INFORMATIVA GENERALE SUL TRATTAMENTO DEI DATI PERSONALI

ai sensi degli artt. 12, 13 e, ove applicabile, 14 del Regolamento (UE) 2016/679 – GDPR

RAFTING REPUBLIC – GRAPE S.C. / ANATREDIFIUME ASD

1. CHI TRATTA I DATI

GRAND PARADIS EMOTIONS SOC. COOP. – GRAPE S.C.
Marchio: Rafting Republic
Sede legale: Frazione Ferrière, 11010 Aymavilles (AO)
Sede operativa: Località Clos Savin, 11010 Aymavilles (AO)
C.F./P.IVA 01052910070 – REA AO-64036
PEC: gpemotion@pro-pec.it – E-mail: info@raftingrepublic.com
Legale rappresentante: Brunet Jean-Pierre

ANATREDIFIUME ASD
Sede legale: Frazione Ferrière, 11010 Aymavilles (AO)
Sede operativa: Località Clos Savin, 11010 Aymavilles (AO)
C.F. 91048250079 – P.IVA 01134730074 – Codice Univoco M5UXCR1
PEC: anatredifiume@pec.it – E-mail operativa: info@raftingrepublic.com
Presidente e legale rappresentante: Elia China-Bino

GRAPE S.C. e Anatredifiume ASD operano, secondo l’attuale assetto organizzativo e contrattuale, quali titolari autonomi per i trattamenti di rispettiva competenza. I dati possono essere condivisi tra le due organizzazioni esclusivamente nella misura necessaria allo svolgimento delle rispettive attività e dei servizi collegati.

Contatto privacy operativo: info@raftingrepublic.com. Le richieste saranno indirizzate al soggetto competente. Referente interno per il coordinamento delle richieste privacy: Brunet Jean-Pierre. Non è stato designato un Responsabile della protezione dei dati (RPD/DPO).

2. RIPARTIZIONE DEI RUOLI IN BASE ALL’ATTIVITÀ

Attività Classica, Advanced, Selection e altre attività commercializzate da GRAPE S.C.

• GRAPE S.C. gestisce il rapporto commerciale con il cliente, la prenotazione, la vendita, l’incasso, l’amministrazione, il customer care e i servizi propri.
• Anatredifiume ASD interviene nell’esecuzione pratica, tecnica e logistica della discesa fluviale tramite i propri istruttori.
• Il Responsabile Guide può accedere ai soli dati operativi necessari all’organizzazione e alla sicurezza dell’attività; il sistema dovrà essere configurato secondo il principio di minimizzazione degli accessi.
• I partecipanti a queste attività non vengono tesserati F.I.Raft per effetto della sola partecipazione.

Attività Family

• L’attività Family è venduta ed erogata da Anatredifiume ASD.
• La prenotazione utilizza la piattaforma Rafting Republic/GPE; gli incassi dell’attività confluiscono sui canali finanziari intestati ad Anatredifiume ASD.
• Per l’attività Family è previsto il tesseramento del partecipante secondo le procedure F.I.Raft applicabili.
• GRAPE S.C. gestisce autonomamente i propri servizi ulteriori, tra cui il servizio Foto/Video, l’eventuale utilizzo promozionale delle immagini e la newsletter/marketing Rafting Republic.

3. CATEGORIE DI DATI TRATTATI

• dati identificativi e anagrafici: nome, cognome, codice fiscale, data e luogo di nascita;
• dati di contatto: telefono, e-mail e indirizzo di residenza;
• dati relativi alla prenotazione, attività, data, orario, gruppo/equipaggio e partecipazione;
• dati relativi a pagamenti, anticipi, saldi, esiti delle transazioni e documentazione amministrativa;
• dichiarazioni relative alla partecipazione consapevole e alla sicurezza dell’attività;
• firma grafica apposta su supporto cartaceo o tramite touch/mouse, data e ora della sottoscrizione, versione dei testi accettati e scelte espresse;
• dati relativi a consensi, dinieghi, revoche e successive versioni della registrazione;
• dati del genitore, esercente la responsabilità genitoriale, tutore legale o adulto responsabile/accompagnatore quando il partecipante è minorenne;
• fotografie e riprese video, ove realizzate;
• dati contenuti nelle comunicazioni via e-mail, PEC, telefono o WhatsApp Business;
• dati tecnici di navigazione e preferenze cookie secondo la Cookie Policy.

Il modulo ordinario di partecipazione non richiede diagnosi, patologie specifiche, terapie, farmaci o altri dettagli sanitari. Eventuali dati relativi alla salute possono essere trattati solo in situazioni specifiche, ad esempio in caso di emergenza, infortunio o sinistro, e limitatamente a quanto necessario.

4. FINALITÀ E BASI GIURIDICHE

4.1 Prenotazione, registrazione, organizzazione e svolgimento dell’attività

• gestione delle richieste e delle prenotazioni;
• identificazione dei partecipanti e organizzazione di turni, gruppi ed equipaggi;
• comunicazioni operative, variazioni, cancellazioni e assistenza al cliente;
• erogazione dell’attività e gestione delle decisioni tecniche e di sicurezza;
• gestione di pagamenti, anticipi, saldi e documenti connessi.

Base giuridica: art. 6, par. 1, lett. b) GDPR – esecuzione di misure precontrattuali e del rapporto con l’interessato.

4.2 Sicurezza, prevenzione dei rischi e tutela dei diritti

• documentare l’avvenuta informazione sui rischi e le dichiarazioni rese dal partecipante;
• gestire eventuali esclusioni, interruzioni o modifiche dell’attività per ragioni di sicurezza;
• prevenire abusi, contestazioni e utilizzi impropri;
• accertare, esercitare o difendere diritti in sede stragiudiziale o giudiziaria.

Base giuridica: art. 6, par. 1, lett. b) GDPR e, ove applicabile, art. 6, par. 1, lett. f) GDPR – legittimo interesse alla sicurezza, alla corretta organizzazione e alla tutela dei diritti.

4.3 Obblighi amministrativi, fiscali e di legge

I dati sono trattati per contabilità, fiscalità, fatturazione/ricevute, adempimenti previsti dalla legge, richieste delle Autorità e obblighi connessi all’attività svolta.

Base giuridica: art. 6, par. 1, lett. c) GDPR – adempimento di obblighi legali.

4.4 Incidenti, infortuni, sinistri e dati relativi alla salute

In caso di incidente, infortunio o sinistro possono essere trattati dati ulteriori, comprese informazioni o documenti relativi alla salute, esclusivamente se necessari alla gestione dell’evento, alla tutela dell’interessato, alla gestione assicurativa o all’accertamento, esercizio o difesa di un diritto.

Per i dati relativi alla salute si applicano, a seconda del caso concreto, le condizioni previste dall’art. 9 GDPR, in particolare quando il trattamento è necessario per la tutela di interessi vitali o per l’accertamento, esercizio o difesa di un diritto.

5. ATTIVITÀ FAMILY E TESSERAMENTO F.I.RAFT

Per l’attività Family, Anatredifiume ASD utilizza i dati necessari per la registrazione e il tesseramento del partecipante secondo le procedure della Federazione Italiana Rafting – F.I.Raft.

I dati necessari vengono trasmessi o inseriti nei sistemi federali. F.I.Raft tratta i dati, per le finalità di propria competenza, quale autonomo titolare secondo la propria informativa privacy.

Informativa F.I.Raft per utenti/prenotazione: https://firaftbooking.it/terms/utenti-prenotazione

Nel flusso Family la presa visione dell’informativa F.I.Raft e la richiesta di tesseramento devono essere presentate in modo distinto e riconoscibile rispetto agli altri consensi facoltativi.

6. MINORI

Quando il partecipante è minorenne, vengono trattati i dati del minore e quelli dell’adulto che effettua la registrazione. Il sistema distingue tra genitore/esercente la responsabilità genitoriale, tutore legale e adulto responsabile/accompagnatore.

Per gruppi organizzati, scuole e scout, la regola ordinaria è che ciascun genitore compili il modulo per il proprio figlio. L’eventuale intervento di un altro adulto responsabile non determina automaticamente l’attribuzione della qualifica di genitore o tutore legale.

Per il minore viene utilizzato come contatto l’indirizzo e-mail dell’adulto responsabile della registrazione. L’eventuale consenso marketing riguarda l’adulto titolare dell’indirizzo e-mail e non il minore.

7. PAGAMENTI

I pagamenti elettronici sono gestiti tramite prestatori di servizi di pagamento, tra cui Worldline, o altri strumenti messi a disposizione dall’operatore competente.

• Per le attività GRAPE, i pagamenti confluiscono sui sistemi e canali intestati a GRAPE S.C.
• Per l’attività Family, i pagamenti confluiscono sui sistemi e canali intestati ad Anatredifiume ASD.
• Il servizio Foto/Video è gestito economicamente da GRAPE S.C., anche quando relativo a una Family.

I dati completi della carta di pagamento, quali numero completo e CVV, vengono inseriti direttamente nei sistemi del prestatore di pagamento e non sono memorizzati nel gestionale Rafting Republic. Gli operatori ricevono solo le informazioni necessarie alla gestione e riconciliazione della transazione.

8. SERVIZIO FOTO E VIDEO DELLA DISCESA

GRAPE S.C. / Rafting Republic può realizzare fotografie e riprese video durante l’attività per consentirne la visione e l’eventuale acquisto/consegna ai partecipanti.

• Il consenso Foto/Video è facoltativo e unico per fotografie e video.
• Il rifiuto non impedisce la partecipazione all’attività.
• Per ragioni organizzative, se non è possibile rispettare in modo affidabile le preferenze di tutti i partecipanti di un equipaggio/gruppo, il servizio può non essere realizzato per l’intero gruppo.
• Il consenso al normale servizio Foto/Video non autorizza l’uso promozionale o pubblicitario dell’immagine.

Base giuridica: consenso dell’interessato, art. 6, par. 1, lett. a) GDPR.

8-bis. CREAZIONE DI VERSIONI DE-IDENTIFICATE TRAMITE INTELLIGENZA ARTIFICIALE

GRAPE S.C. può selezionare singole fotografie e trattarne temporaneamente una copia mediante strumenti di intelligenza artificiale allo scopo di sostituire i volti dei partecipanti e produrre una versione destinata alla comunicazione promozionale con ridotta identificabilità.

La fase originale → servizio AI → verifica umana costituisce comunque trattamento di dati personali. Il processo è progettato con minimizzazione: una fotografia alla volta, filename neutro, nessun nome o dato di prenotazione nel prompt, accesso ristretto, controllo umano e cancellazione delle copie temporanee interne al termine della lavorazione.

Il fornitore AI può trattare temporaneamente la fotografia per erogare il servizio. Prima dell’attivazione stabile del processo GRAPE completa la qualificazione del fornitore, la base giuridica applicabile e le garanzie contrattuali/tecniche. Nell’assetto transitorio con ChatGPT Plus vengono adottate le misure interne previste dalla Procedura Fotografica v2, incluse disattivazione dell’uso dei contenuti per il miglioramento dei modelli e utilizzo di Temporary Chat per gli originali identificabili.

La base giuridica di questo trattamento specifico è in corso di validazione. La presente sezione non autorizza automaticamente la pubblicazione di persone reali riconoscibili: quando l’immagine resta identificabile si applicano le regole e le autorizzazioni previste per l’uso promozionale dell’immagine.

La versione finale viene sottoposta a controllo umano di fedeltà e di non-identificabilità. Se il risultato è dubbio, la fotografia viene rifatta o esclusa dall’uso promozionale.

9. UTILIZZO PROMOZIONALE DELL’IMMAGINE

L’utilizzo di fotografie o video riconoscibili per finalità di comunicazione, promozione o pubblicità di Rafting Republic è gestito da GRAPE S.C. e costituisce una finalità separata dal normale servizio Foto/Video.

I possibili canali comprendono:

• sito web Rafting Republic;
• Instagram, Facebook e YouTube;
• newsletter;
• materiale cartaceo e promozionale;
• campagne pubblicitarie online e offline, comprese campagne a pagamento.

Per i maggiorenni viene richiesto un consenso promozionale generale facoltativo e unico per i canali indicati. Per utilizzi particolarmente rilevanti – ad esempio testimonial, soggetto principale o campagne di forte esposizione – può essere richiesta una specifica autorizzazione ulteriore.

Per i minori il normale modulo di partecipazione non comporta autorizzazione promozionale generale. L’uso di una specifica immagine/video riconoscibile richiede una separata autorizzazione. Per la pubblicazione online/social e, in via prudenziale, per l’uso promozionale di immagini riconoscibili del minore, la procedura richiede di regola l’autorizzazione di entrambi gli esercenti la responsabilità genitoriale, salvo il caso documentabile di unico esercente la responsabilità genitoriale o di tutore legale. Per gli utilizzi particolarmente rilevanti deve essere individuato anche lo specifico materiale e l’ambito di utilizzo.

Base giuridica privacy: consenso dell’interessato o di chi legittimamente esercita i relativi poteri, art. 6, par. 1, lett. a) GDPR, ferme le norme applicabili sul diritto all’immagine.

10. NEWSLETTER E COMUNICAZIONI PROMOZIONALI

GRAPE S.C. può utilizzare l’indirizzo e-mail dell’adulto interessato per newsletter, informazioni sulle attività Rafting Republic, novità, offerte e comunicazioni promozionali esclusivamente previo consenso facoltativo.

• Il consenso marketing viene raccolto una sola volta per l’adulto/indirizzo e-mail, non per ogni figlio minorenne registrato.
• Il marketing Rafting Republic è effettuato da GRAPE S.C., non da Anatredifiume ASD né da F.I.Raft.
• WhatsApp Business è utilizzato per assistenza, prenotazioni e comunicazioni operative, non per marketing.
• Le comunicazioni e-mail possono essere gestite tramite Brevo.

Il consenso può essere revocato in qualsiasi momento tramite il link di disiscrizione o scrivendo a info@raftingrepublic.com. La revoca non pregiudica la liceità del trattamento precedente.

Base giuridica: consenso dell’interessato, art. 6, par. 1, lett. a) GDPR.

11. NATURA DEL CONFERIMENTO

Il conferimento dei dati necessari a identificazione, prenotazione, registrazione, organizzazione, pagamento, partecipazione, sicurezza, adempimenti amministrativi e, per la Family, tesseramento federale è necessario per fornire correttamente il servizio.

Sono invece facoltativi e separati il consenso al servizio Foto/Video, il consenso all’uso promozionale dell’immagine e il consenso marketing. Il rifiuto di tali trattamenti facoltativi non impedisce la partecipazione all’attività.

12. MODALITÀ DI TRATTAMENTO, ACCESSI E SICUREZZA

I dati sono trattati con strumenti informatici, telematici e, in casi eccezionali, cartacei. Gli accessi devono essere configurati secondo necessità, ruolo e principio di minimizzazione.

• Amministratori: accesso completo limitato ai soggetti autorizzati.
• Reception/segreteria: accesso ai dati necessari a prenotazione, pagamento, registrazione e consensi, senza funzioni tecniche di sistema.
• Responsabile Guide: accesso ai soli dati operativi necessari, quali nome, cognome, età/data di nascita, attività/gruppo e stato del consenso Foto/Video.
• Operatori Foto/Video: accesso ai soli dati necessari a identificare gruppo/partecipante e stato del consenso Foto/Video.
• Tecnici informatici: accesso esclusivamente quando necessario per assistenza, manutenzione, sicurezza o sviluppo, secondo autorizzazioni e accordi contrattuali.

Le misure di sicurezza comprendono, ove disponibili e configurate, autenticazione forte, controllo degli accessi, dispositivi protetti, cifratura del dispositivo, aggiornamenti di sicurezza, backup e procedure di revoca degli accessi.

13. SOGGETTI ESTERNI E DESTINATARI

I dati possono essere trattati o comunicati, nei limiti necessari, a:

• fornitori di hosting e infrastruttura, tra cui Ergonet;
• fornitori di posta elettronica, cloud e collaborazione, tra cui Google Workspace;
• prestatori di servizi di pagamento, tra cui Worldline;
• fornitori per newsletter e marketing, tra cui Brevo;
• fornitori per trasferimento temporaneo di file, tra cui Smash;
• fornitori per la gestione delle preferenze cookie, tra cui CookieYes;
• tecnici informatici, consulenti e professionisti autorizzati o nominati secondo il ruolo svolto;
• compagnie assicurative, Federazioni, consulenti e professionisti in caso di sinistro o necessità specifica;
• Autorità pubbliche o altri soggetti quando previsto dalla legge.

A seconda dell’attività svolta, tali soggetti possono operare come responsabili del trattamento, autonomi titolari o soggetti autorizzati. L’elenco aggiornato dei principali fornitori e dei relativi ruoli può essere richiesto a info@raftingrepublic.com.

• fornitori di servizi di intelligenza artificiale utilizzati per la de-identificazione temporanea delle immagini, previa qualificazione del ruolo, verifica contrattuale e adozione delle misure di minimizzazione previste dalla procedura interna;

14. TRASFERIMENTI EXTRA SEE

L’utilizzo di alcuni fornitori tecnologici può comportare, in determinate circostanze, trattamenti o trasferimenti di dati al di fuori dello Spazio Economico Europeo. Quando applicabile, tali trasferimenti avvengono secondo il Capo V GDPR, mediante decisioni di adeguatezza, clausole contrattuali standard o altri strumenti riconosciuti dalla normativa.

15. TEMPI DI CONSERVAZIONE

I dati sono conservati secondo criteri differenziati in base alla finalità:

• Moduli digitali di registrazione, dichiarazioni, firme e consensi: 10 anni dalla data dell’attività, salvo contenzioso, sinistro o altra necessità legale.
• Moduli cartacei: 5 anni, salvo collegamento a sinistri, contenziosi o altre esigenze specifiche.
• Dati amministrativi, contabili, fiscali e contrattuali: fino a 10 anni o per il diverso periodo previsto dalla legge.
• Richieste generiche via e-mail senza prenotazione: di regola 24 mesi dall’ultima comunicazione.
• Conversazioni WhatsApp Business ordinarie: di regola 24 mesi dall’ultima interazione, salvo necessità di conservare specifiche comunicazioni rilevanti.
• Pratiche di incidente/infortunio/sinistro: 10 anni dalla chiusura della pratica, salvo contenzioso, termini più lunghi applicabili o diversa necessità documentata.
• Foto/Video per normale vendita: indicativamente circa 15 giorni nei sistemi operativi; circa 30 giorni nei sistemi temporanei di consegna come Smash.
• Materiale promozionale ordinario autorizzato: di regola fino a 5 anni, con revisione periodica. Gli utilizzi particolarmente rilevanti seguono la durata della specifica autorizzazione.
• Marketing/newsletter: fino alla revoca del consenso o cessazione della finalità, conservando quanto necessario a documentare la revoca e impedire ulteriori invii.
• Backup: secondo cicli di retention limitati e procedure di sovrascrittura; i backup non sono utilizzati come archivi permanenti.
• copie temporanee interne usate per la lavorazione AI: cancellazione subito dopo il completamento e controllo del job; eventuali copie presso il fornitore seguono i tempi tecnici/contrattuali del servizio utilizzato. Nell’assetto transitorio con Temporary Chat il fornitore dichiara una possibile conservazione fino a 30 giorni per finalità di sicurezza.

16. FIRMA DIGITALE, VERSIONI E DUPLICATI

La registrazione digitale utilizza un link associato alla prenotazione. Il firmatario inserisce autonomamente i dati e appone una firma grafica tramite touch/mouse. Il sistema conserva data e ora, firma grafica, versione dei testi sottoscritti e scelte espresse.

Non viene effettuata, nel flusso ordinario, una verifica forte dell’identità tramite OTP o documento. Per autorizzazioni particolarmente delicate può essere prevista una verifica rafforzata.

In presenza di più registrazioni riferibili alla stessa persona, la registrazione più recente prevale operativamente. Le versioni precedenti devono essere mantenute nello storico e marcate come SUPERATE/non valide, senza essere cancellate.

17. DIRITTI DELL’INTERESSATO

L’interessato può esercitare, nei casi previsti, i diritti di:

• accesso ai dati personali;
• rettifica e integrazione;
• cancellazione;
• limitazione del trattamento;
• portabilità, quando applicabile;
• opposizione, quando applicabile;
• revoca dei consensi prestati, senza pregiudicare la liceità del trattamento precedente;
• ottenere informazioni sui destinatari o categorie di destinatari.

L’interessato può inoltre proporre reclamo al Garante per la protezione dei dati personali secondo le modalità previste dall’Autorità.

18. ESERCIZIO DEI DIRITTI E CONTATTI

Contatto operativo comune: info@raftingrepublic.com
GRAPE S.C. – PEC: gpemotion@pro-pec.it
Anatredifiume ASD – PEC: anatredifiume@pec.it

La richiesta sarà gestita dal soggetto competente in relazione allo specifico trattamento. Quando necessario, le due organizzazioni collaboreranno per assicurare un riscontro completo.

19. DATI RACCOLTI TRAMITE IL SITO E COOKIE

Il sito Rafting Republic utilizza cookie e tecnologie necessarie al funzionamento del sito e, previo consenso quando richiesto, strumenti analitici, pubblicitari, di misurazione delle conversioni e remarketing.

Le preferenze sono gestite tramite il sistema di gestione del consenso presente sul sito. Per categorie, fornitori, durate e modalità di modifica delle preferenze si rinvia alla Cookie Policy aggiornata.

20. PROCESSI DECISIONALI AUTOMATIZZATI

I dati raccolti tramite i moduli di registrazione e partecipazione non sono utilizzati per decisioni esclusivamente automatizzate che producano effetti giuridici o analogamente significativi ai sensi dell’art. 22 GDPR.

21. AGGIORNAMENTI

La presente informativa può essere aggiornata in caso di modifiche normative, organizzative, tecniche, contrattuali o dei fornitori utilizzati. La versione vigente viene resa disponibile attraverso i canali Rafting Republic e, ove necessario, presso la sede operativa.