Privacy policy

Informativa sul trattamento dei dati personali

Data ultimo aggiornamento: 09 ottobre 2026

1. Introduzione

Questa informativa descrive il trattamento dei dati personali degli utenti che visitano tesserati.cloud e i sottodomini delle associazioni che usano il nostro servizio, ai sensi del Regolamento (UE) 2016/679 (GDPR) e delle Linee guida del Garante su cookie e altri strumenti di tracciamento (10 giugno 2021).

Ruoli e responsabilità: quando un'associazione utilizza Tesserati per gestire i propri soci, l'associazione è il Titolare del trattamento rispetto ai dati dei soci inseriti nel servizio. Tesserati agisce come Responsabile del trattamento ai sensi dell'art. 28 GDPR, trattando i dati esclusivamente per fornire il servizio. Il rapporto è regolato dal Data Processing Agreement (DPA).

2. Dati che raccogliamo

• Dati forniti volontariamente: nome, cognome, email, telefono e contenuto dei messaggi tramite moduli del sito
• Dati di chi chiede l'iscrizione o informazioni dal sito di un'associazione (pagine Iscriviti e Informazioni): nome, cognome, email, telefono se richiesto, messaggio e risposte alle domande del modulo. Li raccogliamo per conto dell'associazione, che ne è Titolare e li legge nel proprio pannello. Per confermare che l'indirizzo email sia tuo, Tesserati crea un account a tuo nome con quell'indirizzo, di cui è Titolare
• Dati dei soci inseriti dall'associazione: anagrafica, codice fiscale, indirizzo, dati di pagamento (per conto del Titolare)
• Dati tecnici di navigazione: indirizzo IP, identificatori del dispositivo, log, pagine visitate con tempo di visualizzazione, scorrimento e clic, user-agent
• Cookie e tecnologie simili: cookie tecnici sempre attivi; cookie di Google Analytics, di Google Ads e tesserati_gclid solo previo consenso

3. Finalità e basi giuridiche

• Erogare il servizio ed eseguire il contratto (art. 6(1)(b) GDPR)
• Adempimenti amministrativi, contabili e fiscali (art. 6(1)(b),(c) GDPR)
• Ricevere e recapitare all'associazione le richieste di iscrizione e di informazioni inviate dal suo sito, per conto dell'associazione, su misure precontrattuali richieste dall'interessato (art. 6(1)(b) GDPR); confermare l'indirizzo email di chi scrive, avvisare via email gli amministratori dell'associazione e limitare il numero di invii nelle 24 ore per prevenire abusi (legittimo interesse, art. 6(1)(f) GDPR)
• Sicurezza del sito e prevenzione abusi (legittimo interesse, art. 6(1)(f) GDPR)
• Statistiche interne su visite, registrazioni e uso del pannello, con dati pseudonimizzati: pagine visitate, tempo di visualizzazione e clic, provenienza e canale da cui arriva chi registra un'associazione, accessi e principali operazioni nel pannello (legittimo interesse, art. 6(1)(f) GDPR)
• Statistiche di Google Analytics 4 per migliorare il sito, previo consenso (art. 6(1)(a) GDPR)
• Misurazione delle campagne pubblicitarie Google Ads (conversioni ed Enhanced Conversions) e personalizzazione degli annunci, previo consenso marketing (art. 6(1)(a) GDPR)
• Comunicazioni di servizio e, se attivate, newsletter: previo consenso (art. 6(1)(a) GDPR)

4. Conservazione dei dati

• Richieste via form e corrispondenza: 12 mesi dall'ultima interazione
• Richieste di iscrizione e di informazioni inviate dal sito di un'associazione: nel pannello dell'associazione finché l'associazione non le elimina o non le trasforma nell'iscrizione di un socio; per la loro cancellazione l'interlocutore è l'associazione
• Account creato per confermare l'email di chi chiede l'iscrizione o informazioni: finché non ne chiedi la cancellazione a privacy@tesserati.cloud
• Dati amministrativo-contabili: secondo obblighi di legge (fino a 10 anni)
• Dati dell'associazione e dei soci: per tutta la durata dell'abbonamento, più 90 giorni per il ripristino; esportabili in CSV prima dell'eliminazione
• Dati di navigazione delle statistiche interne: circa 90 giorni
• Codice di provenienza: vale 30 giorni dalla prima visita; resta nella sessione fino alla sua scadenza (40 giorni dall'ultima visita), se hai un account nel tuo account finché non viene sostituito da uno nuovo, e accanto al codice di accesso che chiedi via email, sul nostro server, per i 15 minuti in cui quel codice è valido
• Provenienza della registrazione di un'associazione (canale, campagna, parola chiave, pagina di provenienza e di arrivo, data della prima visita e, con il consenso marketing, identificativo del click Google Ads): con i dati dell'associazione, per tutta la durata del suo account
• Identificativo del click Google Ads: nel tuo browser fino alla revoca del consenso marketing e comunque per non più di 90 giorni; nelle statistiche interne circa 90 giorni
• Dati raccolti da Google Analytics e Google Ads: secondo i tempi di conservazione impostati su Google; la revoca del consenso ferma le nuove raccolte ma non cancella quelle già fatte
• Log di sicurezza: 6-12 mesi, salvo obblighi legali

5. Cookie policy

I cookie sono file di testo che il sito invia al browser e vengono memorizzati sul dispositivo.

Suddividiamo i cookie in tre categorie. Le scelte si gestiscono dal banner mostrato al primo accesso o riaprendolo dal footer.

5.1 Sempre attivi

Sempre attivi, non dipendono dalla scelta sul banner e servono al funzionamento del sito. Il cookie di sessione serve anche alle statistiche interne descritte più sotto.

Cookie	Fornitore	Finalità	Durata
tesserati-session	Tesserati	Mantenimento della sessione di navigazione. Nella sessione, sul nostro server, conserviamo anche il codice di provenienza della prima visita; il codice della sessione viene registrato con le pagine visitate, per le statistiche interne	40 giorni
XSRF-TOKEN	Tesserati	Protezione dei moduli da invii non autorizzati (CSRF)	40 giorni
remember_web, seguito da un codice	Tesserati	Mantiene l'accesso dopo il login	40 giorni
cookie_consent	Tesserati	Memorizza le tue scelte sui cookie di tesserati.cloud	180 giorni

Nell'area riservata il tema chiaro o scuro scelto è salvato nella memoria del browser (localStorage), non in un cookie. Sulle pagine di accesso, di conferma dell'email e di iscrizione un controllo anti-abuso di Cloudflare (Turnstile) verifica che non sia un programma automatico: lo script viene caricato da Cloudflare, che riceve indirizzo IP e dati del browser. I caratteri del sito vengono scaricati da Bunny Fonts.

Validità sui siti delle associazioni. I cookie di sessione e di accesso, XSRF-TOKEN e tesserati_gclid valgono su tutti gli indirizzi della piattaforma, cioè tesserati.cloud e i siti delle associazioni (nome-associazione.tesserati.cloud): il browser li invia anche quando visiti il sito di un'associazione. Le scelte sui cookie invece valgono solo sul sito dove le hai fatte: ogni sito di associazione ha il suo banner e il suo cookie_consent, che dura 12 mesi. I cookie che i siti delle associazioni impostano sono descritti nella privacy di ciascuna associazione. Il cookie tesserati_attr, usato fino al 3 ottobre 2026 per la provenienza, non viene più impostato: alla prima visita il suo codice passa nella sessione e il cookie viene cancellato.

Statistiche interne. Per ogni pagina visitata, su tesserati.cloud e sui siti delle associazioni, registriamo: pagina (senza i parametri), provenienza, eventuali parametri della campagna, tipo di dispositivo, un codice ricavato dall'indirizzo IP (non l'indirizzo in chiaro, sempre uguale per lo stesso indirizzo), il codice del cookie di sessione, il codice di provenienza della prima visita, il codice tesserati_gclid se presente e, se hai effettuato l'accesso, il tuo account. Su alcune pagine registriamo anche per quanti secondi la pagina resta visibile, fin dove la scorri e i clic sui pulsanti principali. Nel pannello registriamo inoltre gli accessi e le principali operazioni (per esempio socio inserito, quota pagata), collegati all'account. I visitatori unici sono contati con un codice che cambia ogni giorno; alcune statistiche (visite per canale, sessioni prima di una registrazione) collegano le visite tramite il codice di provenienza o quello di sessione. Il codice di provenienza è un codice casuale assegnato alla prima visita a tesserati.cloud e vale 30 giorni: resta nella sessione, sul nostro server, e quando visiti tesserati.cloud dopo aver effettuato l'accesso viene copiato nel tuo account, se non ne ha già uno valido. Da quel momento le visite fatte da collegato con una sessione nuova, anche da un altro dispositivo, portano il codice dell'account. Quando chiedi un codice di accesso via email, il codice di provenienza viene conservato accanto al codice di accesso sul nostro server, non nell'email: se poi apri il link o digiti il codice da un altro dispositivo, la nuova sessione riprende la provenienza della prima visita. Quando registri un'associazione si considera la prima visita fra il codice della sessione e quello dell'account, così la registrazione viene attribuita al canale da cui eri arrivato (ricerca, campagna, altro sito). I dati restano per circa 90 giorni, servono a statistiche su visite, registrazioni e uso del pannello (per le associazioni, alle statistiche del loro sito) e non sono comunicati a terzi.

5.2 Statistiche (previo consenso)

Misurano l'utilizzo del sito in forma aggregata per migliorarlo. Si attivano solo se acconsenti.

Cookie	Fornitore	Finalità	Durata
_ga, _ga_*	Google Analytics 4	Distinzione visitatori e sessioni, statistiche di utilizzo (IP non memorizzato nei report GA4)	Fino a 24 mesi

Privacy policy di Google.

5.3 Marketing (previo consenso)

Misurano l'efficacia delle nostre campagne pubblicitarie e personalizzano gli annunci. Si attivano solo se acconsenti.

Cookie	Fornitore	Finalità	Durata
tesserati_gclid	Tesserati	Ricorda l'identificativo del click pubblicitario (gclid) per attribuire a Google Ads una tua eventuale registrazione; finché è presente viene registrato anche con le pagine visitate. Viene scritto solo dopo il consenso marketing e cancellato alla pagina successiva se lo revochi. Il browser lo invia anche ai siti delle associazioni, dove il consenso marketing non si chiede: aprendone uno viene cancellato, anche per tesserati.cloud	90 giorni
_gcl_au, _gcl_aw	Google Ads	Misurazione conversioni e attribuzione delle campagne	Fino a 90 giorni
NID, IDE	Google	Personalizzazione annunci e remarketing	Fino a 13 mesi

Se arrivi da un annuncio, l'identificativo del click (gclid, gbraid o wbraid) viene tenuto nella sessione sul nostro server, senza cookie e senza inviarlo a nessuno, finché non scegli sul banner: con il consenso marketing viene scritto in tesserati_gclid, con il rifiuto viene cancellato.

Se hai dato il consenso marketing, quando completi la registrazione di un'associazione passiamo la tua email al tag di Google per le Enhanced Conversions: il tag la trasforma nel tuo browser in un'impronta (hash SHA-256) e invia a Google solo quella. Privacy policy di Google.

5.4 Consent Mode v2 (modalità basic)

Tesserati implementa il Consent Mode v2 di Google nella modalità più restrittiva: nessuno script di Google viene caricato finché non accetti almeno una categoria. Prima della tua scelta non parte alcuna richiesta verso Google, nemmeno in forma anonima o senza cookie. Se accetti solo le Statistiche si attiva Google Analytics 4; solo con il consenso Marketing si attivano Google Ads e la misurazione delle conversioni. Se revochi il consenso marketing, il cookie tesserati_gclid viene cancellato alla pagina successiva.

5.5 Gestione delle preferenze

Al primo accesso viene mostrato un banner con tre pulsanti: Personalizza, Solo tecnici e Accetta tutti. Da Personalizza puoi attivare separatamente Statistiche e Marketing; i Tecnici sono sempre attivi. Puoi cambiare la scelta in qualsiasi momento cliccando "Gestione cookie" nel footer.

Apri gestione cookie

6. Servizi terzi e fornitori

Per erogare il servizio ci avvaliamo di fornitori che trattano dati per nostro conto:

• Laravel Cloud / Forge: hosting applicativo (UE)
• AWS: storage S3 (eu-south-1, Milano) e email SES (eu-west-1, Irlanda)
• Stripe Payments Europe Ltd: pagamenti e abbonamenti. Privacy policy di Stripe
• Google LLC: login OAuth, e - previo consenso - Google Analytics 4 (statistiche) e Google Ads (misurazione campagne, Enhanced Conversions). Privacy policy di Google
• Cloudflare, Inc.: controllo anti-abuso (Turnstile) sulle pagine di accesso, di conferma dell'email, di iscrizione e di richiesta di informazioni
• BunnyWay d.o.o. (Slovenia): distribuzione delle immagini e dei caratteri del sito (Bunny CDN e Bunny Fonts)

7. Trasferimenti extra-SEE

Alcuni fornitori (Google, Stripe, Cloudflare) possono trattare dati fuori dallo SEE. Adottiamo le misure previste dal GDPR: decisioni di adeguatezza o Clausole Contrattuali Standard.

8. Diritti dell'interessato

Puoi accedere, rettificare, cancellare, limitare, opporti, richiedere portabilità e revocare il consenso. Hai diritto di reclamo al Garante. Richieste a privacy@tesserati.cloud.

Per i dati di una richiesta di iscrizione o di informazioni inviata a un'associazione rivolgiti all'associazione, Titolare di quel trattamento, ai recapiti della sua informativa; per l'account creato per confermare la tua email scrivi a noi.

9. Minori

Il servizio non è destinato direttamente a minori di 14 anni. I dati dei minori tesserati sono trattati dall'associazione cliente (Titolare), che raccoglie il consenso dei genitori/tutori.

10. Sicurezza

Adottiamo misure tecniche e organizzative adeguate: HTTPS ovunque, isolamento logico per tenant, backup regolari, review periodiche del codice.

11. Aggiornamenti

Potremmo aggiornare l'informativa. Verifica la data di ultimo aggiornamento; le modifiche rilevanti saranno comunicate via email ai clienti attivi.