Informativa privacy

Informativa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 ("GDPR") e del D.lgs. 196/2003 ("Codice privacy"). Versione del 27 ottobre 2026.

Questa pagina spiega in parole semplici quali dati personali tratta KHM Congregation Manager ("KHM", "il servizio"), chi ne risponde, perché, per quanto tempo e a chi vengono comunicati. I dati identificativi di chi fornisce il servizio ("il Fornitore") sono riportati in fondo alla pagina.

1. Chi decide sui dati: due ruoli diversi

a) I dati della congregazione. Tutto ciò che una congregazione inserisce o produce nell'app sui propri membri e sulle persone con cui è in contatto (anagrafica, incarichi, programmi, rapporti di servizio, territori e così via) è sotto la responsabilità della congregazione, che è il titolare del trattamento. Il Fornitore tratta questi dati solo per conto della congregazione e secondo le sue istruzioni, come responsabile del trattamento (art. 28 GDPR). I rapporti tra i due sono regolati dall'Accordo sul trattamento dei dati, che l'anziano che registra la congregazione accetta per conto di questa.

Se sei membro di una congregazione e hai domande sui tuoi dati, il primo riferimento è il corpo degli anziani della tua congregazione. Il Fornitore lo aiuta a risponderti (vedi la sezione 9).

b) I dati che il Fornitore tratta per sé. Il Fornitore è titolare del trattamento per:

• i dati di chi visita il sito pubblico e di chi scrive con il modulo contatti;
• i dati dell'anziano che registra la congregazione e sottoscrive l'abbonamento (registrazione, verifica, contratto, pagamenti, adempimenti fiscali);
• i dati tecnici che servono a proteggere la piattaforma.

Per ogni questione sulla privacy: privacy@congregation-manager.com.

2. Quali dati

2.1 Dati inseriti dalla congregazione (titolare: la congregazione)

• Anagrafica dei membri: nome e cognome, sesso, data di nascita, indicazione di minore età, indirizzo, telefono, email, contatti di emergenza, gruppo di servizio, lingua, periodi di assenza.
• Vita di congregazione: data di battesimo, stato (proclamatore, non battezzato e simili), privilegi e qualifiche (anziano, servitore di ministero, pioniere…), parti alle adunanze, incarichi nei reparti, rapporti di servizio di campo, presenze, territori assegnati, turni (pulizie, testimonianza pubblica, uscieri…), programma della visita del sorvegliante di circoscrizione.
• Territori: confini, numero, nome e storico delle assegnazioni ai proclamatori. Delle persone che abitano nei territori l'app non conserva nomi, numeri di telefono né indirizzi; per questo non gestisce la testimonianza per lettera e per telefono. L'unica eccezione sono gli indirizzi da non visitare: via, numero civico, interno, frazione e data della segnalazione, senza nome della persona. Il numero stimato di civici ed edifici di un territorio si calcola da OpenStreetMap e si salva solo come numero; l'elenco dei civici per via si legge al momento da OpenStreetMap e non viene salvato.
• Dati importati: se la congregazione importa i propri dati da un altro programma (per esempio NW Scheduler), si importano solo le categorie elencate qui; numeri di telefono e indirizzi delle persone dei territori vengono scartati.
• Note scritte dagli anziani o dagli incaricati.
• Persone esterne con cui la congregazione è in contatto: oratori e fratelli di altre congregazioni, il sorvegliante di circoscrizione e la moglie, eventuali ospiti.
• Messaggi Telegram: solo se la congregazione collega un proprio gruppo o canale al bot della piattaforma vengono salvati i messaggi di quel gruppo (testo, nome di chi scrive, data, eventuali file o link). Dalle chat non collegate non si salva nulla.
• Email inviate dall'app (fogli di assegnazione S-89, programmi, promemoria): destinatario, oggetto, data, esito dell'invio ed eventuale conferma di apertura (sezione 2.5).

Questi dati rivelano l'appartenenza religiosa e sono quindi categorie particolari di dati (art. 9 GDPR). La base giuridica la individua la congregazione come titolare: di regola è il trattamento svolto da un ente religioso sui propri membri nell'ambito delle sue attività legittime (art. 9, par. 2, lett. d, GDPR). Questi dati non escono dalla congregazione, salvo verso i fornitori tecnici elencati nella sezione 6.

Minori. In anagrafica possono comparire anche minorenni, per esempio figli di proclamatori. I loro dati li inserisce la congregazione, come titolare, che decide se sono necessari e informa i genitori o chi esercita la responsabilità genitoriale. Il Fornitore non raccoglie dati direttamente dai minori e l'app non prevede un meccanismo per raccogliere il consenso dei genitori. Anche l'eventuale accesso di un minore all'app (per esempio con un codice personale) lo decide la congregazione.

2.2 Account degli utenti

Nome, email, password (conservata dal servizio di autenticazione solo in forma di hash, mai in chiaro), eventuale secondo fattore di accesso (TOTP), ruolo e permessi, data dell'ultimo accesso. Chi entra con i codici forniti dagli anziani usa il codice della congregazione e un codice personale. Chi usa l'app per iPhone o Android e accetta le notifiche registra anche un identificativo del dispositivo per le notifiche push (token, tipo di sistema, versione dell'app, data dell'ultimo uso). Gli account servono a usare l'app della congregazione (titolare: la congregazione). Per l'anziano che registra la congregazione gli stessi dati servono anche al contratto con il Fornitore (titolare: il Fornitore).

2.3 Registrazione e abbonamento (titolare: il Fornitore)

Nome, email, congregazione indicata, dati usati per verificare che chi si registra sia un anziano di quella congregazione, accettazione dei Termini e dell'accordo sul trattamento dei dati (data e versione dei testi), stato dell'abbonamento e dei pacchetti, identificativi di cliente e di abbonamento presso Stripe, importi e date dei pagamenti. I dati della carta di pagamento non passano dai sistemi del Fornitore: li tratta Stripe.

2.4 Sito pubblico e modulo contatti (titolare: il Fornitore)

• Modulo contatti: nome, email, messaggio, tipo di browser (user agent) e un'impronta (hash) dell'indirizzo IP, usata solo per limitare gli invii automatici. L'indirizzo IP in chiaro non viene salvato. L'impronta rende difficile risalire all'IP, ma non è un dato anonimo.
• Navigazione: come per ogni sito, le richieste passano dai server di Cloudflare, che trattano l'indirizzo IP per consegnare le pagine e proteggere il sito dal traffico automatico.
• Statistiche delle visite: usiamo Cloudflare Web Analytics, che conta le visite in forma aggregata (pagina vista, sito di provenienza, tipo di browser e di dispositivo, paese, tempi di caricamento) senza cookie e senza memorizzare l'indirizzo IP, secondo la documentazione di Cloudflare. Non serve a riconoscere le singole persone né a seguirle su altri siti.
• Demo: la congregazione dimostrativa contiene solo dati inventati; aprirla non richiede registrazione.

2.5 Conferma di apertura delle email

Alcune email che la congregazione invia dall'app (i fogli di assegnazione S-89 e i promemoria delle parti) contengono un'immagine invisibile che, quando l'email viene aperta, registra data e ora della prima e dell'ultima apertura e il numero di aperture. Serve alla congregazione per sapere se l'assegnazione è arrivata (legittimo interesse della congregazione, titolare). L'indirizzo IP non viene salvato. Se il programma di posta blocca le immagini, l'apertura semplicemente non viene registrata. Questi dati restano nel registro degli invii della congregazione (sezione 7).

2.6 Dati tecnici

I fornitori di hosting, database ed email tengono registri tecnici (indirizzi IP, orari delle richieste) secondo le proprie regole. Quando l'app incontra un errore, una segnalazione tecnica (pagina visitata, tipo di browser e dettagli dell'errore, ripuliti da indirizzi email e numeri lunghi) viene salvata nel registro errori della piattaforma, nel database del servizio, e serve solo a correggerlo.

3. Perché trattiamo i dati e su quale base (dati di cui il Fornitore è titolare)

Finalità	Base giuridica
Registrare la congregazione, verificare l'anziano, fornire il servizio e gestire l'abbonamento	Contratto (art. 6, par. 1, lett. b, GDPR)
Pagamenti, fatturazione e obblighi fiscali	Obbligo di legge (art. 6, par. 1, lett. c)
Rispondere a chi scrive con il modulo contatti	Richiesta dell'interessato (art. 6, par. 1, lett. b) e legittimo interesse a rispondere (lett. f)
Sicurezza del servizio, prevenzione degli abusi, limite agli invii automatici	Legittimo interesse (art. 6, par. 1, lett. f)
Statistiche aggregate delle visite, senza cookie, per capire come viene usato il sito	Legittimo interesse (art. 6, par. 1, lett. f)
Notifiche push sull'app per telefono	Richiesta dell'utente, che le attiva e le può disattivare dal telefono (art. 6, par. 1, lett. b)
Comunicazioni di servizio (notifiche, avvisi di cambio prezzo o dei testi legali)	Contratto (art. 6, par. 1, lett. b)
Difendersi in caso di contestazioni	Legittimo interesse (art. 6, par. 1, lett. f)

Per i dati della congregazione (sezione 2.1) finalità e basi giuridiche le stabilisce la congregazione; il Fornitore li usa solo per erogare il servizio.

Che cosa non facciamo. Non vendiamo dati, non li usiamo per pubblicità, non facciamo profilazione e non prendiamo decisioni automatizzate che producono effetti giuridici sulle persone (art. 22 GDPR). La funzione «Suggerisci assegnazioni» propone dei nomi in base a qualifiche e storico, ma la decisione la prende sempre una persona.

4. È obbligatorio fornire i dati?

I dati dell'account e della registrazione sono necessari per usare il servizio: senza, non è possibile registrarsi. Nel modulo contatti nome, email e messaggio servono per poterti rispondere. Quali dati dei membri inserire lo decide la congregazione, che dovrebbe limitarsi a quelli davvero necessari.

5. Come proteggiamo i dati

• Connessioni sempre cifrate (HTTPS).
• Database cifrato a riposo dal fornitore cloud (Supabase), secondo la sua documentazione.
• Regole del database (Row-Level Security) che separano i dati di ogni congregazione; ruoli e permessi verificati sul server.
• Autenticazione a due fattori (TOTP) disponibile per ogni utente.
• Password e token delle caselle email collegate dalla congregazione cifrati dall'applicazione (AES-GCM).
• Storico delle modifiche ai rapporti di servizio; registro delle pubblicazioni dei programmi e degli invii email.
• Backup automatici secondo il piano del fornitore del database.
• Ogni settimana una copia di sicurezza cifrata prima di lasciare il server (RSA a 4096 bit e AES-256-GCM) viene conservata su un dispositivo di archiviazione del Fornitore in Italia. Contiene solo la configurazione della piattaforma (impostazioni, pacchetti, testi legali) e i dati delle congregazioni che hanno chiesto questa copia al Fornitore: non contiene i dati delle altre congregazioni né dei loro utenti. La chiave per aprirla è custodita solo dal Fornitore e non si trova sul server.
• Ogni congregazione può scaricare in qualsiasi momento una copia completa dei propri dati da Impostazioni → Backup e ripristino (anche in automatico, ogni settimana o ogni mese), conservarla in proprio e, se serve, ricaricarla dalla stessa pagina per ripristinare i dati.

I dati dei membri non sono cifrati campo per campo dall'applicazione. KHM non ha certificazioni di sicurezza proprie: quelle che si possono citare sono dei fornitori cloud. Dettagli nella pagina Sicurezza.

6. A chi vengono comunicati i dati

I dati non vengono venduti né ceduti. Per far funzionare il servizio il Fornitore si avvale di questi fornitori, che per i dati della congregazione agiscono come suoi sub-responsabili:

Fornitore	Che cosa fa	Quali dati	Dove
Supabase	Database e autenticazione	Tutti i dati dell'app	Database in una regione dell'Unione europea; società con sede negli Stati Uniti
Cloudflare	Esecuzione dell'applicazione e dei lavori pianificati, distribuzione delle pagine, protezione dal traffico automatico, invio delle email della piattaforma (Cloudflare Email Service), statistiche delle visite senza cookie (Web Analytics), registri tecnici del server	Tutte le richieste in transito, indirizzo IP; indirizzo email del destinatario e contenuto dei messaggi della piattaforma	Rete mondiale: le richieste sono gestite dal centro dati più vicino a chi si collega, anche fuori dall'UE; società con sede negli Stati Uniti
Google (Firebase Cloud Messaging) e Apple (Apple Push Notification service)	Consegna delle notifiche push all'app per Android e per iPhone, solo a chi le ha attivate	Identificativo del dispositivo, titolo e testo della notifica	Società con sede negli Stati Uniti; possibile trattamento fuori dall'UE
MapTiler e OpenStreetMap / Nominatim	Mappe dei territori e ricerca degli indirizzi	Il browser scarica le immagini della mappa (questi servizi ricevono l'indirizzo IP del dispositivo); il server invia il testo dell'indirizzo cercato (territori, postazioni di testimonianza pubblica), senza nomi	MapTiler: Svizzera; OpenStreetMap: Regno Unito (paesi con decisione di adeguatezza UE)
Server pubblici Overpass di OpenStreetMap (overpass-api.de, gestito da FOSSGIS e.V., Germania; overpass.private.coffee e overpass.kumi.systems, Austria)	Conteggio dei civici e «Civici per via»	Solo le coordinate dei confini del territorio, senza nomi né dati delle persone; il servizio riceve l'indirizzo IP del server o, per «Civici per via», del dispositivo	Unione europea
unpkg	Icone delle mappe	Il browser scarica le icone e il servizio riceve l'indirizzo IP	Rete di distribuzione pubblica, anche fuori dall'UE
Telegram	Solo se la congregazione collega un proprio gruppo o canale al bot	Messaggi del gruppo collegato	Fuori dall'UE

Intelligenza artificiale. Al momento il servizio non usa fornitori di intelligenza artificiale. Se in futuro ne userà, l'informativa e l'elenco dei fornitori saranno aggiornati prima.

Fornitori scelti dalla congregazione. Se la congregazione collega la propria casella di posta (Google Gmail, Microsoft Outlook/365 oppure un server SMTP di sua scelta), le email della congregazione (fogli S-89, programmi, rapporti) partono da quella casella e passano dal fornitore che la congregazione ha scelto, secondo le regole di quel fornitore.

Stripe (Stripe Payments Europe, Irlanda) gestisce i pagamenti come titolare autonomo dei dati di pagamento, secondo la propria informativa.

Trasferimenti fuori dall'UE. Quando un fornitore tratta dati fuori dallo Spazio economico europeo, il trasferimento si basa sugli strumenti previsti dagli artt. 44-49 GDPR: una decisione di adeguatezza della Commissione europea (compreso l'EU-U.S. Data Privacy Framework per le società statunitensi che vi aderiscono) oppure le clausole contrattuali standard, secondo i termini contrattuali di ciascun fornitore. Puoi chiederne copia a privacy@congregation-manager.com.

I dati possono inoltre essere comunicati alle autorità quando la legge lo impone.

7. Per quanto tempo conserviamo i dati

Dati	Per quanto tempo
Dati della congregazione (anagrafica, rapporti, programmi, storico delle modifiche ai rapporti, registro degli invii email della congregazione, messaggi Telegram dei gruppi collegati)	Finché la congregazione usa il servizio o finché non li cancella o ne chiede la cancellazione. La cancellazione richiesta viene eseguita entro 30 giorni.
Notifiche nell'app	Cancellate automaticamente dopo 6 mesi
Registro degli invii delle email della piattaforma	Cancellato automaticamente dopo 12 mesi
Messaggi del modulo contatti	Cancellati automaticamente dopo 24 mesi
Vecchie registrazioni delle scelte sul banner cookie (non più raccolte dal 5 ottobre 2026)	Cancellate automaticamente dopo 24 mesi
Dati del contratto e dei pagamenti	Per la durata del contratto e poi per il tempo richiesto dalla legge (fino a 10 anni per le scritture contabili)
Copie di sicurezza settimanali del Fornitore (configurazione della piattaforma e congregazioni che le hanno chieste)	Le ultime 8 settimane: ogni copia è cancellata automaticamente dopo 56 giorni
Identificativi dei dispositivi per le notifiche push	Finché l'app resta installata; cancellati automaticamente quando il servizio di notifica li segnala come non più validi (per esempio app disinstallata) e con l'account dell'utente
Registro errori della piattaforma	Cancellato automaticamente dopo 90 giorni
Registri tecnici dei fornitori e backup	Secondo le regole e il piano di ciascun fornitore

Le cancellazioni automatiche le esegue ogni notte un lavoro pianificato.

8. Cookie

Il sito usa solo cookie e memoria locale tecnici. Le statistiche delle visite sono aggregate e senza cookie (Cloudflare Web Analytics, sezione 2.4). Nessuna pubblicità, nessuna profilazione. Dettagli nella Cookie Policy.

9. I tuoi diritti

Puoi chiedere l'accesso ai tuoi dati e una copia (art. 15), la rettifica (art. 16), la cancellazione (art. 17), la limitazione (art. 18), la portabilità (art. 20) e opporti ai trattamenti basati sul legittimo interesse (art. 21).

Come fare.

• Dati della congregazione (anagrafica, rapporti, incarichi): rivolgiti alla tua congregazione, che ne è titolare. Puoi anche usare il pannello Impostazioni → I miei dati: da lì scarichi subito una copia in formato JSON del tuo profilo, della tua scheda in anagrafica, dei tuoi rapporti di servizio, delle tue assegnazioni alle adunanze, delle tue richieste, delle eventuali vecchie registrazioni del banner cookie e delle ultime 200 notifiche; e invii una richiesta. Le richieste le esamina l'amministratore della piattaforma, che assiste la congregazione (art. 28, par. 3, lett. e, GDPR) e decide con lei. La cancellazione non è automatica.
• Dati di cui il Fornitore è titolare (registrazione, abbonamento, modulo contatti): scrivi a privacy@congregation-manager.com.

Rispondiamo entro 30 giorni; nei casi complessi il termine può essere prorogato di altri 60 giorni, avvisandoti.

Hai anche il diritto di presentare reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

10. Modifiche a questa informativa

Quando l'informativa cambia in modo rilevante lo comunichiamo nell'app. In cima alla pagina trovi sempre la data della versione in vigore; le versioni precedenti sono disponibili su richiesta.