Informativa sulla privacy

1. Chi è il titolare del trattamento

Associazione "Uni Domani" (in questa pagina "UniDomani" o "l'Associazione")
associazione non riconosciuta, senza scopo di lucro (artt. 36 e seguenti del Codice civile)
Sede legale: Via Goffredo Mameli 142/A, 37124 Verona (VR), Italia
Codice fiscale: 93328400234
Legale rappresentante: il Presidente, Enzo Russo
Email: privacy@unidomani.it

Per qualsiasi domanda sui tuoi dati, o per esercitare i tuoi diritti, scrivi a questo indirizzo. Non è stato nominato un responsabile della protezione dei dati (DPO), perché per un'associazione di queste dimensioni la legge non lo richiede. Lo Statuto e i dati dell'Associazione sono su unidomani.it/associazione.

L'Associazione è stata costituita a Verona il 28 settembre 2026. Prima UniDomani era un progetto studentesco e il titolare era Enzo Russo, oggi Presidente: l'Associazione è subentrata come titolare in tutti i trattamenti descritti in questa pagina, che continuano con le stesse finalità, le stesse garanzie e gli stessi tempi di conservazione. Per i dati raccolti prima non devi fare nulla; se preferisci che non restino all'Associazione puoi chiederne la cancellazione (punto 11).

UniDomani è un'associazione studentesca e giovanile, autonoma e senza scopo di lucro, portata avanti da volontari. È indipendente dall'Università degli Studi di Verona, da ESU Verona e da ogni altro ente: non è un loro servizio ufficiale e non parla a loro nome. Nessun partito, sindacato o altro soggetto esterno nomina i suoi organi o le dà direttive (art. 3 dello Statuto). I nomi "UniVR", "Esse3", "Moodle" e gli altri marchi di terzi sono citati solo a scopo informativo.

2. Servizi a cui si applica

unidomani.it: sito dell'Associazione, modulo di contatto, newsletter e candidature allo staff ("Unisciti a noi");
iscriviti.unidomani.it: candidature allo staff;
hub.unidomani.it: orari, appelli, corsi, bandi, mensa e guide;
ia.unidomani.it: UniDomani IA, assistente automatico per gli studenti (con le sue condizioni d'uso);
l'app UniDomani per smartphone;
segnala.unidomani.it: segnalazioni anonime;
moduli.unidomani.it: moduli e sondaggi;
beachvolley.unidomani.it: iscrizioni al torneo di beach volley;
drive.unidomani.it e admin.unidomani.it: strumenti interni dello staff;
privacy.unidomani.it: questa pagina.

Vale anche per i dati degli associati e degli organi dell'Associazione (punto 4.12). Non si applica ai siti di terzi raggiungibili tramite link, che hanno le loro informative.

3. Regole comuni a tutti i servizi

3.1 Indirizzo IP e log tecnici

Per rispondere a una richiesta ogni server deve conoscere l'indirizzo IP di chi la fa: è il modo in cui funziona Internet. Da parte nostra:

non registriamo l'indirizzo IP di chi usa i siti e l'app, in nessun database e in nessun file di log; l'unica eccezione riguarda chi tenta di entrare nell'amministrazione del server (punto 8);
i log tecnici dei nostri server contengono solo data e ora, sito, pagina richiesta (senza parametri), esito, dimensione e durata della risposta. Nei log degli errori gli indirizzi sono sostituiti da zeri prima di essere scritti. Servono a far funzionare i servizi e a trovare i guasti e si cancellano dopo 7 giorni;
per difenderci dagli abusi (invii a raffica, tentativi di indovinare una password) i server tengono l'indirizzo IP solo nella memoria di lavoro, per contare le richieste, per al massimo un'ora, senza scriverlo da nessuna parte;
tutti i siti e le API sono serviti dai nostri server, ospitati da OVH in Francia: nessun altro fornitore riceve le richieste dei visitatori. Le eccezioni: per ora le mappe del campus (punto 6) e, solo per chi paga la quota di un evento, Stripe e, per Google Pay, Google (punto 4.6).

Base giuridica: legittimo interesse a far funzionare i servizi e a proteggerli dagli abusi (art. 6, par. 1, lett. f) GDPR e considerando 49).

3.2 La casella "Ho letto l'informativa" e i consensi

Ogni modulo che raccoglie dati personali ha una casella obbligatoria, non già spuntata, con cui dichiari di aver letto questa informativa. Il nostro server rifiuta l'invio se la casella non è spuntata e registra la data e la versione dell'informativa che hai letto. Non è un "consenso": quando sei tu a chiederci qualcosa (iscriverti, candidarti, scriverci) la base giuridica è la tua richiesta.

Quando invece un trattamento si basa sul tuo consenso (newsletter, statistiche di Google Analytics, allergeni salvati nell'account, segnalazioni di errore automatiche dell'app) lo chiediamo con una casella o un pulsante separato, facoltativo e non già attivo, e lo puoi revocare in ogni momento con la stessa facilità con cui l'hai dato. La revoca non rende illecito quello che è stato fatto prima.

3.3 Protezione anti-robot

Segnala, i moduli, le iscrizioni agli eventi, il modulo di contatto e la newsletter usano una verifica anti-robot che gira sui nostri server (ALTCHA): quando premi "Invia", il tuo browser risolve un piccolo calcolo e ci manda il risultato. Non coinvolge servizi esterni, non usa cookie e non raccoglie dati su di te o sul tuo browser.

4. I servizi uno per uno

4.1 Segnalazioni anonime (segnala.unidomani.it)

Dati: La categoria scelta, il testo della segnalazione e la data. Non chiediamo nome o email e non registriamo l'indirizzo IP né altri dati del dispositivo. Il testo è salvato cifrato.
Perché: Ricevere e gestire le segnalazioni degli studenti in modo riservato.
Base giuridica: Legittimo interesse a offrire un canale di segnalazione riservato (art. 6, par. 1, lett. f) GDPR).
È obbligatorio?: No, scrivere è una tua scelta; la casella dell'informativa sì. Il testo è libero: se vuoi restare anonimo/a non scrivere dati che ti identificano, e non scrivere dati sulla salute o altri dati delicati tuoi o di altre persone se non servono davvero a capire il problema.
Per quanto: 30 giorni dall'invio, poi cancellazione automatica.
Chi le legge: Solo lo staff autorizzato, dal pannello di amministrazione. Non le inoltriamo a docenti o all'Ateneo, salvo obblighi di legge.

Siccome non sappiamo chi ha scritto una segnalazione, non possiamo ricondurla a te: se vuoi che ne cancelliamo una prima dei 30 giorni, scrivici indicando data e categoria.

4.2 Modulo di contatto e newsletter (unidomani.it)

Dati: Contatto: nome, email, oggetto e messaggio. Newsletter: indirizzo email, data e versione dell'informativa del consenso, conferma dell'iscrizione.
Perché: Rispondere a chi ci scrive; mandare la newsletter sulle attività e sui servizi di UniDomani a chi l'ha chiesta.
Base giuridica: Contatto: la tua richiesta (art. 6, par. 1, lett. b) GDPR). Newsletter: il tuo consenso (art. 6, par. 1, lett. a) GDPR).
È obbligatorio?: Nome, email e messaggio servono a risponderti; senza non possiamo farlo. La newsletter è facoltativa.
Come funziona: Il messaggio di contatto arriva come email nella casella di posta dell'Associazione e non viene salvato in altri archivi. Per la newsletter ti mandiamo un'email con un link di conferma: se non confermi entro 7 giorni l'indirizzo viene cancellato. Ti puoi disiscrivere in ogni momento dal link presente nelle email o scrivendo a privacy@unidomani.it. Alla stessa newsletter ci si può iscrivere anche da UniDomani IA.
Per quanto: Messaggi: il tempo necessario a gestire la richiesta e al massimo 12 mesi. Newsletter: fino alla disiscrizione.
Chi li vede: Lo staff che gestisce la posta e la newsletter.

4.3 Moduli e sondaggi (moduli.unidomani.it)

Dati: Quelli dei campi di ciascun modulo, che vedi prima di inviare, più data di invio e data e versione dell'informativa letta. Nessun indirizzo IP.
Perché: Quello indicato nel singolo modulo (per esempio organizzare un'attività o raccogliere opinioni degli studenti).
Base giuridica: La tua richiesta di partecipare (art. 6, par. 1, lett. b) GDPR); per sondaggi e raccolte di opinioni, il legittimo interesse di UniDomani a conoscere le esigenze degli studenti (art. 6, par. 1, lett. f) GDPR). Se un modulo chiede un consenso specifico, lo fa con una casella separata e facoltativa.
È obbligatorio?: I campi obbligatori sono segnati nel modulo; senza, l'invio non va a buon fine.
Per quanto: 12 mesi dall'invio, poi cancellazione automatica, o prima se non servono più.
Chi li vede: Lo staff che gestisce quel modulo.

4.4 Candidature allo staff (unidomani.it, iscriviti.unidomani.it, app)

Dati

unidomani.it ("Unisciti a noi"): nome, cognome, email, telefono, età, università, facoltà, anno di corso, aree di interesse, hobby, punti di forza, tempo libero, motivazione, contributo e disponibilità;
iscriviti.unidomani.it: nome, cognome, email, telefono, profilo Instagram se lo indichi, corso, anno, modalità di partecipazione, aree di interesse, motivazione, contributo e disponibilità;
app: i campi del modulo di candidatura dell'app;
in tutti i casi la data di invio e la data e la versione dell'informativa letta. Nessun indirizzo IP.

Non chiediamo opinioni politiche o altri dati particolari: non scriverli nei campi liberi.

Perché

Valutare la candidatura e ricontattarti.

Base giuridica

La tua richiesta di candidarti (art. 6, par. 1, lett. b) GDPR).

È obbligatorio?

I campi obbligatori sono segnati; senza non possiamo valutare la candidatura.

Per quanto

6 mesi dall'invio, poi cancellazione automatica. Se entri nello staff, i dati che servono passano al tuo account di staff (punto 4.11); se diventi associato/a, vale il punto 4.12.

Chi li vede

Lo staff che si occupa dei nuovi ingressi.

4.5 Torneo di beach volley (beachvolley.unidomani.it e app)

Dati: Nome, cognome, email, numero di matricola e telefono di ogni giocatore; nome e codice della squadra; conferma dell'email; codice QR personale; stato del pagamento della quota (versata con bonifico e registrata dallo staff); data e versione dell'informativa letta. Un registro tecnico delle operazioni (tipo di operazione e squadra, senza dati personali) si tiene 14 giorni. Nessun indirizzo IP o dato del browser.
Perché: Gestire iscrizioni, squadre, quote e accesso al torneo; la matricola serve a verificare che il torneo sia riservato agli studenti, il telefono a contattarti per l'organizzazione.
Base giuridica: La tua richiesta di iscriverti (art. 6, par. 1, lett. b) GDPR).
È obbligatorio?: Sì, tutti i campi: senza non possiamo gestire l'iscrizione.
Chi li vede: Lo staff che organizza il torneo. Chi ha il codice della tua squadra vede solo il tuo nome, l'iniziale del cognome e se hai confermato l'iscrizione.
Per quanto: 12 mesi dalla data del torneo, poi cancellazione automatica; le iscrizioni non confermate si cancellano entro un giorno dalla scadenza del link.

4.6 Iscrizioni agli eventi (hub.unidomani.it e app)

Dati: I campi del modulo dell'evento (sempre visibili prima dell'invio), l'email, il codice di iscrizione, l'eventuale stato del pagamento, la data e la versione dell'informativa letta. Nessun indirizzo IP. Chi prende più biglietti in un solo acquisto inserisce anche il nome e le risposte delle persone che lo accompagnano (mai il loro telefono), e deve farlo solo se lo sanno. Se vuole può indicare anche la loro email: in quel caso mandiamo a ciascuno il suo biglietto e questa informativa. Altrimenti il biglietto lo consegna chi ha comprato: sul biglietto è scritto chi tratta i dati e dove si trova l'informativa. I dati di queste persone li riceviamo quindi da chi compra, non da loro (art. 14 GDPR). Chi si offre come volontario per un evento lascia nome, email e, se vuole, telefono e un messaggio: servono solo a organizzare i volontari di quell'evento e si cancellano con le iscrizioni. Il biglietto in PDF (allegato all'email di conferma e scaricabile dalla pagina) si apre col codice di iscrizione, quindi va custodito come un biglietto: porta solo il nome di chi entra e le sue scelte, mai email, telefono o altre risposte.
Chi li vede: Le persone dello staff dell'Associazione che organizzano l'evento, dal pannello di amministrazione.
Perché: Gestire la partecipazione all'evento.
Base giuridica: La tua richiesta di iscriverti (art. 6, par. 1, lett. b) GDPR).
È obbligatorio?: I campi segnati come obbligatori sì.
Pagamenti: Se l'evento è a pagamento, il pagamento è gestito da Stripe Payments Europe, Ltd. (Irlanda), che agisce come titolare autonomo: i dati della carta non passano dai nostri server, e dal modulo a Stripe non mandiamo il tuo nome né la tua email. Si paga con carta, anche con Apple Pay e Google Pay se il tuo dispositivo li ha: in quel caso il portafoglio può consegnare a Stripe i dati di fatturazione della carta (per esempio il nome dell'intestatario) e il pagamento passa anche da Apple o da Google, secondo le loro regole. Con la carta di norma la tua banca ti chiede di confermare il pagamento (3-D Secure). Solo quando arrivi al passo del pagamento il tuo browser carica il programma di Stripe dai server di Stripe: da quel momento Stripe riceve il tuo indirizzo IP e rileva alcune caratteristiche del dispositivo e del browser, che usa per riconoscere le frodi, e può salvare due cookie tecnici (punto 5); per sapere se mostrarti Google Pay, il riquadro di Stripe può interrogare anche i server di Google, che ricevono il tuo indirizzo IP. Il posto resta tenuto per un tempo limitato mentre paghi (di norma 15 minuti); un pagamento che arriva quando il posto è già stato liberato viene rimborsato. I documenti contabili dei pagamenti si conservano 10 anni, come impone la legge (art. 6, par. 1, lett. c) GDPR).
Per quanto: 12 mesi dalla data dell'evento (o dall'iscrizione, se l'evento non ha una data), poi cancellazione automatica. Un'iscrizione a pagamento lasciata a metà, mai pagata, si cancella dopo 30 giorni.

4.7 App UniDomani

Dati

account: nome, email, password (salvata solo come impronta non leggibile), oppure accesso con Google (in quel caso Google ci comunica nome, email e immagine del profilo); data e versione dell'informativa letta; data dell'ultimo accesso;
profilo di studente: corso, anno di immatricolazione, anno di corso, mail di Ateneo e codice di verifica inviato via email;
sincronizzazione: libretto, preferiti e personalizzazioni salvati nel tuo account per ritrovarli su un altro dispositivo;
allergeni per la mensa: restano sul telefono; li salviamo nel tuo account solo se attivi l'opzione apposita, perché possono dire qualcosa sulla tua salute;
bacheca e chat con lo staff: post, commenti, partecipazioni, segnalazioni e messaggi che scrivi;
segnalazione di un problema: il testo che scrivi, la piattaforma e la versione dell'app; se hai un account anche la tua email, altrimenti la data e la versione dell'informativa che confermi di aver letto;
sondaggi: un identificativo casuale creato al tuo primo voto, per contare un solo voto per dispositivo;
segnalazioni di errore automatiche: solo se le attivi nelle impostazioni (tipo di errore, dettagli tecnici, piattaforma e versione dell'app).

L'app non contiene strumenti di analisi, pubblicità o tracciamento. Comunica con i nostri server, con due eccezioni: su Android il lettore di codici QR (Google ML Kit) invia a Google dati tecnici di diagnostica, senza l'immagine né il contenuto del codice; alcune immagini (notizie, convenzioni) si scaricano dal sito che le ospita, che per consegnarle vede l'indirizzo IP del telefono. Candidature, beach volley ed eventi dall'app seguono i punti 4.4, 4.5 e 4.6.

Perché

Fornirti i servizi dell'app che usi e correggere gli errori.

Base giuridica

Il servizio che chiedi creando l'account (art. 6, par. 1, lett. b) GDPR); per gli allergeni salvati nell'account, il tuo consenso esplicito (art. 9, par. 2, lett. a) GDPR); per le segnalazioni di errore automatiche, il tuo consenso (art. 6, par. 1, lett. a) GDPR); per la segnalazione di un problema, anche senza account, la tua richiesta (art. 6, par. 1, lett. b) GDPR).

È obbligatorio?

Nome, email e password (o l'accesso con Google) servono a creare l'account. Tutto il resto è facoltativo.

Per quanto

L'account e tutti i suoi contenuti restano finché non li elimini dall'app ("Elimina account"), oppure fino a 24 mesi senza accessi, dopo i quali li cancelliamo in automatico. I messaggi della chat e le segnalazioni si cancellano comunque dopo 12 mesi; i codici di verifica entro un giorno dalla scadenza; l'identificativo dei sondaggi 30 giorni dopo la chiusura del sondaggio.

Chi li vede

Lo staff autorizzato, per la sezione di cui si occupa (per esempio la chat). I post della bacheca li vede chi usa l'app.

4.8 UniDomani IA (ia.unidomani.it)

Dati: La mail di Ateneo (o la mail di invito dei tester) di chi accede con un account, le domande e le risposte, i giudizi e le segnalazioni che invii, la data e la versione delle condizioni accettate. Chi usa l'assistente senza account (ospiti e demo) deve prima spuntare la casella delle condizioni e dell'informativa. Nessun indirizzo IP viene salvato.
Come funziona: Prima dell'elaborazione il sistema oscura in automatico alcuni dati riconoscibili (email, telefoni, matricole, codici fiscali, IBAN, indirizzi): l'oscuramento non è infallibile, quindi non scrivere dati personali, tanto meno sulla salute. Le risposte sono generate con i modelli di OpenAI (OpenAI Ireland Ltd), che può trattare i dati anche negli Stati Uniti con le clausole contrattuali tipo, conserva le richieste fino a 30 giorni per il controllo degli abusi e non le usa per addestrare i modelli. Quando i documenti non bastano, una versione riformulata della domanda, senza dati che identificano chi la fa, viene cercata sui siti dell'Ateneo tramite DuckDuckGo.
Dettagli: Finalità, basi giuridiche e tempi (conversazioni, preferiti, registri di 12 mesi) sono descritti nelle condizioni d'uso e informativa di UniDomani IA, che fanno parte di questa informativa.

4.9 UniDomani HUB (hub.unidomani.it)

Dati: HUB si usa senza account. Per mostrarti orari, appelli, bandi e piatti il browser chiede al nostro server i dati del corso o della ricerca che hai scelto: queste richieste non contengono identificativi e non vengono collegate a te (non registriamo l'indirizzo IP). Le tue scelte restano nel browser (punto 5). Se voti un piatto della mensa, al primo voto il browser crea un identificativo casuale che mandiamo con il voto e salviamo solo come impronta calcolata con una chiave segreta, per contare un solo voto per piatto.
Base giuridica: Il servizio che chiedi (art. 6, par. 1, lett. b) GDPR); per il voto sulla mensa, il legittimo interesse a evitare voti ripetuti (art. 6, par. 1, lett. f) GDPR).
Per quanto: L'impronta del voto si cancella dopo 30 giorni; resta solo il voto, anonimo.
Statistiche: Solo se le accetti, Google Analytics (punto 5).

4.10 Archivio dello staff (drive.unidomani.it)

Dati: Nome utente, nome, email e password (salvata solo come impronta non leggibile) dei membri dello staff, codici di verifica inviati via email, file caricati e loro condivisioni, registro delle operazioni (chi ha fatto cosa e quando, senza indirizzo IP).
Perché: Organizzare il lavoro dello staff e proteggere l'archivio.
Base giuridica: Legittimo interesse a organizzare e proteggere il lavoro dello staff (art. 6, par. 1, lett. f) GDPR).
Per quanto: Account finché la persona fa parte dello staff; file eliminati 30 giorni nel cestino; condivisioni scadute cancellate entro un giorno; registro delle operazioni 12 mesi.

4.11 Pannello dello staff (admin.unidomani.it)

Dati: Dei membri dello staff: nome utente, nome, email, foto se caricata, password (salvata solo come impronta non leggibile), passkey registrate, data dell'ultimo accesso e un registro degli accessi (utente, esito, data e ora, senza indirizzo IP e senza dati del browser).
Perché: Permettere allo staff di gestire i servizi e proteggere l'accesso: ogni accesso richiede un codice inviato via email oppure una passkey.
Base giuridica: Legittimo interesse a organizzare e proteggere il lavoro dello staff (art. 6, par. 1, lett. f) GDPR).
Per quanto: Account finché la persona fa parte dello staff; registro degli accessi 14 giorni.
Chi accede ai dati degli utenti: I membri dello staff accedono al pannello di amministrazione con credenziali personali, istruzioni scritte dell'Associazione e l'impegno alla riservatezza. Gli iscritti a un evento li vede lo staff che usa il pannello; cancellare ed esportare i dati è riservato agli amministratori.

4.12 Associati e organi dell'Associazione

Dati: Di chi chiede di diventare associato/a e degli associati: nome, cognome, dati anagrafici e recapiti indicati nella domanda di ammissione, data di ammissione e di cessazione, quota annuale se prevista, cariche ricoperte; presenze, deleghe e voti nelle riunioni dell'Assemblea e del Consiglio Direttivo, come risultano dai verbali. Nessuno di questi dati è raccolto dai siti in automatico.
Perché: Decidere sulle domande di ammissione, tenere il libro degli associati, convocare l'Assemblea e gestire quote, cariche e verbali, come prevede lo Statuto (artt. 8, 11-14 e 20).
Base giuridica: Il rapporto associativo che chiedi di avere con UniDomani (art. 6, par. 1, lett. b) GDPR) e gli obblighi di legge dell'Associazione, per esempio quelli contabili e fiscali (art. 6, par. 1, lett. c) GDPR).
È obbligatorio?: Sì: senza i dati della domanda non possiamo decidere sull'ammissione né tenere il libro degli associati.
Chi li vede: Il Consiglio Direttivo, in particolare il Segretario (libro degli associati e verbali) e il Tesoriere (quote). Gli associati possono consultare i libri dell'Associazione nei modi stabiliti dal Consiglio Direttivo, nel rispetto della riservatezza (art. 20 dello Statuto). Se un Ateneo o un ente presso cui l'Associazione opera chiede l'elenco degli associati o dei candidati di una lista, comunichiamo solo i dati che il suo regolamento richiede, e te lo diciamo prima.
Per quanto: Per tutta la durata del rapporto associativo. Dopo la cessazione, il libro degli associati, i verbali e la documentazione contabile si conservano per 10 anni. Le domande di ammissione non accolte si cancellano 6 mesi dopo la decisione.

I dati tecnici salvati nel browser servono solo a far funzionare quello che usi e non richiedono consenso (art. 122 del Codice privacy). Restano sul tuo dispositivo, salvo dove indicato, e li puoi cancellare dalle impostazioni del browser.

Dove	Cosa	A cosa serve	Durata
unidomani.it, HUB	scelta sui cookie (localStorage)	ricordare se hai accettato o rifiutato le statistiche	6 mesi, poi ti richiediamo
HUB	opzioni di accessibilità, ultimo corso scelto negli orari e negli appelli, vista preferita, copia dell'ultima settimana di orari, filtro dei bandi, piatti già votati (localStorage)	ritrovare le tue scelte	finché non le cancelli
HUB	`hub-mensa-voter` (localStorage)	identificativo casuale creato al primo voto sulla mensa e inviato con i voti (punto 4.9)	finché non lo cancelli
HUB, solo se paghi la quota di un evento	identificativi dell'iscrizione e del pagamento in corso (localStorage); cookie tecnici di Stripe `__stripe_mid` e `__stripe_sid`	ritrovare l'esito del pagamento tornando sulla pagina (riaprendola, i due identificativi tornano al nostro server, che risponde com'è finito); riconoscere le frodi durante il pagamento (punto 4.6)	fino alla fine del pagamento o alla scadenza della prenotazione; passato un giorno non vengono più usati e si cancellano alla prima visita a quella pagina; i cookie di Stripe un anno e 30 minuti
Segnala, moduli	lingua, opzioni di accessibilità (localStorage)	ricordare le tue scelte	finché non le cancelli
UniDomani IA	cookie tecnico `ia_auth`; preferenze dell'interfaccia (localStorage)	tenerti collegato/a e ricordare l'accettazione delle condizioni	30 giorni (7 per le demo)
admin.unidomani.it, drive.unidomani.it	dato di sessione (localStorage)	tenere collegato chi è dello staff	fino all'uscita o alla scadenza della sessione

Statistiche (solo con il tuo consenso). Su unidomani.it e hub.unidomani.it usiamo Google Analytics 4 (Google Ireland Ltd e Google LLC, Stati Uniti) solo se lo accetti dal banner: prima della tua scelta il codice di Google non viene nemmeno caricato. Google Analytics scrive i cookie _ga e _ga_<ID>, che contengono un identificativo casuale del browser e durano fino a 2 anni. I dati sono pseudonimi, non anonimi. Google riceve l'indirizzo IP al momento della raccolta, per ricavare una posizione approssimativa, e non lo registra né lo conserva; i cookie valgono solo per il sito su cui li accetti e non scriviamo cookie pubblicitari; abbiamo spento i segnali pubblicitari e la condivisione con altri prodotti Google, e le statistiche restano 14 mesi. Rifiutare non cambia nulla nel funzionamento dei siti. Puoi cambiare idea in ogni momento: sull'HUB da "Preferenze cookie" nel piè di pagina, su unidomani.it dal pulsante con l'ingranaggio in basso a sinistra.

Base giuridica: il tuo consenso (art. 6, par. 1, lett. a) GDPR e art. 122 del Codice privacy).

Nessun nostro sito carica caratteri, script o immagini da servizi di terzi prima del tuo consenso: tutto è servito dai nostri server. Unica eccezione, solo nel momento in cui paghi la quota di un evento (punto 4.6): il programma di Stripe, perché senza non si può pagare, che a sua volta può caricare quello di Google per sapere se mostrarti Google Pay.

6. A chi comunichiamo i dati e trasferimenti fuori dall'UE

I dati non sono venduti né ceduti. Li trattano per nostro conto, come responsabili del trattamento (art. 28 GDPR), solo questi fornitori:

Fornitore	Per cosa	Dove
OVH SAS	server su cui stanno tutti i siti, le API, i database, l'archivio dei file e la posta elettronica	Francia (UE)
Google Ireland Ltd / Google LLC	Google Analytics su unidomani.it e HUB, solo con il tuo consenso	Irlanda e Stati Uniti
OpenAI Ireland Ltd	generazione delle risposte di UniDomani IA	Irlanda, con trattamenti anche negli Stati Uniti

Ricevono dati senza trattarli per nostro conto: Stripe Payments Europe, Ltd. per i pagamenti degli eventi (titolare autonomo, punto 4.6) e, solo al passo del pagamento, Apple o Google se paghi con Apple Pay o Google Pay (Google anche per controllare se Google Pay è disponibile sul tuo dispositivo); Google, come titolare autonomo, per l'accesso all'account con Google (se lo scegli) e per la diagnostica del lettore QR dell'app su Android (punto 4.7); Cloudflare, da cui passano oggi le mappe del campus aperte dai codici QR (vede l'indirizzo IP di chi le apre: le stiamo spostando sui nostri server); DuckDuckGo, a cui il nostro server manda la domanda riformulata di UniDomani IA quando serve una ricerca sul web, senza indirizzo IP né dati che identificano chi l'ha fatta.

Trasferimenti fuori dall'UE. Google aderisce al Data Privacy Framework UE-USA, riconosciuto adeguato dalla Commissione europea (decisione del 10 luglio 2023); i trasferimenti di OpenAI verso gli Stati Uniti si basano sulle clausole contrattuali tipo approvate dalla Commissione europea. Puoi chiederci copia delle garanzie scrivendo a privacy@unidomani.it.

I dati possono essere comunicati alle autorità solo nei casi previsti dalla legge.

7. Per quanto teniamo i dati

Dato	Per quanto
Indirizzo IP	mai salvato; in memoria al massimo 1 ora
Log tecnici dei server (senza IP)	7 giorni
Indirizzi di chi tenta l'accesso amministrativo al server (SSH)	7 giorni
Segnalazioni anonime	30 giorni
Messaggi del modulo di contatto	al massimo 12 mesi
Newsletter	fino alla disiscrizione; non confermate 7 giorni
Risposte ai moduli	12 mesi
Candidature allo staff	6 mesi
Iscrizioni al beach volley	12 mesi dalla data del torneo
Iscrizioni agli eventi	12 mesi dalla data dell'evento
Account dell'app e contenuti	fino all'eliminazione o 24 mesi senza accessi; chat e segnalazioni 12 mesi
Impronta del voto sulla mensa	30 giorni
UniDomani IA	vedi le condizioni d'uso
Libro degli associati, verbali e contabilità dell'Associazione	durata del rapporto associativo, poi 10 anni; domande non accolte 6 mesi
Registro degli accessi dello staff	14 giorni
Registro tecnico delle operazioni del beach volley (senza dati personali)	14 giorni
Documenti contabili degli eventi a pagamento	10 anni
Registro delle operazioni del drive	12 mesi
Copie di sicurezza cifrate	fino a 6 mesi

Copie di sicurezza. Ogni notte i server vengono copiati, con una connessione cifrata, su un nostro server in Italia; gli archivi sono cifrati e si tengono fino a 6 mesi. Un dato cancellato può quindi restare in una copia fino alla sua scadenza, senza essere usato; se dovessimo ripristinare una copia, cancelleremmo subito di nuovo i dati che nel frattempo erano stati cancellati.

8. Sicurezza

tutte le comunicazioni passano in HTTPS;
il testo delle segnalazioni è cifrato nel database (AES-256-GCM);
le password sono salvate solo come impronte non leggibili;
ogni accesso al pannello dello staff richiede un codice via email o una passkey;
le cancellazioni descritte al punto 7 sono automatiche;
gli archivi delle copie di sicurezza sono cifrati;
il server registra per 7 giorni gli indirizzi di chi tenta di collegarsi al suo accesso amministrativo (SSH), per bloccare i tentativi di intrusione: riguarda l'amministrazione del server, non chi usa i siti.

In caso di violazione dei dati che possa comportare un rischio per le persone, l'Associazione la notifica al Garante entro 72 ore e, se il rischio è elevato, avvisa le persone coinvolte (artt. 33 e 34 GDPR).

9. Minori

I servizi sono pensati per chi studia all'università. Per i trattamenti basati sul consenso (newsletter, statistiche, allergeni salvati nell'account, segnalazioni di errore dell'app) servono almeno 14 anni (art. 2-quinquies del Codice privacy); sotto i 14 anni serve il consenso di chi esercita la responsabilità genitoriale.

10. Decisioni automatizzate

Non prendiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici su di te o che ti riguardino in modo analogo (art. 22 GDPR), e non facciamo profilazione. I limiti automatici contro gli abusi possono solo rallentare o bloccare per poco tempo troppe richieste ravvicinate; le risposte di UniDomani IA sono generate in automatico, ma non sono decisioni su di te.

11. I tuoi diritti

Puoi chiedere in ogni momento di:

accedere ai tuoi dati e riceverne copia (art. 15);
correggerli (art. 16) o cancellarli (art. 17);
limitarne il trattamento (art. 18);
riceverli in un formato leggibile da un computer o farli passare a un altro titolare (portabilità, art. 20);
opporti ai trattamenti basati sul legittimo interesse (art. 21), per esempio al voto sulla mensa o all'uso delle domande e dei giudizi dati a UniDomani IA per migliorarla;
revocare il consenso dato (newsletter, statistiche, allergeni, segnalazioni di errore), con effetto per il futuro.

Scrivi a privacy@unidomani.it. Rispondiamo entro un mese (prorogabile di altri due mesi nei casi complessi, avvisandoti). Se non siamo sicuri che la richiesta venga da te possiamo chiederti di confermarla dall'indirizzo email collegato ai dati. Nell'app puoi anche eliminare direttamente l'account con tutti i suoi contenuti.

12. Reclamo al Garante

Se ritieni che i tuoi dati siano trattati in modo non conforme puoi proporre reclamo al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it, o rivolgerti all'autorità giudiziaria.

13. Modifiche

Se cambiano i servizi o le norme aggiorniamo questa informativa, la data e il codice di versione in cima. Ogni presa visione e ogni consenso sono registrati con il codice della versione in vigore in quel momento. Versione precedente: 30 settembre 2026 (aggiornata il 1 ottobre 2026). Cosa cambia con la versione del 2 ottobre 2026: il titolare è l'Associazione "Uni Domani", costituita il 28 settembre 2026, che subentra a Enzo Russo (punto 1); aggiunto il punto 4.12 sugli associati e sugli organi dell'Associazione. Per i servizi online non cambia nulla: stessi dati, stesse finalità, stessi tempi. Cosa cambia con la versione del 5 ottobre 2026: al punto 4.6 gli eventi a pagamento (Stripe al momento del pagamento e i suoi cookie tecnici; si paga anche con Apple Pay e Google Pay, e in quel passo Apple o Google ricevono dati), i biglietti per chi viene con te, il biglietto in PDF, i volontari e la cancellazione dopo 30 giorni delle iscrizioni mai pagate; la segnalazione di un problema dall'app.