Información sobre el tratamiento de datos personales

1. Responsable del tratamiento

El responsable del tratamiento es:

Para solicitudes relacionadas con la protección de datos personales puede escribir a:

privacy@onirion.it

La Asociación podrá designar uno o varios referentes internos para la gestión operativa de las cuestiones de privacidad, sin que sea necesario publicar sus nombres, salvo que se nombre formalmente a un delegado de protección de datos en los casos previstos por la normativa.

2. Categorías de datos tratados

En el procedimiento de preinscripción podrán tratarse las siguientes categorías de datos:

• nombre, apellidos, fecha y lugar de nacimiento;
• nacionalidad, residencia y domicilio;
• código fiscal para ciudadanos italianos o número del documento de identificación para ciudadanos extranjeros, incluido el documento nacional del país de ciudadanía, documento de identidad, pasaporte, permiso de conducir o permiso de residencia, cuando proceda;
• dirección de correo electrónico y número de teléfono;
• información relativa a la mayoría de edad;
• sexo, preferencias declaradas e información introducida voluntariamente en el formulario;
• necesidades especiales comunicadas por el interesado;
• respuestas al cuestionario;
• documentos e imágenes cargados para verificar la identidad;
• información sobre la solicitud de admisión y su estado;
• consentimientos facultativos y prueba de la lectura de la información;
• datos técnicos del procedimiento, como fecha y hora, dirección IP, registros de seguridad, identificadores técnicos y tokens de un solo uso;
• datos necesarios para la formalización posterior y, en caso de admisión, para gestionar la relación asociativa.

3. Finalidades y bases jurídicas

3.1 Recepción y evaluación de la solicitud

Los datos se tratan para:

• recibir la preinscripción;
• comprobar que esté completa;
• evaluar la solicitud de admisión;
• solicitar posibles correcciones o ampliaciones;
• gestionar una posible revisión del expediente;
• preparar la formalización de la solicitud;
• permitir que los órganos o el personal autorizado adopten la decisión final.

La base jurídica es la ejecución de medidas preasociativas solicitadas por el interesado, de conformidad con el artículo 6, apartado 1, letra b), del RGPD.

3.2 Verificación de la identidad y de la mayoría de edad

Los datos identificativos y los posibles documentos se tratan para verificar la identidad declarada, la mayoría de edad y la exactitud de la información necesaria para la solicitud.

La base jurídica es la ejecución de las medidas solicitadas por el interesado y, cuando proceda, el cumplimiento de obligaciones legales de conformidad con el artículo 6, apartado 1, letras b) y c), del RGPD.

3.3 Comunicaciones operativas

La dirección de correo electrónico y los demás datos de contacto podrán utilizarse para comunicaciones estrictamente vinculadas al expediente, como:

• confirmación de recepción;
• solicitudes de ampliación o corrección;
• comunicación del resultado;
• envío de enlaces personales para la revisión;
• indicaciones relativas a la formalización;
• comunicaciones necesarias para gestionar la relación asociativa.

La base jurídica es la ejecución de las medidas solicitadas por el interesado y la gestión de la relación preasociativa o asociativa, de conformidad con el artículo 6, apartado 1, letra b), del RGPD.

La elección de recibir estas comunicaciones por correo electrónico se refiere al canal utilizado y no constituye consentimiento para recibir comunicaciones promocionales.

3.4 Gestión de la relación asociativa

Si se acepta la solicitud, los datos necesarios se tratarán para:

• gestionar la ficha del socio;
• emitir y gestionar el carné;
• gestionar los accesos y servicios;
• cumplir obligaciones administrativas, civiles, fiscales y contables;
• enviar comunicaciones institucionales vinculadas a la vida asociativa.

Las bases jurídicas son la ejecución de la relación asociativa y el cumplimiento de obligaciones legales, de conformidad con el artículo 6, apartado 1, letras b) y c), del RGPD.

3.5 Seguridad y protección de la Asociación

Determinados datos y registros podrán tratarse para:

• prevenir usos fraudulentos del sistema;
• proteger cuentas, documentos e infraestructuras informáticas;
• comprobar accesos y operaciones anómalos;
• formular, ejercer o defender derechos de la Asociación.

La base jurídica es el interés legítimo de la Asociación en la seguridad de sus sistemas, personas y bienes, de conformidad con el artículo 6, apartado 1, letra f), del RGPD, respetando el principio de proporcionalidad y previa ponderación con los derechos de los interesados.

3.6 Comunicaciones promocionales

Solo con un consentimiento separado y facultativo podrán utilizarse los datos de contacto para enviar comunicaciones promocionales o informativas sobre actividades, iniciativas y eventos de la Asociación que no sean estrictamente necesarios para gestionar la relación.

La base jurídica es el consentimiento, de conformidad con el artículo 6, apartado 1, letra a), del RGPD.

El consentimiento:

• no es obligatorio;
• no está preseleccionado;
• puede retirarse en cualquier momento;
• no condiciona la presentación ni la evaluación de la solicitud;
• no afecta a las comunicaciones operativas necesarias.

4. Cuestionario

Las respuestas del cuestionario podrán tratarse mediante herramientas informáticas, incluidas herramientas basadas en IA, únicamente cuando exista la base jurídica determinada por la Asociación y se apliquen las garantías correspondientes.

El tratamiento tiene por objeto proporcionar al personal autorizado indicadores de apoyo para leer las respuestas y evaluar globalmente la solicitud.

El análisis:

• no determina automáticamente la aceptación o el rechazo;
• no modifica automáticamente el estado del expediente;
• no sustituye la evaluación del personal;
• no produce por sí solo decisiones definitivas;
• se realiza, en la medida de lo posible, sin transmitir al proveedor datos directamente identificativos;
• está sujeto a supervisión humana.

La decisión final siempre la adoptan personas autorizadas de la Asociación.

5. Carácter de la aportación de datos

La aportación de los datos indicados como obligatorios es necesaria para presentar y evaluar la solicitud.

La falta de aportación puede impedir:

• la identificación del solicitante;
• la verificación de la mayoría de edad;
• la evaluación de la solicitud;
• la gestión del procedimiento;
• la formalización de la posible relación asociativa.

La lectura de la información y la declaración de integridad y veracidad de los datos son necesarias para completar el procedimiento.

El consentimiento de marketing es facultativo.

El posible consentimiento para el apoyo de la IA, cuando se prevea como facultativo, no condiciona la posibilidad de presentar la solicitud, que será evaluada directamente por personal autorizado.

6. Modalidades del tratamiento y seguridad

Los datos se tratan mediante herramientas electrónicas y, cuando sea necesario, documentación administrativa.

La Asociación adopta medidas técnicas y organizativas destinadas a:

• limitar el acceso al personal autorizado;
• proteger los documentos del acceso público directo;
• gestionar funciones y permisos;
• proteger las comunicaciones mediante conexiones seguras;
• evitar accesos, pérdidas, modificaciones o divulgaciones no autorizados;
• realizar copias de seguridad y controles de seguridad;
• registrar las operaciones administrativas pertinentes, cuando esté previsto.

Las medidas se actualizan teniendo en cuenta la naturaleza de los datos, las finalidades, el estado de la técnica y los riesgos para los interesados.

7. Destinatariosos y personas autorizadas

Los datos podrán ser tratados por:

• miembros de la Junta Directiva, dentro de sus respectivas competencias;
• personal y colaboradores autorizados;
• encargados de gestionar las preinscripciones y los socios;
• personal encargado de la seguridad y administración de los sistemas;
• asesores administrativos, fiscales y jurídicos, cuando sea necesario;
• proveedores técnicos encargados del sistema de gestión, el alojamiento, las comunicaciones, el OTP, las copias de seguridad y los posibles servicios de IA.

Las personas internas solo podrán acceder a los datos necesarios para sus respectivas funciones.

Los datos no se difunden públicamente.

8. Encargados externos y proveedores

Determinados proveedores podrán tratar datos por cuenta de la Asociación como encargados del tratamiento conforme al artículo 28 del RGPD.

Entre las categorías de proveedores pueden incluirse:

• proveedores de alojamiento y bases de datos;
• proveedores de correo electrónico;
• proveedores de SMS u OTP;
• proveedores de servicios informáticos;
• proveedores de herramientas de inteligencia artificial;
• proveedores de copias de seguridad y asistencia técnica;
• consultores con acceso a datos personales.

Puede solicitarse la lista actualizada de encargados externos escribiendo a:

privacy@onirion.it

9. Conservación

Los datos se conservan durante periodos proporcionales a las finalidades para las que fueron recogidos.

Salvo obligaciones legales, litigios o necesidad de proteger derechos, se aplican los siguientes criterios:

• preinscripciones incompletas: 30 días desde la última actividad;
• preinscripciones definitivamente rechazadas: 6 meses desde el cierre del expediente;
• documentos de expedientes rechazados: 60 días desde el rechazo definitivo;
• tokens de revisión y metadatos relacionados: 6 meses desde su uso, revocación o vencimiento;
• datos duplicados de preinscripciones convertidas en socios: minimización en un plazo de 30 días desde la conversión;
• datos de socios activos: durante la relación asociativa;
• datos ordinarios de antiguos socios: hasta 12 meses después de la baja, salvo necesidades diferentes;
• datos y documentos administrativos y contables: durante el plazo previsto por la normativa aplicable, normalmente hasta 10 años;
• copias de documentos de identidad de antiguos socios: eliminación en un plazo de 60 días desde la baja, salvo obligaciones o litigios;
• cuestionarios y resultados de IA de expedientes rechazados: 6 meses desde la decisión definitiva;
• cuestionarios y resultados de IA de expedientes aceptados: 12 meses desde la admisión, salvo necesidad motivada;
• datos utilizados para comunicaciones promocionales: hasta la retirada del consentimiento, con verificación al menos cada 24 meses;
• registros de seguridad y acceso: normalmente 6 meses, ampliables en caso de incidentes o necesidades de investigación.

Al vencimiento, los datos se eliminan, anonimizan o reducen a lo estrictamente necesario.

La eliminación podrá suspenderse únicamente para los datos necesarios cuando existan:

• obligaciones normativas;
• controversias;
• solicitudes de las autoridades;
• necesidad de formular, ejercer o defender un derecho.

10. Transferencias fuera del Espacio Económico Europeo

Los datos se tratan, en la medida de lo posible, dentro del Espacio Económico Europeo.

Si un proveedor implica una transferencia a un país situado fuera del Espacio Económico Europeo, la Asociación comprobará que exista alguna de las garantías previstas por el RGPD, como:

• decisión de adecuación de la Comisión Europea;
• cláusulas contractuales tipo;
• medidas técnicas y organizativas adicionales;
• otra condición prevista por la normativa.

Puede solicitarse la lista de proveedores afectados y las garantías aplicadas a privacy@onirion.it.

Nota: antes de la publicación definitiva, esta sección debe verificarse en función del proveedor de IA, el proveedor de correo electrónico y los demás proveedores utilizados efectivamente.

11. Derechos del interesado

En los casos previstos por la normativa, el interesado podrá ejercer los derechos de:

• acceso a los datos personales;
• rectificación de datos inexactos;
• integración de datos incompletos;
• supresión;
• limitación del tratamiento;
• oposición;
• portabilidad, cuando proceda;
• retirada de los consentimientos facultativos;
• solicitud de información sobre los tratamientos realizados;
• intervención humana respecto de posibles procesos automatizados aplicables.

Las solicitudes pueden enviarse a:

privacy@onirion.it

La Asociación podrá solicitar la información necesaria para verificar la identidad del solicitante.

La retirada del consentimiento no afecta a la licitud de los tratamientos realizados antes de retirarlo. La retirada del consentimiento de marketing no afecta a las comunicaciones operativas sobre el expediente o la relación asociativa.

El responsable debe facilitar de manera efectiva el ejercicio de los derechos de los interesados y no limitarse a indicarlos en la información.

12. Comunicación y difusión

Los datos no se venden ni se difunden públicamente.

Podrán comunicarse:

• a proveedores y asesores estrictamente necesarios;
• a las autoridades competentes cuando lo establezca la ley;
• a las personas a quienes la comunicación sea necesaria para cumplir obligaciones normativas o proteger derechos.

13. Actualizaciones de la información

La presente información se identifica mediante un código, una versión, una fecha de vigencia y un hash del contenido.

Para cada preinscripción, el sistema registra:

• código de la información;
• versión;
• hash;
• fecha y hora de la lectura;
• dirección IP utilizada, dentro de los límites previstos;
• declaraciones y consentimientos facultativos otorgados.

Los cambios futuros no alteran la versión de la información facilitada anteriormente.

Cuando se produzcan cambios sustanciales en el tratamiento, la Asociación pondrá a disposición una nueva versión y, cuando sea necesario, volverá a informar a los interesados o solicitará una nueva manifestación de voluntad.