Informativa Privacy
Ultimo aggiornamento: 6/20/2026
Informativa sul trattamento dei dati personali
Resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 ("GDPR") e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018 ("Codice Privacy").
Ultimo aggiornamento: 2026-06-20
1. Titolare del trattamento
Il Titolare del trattamento dei dati personali raccolti tramite questa applicazione (di seguito "App" o "Servizio") è la singola Congregazione cliente che utilizza il Servizio per la gestione delle proprie attività organizzative e dei propri proclamatori.
Il Fornitore del Servizio che agisce in qualità di Responsabile del trattamento ai sensi dell'art. 28 GDPR è il gestore della piattaforma Congregation Manager, raggiungibile all'indirizzo privacy@congregation-manager.com.
Ogni Congregazione, in qualità di Titolare, è tenuta a designare un proprio referente privacy e, se ricorrono le condizioni dell'art. 37 GDPR, un Responsabile della Protezione dei Dati (DPO).
2. Categorie di dati trattati
L'App tratta le seguenti categorie di dati personali:
- Dati identificativi e di contatto: nome, cognome, data di nascita, indirizzo, telefono, email.
- Credenziali di accesso: email, password cifrata con algoritmo bcrypt, eventuale secondo fattore TOTP.
- Dati relativi alla vita di congregazione (categoria particolare ex art. 9 GDPR — dati che rivelano convinzioni religiose): data di battesimo, privilegi di servizio (anziano, servitore di ministero, pioniere), incarichi nelle adunanze, rapporti di servizio di campo, partecipazione ad assegnazioni teocratiche.
- Dati tecnici di navigazione: indirizzo IP (in forma anonimizzata o hashata per il solo scopo di sicurezza e prevenzione abusi), user-agent, log di accesso, identificativi di sessione.
- Preferenze cookie e consensi registrati tramite il banner cookie.
3. Finalità e base giuridica del trattamento
| Finalità | Base giuridica |
|---|---|
| Erogare le funzionalità del Servizio (gestione anagrafiche, programmi adunanze, rapporti S-1, ecc.) | Art. 6.1.b — Esecuzione del contratto di servizio |
| Trattamento di dati che rivelano l'appartenenza religiosa | Art. 9.2.d — Trattamento effettuato nell'ambito delle attività legittime di un ente senza scopo di lucro che persegue finalità religiose, sui dati dei soli membri |
| Adempimenti di legge (fiscali, contabili, antifrode) | Art. 6.1.c — Obbligo di legge |
| Sicurezza informatica, log, prevenzione abusi | Art. 6.1.f — Legittimo interesse del Titolare |
| Cookie di preferenza e statistici aggregati | Art. 6.1.a — Consenso (revocabile in qualsiasi momento) |
| Invio di comunicazioni di servizio (notifiche, promemoria) | Art. 6.1.b — Esecuzione del contratto |
I dati di categoria particolare (art. 9 GDPR) sono trattati esclusivamente all'interno della Congregazione di appartenenza e non vengono mai comunicati a terzi al di fuori delle finalità religiose dichiarate.
4. Conferimento dei dati
Il conferimento dei dati necessari all'erogazione del Servizio è obbligatorio: il loro mancato conferimento rende impossibile l'utilizzo dell'App. Il conferimento dei dati facoltativi (es. fotografia, note personali) è libero.
5. Modalità del trattamento e sicurezza
Il trattamento è effettuato con strumenti elettronici, adottando misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR:
- Cifratura in transito: TLS 1.3 obbligatorio su tutte le comunicazioni HTTPS.
- Cifratura a riposo: AES-256 sul database e sui backup.
- Cifratura applicativa di campi particolarmente sensibili tramite la funzione
pgp_sym_encryptdi PostgreSQL con chiave segretaAPP_ENCRYPTION_KEYcustodita esclusivamente sul lato server. - Row-Level Security (RLS) attiva su tutte le tabelle: ogni utente accede solo ai dati della propria Congregazione.
- Autenticazione: password hashate con bcrypt, protezione contro password compromesse tramite HaveIBeenPwned, possibilità di autenticazione a due fattori (TOTP).
- Audit log delle operazioni amministrative e delle modifiche ai rapporti di servizio.
- Backup giornalieri automatici con Point-in-Time Recovery.
- Separazione dei ruoli applicativi (utente, COBE, segretario, super admin) con permessi granulari per modulo.
6. Dove sono salvati i dati (hosting e localizzazione)
I dati personali sono ospitati su infrastruttura Lovable Cloud, basata su Supabase (PostgreSQL gestito), che a sua volta poggia sui data center di Amazon Web Services (AWS) in Unione Europea (regioni eu-central-1 Francoforte ed eu-west-1 Irlanda, secondo allocazione automatica del provider).
I provider rispettano i seguenti standard di sicurezza:
- ISO/IEC 27001 — Sistema di gestione della sicurezza delle informazioni
- ISO/IEC 27017 — Sicurezza dei servizi cloud
- ISO/IEC 27018 — Protezione dei dati personali nel cloud
- SOC 1 / SOC 2 Type II — Controlli operativi
- GDPR-ready — Conformità Regolamento UE 2016/679
Nessun dato è ospitato in paesi extra-UE in modalità ordinaria. Per eventuali servizi accessori che dovessero comportare un trasferimento (es. provider email transazionali), il trasferimento avviene esclusivamente sulla base delle Clausole Contrattuali Standard (SCC) approvate dalla Commissione europea con decisione (UE) 2021/914.
7. Sub-responsabili (sub-processor)
| Soggetto | Ruolo | Sede | Garanzie |
|---|---|---|---|
| Lovable AB | Fornitore piattaforma (Responsabile) | Svezia (UE) | DPA + SCC |
| Supabase Inc. | Database e autenticazione (Sub-responsabile) | USA con infrastruttura UE | DPA + SCC + ISO 27001 |
| Amazon Web Services EMEA SARL | Hosting infrastrutturale | UE (Lussemburgo) | DPA + SCC + ISO 27001/27017/27018 |
| Resend Inc. (eventuale) | Invio email transazionali | USA | DPA + SCC |
| Google Ireland Ltd. (solo per Google Sign-In) | Autenticazione OAuth | UE (Irlanda) | DPA |
L'elenco aggiornato dei sub-responsabili è disponibile su richiesta scrivendo a privacy@congregation-manager.com.
8. Periodi di conservazione
| Categoria di dati | Periodo di conservazione |
|---|---|
| Anagrafica proclamatore attivo | Per tutta la durata dell'iscrizione + 12 mesi |
| Rapporti di servizio di campo (S-1) | 5 anni (raccomandazione organizzativa) |
| Dati di un account cancellato | Anonimizzati entro 30 giorni dalla richiesta di cancellazione, salvo obblighi di legge |
| Log di accesso e sicurezza | Massimo 12 mesi |
| Backup completi del database | 30 giorni in modalità rolling |
| Registrazione consensi cookie | 24 mesi o fino alla revoca |
| Messaggi di contatto inviati dal sito | 24 mesi |
Al termine del periodo, i dati sono cancellati o resi anonimi in modo irreversibile.
9. Diritti dell'interessato (artt. 15-22 GDPR)
L'interessato ha il diritto di:
- Accesso (art. 15) — ottenere conferma del trattamento e copia dei dati;
- Rettifica (art. 16) — correggere dati inesatti o incompleti;
- Cancellazione (art. 17) — "diritto all'oblio", nei limiti di legge;
- Limitazione (art. 18) — sospendere il trattamento;
- Portabilità (art. 20) — ricevere i propri dati in formato strutturato (JSON);
- Opposizione (art. 21) — opporsi al trattamento basato su legittimo interesse;
- Revoca del consenso (art. 7.3) — in ogni momento, senza pregiudicare la liceità del trattamento svolto prima della revoca;
- Reclamo (art. 77) — al Garante per la protezione dei dati personali (www.garanteprivacy.it).
Per esercitare i diritti, è disponibile in /app/impostazioni → I miei dati un pannello per l'export e la richiesta di cancellazione. In alternativa, scrivere a privacy@congregation-manager.com.
Riscontro entro 30 giorni (prorogabili di ulteriori 60 giorni in casi complessi, con preavviso motivato).
10. Processi decisionali automatizzati e profilazione
L'App non effettua processi decisionali automatizzati né profilazione ai sensi dell'art. 22 GDPR.
11. Minori
L'App non è destinata a minori di 14 anni. Per gli iscritti minorenni che risultano come "figli" nella Congregazione, i dati sono trattati sotto la responsabilità dei genitori/tutori che hanno conferito il consenso.
12. Modifiche all'informativa
Eventuali aggiornamenti dell'informativa saranno comunicati tramite l'App. La versione storica è consultabile presso il Titolare. La versione attualmente in vigore è la v1 del 2026-06-20.
Per ogni domanda relativa alla privacy: privacy@congregation-manager.com