Privacy e trattamento dei dati

Informativa ai sensi dell'articolo 13 del Regolamento (UE) 2016/679 — versione v7-2026-09-24

1. Chi tratta i dati

Il titolare del trattamento è COG U — Sindacato del Cognitariato, associazione sindacale non riconosciuta, senza fini di lucro, costituita il 12 luglio 2026 ai sensi degli articoli 36 e seguenti del Codice Civile e dell'articolo 39 della Costituzione. Codice fiscale 98031460151.

Per qualunque cosa riguardi i tuoi dati — chiedere, correggere, cancellare, opporti — il riferimento è cognitariatz@proton.me, oppure la PEC cognitariatz@pec.it.

Non è stato nominato un responsabile della protezione dei dati: per la dimensione e le attività dell'associazione non è obbligatorio. Le richieste arrivano all'indirizzo qui sopra e le gestisce il titolare.

2. Quando visiti il sito

Il sito è statico: pagine, caratteri tipografici e icone arrivano dal nostro dominio, senza passare da servizi di terzi. Non usiamo strumenti di statistica, non profiliamo chi legge, non impostiamo cookie e non scriviamo niente nella memoria del tuo browser— è stato verificato sul sito online, non solo nel codice. L'unica eccezione, quando l'iscrizione online sarà aperta, riguarderà chi entra nell'area riservata: è descritta nella sezione 6.

Resta quello che fa qualunque server quando gli chiedi una pagina: il nostro hosting, Cloudflare Pages, registra i dati tecnici della richiesta — indirizzo IP, data e ora, pagina richiesta, tipo di browser — per consegnare le pagine, tenere in piedi il servizio e difenderlo dagli abusi. Quei log esistono. Il fatto che noi non li scarichiamo non li fa sparire, e sarebbe scorretto lasciartelo credere.

Cloudflare tratta quei dati come responsabile per nostro conto, come dichiara nella propria informativa. Le nostre pagine arrivano dalla sua rete anche quando ti rispondono delle intestazioni che chiedono al browser di segnalare a Cloudflare stessa (a.nel.cloudflare.com) gli errori di rete: sono impostate dalla piattaforma, riguardano solo le richieste fallite, e su un indirizzo pages.dev non possiamo disattivarle.

• Finalità: erogare il sito e proteggerlo da attacchi e abusi.
• Base giuridica: legittimo interesse del titolare a rendere disponibile e sicuro il proprio sito (art. 6.1.f).
• Conservazione presso di noi: nessuna. Non teniamo un archivio delle visite, non usiamo strumenti di statistica, non abbiamo attivato l'analitica di Cloudflare e non esportiamo i log. Non è una scelta di facciata: l'esportazione dei log delle richieste è una funzione riservata ai piani Enterprise e disattivata per impostazione predefinita, quindi con il piano che usiamo non possiamo né consultarli né conservarli.
• Conservazione presso Cloudflare: la decide Cloudflare. Pubblicamente dichiara di scartare i log di accesso entro quattro ore per la maggior parte dei clienti, e di conservarli per impostazione predefinita tre giorni per i clienti Enterprise che ne chiedono l'esportazione; la sua informativa non fissa invece un termine numerico generale. Non possiamo verificare quale di questi tempi si applichi al nostro progetto: nessuno strumento a nostra disposizione lo mostra. Riportiamo quello che il fornitore dichiara, e diciamo che è quello che dichiara lui.

3. I video

Nella sezione «Video & Interviste» non ci sono riquadri di YouTube: ci sono dei link. Finché non ne clicchi uno, da questo sito non parte nessuna richiesta verso Google — né quando apri la pagina, né quando scorri fino a quel punto.

Prima erano incorporati, in modalità nocookie e caricati in differita. Anche così, arrivare in fondo alla pagina bastava a far conoscere a Google il tuo indirizzo IP senza che tu avessi chiesto niente. Li abbiamo tolti: adesso quel passaggio lo decidi tu.

Quando clicchi, esci da questo sito e vai su youtube.com: da lì in poi vale l'informativa di Google, non la nostra, e noi non riceviamo niente di quella visita. I link sono impostati in modo da non comunicare a YouTube nemmeno da quale pagina arrivi (rel="noreferrer").

• Dati trattati da noi: nessuno. Un link non è un trattamento: finché non lo apri, non succede niente.
• Conservazione: non c'è niente da conservare, perché non raccogliamo niente.

4. Se ci scrivi

Scrivere a cognitariatz@proton.me è, oggi, l'unico modo per farci arrivare dei dati. La casella è ospitata da Proton (Proton AG, Svizzera): i messaggi stanno sui suoi server, come per qualunque posta elettronica.

• Finalità: risponderti e, se ci hai raccontato un caso, usarlo per il nostro lavoro di documentazione.
• Base giuridica: legittimo interesse a dare seguito a chi ci scrive (art. 6.1.f) per la risposta. Per pubblicare un caso in forma riconoscibile serve invece il tuo consenso esplicito (art. 6.1.a): senza, lo trattiamo in forma anonima.
• Conservazione: il criterio è l'uso, non un termine uguale per tutti. Un messaggio a cui abbiamo risposto e che non ha seguito resta nella casella finché la si riordina; un caso che stiamo seguendo resta finché quel lavoro è aperto e finché può ancora servire a far valere o difendere un diritto. Quando il materiale diventa anonimo — è la forma in cui i casi finiscono nei dossier — non è più un dato che ti riguarda e smette di rientrare qui.
• Cancellazione: non c'è cancellazione automatica. Puoi chiedere in qualsiasi momento che cancelliamo la tua corrispondenza, e lo facciamo.

Non usiamo quell'indirizzo per mandarti altro: niente newsletter, niente liste, nessuna comunicazione che non sia la risposta a quello che hai scritto.

5. Chi scrive sul sito

Gli articoli si pubblicano da un'area di redazione che sta sul sito stesso. Chi ci entra si autentica con il proprio account GitHub, perché pubblicare un articolo significa scrivere nel repository del sito. Riguarda solo le persone della redazione, non chi legge.

• Dati trattati: nome utente GitHub e le informazioni che GitHub associa alle modifiche (autore e data di ogni contributo, che restano nella cronologia pubblica del repository).
• Finalità: permettere alla redazione di pubblicare e tenere traccia di chi ha scritto cosa.
• Base giuridica: legittimo interesse dell'associazione a gestire il proprio sito (art. 6.1.f), nell'ambito del rapporto associativo con chi collabora.
• Dove stanno: su GitHub (GitHub Inc., Stati Uniti). Il codice di accesso personale resta nel browser di chi ha fatto l'accesso: non passa da nessun nostro archivio e non viene registrato da nessuna parte.
• Conservazione: l'attribuzione di ogni modifica resta nella cronologia del repository a tempo indeterminato, perché è la cronologia stessa a essere il registro di chi ha scritto cosa: è la natura dello strumento, e chi entra in redazione lo sa. Il codice di accesso vale per la sessione e si può revocare quando si vuole dalle impostazioni del proprio account GitHub.

6. Tesseramento e pagamenti

Ci si può tesserare con un bonifico, e da quel momento trattiamo dei dati: quello che succede è descritto qui sotto, al punto 6.1.L'iscrizione online non è ancora aperta — niente account, niente pagamento con carta: il server rifiuta ogni richiesta di pagamento prima che arrivi a un fornitore. I punti dal 6.2 in poi descrivono come funzionerà quando aprirà, e li scriviamo adesso perché vanno letti prima, non dopo.

Il principio è uno: ti chiediamo solo quello che serve, e lo teniamo solo finché serve. Le scadenze qui sotto le applica il database da solo, ogni giorno: non dipendono dalla memoria di nessuno.

6.1 Iscriverti con un bonifico

È il modo con cui oggi si prende la tessera. Ti chiediamo di scriverci, perché un bonifico da solo dice quanto hai versato ma non chi sei né come raggiungerti.

• Cosa riceviamo: il nome e il cognome che scrivi nella causale, e quello che ci mandi per email — di norma nome, cognome e indirizzo email. Dalla contabile del bonifico la nostra banca ci mostra anche il nome e l'IBAN di chi paga: non li chiediamo noi, arrivano con il pagamento.
• Chi altro li vede: la banca dell'associazione e la tua, che trattano il bonifico per obbligo di legge e con le proprie informative. Nessun altro.
• Finalità e base giuridica: iscriverti e tenere il rapporto associativo (art. 6.1.b), registrare l'incasso nella contabilità (art. 6.1.c). L'appartenenza sindacale resta un dato particolare, trattato in quanto associazione sindacale e solo per i propri iscritti (art. 9.2.d).
• Conservazione: i messaggi seguono la regola della sezione 4. La contabile del bonifico entra nella contabilità dell'associazione e si conserva per il tempo che la legge prevede per i documenti contabili (sezione 6.5). L'elenco degli iscritti si tiene finché dura l'iscrizione e per 12 mesi dopo la scadenza.
• Cosa non ti chiediamo: codice fiscale, indirizzo di casa, telefono, data di nascita, datore di lavoro. Nemmeno per il bonifico.

6.2 Iscriverti online, quando aprirà

Ti chiediamo tre cose: nome, cognome e indirizzo email. Nient'altro: non il codice fiscale, non l'indirizzo di casa, non il telefono, non la data di nascita, non il tuo datore di lavoro. La fascia di quota la scegli tu: non ti chiediamo di dimostrare di essere studente o senza lavoro.

• Perché: nome e cognome servono a sapere chi fa parte dell'associazione, per le assemblee e per il voto. L'email serve a entrare nell'area riservata e a ricevere le comunicazioni che riguardano la tua iscrizione.
• Un dato delicato: essere iscritta o iscritto a COG U rivela l'appartenenza a un sindacato, che il Regolamento tratta come categoria particolare di dati (art. 9). Lo trattiamo in quanto associazione sindacale, e solo per i nostri iscritti (art. 9.2.d), e non lo comunichiamo a nessuno fuori dall'associazione senza il tuo consenso. I fornitori elencati qui sotto lo trattano per nostro conto, non per conto proprio, salvo quanto detto per Stripe.
• Base giuridica: il rapporto associativo (art. 6.1.b), insieme all'art. 9.2.d per l'appartenenza sindacale.
• Conservazione: per tutta la durata dell'iscrizione e per 12 mesi dopo la scadenza, così puoi rinnovare senza ricominciare e l'associazione può dimostrare chi era iscritto quando si è votato. Poi l'account si cancella, con tutto quello che contiene. Se cominci l'iscrizione e non paghi, si cancella dopo 30 giorni; se non confermi l'email, dopo 48 ore.
• Presa visione di questa informativa: registriamo la data e la versione che hai letto, per dimostrare che ti è stata mostrata. Si conserva e si cancella insieme all'account.

6.3 Entrare nell'area riservata

Non c'è una password da ricordare: ricevi via email un link che vale una volta sola.

• Supabase (Supabase Inc.) gestisce l'accesso e il database delle iscrizioni per nostro conto, su server nell'Unione europea. È lo stesso servizio che ti manda l'email con il link.
• Il modulo di iscrizione è protetto da Cloudflare Turnstile, che verifica che la richiesta non arrivi da un programma automatico. Compare solo lì, non nelle altre pagine.
• Se entri nell'area riservata, il browser conserva la sessione di accesso nella propria memoria locale: senza, a ogni pagina dovresti rifare l'accesso. È uno strumento tecnico necessario, non serve a seguirti e sparisce quando premi «Esci». A chi non entra nell'area riservata non succede niente di tutto questo.

6.4 Pagare la quota online

Il pagamento avviene su una pagina di Stripe (Stripe Payments Europe, Limited, Irlanda), non sul nostro sito. I dati della tua carta o del tuo conto non arrivano mai a noi: li vede solo Stripe.

• Cosa mandiamo a Stripe: il tuo indirizzo email, perché ti arrivi la ricevuta; un codice interno del tuo account, per collegare il pagamento alla tessera; la fascia di quota. Non il tuo nome, che resta da noi.
• Cosa sa Stripe, di conseguenza: che hai pagato una quota a COG U, cioè che ti stai iscrivendo a un sindacato. Stripe lo tratta per nostro conto per eseguire il pagamento, e come titolare autonomo per i propri obblighi di legge, come antifrode e antiriciclaggio, con i tempi della propria informativa.
• Cosa teniamo noi: importo, data, esito del pagamento e gli identificativi di Stripe che lo collegano alla tessera. Si conservano e si cancellano insieme all'account.
• Ricevuta: te la manda Stripe via email. Non emettiamo fattura.

6.5 Il contributo sostenitore

Chi fa un contributo senza iscriversi non entra nel nostro database e non crea nessun account. Il pagamento avviene su Stripe come sopra.

• Cosa vediamo: nel pannello di Stripe dell'associazione, chi lo gestisce vede importo, data, l'indirizzo email che hai dato a Stripe e le informazioni che Stripe mostra sul pagamento. Li usiamo solo per la contabilità e per un eventuale rimborso, mai per scriverti per altro.
• Base giuridica: dare seguito al contributo che hai scelto di fare (art. 6.1.b) e tenere la contabilità dell'associazione (art. 6.1.c).

6.6 Contabilità

Le entrate dell'associazione si documentano con gli estratti del conto corrente e, quando i pagamenti online saranno attivi, con i rendiconti di Stripe: li conserviamo per il tempo che la legge prevede per i documenti contabili. È l'unico caso in cui un dato può restare più a lungo dell'account: una richiesta di cancellazione non può toccare ciò che la legge obbliga a conservare.

Prezzi, rinnovo e rimborsi sono nelle condizioni di pagamento e rimborsi.

7. A chi arrivano i dati

• Cloudflare (responsabile del trattamento) — hosting del sito, dati tecnici delle richieste e segnalazione degli errori di rete.
• Proton (Svizzera) — la casella di posta a cui scrivi.
• GitHub (Stati Uniti) — solo per chi fa parte della redazione, per l'accesso all'area di pubblicazione.

Per chi si tessera con un bonifico:

• La banca dell'associazione e la tua, che eseguono il bonifico e ne conservano traccia per obbligo di legge.

Dall'apertura dell'iscrizione online, e solo per chi la usa:

• Stripe (Irlanda) — il pagamento, come descritto nella sezione 6.3.
• Supabase — accesso all'area riservata e database delle iscrizioni, su server nell'Unione europea.
• Cloudflare Turnstile — il controllo contro i programmi automatici sul modulo di iscrizione.

Alcuni di questi fornitori hanno la società capogruppo negli Stati Uniti. Per i dati che potrebbero arrivare lì valgono le garanzie previste dal Regolamento, cioè le clausole contrattuali standard o il quadro UE-USA sulla protezione dei dati, come ciascun fornitore dichiara nella propria documentazione.

Google non è più in questo elenco. Finché i video erano incorporati lo era, per chi arrivava in fondo alla pagina. Adesso sono link: se ne apri uno vai su YouTube di tua iniziativa, e non è un trattamento che facciamo noi.

Non vendiamo, non cediamo e non scambiamo dati con nessun altro, e non li usiamo per pubblicità.

8. I tuoi diritti

Puoi chiederci accesso, rettifica, cancellazione, limitazione e portabilità dei dati che ti riguardano, e opporti al trattamento fondato sul legittimo interesse. Dove abbiamo chiesto il tuo consenso puoi ritirarlo quando vuoi, senza che questo tocchi quello che è stato fatto prima. Si scrive a cognitariatz@proton.me.

Se chiedi di cancellare la tua iscrizione, cancelliamo l'account e tutto quello che contiene entro 30 giorni dalla richiesta. Resta solo ciò che la legge ci obbliga a tenere per la contabilità (sezione 6.6).

Se pensi che qualcosa non vada puoi rivolgerti al Garante per la protezione dei dati personali (garanteprivacy.it).

9. Aggiornamenti

Questa informativa descrive il sito come è oggi, e nella sezione 6 come funzioneranno tesseramento e pagamenti quando apriranno. Cambierà quando cambieranno i trattamenti, e la versione in cima serve a distinguere una stesura dall'altra.