Informativa privacy

Informativa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 ("GDPR") e del D.lgs. 196/2003 ("Codice privacy"). Versione del 18 ottobre 2026.

Questa pagina spiega in parole semplici quali dati personali tratta KHM Congregation Manager ("KHM", "il servizio"), chi ne risponde, perché, per quanto tempo e a chi vengono comunicati. I dati identificativi di chi fornisce il servizio ("il Fornitore") sono riportati in fondo alla pagina.

1. Chi decide sui dati: due ruoli diversi

a) I dati della congregazione. Tutto ciò che una congregazione inserisce o produce nell'app sui propri membri e sulle persone con cui è in contatto (anagrafica, incarichi, programmi, rapporti di servizio, territori e così via) è sotto la responsabilità della congregazione, che è il titolare del trattamento. Il Fornitore tratta questi dati solo per conto della congregazione e secondo le sue istruzioni, come responsabile del trattamento (art. 28 GDPR). I rapporti tra i due sono regolati dall'Accordo sul trattamento dei dati, che l'anziano che registra la congregazione accetta per conto di questa.

Se sei membro di una congregazione e hai domande sui tuoi dati, il primo riferimento è il corpo degli anziani della tua congregazione. Il Fornitore lo aiuta a risponderti (vedi la sezione 9).

b) I dati che il Fornitore tratta per sé. Il Fornitore è titolare del trattamento per:

• i dati di chi visita il sito pubblico e di chi scrive con il modulo contatti;
• i dati dell'anziano che registra la congregazione e sottoscrive l'abbonamento (registrazione, verifica, contratto, pagamenti, adempimenti fiscali);
• i dati tecnici che servono a proteggere la piattaforma.

Per ogni questione sulla privacy: privacy@congregation-manager.com.

2. Quali dati

2.1 Dati inseriti dalla congregazione (titolare: la congregazione)

• Anagrafica dei membri: nome e cognome, sesso, data di nascita, indicazione di minore età, indirizzo, telefono, email, contatti di emergenza, gruppo di servizio, lingua, periodi di assenza.
• Vita di congregazione: data di battesimo, stato (proclamatore, non battezzato e simili), privilegi e qualifiche (anziano, servitore di ministero, pioniere…), parti alle adunanze, incarichi nei reparti, rapporti di servizio di campo, presenze, territori assegnati, turni (pulizie, testimonianza pubblica, uscieri…), programma della visita del sorvegliante di circoscrizione.
• Note scritte dagli anziani o dagli incaricati.
• Persone esterne con cui la congregazione è in contatto: oratori e fratelli di altre congregazioni, il sorvegliante di circoscrizione e la moglie, eventuali ospiti.
• Messaggi Telegram: solo se la congregazione collega un proprio gruppo o canale al bot della piattaforma vengono salvati i messaggi di quel gruppo (testo, nome di chi scrive, data, eventuali file o link). Dalle chat non collegate non si salva nulla.
• Email inviate dall'app (fogli di assegnazione S-89, programmi, promemoria): destinatario, oggetto, data, esito dell'invio ed eventuale conferma di apertura (sezione 2.5).

Questi dati rivelano l'appartenenza religiosa e sono quindi categorie particolari di dati (art. 9 GDPR). La base giuridica la individua la congregazione come titolare: di regola è il trattamento svolto da un ente religioso sui propri membri nell'ambito delle sue attività legittime (art. 9, par. 2, lett. d, GDPR). Questi dati non escono dalla congregazione, salvo verso i fornitori tecnici elencati nella sezione 6.

Minori. In anagrafica possono comparire anche minorenni, per esempio figli di proclamatori. I loro dati li inserisce la congregazione, come titolare, che decide se sono necessari e informa i genitori o chi esercita la responsabilità genitoriale. Il Fornitore non raccoglie dati direttamente dai minori e l'app non prevede un meccanismo per raccogliere il consenso dei genitori. Anche l'eventuale accesso di un minore all'app (per esempio con un codice personale) lo decide la congregazione.

2.2 Account degli utenti

Nome, email, password (conservata dal servizio di autenticazione solo in forma di hash, mai in chiaro), eventuale secondo fattore di accesso (TOTP), ruolo e permessi, data dell'ultimo accesso. Chi entra con i codici forniti dagli anziani usa il codice della congregazione e un codice personale. Gli account servono a usare l'app della congregazione (titolare: la congregazione). Per l'anziano che registra la congregazione gli stessi dati servono anche al contratto con il Fornitore (titolare: il Fornitore).

2.3 Registrazione e abbonamento (titolare: il Fornitore)

Nome, email, congregazione indicata, dati usati per verificare che chi si registra sia un anziano di quella congregazione, accettazione dei Termini e dell'accordo sul trattamento dei dati (data e versione dei testi), stato dell'abbonamento e dei pacchetti, identificativi di cliente e di abbonamento presso Stripe, importi e date dei pagamenti. I dati della carta di pagamento non passano dai sistemi del Fornitore: li tratta Stripe.

2.4 Sito pubblico e modulo contatti (titolare: il Fornitore)

• Modulo contatti: nome, email, messaggio, tipo di browser (user agent) e un'impronta (hash) dell'indirizzo IP, usata solo per limitare gli invii automatici. L'indirizzo IP in chiaro non viene salvato. L'impronta rende difficile risalire all'IP, ma non è un dato anonimo.
• Navigazione: come per ogni sito, le richieste passano dai server di Cloudflare, che trattano l'indirizzo IP per consegnare le pagine e proteggere il sito dal traffico automatico.
• Demo: la congregazione dimostrativa contiene solo dati inventati; aprirla non richiede registrazione.

2.5 Conferma di apertura delle email

Alcune email che la congregazione invia dall'app (i fogli di assegnazione S-89 e i promemoria delle parti) contengono un'immagine invisibile che, quando l'email viene aperta, registra data e ora della prima e dell'ultima apertura e il numero di aperture. Serve alla congregazione per sapere se l'assegnazione è arrivata (legittimo interesse della congregazione, titolare). L'indirizzo IP non viene salvato. Se il programma di posta blocca le immagini, l'apertura semplicemente non viene registrata. Questi dati restano nel registro degli invii della congregazione (sezione 7).

2.6 Dati tecnici

I fornitori di hosting, database ed email tengono registri tecnici (indirizzi IP, orari delle richieste) secondo le proprie regole. Quando l'app incontra un errore, una segnalazione tecnica (pagina visitata e dettagli dell'errore) può essere inviata alla piattaforma Lovable, che serve a correggerlo.

3. Perché trattiamo i dati e su quale base (dati di cui il Fornitore è titolare)

Finalità	Base giuridica
Registrare la congregazione, verificare l'anziano, fornire il servizio e gestire l'abbonamento	Contratto (art. 6, par. 1, lett. b, GDPR)
Pagamenti, fatturazione e obblighi fiscali	Obbligo di legge (art. 6, par. 1, lett. c)
Rispondere a chi scrive con il modulo contatti	Richiesta dell'interessato (art. 6, par. 1, lett. b) e legittimo interesse a rispondere (lett. f)
Sicurezza del servizio, prevenzione degli abusi, limite agli invii automatici	Legittimo interesse (art. 6, par. 1, lett. f)
Comunicazioni di servizio (notifiche, avvisi di cambio prezzo o dei testi legali)	Contratto (art. 6, par. 1, lett. b)
Difendersi in caso di contestazioni	Legittimo interesse (art. 6, par. 1, lett. f)

Per i dati della congregazione (sezione 2.1) finalità e basi giuridiche le stabilisce la congregazione; il Fornitore li usa solo per erogare il servizio.

Che cosa non facciamo. Non vendiamo dati, non li usiamo per pubblicità, non facciamo profilazione e non prendiamo decisioni automatizzate che producono effetti giuridici sulle persone (art. 22 GDPR). La funzione «Suggerisci assegnazioni» propone dei nomi in base a qualifiche e storico, ma la decisione la prende sempre una persona.

4. È obbligatorio fornire i dati?

I dati dell'account e della registrazione sono necessari per usare il servizio: senza, non è possibile registrarsi. Nel modulo contatti nome, email e messaggio servono per poterti rispondere. Quali dati dei membri inserire lo decide la congregazione, che dovrebbe limitarsi a quelli davvero necessari.

5. Come proteggiamo i dati

• Connessioni sempre cifrate (HTTPS).
• Database cifrato a riposo dal fornitore cloud (Supabase), secondo la sua documentazione.
• Regole del database (Row-Level Security) che separano i dati di ogni congregazione; ruoli e permessi verificati sul server.
• Autenticazione a due fattori (TOTP) disponibile per ogni utente.
• Password e token delle caselle email collegate dalla congregazione cifrati dall'applicazione (AES-GCM).
• Storico delle modifiche ai rapporti di servizio; registro delle pubblicazioni dei programmi e degli invii email.
• Backup automatici secondo il piano del fornitore del database.
• Ogni settimana una copia di sicurezza completa del database, cifrata prima di lasciare il server (RSA a 4096 bit e AES-256-GCM), viene conservata su un dispositivo di archiviazione del Fornitore in Italia. La chiave per aprirla è custodita solo dal Fornitore e non si trova sul server.

I dati dei membri non sono cifrati campo per campo dall'applicazione. KHM non ha certificazioni di sicurezza proprie: quelle che si possono citare sono dei fornitori cloud. Dettagli nella pagina Sicurezza.

6. A chi vengono comunicati i dati

I dati non vengono venduti né ceduti. Per far funzionare il servizio il Fornitore si avvale di questi fornitori, che per i dati della congregazione agiscono come suoi sub-responsabili:

Fornitore	Che cosa fa	Quali dati	Dove
Lovable	Piattaforma con cui l'app è costruita e gestita; servizio di invio delle email della piattaforma; raccolta delle segnalazioni di errore; servizio di intelligenza artificiale (AI Gateway)	Dati dell'app necessari al funzionamento; dati tecnici	Secondo i termini contrattuali di Lovable; può avvalersi di propri fornitori anche fuori dall'UE
Supabase	Database e autenticazione	Tutti i dati dell'app	Database in una regione dell'Unione europea; società con sede negli Stati Uniti
Cloudflare	Esecuzione dell'applicazione, distribuzione delle pagine, protezione dal traffico automatico	Tutte le richieste in transito, indirizzo IP	Rete mondiale: le richieste sono gestite dal centro dati più vicino a chi si collega, anche fuori dall'UE; società con sede negli Stati Uniti
Mailgun, tramite il servizio email di Lovable	Invio delle email della piattaforma (conferma dell'account, reimpostazione della password, inviti, notifiche)	Indirizzo email del destinatario e contenuto del messaggio	Società con sede negli Stati Uniti
Google (modelli Gemini, tramite l'AI Gateway di Lovable)	Solo quando un utente usa la sistemazione automatica degli indirizzi nell'importazione dell'anagrafica	Il solo testo degli indirizzi, senza nomi	Possibile trattamento fuori dall'UE
MapTiler e OpenStreetMap / Nominatim	Mappe dei territori e ricerca degli indirizzi	Il browser scarica le immagini della mappa (questi servizi ricevono l'indirizzo IP del dispositivo); il server invia il testo dell'indirizzo cercato (territori, postazioni di testimonianza pubblica), senza nomi	MapTiler: Svizzera; OpenStreetMap: Regno Unito (paesi con decisione di adeguatezza UE)
unpkg	Icone delle mappe	Il browser scarica le icone e il servizio riceve l'indirizzo IP	Rete di distribuzione pubblica, anche fuori dall'UE
Telegram	Solo se la congregazione collega un proprio gruppo o canale al bot	Messaggi del gruppo collegato	Fuori dall'UE

Fornitori scelti dalla congregazione. Se la congregazione collega la propria casella di posta (Google Gmail, Microsoft Outlook/365 oppure un server SMTP di sua scelta), le email della congregazione (fogli S-89, programmi, rapporti) partono da quella casella e passano dal fornitore che la congregazione ha scelto, secondo le regole di quel fornitore.

Stripe (Stripe Payments Europe, Irlanda) gestisce i pagamenti come titolare autonomo dei dati di pagamento, secondo la propria informativa.

Trasferimenti fuori dall'UE. Quando un fornitore tratta dati fuori dallo Spazio economico europeo, il trasferimento si basa sugli strumenti previsti dagli artt. 44-49 GDPR: una decisione di adeguatezza della Commissione europea (compreso l'EU-U.S. Data Privacy Framework per le società statunitensi che vi aderiscono) oppure le clausole contrattuali standard, secondo i termini contrattuali di ciascun fornitore. Puoi chiederne copia a privacy@congregation-manager.com.

I dati possono inoltre essere comunicati alle autorità quando la legge lo impone.

7. Per quanto tempo conserviamo i dati

Dati	Per quanto tempo
Dati della congregazione (anagrafica, rapporti, programmi, storico delle modifiche ai rapporti, registro degli invii email della congregazione, messaggi Telegram dei gruppi collegati)	Finché la congregazione usa il servizio o finché non li cancella o ne chiede la cancellazione. La cancellazione richiesta viene eseguita entro 30 giorni.
Notifiche nell'app	Cancellate automaticamente dopo 6 mesi
Registro degli invii delle email della piattaforma	Cancellato automaticamente dopo 12 mesi
Messaggi del modulo contatti	Cancellati automaticamente dopo 24 mesi
Vecchie registrazioni delle scelte sul banner cookie (non più raccolte dal 5 ottobre 2026)	Cancellate automaticamente dopo 24 mesi
Dati del contratto e dei pagamenti	Per la durata del contratto e poi per il tempo richiesto dalla legge (fino a 10 anni per le scritture contabili)
Copie di sicurezza settimanali del Fornitore	Le ultime 8 settimane: ogni copia è cancellata automaticamente dopo 56 giorni
Registri tecnici dei fornitori e backup	Secondo le regole e il piano di ciascun fornitore

Le cancellazioni automatiche le esegue ogni notte un lavoro pianificato.

8. Cookie

Il sito usa solo cookie e memoria locale tecnici. Nessuna statistica, nessuna pubblicità. Dettagli nella Cookie Policy.

9. I tuoi diritti

Puoi chiedere l'accesso ai tuoi dati e una copia (art. 15), la rettifica (art. 16), la cancellazione (art. 17), la limitazione (art. 18), la portabilità (art. 20) e opporti ai trattamenti basati sul legittimo interesse (art. 21).

Come fare.

• Dati della congregazione (anagrafica, rapporti, incarichi): rivolgiti alla tua congregazione, che ne è titolare. Puoi anche usare il pannello Impostazioni → I miei dati: da lì scarichi subito una copia in formato JSON del tuo profilo, della tua scheda in anagrafica, dei tuoi rapporti di servizio, delle tue assegnazioni alle adunanze, delle tue richieste, delle eventuali vecchie registrazioni del banner cookie e delle ultime 200 notifiche; e invii una richiesta. Le richieste le esamina l'amministratore della piattaforma, che assiste la congregazione (art. 28, par. 3, lett. e, GDPR) e decide con lei. La cancellazione non è automatica.
• Dati di cui il Fornitore è titolare (registrazione, abbonamento, modulo contatti): scrivi a privacy@congregation-manager.com.

Rispondiamo entro 30 giorni; nei casi complessi il termine può essere prorogato di altri 60 giorni, avvisandoti.

Hai anche il diritto di presentare reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

10. Modifiche a questa informativa

Quando l'informativa cambia in modo rilevante lo comunichiamo nell'app. In cima alla pagina trovi sempre la data della versione in vigore; le versioni precedenti sono disponibili su richiesta.