Informativa Privacy — {{APP_NAME}}

Versione 1.0.0 — Ultimo aggiornamento: {{POLICY_LAST_UPDATED}}

La presente informativa è resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 ("GDPR") agli utenti del servizio {{APP_NAME}}, raggiungibile all'indirizzo {{APP_PUBLIC_URL}}.

Modello di base. Questo testo è il punto di partenza per un servizio white-label costruito sul template MoP. Va riletto e adattato al trattamento effettivamente svolto prima della pubblicazione, e sottoposto a revisione legale. Non costituisce consulenza legale.

Indice

1. Chi tratta i tuoi dati: i ruoli
2. Dati trattati
3. Finalità e basi giuridiche
4. Registro di sicurezza (audit log)
5. Conservazione
6. Destinatari e responsabili
7. Cookie e archiviazione locale
8. Sicurezza
9. I tuoi diritti
10. Modifiche
11. Contatti

1. Chi tratta i tuoi dati: i ruoli

Nel servizio operano due soggetti distinti, ciascuno titolare per la propria sfera.

1.1 Il gestore del servizio — Titolare

{{TENANT_LEGAL_NAME}} {{TENANT_ADDRESS}} P.IVA {{TENANT_VAT}} E-mail: {{TENANT_CONTACT_EMAIL}}

è Titolare del trattamento dei dati trattati nell'ambito di {{APP_NAME}}: il tuo account applicativo, le operazioni che compi nel servizio e il relativo registro di sicurezza.

1.2 La piattaforma — Responsabile ex art. 28, e Titolare autonomo per l'identità mop.dev

Circoolum di E.A.P, operante con il marchio Master of Puppets Dev, con sede in Milano, P.IVA 13489650963, e-mail info@mop.dev (di seguito "MoP"):

• agisce come Responsabile del trattamento ai sensi dell'art. 28 GDPR per l'hosting e l'esercizio tecnico di {{APP_NAME}} per conto del Titolare, sulla base di un accordo scritto;
• agisce come Titolare autonomo per l'account mop.dev utilizzato dalla funzione «Accedi con mop.dev» — cioè per l'identità, l'indirizzo e-mail e l'identificativo utente gestiti dal servizio di autenticazione mop.dev, e per la sicurezza di quel servizio. Per tali trattamenti si applica l'informativa privacy di mop.dev.

In pratica: il tuo accesso è gestito da MoP; ciò che fai dentro {{APP_NAME}} è del Titolare indicato al §1.1.

{{TENANT_DPO_BLOCK}}

2. Dati trattati

Dati dell'account. Indirizzo e-mail, nome (se fornito dal servizio di autenticazione), identificativo utente interno, eventuale qualifica di amministratore, data di creazione e di ultimo aggiornamento dell'account.

L'accesso avviene esclusivamente tramite «Accedi con mop.dev»: {{APP_NAME}} non richiede, non riceve e non conserva alcuna password.

Dati di sessione. Un cookie tecnico contenente un token di sessione firmato, e un cookie tecnico temporaneo di protezione anti-CSRF durante la procedura di accesso (§7).

Dati tecnici e di sicurezza. Indirizzo IP, user agent del browser, data e ora, esito dell'operazione — trattati nel registro di sicurezza descritto al §4 e nei log tecnici del server.

Preferenze di interfaccia. Lingua e tema, conservati solo nel tuo browser (§7).

Il servizio, nella sua configurazione di base, non tratta categorie particolari di dati (art. 9 GDPR) e non effettua profilazione né decisioni automatizzate ai sensi dell'art. 22.

⚠️ Se il servizio derivato aggiunge funzionalità proprie (pagamenti, documenti, dati sanitari, geolocalizzazione…), questa sezione va estesa e le basi giuridiche del §3 riviste. Un trattamento di dati particolari può richiedere una DPIA (art. 35).

3. Finalità e basi giuridiche

Il conferimento dei dati dell'account è necessario per utilizzare il servizio: senza di essi non è tecnicamente possibile fornirlo.

4. Registro di sicurezza (audit log)

Per garantire la sicurezza del servizio e poter ricostruire eventuali incidenti, il sistema registra gli eventi rilevanti relativi agli account — ad esempio la registrazione di un nuovo utente — annotando: tipo ed esito dell'evento, identificativo e indirizzo e-mail dell'utente, indirizzo IP, user agent, data e ora, ed eventuali dettagli tecnici dell'operazione.

L'indirizzo IP registrato è quello che il servizio riceve dalla rete di distribuzione che protegge il sito; il servizio adotta l'intestazione scritta dal proxy di bordo e ignora quelle dichiarate dal chiamante, così che il registro non possa essere falsificato da chi compie l'operazione.

Questo registro non è usato per finalità commerciali, statistiche o di profilazione.

5. Conservazione

⛔ Da verificare prima della pubblicazione. I termini di conservazione qui indicati devono essere effettivamente applicati dal codice. Vedi la checklist in policies/README.md: nella versione base del template la cancellazione dell'account e la rotazione del registro non sono ancora implementate.

6. Destinatari e responsabili

I dati non sono ceduti né venduti a terzi. Sono trattati da:

L'infrastruttura applicativa e la banca dati risiedono nell'Unione europea.

✅ Nessun servizio terzo. Il template non contatta più fonts.googleapis.com, fonts.gstatic.com, cdnjs.cloudflare.com né flagcdn.com: i caratteri tipografici e le bandiere sono serviti dallo stesso dominio dell'applicazione. L'unica origine esterna è cdn.mop.dev, infrastruttura di MoP già indicata come sub-responsabile qui sopra. La Content-Security-Policy impone questo vincolo e un test automatico fallisce se una di quelle origini ricompare.

⚠️ Se il servizio derivato aggiunge risorse esterne proprie (mappe, video, widget, font), questa sezione va aggiornata e la CSP estesa di conseguenza.

7. Cookie e archiviazione locale

{{APP_NAME}} utilizza esclusivamente cookie tecnici necessari, per i quali non è richiesto il consenso (art. 122 d.lgs. 196/2003 e linee guida del Garante).

Nell'archiviazione locale del browser (localStorage) sono salvate due preferenze — mop-language (lingua) e mop-theme (tema chiaro/scuro). Restano sul tuo dispositivo, non sono inviate al server e non identificano la persona.

Non sono utilizzati cookie analitici, pubblicitari o di profilazione, e non è presente alcun sistema di statistiche.

⛔ Se in futuro viene attivata la raccolta di statistiche, il consenso preventivo deve essere implementato prima dell'attivazione, e questa sezione aggiornata.

8. Sicurezza

Il servizio adotta misure tecniche e organizzative adeguate (art. 32 GDPR), tra cui: traffico cifrato in HTTPS con HSTS; cookie di sessione HttpOnly e Secure, non accessibili al codice della pagina; intestazioni di sicurezza restrittive contro l'esecuzione di codice non autorizzato; limitazione della frequenza delle richieste per contenere gli abusi; registro di sicurezza (§4); banca dati accessibile solo dalla rete interna del server; copie di sicurezza periodiche cifrate.

Nessuna misura può garantire una sicurezza assoluta. In caso di violazione dei dati che comporti un rischio elevato per i tuoi diritti, sarai informato ai sensi dell'art. 34 GDPR.

9. I tuoi diritti

Puoi esercitare in ogni momento i diritti previsti dagli artt. 15-22 GDPR: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione ai trattamenti fondati sul legittimo interesse.

• Per i dati di {{APP_NAME}} (§1.1): scrivi a {{TENANT_CONTACT_EMAIL}}.
• Per l'account mop.dev usato per l'accesso (§1.2): scrivi a info@mop.dev.

Riceverai riscontro entro un mese, prorogabile di due mesi per richieste complesse (art. 12).

Hai inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità di controllo dello Stato in cui risiedi.

10. Modifiche

Questa informativa può essere aggiornata. La versione vigente è sempre pubblicata a questo indirizzo, con numero di versione e data in testa. Le modifiche sostanziali ti saranno comunicate con ragionevole anticipo; le versioni precedenti sono conservate in policies/versions/.

11. Contatti