Privacy Policy

1. Introduzione

La presente Privacy Policy descrive le modalità di trattamento dei dati personali degli utenti che utilizzano la piattaforma MiaChiesa. Ci impegniamo a proteggere la privacy degli utenti e a trattare i dati personali in conformità con il Regolamento (UE) 2016/679 (GDPR).

2. Titolare del Trattamento

Il Titolare del trattamento dei dati è MiaChiesa S.r.l., società a responsabilità limitata di diritto italiano, con sede legale in Via San Martino 23, 42121 Reggio nell'Emilia (RE), C.F. e P.IVA 03141080352.

Il Titolare può essere contattato ai seguenti recapiti:

• Email per questioni privacy: [email protected]
• PEC per comunicazioni formali: [email protected]

2.1 Ruoli GDPR: Titolare autonomo e Responsabile del trattamento

La piattaforma MiaChiesa mette in relazione due distinti Titolari del trattamento (art. 4, n. 7 GDPR). Per chiarezza:

• MiaChiesa S.r.l. è Titolare per i dati relativi all'account dell'utente (registrazione, autenticazione, sicurezza, fatturazione, statistiche di servizio, comunicazioni transazionali e di marketing diretto previo consenso).
• La Parrocchia (o l'Unità Pastorale) è Titolare autonomo per i dati personali dei fedeli e dei membri dei gruppi che decidono di seguire la parrocchia o di entrare a farne parte sulla piattaforma. La Parrocchia decide autonomamente finalità e modalità del trattamento (anagrafica, catechismo, comunicazioni pastorali, eventi, donazioni, ecc.).
• Per quei dati, MiaChiesa S.r.l. agisce come Responsabile del trattamento ai sensi dell'art. 28 GDPR, limitandosi a trattarli su documentate istruzioni della Parrocchia (o dell'Unità Pastorale) mediante la piattaforma. I rapporti tra Parrocchia/UP e MiaChiesa sono disciplinati dal Contratto di Nomina a Responsabile del trattamento, disponibile all'indirizzo /dpa-responsabile.
• L'elenco pubblico e aggiornato dei sub-responsabili di MiaChiesa è consultabile all'indirizzo /sub-processors.

Esercizio dei diritti. In qualità di interessato, l'utente può esercitare i propri diritti (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione, revoca del consenso) sia verso MiaChiesa S.r.l. ai recapiti della Sezione 2 per i dati di cui MiaChiesa è Titolare, sia verso la specifica Parrocchia (o Unità Pastorale) per i dati di cui quest'ultima è Titolare autonomo, utilizzando il contatto privacy indicato dalla parrocchia stessa (visibile all'interno della piattaforma). MiaChiesa assisterà la Parrocchia nell'evasione delle richieste tecniche ai sensi degli artt. 12–22 GDPR.

Dati condivisi con la Parrocchia seguita. Quando l'utente decide di seguire una parrocchia o di entrare in un gruppo parrocchiale, i seguenti dati vengono resi visibili al personale autorizzato della parrocchia (ed eventualmente dell'Unità Pastorale di cui fa parte): nome e cognome, indirizzo email, immagine del profilo se presente, data di iscrizione, eventuali preferenze di comunicazione espresse per quella parrocchia e i dati che l'utente stesso decide di aggiungere (es. iscrizione a eventi, adesione a gruppi, donazioni). Nessun dato ulteriore dell'account MiaChiesa viene trasferito. L'utente può smettere di seguire la parrocchia in qualsiasi momento dalle impostazioni del proprio profilo; cessato il follow, la parrocchia perde la visibilità dei dati di follower, fermo restando l'obbligo legale di conservazione delle donazioni e di quanto previsto dalla Sezione 7.

3. Dati Raccolti

Durante l'utilizzo della piattaforma, possiamo raccogliere le seguenti categorie di dati:

• Dati identificativi: nome, cognome, indirizzo email
• Dati di contatto: numero di telefono, indirizzo
• Dati di navigazione: indirizzo IP, tipo di browser, pagine visitate
• Cookie tecnici: necessari per il funzionamento del sito
• Dati delle parrocchie: informazioni sulle parrocchie gestite
• Dati relativi all'utilizzo delle funzionalità AI (Beta): prompt testuali, contenuti generati, statistiche di utilizzo dei crediti, interazioni con il sistema di generazione AI
• Dati dell'account Google: indirizzo email dell'account Google, token OAuth (access token e refresh token), dati degli eventi di Google Calendar (titolo, data/ora, luogo, descrizione), identificativi dei calendari e metadati di sincronizzazione

3.1 Funzionalità AI per la Creazione di Volantini (Beta)

La nostra piattaforma offre funzionalità di intelligenza artificiale per la creazione assistita di volantini e materiali grafici. Questa funzionalità è attualmente in fase Beta.

Durante l'utilizzo delle funzionalità AI, raccogliamo e trattiamo:

• Prompt e istruzioni: i testi e le richieste inserite per generare o modificare contenuti
• Contenuti generati: i volantini, immagini e testi creati dall'intelligenza artificiale
• Dati di utilizzo: numero di crediti utilizzati, modalità di interazione (design o modifica), cronologia delle richieste
• Feedback implicito: azioni di accettazione, modifica o rigenerazione dei contenuti

Finalità del trattamento dei dati AI: I dati raccolti durante l'utilizzo delle funzionalità AI vengono utilizzati per:

• Fornire il servizio di generazione e modifica assistita dei contenuti
• Migliorare la qualità e l'accuratezza delle risposte dell'intelligenza artificiale
• Sviluppare e ottimizzare gli algoritmi e i modelli di AI
• Monitorare l'utilizzo dei crediti e gestire le limitazioni del servizio
• Identificare e prevenire abusi o utilizzi impropri del sistema

Conservazione: I prompt e i contenuti generati vengono conservati per il tempo necessario a fornire il servizio e migliorare la funzionalità. Gli utenti possono richiedere la cancellazione dei propri dati secondo quanto previsto dalla sezione "Diritti degli Utenti".

3.2 Donazioni e Transazioni di Pagamento

La nostra piattaforma consente la raccolta e gestione di donazioni (erogazioni liberali) a favore delle parrocchie registrate. Durante l'utilizzo delle funzionalità di donazione, raccogliamo e trattiamo le seguenti categorie di dati personali:

• Dati identificativi del donatore: nome, cognome, indirizzo email, numero di telefono (ove fornito)
• Dati fiscali: codice fiscale, partita IVA (per persone giuridiche), indirizzo di fatturazione completo (via, città, CAP)
• Dati della transazione: importo, valuta, metodo di pagamento selezionato, data e ora della transazione, riferimenti univoci della transazione
• Dati del pagamento: identificativi della sessione di pagamento, identificativi del pagamento elaborato tramite processore terzo (Stripe)
• Preferenze del donatore: scelta di donazione anonima, consenso alla memorizzazione del metodo di pagamento per donazioni future, note e messaggi allegati alla donazione
• Dati relativi alla campagna: associazione della donazione a specifiche campagne di raccolta fondi attive

Finalità specifiche del trattamento dei dati relativi alle donazioni:

• Elaborazione e completamento della transazione di pagamento
• Emissione di ricevute e adempimento degli obblighi contabili previsti dalla normativa italiana
• Comunicazioni transazionali (conferma donazione, ricevute, aggiornamenti sullo stato del pagamento)
• Gestione di eventuali rimborsi, storno di transazioni o contestazioni
• Reportistica statistica aggregata e anonimizzata per le parrocchie beneficiarie
• Prevenzione di frodi, attività illecite e riciclaggio di denaro

Processore dei pagamenti: Le transazioni di pagamento sono elaborate tramite Stripe, Inc. in qualità di responsabile del trattamento ai sensi dell'art. 28 del GDPR. I dati della carta di credito/debito sono trasmessi direttamente ai server di Stripe mediante connessione crittografata e non vengono memorizzati sui server di MiaChiesa. Stripe è certificato PCI-DSS Level 1. Per maggiori informazioni sul trattamento dei dati da parte di Stripe, si invita a consultare l'informativa privacy disponibile all'indirizzo:https://stripe.com/privacy

Conservazione dei dati delle donazioni: I dati relativi alle donazioni e alle transazioni di pagamento sono conservati per il periodo di 10 (dieci) anni dalla data della transazione, in conformità agli obblighi di conservazione previsti dalla normativa fiscale italiana (D.P.R. 600/1973, art. 22 D.P.R. 633/1972) e per finalità di adempimento degli obblighi legali e contabili.

3.3 Integrazione con Google Calendar

MiaChiesa offre la possibilità di collegare un account Google Calendar per sincronizzare automaticamente gli eventi della parrocchia o dell'unità pastorale con il proprio calendario Google. L'attivazione di questa integrazione è facoltativa e avviene esclusivamente su iniziativa dell'utente autorizzato.

Dati raccolti e conservati:

• Indirizzo email dell'account Google collegato, utilizzato per identificare la connessione attiva
• Token OAuth 2.0 (access token e refresh token), necessari per mantenere la connessione e accedere alle API di Google Calendar per conto dell'utente
• Dati degli eventi di Google Calendar: titolo, data e ora di inizio e fine, luogo e descrizione degli eventi sincronizzati
• Identificativi dei calendari selezionati e metadati di sincronizzazione (data dell'ultima sincronizzazione, stato di mappatura degli eventi)

Finalità del trattamento: I dati provenienti da Google Calendar sono trattati esclusivamente per la sincronizzazione bidirezionale degli eventi tra MiaChiesa e Google Calendar. Tali dati non vengono utilizzati per finalità pubblicitarie, di profilazione, di marketing o per qualsiasi altro scopo non strettamente connesso alla funzionalità di sincronizzazione.

Conformità alla Google API Services User Data Policy: L'utilizzo e il trasferimento delle informazioni ricevute dalle API di Google da parte di MiaChiesa sono conformi alla Google API Services User Data Policy, inclusi i requisiti di Uso Limitato (Limited Use). In particolare, MiaChiesa:

• utilizza i dati di Google esclusivamente per fornire e migliorare la funzionalità di sincronizzazione del calendario;
• non trasferisce i dati di Google a terze parti, salvo ove necessario per fornire il servizio o per adempiere a obblighi di legge;
• non utilizza i dati di Google per scopi pubblicitari o per la creazione di profili utente;
• consente all'utente di revocare l'accesso in qualsiasi momento.

Informativa sull'uso limitato dei servizi API di Google: L'uso e il trasferimento da parte di MiaChiesa a qualsiasi altra app delle informazioni ricevute dalle API di Google saranno conformi alla Google API Services User Data Policy, inclusi i requisiti di uso limitato (Limited Use).

(English: "MiaChiesa's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.")

Usi espressamente vietati dei dati di Google: MiaChiesa NON utilizza i dati degli utenti ottenuti tramite le API di Google per nessuno dei seguenti scopi:

• Pubblicità mirata, personalizzata, retargeting o basata sugli interessi
• Vendita di dati a intermediari di dati (data brokers) o rivenditori di informazioni
• Determinazione dell'affidabilità creditizia o per finalità di prestito
• Addestramento di modelli di intelligenza artificiale o machine learning
• Creazione di database non correlati alla funzionalità del servizio
• Qualsiasi scopo diverso dalla fornitura e dal miglioramento della funzionalità di sincronizzazione del calendario rivolta all'utente

Comunicazione a terzi: I dati provenienti da Google non vengono condivisi con terze parti, ad eccezione di Google LLC stessa nell'ambito delle interazioni API necessarie al funzionamento della sincronizzazione.

Revoca e cancellazione: L'utente può disconnettere l'integrazione con Google Calendar in qualsiasi momento dalle impostazioni della piattaforma. La disconnessione comporta la revoca dell'accesso e la cancellazione immediata dei token OAuth memorizzati. L'utente può inoltre revocare l'accesso di MiaChiesa direttamente dalla pagina dei permessi del proprio account Google all'indirizzo: https://myaccount.google.com/permissions.

Conservazione: I token OAuth sono conservati esclusivamente per la durata della connessione attiva e vengono eliminati al momento della disconnessione. I dati di mappatura degli eventi seguono la medesima politica di conservazione applicata agli altri dati della piattaforma.

3.4 Integrazione con Facebook e Instagram

MiaChiesa offre la possibilità di collegare una Pagina Facebook e un account Instagram Professional per pubblicare contenuti parrocchiali direttamente dai propri strumenti di comunicazione. L'attivazione di questa integrazione è facoltativa e avviene esclusivamente su iniziativa dell'amministratore autorizzato della parrocchia tramite il flusso OAuth ufficiale di Meta Platforms.

Dati raccolti e conservati:

• Nome della Pagina Facebook collegata, visualizzato nell'interfaccia di gestione
• Page Access Token della Pagina Facebook, ottenuto tramite il flusso di scambio token long-lived di Meta (token non in scadenza, valido fino alla revoca da parte dell'utente)
• Identificativo utente Facebook dell'amministratore che ha autorizzato l'integrazione
• Identificativo e nome utente dell'account Instagram Professional collegato alla Pagina Facebook, ove presente
• Log di pubblicazione: data, ora, tipo di contenuto e stato di ogni pubblicazione effettuata su Facebook e Instagram tramite la piattaforma

Dove sono conservati i dati: Le informazioni sopra elencate sono memorizzate nel database sicuro di MiaChiesa (tabelle facebook_page_connections e social_publish_log su infrastruttura Supabase).

Chi ha accesso ai dati: I dati dell'integrazione social sono accessibili esclusivamente al personale autorizzato della specifica parrocchia che ha attivato l'integrazione. Nessun altro utente, parrocchia o terza parte ha accesso a questi dati.

Finalità del trattamento: I dati provenienti dall'integrazione Facebook/Instagram sono trattati esclusivamente per pubblicare contenuti (avvisi, notizie, eventi) sulle Pagine Facebook e gli account Instagram collegati, su esplicita richiesta dell'utente autorizzato. Tali dati non vengono utilizzati per finalità pubblicitarie, di profilazione o di marketing, né per alcun altro scopo non strettamente connesso alla funzionalità di pubblicazione.

Utilizzo espressamente escluso: MiaChiesa non utilizza i dati ottenuti tramite le API di Meta per:

• Pubblicità mirata, personalizzata o basata sugli interessi
• Profilazione degli utenti o dei fedeli
• Vendita di dati a terzi
• Addestramento di modelli di intelligenza artificiale
• Qualsiasi finalità diversa dalla pubblicazione di contenuti su richiesta dell'utente

Revoca e cancellazione: L'amministratore della parrocchia può disconnettere l'integrazione Facebook/Instagram in qualsiasi momento dalla sezione Impostazioni → Integrazioni della piattaforma. La disconnessione comporta la revoca dell'accesso e la cancellazione immediata del Page Access Token dai sistemi di MiaChiesa. L'utente può inoltre revocare l'accesso all'applicazione MiaChiesa direttamente dalle impostazioni del proprio account Facebook.

Conservazione: I dati dell'integrazione (token, identificativi) sono conservati per tutta la durata della connessione attiva e vengono eliminati al momento della disconnessione o alla cancellazione dell'account. I log di pubblicazione sono conservati per finalità di audit per un massimo di 24 mesi.

Conformità alle Condizioni della Piattaforma Meta: L'utilizzo delle API di Meta Platforms da parte di MiaChiesa è conforme alle Meta Platform Terms e alle relative politiche per gli sviluppatori.

4. Finalità del Trattamento

I dati personali sono trattati per le seguenti finalità:

• Registrazione e autenticazione degli utenti
• Gestione delle funzionalità della piattaforma, incluse le funzionalità AI
• Comunicazioni relative al servizio
• Adempimento di obblighi legali
• Miglioramento dei servizi offerti, incluso l'addestramento e ottimizzazione dei modelli AI (esclusi i dati provenienti dalle API di Google)
• Gestione del sistema di crediti per le funzionalità AI
• Analisi statistiche e di utilizzo per migliorare l'esperienza utente (esclusi i dati provenienti dalle API di Google, utilizzati esclusivamente per la sincronizzazione del calendario)
• Elaborazione e gestione delle donazioni e dei pagamenti
• Emissione e invio di ricevute per le donazioni
• Gestione di rimborsi, contestazioni e controversie relative ai pagamenti
• Sincronizzazione degli eventi con Google Calendar, su richiesta dell'utente, mediante accesso autorizzato alle API di Google
• Pubblicazione di contenuti su Facebook e Instagram, su richiesta esplicita dell'utente autorizzato, mediante le API di Meta Platforms
• Comunicazioni di marketing diretto: previo specifico consenso dell'utente (art. 6, par. 1, lett. a) e art. 7 GDPR), invio di comunicazioni promozionali via email relative a nuove funzionalità, aggiornamenti e offerte della piattaforma MiaChiesa. L'utente può revocare il consenso al marketing in qualsiasi momento tramite le impostazioni del proprio profilo o cliccando il link di cancellazione presente in ogni comunicazione promozionale.

5. Base Giuridica

Il trattamento dei dati si basa su:

• Consenso: per l'utilizzo dei cookie non essenziali e per l'invio di comunicazioni di marketing diretto (art. 6, par. 1, lett. a) e art. 7 GDPR)
• Esecuzione del contratto: per la fornitura dei servizi richiesti, inclusa l'elaborazione delle donazioni e l'emissione delle relative ricevute
• Obbligo legale: per adempiere a obblighi normativi, inclusa la conservazione dei dati fiscali e contabili relativi alle donazioni per i periodi previsti dalla legge
• Interesse legittimo: per migliorare i servizi, garantire la sicurezza e prevenire frodi nelle transazioni di pagamento

6. Cookie

Utilizziamo cookie tecnici essenziali per garantire il corretto funzionamento del sito. Questi cookie sono necessari per l'autenticazione e la gestione della sessione utente.

L'utente può gestire le preferenze sui cookie attraverso le impostazioni del proprio browser.

7. Conservazione dei Dati

I dati personali sono conservati per il tempo necessario a soddisfare le finalità per cui sono stati raccolti, nel rispetto degli obblighi di legge. In particolare:

• Dati dell'account: fino alla cancellazione dell'account
• Dati di consenso: per 10 anni dalla raccolta (obbligo GDPR)
• Dati di navigazione: fino a 12 mesi
• Dati delle donazioni e transazioni di pagamento: 10 anni dalla data della transazione (obblighi fiscali ai sensi del D.P.R. 600/1973)

8. Diritti dell'Interessato

Gli utenti hanno diritto a:

• Accesso: ottenere conferma dell'esistenza dei propri dati
• Rettifica: correggere dati inesatti o incompleti
• Cancellazione: richiedere la cancellazione dei propri dati
• Limitazione: limitare il trattamento in determinate circostanze
• Portabilità: ricevere i dati in formato strutturato
• Opposizione: opporsi al trattamento per motivi legittimi
• Revoca del consenso: revocare il consenso in qualsiasi momento

Per esercitare questi diritti, contattare: [email protected]

L'utente può inoltre gestire autonomamente il proprio consenso al marketing diretto in qualsiasi momento tramite la sezione "Gestione consensi" nelle impostazioni del profilo personale, senza necessità di contattare il Titolare del trattamento. La revoca del consenso al marketing non pregiudica la liceità del trattamento basato sul consenso prestato prima della revoca.

9. Sicurezza

Adottiamo misure tecniche e organizzative appropriate per proteggere i dati personali da accessi non autorizzati, perdita, distruzione o divulgazione. I dati sono conservati su server sicuri e l'accesso è limitato al personale autorizzato.

10. Comunicazione dei Dati

I dati personali possono essere comunicati a:

• Fornitori di servizi tecnici (hosting, email, infrastruttura cloud)
• Autorità competenti, quando richiesto dalla legge
• Processori di pagamento (Stripe, Inc.) per l'elaborazione delle transazioni di donazione, in qualità di responsabili del trattamento
• Parrocchie e Unità Pastorali seguite dall'utente, in qualità di Titolari autonomi del trattamento dei dati dei loro fedeli (si veda la Sezione 2.1); MiaChiesa trasmette loro i dati elencati in Sezione 2.1 come parte del servizio, agendo contestualmente come Responsabile del trattamento ai sensi dell'art. 28 GDPR
• Parrocchie beneficiarie delle donazioni per la gestione contabile, l'emissione di ricevute e l'adempimento degli obblighi di legge
• Istituti bancari e circuiti di pagamento (Visa, Mastercard, American Express, Apple Pay, Google Pay) per l'elaborazione e il regolamento delle transazioni
• Google LLC per le interazioni con le API di Google Calendar nell'ambito della funzionalità di sincronizzazione degli eventi, in qualità di fornitore del servizio cloud
• Meta Platforms, Inc. per le interazioni con le API di Facebook e Instagram nell'ambito della funzionalità di pubblicazione dei contenuti parrocchiali, esclusivamente quando richiesto dall'utente autorizzato. I dati trasmessi a Meta si limitano al contenuto del post (testo e immagini) e all'identificativo della Pagina di destinazione

Non vendiamo né cediamo i dati personali a terze parti per finalità commerciali o di marketing.

11. Trasferimento Dati Extra-UE

I dati possono essere trasferiti in paesi al di fuori dell'Unione Europea solo se garantiscono un livello di protezione adeguato, in conformità con le decisioni di adeguatezza della Commissione Europea o attraverso clausole contrattuali standard.

12. Modifiche alla Privacy Policy

Ci riserviamo il diritto di modificare questa Privacy Policy in qualsiasi momento. Le modifiche saranno pubblicate su questa pagina con aggiornamento della data di ultima modifica e del numero di versione.

In caso di modifiche sostanziali, gli utenti registrati saranno informati al successivo accesso alla piattaforma mediante una notifica in-app che richiederà l'esplicita presa visione e accettazione della nuova versione del documento prima di poter continuare ad utilizzare i servizi. La versione accettata da ciascun utente è tracciata e consultabile nella sezione "Gestione consensi" del proprio profilo.

13. Reclami

Gli utenti hanno il diritto di presentare un reclamo all'Autorità Garante per la Protezione dei Dati Personali (www.garanteprivacy.it) in caso di violazione della normativa sulla privacy.

14. Contatti

Per qualsiasi domanda o richiesta relativa alla presente Privacy Policy, è possibile contattarci all'indirizzo: [email protected]