motoInformativa sul trattamento dei dati personali
motogpx.org è un sito su cui i motociclisti condividono percorsi turistici in formato GPX. Questa informativa spiega quali dati raccogliamo, perché, per quanto tempo li conserviamo e quali diritti hai. Per cookie e statistiche vedi la cookie policy.
- Titolare del trattamento
- Quali dati trattiamo e perché
- I file GPX: un avviso importante
- Cosa diventa pubblico
- Il registro dei download
- A chi comunichiamo i dati
- Trasferimenti fuori dall'Unione Europea
- Per quanto tempo conserviamo i dati
- I tuoi diritti
- Misure di sicurezza
- Minori
- Modifiche all'informativa
1. Titolare del trattamento
Il titolare è D2ICS Srl, Viale Monza 347 - 20126 Milano, P.IVA/C.F. 14121350962.
Per esercitare i tuoi diritti o per qualsiasi domanda su questa informativa scrivi a privacy@motogpx.org. Non è stato nominato un responsabile della protezione dei dati (DPO), non essendo obbligatorio per questo tipo di attività.
2. Quali dati trattiamo e perché
| Dati | Finalità | Base giuridica | Conservazione |
|---|---|---|---|
|
Dati dell'account indirizzo email, nome da mostrare (facoltativo), password in forma cifrata, data di registrazione e di conferma |
Creare e gestire l'account, permetterti di accedere, di seguire lo stato dei percorsi caricati e di scaricare i GPX pubblicati. | Esecuzione del contratto/servizio richiesto (art. 6.1.b GDPR) | Finché l'account esiste |
|
Token di conferma e di reimpostazione password codici casuali inviati per email, con la loro scadenza |
Verificare che l'indirizzo email sia tuo e permetterti di reimpostare la password se l'hai dimenticata. | Esecuzione del contratto (art. 6.1.b) e legittimo interesse alla sicurezza degli account (art. 6.1.f) | 48 ore il token di conferma, 2 ore quello di reimpostazione; poi cancellati |
|
Percorsi caricati file GPX con le coordinate del tracciato, titolo, descrizione, regioni attraversate, nome del file originale, distanza e numero di punti |
Pubblicare il percorso e renderlo consultabile e scaricabile dalla community, dopo verifica di un amministratore. | Esecuzione del contratto/servizio richiesto (art. 6.1.b): sei tu a scegliere di condividere il percorso | Finché il percorso resta pubblicato o l'account esiste |
|
Esito della moderazione stato (in attesa/approvato/rifiutato), nota dell'amministratore, data e autore della verifica |
Valutare i contenuti prima della pubblicazione, comunicarti l'esito, evitare contenuti illeciti o non pertinenti. | Legittimo interesse a mantenere il servizio utile e lecito (art. 6.1.f) | Come il percorso a cui si riferisce |
|
Registro dei download quale percorso hai scaricato, quando, con quale account |
Tracciabilità di chi scarica i contenuti condivisi da altri, tutela di chi li ha caricati, prevenzione di abusi e prelievi massivi. | Legittimo interesse del titolare e degli utenti che condividono i percorsi (art. 6.1.f) | 24 mesi |
|
Email di servizio indirizzo del destinatario e contenuto del messaggio |
Inviarti il link di conferma o di reimpostazione password e l'esito della verifica dei tuoi percorsi; avvisare l'amministratore dei nuovi caricamenti e delle nuove registrazioni. | Esecuzione del contratto (art. 6.1.b). Non inviamo comunicazioni promozionali | Secondo i tempi tecnici del servizio di posta utilizzato |
|
Dati tecnici di navigazione indirizzo IP, data e ora della richiesta, pagina richiesta, tipo di browser, nei log del server |
Far funzionare il sito, diagnosticare malfunzionamenti, individuare tentativi di attacco o di accesso non autorizzato. | Legittimo interesse alla sicurezza e al corretto funzionamento (art. 6.1.f) | 30 giorni |
|
Statistiche di utilizzo dati raccolti da Google Analytics 4: pagine viste, provenienza, dispositivo, area geografica approssimativa |
Capire come viene usato il sito e migliorarlo. Solo statistiche aggregate: nessuna pubblicità, nessuna profilazione individuale. | Tuo consenso (art. 6.1.a GDPR e art. 122 Codice privacy), revocabile in ogni momento | 14 mesi nella proprietà Google Analytics |
Non trattiamo categorie particolari di dati (art. 9 GDPR) e non prendiamo decisioni automatizzate che ti riguardino: la pubblicazione di un percorso è sempre decisa da una persona.
Il conferimento dei dati contrassegnati come obbligatori nei moduli (email, titolo del percorso, file GPX) è necessario per usare la funzione richiesta: senza di essi non possiamo creare l'account né pubblicare il percorso. Il nome da mostrare, la descrizione e le regioni sono facoltativi.
3. I file GPX: un avviso importante
Un file GPX è un dato di geolocalizzazione: contiene la sequenza di coordinate del percorso e, a seconda di come è stato registrato, può contenere anche gli orari di passaggio, l'altitudine e il nome del dispositivo o dell'applicazione che lo ha creato.
Se hai registrato la traccia partendo da casa o dal luogo di lavoro, il file rivela quell'indirizzo, e una traccia ripetuta nel tempo può rivelare le tue abitudini di spostamento. Poiché i percorsi approvati sono scaricabili da tutti gli utenti registrati, ti consigliamo di:
- tagliare l'inizio e la fine della traccia prima di caricarla, in modo da non far partire il percorso dal tuo indirizzo;
- rimuovere, se il tuo programma lo consente, gli orari di passaggio;
- non inserire nella descrizione dati personali tuoi o di altre persone (nomi, targhe, contatti).
Se carichi una traccia percorsa insieme ad altre persone, valuta che il tracciato descrive anche i loro spostamenti. Se ti accorgi di aver pubblicato un file che rivela dati che preferivi tenere riservati, scrivici: rimuoviamo il percorso e il file dal server.
Per riconoscere le regioni e le province attraversate, ogni volta che carichi un percorso alcune coordinate del tracciato vengono inviate dal nostro server al servizio Nominatim di OpenStreetMap: pochi punti se il percorso cambia regione, un punto ogni quindici chilometri circa e fino a un massimo di venti se resta dentro una sola regione, dove vengono individuate anche le province. È un passaggio tecnico necessario alla pubblicazione: serve a catalogare il percorso e a renderlo trovabile per regione. Non inviamo il tuo indirizzo IP, né il file completo, né alcun dato che ti identifichi, e le coordinate non vengono associate al tuo account.
4. Cosa diventa pubblico
Quando un amministratore approva un percorso, diventano visibili a chiunque visiti il sito:
- il titolo, la descrizione, le regioni attraversate, la distanza e il numero di punti;
- il tracciato disegnato su una mappa;
- il nome che hai scelto di mostrare, come autore del percorso.
Il tuo indirizzo email non viene mai pubblicato. Se non indichi un nome da mostrare, i tuoi percorsi sono firmati con uno pseudonimo neutro del tipo «Utente #12», che permette di distinguere gli autori senza identificarli. L'email è visibile solo a te, nella tua area personale, e agli amministratori del sito.
Il nome da mostrare è facoltativo, lo scegli tu ed è modificabile o cancellabile in qualsiasi momento dalla pagina Il tuo profilo: puoi anche usare un nome di fantasia.
Il file GPX non è accessibile pubblicamente: viene consegnato solo tramite uno script riservato agli utenti registrati con email confermata, e ogni scaricamento viene registrato.
5. Il registro dei download
Ogni volta che scarichi un file GPX dall'area pubblica registriamo quale percorso, quando e con quale account. Questa informazione è visibile:
- a te, nella tua area personale, come storico dei tuoi download;
- agli amministratori del sito, che nell'area riservata vedono l'elenco degli utenti con il numero e il dettaglio dei percorsi scaricati da ciascuno.
Serve a tutelare chi condivide i propri percorsi e a individuare eventuali prelievi massivi dei contenuti. Non viene usata per profilarti, per inviarti comunicazioni commerciali né condivisa con terzi. Gli amministratori accedono a questi dati con credenziali personali e in una sessione separata da quella degli utenti.
6. A chi comunichiamo i dati
I dati non vengono venduti né cedute a terzi per finalità di marketing. Sono trattati dal personale autorizzato del titolare (gli amministratori del sito) e dai seguenti fornitori, che agiscono come responsabili del trattamento o titolari autonomi:
| Fornitore | Servizio | Dati coinvolti |
|---|---|---|
| D2ICS Srl | Hosting del sito, della banca dati e dei file GPX | Tutti i dati indicati al punto 2 (responsabile del trattamento, art. 28 GDPR) |
| Aruba S.p.A. | Invio delle email di servizio tramite server SMTP | Indirizzo email del destinatario e contenuto del messaggio |
| OpenStreetMap Foundation | Mappe del percorso (nel tuo browser) e riconoscimento delle regioni (dal nostro server) | Il tuo indirizzo IP quando visualizzi una mappa; alcune coordinate del tracciato per il riconoscimento delle regioni |
| Cloudflare (rete unpkg) | Distribuzione della libreria che disegna la mappa | Il tuo indirizzo IP quando visualizzi una mappa |
| Google Ireland Limited | Google Analytics 4 (statistiche), solo con il tuo consenso | Dati di navigazione descritti nella cookie policy |
I dati possono inoltre essere comunicati alle autorità competenti se richiesto da un obbligo di legge o per difendere un diritto in sede giudiziaria.
7. Trasferimenti fuori dall'Unione Europea
I dati dell'account, i percorsi e il registro dei download restano sui sistemi del fornitore di hosting. Un trasferimento verso gli Stati Uniti può avvenire per Google Analytics (Google LLC) e per la rete di distribuzione della libreria delle mappe: in entrambi i casi il trasferimento si fonda sulla decisione di adeguatezza della Commissione europea del 10 luglio 2023 relativa al EU-US Data Privacy Framework, integrata da clausole contrattuali standard. Puoi chiederci copia delle garanzie applicate scrivendo all'indirizzo indicato al punto 1.
8. Per quanto tempo conserviamo i dati
- Account e percorsi caricati
- Fino alla cancellazione dell'account. Gli account che restano in stato «da confermare» e non completano la registrazione vengono eliminati quando ce ne accorgiamo o su tua richiesta.
- Token di conferma e di reimpostazione password
- 48 ore i primi, 2 ore i secondi; vengono cancellati anche subito dopo l'uso.
- Registro dei download
- 24 mesi dalla data del download.
- Log del server
- 30 giorni, salvo che sia necessario conservarli più a lungo per accertare un incidente di sicurezza.
- Statistiche Google Analytics
- 14 mesi, poi eliminate automaticamente da Google.
9. I tuoi diritti
Ai sensi degli articoli 15-22 del GDPR puoi in qualsiasi momento chiedere:
- accesso ai dati che ti riguardano e copia degli stessi;
- rettifica dei dati inesatti o incompleti: il nome da mostrare e la password puoi modificarli da solo dalle pagine Il tuo profilo e Cambia password;
- cancellazione dell'account e dei percorsi caricati;
- limitazione del trattamento e opposizione ai trattamenti fondati sul legittimo interesse, come il registro dei download;
- portabilità: i tuoi percorsi sono già scaricabili in GPX, un formato aperto e interoperabile;
- revoca del consenso alle statistiche, senza che questo pregiudichi la liceità del trattamento svolto prima della revoca (vedi la cookie policy).
Come cancellare l'account
La cancellazione non è ancora automatica dall'area personale: scrivi a privacy@motogpx.org dall'indirizzo con cui ti sei registrato. Provvediamo entro 30 giorni e la cancellazione comporta la rimozione definitiva di: account e credenziali, tutti i percorsi caricati compresi i file GPX presenti sul server, il tuo storico dei download e i download che altri utenti hanno effettuato sui tuoi percorsi. L'operazione non è reversibile e i percorsi non saranno più disponibili per la community.
Se ritieni che il trattamento violi la normativa, puoi proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it) o rivolgerti all'autorità giudiziaria.
10. Misure di sicurezza
Adottiamo misure tecniche e organizzative adeguate al rischio, tra cui:
- le password sono conservate solo come hash con algoritmo adattivo, mai in chiaro: nemmeno gli amministratori possono leggerle;
- i file GPX sono salvati con un nome casuale fuori dalla cartella pubblica del sito e consegnati solo da uno script che verifica l'autenticazione;
- tutte le interrogazioni alla banca dati usano istruzioni parametrizzate; i moduli sono protetti da token anti-CSRF; il cookie di sessione è HttpOnly e SameSite=Lax;
- l'area riservata usa una sessione distinta da quella degli utenti e non è indicizzata dai motori di ricerca;
- il cambio password e la reimpostazione rigenerano l'identificativo di sessione e invalidano i link di recupero ancora pendenti.
Nessuna misura offre una protezione assoluta: in caso di violazione dei dati personali che comporti un rischio per i tuoi diritti agiremo secondo gli artt. 33 e 34 del GDPR, notificando al Garante e, quando previsto, informando gli interessati.
11. Minori
Il servizio non è rivolto a minori di 14 anni, età che l'ordinamento italiano individua per il consenso ai servizi della società dell'informazione. Se un genitore o tutore ritiene che un minore abbia creato un account o caricato un percorso, può scriverci: rimuoveremo l'account e i contenuti.
12. Modifiche all'informativa
Questa informativa può essere aggiornata per adeguarla a nuove funzioni del sito o a modifiche normative. La data di ultimo aggiornamento è indicata in cima alla pagina; se le modifiche riguardano trattamenti basati sul consenso, ti chiederemo di esprimerlo di nuovo.