Informativa sulla privacy e sul trattamento dei dati personali

Banda dei Malandrini a.s.d. · 10 novembre 2026 · Versione 0.1

1. Chi siamo e come leggere questo documento

Banda dei Malandrini a.s.d. (di seguito “l’Associazione”) ha sede in Viale De Gasperi 33, 59100 Prato (PO), C.F. 92087650484, P.IVA 02213720978, PEC bandadeimalandrini@pec.it. Per le richieste in materia di privacy si può scrivere a privacy@bandadeimalandrini.it.

Questo documento riunisce le informative sul trattamento dei dati personali (artt. 13 e 14 del Regolamento UE 2016/679, “GDPR”) relative a:

• • iscrizione a socio (sezione 2);
  • manifestazioni sportive (sezione 3);
  • app “Tuscany MTB District” (sezione 4);
  • comunicazioni promozionali (sezione 5).

Per le sezioni 2, 3 e 5 il titolare del trattamento è l’Associazione. Per l’app “Tuscany MTB District” il titolare è il Consorzio che la gestisce e l’Associazione agisce come fornitore tecnico (sezione 4). Le altre applicazioni del sistema “BiTr System” saranno aggiunte a questo documento quando verranno rese disponibili al pubblico. La cookie policy del sito web è un documento separato [DA PREDISPORRE con la migrazione del sito].

2. Iscrizione a socio

Titolare

L’Associazione, ai recapiti indicati nella sezione 1.

Dati trattati

La domanda di iscrizione si compila online e comprende dati anagrafici (nome, cognome, data e luogo di nascita, codice fiscale, residenza) e dati di contatto (email, telefono). Per chi richiede il tesseramento UISP viene richiesto anche il certificato medico di idoneità sportiva, che contiene dati relativi alla salute, una categoria di dati che il GDPR tutela in modo particolare.

Perché li trattiamo e su quale base

• Gestione del rapporto associativo (iscrizione, libro soci, convocazione delle assemblee, comunicazioni di servizio): esecuzione del rapporto associativo e obblighi previsti dallo statuto (art. 6, par. 1, lett. b GDPR).
• Adempimenti amministrativi, contabili, fiscali e assicurativi: obbligo di legge (art. 6, par. 1, lett. c).
• Tesseramento UISP e attività sportiva: esecuzione del rapporto associativo; i dati necessari al tesseramento vengono comunicati a UISP.
• Verifica dell’idoneità sportiva (certificato medico): consenso esplicito dell’interessato (art. 9, par. 2, lett. a). Senza certificato non è possibile completare il tesseramento UISP.

L’iscrizione è facoltativa, ma i dati richiesti nel modulo sono necessari per completarla.

A chi li comunichiamo

UISP, per il tesseramento (che li tratta come titolare autonomo secondo la propria informativa); compagnie assicurative; il consulente fiscale dell’Associazione; fornitori di servizi informatici (hosting, posta elettronica) che agiscono come responsabili del trattamento; autorità, quando previsto dalla legge. I dati dei soci non vengono diffusi né ceduti a terzi per finalità proprie di questi.

Per quanto tempo li conserviamo

• Dati dell’iscrizione: per tutta la durata del rapporto associativo e, dopo la sua cessazione, per 5 anni per le esigenze contabili, fiscali e di tenuta dei libri sociali. Al termine vengono cancellati o resi anonimi.
• Certificato medico: Se la copia viene conservata, lo è solo per il tempo necessario alla verifica e comunque non oltre la scadenza di validità del certificato.

Minorenni

Al momento non ci sono soci minorenni. Se in futuro l’iscrizione venisse aperta ai minori, la domanda dovrà essere presentata e firmata da chi esercita la responsabilità genitoriale.

3. Manifestazioni sportive

Titolari e ruoli

Le iscrizioni alle manifestazioni, le classifiche e il controllo del certificato medico sono gestiti tramite la piattaforma ENDU. ENDU tratta i dati dei partecipanti secondo la propria informativa.

L’Associazione si occupa direttamente di foto e video realizzati durante le manifestazioni.

Dati trattati dall’Associazione

Elenco dei partecipanti e dati necessari all’organizzazione dell’evento (nome, cognome, categoria, recapiti, eventuale esito della verifica del certificato), risultati e classifiche, immagini e video degli eventi. L’Associazione non conserva copia dei certificati medici.

Perché li trattiamo e su quale base

• Organizzazione dell’evento (pettorali, sicurezza, assicurazione, assistenza): esecuzione del contratto di partecipazione concluso con l’iscrizione e obblighi di sicurezza (art. 6, par. 1, lett. b e c).
• Classifiche e risultati: pubblicati con nome, cognome, categoria e tempo sulla piattaforma di iscrizione , sulla base dell’interesse legittimo a rendere trasparenti i risultati sportivi (art. 6, par. 1, lett. f).
• Foto e video: documentare e promuovere le attività dell’Associazione. Le riprese di contesto (gruppi, panoramiche) si fondano sull’interesse legittimo; le immagini in cui una persona è riconoscibile in primo piano si pubblicano con il consenso o la liberatoria dell’interessato.

Pubblicazione e diritti sulle immagini

Le immagini possono essere pubblicate su sito web, pagine social dell’Associazione; le piattaforme social sono titolari autonomi del trattamento dei dati che raccolgono. Chi non vuole comparire può dirlo agli organizzatori durante l’evento o scrivere all’indirizzo privacy: l’immagine verrà rimossa dalle pubblicazioni dell’Associazione. All’ingresso delle manifestazioni sarà esposta un’informativa breve.

Conservazione

Dati organizzativi: fino a conclusione dell’evento e degli adempimenti connessi, e comunque non oltre 12 mesi, salvo obblighi di legge. Risultati: finché l’archivio storico dell’evento resta pubblicato. Foto e video: fino a richiesta di rimozione, con una revisione periodica dell’archivio.

Minorenni

Se le manifestazioni prevedono categorie giovanili l’iscrizione e il consenso alle immagini devono essere firmati da chi esercita la responsabilità genitoriale.

4. App “Tuscany MTB District”

Nota per il Consorzio. Questa sezione è predisposta dall’Associazione per conto del Consorzio, titolare del trattamento, che la approva e la pubblica come propria informativa. Sarà pubblicata anche all’indirizzo richiesto dagli store.

4.1 Titolare e fornitore tecnico

Il titolare del trattamento è il Consorzio Turistico Abetone, Montagna Pistoiese A.P.M., Piazza Europa c/o Confcommercio, 51024 Abetone Cutigliano (PT). Contatto per le richieste privacy: [DA INSERIRE A CURA DI APM alla firma dell’accordo]. L’app e la piattaforma sono fornite e mantenute da Banda dei Malandrini a.s.d., che agisce come responsabile del trattamento ai sensi dell’art. 28 GDPR con nomina scritta.

4.2 Quali dati usa l’app

• Nessun account. Per usare l’app non serve registrarsi e non vengono richiesti nome, email o altri dati anagrafici.
• Posizione GPS. Se l’utente concede il permesso, l’app usa la posizione per centrare la mappa, far muovere il punto sul profilo altimetrico e segnalare quando si esce dal percorso, anche a schermo spento se concesso il permesso di posizione in background. La posizione viene elaborata sul dispositivo: non viene registrata, inviata né conservata sui nostri server. Il permesso si può revocare in qualsiasi momento dalle impostazioni del telefono.
• Dati salvati sul dispositivo. Preferiti salvati solo sul dispositivo, lingua e territorio scelti, e, se l’utente sceglie di salvarli per l’uso senza rete, i dati e la traccia GPX dell’itinerario.
• Notifiche nell’app. L’app mostra comunicazioni di servizio al proprio interno e non richiede dati personali per farlo. (DA CONFERMARE con APM: se verranno attivate notifiche sul telefono (push) tramite i servizi di Apple e Google, questa informativa verrà aggiornata e la notifica richiederà il consenso dell’utente.)
• Contatti delle associazioni. L’app mostra gli indirizzi email istituzionali e generici (del tipo info@) delle associazioni del territorio, a cui l’utente può scrivere.

4.3 Servizi di terzi coinvolti

Quando l’app richiede dati a un servizio esterno, quel servizio vede inevitabilmente l’indirizzo IP e le informazioni tecniche della richiesta. I servizi sono:

• Supabase, per il database con i contenuti dell’app (itinerari, punti di interesse, notizie). [DA CONFERMARE: regione dei server.]
• Stadia Maps, per le mappe, anche in 3D: riceve l’indirizzo IP e l’area di mappa visualizzata. Il fornitore ha sede negli Stati Uniti: il trasferimento dei dati fuori dallo Spazio economico europeo avviene con le garanzie previste dal GDPR [DA VERIFICARE: strumento adottato, ad esempio clausole contrattuali standard o Data Privacy Framework].
• Open-Meteo, per le previsioni meteo lungo l’itinerario: riceve le coordinate dei punti dell’itinerario (non la posizione dell’utente) e l’indirizzo IP.
• Waymarked Trails, per il livello facoltativo dei sentieri segnalati: quando l’utente attiva il livello, le richieste di mappa vengono inviate a quel servizio.
• Apple e Google, per il download e l’aggiornamento dell’app dagli store: raccolgono dati propri come titolari autonomi, secondo le loro informative.

4.4 Chi gestisce i contenuti (backoffice)

I contenuti dei territori sono inseriti da persone incaricate dal Consorzio e dai referenti dei territori tramite un’area riservata (backoffice) con accesso per ruolo, ospitata da Aruba S.p.A. con sede in Italia. Per l’accesso si usano gli indirizzi email istituzionali delle associazioni del territorio; i fornitori di infrastruttura conservano log tecnici che possono includere indirizzi IP.

4.5 Segnalazioni via email

Se l’utente scrive per segnalare un problema o chiedere informazioni, i dati contenuti nel messaggio sono usati per rispondere e conservati per il tempo necessario alla gestione della richiesta. Le segnalazioni sono gestite dal destinatario indicato dal Consorzio.

4.6 Base giuridica, conservazione e minori

• Base giuridica: erogazione del servizio richiesto dall’utente e interesse legittimo a garantirne il funzionamento e la sicurezza (art. 6, par. 1, lett. b e f); per la posizione, il permesso concesso dall’utente al sistema operativo.
• Conservazione: l’app non conserva dati personali degli utenti sui server. I log tecnici dei fornitori seguono i tempi previsti dalle rispettive politiche; i messaggi di posta per il tempo necessario a rispondere.
• Minori: l’app non raccoglie dati personali degli utenti, compresi i minori, tramite account o registrazioni.

4.7 Diritti

Per esercitare i diritti descritti nella sezione 6 riguardo all’app “Tuscany MTB District” ci si rivolge al Consorzio, ai recapiti indicati al punto 4.1.

5. Comunicazioni promozionali

Titolare

L’Associazione.

Dati e finalità

Indirizzo email per inviare comunicazioni su eventi, iniziative, manifestazioni e promozioni dell’Associazione.

Base giuridica

Il consenso dell’interessato (art. 6, par. 1, lett. a), prestato con una casella dedicata, separata da quelle relative all’iscrizione e alle manifestazioni e non obbligatoria. Non iscriversi o non acconsentire non pregiudica in alcun modo l’iscrizione a socio o la partecipazione agli eventi.

Canali

email, newsletter, messaggi, social, cartaceo. Il consenso vale solo per i canali indicati al momento della raccolta.

Partner e sponsor

I dati non vengono ceduti a sponsor o partner per le loro finalità. Se in futuro le comunicazioni dei partner fossero previste, servirà un consenso separato e specifico.

Conservazione e revoca

Fino alla revoca del consenso, che si può esercitare in qualsiasi momento con un messaggio all’indirizzo privacy o con il link presente in ogni comunicazione. L’elenco viene verificato ogni 24 mesi e chi non risulta più interessato viene cancellato.

6. I diritti dell’interessato

Chiunque abbia conferito dati può chiedere, scrivendo ai recapiti della sezione 1 (o a quelli del Consorzio per l’app “Tuscany MTB District”):

• l’accesso ai propri dati e una copia;
• la rettifica dei dati inesatti o l’integrazione di quelli incompleti;
• la cancellazione, quando non ci sono obblighi di legge che impongono di conservarli;
• la limitazione del trattamento;
• la portabilità dei dati forniti, per i trattamenti basati su consenso o contratto;
• l’opposizione ai trattamenti basati sull’interesse legittimo, ad esempio per le immagini;
• la revoca del consenso in qualsiasi momento, senza effetto sui trattamenti già svolti.

Le richieste ricevono risposta entro un mese, prorogabile nei casi previsti dal GDPR. È sempre possibile proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

7. Sicurezza e aggiornamenti

I dati sono protetti con misure tecniche e organizzative adeguate, tra cui connessioni cifrate, accesso per ruolo ai sistemi di gestione e conservazione presso fornitori selezionati. Questo documento può essere aggiornato, ad esempio quando saranno rese disponibili altre applicazioni o cambieranno fornitori e funzionalità. La data in testa indica la versione in vigore.