Informativa sulla privacy — ASD Virtus Adda
Informativa resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (GDPR).
Ultimo aggiornamento: 6 ottobre 2026
1. Titolare del trattamento
Associazione Sportiva Dilettantistica Virtus Adda Sede legale: Via Monte Grappa 34 — 20069 Vaprio d'Adda (MI) Sede operativa: Via Mons. Grisetti 5 — 20056 Trezzo sull'Adda (MI) C.F. e P.IVA 13604480965 — Tel. 02.72193451 Iscritta al Registro Nazionale delle Attività Sportive Dilettantistiche: F.I.G.C. 962964 — C.S.I. 02402627 PEC: asdvirtusadda@pec.it Email della società: asdvirtusadda@gmail.com Email per le richieste sui dati personali: info@asdvirtusadda.it
Responsabile della protezione dei dati (DPO): non nominato. Per un'associazione sportiva dilettantistica la nomina non è obbligatoria (art. 37 GDPR); per ogni questione sui dati personali ci si rivolge direttamente al titolare agli indirizzi qui sopra.
2. A cosa si applica
Questa informativa riguarda il sito www.asdvirtusadda.it e i quattro portali della società, usabili da browser e come app installabili sul telefono:
| Portale | Indirizzo | Chi lo usa | A cosa serve |
|---|---|---|---|
| Campi | campi.asdvirtusadda.it | staff e dirigenti | prenotazione e occupazione dei campi |
| Club | club.asdvirtusadda.it | staff e famiglie | rosa, convocazioni, presenze, comunicazioni |
| Coach | coach.asdvirtusadda.it | allenatori | esercizi, allenamenti, valutazioni tecniche |
| Gestione | gestione.asdvirtusadda.it | segreteria e amministratori | anagrafiche, configurazione, report |
I dati stanno in un unico archivio condiviso dai quattro portali: quello che segue vale per tutti, con le differenze di visibilità descritte al §7.
3. Quali dati trattiamo
3.1 Dati di chi ha un account (staff, dirigenti, genitori, atleti maggiorenni)
- indirizzo email (che è anche il nome utente), nome e cognome, ruolo nella società e squadre di competenza;
- password, conservata solo come hash (non è leggibile, nemmeno da chi amministra il sistema) ed eventuale segreto per l'accesso a due fattori, conservato cifrato;
- data dell'ultimo accesso e conteggio dei tentativi falliti, per il blocco temporaneo dopo ripetuti errori;
- identificativi per le notifiche: token del dispositivo (app native, via Firebase Cloud Messaging) o sottoscrizione Web Push del browser.
3.2 Dati degli atleti (in gran parte minori)
- anagrafica: cognome, nome, data e luogo di nascita, nazionalità, sesso, email e telefono, foto tessera;
- contatti del genitore/tutore: nome, email, telefono;
- dati sportivi: ruolo, piede preferito, numero di maglia, squadra e gruppo;
- convocazioni, presenze e assenze, risposte della famiglia alle convocazioni ed eventuale motivo indicato;
- valutazioni tecniche espresse dagli allenatori (voti e note per area tecnica), e obiettivi di sviluppo individuali;
- documenti caricati: certificato medico, documento d'identità per le trasferte, moduli firmati;
- messaggi scambiati in chat fra staff e famiglie;
- consensi rilasciati dal genitore/tutore, con data e autore (§9).
3.3 Categorie particolari — dati di salute (art. 9 GDPR)
Sono trattati solo questi, e nel minimo necessario:
- scadenza del certificato medico di idoneità sportiva: è un dato amministrativo (una data), serve ad avvisare la famiglia e a impedire la convocazione di chi non è coperto;
- il certificato stesso, se caricato come documento;
- note mediche e allergie nella scheda dell'atleta, se la famiglia le comunica (es. un'allergia da conoscere in trasferta);
- motivo dell'indisponibilità (infortunio / malattia / motivi personali) e l'eventuale nota di dettaglio.
Nell'app non si registrano diagnosi né referti: quelli restano fuori. Non si chiedono e non si conservano il codice fiscale ne' i dati fiscali dell'atleta: al tesseramento e alle quote pensa la società con i suoi strumenti, qui non servivano. I campi note mediche e allergie sono cifrati nel database (§8).
3.4 Dati d'uso e tecnici
- prenotazioni dei campi, allenamenti, trasferte, contenuti tecnici;
- registro delle operazioni (audit): per ogni dato si conserva chi l'ha creato o modificato e quando;
- log tecnici del server (errori, richieste), conservati 30 giorni e poi cancellati automaticamente;
- nelle segnalazioni inviate dagli utenti: pagina da cui è partita e tipo di browser/dispositivo, per poter riprodurre il problema;
- per l'assistente AI del portale Coach, usato solo dagli allenatori abilitati: chi lo ha usato, quando, quanto ha consumato e se è andata a buon fine. Il testo delle richieste e delle risposte non viene conservato (§11).
4. Perché li trattiamo e su quale base
| Finalità | Base giuridica |
|---|---|
| Gestione del rapporto associativo e sportivo: rosa, convocazioni, presenze, comunicazioni alle famiglie | Art. 6.1.b — contratto/rapporto associativo |
| Prenotazione e organizzazione dei campi e delle attività | Art. 6.1.b e 6.1.f |
| Sicurezza degli accessi, autenticazione, blocco dopo tentativi falliti, registro delle operazioni | Art. 6.1.f — legittimo interesse alla sicurezza |
| Adempimenti di legge e regolamenti sportivi (tesseramento, assicurazione, contabilità) | Art. 6.1.c — obbligo legale |
| Avvisi e notifiche sulle attività (convocazioni, promemoria, riepilogo settimanale, scadenza del certificato) | Art. 6.1.b; per le notifiche push anche 6.1.a — consenso dato attivandole sul dispositivo |
| Verifica dell'idoneità sportiva (scadenza e certificato medico) | Art. 9.2.b/h — obblighi in materia sportiva e di tutela sanitaria, unitamente al consenso esplicito del genitore (§9) |
| Note mediche, allergie, motivo dell'indisponibilità | Art. 9.2.a — consenso esplicito del genitore/tutore |
| Uso di foto e immagini | Art. 6.1.a — consenso, sempre revocabile |
| Valutazioni tecniche degli allenatori | Art. 6.1.b e 6.1.f — attività didattico-sportiva |
| Risposta a richieste inviate via email o dai moduli | Art. 6.1.b / 6.1.a |
| Assistente AI per la preparazione degli esercizi, e conteggio del suo uso (solo staff abilitato) | Art. 6.1.f — legittimo interesse a fornire strumenti di lavoro allo staff e a controllarne il costo |
Non si fa profilazione né alcun processo decisionale automatizzato che produca effetti giuridici sugli interessati (art. 22 GDPR). Le valutazioni tecniche sono espresse da persone: l'app le registra e le mostra, non le calcola. Anche l'assistente AI del Coach propone soltanto una bozza di esercizio, che l'allenatore rivede: non decide nulla su nessuno e non riceve dati degli atleti.
I dati non sono usati per finalità commerciali e non sono ceduti a terzi per marketing.
5. Chi conferisce i dati e cosa succede se non li conferisce
I dati anagrafici e di contatto sono necessari per il tesseramento e la partecipazione all'attività: senza di essi non è possibile inserire l'atleta in rosa né convocarlo. Il certificato medico è obbligatorio per legge per l'attività sportiva: in sua assenza l'atleta non può essere convocato — è l'app stessa a impedirlo.
Sono invece facoltativi e non pregiudicano la partecipazione: la foto tessera, le note mediche e le allergie (utili ma non obbligatorie), il consenso all'uso delle immagini, le notifiche push.
6. Come vengono raccolti
- inseriti dallo staff in fase di tesseramento;
- compilati dalla famiglia attraverso il modulo di iscrizione raggiungibile da un link che l'allenatore o il dirigente condivide. Il link non crea nulla da solo: la richiesta resta in attesa finché un responsabile non la approva;
- caricati dalla famiglia o dallo staff (documenti, foto);
- generati dall'uso (presenze, risposte alle convocazioni, messaggi).
7. Chi può vederli
L'accesso è limitato per ruolo e per squadra:
- l'allenatore e il dirigente vedono solo gli atleti delle proprie squadre;
- il genitore/tutore vede solo i propri figli, e di loro solo i dati che lo riguardano;
- segreteria e amministratori vedono l'intera anagrafica;
- i documenti e la foto non sono mai raggiungibili da un indirizzo pubblico: si scaricano solo dopo l'accesso e solo se si ha diritto a quel determinato atleta.
Ogni operazione resta registrata con l'indicazione di chi l'ha eseguita.
8. Come sono protetti
- HTTPS/TLS su tutte le connessioni;
- password conservate come hash, mai in chiaro;
- cifratura a riposo dei campi più delicati: note mediche, allergie, note sull'indisponibilità, segreti dell'accesso a due fattori, credenziali dei servizi esterni;
- accesso a due fattori disponibile per gli account;
- separazione per ruolo applicata sul server, non solo nascondendo i pulsanti nell'interfaccia;
- registro delle operazioni su ogni modifica;
- backup del database con cadenza giornaliera, conservati 30 giorni sulla stessa infrastruttura;
- niente risorse esterne: le pagine non chiedono nulla a siti di terzi, così navigando in un portale non si lascia traccia altrove (§15);
- istruzioni al browser su cosa può caricare ed eseguire (Content-Security-Policy), per limitare i danni se un giorno del codice estraneo finisse in una pagina;
- connessione in chiaro rifiutata dal browser per un anno dopo la prima visita (HSTS), così non si torna su http nemmeno per sbaglio.
9. Minori e consensi
L'attività riguarda in prevalenza minori. In Italia l'età per il consenso digitale è 14 anni (art. 8 GDPR, art. 2-quinquies del D.lgs. 196/2003): al di sotto, i consensi sono rilasciati da chi esercita la responsabilità genitoriale.
L'app registra tre consensi distinti per ciascun atleta, ognuno con data e nome di chi l'ha rilasciato, e ognuno revocabile in qualsiasi momento:
- 1. Trattamento dei dati personali (informativa generale);
- 2. Dati sanitari — categoria particolare, art. 9.2.a;
- 3. Foto e immagini — uso e pubblicazione.
La revoca non tocca la liceità di quanto trattato prima. Revocare il consenso ai dati sanitari comporta la cancellazione delle note mediche e delle allergie; la sola scadenza del certificato resta, perché senza di essa la società non può verificare un obbligo di legge.
Il modulo di iscrizione online richiede una spunta esplicita e non pre-compilata, con il rimando a questa informativa.
La società ha inoltre adottato, in materia di tutela dei minori, il Modello di Organizzazione e Controllo dell'Attività Sportiva e il Codice di Condotta per la tutela dei minori e la prevenzione di abusi, violenze e discriminazioni (approvato con verbale del Consiglio Direttivo n. 2 del 21/01/2025), pubblicati su www.asdvirtusadda.it/policies-e-modulistica/.
Le segnalazioni di abusi, violenze o discriminazioni si inviano — anche in forma anonima — al ReCAViD (Responsabile contro Abusi, Violenze e Discriminazioni, che ha anche le funzioni di Responsabile per la Tutela dei Minori) all'indirizzo recavid@teamartist.com. Non passano dai portali qui descritti.
Su quelle segnalazioni il Modello e il Codice di Condotta impongono obblighi specifici: tutela dell'anonimato di chi segnala e della riservatezza della presunta vittima; tracciabilità della segnalazione e dell'istruttoria; conservazione della documentazione e dei provvedimenti per un tempo non superiore a quello necessario. Quando la segnalazione riguarda un minore, i genitori o il tutore vengono informati, a meno che informarli non costituisca un rischio per la sicurezza del minore stesso; le informazioni sono inoltre comunicate al Safeguarding Officer dell'ente sportivo di affiliazione.
10. Per quanto tempo li conserviamo
| Dato | Conservazione |
|---|---|
| Anagrafica atleta e dati sportivi | per la durata del tesseramento e 5 anni dall'ultima stagione, per esigenze assicurative e di prova |
| Documenti (certificati, identità, moduli) | fino alla scadenza e 2 anni, poi cancellati |
| Note mediche, allergie, indisponibilità | fino alla revoca del consenso o alla fine del rapporto |
| Presenze, convocazioni, valutazioni | fine del rapporto + 2 stagioni |
| Messaggi in chat | 2 stagioni |
| Account e credenziali | fino alla chiusura dell'account |
| Token per le notifiche | finché il dispositivo resta iscritto; rimossi all'uscita, alla disinstallazione o quando il servizio li segnala non più validi |
| Log tecnici del server | 30 giorni (cancellazione automatica) |
| Registro d'uso dell'assistente AI del Coach | 12 mesi (cancellazione automatica) |
| Registro delle operazioni | insieme al dato a cui si riferisce |
| Dati necessari per obblighi fiscali/contabili | 10 anni (art. 2220 c.c.) |
Scaduti i termini i dati sono cancellati o resi anonimi.
Nota tecnica per la società. La cancellazione dall'app è di norma
logica: il dato sparisce dalle viste ma resta nel database finché non viene
rimosso definitivamente. Per una cancellazione fisica — quella che serve a
soddisfare una richiesta ex art. 17 — occorre l'intervento dell'amministratore.
Va previsto nella procedura interna (§16).
11. A chi possono essere comunicati
I dati non sono diffusi. Possono essere trattati, per conto della società e come responsabili del trattamento (art. 28 GDPR):
- Google Ireland Ltd / Google LLC — Firebase Cloud Messaging, consegna delle notifiche push alle app native (riceve il token del dispositivo, non i dati dell'atleta);
- OVH — infrastruttura che ospita i quattro portali (server dedicato gestito dalla società), con centro dati a Milano, Italia;
- Aruba S.p.A. — infrastruttura che ospita il sito www.asdvirtusadda.it, in Italia;
- Aruba S.p.A. — anche come fornitore del servizio di posta (SMTP) da cui partono gli avvisi;
- OpenAI (OpenAI Ireland Ltd e OpenAI, L.L.C.) — modello linguistico dell'assistente AI del portale Coach, usato dagli allenatori abilitati per preparare gli esercizi. Riceve solo il contenuto tecnico dell'esercizio (fascia d'età, obiettivi, numero di giocatori, durata, materiali, testi e disegno dell'esercizio, eventuali note dell'allenatore): non riceve nomi, dati o valutazioni degli atleti, né l'identità dell'allenatore. Agli allenatori è chiesto di non scrivere dati personali nelle note.
Inoltre, quando previsto da legge o regolamento: la F.I.G.C. (matricola 962964) e il C.S.I. (02402627), enti a cui la società è affiliata, la compagnia assicurativa, le autorità competenti.
La società si avvale inoltre della piattaforma gestionale TeamArtist per l'amministrazione associativa, che ospita anche la casella del ReCAViD (§9). Il fornitore della piattaforma tratta i dati dei tesserati per conto della società ed è pertanto responsabile del trattamento ai sensi dell'art. 28 GDPR.
I quattro portali descritti in questa informativa (Campi, Club, Coach e Gestione) sono invece di proprietà dell'associazione: non c'è nessun fornitore esterno che li gestisca, e chi li sviluppa e li mantiene agisce sotto l'autorità del titolare (art. 29 GDPR).
12. Trasferimenti fuori dall'Unione europea
L'uso di Firebase Cloud Messaging può comportare il trasferimento del token del dispositivo verso gli Stati Uniti. Il trasferimento è coperto dalle garanzie previste dagli artt. 44 e seguenti GDPR: EU-US Data Privacy Framework (Google LLC è tra i soggetti certificati) e Clausole Contrattuali Standard.
Anche l'assistente AI del portale Coach (OpenAI) può comportare un trasferimento verso gli Stati Uniti del contenuto tecnico degli esercizi, che di norma non contiene dati personali. Il trasferimento è coperto dalle Clausole Contrattuali Standard del contratto sul trattamento dei dati di OpenAI. I dati inviati non sono usati per addestrare i modelli e sono conservati dal fornitore per un periodo limitato (fino a 30 giorni) per il controllo degli abusi.
Tutti gli altri trattamenti avvengono su infrastrutture situate in Italia.
13. Notifiche
I portali inviano avvisi via email e notifiche push: nuova convocazione, promemoria prima dell'evento, sollecito quando manca la risposta, riepilogo settimanale degli impegni, scadenza del certificato medico, comunicazioni della società.
Le notifiche push si disattivano in qualsiasi momento dalle impostazioni del dispositivo o del browser; nel portale sono disponibili preferenze per scegliere i canali. Disattivarle non limita le altre funzioni, ma gli avvisi organizzativi non arriveranno più: restano consultabili accedendo al portale.
14. Diritti dell'interessato
Ai sensi degli artt. 15-22 GDPR si può chiedere in ogni momento: accesso ai propri dati, rettifica, cancellazione, limitazione, opposizione e portabilità; e revocare i consensi prestati.
Le richieste vanno inviate a info@asdvirtusadda.it; la società risponde entro un mese (art. 12.3). Per i minori le esercita chi ne ha la responsabilità genitoriale.
Alcuni dati sono già consultabili e modificabili direttamente nel portale Club: la propria scheda, i contatti, le presenze e i consensi.
È sempre possibile proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).
15. Cookie
I portali usano solo cookie tecnici: il cookie di sessione dell'autenticazione (uno per portale), un cookie tecnico che protegge i moduli dagli invii falsificati (antiforgery) e alcune preferenze di visualizzazione che restano nel browser. Non ci sono cookie di profilazione né di terze parti, e per i soli cookie tecnici non è richiesto il consenso preventivo: per questo le pagine dei portali non mostrano alcun banner di scelta.
Le pagine dei portali non caricano niente da altri siti. Caratteri, fogli di stile, immagini e codice arrivano tutti dal server della società. Fino al 15/08/2026 i caratteri tipografici venivano chiesti a Google Fonts: era sufficiente ad esporre a Google l'indirizzo IP del visitatore e la pagina che stava aprendo, e dal 16/08/2026 non accade più. È il motivo per cui, aprendo un portale, non partono richieste verso terzi di alcun tipo.
Il sito www.asdvirtusadda.it è una installazione separata e ha una propria Cookie Policy, disponibile su www.asdvirtusadda.it/cookie-policy/, con il relativo banner di scelta.
16. Modifiche
La società può aggiornare questa informativa; la versione vigente è pubblicata su www.asdvirtusadda.it/privacy-policy ed è raggiungibile da ogni portale all'indirizzo /privacy, con la data dell'ultimo aggiornamento.