Informativa sulla privacy

(artt. 13 e 14 del Regolamento UE 2016/679 — «GDPR»)

Questa informativa spiega come vengono trattati i dati personali degli allievi e delle loro famiglie all'interno del gestionale GoDanza. Ti viene mostrata prima di raccogliere i tuoi dati (al momento dell'iscrizione, della pre‑iscrizione tramite QR o dell'accesso al tuo spazio personale). Ti chiediamo di leggerla con attenzione: è scritta per essere chiara, non solo formalmente corretta.

Se l'allievo è minorenne, questa informativa e i relativi consensi si intendono rivolti a chi esercita la responsabilità genitoriale (genitore o tutore).

1. Chi tratta i tuoi dati (Titolare e Responsabile)

Titolare del trattamento è la Scuola presso cui è iscritto l'allievo, cioè l'associazione o società sportiva dilettantistica che gestisce i corsi. La Scuola decide le finalità e i mezzi del trattamento dei dati dei propri allievi e delle loro famiglie. I dati identificativi e di contatto del Titolare (denominazione, sede, codice fiscale/partita IVA, legale rappresentante, e‑mail e PEC, eventuale numero di affiliazione all'ente sportivo) sono quelli della tua Scuola, che li rende disponibili in questa stessa pagina e nei propri documenti di iscrizione. Per ogni richiesta relativa ai tuoi dati puoi rivolgerti direttamente alla Scuola.

Responsabile del trattamento (art. 28 GDPR) è il fornitore del gestionale, che tratta i dati per conto della Scuola e secondo le sue istruzioni:

• Daniele Lopardo, impresa individuale, nome commerciale «Cooltimedia», fornitore del gestionale «GoDanza»
• Sede legale: Via Trieste 34, 50054 Fucecchio (FI)
• P.IVA 06344890485 · C.F. LPRDNL83R15D403U · REA FI‑620616
• PEC: daniele@pec.danielelopardo.it · E‑mail: info@cooltimedia.it

Il rapporto tra la Scuola (Titolare) e GoDanza (Responsabile) è disciplinato da un Accordo sul trattamento dei dati (DPA) ai sensi dell'art. 28 GDPR.

Responsabile della protezione dei dati (DPO/RPD). Allo stato, per la Scuola e per GoDanza, non è nominato un DPO: l'attività non ha ancora raggiunto la scala che rende obbligatoria la nomina. È previsto un DPO esterno al superamento delle soglie di larga scala, secondo un criterio (numero di scuole e di tesserati) documentato nella valutazione d'impatto. Se e quando nominato, i suoi recapiti saranno pubblicati in questa pagina.

2. Quali dati trattiamo

A seconda dei servizi attivati, trattiamo:

• Dati anagrafici e identificativi dell'allievo: nome, cognome, data e luogo di nascita, sesso, codice fiscale, fotografia del profilo (facoltativa), numero di tessera associativa/federale.
• Dati di contatto: indirizzo, e‑mail, numero di telefono.
• Dati del genitore/tutore (per allievi minorenni): nome, cognome, codice fiscale, contatti, relazione di parentela.
• Idoneità sportiva: la conferma che il certificato medico è stato consegnato alla Scuola e la sua data di scadenza. Il certificato in sé — il file e il suo contenuto — non entra nel gestionale (vedi § 5).
• Immagini (foto/video) che ritraggono l'allievo: trattate solo se è stato prestato l'apposito consenso (vedi § 10).
• Dati amministrativi e contabili: quota associativa, iscrizioni ai corsi, pagamenti, ricevute.
• Dati di presenza/frequenza ai corsi (appello).
• Dati tecnici: indirizzo IP, tipo di dispositivo/browser (user‑agent), data e ora, registri delle operazioni (log/audit). Sono raccolti anche come prova del rilascio dei consensi (a garanzia dell'interessato).

Non trattiamo, per le finalità di questo servizio, dati di categoria particolare — compresi i dati sulla salute — né dati giudiziari.

Fonte dei dati (art. 14 GDPR). Alcuni dati non sono raccolti direttamente presso l'interessato: i dati dell'allievo minorenne e quelli dell'eventuale secondo genitore/tutore sono forniti dal genitore/tutore che perfeziona l'iscrizione. Non acquisiamo dati personali da fonti pubbliche o da terzi diversi dalla Scuola e da chi effettua l'iscrizione.

3. Perché trattiamo i tuoi dati e con quale base giuridica

Per i minori, i consensi delle lettere e ed f sono resi da chi esercita la responsabilità genitoriale. La lettera d non è un consenso: il certificato medico è obbligatorio per legge (vedi § 5).

4. Se non fornisci i dati

• I dati delle finalità a, b, c sono necessari: senza di essi non è possibile perfezionare l'iscrizione/associazione.
• Il certificato medico (finalità d) è obbligatorio per legge per svolgere l'attività sportiva: in sua assenza l'allievo non può partecipare alle attività. Lo consegni alla Scuola su carta; nel gestionale restano solo la conferma della consegna e la data di scadenza.
• I dati delle finalità e ed f sono facoltativi: il rifiuto non pregiudica in alcun modo l'iscrizione.

5. Il certificato medico di idoneità sportiva

L'attività di danza svolta in ambito sportivo‑dilettantistico richiede il certificato di idoneità sportiva non agonistica. È un obbligo di legge (D.M. 24/4/2013 «Balduzzi» e L. 98/2013, art. 42‑bis), non una scelta libera: per questo la base giuridica è l'obbligo legale e la tutela di un diritto in sede giudiziaria (art. 6.1.c e 6.1.f GDPR) e non il consenso.

Il certificato resta alla Scuola, su carta. Lo porti in segreteria, come è sempre stato, e la Scuola lo conserva nel proprio archivio: la Scuola ne è il Titolare e decide con quali regole custodirlo. Il certificato non si carica nel gestionale — né dalla scheda dell'allievo, né dal tuo spazio personale — e GoDanza non lo tiene: né il file, né il suo contenuto, né negli archivi, né nei database.

Che cosa resta nel gestionale. Due sole informazioni, quelle che servono alla Scuola per sapere chi può frequentare: che il certificato è stato consegnato (una spunta) e la sua data di scadenza. Nient'altro: nessuna diagnosi, nessun referto, nessun documento sanitario.

Perché. Si chiama minimizzazione: un dato sulla salute che il gestionale non riceve è un dato che non può essere smarrito, visto da chi non deve o trasmesso altrove. Togliendolo alla radice, spariscono con esso i rischi che porta con sé.

Com'è oggi. Negli archivi di GoDanza non è conservato nessun certificato, e il caricamento del file è stato disattivato in tutto il programma: né la segreteria né tu puoi caricarlo.

Per quanto tempo. La spunta e la data di scadenza restano insieme agli altri dati dell'iscrizione (§ 12). Il certificato di carta lo conserva la Scuola, secondo le proprie regole.

6. Lo spazio personale dell'allievo (PWA)

A ogni allievo è dedicato uno spazio personale — una piccola applicazione web installabile sul telefono («aggiungi a schermata Home») — a cui si accede tramite un link/token personale, senza creare password. Da questo spazio l'allievo o il genitore può consultare i propri dati.

• Informativa prima della raccolta. Prima che i tuoi dati siano raccolti ti viene mostrata questa informativa e viene registrata la relativa presa d'atto (per i minori, del genitore/tutore), con data, ora, indirizzo IP e dispositivo a fini di prova.
• Sicurezza dell'accesso. Il link personale usa un token non indovinabile, con scadenza e possibilità di revoca/rotazione da parte della Scuola; è protetto da limiti anti‑abuso (numero di usi e frequenza). Le pagine ad accesso personale mostrano il minimo indispensabile (nome dell'allievo, Scuola, stato del certificato: consegnato, in scadenza, scaduto) e mai identificativi tecnici.
• Dati di minori. Poiché la maggioranza degli allievi è minorenne, il consenso e la presa d'atto sono prestati dal genitore/tutore.

7. Come trattiamo i dati e come li proteggiamo

I dati sono trattati con strumenti elettronici (e, ove residuo, cartacei), con misure di sicurezza adeguate al rischio (art. 32 GDPR):

• cifratura dei dati in transito (TLS) e a riposo;
• isolamento dei dati per singola Scuola (Row Level Security): ogni Scuola vede esclusivamente i propri dati;
• minimizzazione: i dati sulla salute non entrano nel gestionale (§ 5);
• accesso profilato per ruolo e limitato al personale autorizzato (principio del minimo privilegio): i documenti caricati nella scheda dell'allievo sono riservati alla segreteria e non compaiono nella vista del maestro;
• collegamenti temporanei a scadenza breve per l'accesso ai file riservati;
• registro delle operazioni (audit log) e prova di ogni consenso prestato: chi firma online lascia traccia informatica, chi firma su carta lascia il modulo firmato, che la Scuola conserva;
• conservazione dei dati primari nell'Unione Europea (server in Germania — Francoforte).

I dati non sono soggetti a processi decisionali automatizzati né a profilazione con effetti giuridici o similmente significativi (art. 22 GDPR). Le presenze e le note non vengono usate per valutazioni o punteggi automatici sull'allievo.

8. L'assistente AI «Nina»

Il gestionale include un assistente conversazionale, «Nina», che aiuta il personale della Scuola a configurare il software e a svolgere operazioni ripetitive (ad esempio importare elenchi). Nina propone; una persona conferma sempre prima che qualcosa venga salvato: non esistono decisioni automatizzate.

Nina si appoggia alla tecnologia di Anthropic PBC (modelli «Claude»), i cui server sono negli Stati Uniti: le richieste inviate all'assistente escono dall'Unione Europea. Le garanzie adottate per questo trasferimento sono descritte al § 11.

Che cosa arriva all'assistente, e che cosa no. Sulla maggior parte dei percorsi un filtro automatico sostituisce con segnaposto il codice fiscale, l'IBAN, l'indirizzo e‑mail, la data di nascita completa e il numero di telefono. Ti diciamo con altrettanta chiarezza i limiti di questo filtro, perché tacerli sarebbe scorretto: nomi e cognomi non vengono mai rimossi (servono all'assistente per capire di chi si sta parlando); il filtro non si applica ai file caricati durante un'importazione; e non ripulisce ciò che un operatore digita a mano — né nelle caselle di filtro e di report, né nel dialogo con l'assistente durante un'importazione. Un dato scritto lì a mano parte come è stato scritto.

• Dati sanitari. Non ce ne sono da trasmettere: il certificato medico non entra nel gestionale (§ 5), quindi l'assistente non può leggerlo né riceverlo. Delle informazioni sull'idoneità esistono soltanto la spunta di consegna e la data di scadenza.
• Nella chat con l'assistente escono il testo scritto dall'operatore, gli ultimi messaggi della conversazione, il nome della Scuola e il ruolo di chi sta scrivendo.
• Quando Nina consulta il database, degli elenchi di allievi esce solo il numero dei risultati, mai la lista dei nomi. Per il personale della Scuola (maestri e staff) escono invece nome e cognome, mentre i loro recapiti restano fuori. Se l'operatore apre tramite l'assistente la scheda di una singola persona, il cognome di quella persona viene trasmesso.
• Ciò che l'assistente ha già letto resta nella memoria della conversazione e può essere ritrasmesso nei messaggi successivi dello stesso dialogo: nome e cognome, come detto sopra, non sono fra i dati che il filtro rimuove.
• Nelle funzioni di filtro degli allievi e di report viene trasmessa solo la frase digitata dall'operatore: nessuna riga del database l'accompagna.
• ⚠️ Quando il personale importa dati caricando un PDF o una fotografia — per esempio la foto di un registro cartaceo o dell'orario — quel file viene inviato integro all'assistente, perché è l'unico modo perché possa leggerlo. Tutto ciò che vi è scritto (nomi, date di nascita, codici fiscali, recapiti) arriva così com'è: su questo percorso il filtro descritto sopra non interviene.

I dati non sono usati per addestrare i modelli. Il fornitore li conserva 30 giorni e poi li elimina; per i soli contenuti che i suoi sistemi segnalano come sospetti la conservazione può estendersi fino a 24 mesi.

9. A chi comunichiamo i dati

I dati possono essere comunicati a:

• GoDanza (Cooltimedia / Daniele Lopardo), quale Responsabile del trattamento del gestionale, e ai suoi sub‑responsabili tecnici, vincolati da accordi sul trattamento dei dati (art. 28 GDPR) o da equivalenti Clausole Contrattuali Standard:

⚠️ Google, detto per intero. Se un maestro collega il proprio Google Calendar e lascia acceso il consenso alla scrittura degli eventi, gli appuntamenti delle lezioni individuali confermate vi vengono copiati con il nome e cognome per esteso dell'allievo nel titolo, insieme alla sala e alle eventuali note scritte per quella prenotazione; se gli allievi prenotati sono più di uno, esce per esteso il nome del primo e il numero degli altri (per esempio «Giulia Bianchi +2»). Per le lezioni di corso e per gli eventi della Scuola escono soltanto il nome del corso o dell'evento, la sala e l'orario: nessun nominativo — a meno che un nome sia stato scritto dalla Scuola stessa dentro il titolo dell'evento. Se la Scuola carica i video sul proprio canale YouTube, il video, il titolo e la descrizione vengono trasmessi a Google. Inoltre, quando si guarda un video didattico dentro il gestionale il tuo browser contatta direttamente YouTube, Vimeo o Google Drive per mostrarlo. Per YouTube e Vimeo usiamo le versioni che non depositano cookie di profilazione finché non premi «play»; per Google Drive un equivalente non esiste, e l'anteprima è un riquadro Google a tutti gli effetti. Infine, se la segreteria usa il pulsante «manda su WhatsApp» per inviarti il link di iscrizione, il tuo numero di telefono e il tuo nome transitano per WhatsApp (Meta) nel momento in cui il messaggio viene preparato.

• l'ente di affiliazione sportiva a cui la Scuola aderisce, per tesseramento, iscrizione al registro delle attività sportive e copertura assicurativa: la Scuola gli trasmette i dati necessari alla tessera — nome, cognome, sesso, data e luogo di nascita e codice fiscale — attraverso il portale dell'ente;
• la compagnia assicurativa, per la gestione di eventuali sinistri;
• il commercialista/consulente della Scuola, per gli adempimenti fiscali (con accesso a un registro contabile in forma anonimizzata);
• le autorità pubbliche (Agenzia delle Entrate, autorità giudiziarie) nei casi previsti dalla legge.

I dati non sono diffusi, salvo le immagini per le quali sia stato prestato esplicito consenso all'uso esterno.

10. Immagini (foto e video)

Le riprese che ritraggono l'allievo sono trattate solo su consenso, distinto per:

• uso interno (archivio didattico, bacheche e comunicazioni ai soli iscritti);
• uso esterno/pubblico (sito, social, YouTube/Vimeo — piattaforme che possono operare anche su server extra‑UE): consenso separato, di cui si comprende il carattere diffusivo e la maggiore difficoltà di rimozione.

Per i minori, per la pubblicazione esterna è sufficiente il consenso di un genitore, che dichiara di agire anche con il consenso dell'altro genitore; sono gestiti i casi di affidamento esclusivo o tutela. Il consenso è sempre revocabile.

11. Trasferimenti di dati fuori dall'Unione Europea

I dati primari (database e archivi) sono ospitati nell'Unione Europea (Germania — Francoforte). Alcuni servizi accessori si appoggiano a fornitori con casa madre negli Stati Uniti. Per questi trasferimenti adottiamo garanzie adeguate ai sensi del Capo V del GDPR:

• decisione di adeguatezza «EU‑US Data Privacy Framework» dove il fornitore vi aderisce (Vercel, Resend, Google, Stripe), con Clausole Contrattuali Standard di riserva;
• Clausole Contrattuali Standard (SCC) + valutazione d'impatto sui trasferimenti (TIA) per Supabase, che non aderisce al Framework, con misure supplementari (residenza UE, minimizzazione, cifratura);
• per Anthropic, che al Framework aderisce, il contratto sul trattamento dei dati contiene già le Clausole Contrattuali Standard (modulo responsabile→sub‑responsabile, in vigore dal 24 febbraio 2025): adottiamo le SCC come base principale, il Framework come base secondaria, e vi affianchiamo la valutazione d'impatto e la minimizzazione descritta al § 8;
• Clausole Contrattuali Standard (SCC) anche per Cloudflare (che tratta il solo indirizzo IP del visitatore, per la protezione anti‑bot).

Se in futuro l'assistente AI venisse instradato su un'infrastruttura con server nell'Unione Europea, il destinatario cambierebbe e questa informativa sarebbe aggiornata nello stesso momento.

Il quadro statunitense è oggetto di verifica periodica; manteniamo le SCC come base di riserva per tutti i fornitori USA. Puoi chiedere copia delle garanzie adottate ai contatti del § 14.

12. Per quanto tempo conserviamo i dati

Decorsi i termini, i dati sono cancellati o resi anonimi. La cancellazione delle tre ultime categorie della tabella è eseguita da una procedura automatica notturna; per le altre categorie la cancellazione allo scadere del termine non è automatica, come indicato riga per riga.

Restano oggi fuori da questa regola alcuni registri tecnici — in particolare gli esiti di consegna delle e‑mail, che contengono l'indirizzo del destinatario — che non hanno ancora un termine di cancellazione automatica e non vengono toccati dalla cancellazione dei dati di un singolo allievo. È una lacuna nota, e la stiamo chiudendo.

Un dato cancellato sopravvive nelle copie di sicurezza finché queste non ruotano: la rotazione avviene entro sette giorni.

13. I tuoi diritti

Ai sensi degli artt. 15‑22 GDPR hai diritto di ottenere accesso ai tuoi dati, la loro rettifica, la cancellazione («oblio», salvi gli obblighi di conservazione di legge, ad es. fiscali), la limitazione, la portabilità, e di opporti al trattamento; puoi inoltre revocare in qualsiasi momento i consensi prestati, senza che ciò pregiudichi la liceità del trattamento già svolto.

Per esercitare i diritti puoi scrivere alla tua Scuola (Titolare), ai recapiti indicati in cima a questa pagina. La Scuola risponde entro un mese (prorogabile di due mesi per richieste complesse, con motivazione). Se scrivi a GoDanza, la richiesta viene inoltrata senza ritardo alla Scuola.

Hai infine diritto di proporre reclamo al Garante per la protezione dei dati personali — Piazza Venezia 11, 00187 Roma — www.gpdp.it.

14. Contatti

• Titolare (la tua Scuola): ai recapiti indicati in cima a questa pagina e nei documenti di iscrizione.
• Responsabile (GoDanza): PEC daniele@pec.danielelopardo.it, e‑mail info@cooltimedia.it.

15. Cookie

Il sito e il gestionale utilizzano, allo stato, soli cookie tecnici necessari al funzionamento (sessione e autenticazione). Il dettaglio è nella [Cookie policy](/cookie).

16. Modifiche a questa informativa

Questa informativa può essere aggiornata. La versione vigente riporta in alto la data di ultimo aggiornamento; le modifiche sostanziali sono comunicate agli interessati.

Appendice — GoDanza come Titolare autonomo

Per alcuni trattamenti GoDanza agisce come Titolare autonomo e non come Responsabile della Scuola: i dati dell'account e degli amministratori della Scuola‑cliente, la fatturazione del servizio, i registri tecnici d'uso e del consumo dei crediti dell'assistente AI, ed eventuali dati di contatto commerciale. Tali trattamenti hanno base giuridica nel contratto (Termini di Servizio) e negli obblighi di legge (fiscali, di sicurezza) e sono svolti dalla medesima entità indicata al § 1. Non riguardano i dati degli allievi e delle famiglie, che restano di titolarità della Scuola.