Privacy Policy

Questa informativa spiega come PoliNetwork APS (di seguito «Associazione» o «Titolare») tratta i dati personali di chi usa i suoi servizi online (di seguito «Interessato»):

• il sito polinetwork.org;

• l’account PoliNetwork (auth.polinetwork.org);

• la piattaforma Admin Dashboard (admin.polinetwork.org);

• i gruppi e i bot Telegram gestiti dall’Associazione;

• gli altri servizi collegati, come aule.polinetwork.org e polinet.cc.

1 Titolare del trattamento e contatti

Il Titolare del trattamento è PoliNetwork APS, con sede in Via Aicardo 4, 20141 Milano (MI), codice fiscale 97927490157.

Per qualsiasi domanda sui propri dati personali o per esercitare i propri diritti (Sezione 8), l’Interessato può scrivere a privacy@polinetwork.org oppure alla PEC polinetwork@pec.it.

2 Dati trattati

2.1 Dati dell’account e contenuti

Chi crea e usa un account PoliNetwork fornisce:

• nome, indirizzo email e immagine del profilo, ricevuti da Google o dall’account Microsoft rilasciato da PoliNetwork al momento dell’accesso;

• se lo desidera: l’account Telegram collegato (identificativo e username), le passkey registrate e l’indirizzo email istituzionale del Politecnico di Milano, usato per verificare lo status di studente. Delle passkey viene salvata solo la chiave pubblica: impronta digitale, volto e PIN restano sul dispositivo;

• i contenuti che pubblica (ad es. appunti, guide, annunci e recensioni) e i messaggi o le segnalazioni che invia al Titolare.

All’account sono inoltre associati l’eventuale appartenenza all’Associazione (socio o membro del Consiglio Direttivo) e i ruoli e permessi assegnati.

I contenuti pubblicati sono visibili agli altri utenti o a chiunque, a seconda del servizio, eventualmente insieme al nome dell’autore. Quando il servizio lo prevede, è l’Interessato a scegliere se mostrare il proprio nome.

2.2 Dati dei gruppi Telegram

Per moderare i gruppi Telegram dell’Associazione, i bot trattano i dati del profilo Telegram (identificativo, nome, username e lingua impostata), i messaggi inviati nei gruppi, le segnalazioni e i provvedimenti di moderazione.

2.3 Dati raccolti automaticamente

Durante l’uso dei servizi, i sistemi del Titolare registrano automaticamente:

• indirizzo IP, tipo di browser e dispositivo (user-agent), data e ora e pagine richieste;

• le sessioni di accesso, con il relativo indirizzo IP e user-agent;

• le operazioni svolte sulle piattaforme, in particolare quelle amministrative (chi le ha svolte e quando);

• l’uso dei comandi dei bot Telegram (quale comando, chi lo ha usato e in quale chat);

• log tecnici e di sicurezza, come errori e tentativi di accesso non autorizzati.

Il Titolare non chiede password, dati di pagamento né categorie particolari di dati personali (art. 9 GDPR, ad es. dati sulla salute o sulle opinioni politiche).

3 Finalità e base giuridica

Ogni trattamento si basa su una delle «basi giuridiche» previste dall’art. 6, par. 1, GDPR:

• contratto (lett. b): il trattamento serve a fornire il servizio richiesto dall’Interessato;

• obbligo legale (lett. c): il trattamento è richiesto dalla legge;

• legittimo interesse (lett. f): il trattamento tutela un interesse concreto del Titolare, come la sicurezza dei servizi, senza che prevalgano i diritti e le libertà dell’Interessato.

Le finalità e le relative basi giuridiche sono:

• creare e gestire l’account, fornire i servizi richiesti e verificare lo status di studente: contratto (b);

• gestire l’appartenenza all’Associazione e assegnare ruoli e permessi: contratto (b) e legittimo interesse (f) a impedire accessi non autorizzati;

• proteggere i sistemi e prevenire gli abusi: legittimo interesse (f);

• moderare i contenuti e i gruppi Telegram, anche contro lo spam (Sezione 4): legittimo interesse (f);

• rispettare gli obblighi di legge e le richieste delle autorità: obbligo legale (c);

• difendere i diritti dell’Associazione, anche in tribunale: legittimo interesse (f).

I dati non vengono usati per marketing o profilazione e non vengono venduti.

Nessuna legge obbliga l’Interessato a fornire i propri dati, ma senza i dati dell’account non è possibile usare i servizi che lo richiedono, e senza i dati raccolti automaticamente i servizi non possono funzionare. Collegare l’account Telegram, verificare lo status di studente e registrare passkey è facoltativo: chi non lo fa non potrà usare solo le funzionalità che lo richiedono.

4 Decisioni automatizzate

Per contrastare lo spam nei gruppi Telegram, i bot applicano automaticamente regole fisse, senza intelligenza artificiale né profilazione. Ad esempio, eliminano messaggi con link non consentiti o inviati in massa, silenziano gli utenti senza username Telegram, silenziano o escludono da tutti i gruppi gli account che inviano spam e rifiutano richieste di ingresso sospette.

Chi ritiene di essere stato colpito per errore può chiedere che il provvedimento venga riesaminato da un membro dello staff (Sezione 1).

5 Conservazione e sicurezza

I dati vengono conservati solo per il tempo necessario e poi cancellati o resi anonimi:

• account: finché l’account esiste;

• account collegati e status di studente: finché restano collegati; la verifica dello status di studente vale 365 giorni;

• sessioni di accesso: scadono dopo 7 giorni senza utilizzo e vengono cancellate entro 30 giorni dalla scadenza;

• messaggi nei gruppi Telegram: 7 giorni;

• dati per riconoscere lo spam su Telegram: 30 giorni;

• provvedimenti di moderazione: 24 mesi dopo la scadenza se temporanei, fino alla revoca se permanenti;

• registro delle operazioni amministrative: 5 anni;

• uso dei comandi dei bot Telegram: 90 giorni;

• log tecnici: 30 giorni;

• conteggio delle richieste per indirizzo IP: 1 ora;

• backup: 90 giorni; i dati cancellati restano nei backup fino a questa scadenza.

I dati possono essere conservati più a lungo solo se serve per rispettare un obbligo di legge o per difendere i diritti dell’Associazione.

Il Titolare protegge i dati con misure tecniche e organizzative adeguate (art. 32 GDPR), come connessioni cifrate, messaggi e backup conservati in forma cifrata e accessi limitati in base al ruolo.

6 Destinatari dei dati

I dati possono essere comunicati solo a:

• volontari dell’Associazione autorizzati (ad es. amministratori e moderatori), per quanto serve al loro ruolo;

• fornitori tecnici, che agiscono come responsabili del trattamento (art. 28 GDPR): Microsoft (server e backup nell’Unione europea, invio delle email, account dell’Associazione), Cloudflare (rete e protezione dei siti) e GitHub (pubblicazione di aule.polinetwork.org);

• titolari autonomi, secondo le proprie informative privacy: Google (accesso con account Google), Telegram (account collegato e gruppi) e OpenFreeMap (mappe di aule.polinetwork.org);

• autorità pubbliche, quando previsto dalla legge.

I dati non vengono diffusi, tranne i contenuti che l’Interessato sceglie di pubblicare.

I server dell’Associazione si trovano nell’Unione europea. Alcuni fornitori (Microsoft, GitHub, Cloudflare e Google) hanno sede negli Stati Uniti: in questi casi il trasferimento si basa sul Data Privacy Framework UE-USA (decisione di adeguatezza del 10 luglio 2023, art. 45 GDPR; dataprivacyframework.gov) e sulle clausole contrattuali standard approvate dalla Commissione europea (art. 46 GDPR). Una copia di queste garanzie può essere richiesta ai contatti indicati nella Sezione 1.

7 Cookie

I servizi usano solo cookie tecnici, necessari per accedere all’account e mantenere attiva la sessione. Non ci sono cookie di profilazione né strumenti di analisi o di tracciamento. Per i cookie tecnici non serve il consenso (art. 122 D.Lgs. 196/2003), quindi non viene mostrato alcun banner.

Alcune preferenze, come il tema, la lingua e le aule preferite, restano salvate solo nel browser dell’Interessato. Bloccando i cookie non è possibile accedere ai servizi che richiedono un account.

8 Diritti dell’Interessato

Scrivendo ai contatti indicati nella Sezione 1, l’Interessato può in qualsiasi momento:

• accedere ai propri dati e riceverne una copia (art. 15 GDPR);

• correggerli o completarli (art. 16);

• chiederne la cancellazione, compresa quella dell’account (art. 17);

• chiedere che vengano solo conservati e non usati in altro modo, nei casi previsti dalla legge (art. 18);

• riceverli in un formato leggibile da un computer o farli inviare a un altro titolare (art. 20);

• chiedere che una persona riesamini le decisioni automatiche dei bot e contestarle (art. 22).

Diritto di opposizione. L’Interessato può opporsi in qualsiasi momento, per motivi legati alla sua situazione particolare, ai trattamenti basati sul legittimo interesse (art. 21 GDPR). In questo caso il Titolare smette di trattare i dati, a meno che non dimostri motivi legittimi prevalenti o la necessità di difendere i propri diritti.

Dalla pagina dell’account su auth.polinetwork.org è anche possibile chiudere le sessioni attive e scollegare gli account collegati.

Il Titolare risponde entro un mese, prorogabile di altri due mesi per le richieste complesse (art. 12 GDPR). L’Interessato può inoltre proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).

9 Minori

Per creare un account PoliNetwork bisogna avere almeno 14 anni. Se il Titolare scopre di aver raccolto dati di una persona più giovane, li cancella.

10 Modifiche all’informativa

L’informativa può essere aggiornata, ad esempio quando cambiano i servizi. La versione in vigore, con la data dell’ultimo aggiornamento, è sempre disponibile su polinetwork.org/privacy. In caso di modifiche importanti, gli utenti vengono avvisati tramite i servizi dell’Associazione.