Informativa — Trattamento dei dati anagrafici per la registrazione

1. Titolare del trattamento

Il titolare del trattamento è Reunivo, con sede in Italia. Lo sviluppo e la gestione tecnica della piattaforma sono affidati al partner logika.studio, nominato responsabile del trattamento ex art. 28 GDPR con DPA dedicato. Contatti: privacy@reunivo.eu.

Per trattamenti di dati sanitari su larga scala è stato nominato un Responsabile della Protezione dei Dati (DPO/RPD) contattabile all'indirizzo dpo@reunivo.eu.

2. Età minima e tutela minori

Ai sensi dell'art. 2-quinquies del D.lgs. 196/2003 (come modificato dal D.lgs. 101/2018) e dell'art. 4 della Legge 132/2025 sui dati sanitari, Reunivo richiede un'età minima di 18 anni per l'iscrizione diretta, trattandosi di servizio che comporta trattamento di dati sanitari (cat. speciale ex art. 9 GDPR).

Per minori di 18 anni — casi eccezionali di familiari di donatori o giovani riceventi — è obbligatoria la formalizzazione scritta del consenso di chi esercita la responsabilità genitoriale, da inviare all'indirizzo privacy@reunivo.eu prima dell'attivazione dell'account.

3. Finalità del trattamento

• Creazione e gestione del tuo account sulla piattaforma Reunivo
• Verifica una tantum della tua identità reale tramite documento (prevenzione account multipli, bot e impersonificazione)
• Invio di comunicazioni di servizio essenziali (conferma account, reset password, notifiche di sicurezza)
• Adempimento di obblighi di legge eventualmente applicabili

4. Base giuridica

Il trattamento si fonda su:

• Art. 6.1.b GDPR — esecuzione di misure precontrattuali (registrazione al servizio) e, una volta attivato l'account, esecuzione del contratto di utilizzo
• Art. 6.1.f GDPR — legittimo interesse alla sicurezza della piattaforma (prevenzione abusi, antifrode, KYC)

5. Categorie di dati trattati

• Dati identificativi: nome, cognome, email
• Documento di identità (caricato temporaneamente per verifica, cancellato entro 72 ore dalla validazione)
• Hash del documento (conservato per prevenire ri-registrazioni con lo stesso documento)
• Dati tecnici: indirizzo IP, timestamp, user agent (log di sicurezza)

6. Natura del conferimento

Il conferimento è obbligatorio per poter attivare un account. Il rifiuto comporta l'impossibilità di utilizzare il servizio. Dopo la verifica identità, il documento originale viene cancellato dai nostri sistemi e sostituito da un hash non reversibile.

7. Destinatari

• Clerk Inc. (USA) — identity management, verifica identità (base trasferimento: Standard Contractual Clauses 2021/914)
• Supabase Inc. (hosting EU-Frankfurt) — persistenza dati account
• Resend (email transazionali)
• Fornitori tecnici di hosting, logging, backup nominati responsabili ex art. 28 GDPR

8. Trasferimenti extra-UE

Eventuali trasferimenti verso paesi terzi (Stati Uniti per Clerk) avvengono nell'ambito delle Standard Contractual Clauses approvate dalla Commissione UE (Decisione 2021/914). Per Clerk è in essere un DPA dedicato con misure tecniche supplementari (cifratura, pseudonimizzazione).

9. Conservazione

• Documento identità originale: massimo 72 ore dalla verifica, poi cancellato
• Hash del documento: fino alla cancellazione dell'account (scopo antifrode)
• Dati identificativi e account: fino a richiesta di cancellazione + 24 mesi per esigenze difensive
• Log tecnici di sicurezza: 12 mesi

10. Decisioni automatizzate

Non sono applicati processi decisionali esclusivamente automatizzati che producano effetti giuridici o incidano significativamente sull'interessato in fase di registrazione. La verifica identità include un controllo umano in caso di esiti dubbi.

Diritti dell'interessato

Ai sensi degli artt. 15-22 GDPR hai diritto di: accedere ai dati, ottenere rettifica di informazioni inesatte, chiedere la cancellazione ("diritto all'oblio"), ottenere la limitazione del trattamento, ricevere i dati in formato strutturato (portabilità), opporti al trattamento, non essere sottoposto a decisioni automatizzate con effetti significativi.

Il consenso può essere revocato in qualsiasi momento con la stessa facilità con cui è stato prestato (art. 7.3 GDPR), senza pregiudizio per la liceità del trattamento basata sul consenso prestato prima della revoca.

Per esercitare i tuoi diritti scrivi a privacy@reunivo.eu. Risponderemo entro 30 giorni (prorogabili di ulteriori 60 nei casi complessi, art. 12.3 GDPR).

Diritto di reclamo al Garante

Se ritieni che il trattamento violi il GDPR hai diritto di proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma — www.gpdp.it), senza pregiudizio per ogni altro ricorso amministrativo o giurisdizionale.