Informativa sul trattamento dei dati personali

1.Titolare del trattamento

Il Titolare del trattamento è:

2.Tipologia di dati trattati

I dati personali oggetto di trattamento sono, a titolo esemplificativo:

• l’indirizzo IP dell’utente e i dati tecnici di connessione (tipo di browser, sistema operativo, pagina di provenienza);
• il testo dei messaggi inviati all’assistente virtuale «Assistente IA» e le risposte generate;
• un identificativo di sessione anonimo, generato dal browser e conservato nella memoria locale del dispositivo;
• l’indirizzo e-mail ed eventuali ulteriori dati personali contenuti nel messaggio, qualora l’utente scriva agli indirizzi pubblicati sul Sito;
• per una donazione: l’indirizzo e-mail, l’importo, la data e il metodo di pagamento, gli identificativi del pagamento Stripe oppure i dati del bonifico (nome dell’ordinante, codice CRO/TRN);
• per una ricevuta nominativa, inoltre: nome, cognome, codice fiscale (se posseduto) e i dati della ricevuta emessa, cioè numero e data;
• per un invito personale a donare: l’indirizzo e-mail al quale è stato inviato.

Il Titolare invita gli utenti a non inserire dati personali non necessari o dati appartenenti a categorie particolari ai sensi degli artt. 9 o 10 GDPR, in particolare nella chat dell’assistente virtuale.

3.Finalità del trattamento

I dati personali sono trattati per le seguenti finalità:

• fornire le risposte dell’assistente virtuale e mantenere il contesto della conversazione in corso;
• rispondere alle richieste di informazioni, contatto o assistenza inviate dall’utente;
• gestire le comunicazioni con l’utente conseguenti alla richiesta effettuata;
• garantire la sicurezza del Sito e prevenire abusi dei servizi automatizzati;
• registrare le donazioni, emettere e inviare le ricevute e adempiere ai relativi obblighi fiscali;
• inviare inviti personali a donare;
• adempiere agli obblighi di legge connessi a tali comunicazioni.

4.Donazioni

Le donazioni con carta, Apple Pay o Google Pay sono ricevute da Stripe sulla propria pagina di pagamento protetta. Il Titolare non riceve né conserva i dati della carta; Stripe tratta i dati di pagamento secondo la propria informativa. Dal Sito Stripe riceve soltanto l’indirizzo e-mail, l’importo e il numero interno della donazione: nome, cognome e codice fiscale non vengono trasmessi a Stripe.

Il Sito non vede i bonifici: il tesoriere li registra dall’estratto conto (importo, data, nome dell’ordinante, riferimento dell’operazione). Se dopo il bonifico si invia una richiesta di ricevuta, i dati indicati vengono confrontati con l’estratto conto prima che la ricevuta sia emessa.

La ricevuta nominativa è emessa solo su richiesta. È conservata come documento PDF e inviata all’indirizzo indicato.

L’invito personale a donare è inviato dal Congresso o da un suo dipartimento a una persona di cui già possiede l’indirizzo — ad esempio un precedente donatore o un partecipante a un’iniziativa. Alla donazione fatta tramite invito viene associata l’indicazione di chi l’ha inviato (il Congresso, un dipartimento o un progetto). Il link dell’invito contiene soltanto un codice casuale, non l’indirizzo.

Una donazione non comporta l’iscrizione a newsletter o a comunicazioni di marketing.

5.Base giuridica del trattamento

Per la chat «Assistente IA» la base giuridica è il legittimo interesse del Titolare a dare riscontro alle richieste pervenute e a proteggere il servizio da abusi (art. 6, par. 1, lett. f) GDPR). Con l’utente della chat non si instaura alcun rapporto contrattuale, pertanto non si richiamano qui le misure precontrattuali.

Per la corrispondenza via e-mail la base giuridica è l’esecuzione di misure precontrattuali adottate su richiesta dell’interessato (art. 6, par. 1, lett. b) GDPR) — ad esempio quando si tratta di collaborazione o di adesione a un’associazione — oltre al medesimo legittimo interesse (art. 6, par. 1, lett. f) GDPR).

La donazione e la ricevuta sono gestite su richiesta dell’interessato (art. 6, par. 1, lett. b) GDPR), mentre la conservazione dei documenti contabili e fiscali è un obbligo di legge (art. 6, par. 1, lett. c) GDPR).

In sintesi, per ciascun trattamento:

Chat «Assistente IA»

Base giuridicaLegittimo interesse (art. 6, par. 1, lett. f) GDPR)

ConservazioneConservata nella nostra banca dati senza cancellazione automatica; contatori tecnici e cache delle risposte fino a 24 ore

Corrispondenza via e-mail

Base giuridicaMisure precontrattuali su richiesta dell’interessato (art. 6, par. 1, lett. b) GDPR) — collaborazione, adesione a un’associazione; legittimo interesse (art. 6, par. 1, lett. f) GDPR)

ConservazioneConservata nella nostra banca dati senza cancellazione automatica

Donazione con carta o bonifico

Base giuridicaEsecuzione della richiesta dell’interessato (art. 6, par. 1, lett. b) GDPR); obblighi contabili e fiscali (art. 6, par. 1, lett. c) GDPR)

ConservazioneConservati nella nostra banca dati senza cancellazione automatica — almeno per il periodo di conservazione delle scritture previsto dalla legge (di norma 10 anni, art. 2220 c.c.)

Ricevuta nominativa per le agevolazioni fiscali

Base giuridicaRichiesta della ricevuta (art. 6, par. 1, lett. b) GDPR); obblighi fiscali (art. 6, par. 1, lett. c) GDPR)

ConservazioneAllo stesso modo — senza cancellazione automatica, almeno 10 anni

Invito personale a donare

Base giuridicaLegittimo interesse (art. 6, par. 1, lett. f) GDPR)

ConservazioneInsieme ai dati delle donazioni, senza cancellazione automatica

Sicurezza del Sito e prevenzione degli abusi

Base giuridicaLegittimo interesse (art. 6, par. 1, lett. f) GDPR)

ConservazioneFino a 24 ore; log tecnici di Cloudflare secondo la politica del fornitore

6.Modalità del trattamento

Il trattamento dei dati personali è effettuato mediante strumenti informatici e/o telematici, con logiche strettamente correlate alle finalità indicate e nel rispetto dei principi di liceità, correttezza, trasparenza e minimizzazione dei dati.

Sono adottate adeguate misure di sicurezza tecniche e organizzative per prevenire accessi non autorizzati, perdita o uso illecito dei dati.

7.Conferimento dei dati

Il conferimento dei dati personali è facoltativo e a discrezione dell’utente; tuttavia, il mancato conferimento dei dati indicati come necessari comporterà l’impossibilità per il Titolare di rispondere alla richiesta inviata dall’utente.

Per donare con carta basta l’indirizzo e-mail. Nome, cognome e codice fiscale servono solo per la ricevuta nominativa: senza di essi non è possibile emetterla, mentre la donazione resta possibile.

8.Conservazione dei dati

Le conversazioni con l’assistente virtuale sono conservate nella nostra banca dati e non vengono cancellate automaticamente.

I contatori tecnici che limitano la frequenza delle richieste e contengono l’identificativo anonimo di sessione non sopravvivono alla propria finestra temporale: al massimo 24 ore.

Le richieste al modello linguistico e le relative risposte transitano per il gateway Cloudflare AI Gateway, che le mantiene in cache fino a 24 ore per non eseguire due volte la stessa richiesta.

I log tecnici dell’infrastruttura Cloudflare contengono l’identificativo di sessione e la query di ricerca riformulata e sono conservati secondo la politica di tale fornitore.

I dati delle donazioni e le ricevute emesse sono scritture contabili. Sono conservati nella nostra banca dati e non vengono cancellati automaticamente; la legge italiana ne impone la conservazione per almeno 10 anni. Una ricevuta emessa non viene modificata né revocata.

Anche gli altri dati personali sono conservati nella nostra banca dati e non vengono cancellati automaticamente. È sempre possibile chiederne la cancellazione — si veda la sezione sui diritti dell’interessato.

9.Comunicazione e diffusione dei dati

I dati personali non saranno diffusi.

Essi potranno essere comunicati a soggetti esterni che agiscono in qualità di responsabili del trattamento ai sensi dell’art. 28 GDPR, debitamente nominati dal Titolare, esclusivamente per finalità connesse alla gestione tecnica del Sito, alle comunicazioni e alla ricezione delle donazioni, nonché al prestatore di servizi di pagamento Stripe, che tratta i dati di pagamento secondo la propria informativa. Allo stato attuale si tratta di:

Le anteprime dei video vengono caricate solo sulle pagine di progetto che contengono una mappa; il lettore YouTube si attiva unicamente dopo un clic dell’utente.

10.Trasferimento dei dati extra UE

Due trattamenti comportano un trasferimento verso gli Stati Uniti d’America: il testo dei messaggi inviati all’assistente virtuale è trasmesso a OpenAI, L.L.C., e le e-mail relative alle donazioni (compresa la ricevuta, che riporta il codice fiscale) sono inviate tramite il servizio Resend, Inc.

Il trasferimento avviene con le garanzie previste dal Capo V del GDPR: sulla base della decisione di adeguatezza della Commissione europea (EU–U.S. Data Privacy Framework), per i destinatari che vi aderiscono, oppure delle clausole contrattuali standard ai sensi dell’art. 46 GDPR. Informazioni sulle garanzie applicate e copia delle stesse possono essere richieste all’indirizzo info@congressouait.com.

Proprio per questo motivo si invita l’utente a non inserire nella chat dati personali non necessari. Gli altri trattamenti descritti nella presente informativa avvengono all’interno dell’Unione europea o nel rispetto delle medesime garanzie.

11.Decisioni automatizzate e intelligenza artificiale

Le risposte dell’assistente virtuale sono generate automaticamente da un modello linguistico sulla base dei materiali pubblicati dal Congresso.

Non si tratta di un processo decisionale automatizzato ai sensi dell’art. 22 GDPR: la risposta ha carattere meramente informativo, non produce effetti giuridici nei confronti dell’utente e non incide sui suoi diritti. Non viene effettuata alcuna profilazione.

La risposta può contenere imprecisioni e non sostituisce la consulenza di un legale o di un medico, né il ricorso all’autorità competente.

12.Cookie e archiviazione locale

Il Sito non utilizza strumenti di analisi statistica, di profilazione o di marketing.

Sono impiegati esclusivamente strumenti tecnicamente necessari:

• il cookie «cnaui_lang», che conserva la lingua scelta tramite il selettore. Dura un anno e serve soltanto a far aprire la pagina iniziale nella lingua scelta, invece di ricavarla ogni volta dalle impostazioni del browser;
• Cloudflare Turnstile, il controllo antiabuso che precede il primo messaggio inviato all’assistente virtuale e l’invio dei moduli di donazione, e che può installare un proprio cookie tecnico;
• quattro voci di archiviazione locale (local storage) dell’assistente virtuale: l’identificativo anonimo della sessione di chat, l’esito del controllo antiabuso, la chiusura del suggerimento di apertura della chat e la dimensione scelta per la finestra della chat;
• se si apre un invito personale a donare, una voce di archiviazione locale con il suo codice, perché l’invito non vada perso se si torna sul Sito più tardi. Contiene soltanto il codice, non l’indirizzo;
• durante il pagamento sulla pagina di Stripe, l’importo e l’indirizzo e-mail nell’archiviazione di sessione (session storage) della scheda, perché dopo un pagamento annullato il modulo si riapra compilato. La voce è cancellata non appena si torna sul Sito e comunque alla chiusura della scheda.

Tali elementi possono essere rimossi in qualsiasi momento cancellando i dati del sito dalle impostazioni del browser. Servono soltanto a fornire il servizio richiesto dall’utente, pertanto non è necessario il suo consenso. Sulla pagina di pagamento di Stripe operano i cookie di Stripe, secondo la sua informativa.

13.Minori

Il Sito e l’assistente virtuale non sono destinati a persone di età inferiore ai 14 anni (art. 2-quinquies del Codice in materia di protezione dei dati personali).

Il Titolare non raccoglie consapevolmente dati personali di minori. Qualora un genitore o un tutore ritenga che un minore abbia fornito tali dati, è sufficiente scrivere all’indirizzo sopra indicato: i dati saranno cancellati.

14.Diritti dell’interessato

L’interessato può esercitare in qualsiasi momento i diritti previsti dagli artt. 15-22 GDPR, tra cui:

• diritto di accesso ai dati personali;
• diritto di rettifica o cancellazione;
• diritto di limitazione del trattamento;
• diritto di opposizione al trattamento;
• diritto alla portabilità dei dati, ove applicabile.

Le richieste possono essere inviate al Titolare all’indirizzo e-mail info@congressouait.com. I dati che la legge impone di conservare — le registrazioni delle donazioni e le ricevute emesse — non vengono cancellati prima della scadenza del relativo periodo (art. 17, par. 3, lett. b) GDPR); gli altri sono cancellati o resi anonimi.

Si richiama separatamente l’attenzione su un punto: l’interessato ha il diritto di opporsi in qualsiasi momento ai trattamenti fondati sul legittimo interesse del Titolare, compreso il trattamento dei propri messaggi nella chat (art. 21 GDPR).

15.Diritto di reclamo

L’interessato ha il diritto di proporre reclamo all’Autorità di controllo competente — in Italia il Garante per la protezione dei dati personali — secondo le modalità previste dall’art. 77 GDPR, qualora ritenga che il trattamento dei propri dati avvenga in violazione della normativa vigente.