Informations sur le traitement des données personnelles

1. Responsable du traitement

Le responsable du traitement est :

Pour toute demande relative à la protection des données personnelles, vous pouvez écrire à :

privacy@onirion.it

L’Association peut désigner un ou plusieurs référents internes pour la gestion opérationnelle des questions de confidentialité, sans être tenue de publier leur nom, sauf nomination formelle d’un délégué à la protection des données dans les cas prévus par la réglementation.

2. Catégories de données traitées

Dans le cadre de la procédure de préinscription, les catégories de données suivantes peuvent être traitées :

• nom, prénom, date et lieu de naissance ;
• nationalité, résidence et adresse ;
• code fiscal pour les citoyens italiens ou numéro du document d’identification pour les citoyens étrangers, notamment document national du pays de citoyenneté, carte d’identité, passeport, permis de conduire ou titre de séjour, le cas échéant ;
• adresse e-mail et numéro de téléphone ;
• informations relatives à la majorité ;
• sexe, préférences déclarées et informations saisies volontairement dans le formulaire ;
• besoins particuliers communiqués par la personne concernée ;
• réponses au questionnaire ;
• documents et images téléversés pour vérifier l’identité ;
• informations relatives à la demande d’admission et à son statut ;
• consentements facultatifs et preuve de la prise de connaissance de l’information ;
• données techniques de la procédure, telles que date et heure, adresse IP, journaux de sécurité, identifiants techniques et jetons à usage unique ;
• données nécessaires à la formalisation ultérieure et, en cas d’admission, à la gestion de la relation associative.

3. Finalités et bases juridiques

3.1 Réception et évaluation de la demande

Les données sont traitées afin de :

• recevoir la préinscription ;
• en vérifier l’exhaustivité ;
• évaluer la demande d’admission ;
• demander d’éventuelles corrections ou informations complémentaires ;
• gérer une éventuelle révision du dossier ;
• préparer la formalisation de la demande ;
• permettre aux organes ou au personnel autorisé de prendre la décision finale.

La base juridique est l’exécution de mesures préassociatives demandées par la personne concernée, conformément à l’article 6, paragraphe 1, point b), du RGPD.

3.2 Vérification de l’identité et de la majorité

Les données d’identification et les éventuels documents sont traités afin de vérifier l’identité déclarée, la majorité et l’exactitude des informations nécessaires à la demande.

La base juridique est l’exécution des mesures demandées par la personne concernée et, le cas échéant, le respect d’obligations légales conformément à l’article 6, paragraphe 1, points b) et c), du RGPD.

3.3 Communications opérationnelles

L’adresse e-mail et les autres coordonnées peuvent être utilisées pour des communications strictement liées au dossier, telles que :

• confirmation de réception ;
• demandes d’ajout ou de correction ;
• communication du résultat ;
• envoi de liens personnels pour la révision ;
• indications relatives à la formalisation ;
• communications nécessaires à la gestion de la relation associative.

La base juridique est l’exécution des mesures demandées par la personne concernée et la gestion de la relation préassociative ou associative, conformément à l’article 6, paragraphe 1, point b), du RGPD.

Le choix de recevoir ces communications par e-mail concerne le canal utilisé et ne constitue pas un consentement à recevoir des communications promotionnelles.

3.4 Gestion de la relation associative

Si la demande est acceptée, les données nécessaires seront traitées aux fins suivantes :

• gestion de la fiche du membre ;
• émission et gestion de la carte de membre ;
• gestion des accès et des services ;
• obligations administratives, civiles, fiscales et comptables ;
• communications institutionnelles liées à la vie associative.

Les bases juridiques sont l’exécution de la relation associative et le respect des obligations légales conformément à l’article 6, paragraphe 1, points b) et c), du RGPD.

3.5 Sécurité et protection de l’Association

Certaines données et certains journaux peuvent être traités afin de :

• prévenir les utilisations frauduleuses du système ;
• protéger les comptes, les documents et les infrastructures informatiques ;
• vérifier les accès et opérations inhabituels ;
• constater, exercer ou défendre les droits de l’Association.

La base juridique est l’intérêt légitime de l’Association à assurer la sécurité de ses systèmes, des personnes et de ses biens, conformément à l’article 6, paragraphe 1, point f), du RGPD, dans le respect du principe de proportionnalité et après mise en balance avec les droits des personnes concernées.

3.6 Communications promotionnelles

Uniquement avec un consentement distinct et facultatif, les coordonnées pourront être utilisées pour envoyer des communications promotionnelles ou informatives concernant des activités, initiatives et événements de l’Association qui ne sont pas strictement nécessaires à la gestion de la relation.

La base juridique est le consentement, conformément à l’article 6, paragraphe 1, point a), du RGPD.

Le consentement :

• n’est pas obligatoire ;
• n’est pas présélectionné ;
• peut être retiré à tout moment ;
• ne conditionne ni la présentation ni l’évaluation de la demande ;
• n’affecte pas les communications opérationnelles nécessaires.

4. Questionnaire

Les réponses fournies dans le questionnaire peuvent être traitées au moyen d’outils informatiques, y compris fondés sur l’IA, uniquement en présence de la base juridique déterminée par l’Association et des garanties applicables.

Le traitement vise à fournir au personnel autorisé des indicateurs d’aide à la lecture des réponses et à l’évaluation globale de la demande.

L’analyse :

• ne détermine pas automatiquement l’acceptation ou le refus ;
• ne modifie pas automatiquement le statut du dossier ;
• ne remplace pas l’évaluation du personnel ;
• ne produit pas à elle seule de décisions définitives ;
• est effectuée, dans la mesure du possible, sans transmettre au fournisseur de données directement identifiantes ;
• est soumise à un contrôle humain.

La décision finale est toujours prise par des personnes autorisées de l’Association.

5. Caractère de la fourniture des données

La fourniture des données indiquées comme obligatoires est nécessaire pour présenter et évaluer la demande.

Le défaut de fourniture peut empêcher :

• l’identification du demandeur ;
• la vérification de la majorité ;
• l’évaluation de la demande ;
• la gestion de la procédure ;
• la formalisation de l’éventuelle relation associative.

La prise de connaissance de l’information et la déclaration d’exhaustivité et de véracité des données sont nécessaires pour terminer la procédure.

Le consentement marketing est facultatif.

L’éventuel consentement à l’assistance de l’IA, lorsqu’il est prévu comme facultatif, ne conditionne pas la possibilité de présenter la demande, qui sera évaluée directement par le personnel autorisé.

6. Modalités du traitement et sécurité

Les données sont traitées à l’aide d’outils électroniques et, si nécessaire, de documents administratifs.

L’Association adopte des mesures techniques et organisationnelles visant à :

• limiter l’accès au personnel autorisé ;
• protéger les documents contre l’accès public direct ;
• gérer les rôles et les autorisations ;
• protéger les communications par des connexions sécurisées ;
• éviter les accès, pertes, modifications ou divulgations non autorisés ;
• effectuer des sauvegardes et des contrôles de sécurité ;
• enregistrer les opérations administratives pertinentes, lorsque cela est prévu.

Les mesures sont actualisées en tenant compte de la nature des données, des finalités, de l’état de la technique et des risques pour les personnes concernées.

7. Destinataires et personnes autorisées

Les données peuvent être traitées par :

• les membres du Conseil d’administration, dans les limites de leurs compétences respectives ;
• le personnel et les collaborateurs autorisés ;
• les personnes chargées de gérer les préinscriptions et les membres ;
• le personnel chargé de la sécurité et de l’administration des systèmes ;
• les conseillers administratifs, fiscaux et juridiques, lorsque cela est nécessaire ;
• les fournisseurs techniques chargés du système de gestion, de l’hébergement, des communications, de l’OTP, des sauvegardes et des éventuels services d’IA.

Les personnes internes ne peuvent accéder qu’aux données nécessaires à leurs fonctions respectives.

Les données ne font pas l’objet d’une diffusion publique.

8. Sous-traitants externes et fournisseurs

Certains fournisseurs peuvent traiter des données pour le compte de l’Association en qualité de sous-traitants au sens de l’article 28 du RGPD.

Les catégories de fournisseurs peuvent notamment comprendre :

• les fournisseurs d’hébergement et de bases de données ;
• les fournisseurs de courrier électronique ;
• les fournisseurs de SMS ou d’OTP ;
• les prestataires de services informatiques ;
• les fournisseurs d’outils d’intelligence artificielle ;
• les fournisseurs de sauvegarde et d’assistance technique ;
• les consultants ayant accès à des données personnelles.

La liste à jour des sous-traitants externes peut être demandée en écrivant à :

privacy@onirion.it

9. Conservation

Les données sont conservées pendant des durées proportionnées aux finalités pour lesquelles elles ont été collectées.

Sous réserve d’obligations légales, de litiges ou de la nécessité de protéger des droits, les critères suivants s’appliquent :

• préinscriptions incomplètes : 30 jours à compter de la dernière activité ;
• préinscriptions définitivement refusées : 6 mois à compter de la clôture du dossier ;
• documents des dossiers refusés : 60 jours à compter du refus définitif ;
• jetons de révision et métadonnées associées : 6 mois à compter de leur utilisation, révocation ou expiration ;
• données dupliquées des préinscriptions converties en membres : minimisation dans les 30 jours suivant la conversion ;
• données des membres actifs : pendant toute la durée de la relation associative ;
• données ordinaires des anciens membres : jusqu’à 12 mois après la cessation, sauf nécessité différente ;
• données et documents administratifs et comptables : pendant la durée prévue par la réglementation applicable, normalement jusqu’à 10 ans ;
• copies des documents d’identité des anciens membres : suppression dans les 60 jours suivant la cessation, sauf obligations ou litiges ;
• questionnaires et résultats d’IA des dossiers refusés : 6 mois à compter de la décision définitive ;
• questionnaires et résultats d’IA des dossiers acceptés : 12 mois à compter de l’admission, sauf nécessité motivée ;
• données utilisées pour les communications promotionnelles : jusqu’au retrait du consentement, avec vérification au moins tous les 24 mois ;
• journaux de sécurité et d’accès : normalement 6 mois, durée prolongeable en cas d’incident ou de nécessité d’enquête.

À l’expiration des délais, les données sont supprimées, anonymisées ou réduites à ce qui est strictement nécessaire.

La suppression peut être suspendue uniquement pour les données nécessaires en présence :

• d’obligations réglementaires ;
• de contestations ;
• de demandes des autorités ;
• de la nécessité de constater, exercer ou défendre un droit.

10. Transferts hors de l’Espace économique européen

Les données sont traitées, dans la mesure du possible, au sein de l’Espace économique européen.

Lorsqu’un fournisseur implique un transfert vers un pays situé hors de l’Espace économique européen, l’Association vérifiera la présence de l’une des garanties prévues par le RGPD, telles que :

• une décision d’adéquation de la Commission européenne ;
• des clauses contractuelles types ;
• des mesures techniques et organisationnelles supplémentaires ;
• une autre condition prévue par la réglementation.

La liste des fournisseurs concernés et des garanties appliquées peut être demandée à privacy@onirion.it.

Remarque : avant la publication définitive, cette section doit être vérifiée en fonction du fournisseur d’IA, du fournisseur de courrier électronique et des autres fournisseurs effectivement utilisés.

11. Droits de la personne concernée

Dans les cas prévus par la réglementation, la personne concernée peut exercer les droits suivants :

• accès aux données personnelles ;
• rectification des données inexactes ;
• complément des données incomplètes ;
• effacement ;
• limitation du traitement ;
• opposition ;
• portabilité, le cas échéant ;
• retrait des consentements facultatifs ;
• demande d’informations sur les traitements effectués ;
• intervention humaine concernant les éventuels processus automatisés applicables.

Les demandes peuvent être envoyées à :

privacy@onirion.it

L’Association pourra demander les informations nécessaires pour vérifier l’identité du demandeur.

Le retrait du consentement ne porte pas atteinte à la licéité des traitements effectués avant ce retrait. Le retrait du consentement marketing n’affecte pas les communications opérationnelles relatives au dossier ou à la relation associative.

Le responsable doit faciliter concrètement l’exercice des droits des personnes concernées et ne pas se limiter à les indiquer dans l’information.

12. Communication et diffusion

Les données ne sont ni vendues ni diffusées publiquement.

Elles peuvent être communiquées :

• aux fournisseurs et conseillers strictement nécessaires ;
• aux autorités compétentes lorsque la loi le prévoit ;
• aux personnes auxquelles la communication est nécessaire pour respecter des obligations réglementaires ou protéger des droits.

13. Mises à jour de l’information

La présente information est identifiée par un code, une version, une date d’effet et une empreinte du contenu.

Pour chaque préinscription, le système enregistre :

• le code de l’information ;
• la version ;
• l’empreinte ;
• la date et l’heure de la prise de connaissance ;
• l’adresse IP utilisée, dans les limites prévues ;
• les déclarations et consentements facultatifs donnés.

Les modifications futures n’altèrent pas la version de l’information précédemment fournie.

En cas de modification substantielle du traitement, l’Association mettra une nouvelle version à disposition et, si nécessaire, informera de nouveau les personnes concernées ou demandera une nouvelle manifestation de volonté.