Informativa sul trattamento dei dati personali

La piattaforma SaaS «Playten» (di seguito, la «Piattaforma») è erogata da Playten, con sede in Italia (di seguito, il «Fornitore» o «Playten»).

Ai sensi del GDPR, i ruoli sul trattamento sono differenziati come segue.

1.1 Playten quale titolare autonomo. Playten è titolare del trattamento per i dati personali trattati per finalità proprie di fornitura e gestione della Piattaforma SaaS, tra cui: account di accesso (credenziali, contatti di registrazione), autenticazione e selezione del contesto (USER, ADMIN, OWNER), fatturazione e gestione del rapporto contrattuale con i circoli, assistenza tecnica, sicurezza e prevenzione abusi, adempimenti di legge, marketing diretto della Piattaforma nei limiti di legge e, sul sito pubblico, misurazione dell’utilizzo tramite strumenti di analytics solo previo consenso.

1.2 Circolo quale titolare; Playten quale responsabile. Per i dati degli iscritti, gestori e altri soggetti trattati nell’ambito dell’operatività del singolo circolo sportivo (anagrafiche, membership, prenotazioni, wallet del circolo, directory, comunicazioni del circolo, certificati medici e documenti caricati, configurazioni del circolo), il circolo è titolare del trattamento e Playten agisce quale responsabile del trattamento ai sensi dell’art. 28 GDPR, sulla base di un accordo sul trattamento dei dati (Data Processing Agreement — «DPA») accettato in fase di attivazione del circolo e aggiornato secondo le versioni pubblicate. Il legale rappresentante del circolo è indicato nei dati del circolo sulla Piattaforma.

L’interessato che sia iscritto a un circolo può esercitare i diritti di cui al GDPR nei confronti del circolo (titolare) e, per quanto riguarda i trattamenti di cui al § 1.1, nei confronti di Playten. Playten inoltrerà al circolo competente le richieste relative ai dati trattati in qualità di responsabile, salvo obblighi di legge diversi.

Possono essere trattati dati relativi a:

• utenti della Piattaforma (soci, ospiti, gestori, owner di piattaforma);
• legali rappresentanti e referenti dei circoli;
• visitatori del sito marketing e delle pagine pubbliche.

Le categorie di dati possono includere, a seconda del servizio utilizzato:

• dati anagrafici e di contatto (nome, cognome, email, telefono, indirizzo, data di nascita, genere, codice fiscale);
• dati di account e autenticazione (hash password, stato verifica email, accettazioni legali);
• dati di membership e ruolo presso uno o più circoli;
• dati di prenotazione campi e partite, preferenze e visibilità in directory;
• dati di pagamento e wallet (movimenti, stato checkout; i dati di carta sono gestiti dai PSP);
• immagine profilo e documenti caricati (ivi inclusi certificati medici in formato PDF);
• log tecnici, indirizzi IP, user-agent, eventi di sicurezza e di audit;
• dati di navigazione e misurazione aggregata tramite cookie/SDK analytics, previo consenso.

I trattamenti sono effettuati per le seguenti finalità e basi giuridiche.

• Erogazione del servizio e contratto (art. 6, par. 1, lett. b GDPR): creazione e gestione account, login, contesti, prenotazioni, wallet, configurazione circolo, notifiche di servizio.
• Obblighi di legge (art. 6, par. 1, lett. c): adempimenti fiscali, contabili e richieste delle autorità competenti.
• Legittimo interesse (art. 6, par. 1, lett. f): sicurezza della Piattaforma, prevenzione frodi e abusi, miglioramento del servizio in forma aggregata, tutela in giudizio, comunicazioni di servizio non promozionali.
• Consenso (art. 6, par. 1, lett. a): cookie analytics e marketing non tecnici; eventuali comunicazioni promozionali dove richiesto dalla normativa. Il consenso è revocabile in ogni momento senza pregiudicare la liceità del trattamento precedente.
• Trattamenti del circolo-titolare: le basi giuridiche per membership, abilitate iscrizione, regole interne, comunicazioni del circolo e certificati medici sono determinate dal circolo in qualità di titolare (contratto/statuto, obblighi di legge sportivi, legittimo interesse o consenso, a seconda del caso).

La Piattaforma consente al circolo di richiedere, ricevere e conservare certificati medici (documento PDF e metadati correlati: date di rilascio/scadenza, validità, eventuale natura agonistica) al fine di verificare i requisiti di idoneità previsti dal circolo per l’abilitazione dell’iscritto. Ogni circolo può configurare nelle impostazioni se il certificato medico è obbligatorio.

Tali informazioni costituiscono, o possono costituire, categorie particolari di dati personali ai sensi dell’art. 9 GDPR (dati relativi alla salute). Il trattamento è effettuato dal circolo in qualità di titolare; Playten tratta i documenti e i metadati esclusivamente in qualità di responsabile art. 28, su istruzione del circolo, con misure tecniche adeguate (archiviazione su object storage cloud — tipicamente Amazon S3 — accessi autenticati e autorizzati ai soli gestori abilitati del circolo competente).

Il circolo-titolare è responsabile di individuare e documentare la base giuridica ex art. 9 (es. consenso esplicito dell’interessato, obblighi in materia di medicina dello sport, o altra eccezione applicabile) e di fornire agli iscritti la propria informativa, ove distinta. Gli interessati possono rivolgersi al circolo per accesso, rettifica, cancellazione o limitazione relativi ai certificati, fatti salvi obblighi di conservazione di legge.

I dati sono trattati con strumenti elettronici e procedure organizzative adeguate al rischio, secondo i principi di privacy by design e by default. Sono adottate misure quali: autenticazione basata su token JWT, segregazione multi-tenant per circolo (header X-Tenant-ID e controlli lato server), cifratura delle password (algoritmo BCrypt; eventuali hash legacy migrati vengono aggiornati al primo login riuscito), canali HTTPS, logging e audit delle operazioni rilevanti, backup e controllo degli accessi.

Nessun sistema di sicurezza è infallibile: Playten si impegna a mantenere misure proporzionate e a notificare le violazioni nei termini di legge ove applicabile.

I dati possono essere comunicati, nei limiti delle finalità, a:

• personale autorizzato di Playten e collaboratori vincolati a obblighi di riservatezza;
• gestori e amministratori del circolo cui l’interessato è collegato;
• fornitori di servizi cloud e infrastruttura (es. hosting applicativo, database, object storage Amazon Web Services), email transazionale, monitoraggio;
• prestatori di servizi di pagamento (es. PosWay / Stripe) per onboarding merchant e pagamenti; Playten non conserva i dati completi delle carte di pagamento;
• Google LLC per Google Analytics 4, solo previo consenso (Consent Mode v2; IP anonimizzato ove configurato);
• autorità pubbliche e soggetti legittimati per obblighi di legge o ordini vincolanti.

Qualora un fornitore tratti dati fuori dallo Spazio Economico Europeo, il trasferimento avviene sulla base di decisioni di adeguatezza della Commissione europea e/o Clausole Contrattuali Standard e misure supplementari, ove richieste.

• Dati di account e rapporto contrattuale: per la durata del rapporto e, dopo la cessazione, per il tempo necessario agli adempimenti di legge (tipicamente fino a 10 anni per documenti fiscali/contabili) e alla tutela in giudizio.
• Dati operativi del circolo (prenotazioni, wallet, membership): secondo le istruzioni del circolo-titolare e i termini contrattuali/DPA; in caso di cessazione del servizio, restituzione o cancellazione secondo DPA, salvo obblighi di conservazione.
• Certificati medici: fino a scadenza/revoca o secondo policy del circolo-titolare e obblighi normativi sportivi applicabili.
• Log di sicurezza e audit: per periodi proporzionati (indicativamente fino a 24 mesi, salvo esigenze investigative o legali più lunghe).
• Preferenze cookie: fino a 12 mesi o fino a modifica/revoca da parte dell’utente.

La Piattaforma utilizza cookie e tecnologie assimilabili. I cookie tecnici/necessari sono installati per autenticazione, sicurezza e memorizzazione delle preferenze di consenso e non richiedono il consenso preventivo. I cookie di analytics e marketing sono utilizzati solo previo consenso espresso tramite il banner di gestione preferenze (CMP).

L’utente può in ogni momento modificare o revocare il consenso tramite il pulsante «Cookie» presente sul sito, oppure impostazioni del browser. Il rifiuto dei cookie non necessari non pregiudica l’uso delle funzioni essenziali della Piattaforma.

Elenco principale (dettaglio anche nella CMP):

• Necessari: preferenze consenso (playten_cookie_consent); token di sessione in localStorage; contesto tenant.
• Analytics (consenso): cookie Google Analytics 4 (_ga, _ga_*, _gid) — fornitore Google LLC — durata fino a 24 mesi.
• Marketing (consenso, riservato): categoria predisposta per futuri strumenti pubblicitari; nessuno attivo fino a diversa comunicazione.

L’interessato può esercitare, nei limiti di legge, i diritti di: accesso; rettifica; cancellazione; limitazione; portabilità; opposizione; revoca del consenso; reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

Per i trattamenti di cui al § 1.1, le richieste vanno inviate a da configurare in area Owner. Per i dati trattati dal circolo come titolare, l’interessato si rivolge al circolo (e, se utile, in copia a Playten, che collaborerà ai sensi dell’art. 28).

La Piattaforma non è destinata a minori di 14 anni senza il coinvolgimento di chi esercita la responsabilità genitoriale, nei limiti previsti dalla normativa italiana. Qualora risultasse un trattamento di dati di minori non conforme, Playten e/o il circolo procederanno alla cancellazione o alla regolarizzazione.

Playten può aggiornare la presente informativa per adeguamenti normativi, organizzativi o tecnici. La versione corrente e la data di aggiornamento sono indicate in testa al documento e nella console Owner. L’uso continuato della Piattaforma dopo la pubblicazione costituisce presa visione della versione aggiornata, fatti salvi i casi in cui sia richiesto un nuovo consenso.

Titolare (trattamenti Playten): Playten — Italia.

Email privacy: da configurare in area Owner.

Legge applicabile prevalente: Legge italiana.