Informativa Privacy

Titolare del trattamento

Congregazione: {{ $congregazione }}

L'applicazione TerManager2 è utilizzata esclusivamente per la gestione interna dei territori di predicazione.

Dati trattati

• Proclamatori: solo nome e cognome, cifrati nel database ({{ $cifratura }}), se sono attivi e l'eventuale gruppo di servizio di cui fanno parte. Nessun numero di telefono né indirizzo email.
• Territori e piantine: numero, zona, tipologia, confini, mappe e PDF — nessun dato personale.
• Assegnazioni: collegamento tra proclamatore e territorio, con date di assegnazione e rientro, conteggio nelle campagne, codice del link alla piantina, stato del suo invio (inviato o no, e con quale canale) se il proclamatore ha chiesto la cartolina cartacea e, se l'ha data il sorvegliante di un gruppo di servizio, il nome del gruppo.
• Richieste dal modulo pubblico: chi chiede un territorio o ne annuncia la riconsegna scrive il proprio nome, l'eventuale numero del territorio e una nota. Nome e nota sono cifrati nel database ({{ $cifratura }}) e non finiscono nel registro delle attività. Dell'indirizzo IP resta solo un'impronta temporanea, per limitare i tentativi.
• Utenti dell'applicazione: nome, email (che va confermata), password conservata solo come impronta non reversibile, ruolo. Il sorvegliante di un gruppo di servizio entra con un'email fittizia creata dall'applicazione (iniziale del nome e cognome), che non riceve posta e non va confermata. La sua utenza è collegata al suo proclamatore e viene eliminata quando il gruppo si scioglie; anche il gruppo, sciolto, viene eliminato.
• Registro delle attività: chi ha fatto cosa e quando. I proclamatori vi compaiono solo con un identificativo numerico, mai con il nome.

Dati conservati oggi

• {{ $conteggi['proclamatori'] }} proclamatori, di cui {{ $conteggi['proclamatoriAttivi'] }} attivi; {{ $conteggi['anonimizzati'] }} nel cestino o anonimizzati.
• {{ $conteggi['assegnazioni'] }} assegnazioni nello storico, di cui {{ $conteggi['assegnazioniAperte'] }} in corso.
• {{ $conteggi['richieste'] }} richieste dal modulo pubblico, di cui {{ $conteggi['richiesteAperte'] }} da gestire.
• {{ $conteggi['utenti'] }} utenti dell'applicazione.
• {{ $conteggi['attivita'] }} voci nel registro delle attività@if($conteggi['attivitaDal']), dal {{ \Illuminate\Support\Carbon::parse($conteggi['attivitaDal'])->format('d/m/Y') }}@endif.

Finalità del trattamento

I dati personali sono trattati esclusivamente per:

• Organizzare l'assegnazione e il rientro dei territori di predicazione.
• Mandare al proclamatore il link della piantina del territorio assegnato.
• Monitorare la copertura territoriale per anno teocratico.
• Gestire le campagne speciali di predicazione.

Base giuridica

Il trattamento è basato sul legittimo interesse dell'organizzazione religiosa nella gestione delle proprie attività interne (Art. 6(1)(f) GDPR) e sull'appartenenza volontaria dei proclamatori alla congregazione (Art. 9(2)(d) GDPR).

Chi accede ai dati

L'accesso è riservato agli utenti dell'applicazione, ciascuno secondo il proprio ruolo:

@foreach($ruoli as $ruolo)
• {{ ucfirst($ruolo['nome']) }}: {{ $ruolo['permessi'] ? implode('; ', $ruolo['permessi']) : 'nessun permesso' }}.
@endforeach

Il proclamatore non ha un account: riceve solo il link alla piantina del territorio che gli è assegnato. Fa eccezione il sorvegliante di un gruppo di servizio, che ha un'utenza (email fittizia e password) con cui vede solo il proprio gruppo: i territori del suo pacchetto e i nomi dei membri.

Il modulo pubblico di richiesta non mostra nessun dato: chi lo compila scrive soltanto. Le richieste le vedono e le gestiscono, dalla Home, solo i ruoli con il permesso sulle richieste.

Misure di sicurezza

• Cifratura: nome e cognome dei proclamatori sono cifrati con {{ $cifratura }} prima di essere salvati; la chiave non sta nel database.
• Accesso: password personale, conferma dell'email, blocco temporaneo dopo troppi tentativi; la sessione scade dopo {{ $durataSessione }} minuti di inattività.
• Permessi: ogni ruolo vede e modifica solo ciò che gli serve (vedi sopra).
• Modulo pubblico: protetto dallo spam con un campo trappola, un tempo minimo di compilazione e un limite di richieste per indirizzo.
• Registro delle attività: le operazioni sono registrate e conservate per {{ $auditRetention }} giorni.
• Comunicazioni: l'applicazione risponde all'indirizzo {{ $indirizzo }}@if($https), su connessione cifrata (HTTPS)@else. Attenzione: l'indirizzo non usa HTTPS, le comunicazioni non sono cifrate.@endif.
• Hosting: i dati risiedono sul server gestito dagli amministratori dell'applicazione, non su servizi cloud di terze parti.

Link alla piantina

• Il link è personale e funziona solo finché il territorio è assegnato, al massimo per {{ $scadenzaLink }} giorni dall'assegnazione.
• Lo manda chi assegna il territorio, copiandolo o con "Condividi" (il menu di condivisione del suo telefono): il destinatario lo sceglie lui tra i propri contatti. L'applicazione non vede quei contatti e non invia nulla ai proclamatori.
• Mostra la piantina del territorio, senza dati personali; il PDF {{ $downloadPdf ? 'si può anche scaricare' : 'si può solo consultare, non scaricare' }}.

Servizi esterni

• Condivisione del link: il messaggio con il nome del proclamatore e il link passa per l'app scelta da chi assegna il territorio (WhatsApp, Telegram, SMS…), dal suo telefono, non dall'applicazione.
• Posta: @if($postaAttiva) le email agli utenti dell'applicazione partono dal server di posta {{ $hostPosta ?? 'configurato' }}: conferma dell'indirizzo, avviso di una nuova richiesta dal modulo pubblico a chi le gestisce, e il modulo S-13 (registro delle assegnazioni, in PDF) agli amministratori l'ultima domenica del mese. Ai proclamatori non si mandano email. @else nessun server di posta configurato: l'applicazione non invia email. Ai proclamatori non se ne mandano comunque. @endif
• Mappe: le piantine usano le mappe di OpenStreetMap; per disegnarle si scaricano tessere dai server di OpenStreetMap, senza inviare dati personali.

Conservazione dei dati

• I dati di un proclamatore possono essere anonimizzati su richiesta: nome e cognome vengono cancellati in modo irreversibile; se era sorvegliante di un gruppo, il gruppo si scioglie e la sua utenza viene eliminata.
• Territori e proclamatori eliminati restano nel cestino finché non vengono eliminati definitivamente.
• Il registro delle attività è conservato per {{ $auditRetention }} giorni (modificabile nelle impostazioni), poi cancellato automaticamente.
• Lo storico delle assegnazioni è conservato per la durata necessaria alla gestione territoriale.
• Le richieste dal modulo pubblico sono cancellate automaticamente {{ \App\Console\Commands\PuliziaRichieste::GIORNI }} giorni dopo essere state gestite.
• I backup e gli export XML scaricati dagli amministratori contengono nome e cognome dei proclamatori in chiaro: vanno custoditi in un luogo protetto e cancellati quando non servono più.

Diritti dell'interessato

In conformità al GDPR, ogni persona i cui dati sono trattati ha il diritto di:

• Accesso: richiedere copia dei propri dati.
• Rettifica: correggere dati inesatti.
• Cancellazione: richiedere l'anonimizzazione o la rimozione dei propri dati.
• Portabilità: richiedere l'esportazione dei propri dati.

Le richieste vanno rivolte agli amministratori dell'applicazione della congregazione {{ $congregazione }}.