento:

• sono nominate per iscritto e istruite ai sensi dell'art. 29 GDPR;
• sono vincolate a un obbligo di riservatezza di natura contrattuale, che sopravvive alla cessazione del rapporto;
• accedono ai dati soltanto nella misura necessaria allo svolgimento dei propri compiti, secondo il principio del minimo privilegio;
• operano attraverso utenze nominative e tracciate.

6. Misure di sicurezza (art. 32 GDPR)

6.1 Il Portale adotta le misure tecniche e organizzative descritte nell'Allegato B, adeguate al rischio, tenuto conto della presenza ordinaria di dati di minori.

6.2 Le misure possono essere aggiornate nel tempo per adeguarle all'evoluzione tecnica, purché il livello di sicurezza non sia diminuito.

6.3 Le misure dell'Allegato B presuppongono un corretto uso del Servizio da parte della Società: nessuna misura tecnica protegge da credenziali condivise, da utenze Editor non revocate o dalla pubblicazione volontaria di dati in pagine pubbliche.

7. Sub-responsabili

7.1 — Autorizzazione generale. La Società autorizza in via generale il Portale a ricorrere a sub-responsabili, alle condizioni che seguono. L'elenco dei sub-responsabili in essere è riportato nell'Allegato C e mantenuto aggiornato in una pagina del sito.

7.2 — Obblighi verso i sub-responsabili. Il Portale impone a ciascun sub-responsabile, mediante contratto, obblighi di protezione dei dati non meno onerosi di quelli del presente DPA, e risponde verso la Società dell'inadempimento del sub-responsabile come del proprio.

7.3 — Modifiche. Il Portale comunica alla Società ogni intenzione di aggiungere o sostituire un sub-responsabile con preavviso di almeno 30 giorni. Entro tale termine la Società può opporsi per motivi ragionevoli e documentati relativi alla protezione dei dati. In caso di opposizione, le Parti cercano in buona fede una soluzione; ove non la trovino, la Società può recedere dal contratto senza costi, con rimborso pro rata temporis della quota non fruita.

7.4 — Sostituzioni urgenti. In caso di necessità imprevista e urgente (cessazione del fornitore, incidente di sicurezza), il Portale può sostituire un sub-responsabile con effetto immediato, dandone comunicazione contestuale e motivata; il diritto di opposizione della Società resta impregiudicato ed è esercitabile a posteriori.

7.5 — Stripe non è sub-responsabile ai fini del presente DPA. Il gestore dei pagamenti interviene esclusivamente nel rapporto contrattuale tra il Portale e la Società, nel quale il Portale è titolare autonomo, e non tratta dati di atleti o famiglie. Non figura pertanto nell'Allegato C.

8. Assistenza al Titolare

8.1 — Diritti degli interessati. Le richieste degli interessati (artt. 15–22 GDPR) sono rivolte alla Società, che vi risponde in qualità di titolare. Il Portale, tenuto conto della natura del trattamento, assiste la Società con misure tecniche e organizzative adeguate, mettendo a disposizione nel Servizio le funzioni di esportazione, rettifica, cancellazione e anonimizzazione necessarie a dare seguito alle richieste.

8.2 — Richieste ricevute direttamente. Se un interessato si rivolge direttamente al Portale, questo non vi dà seguito autonomamente: lo informa che deve rivolgersi alla Società e trasmette la richiesta alla Società senza ritardo.

8.3 — Cancellazione e anonimizzazione. Quando la cancellazione dei dati di un atleta è impedita da un obbligo di conservazione contabile (quote, ricevute, storni), la risposta corretta è l'anonimizzazione: il codice fiscale, i recapiti e la data di nascita completa sono svuotati; cognome, nome e anno di nascita restano quale archivio storico sportivo (stagioni, squadre, risultati) in base al legittimo interesse della Società, salvo opposizione dell'interessato, nel qual caso sono rimossi anche questi. Le registrazioni contabili permangono, prive di riferimenti identificativi ulteriori. Il Servizio distingue le operazioni e le registra separatamente.

8.4 — Ulteriore assistenza. Il Portale assiste la Società, nei limiti delle informazioni di cui dispone, negli adempimenti di cui agli artt. 32–36 GDPR: sicurezza del trattamento, notifica delle violazioni, valutazione d'impatto (DPIA) e consultazione preventiva del Garante.

8.5 — Necessità della DPIA. La valutazione se una DPIA sia necessaria spetta alla Società, in quanto titolare. Il Portale segnala che il trattamento presenta elementi che la rendono verosimilmente opportuna — trattamento su larga scala di dati di minori, archivio documentale riservato, pubblicazione di immagini — e mette a disposizione la descrizione tecnica del Servizio a supporto.

9. Violazioni dei dati personali

9.1 — Notifica alla Società. Il Portale notifica alla Società, senza ingiustificato ritardo e comunque entro 48 ore dal momento in cui ne è venuto a conoscenza, ogni violazione dei dati personali trattati per suo conto.

9.2 — Contenuto della notifica. La notifica contiene, nella misura in cui le informazioni siano disponibili: la natura della violazione; le categorie e il numero approssimativo di interessati e di registrazioni coinvolte; le probabili conseguenze; le misure adottate o proposte per porvi rimedio e attenuarne gli effetti; un punto di contatto per ulteriori informazioni. Le informazioni non immediatamente disponibili sono fornite in successive comunicazioni, senza attendere il completamento dell'accertamento.

9.3 — La notifica al Garante spetta alla Società. La notifica all'autorità di controllo (art. 33 GDPR) e l'eventuale comunicazione agli interessati (art. 34 GDPR) sono obblighi della Società in quanto titolare. Il Portale non vi provvede in sua vece, ma la assiste fornendo le informazioni e la documentazione necessarie.

9.4 — Cooperazione. Il Portale coopera con la Società nella gestione della violazione e conserva la documentazione dell'incidente e delle misure adottate.

10. Restituzione e cancellazione al termine del rapporto

10.1 — Scelta della Società. Alla cessazione del contratto, per qualunque causa, il Portale cancella i dati trattati per conto della Società, salvo che questa ne richieda la restituzione entro la finestra di esportazione.

10.2 — Finestra di esportazione. Per 30 giorni dalla cessazione, la Società può esportare autonomamente dati e documenti tramite le funzioni del Servizio. In tale periodo il sito pubblico non è più raggiungibile e l'area di gestione resta accessibile ai soli fini dell'esportazione.

10.3 — Cancellazione. Decorsa la finestra, i dati e i documenti sono cancellati dai sistemi in produzione, salvo quanto il Portale sia tenuto a conservare per obbligo di legge o per la difesa di un diritto in giudizio.

10.4 — Copie di sicurezza. I dati eventualmente presenti nelle copie di sicurezza non sono cancellati singolarmente: sono sovrascritti nell'ordinario ciclo di rotazione, entro 30 giorni, e nel frattempo restano soggetti alle misure di sicurezza del presente DPA e non sono ripristinati in produzione se non per finalità di continuità operativa.

10.5 — Conservazione durante il rapporto. Le durate di conservazione applicate nel corso del rapporto sono indicate nell'Allegato A, §4.

10.6 — Attestazione. Su richiesta scritta della Società, il Portale rilascia attestazione dell'avvenuta cancellazione.

11. Audit e verifiche

11.1 — Informazioni. Il Portale mette a disposizione della Società tutte le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all'art. 28 GDPR, ivi compresi la descrizione aggiornata delle misure di sicurezza, l'elenco dei sub-responsabili e, ove disponibili, gli esiti delle verifiche condotte.

11.2 — Verifiche. La Società può svolgere verifiche, anche tramite un incaricato terzo non concorrente del Portale e vincolato alla riservatezza, con preavviso di almeno 30 giorni, durante l'orario lavorativo, non più di una volta l'anno salvo che una violazione dei dati o una richiesta motivata dell'autorità rendano necessaria una verifica ulteriore.

11.3 — Limiti. Le verifiche non possono compromettere la sicurezza, la riservatezza o la continuità del Servizio, né consentire l'accesso a dati di altre società clienti: il Portale può opporre limiti a tutela di terzi, motivandoli.

11.4 — Costi. Le verifiche sono a carico della Società, salvo che accertino un inadempimento del Portale.

12. Trasferimenti fuori dall'Unione Europea

12.1 I dati trattati in esecuzione del presente DPA sono ospitati su server ubicati nell'Unione Europea. Non sono previsti trasferimenti verso Paesi terzi.

12.2 Gli asset tecnici del sito, compresi i caratteri tipografici, sono serviti dai server del Portale: non sono impiegate reti di distribuzione di contenuti (CDN) o servizi esterni che comportino la trasmissione di dati dei visitatori a terzi, né fuori dall'Unione.

12.3 Qualora un trasferimento verso un Paese terzo dovesse rendersi necessario, il Portale ne informa preventivamente la Società e vi procede solo in presenza di adeguate garanzie ai sensi del Capo V del GDPR; la Società può opporsi con le modalità dell'art. 7.3.

13. Registro dei trattamenti

Il Portale tiene il registro delle categorie di attività di trattamento svolte per conto dei titolari, ai sensi dell'art. 30, par. 2 GDPR, e lo mette a disposizione dell'autorità di controllo che ne faccia richiesta.

14. Responsabilità e durata

14.1 — Durata. Il presente DPA ha efficacia dal momento dell'accettazione e permane per tutta la durata del contratto di Servizio, e successivamente fino al completamento delle operazioni di cui all'art. 10. Le clausole di riservatezza sopravvivono alla cessazione.

14.2 — Responsabilità. La responsabilità delle Parti è regolata dall'art. 82 GDPR. Le limitazioni di responsabilità previste dai Termini e Condizioni non si applicano agli obblighi derivanti dal presente DPA nei limiti in cui l'art. 82 GDPR non ne consenta la limitazione.

14.3 — Ripartizione interna. Nei rapporti interni tra le Parti, ciascuna risponde delle conseguenze derivanti dall'inadempimento dei propri obblighi. In particolare, restano a carico della Società: la liceità della raccolta dei dati e dei consensi, il contenuto dei documenti caricati, la determinazione della visibilità pubblica dei dati, la gestione delle utenze Editor.

15. Contatti

Comunicazioni relative al presente DPA: privacy@lapallavolo.it.

Allegato A — Descrizione del trattamento

1. Categorie di interessati

• Atleti, in prevalenza minori.
• Esercenti la responsabilità genitoriale degli atleti minori.
• Atleti maggiorenni.
• Staff della Società (allenatori, dirigenti, accompagnatori).
• Terzi ritratti occasionalmente nelle immagini pubblicate (avversari, pubblico, arbitri).
• Visitatori del sito pubblico della Società.

2. Tipi di dati personali

3. Operazioni di trattamento

Raccolta, registrazione, organizzazione, strutturazione, conservazione, adattamento, estrazione, consultazione, uso, comunicazione mediante trasmissione, limitazione, cancellazione, anonimizzazione, distruzione.

4. Periodi di conservazione

Allegato B — Misure tecniche e organizzative

1. Controllo degli accessi

• Autenticazione con credenziali individuali; password memorizzate esclusivamente mediante funzioni di hashing crittografico a derivazione lenta, con salt per singola utenza. Le password non sono conservate in chiaro né in forma reversibile: non sono recuperabili né dal Portale né da chi ottenesse una copia dell'archivio.
• Verifica in due passaggi disponibile e raccomandata per le utenze che accedono ai dati degli atleti.
• Modello dei permessi a livelli, con separazione netta tra amministrazione del portale, gestione della società, redazione dei contenuti e consultazione da parte delle famiglie.
• Principio del minimo privilegio per il personale del Portale; utenze nominative; nessuna utenza condivisa.

2. Isolamento

• Separazione logica dei dati tra società clienti: nessuna società può accedere ai dati di un'altra.
• Isolamento per singolo atleta: il genitore accede esclusivamente ai dati e ai documenti del proprio figlio o della propria figlia, mai a quelli della squadra.
• L'accesso all'area riservata è conseguenza dell'appartenenza al roster della stagione in corso e decade automaticamente al suo termine o all'uscita dell'atleta: non dipende da una disattivazione manuale.

3. Protezione dei documenti riservati

• Archivio documentale fuori dalla radice web, non raggiungibile direttamente via rete.
• Cifratura dei file conservati.
• Identificativi casuali e non indovinabili: nessun documento è raggiungibile per tentativi su indirizzi progressivi.
• Verifica dell'autorizzazione a ogni singola richiesta (associazione genitore ↔ atleta ↔ stagione).
• Ogni scaricamento è registrato nel registro delle azioni.

4. Registri

• Due registri distinti: accessi (numerosi, conservazione breve) e azioni critiche (rari, conservazione lunga).
• Sono registrate come azioni critiche: rimozioni di contenuti, accessi di assistenza (impersonation), modifiche dell'indirizzo pubblico, storni contabili, scaricamenti di documenti riservati, esportazioni, cancellazioni e anonimizzazioni.
• I registri sono in sola aggiunta: le registrazioni non sono modificabili né cancellabili dagli operatori.

5. Consensi e immagini

• Lo stato del consenso all'immagine è tenuto come registro in sola aggiunta, con data e versione del testo.
• Ogni pubblicazione congela lo stato del consenso al momento in cui è avvenuta.
• In assenza di consenso valido, il Servizio mostra un segnaposto neutro in luogo della fotografia individuale.
• Le dichiarazioni di pubblicazione delle gallerie sono registrate con autore, oggetto, data, tipo e versione del testo.
• Rimozione immediata: la rimozione di un'immagine ha effetto su tutte le pagine, senza riferimenti residui.

6. Rete, cifratura, integrità

• Trasmissione dei dati cifrata in transito (TLS) su tutte le pagine.
• Nessuna risorsa esterna caricata dalle pagine del Servizio (siti pubblici delle Società e area riservata): caratteri tipografici e ogni altro asset sono serviti dai server del Portale. Nessun contenuto è richiesto a domini di terzi, e nessun indirizzo IP di visitatori o famiglie è quindi comunicato a terzi per effetto della sola visualizzazione di una pagina.
• Nessun cookie di profilazione, nessuno strumento di tracciamento di terzi.

7. Continuità e ripristino

• Copie di sicurezza periodiche, funzionali alla continuità operativa del Portale.
• Procedura di ripristino documentata e verificata periodicamente.
• (Le copie di sicurezza non costituiscono un servizio di backup a favore della Società: si veda l'art. 12.4 dei Termini.)

8. Misure organizzative

• Nomina e istruzione per iscritto delle persone autorizzate al trattamento (art. 29 GDPR).
• Obbligo di riservatezza contrattuale, con efficacia ultrattiva.
• Contratti conformi all'art. 28 con tutti i sub-responsabili.
• Registro delle categorie di attività di trattamento (art. 30, par. 2).
• Procedura documentata di gestione delle violazioni dei dati personali.

Allegato C — Sub-responsabili

L'elenco aggiornato è pubblicato all'indirizzo lapallavolo.it/dpa (Allegato C del presente documento).