Informativa Privacy

Informativa sul trattamento dei dati personali resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (GDPR).

La presente informativa descrive come l'Associazione Giovanile @Mappax tratta i dati personali degli utenti della piattaforma @Mappax, composta dal sito web mappax.org, dall'applicazione per i cittadini e le associazioni e dal gestionale riservato alle Pubbliche Amministrazioni.

@Mappax è una piattaforma di partecipazione civica: cittadini e associazioni pubblicano e sostengono eventi e proposte relativi al proprio territorio, e le Pubbliche Amministrazioni aderenti ne osservano l'andamento in forma aggregata, pubblicano avvisi e propongono consultazioni. La piattaforma non raccoglie segnalazioni di disservizi né gestisce reclami verso la Pubblica Amministrazione.

Ti invitiamo a leggere questa informativa prima di creare un account. In caso di dubbi puoi scrivere in qualsiasi momento a support@mappax.org.

1. Titolare del trattamento

Il Titolare del trattamento è l'Associazione Giovanile @Mappax, associazione priva di scopo di lucro e apartitica, con sede legale in Piazza Alberto Alessio n. 9, 00122 Roma, C.F. 96556310587, in persona del legale rappresentante pro tempore.

Il Titolare può essere contattato per qualunque questione relativa al trattamento dei dati personali, compreso l'esercizio dei diritti di cui al successivo punto 8, all'indirizzo support@mappax.org.

Non è stato designato un Responsabile della protezione dei dati (DPO), non ricorrendo le condizioni di cui all'art. 37 del GDPR.

2. Categorie di dati personali trattati

2.1 Dati conferiti dal cittadino in fase di registrazione: nome, cognome, data di nascita, indirizzo di residenza o domicilio (via, numero civico, CAP, comune), indirizzo di posta elettronica, password in forma cifrata. Facoltativi: numero di telefono, immagine del profilo, breve descrizione personale.

2.2 Coordinate geografiche della residenza. L'indirizzo indicato in fase di registrazione viene convertito in una coppia di coordinate e conservato in tale forma. È il dato che consente di mostrare all'utente ciò che accade in prossimità del luogo in cui vive.

2.3 Dati conferiti dall'associazione in fase di registrazione: denominazione, tipo di ente, codice fiscale o partita IVA dell'ente, sede, e i dati del legale rappresentante, ossia nome, cognome, codice fiscale, ruolo ricoperto e, se conferito, numero di telefono. Facoltativi: logo e descrizione dell'ente.

2.4 Contenuti pubblicati: titolo, testo, categoria, immagini, data e luogo degli eventi e delle proposte, commenti, e le interazioni con i contenuti altrui (adesioni, sostegni, salvataggi, "mi piace").

2.5 Posizione dei contenuti. A ogni evento o proposta è associato un punto sulla mappa, indicato dall'autore. Si tratta della posizione del contenuto, non di un tracciamento continuo dell'utente: la piattaforma non registra i tuoi spostamenti.

2.6 Posizione del dispositivo, se acconsenti alla richiesta del browser o del sistema operativo. Viene usata nel momento stesso in cui apri la mappa o il flusso dei contenuti, per ordinarli per vicinanza, e non viene conservata. Puoi negarla o revocarla dalle impostazioni del dispositivo: la piattaforma continua a funzionare utilizzando l'indirizzo di residenza.

2.7 Dati relativi ai consensi e alle accettazioni: data e ora in cui hai preso visione della presente informativa, in cui hai accettato i Termini e Condizioni e, per le associazioni, in cui hai reso la dichiarazione di responsabilità ai sensi del D.P.R. 445/2000.

2.8 Dati tecnici generati dall'utilizzo: indirizzo IP, data e ora degli accessi, tipo di dispositivo e di browser, registri tecnici degli errori. Sono trattati dai fornitori di infrastruttura indicati al punto 6.

2.9 Contenuto delle conversazioni con l'assistente Alby, se scegli di utilizzarlo. Vedi il punto 10.

Non trattiamo categorie particolari di dati ai sensi dell'art. 9 del GDPR. Ti chiediamo di non inserire nei contenuti che pubblichi dati relativi a convinzioni religiose o filosofiche, opinioni politiche, appartenenza sindacale, stato di salute od orientamento sessuale, propri o di terzi.

3. Finalità del trattamento e basi giuridiche

3.1 Erogazione del servizio, ossia creazione e gestione dell'account, pubblicazione dei contenuti, funzionamento della mappa e del flusso per prossimità, adesione alle associazioni, partecipazione alle consultazioni. Base giuridica: esecuzione del contratto di cui sei parte, costituito dall'accettazione dei Termini e Condizioni (art. 6, par. 1, lett. b, GDPR). Il conferimento dei dati indicati ai punti 2.1, 2.2 e 2.3 è necessario: senza di essi non è possibile creare l'account.

3.2 Verifica del requisito di età. La data di nascita è trattata al solo fine di verificare il compimento del diciottesimo anno di età, requisito di accesso alla piattaforma. Base giuridica: esecuzione del contratto (art. 6, par. 1, lett. b, GDPR).

3.3 Accountability di chi pubblica a nome di un ente. Il codice fiscale dell'associazione e i dati del legale rappresentante consentono di identificare il soggetto responsabile dei contenuti pubblicati a nome dell'ente. Base giuridica: legittimo interesse del Titolare e dei terzi a poter individuare l'autore di un contenuto pubblicato a nome di un'organizzazione (art. 6, par. 1, lett. f, GDPR).

3.4 Statistiche territoriali per le Pubbliche Amministrazioni. Le Amministrazioni aderenti accedono a dati di partecipazione riferiti al proprio comune in forma esclusivamente aggregata: numero di contenuti per tema e per zona, distribuzione per fasce d'età e andamenti nel tempo. Non ricevono elenchi di utenti né dati riferibili a singole persone. Base giuridica: legittimo interesse del Titolare e dell'Amministrazione a conoscere la partecipazione civica sul territorio, perseguito con dati aggregati (art. 6, par. 1, lett. f, GDPR).

3.5 Moderazione, sicurezza e prevenzione degli abusi, ossia verifica dei contenuti segnalati o sospetti, limitazione delle richieste automatizzate, protezione da accessi non autorizzati. Base giuridica: legittimo interesse del Titolare e degli utenti alla sicurezza e alla correttezza della piattaforma (art. 6, par. 1, lett. f, GDPR).

3.6 Comunicazioni di servizio, ossia conferma della registrazione, recupero della password, avvisi su modifiche sostanziali al servizio o ai presenti documenti. Base giuridica: esecuzione del contratto (art. 6, par. 1, lett. b, GDPR). Non si tratta di comunicazioni commerciali e non è prevista la disiscrizione, salvo la chiusura dell'account.

3.7 Adempimento di obblighi di legge, ossia conservazione di dati ove imposta dalla normativa vigente, riscontro a richieste dell'Autorità giudiziaria o di controllo. Base giuridica: obbligo legale (art. 6, par. 1, lett. c, GDPR).

Non svolgiamo attività di marketing, non cediamo dati a fini pubblicitari, non effettuiamo profilazione degli utenti e non adottiamo processi decisionali automatizzati che producano effetti giuridici o incidano in modo analogamente significativo sulla tua persona, ai sensi dell'art. 22 del GDPR.

4. Cosa diventa pubblico e cosa no

Questo punto merita attenzione, perché su una piattaforma di partecipazione una parte dei dati è destinata a essere vista da altri.

4.1 Sono visibili agli altri utenti: il tuo nome e cognome, l'immagine del profilo e la descrizione se le hai inserite, i contenuti che pubblichi con il relativo titolo, testo, immagini, categoria e posizione, i tuoi commenti, le associazioni di cui risulti socio e il comune indicato in registrazione.

4.2 Non sono mai visibili agli altri utenti: l'indirizzo di residenza, il numero civico e il CAP, le coordinate geografiche della residenza, la data di nascita, l'indirizzo di posta elettronica, il numero di telefono e la password.

4.3 Per le associazioni: sono pubblici la denominazione, il tipo di ente, il comune, il logo e la descrizione. Non sono pubblici il codice fiscale dell'ente, l'indirizzo della sede, e il nome, il codice fiscale, il ruolo e il telefono del legale rappresentante.

4.4 Ricerca. Nome e cognome sono reperibili tramite la funzione di ricerca all'interno della piattaforma da parte degli utenti registrati. I contenuti pubblicati e i profili non sono indicizzati dai motori di ricerca esterni.

4.5 Il voto nelle consultazioni è riservato: viene registrato per impedire che una stessa persona voti due volte, ma nessuno, né gli altri utenti né l'Amministrazione, può risalire al voto espresso da una singola persona. Sono resi visibili soltanto i risultati aggregati.

5. Contenuti riferiti a terzi

Sei responsabile dei contenuti che pubblichi. Ti chiediamo in particolare di non pubblicare fotografie che ritraggano persone identificabili senza il loro consenso, né dati personali di terzi quali nomi, recapiti, indirizzi o targhe.

Il Titolare si riserva la facoltà di rimuovere i contenuti che violino quanto precede, secondo quanto previsto dai Termini e Condizioni.

6. Destinatari dei dati e responsabili del trattamento

I dati non sono ceduti né diffusi. Sono comunicati unicamente ai soggetti indicati di seguito, nominati responsabili del trattamento ai sensi dell'art. 28 del GDPR ove trattino dati per conto del Titolare.

6.1 Supabase Inc., società di diritto statunitense: banca dati, autenticazione e archiviazione dei file. È il fornitore che ospita la totalità dei dati della piattaforma. Il progetto è collocato nella regione Europa Centrale (Francoforte, Germania): i dati sono conservati sul territorio dell'Unione europea.

6.2 Vercel Inc., società di diritto statunitense: esecuzione delle applicazioni e distribuzione dei contenuti. Le funzioni applicative sono configurate per essere eseguite nella regione di Francoforte (Germania).

6.3 Groq Inc. (Stati Uniti): modelli linguistici che alimentano l'assistente Alby. Vedi il punto 10.

6.4 Geoapify GmbH (Germania) e OpenStreetMap Foundation (Regno Unito), servizio Nominatim: conversione degli indirizzi in coordinate geografiche e suggerimenti durante la digitazione. Ricevono il solo testo dell'indirizzo, senza alcun dato identificativo.

6.5 Google Ireland Limited: posta elettronica utilizzata per l'invio delle comunicazioni di servizio.

6.6 Pubbliche Amministrazioni aderenti: ricevono esclusivamente i dati aggregati di cui al punto 3.4 e i contenuti già pubblici. Non ricevono elenchi di utenti, recapiti, indirizzi né dati anagrafici.

6.7 Autorità giudiziarie, forze di polizia e autorità di controllo, nei soli casi e nei limiti previsti dalla legge.

6.8 Professionisti e consulenti di cui il Titolare si avvalga per adempimenti contabili, fiscali o legali, nei limiti di quanto necessario.

7. Luogo di conservazione e trasferimenti verso Paesi terzi

7.1 I dati della piattaforma sono conservati ed elaborati su infrastrutture collocate nell'Unione europea, nella regione di Francoforte (Germania), tanto per la banca dati quanto per l'esecuzione delle applicazioni.

7.2 Alcuni dei fornitori indicati al punto 6 sono società costituite negli Stati Uniti. Pur essendo i dati conservati in Europa, la loro natura di società statunitensi comporta la possibilità di un accesso da parte della casa madre. Tale eventualità è disciplinata dalle Clausole Contrattuali Standard adottate dalla Commissione europea ai sensi dell'art. 46, par. 2, lett. c), del GDPR, integrate dalle misure supplementari previste dai relativi accordi, e, ove il fornitore vi abbia aderito, dalla decisione di adeguatezza relativa al Data Privacy Framework UE-USA.

7.3 Un trasferimento effettivo di contenuti al di fuori dell'Unione europea avviene unicamente nel caso dell'assistente Alby, descritto al punto 10: il testo della conversazione è elaborato dai sistemi di Groq Inc. negli Stati Uniti, sulla base delle medesime garanzie.

7.4 Puoi richiedere copia delle garanzie adottate scrivendo a support@mappax.org.

8. Periodo di conservazione

8.1 Dati dell'account e contenuti pubblicati: per tutto il tempo in cui l'account resta attivo.

8.2 In caso di chiusura dell'account, i dati identificativi e di contatto sono cancellati entro trenta giorni dalla richiesta. I contenuti già pubblicati vengono resi anonimi anziché rimossi, quando la loro eliminazione pregiudicherebbe la leggibilità di discussioni a cui hanno partecipato altre persone; in tal caso non è più possibile ricondurli al loro autore. Puoi comunque richiedere la rimozione integrale dei tuoi contenuti.

8.3 Le copie di sicurezza sono conservate per un massimo di trenta giorni, decorsi i quali i dati cancellati non sono più recuperabili.

8.4 Dati dei consensi e delle accettazioni: cinque anni dalla chiusura dell'account, quale prova dell'adempimento agli obblighi del GDPR.

8.5 Registri tecnici di accesso e sicurezza: dodici mesi.

8.6 Dati la cui conservazione sia imposta da un obbligo di legge: per la durata prevista dalla norma applicabile.

9. Diritti dell'interessato

Ai sensi degli artt. 15-22 del GDPR hai diritto di ottenere l'accesso ai tuoi dati personali, la loro rettifica o cancellazione, la limitazione del trattamento, la portabilità in formato strutturato e leggibile da dispositivo automatico, nonché di opporti in qualsiasi momento, per motivi connessi alla tua situazione particolare, ai trattamenti fondati sul legittimo interesse di cui ai punti 3.3, 3.4 e 3.5.

I diritti si esercitano scrivendo a support@mappax.org. Riceverai riscontro senza ingiustificato ritardo e comunque entro un mese dalla richiesta, prorogabile di due mesi in caso di particolare complessità, con informativa sui motivi della proroga.

Hai inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it), ai sensi dell'art. 77 del GDPR.

La presa visione della presente informativa non costituisce un consenso ai sensi dell'art. 6, par. 1, lett. a), del GDPR, e non è pertanto revocabile: i trattamenti descritti si fondano sulle basi giuridiche indicate al punto 3. Puoi in ogni momento chiudere l'account, cessando così il rapporto contrattuale.

10. Assistente Alby e intelligenza artificiale

Alby è un assistente conversazionale basato su un modello linguistico di grandi dimensioni. Ai sensi dell'art. 50 del Regolamento (UE) 2024/1689 sull'intelligenza artificiale, ti informiamo espressamente che stai interagendo con un sistema di intelligenza artificiale e non con una persona.

Quando utilizzi Alby, il testo che scrivi e un estratto dei contenuti pubblici della piattaforma pertinenti alla tua domanda, quali titoli di eventi e proposte e testi delle consultazioni, sono inviati a Groq Inc. per l'elaborazione della risposta. Non vengono trasmessi il tuo nome, il tuo indirizzo, i tuoi recapiti né le coordinate della tua residenza.

Le conversazioni non vengono conservate dal Titolare oltre la durata della sessione e non sono utilizzate per addestrare modelli.

Ti invitiamo a non inserire dati personali, propri o di terzi, nelle conversazioni con Alby. Le risposte sono generate automaticamente e possono contenere errori: non costituiscono consulenza di alcun genere e non provengono dalla Pubblica Amministrazione.

11. Minori

La piattaforma è riservata a chi ha compiuto diciotto anni. La data di nascita richiesta in registrazione serve a verificare tale requisito.

Non trattiamo consapevolmente dati di minori. Qualora un minore riuscisse a registrarsi, il relativo account sarà disattivato e i dati cancellati non appena il Titolare ne venga a conoscenza. Chi esercita la responsabilità genitoriale può segnalarlo scrivendo a support@mappax.org.

12. Cookie e tecnologie analoghe

La piattaforma utilizza esclusivamente cookie tecnici e strumenti di archiviazione locale necessari a mantenere attiva la sessione di autenticazione e a ricordare le preferenze di visualizzazione. Non sono utilizzati cookie di profilazione, di marketing o di analisi di terze parti, e non è pertanto richiesto alcun consenso ai sensi dell'art. 122 del D.Lgs. 196/2003.

Qualora in futuro venissero introdotti strumenti soggetti a consenso, sarà pubblicata una cookie policy dedicata e ti sarà richiesto il consenso prima della loro attivazione.

13. Misure di sicurezza

Il Titolare adotta misure tecniche e organizzative adeguate ai sensi degli artt. 24 e 32 del GDPR, tra cui: cifratura delle comunicazioni, conservazione delle password in forma non reversibile, isolamento dei dati a livello di banca dati mediante politiche che limitano l'accesso di ciascun utente ai soli dati che lo riguardano, limitazione delle richieste automatizzate e registrazione degli accessi.

Nessuna misura può garantire la sicurezza assoluta. In caso di violazione dei dati personali che comporti un rischio elevato per i tuoi diritti e libertà, sarai informato ai sensi dell'art. 34 del GDPR.

Ti raccomandiamo di utilizzare una password non impiegata su altri servizi e di non condividerla.

14. Modifiche alla presente informativa

La presente informativa può essere aggiornata a seguito di modifiche al servizio o alla normativa applicabile. La versione vigente è sempre disponibile in questa pagina, con indicazione della data di ultimo aggiornamento.

Le modifiche sostanziali ti saranno comunicate all'indirizzo di posta elettronica associato all'account, con un preavviso ragionevole rispetto alla loro efficacia.