Organizzazione di Volontariato KJ+
POLICY IN TEMA DI PRIVACY.
L’associazione KJ+ Onlus si impegna a proteggere i Dati Personali ad essa affidati e, pertanto, la loro gestione e sicurezza vengono garantite in maniera conforme alla vigente normativa privacy (GDPR UE 279/2016).
La seguente policy ha lo scopo di illustrare la titolarità del trattamento; la mappatura dei dati raccolti; le finalità della raccolta; le basi giuridiche del trattamento; l’utilizzo e la conservazione dei dati personali.
1 – Titolarità del trattamento
I dati saranno trattati, in qualità di titolare del trattamento, dall’Associazione KJ+ ODV, con sede legale in Via Valgioie n. 50 in Torino.
Il Titolare del trattamento è contattabile presso l’indirizzo della sede legale oppure al seguente indirizzo e- mail: info@associazionekj.it
2 – Mappatura dei dati raccolti
I dati personali raccolti dall’associazione possono essere distinti come segue:
1. dati personali relativi a soci (dati identificativi: nome, codice fiscale, residenza, dati di contatto);
2. dati personali relativi a fornitori (dati di contatto, fatture, conto corrente bancario, dati di contatto);
3. dati relativi alla navigazione sul nostro sito web: tipo di device, sistema operativo; browser; indirizzo IP; registro attività nell’area personale del sito web con data ed ora di accesso;
4. immagini e registrazioni video e audio che possono inerire tutti i soggetti dei punti 1 e 2.
3 – Finalità della raccolta
I dati raccolti saranno utilizzati dal titolare del trattamento esclusivamente per le seguenti finalità:
1. Con riferimento ai soci: gestione del rapporto associativo nonché all’erogazione di servizi, quali organizzazioni eventi ed attività conformi allo scopo dell’associazione, ossia ogni iniziativa volta a migliorare le condizioni sociali, culturali e professionali, assistenziali dei disabili visivi, con la finalità di agevolarne la piena integrazione nella società. In particolare l’associazione si propone di svolgere le seguenti attività: accompagnamento nell’ambito delle attività dell’associazione, attività culturali per il tempo libero, attività di integrazione con la collettività;
2. Con riferimento ai dati personali dei fornitori: adempimenti a obblighi contabili e contatto per forniture e questioni attinenti alle stesse.
4 – Trattamento dei dati personali
Il titolare, di cui al punto 1 della presente policy, effettuerà il trattamento: - sulla base del consenso, ove richiesto;
- per gli adempimenti contrattuali e per adempiere agli obblighi legali, indicati al punto 3, ai quali l’associazione è soggetta (ad es. obblighi contabili, retributivi, previdenziali, controlli antiriciclaggio);
- per perseguire un legittimo interesse (ad es. tutela e sicurezza del patrimonio dell’associazione e prevenzione delle frodi).
Ne consegue che il conferimento dei dati personali è obbligatorio per le finalità riportate al punto 3.
L’eventuale parziale o totale mancato conferimento dei dati comporterà la parziale o totale impossibilità di raggiungere le finalità di cui sopra.
L’entità e l’adeguatezza dei dati conferiti sarà valutata in funzione della specifica finalità da perseguire, al fine di evitare il trattamento di dati eccedenti alle finalità perseguite.
I dati personali non saranno trattati per finalità diverse e ulteriori rispetto a quelle descritte nella presente policy, se non trasferendo preventivamente adeguata informazione e, ove necessario, richiedendo specifico consenso.
La raccolta dei dati personali sulla base del consenso avviene mediante il rilascio spontaneo degli stessi con contestuale autorizzazione al loro trattamento; all’uopo all’atto di iscrizione all’associazione il titolare del trattamento o persona da questi autorizzata farà firmare apposito modulo a ciascun socio per il rilascio dei dati personali e verrà fornita apposita informativa sul relativo trattamento. E’ anche prevista per gli utenti interessati ad aderire online, tramite il sito web dell’associazione, la somministrazione dell’informativa e la possibilità di rilascio del consenso online.
Verrà costituita apposita cartella cartacea contenente le autorizzazioni al trattamento dei dati personali sottoscritte dai soci oppure la stampa di quelle compilate online, custodita presso la sede associativa.
L’informativa dovrà essere resa disponibile anche a tutti i collaboratori occasionali, eventuali dipendenti e fornitori, che rilasceranno parimenti autorizzazione al trattamento dei dati.
4 bis - Trattamento dei dati particolari
Ai sensi del GDPR, i dati particolari sono quelli inerenti “l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale, nonché dati genetici, dati biometrici, intesi ad identificare in modo univoco una persona fisica, dati relativi alla salute, alla vita sessuale o all’orientamento sessuale della persona”.
Il trattamento di fotografie o immagini audiovisive non costituisce un trattamento di categorie particolari di dati personali ai sensi del considerando (51) del GDPR, poiché non sono trattate attraverso un dispositivo tecnico specifico che consente l’identificazione univoca o l’identificazione della persona fisica.
Nei casi in cui tali dati siano strettamente necessari per l’espletamento delle attività associative, si garantisce che gli stessi saranno trattati esclusivamente per le finalità indicate al punto 3.
5 – Utilizzo dei dati personali e conservazione dei dati personali
Il titolare, di cui al punto 1 della presente informativa, ha come obiettivo la tutela dei dati personali ad esso affidati, improntando il trattamento ai principi di liceità, correttezza e trasparenza ai sensi dell’art. 5 a) del GDPR. Pertanto, gli stessi saranno trattati tramite l’utilizzo di strumenti e procedure idonei a garantirne la massima sicurezza e riservatezza, mediante archivi e supporti cartacei, con l’ausilio di supporti digitali, mezzi informatici e telematici.
I dati personali saranno conservati, a partire dal loro ricevimento/aggiornamento, per periodi variabili a seconda del rapporto intercorrente con i titolari così come segue: per soggetti che abbiano instaurato un rapporto contrattuale con l’associazione, i dati personali saranno conservati, a partire dal loro ricevimento, per un periodo congruo rispetto alle finalità di trattamento sopra riportate, dopodiché verranno cancellati o
resi anonimi; i dati personali verranno conservati anche per un periodo ulteriore fino a un massimo di anni 10 in formato elettronico.
La conservazione dei dati avviene sia in modalità elettronica sia in modalità cartacea.
La modalità elettronica consiste nel salvataggio dei dati su un server criptato, con accesso consentito soltanto alle persone autorizzate dal titolare del trattamento e da soggetti da esso autorizzati mediante inserimento di apposita password personale.
Per garantire un livello adeguato di sicurezza, si prevede la modifica con cadenza trimestrale delle password personali di accesso al server.
Non esiste un server presso la sede associativa per il salvataggio dei dati. Il titolare del trattamento ha stipulato apposito contratto con gestore terzo Aruba S.p.A., che ha fornito apposite garanzie per la conformità del salvataggio e dell’archiviazione dei dati alle normative vigenti. La società che gestisce il server non ha accesso ai dati in esso contenuti.
La conservazione cartacea avviene mediante inserimento in apposita cartellina, che, una volta concluso il rapporto di lavoro o il periodo associativo, viene archiviata in apposito armadietto con lucchetto presso la sede legale dell’associazione. La conservazione avviene per un termine massimo di anni dieci dalla data dell’archiviazione; cionondimeno i dati potranno essere conservati per finalità di studio mediante apposita anonimizzazione oltre il termine indicato.
I dati degli utenti sono salvati in apposito database; a ciascun utente è assegnato un numero utente. Eventuali ulteriori tabelle, che raccolgono dati inerenti alle preferenze degli utenti, sono basate sul numero utente e non riportano più il nominativo dell’utente stesso; questo impedisce di risalire alle preferenze senza l’utilizzo del file di origine che collega il numero utente al nominativo. Il database è salvato online su server gestito da Aruba S.p.A.; di esso vi è copia in formato non criptato sull’hard disk tradizionale presso la sede dell’associazione.
Con riferimento alle riprese audio/visive durante le attività sopra descritte: esse potranno essere utilizzate per documentare e divulgare le attività tramite il sito internet della KJ+ OdV, pubblicazioni, mostre, corsi di formazione, seminari, convegni e altre iniziative promosse anche in collaborazione con altri enti pubblici. Tale materiale multimediale viene salvato su Hard disk tradizionale, presso la sede dell’associazione in forma non criptata; esso viene pubblicato sul sito web con finalità divulgativa o di promozione di attività compatibili con la finalità sociale dell’ODV.
Per maggiori informazioni, è possibile contattare il titolare del trattamento.
6 – Condivisione dei dati personali
Per le finalità di cui al punto 3, i dati potranno essere comunicati a soggetti terzi, Enti pubblici, Organismi di revisione o vigilanza, esclusivamente per adempiere ad obblighi derivanti dalla legge, regolamenti, normative comunitarie o per aspetti riguardanti la gestione ed esecuzione del rapporto contrattuale.
I Dati verranno, inoltre, trattati da risorse interne, adeguatamente istruite, che operano in qualità di personale autorizzato al trattamento dei Dati. Per risorse interne si intendono eventuale personale dipendente, i volontari ed i professionisti che collaborano occasionalmente con l’associazione. L’elenco dei soggetti autorizzati ad operare sui dati è salvato sul server online nella tabella denominata “admin associazionekj”.
E’ fatto divieto ai dipendenti ed ai collaboratori dell’associazione salvare i dati personali di collaboratori,
volontari e soci su chiavette USB, riducendo in tal modo il rischio di eventuale fuga, smarrimento o diffusione di dati.
L’accesso ai dati archiviati potrà essere effettuato solo dalle pubbliche autorità, nei casi e modalità previsti dalle leggi vigenti, in ipotesi di verifiche autorizzate o controversie giudiziarie.
I dati personali raccolti non sono, pertanto, soggetti a diffusione.
Qualora dovesse sorgerne l’esigenza, i dati personali raccolti saranno comunicati alla compagnia assicuratrice con cui la KJ+ OdV ha apposito contratto di assicurazione per la copertura di responsabilità civile ed infortunio, ove richiesti.
Inoltre per finalità connesse alle attività dell’associazione, i dati di contatto dei soci potrebbero essere inserite in apposite mailing-list o chat; tali circostanze devono essere espressamente autorizzate dal soggetto che rilascia i dati, sgravando il Titolare del trattamento dall’uso improprio potrebbe essere operato da parte di altri soggetti facenti parte della mailing list e/o del gruppo Whatsapp.
7 – Diritti dei soggetti interessati
I soggetti interessati hanno il diritto di chiedere:
• L’accesso ai propri dati personali ex art. 15 GDPR;
• La loro rettifica in caso di inesattezza degli stessi;
• La cancellazione ex art. 17 GDPR; contemporaneamente si precisa che l’associazione conserverà i dati personali per un tempo di anni dieci dall’ultimo rinnovo di iscrizione;
• La limitazione del loro trattamento;
• E’ garantito il diritto alla portabilità, ossia di ricevere in un formato strutturato, di uso comune e leggibile da dispositivo
automatico, i dati personali forniti.
• E’ sempre garantito il diritto di proporre reclamo all’Autorità di controllo nazionale (Garante Privacy).
8 - Diritto di opposizione
È inoltre garantito:
il diritto di opporsi al trattamento dei dati ai sensi dell’art 21 del GDPR.
L’interessato ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, al trattamento dei dati personali che lo riguardano ai sensi dell’articolo 6, paragrafo 1, lettere e) o f), compresa la profilazione sulla base di tali disposizioni.
Il titolare del trattamento si astiene dal trattare ulteriormente i dati personali salvo che egli dimostri l’esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell’interessato oppure per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.
Apposita richiesta deve essere svolta verso il Titolare del trattamento, che provvederà senza indugio, salvo se il trattamento è necessario per l’esecuzione di un compito di interesse pubblico.
9 – Revoca del consenso
È possibile revocare, in qualsiasi momento, il proprio consenso senza che ciò possa, tuttavia: • Pregiudicare la liceità del trattamento basato sul consenso prestato prima della revoca;
• Pregiudicare ulteriori trattamenti degli stessi dati fondati su altre basi giuridiche (ad esempio, obblighi contrattuali o obblighi di legge cui sono soggetti i titolari del trattamento dei dati).
Non si ritiene necessario un registro delle attività di trattamento ai sensi dell’art. 30 del regolamento GDPR, considerate le dimensioni dell’associazione e la mappatura dei dati trattati al punto 2.
10 -- Modifiche alla policy sulla privacy
La presente policy sulla privacy è soggetta ad aggiornamenti periodici, a seguito di decisione del direttivo conseguenti a eventuali modifiche dello statuto o a variazioni normative e legali.
11 – Responsabile della protezione dei dati
L’associazione non ritiene di nominare un responsabile della protezione dei dati, in quanto la mappatura dei dati come individuata al punto 2) esclude che l’associazione abbia come attività principale il trattamento che richieda il monitoraggio regolare e sistematico degli interessati su larga scala, né tantomeno viene effettuato il trattamento su larga scala di categorie particolari di dati personali di cui all’art. 9 GDPR o di dati relativi a condanne penali e a reati di cui all’art. 10 GDPR.
La presente policy è portata a conoscenza di ciascun dipendente e collaboratore dell’associazione, che è chiamato al rispetto quale persona autorizzata dal titolare al trattamento dei dati. E’ altresì stampata e conservata in apposita cartellina nella sede dell’associazione, e può essere rilasciata a qualunque collaboratore, volontario, socio o fornitore ne faccia richiesta.
L’esercizio dei diritti dei soggetti che hanno rilasciato dati personali può essere esercitato mediante comunicazione scritta da inviare a mezzo e-mail al seguente indirizzo: info@associazionekj.it o a mezzo lettera raccomandata A/R all’indirizzo: Torino (10127) alla Via Valgioie n.50