++ informativa privacy aggiornata, valori dalle impostazioni

- Dati trattati attuali: email e telefono cifrati, link alla piantina,
  stato dell'invio, conferma email, log senza nomi.
- Valori letti al momento: congregazione, conservazione del log, scadenza
  del link, download del PDF, server di posta, cifratura, durata della
  sessione, indirizzo/HTTPS, ruoli con i permessi veri, conteggi dei dati.
- Servizi esterni: WhatsApp, posta, OpenStreetMap.
- Dichiarato che backup ed export XML contengono i dati in chiaro.
README e HANDOFF aggiornati.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

README.md

@@ -794,8 +794,8 @@ una revoca ha effetto immediato senza bisogno di ricaricare la pagina.
 ## Sicurezza e GDPR
 
 ### Sicurezza
-- **Cifratura a riposo**: nome e cognome dei proclamatori cifrati con AES-256-CBC
-  tramite `APP_KEY`
+- **Cifratura a riposo**: nome, cognome e i facoltativi email e telefono dei
+  proclamatori cifrati con AES-256-CBC tramite `APP_KEY`
 - **Password**: hash bcrypt
 - **RBAC**: middleware `permission:` sulle rotte, riapplicato anche alle
   richieste Livewire
@@ -811,13 +811,24 @@ una revoca ha effetto immediato senza bisogno di ricaricare la pagina.
   restituisce 404
 
 ### GDPR
-- **Minimizzazione**: dei proclamatori si conservano solo nome, cognome e stato
+- **Informativa** (menu *Privacy*, solo amministratore): i valori che possono
+  cambiare — congregazione, conservazione del log, scadenza dei link,
+  download del PDF, server di posta, durata della sessione, indirizzo e HTTPS,
+  ruoli con i loro permessi, quanti dati sono conservati — si leggono al
+  momento da impostazioni e configurazione (`App\Livewire\Privacy`)
+- **Minimizzazione**: dei proclamatori si conservano nome, cognome, stato e,
+  solo se servono per mandare il link, email e telefono
 - **Cifratura a riposo**: i dati sono illeggibili anche con accesso diretto al DB
 - **Audit trail**: registro completo delle operazioni
-- **Diritto all'oblio**: funzione di anonimizzazione irreversibile
+- **Diritto all'oblio**: funzione di anonimizzazione irreversibile, che
+  cancella anche email e telefono
 - **Retention**: cancellazione automatica dei log oltre il periodo configurato
 - **No dati sensibili nei log**: l'audit registra gli identificativi, non i nomi
-  in chiaro
+  in chiaro; l'email con il link parte subito, mai in coda, perché il job
+  salverebbe l'indirizzo in chiaro
+- **Attenzione ai backup**: il pacchetto `.zip` e l'export XML contengono i dati
+  dei proclamatori **in chiaro** (l'export li legge decifrati). Vanno custoditi
+  in un luogo protetto e cancellati quando non servono
 
 ---