Privacy e cookie
Questa pagina descrive come vengono trattati i dati personali di chi usa il portale myVAB (gestionale e giochi), ai sensi dell'art. 13 del Regolamento (UE) 2016/679 (GDPR), e quali cookie vengono utilizzati.
1. Titolare del trattamento
VAB Toscana ODV — Vigilanza Antincendi Boschivi, in persona del Presidente e legale rappresentante pro tempore
Sede legale: Via Dante Alighieri 12, 50121 Firenze (FI)
Sede operativa: Viale della Repubblica 239, 59100 Prato (PO)
Codice fiscale: 80042390486 — P.IVA: 02152030488
Iscritta al RUNTS al n. 48363 del 13/02/2023 con Decreto 2447
Email: info@vabtoscana.it — Numero verde: 800 173 043 — Sito: www.vabtoscana.it
VAB Toscana ODV non è soggetta all'obbligo di nomina di un Responsabile della Protezione dei Dati (DPO) ai sensi dell'art. 37 GDPR. Per ogni richiesta sui dati personali ci si può rivolgere direttamente al Titolare a info@vabtoscana.it.
2. Quali dati trattiamo
- Dati degli utenti del portale (volontari e personale delle sezioni): dati anagrafici e di contatto, codice fiscale, sezione di appartenenza, ruolo e permessi, credenziali di accesso (la password è conservata solo in forma cifrata), dati inseriti nei moduli del portale (ad esempio schede di intervento, formazione, dotazioni, calendario, documentazione).
- Dati tecnici e di sicurezza: indirizzo IP, data e ora degli accessi, tentativi di accesso non riusciti, registro delle operazioni svolte nel portale. Servono a proteggere il sistema (ad esempio a bloccare temporaneamente gli indirizzi IP dopo troppi tentativi falliti) e ad accertare eventuali accessi o usi non autorizzati dei dati. Il registro è consultabile solo dagli amministratori del portale e, in caso di illeciti, può essere comunicato all'autorità giudiziaria.
- Notifiche: se le attivi, l'identificativo del dispositivo per le notifiche push o l'identificativo Telegram necessario a ricevere gli avvisi.
- Giochi (accessibili anche senza account): il nome con cui compari in classifica (quello dell'account se sei collegato, altrimenti quello che inserisci), punteggio, livello, durata della partita e indirizzo IP. Non serve inserire il tuo vero nome: puoi usare un soprannome.
3. Perché li trattiamo e base giuridica
| Finalità | Base giuridica |
|---|---|
| Gestione delle attività associative, operative e di protezione civile svolte tramite il portale | Rapporto associativo e di volontariato (art. 6.1.b GDPR); adempimento di obblighi di legge (art. 6.1.c) |
| Sicurezza del portale, prevenzione di accessi abusivi, registrazione delle operazioni | Legittimo interesse del Titolare alla sicurezza dei sistemi (art. 6.1.f) |
| Invio di notifiche push o Telegram | Tua richiesta di attivazione del servizio (art. 6.1.b), revocabile in ogni momento |
| Giochi e relative classifiche | Fornitura del servizio che hai scelto di usare (art. 6.1.b) |
Il conferimento dei dati richiesti per l'account è necessario per usare il portale. I dati dei giochi sono facoltativi: se non vuoi comparire in classifica basta non salvare il punteggio.
4. Chi può vedere i dati
I dati sono trattati dal personale dell'associazione e delle sezioni autorizzato in base al proprio ruolo. Possono essere comunicati alle autorità e agli enti di protezione civile quando previsto dalla legge o necessario per le attività operative. Nome e punteggio dei giochi sono visibili pubblicamente nelle classifiche.
I dati non vengono ceduti a terzi in alcun modo: non sono venduti, né comunicati ad altri per loro finalità, né usati per pubblicità o profilazione, e non vengono prese decisioni automatizzate (art. 22 GDPR).
Per far funzionare il portale l'associazione si avvale di alcuni fornitori tecnici che trattano i dati solo per conto dell'associazione e secondo le sue istruzioni, senza poterli usare per scopi propri (responsabili del trattamento, art. 28 GDPR):
- Aruba S.p.A. (Via San Clemente 53, 24036 Ponte San Pietro – BG): hosting del portale e del database, su server ubicati in Italia/UE.
- Docker, Inc. (USA): conservazione delle copie di sicurezza del portale.
- Telegram (solo se attivi le notifiche Telegram): invio degli avvisi al tuo account Telegram.
5. Trasferimento dei dati extra-UE
Il portale e il database sono ospitati esclusivamente su server ubicati in Italia/UE (Aruba). Un trasferimento fuori dall'Unione europea avviene solo per le copie di sicurezza conservate presso Docker, Inc. (USA), per le notifiche Telegram se le hai attivate e, limitatamente all'indirizzo IP, quando usi le funzioni di mappa e ricerca indirizzi che si appoggiano a servizi statunitensi (Google, Esri).
Questi trasferimenti avvengono con le garanzie previste dal GDPR: Data Privacy Framework UE-USA (Decisione di adeguatezza della Commissione europea del 10 luglio 2023, art. 45 GDPR) e/o clausole contrattuali standard (art. 46 GDPR). Copia delle clausole utilizzate da ciascun fornitore è disponibile su richiesta scritta a info@vabtoscana.it.
6. Per quanto tempo
- Dati dell'account e dei moduli: per tutta la durata dell'adesione all'associazione e, in seguito, per il tempo richiesto da obblighi di legge o dalla tutela dei diritti dell'associazione.
- Registri tecnici e di sicurezza: 12 mesi (non meno di 6, come previsto dal provvedimento del Garante sugli amministratori di sistema), salvo conservazione più lunga se necessari per accertare o difendere un diritto in sede giudiziaria.
- Punteggi dei giochi: finché la classifica è attiva, salvo tua richiesta di cancellazione.
7. Registro dei trattamenti (art. 30 GDPR)
Il Titolare ha redatto e mantiene aggiornato un Registro dei trattamenti conforme all'art. 30 GDPR, con l'elenco dei trattamenti effettuati e l'indicazione di finalità, basi giuridiche, categorie di interessati e di dati, tempi di conservazione, destinatari e misure di sicurezza. Il Registro è un documento interno, conservato presso la sede legale ed esibibile al Garante su richiesta. Puoi chiederne la consultazione, limitatamente alla parte che ti riguarda, scrivendo a info@vabtoscana.it.
8. I tuoi diritti
Ai sensi degli artt. 15–22 GDPR hai il diritto di:
- Accesso (art. 15): ottenere conferma del trattamento e copia dei tuoi dati
- Rettifica (art. 16): correggere dati inesatti o incompleti
- Cancellazione (art. 17): ottenere la cancellazione dei tuoi dati ("diritto all'oblio")
- Limitazione (art. 18): limitare il trattamento nei casi previsti
- Portabilità (art. 20): ricevere i tuoi dati in formato strutturato e leggibile da macchina
- Opposizione (art. 21): opporti al trattamento basato sul legittimo interesse
- Revoca del consenso, dove il trattamento si basa sul consenso, in qualsiasi momento e senza pregiudizio per la liceità del trattamento precedente
Per esercitarli: email info@vabtoscana.it oppure posta a VAB Toscana ODV — Via Dante Alighieri 12, 50121 Firenze (FI). Il Titolare risponde entro 30 giorni dal ricevimento della richiesta, prorogabili di ulteriori 60 giorni nei casi complessi (art. 12 par. 3 GDPR).
9. Diritto di reclamo
Se ritieni che il trattamento violi il GDPR puoi proporre reclamo al Garante per la protezione dei dati personali: sito www.garanteprivacy.it, email garante@gpdp.it, PEC protocollo@pec.gpdp.it, Piazza Venezia 11, 00187 Roma.
10. Misure di sicurezza
Il Titolare adotta misure tecniche e organizzative adeguate al rischio, tra cui:
- crittografia HTTPS/TLS su tutte le comunicazioni tra browser e server
- password conservate solo in forma cifrata con algoritmo di hashing (mai in chiaro)
- accesso ai dati limitato in base al ruolo e ai permessi di ciascun utente
- blocco automatico temporaneo degli indirizzi IP dopo ripetuti tentativi di accesso falliti
- registro (audit log) delle operazioni svolte nel portale
- header di sicurezza HTTP (CSP, HSTS, X-Frame-Options, Referrer-Policy, Permissions-Policy)
- backup periodici automatici dei dati
11. Violazione dei dati (data breach)
In caso di violazione dei dati personali che possa comportare un rischio per i diritti e le libertà degli interessati, il Titolare la notifica al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore (art. 33 GDPR). Se la violazione presenta un rischio elevato, ne dà comunicazione anche agli interessati (art. 34 GDPR).
12. Cookie policy
Il portale usa solo cookie tecnici, necessari al suo funzionamento: per questi la legge non richiede il consenso, ma solo questa informativa (Linee guida del Garante sui cookie del 10 giugno 2021). Non usiamo cookie di profilazione, di statistica o di terze parti.
| Nome | A cosa serve | Durata |
|---|---|---|
PHPSESSID | Mantiene la sessione di accesso al portale e ai giochi | Fino alla chiusura del browser o al logout |
cookie_consent | Ricorda che hai chiuso il banner informativo sui cookie | 12 mesi |
Alcune preferenze (ad esempio il nome usato nei giochi, l'audio attivo o disattivo, il mezzo scelto) e i file necessari all'uso offline del portale sono salvati solo nel tuo browser (memoria locale e cache dell'app) e non vengono inviati a nessuno. Puoi cancellarli dalle impostazioni del browser.
Librerie e caratteri tipografici usati dalle pagine sono ospitati sui nostri server. Solo alcune funzioni specifiche si appoggiano a servizi esterni, che per rispondere ricevono l'indirizzo IP del tuo dispositivo: le mappe (OpenStreetMap, OpenTopoMap, CyclOSM, Esri/ArcGIS, Google Maps per la ricerca di indirizzi) e le previsioni meteo (Open-Meteo, OpenWeatherMap). Questi servizi vengono contattati solo quando apri le pagine che li usano.
13. Aggiornamenti dell'informativa
Questa informativa può essere aggiornata per recepire modifiche normative, provvedimenti del Garante o cambiamenti nelle modalità di trattamento. La data dell'ultima revisione è indicata in cima alla pagina; in caso di modifiche sostanziali a finalità o basi giuridiche, gli utenti saranno informati con un avviso visibile nel portale.