Privacy Policy Piattaforma SaaS (B2B)

Versione 2.2 – ultimo aggiornamento: 11 ottobre 2026

Art. 1 – Titolare del Trattamento e Contatti

La presente Informativa, resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (di seguito "GDPR"), descrive come vengono trattati i dati personali raccolti tramite il sito web principale e il gestionale del software "La Mia Parrocchia". Il Titolare del Trattamento è La Mia Parrocchia SaaS (con sede in Roma (RM), C.F./P.IVA 17283941007, email di contatto: moc.aihccorrapaimal@ycavirp).

Per ogni questione relativa al trattamento dei dati personali e per l'esercizio dei diritti è possibile scrivere all'indirizzo moc.aihccorrapaimal@ycavirp, che costituisce il punto di contatto per la protezione dei dati.

Art. 2 – Ruoli del Trattamento

Titolare del Trattamento: La Mia Parrocchia SaaS agisce come Titolare esclusivamente per i dati del Cliente (l'Ente Ecclesiastico o l'associazione) e dei suoi referenti necessari alla gestione amministrativa, contabile e commerciale del contratto di servizio.
Responsabile del Trattamento: per tutti i dati dei fedeli, dei parrocchiani e dei collaboratori inseriti dal Cliente nell'applicazione dedicata, il Titolare del Trattamento è il Cliente stesso (l'Ente Ecclesiastico o la Parrocchia). La Mia Parrocchia SaaS agisce in tal caso esclusivamente come Responsabile del Trattamento (Art. 28 GDPR), secondo le istruzioni contenute nell'Accordo sul Trattamento dei Dati (DPA).

Art. 3 – Categorie di Dati Trattati

Dati di contatto del Cliente: nome del legale rappresentante, email di amministrazione e recapiti telefonici forniti.
Dati di fatturazione: ragione sociale dell'Ente, Codice Fiscale o P.IVA, indirizzo di fatturazione e codice destinatario o PEC. Il Codice Fiscale o la P.IVA dell'Ente sono richiesti già nel modulo di richiesta di attivazione, prima del pagamento, per emettere la fattura e per verificare se l'Ente abbia diritto alle promozioni in corso.
Residenza del legale rappresentante: nazione, provincia, comune, CAP e indirizzo di residenza sono richiesti solo quando il Cliente sceglie un dominio personalizzato che viene registrato per suo conto, perché sono dati obbligatori per l'intestazione del dominio. Vengono comunicati al registrar incaricato della registrazione (attualmente Aruba S.p.A.) e, tramite questo, all'autorità di registrazione competente (per i domini .it, il Registro .it), che li trattano come titolari autonomi secondo le proprie informative.
Attivazione delle donazioni online: quando il Cliente attiva le donazioni, viene creato per suo conto un account Stripe Connect intestato all'Ente, comunicando a Stripe il nome dell'Ente e l'email del legale rappresentante (o, in mancanza, quella dell'amministratore che avvia l'attivazione). Gli altri dati richiesti (identità, dati fiscali, coordinate bancarie) sono inseriti dal Cliente direttamente su Stripe, che li tratta come titolare autonomo secondo la propria informativa.
Dati di pagamento: i dati della carta di pagamento sono raccolti e conservati esclusivamente da Stripe Payments Europe Ltd. e non transitano sui server del Titolare. Nei piani che prevedono un periodo gratuito la carta viene registrata presso Stripe al momento dell'attivazione, per consentire l'addebito automatico del canone al termine del periodo gratuito.
Registro delle promozioni utilizzate: Codice Fiscale o P.IVA dell'Ente, codice della promozione utilizzata, data e servizio collegato, oltre all'impronta della carta di pagamento fornita da Stripe (un codice che identifica la carta senza contenerne il numero né altri suoi dati).
Richieste di assistenza: nome ed email dell'utente del Cliente che scrive dalla sezione Supporto del gestionale, testo della richiesta e dei messaggi successivi scambiati con il team del Titolare.
Account degli utenti del gestionale e registro delle attività: nome ed email degli utenti autorizzati dal Cliente e registro delle operazioni compiute nel gestionale (tipo di operazione, autore, data e ora).
Comunicazioni di servizio: indirizzo email degli amministratori del Cliente (o, in mancanza, del legale rappresentante) e relativo storico di invio.
Collegamento con Google Calendar (facoltativo): quando un utente del gestionale collega il proprio account Google, vengono trattati l'indirizzo email dell'account, l'elenco dei suoi calendari (nome, colore e permessi) e gli eventi dei soli calendari che sceglie di collegare (titolo, descrizione, luogo, date e orari, ripetizioni, visibilità), oltre ai codici di autorizzazione rilasciati da Google, conservati cifrati. I dettagli sono all'Art. 7-bis.
Dati di navigazione: indirizzi IP, user-agent del browser e log di accesso, per finalità di sicurezza informatica.
Protezione dai tentativi automatici: per limitare i tentativi di accesso al gestionale, le richieste di reimpostazione della password e gli invii ripetuti del modulo di richiesta, vengono conservate impronte cifrate non reversibili dell'indirizzo IP e dell'email utilizzati, da cui non è possibile risalire ai dati originali.

Art. 4 – Finalità, Basi Giuridiche e Periodi di Conservazione

Richiesta di informazioni e di attivazione, esecuzione del contratto, fatturazione e pagamenti. Base giuridica: esecuzione del contratto o di misure precontrattuali su richiesta dell'interessato (Art. 6, par. 1, lett. b, GDPR) e obblighi di legge fiscali e contabili (lett. c). Conservazione: per la durata del contratto; i dati fiscali e contabili per il periodo previsto dalla normativa; i dati della sola richiesta commerciale non seguita da attivazione possono essere cancellati su richiesta dell'interessato.
Registrazione del dominio personalizzato e attivazione delle donazioni online. Base giuridica: esecuzione del contratto (lett. b). Conservazione: per la durata del servizio.
Collegamento con Google Calendar. Base giuridica: esecuzione del contratto, su richiesta dell'utente che attiva il collegamento (lett. b). Conservazione: finché il calendario o l'account restano collegati; scollegando l'account i codici di autorizzazione vengono revocati presso Google e cancellati.
Assistenza al Cliente. Base giuridica: esecuzione del contratto (lett. b). Conservazione: nel database dedicato del Cliente per tutta la durata del servizio, con eliminazione insieme ad esso alla cessazione; le copie ricevute nella casella email dell'assistenza sono conservate per il tempo necessario alla gestione del rapporto con il Cliente.
Comunicazioni di servizio. Base giuridica: esecuzione del contratto (lett. b). Conservazione: per la durata del contratto.
Sicurezza informatica, prevenzione degli abusi e registro delle attività del gestionale. Base giuridica: legittimo interesse del Titolare (lett. f). Conservazione: registro delle attività 12 mesi, con eliminazione automatica delle voci più vecchie; impronte usate per limitare i tentativi automatici circa 24 ore, con eliminazione automatica; log di accesso per il tempo strettamente necessario alle finalità di sicurezza.
Registro delle promozioni utilizzate (una sola promozione per Ente). Base giuridica: legittimo interesse del Titolare a evitare che la stessa promozione, riservata ai nuovi clienti, sia ottenuta più volte dallo stesso Ente (lett. f). Se la stessa carta di pagamento risulta già usata per la promozione con un altro Codice Fiscale o P.IVA, lo sconto non viene applicato all'abbonamento e il Titolare ne è avvisato: il Cliente può chiedere una verifica scrivendo a moc.aihccorrapaimal@ycavirp. Conservazione: anche dopo la cessazione del servizio o la cancellazione della richiesta commerciale; il registro contiene i soli dati identificativi fiscali dell'Ente e non è usato per altre finalità. L'interessato può opporsi scrivendo a moc.aihccorrapaimal@ycavirp.
Adempimento di obblighi di legge. Base giuridica: obbligo legale (lett. c). Conservazione: per il periodo previsto dalla normativa applicabile.

Alla cessazione del servizio: il Cliente può richiedere per 60 giorni una copia dei propri dati, come previsto dai Termini di Servizio; trascorso tale periodo vengono eliminati il database dedicato del Cliente e le configurazioni tecniche associate, mentre le copie nei backup vengono eliminate automaticamente entro i successivi 7 giorni. Restano esclusi dalla cancellazione i dati che il Titolare è tenuto a conservare per obbligo di legge.

Art. 5 – Comunicazioni di Servizio

Il Titolare utilizza l'indirizzo email degli amministratori del Cliente (e, in mancanza, quello del legale rappresentante) per le comunicazioni necessarie alla gestione del servizio, come l'avvicinarsi della fine del periodo gratuito, il rinnovo dell'abbonamento, un pagamento non riuscito o il raggiungimento del limite di spazio di archiviazione.

Gli amministratori ricevono inoltre un'email con le novità di ogni nuova versione del servizio, inviata alle ore 8 del mattino successivo al rilascio, mai in orario notturno. Questa comunicazione, di natura informativa, può essere disattivata in qualsiasi momento dal proprio profilo nel gestionale oppure tramite il link presente in ogni email. Le comunicazioni indispensabili alla gestione del contratto non sono disattivabili. Le email sono inviate dal server del Titolare, senza ricorso a servizi di invio esterni.

Art. 6 – Destinatari e Sub-responsabili

I dati personali non sono diffusi. Possono essere comunicati, o resi accessibili, ai seguenti soggetti:

Contabo GmbH (Germania, UE), fornitore dell'infrastruttura (server virtuale, database, backup e posta elettronica), in qualità di sub-responsabile;
Stripe Payments Europe, Ltd. (Irlanda, UE), per pagamenti, abbonamenti e donazioni;
Aruba S.p.A. e le autorità di registrazione dei domini, limitatamente alla registrazione del dominio personalizzato, come titolari autonomi;
Google Ireland Limited / Google LLC, solo se un utente collega il proprio account Google: gli eventi dei calendari scelti vengono letti da Google e, se creati o modificati nel gestionale, scritti sul calendario Google indicato, che Google tratta come titolare autonomo secondo la propria informativa;
consulenti e professionisti che assistono il Titolare in ambito fiscale, contabile e legale, nonché autorità pubbliche, quando richiesto dalla legge.

Art. 7 – Trasferimenti verso Paesi Terzi

I dati sono conservati su server situati nell'Unione Europea (Germania). Stripe Payments Europe Ltd. può trasferire alcuni dati verso Paesi terzi nel rispetto delle garanzie previste dal Capo V del GDPR (ad esempio decisioni di adeguatezza o clausole contrattuali tipo della Commissione Europea), come descritto nell'informativa di Stripe. Con il collegamento facoltativo a Google Calendar, i dati scambiati con Google possono essere trattati da Google LLC negli Stati Uniti, sulla base della decisione di adeguatezza UE-USA (EU-U.S. Data Privacy Framework) e delle altre garanzie descritte da Google. Il Titolare non effettua altri trasferimenti verso Paesi terzi.

Art. 7-bis – Dati ricevuti da Google (Google Calendar)

Il collegamento con Google Calendar è facoltativo e si attiva solo quando un utente del gestionale sceglie "Accedi con Google" e concede il permesso. Vengono richiesti soltanto i permessi necessari: leggere l'elenco dei calendari dell'account, leggere e gestire gli eventi dei calendari collegati e conoscere l'indirizzo email dell'account.

Uso dei dati: i dati ricevuti da Google servono esclusivamente a mostrare sul sito e nel gestionale della parrocchia gli eventi dei calendari collegati e a scrivere su Google gli eventi creati o modificati nel gestionale. Non sono usati per pubblicità, profilazione o addestramento di sistemi di intelligenza artificiale, non sono venduti né ceduti a terzi e non sono letti da persone, salvo con il consenso esplicito dell'utente (ad esempio per una richiesta di assistenza), per motivi di sicurezza o per obbligo di legge.
Visibilità: sul sito pubblico compaiono solo gli eventi dei calendari collegati che non sono segnati come privati su Google. L'indirizzo email dell'account è visibile solo agli utenti del gestionale che gestiscono gli eventi.
Conservazione e cancellazione: i codici di autorizzazione sono conservati cifrati nel database dedicato della parrocchia. Scollegando un calendario, i suoi eventi importati vengono eliminati dal sito (restano quelli creati nel gestionale); scollegando l'account, l'autorizzazione viene revocata presso Google e i codici vengono cancellati. L'accesso si può revocare in qualsiasi momento anche dalla pagina di sicurezza dell'account Google (myaccount.google.com/permissions).
Utilizzo limitato: l'uso e il trasferimento ad altre applicazioni delle informazioni ricevute dalle API di Google da parte di La Mia Parrocchia rispettano le Norme sui dati utente dei servizi API di Google, inclusi i requisiti di utilizzo limitato ("La Mia Parrocchia's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.").

Art. 8 – Sicurezza

Il Titolare adotta misure tecniche e organizzative adeguate al rischio, descritte nel DPA, tra cui database separati per ciascun Cliente, connessioni HTTPS, backup giornalieri cifrati e accesso amministrativo protetto da secondo fattore di autenticazione.

Art. 9 – Natura del Conferimento

Il conferimento dei dati contrassegnati come necessari (in particolare dati di fatturazione e contatto) è indispensabile per attivare e gestire il servizio; l'eventuale rifiuto rende impossibile l'attivazione. Il conferimento dei dati relativi al dominio personalizzato e alle donazioni è necessario solo per usufruire di tali funzioni.

Art. 10 – Diritti degli Interessati e Reclamo

Gli interessati possono esercitare i diritti di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità previsti dagli artt. 15-22 del GDPR, scrivendo all'indirizzo moc.aihccorrapaimal@ycavirp. Il Titolare risponde senza ingiustificato ritardo e, di norma, entro un mese dalla richiesta. Gli interessati hanno inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

Per i dati dei fedeli e dei collaboratori inseriti dal Cliente nel proprio sito e gestionale, le richieste vanno rivolte direttamente alla parrocchia, che è Titolare del trattamento.

Art. 11 – Modifiche alla Presente Informativa

La presente Informativa può essere aggiornata; la data e il numero di versione indicati in testa al documento permettono di riconoscere l'ultima versione. In caso di modifiche sostanziali i Clienti sono informati via email.