Informativa Privacy

ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679

1. Titolare del trattamento e DPO

Il Titolare del trattamento è Centro Progetti Educativi Società Cooperativa Sociale, C.F./P. IVA 02526090135, con sede legale in Via Belvedere 12, 22079 Villa Guardia (CO), di seguito anche “CPE”, “Cooperativa” o “Titolare”.

Contatti del Titolare:

Email: info@centroprogettieducativi.it

PEC: centroprogettieducativi@pec.it

Telefono: +39 031 480764

Sito web: www.centroprogettieducativi.it

Il Responsabile della Protezione dei Dati (DPO) designato è l’Avv. Francesco Tagliabue, contattabile ai seguenti recapiti:

Email: francesco.tagliabue@studiolegaletagliabue.it

PEC: francesco.tagliabue@ordineavvocaticomo.legalmail.it

2. Oggetto e ambito dell’informativa

La presente informativa disciplina il trattamento dei dati personali effettuato tramite il sito www.centroprogettieducativi.it, i moduli online, i form di contatto, il questionario di orientamento, le aree informative, l’area riservata protetta da password, le funzionalità di newsletter, candidatura, donazione, iscrizione a eventi, richiesta informazioni e contatto.

La presente informativa si applica al sito web di CPE e ai servizi digitali collegati direttamente gestiti dalla Cooperativa.

La presente informativa non disciplina:

i trattamenti effettuati su siti, piattaforme, social network, sistemi di pagamento, mappe, moduli o ambienti digitali di soggetti terzi raggiungibili tramite link;
i trattamenti effettuati nell’ambito del rapporto clinico, sanitario, sociosanitario, riabilitativo, educativo, residenziale o amministrativo già instaurato con CPE, per i quali possono essere rese informative specifiche, modulistica dedicata e documentazione ulteriore.

3. Natura qualificata di CPE e contesto sanitario, sociosanitario ed educativo

Centro Progetti Educativi Società Cooperativa Sociale opera nell’ambito dei servizi sanitari, sociosanitari, educativi, riabilitativi, psicologici, territoriali e residenziali.

Il Centro Polispecialistico Spazio GiraSole, con sede in Via Belvedere 12, 22079 Villa Guardia (CO), è struttura autorizzata e accreditata nell’ambito del Sistema Socio Sanitario Regionale di Regione Lombardia, CUDES 030443, ed è équipe autorizzata da ATS Insubria per attività di valutazione e certificazione dei Disturbi Specifici dell’Apprendimento.

Tale contesto comporta l’adozione di procedure organizzative, cliniche, documentali e di sicurezza coerenti con il trattamento di dati sanitari, dati relativi a minori, dati relativi alla disabilità, dati familiari, dati educativi e informazioni idonee a rivelare condizioni di particolare vulnerabilità.

CPE opera con un modello di presa in carico integrata, fondato sul lavoro di équipe multiprofessionale, sul raccordo tra famiglia, scuola, servizi territoriali e professionisti, e sulla costruzione di percorsi personalizzati.

Le richieste inviate tramite il sito, inclusi i moduli di contatto e il questionario di orientamento, sono trattate per consentire una prima valutazione organizzativa e professionale della domanda e per indirizzare l’utente verso il servizio, il professionista o il percorso più appropriato.

Il questionario di orientamento e i moduli online non hanno natura diagnostica automatica, non sostituiscono la valutazione professionale e non determinano automaticamente accesso, esclusione, priorità clinica, diagnosi, terapia o presa in carico.

Ogni valutazione rilevante è effettuata da persone fisiche competenti, secondo criteri professionali, clinici, organizzativi e documentali, nel rispetto del GDPR e della normativa applicabile.

4. Categorie di dati personali trattati

CPE può trattare, nei limiti necessari alle finalità indicate nella presente informativa, le seguenti categorie di dati personali.

4.1. Dati identificativi e di contatto

Nome, cognome, indirizzo email, numero di telefono, indirizzo, ruolo dichiarato, rapporto con l’utente o con il minore, ente/scuola/servizio di appartenenza, area della richiesta, preferenze di ricontatto, messaggi inviati tramite form, dati necessari alla gestione di richieste, appuntamenti, eventi, candidature, donazioni, newsletter e comunicazioni.

4.2. Dati di navigazione e dati tecnici

Indirizzi IP, identificativi online, informazioni su browser e dispositivo, sistema operativo, log tecnici, dati relativi all’interazione con il sito, preferenze cookie, dati di sicurezza, dati di sessione, dati necessari al funzionamento della piattaforma Wix, della CMP, dell’area protetta, dei sistemi CDN, dei form e dei servizi tecnici collegati.

4.3. Dati relativi alla salute e categorie particolari di dati

Le richieste inviate tramite questionario di orientamento, moduli di contatto, form dei servizi clinici, area minori, area adulti, DSA, NPI, logopedia, TNPEE, psicologia, psicoterapia, RIA, CDC, residenzialità, scuole e territorio possono contenere dati idonei a rivelare lo stato di salute fisica o psicologica, disturbi del neurosviluppo, difficoltà di apprendimento, disabilità, bisogni riabilitativi, bisogni educativi, fragilità familiari, condizioni emotive, relazionali o comportamentali, informazioni scolastiche e informazioni relative al contesto familiare.

Tali dati costituiscono categorie particolari di dati personali ai sensi dell’art. 9, par. 1 GDPR.

4.4. Dati relativi a minori

Per i servizi rivolti a bambini e ragazzi, CPE può trattare dati identificativi del minore, età, classe frequentata, informazioni scolastiche, dati sanitari, psicologici, riabilitativi, educativi, familiari, dati relativi a diagnosi, valutazioni, certificazioni DSA, percorsi RIA, NPI, logopedia, neuropsicomotricità, psicologia, rapporti con scuola, servizi territoriali e figure sanitarie o educative coinvolte.

4.5. Dati relativi a genitori, tutori, amministratori di sostegno, caregiver e soggetti delegati

CPE può trattare dati relativi alla responsabilità genitoriale, deleghe per minori, dichiarazioni di genitore unico, dati di tutori, amministratori di sostegno, familiari, caregiver, referenti scolastici, referenti dei servizi sociali, sanitari o educativi.

4.6. Dati amministrativi, contabili, fiscali e di donazione

Dati del donatore, importo, frequenza della donazione, causale, commento, dati necessari alla contabilizzazione, al riscontro amministrativo, all’emissione di ricevute e agli adempimenti fiscali. I dati di pagamento sono trattati anche dai fornitori di servizi di pagamento secondo le rispettive informative.

4.7. Dati curriculari e professionali

Dati contenuti nei CV, lettere motivazionali, profilo professionale, recapiti, titoli, esperienze, appartenenza ad albi o ordini professionali, eventuali categorie particolari di dati volontariamente inserite dal candidato. CPE invita i candidati a non inserire dati non pertinenti o eccedenti rispetto alla candidatura.

4.8. Dati per newsletter e comunicazioni informative

Nome, cognome, email, consenso prestato, data e prova del consenso, preferenze di iscrizione, log di iscrizione e disiscrizione, statistiche di recapito e interazione, nei limiti consentiti dalla piattaforma utilizzata e dalla normativa applicabile.

4.9. Dati resi pubblici dall’utente su canali esterni

Eventuali commenti, interazioni o contenuti pubblicati volontariamente dall’utente su social network o piattaforme terze collegate a CPE sono trattati secondo le regole delle rispettive piattaforme, che operano come titolari autonomi. CPE può visualizzare o gestire tali contenuti nei limiti delle funzionalità messe a disposizione dalle piattaforme e delle finalità istituzionali, informative o di comunicazione della Cooperativa.

5. Finalità e basi giuridiche del trattamento

5.1. Navigazione, sicurezza e funzionamento tecnico del sito

Finalità: garantire navigazione, sicurezza, stabilità, prevenzione di abusi, gestione log, protezione da accessi non autorizzati, funzionamento tecnico del sito, area riservata, moduli, cookie tecnici, servizi CDN e piattaforma Wix.

Base giuridica: art. 6, par. 1, lett. f) GDPR, legittimo interesse del Titolare alla sicurezza e al corretto funzionamento del sito; art. 32 GDPR; art. 122, comma 1, D.Lgs. 196/2003 per cookie tecnici.

5.2. Gestione delle richieste di contatto e orientamento iniziale

Finalità: rispondere a richieste inviate tramite sito, email, form, questionario di orientamento, pagine di servizio o altri canali digitali; comprendere l’area della richiesta; indirizzare l’utente verso il referente o servizio più appropriato.

Base giuridica: art. 6, par. 1, lett. b) GDPR, esecuzione di misure precontrattuali richieste dall’interessato; art. 6, par. 1, lett. f) GDPR, legittimo interesse del Titolare alla corretta organizzazione interna e gestione delle richieste.

Qualora la richiesta contenga dati sanitari o categorie particolari di dati: art. 9, par. 2, lett. h) GDPR, per finalità di medicina preventiva, diagnosi, assistenza, terapia sanitaria, riabilitazione o presa in carico sociosanitaria; art. 9, par. 3 GDPR, per trattamenti effettuati sotto la responsabilità di professionisti soggetti al segreto professionale o da personale autorizzato e istruito.

5.3. Orientamento professionale, valutazione preliminare e presa in carico

Finalità: analisi umana della domanda, primo orientamento, valutazione della compatibilità della richiesta con i servizi CPE, invio al servizio competente, gestione di eventuale contatto successivo, predisposizione del percorso.

Base giuridica: art. 6, par. 1, lett. b) GDPR; art. 6, par. 1, lett. c) GDPR per obblighi normativi, amministrativi, sanitari e sociosanitari; art. 9, par. 2, lett. h) GDPR; art. 9, par. 3 GDPR.

Il trattamento non comporta decisioni automatizzate ai sensi dell’art. 22 GDPR.

5.4. Erogazione di servizi sanitari, sociosanitari, riabilitativi, educativi, clinici e residenziali

Finalità: gestione di percorsi RIA, DSA, NPI, logopedia, TNPEE, psicologia, psicoterapia, area adulti, CDC, residenzialità, rapporti con famiglie, scuole, servizi territoriali, enti pubblici e professionisti coinvolti.

Base giuridica: art. 6, par. 1, lett. b) GDPR; art. 6, par. 1, lett. c) GDPR; art. 9, par. 2, lett. h) GDPR; art. 9, par. 3 GDPR; normativa sanitaria, sociosanitaria, scolastica, amministrativa, regionale, contrattuale e di accreditamento applicabile.

5.5. Gestione di dati relativi a minori

Finalità: rispondere a richieste presentate da genitori, tutori o soggetti legittimati; gestire orientamento, valutazioni, percorsi clinici, educativi, riabilitativi, scolastici e sociosanitari; acquisire deleghe e documentazione relativa alla responsabilità genitoriale.

Base giuridica: art. 6, par. 1, lett. b) GDPR; art. 6, par. 1, lett. c) GDPR; art. 9, par. 2, lett. h) GDPR; art. 9, par. 3 GDPR.

Per i servizi della società dell’informazione eventualmente offerti direttamente a minori, ove il trattamento sia fondato sul consenso, si applicano l’art. 8 GDPR e l’art. 2-quinquies del D.Lgs. 196/2003. Nei percorsi clinici, sanitari, educativi e sociosanitari relativi a utenti minorenni, CPE opera ordinariamente tramite il titolare della responsabilità genitoriale, il tutore o altro soggetto legittimato.

5.6. Certificazioni DSA e documentazione clinico-amministrativa

Finalità: gestione di valutazioni, certificazioni, documenti clinici, comunicazioni con famiglia, scuola e servizi, documentazione necessaria ai fini scolastici, amministrativi o sanitari.

Base giuridica: art. 6, par. 1, lett. b) GDPR; art. 6, par. 1, lett. c) GDPR; art. 9, par. 2, lett. h) GDPR; art. 9, par. 3 GDPR; normativa applicabile in materia di DSA, scuola, sanità, autorizzazioni e accreditamento.

5.7. Area riservata protetta da password

Finalità: mettere a disposizione documentazione clinica, amministrativa, organizzativa o informativa a utenti già in carico, famiglie, tutori o soggetti autorizzati; proteggere documentazione riservata, modulistica, regolamenti, procedure e know-how CPE.

Base giuridica: art. 6, par. 1, lett. b) GDPR, gestione del rapporto con l’utente; art. 6, par. 1, lett. f) GDPR, legittimo interesse alla sicurezza, al controllo degli accessi e alla protezione della proprietà intellettuale e del know-how della Cooperativa; art. 9, par. 2, lett. h) GDPR, ove i documenti o il contesto riguardino percorsi clinici, sanitari o sociosanitari.

L’area riservata protetta da password non implica necessariamente la creazione di un account nominativo completo. Le modalità tecniche di accesso possono variare in base alla piattaforma e alla configurazione adottata.

5.8. Automazioni tecnico-organizzative tramite Make.com o strumenti equivalenti

Finalità: instradare automaticamente le richieste provenienti dai form verso i referenti interni competenti, inviare notifiche operative al team, evitare rimbalzi organizzativi, ridurre i tempi di risposta e migliorare la gestione interna delle richieste di orientamento, contatto, iscrizione, candidatura o donazione.

Base giuridica: art. 6, par. 1, lett. b) GDPR; art. 6, par. 1, lett. f) GDPR, legittimo interesse alla corretta organizzazione interna; art. 9, par. 2, lett. h) GDPR ove il contenuto della richiesta includa dati sanitari o sociosanitari.

Le automazioni hanno finalità esclusivamente tecnico-organizzative. Non hanno finalità di profilazione commerciale, non effettuano scoring clinico, non determinano priorità sanitarie, non producono diagnosi, non assumono decisioni automatizzate e non sostituiscono la valutazione umana dell’équipe CPE.

5.9. Newsletter e comunicazioni informative o promozionali

Finalità: invio di comunicazioni via email relative a progetti, eventi, iniziative, contenuti informativi, servizi e attività promosse da CPE.

Base giuridica: art. 6, par. 1, lett. a) GDPR; art. 7 GDPR; art. 130 D.Lgs. 196/2003.

Il consenso può essere revocato in qualsiasi momento tramite link di disiscrizione o contattando CPE. La revoca non pregiudica la liceità del trattamento effettuato prima della revoca.

5.10. Donazioni, pagamenti e gestione contabile/fiscale

Finalità: gestione di donazioni, ricevute, pagamenti, rendicontazioni, adempimenti amministrativi, contabili e fiscali.

Base giuridica: art. 6, par. 1, lett. b) GDPR; art. 6, par. 1, lett. c) GDPR.

I fornitori di servizi di pagamento possono trattare dati personali in qualità di titolari autonomi per finalità di pagamento, sicurezza, antifrode, obblighi normativi e gestione della transazione.

5.11. Candidature e selezione personale/collaboratori

Finalità: valutare candidature, CV, profili professionali, collaborazioni, selezioni, colloqui e opportunità lavorative.

Base giuridica: art. 6, par. 1, lett. b) GDPR; art. 9, par. 2, lett. b) GDPR ove necessario per obblighi in materia di lavoro e sicurezza sociale; art. 9, par. 2, lett. a) GDPR ove il candidato inserisca volontariamente dati particolari non richiesti ma pertinenti alla selezione.

5.12. Analytics, misurazione, conversion tracking e campagne istituzionali

Finalità: misurare traffico, prestazioni del sito, conversioni, efficacia delle campagne informative, istituzionali e di accesso ai servizi, incluse eventuali campagne Google Ad Grants, Google Ads, Search, Performance Max o strumenti analoghi.

Base giuridica: art. 6, par. 1, lett. a) GDPR; art. 122 D.Lgs. 196/2003.

Tali strumenti sono attivati solo previo consenso ove richiesto. CPE non utilizza dati sanitari, dati relativi a minori, dati relativi alla disabilità, contenuti dei form, dati clinici, messaggi liberi, diagnosi o informazioni idonee a rivelare fragilità personali per profilazione pubblicitaria individuale, remarketing sanitario, customer match, custom audiences, lookalike audiences, enhanced conversions o strumenti equivalenti. Gli eventi analytics e conversione devono essere configurati in modo generico e non devono includere dati identificativi diretti, dati sanitari, categorie cliniche, diagnosi, contenuti dei messaggi o riferimenti specifici a condizioni di salute.

5.13. Difesa in giudizio, reclami, audit, responsabilità sanitaria e compliance

Finalità: gestire reclami, richieste di accesso, contenziosi, sinistri, audit, verifiche interne, obblighi di compliance, difesa di diritti e responsabilità professionale, sanitaria o organizzativa.

Base giuridica: art. 6, par. 1, lett. f) GDPR; art. 6, par. 1, lett. c) GDPR; art. 9, par. 2, lett. f) GDPR.

5.14. Statistiche, analisi aggregate e miglioramento dei servizi

Finalità: elaborare dati aggregati o anonimizzati per finalità statistiche, miglioramento dei servizi, rendicontazione sociale, ricerca e analisi interna.

Base giuridica: ove i dati siano anonimizzati in modo irreversibile, il GDPR non si applica; ove persistano dati personali o pseudonimizzati, art. 9, par. 2, lett. j) GDPR e art. 89 GDPR, con garanzie adeguate.

6. Modalità del trattamento e misure di sicurezza

Il trattamento avviene con strumenti informatici, telematici e, ove necessario, cartacei, secondo principi di liceità, correttezza, trasparenza, minimizzazione, esattezza, limitazione della conservazione, integrità, riservatezza e responsabilizzazione ai sensi dell’art. 5 GDPR.

CPE adotta misure tecniche e organizzative adeguate ai sensi dell’art. 32 GDPR, tra cui:

connessione HTTPS;
controllo degli accessi;
autenticazione per aree protette;
limitazione dei privilegi;
istruzioni al personale autorizzato;
obblighi di riservatezza e segreto professionale ove applicabili;
protezione dei sistemi;
backup e misure di continuità;
gestione dei fornitori;
nomine o accordi ex art. 28 GDPR ove richiesti;
minimizzazione dei dati raccolti tramite form;
separazione tra dati clinici e dati marketing;
blocco preventivo dei cookie non essenziali;
gestione dei consensi tramite CMP;
configurazione di eventi analytics e advertising in forma generica e non sanitaria.

L’accesso ai dati è consentito solo a soggetti autorizzati e istruiti, nei limiti delle rispettive mansioni.

7. Area riservata, proprietà intellettuale e know-how CPE

Il sito può mettere a disposizione una sezione ad accesso riservato, protetta tramite password o altra misura di controllo, destinata alla consultazione o al download di documentazione clinica, amministrativa, regolamentare, organizzativa o informativa da parte di utenti già in carico, familiari, tutori, soggetti autorizzati o professionisti legittimati.

L’accesso riservato è predisposto anche per tutelare la proprietà intellettuale, il patrimonio documentale, le procedure operative, il know-how clinico-organizzativo e i materiali interni sviluppati da CPE, inclusi, a titolo esemplificativo, regolamenti, modulistica clinica, deleghe per minori, dichiarazioni relative alla responsabilità genitoriale, istruzioni operative, documenti amministrativi e materiali di supporto ai percorsi.

La messa a disposizione di tali documenti ha funzione di facilitazione organizzativa e documentale per l’utente, la famiglia o il soggetto già coinvolto nel percorso CPE. La semplice consultazione o il download della documentazione disponibile nell’area riservata non costituisce attività di profilazione, non comporta valutazione automatizzata dell’utente e non determina, di per sé, alcuna decisione clinica, amministrativa o contrattuale.

L’utente autorizzato è tenuto a custodire con diligenza le credenziali o la password eventualmente ricevute, a non comunicarle a terzi non autorizzati e a utilizzare i documenti esclusivamente per finalità personali, familiari, cliniche, amministrative o di gestione del rapporto con CPE.

È vietata la riproduzione, diffusione, pubblicazione, riutilizzo commerciale, modifica non autorizzata o condivisione a terzi della documentazione protetta, salvo consenso scritto di CPE o obbligo di legge.

CPE si riserva di modificare, limitare, sospendere o revocare l’accesso all’area riservata in caso di uso improprio, esigenza di sicurezza, aggiornamento documentale, cessazione del rapporto, tutela dei diritti della Cooperativa o protezione dei dati personali degli interessati.

8. Conferimento dei dati

Il conferimento dei dati tramite i moduli del sito è volontario. Tuttavia, il mancato conferimento dei dati contrassegnati come obbligatori può impedire a CPE di rispondere alla richiesta, orientare correttamente l’utente, gestire una candidatura, iscrizione, donazione, richiesta di contatto o accesso all’area protetta.

CPE invita gli utenti a non inserire nei campi liberi dati sanitari, dati relativi a minori, dati relativi alla disabilità o informazioni particolarmente delicate non necessarie alla richiesta iniziale. Qualora tali dati siano volontariamente inseriti o siano necessari per la natura della richiesta, CPE li tratterà secondo le garanzie previste per le categorie particolari di dati personali.

Il consenso richiesto per newsletter, cookie analytics, cookie marketing o altre finalità opzionali è sempre separato rispetto alla richiesta principale. La mancata prestazione del consenso per finalità opzionali non impedisce l’utilizzo dei servizi essenziali del sito.

9. Destinatari dei dati e soggetti autorizzati

I dati possono essere trattati da:

personale amministrativo, sanitario, sociosanitario, educativo, clinico, comunicazione, IT e organizzativo di CPE, autorizzato e istruito;
professionisti e collaboratori coinvolti nei percorsi, nei limiti delle rispettive competenze;
fornitori tecnici e digitali nominati responsabili del trattamento, ove applicabile;
consulenti legali, fiscali, assicurativi, del lavoro, revisori e soggetti professionali;
banche, payment provider e gestori di pagamento;
enti pubblici, autorità, ATS, Regione Lombardia, scuole, servizi sociali, servizi sanitari, autorità giudiziaria o amministrativa, nei casi previsti dalla legge o necessari alla gestione del rapporto.

I dati non sono diffusi.

10. Responsabili esterni del trattamento e fornitori rilevanti

CPE può avvalersi dei seguenti fornitori, secondo il ruolo privacy applicabile al servizio concretamente prestato:

Wix.com Ltd., per piattaforma sito, hosting, CMS, form, area protetta e infrastruttura;
Make.com / Celonis o strumenti equivalenti, per automazioni tecnico-organizzative di instradamento richieste e notifiche operative;
Brevo SAS o piattaforme equivalenti, per email marketing, newsletter e gestione consensi di iscrizione/disiscrizione;
Elfsight, per widget recensioni Google Reviews ove integrato;
Cloudflare, quale CDN o sub-fornitore tecnico di servizi terzi ove utilizzato;
Google Ireland Ltd. / Google LLC, per Google Analytics 4, Google Tag Manager, Google Ads, Google Ad Grants, Google Maps, Google Forms e servizi collegati ove utilizzati;
Meta Platforms Ireland Ltd. / Meta Platforms Inc., ove siano attivi Meta Pixel, collegamenti a Facebook/Instagram o strumenti analoghi;
Consentik / Omega o altro fornitore CMP, per gestione consenso cookie;
fornitori di pagamento, per donazioni e transazioni;
fornitori IT, consulenti e piattaforme digitali necessarie alla gestione del sito e dei servizi collegati.

Quando tali soggetti trattano dati per conto di CPE, operano quali Responsabili del trattamento ai sensi dell’art. 28 GDPR. Quando determinano autonomamente finalità e mezzi del trattamento, operano quali Titolari autonomi. L’elenco aggiornato dei Responsabili del trattamento è disponibile presso CPE e può essere richiesto contattando il Titolare o il DPO.

11. Collegamenti esterni e abbandono del perimetro digitale CPE

Il sito può contenere collegamenti, pulsanti, icone o rinvii verso siti, piattaforme e servizi di terzi, inclusi social media, testate giornalistiche, servizi di mappa, moduli esterni, sistemi di pagamento o altri ambienti digitali non gestiti direttamente da CPE. In particolare, i collegamenti verso Facebook, Instagram, YouTube, LinkedIn, Google Maps, Google Forms, sistemi di pagamento, articoli di stampa o siti redazionali conducono l’utente fuori dal perimetro digitale, tecnico, organizzativo e di sicurezza di CPE. Tali soggetti operano come Titolari autonomi del trattamento, determinando in autonomia finalità, mezzi, tempi di conservazione, basi giuridiche, eventuali trasferimenti extra-UE, cookie, strumenti di tracciamento, sistemi di profilazione, advertising, analytics e modalità di esercizio dei diritti. Cliccando su tali collegamenti, pulsanti o contenuti esterni, l’utente abbandona il perimetro digitale controllato da CPE e accede a siti, piattaforme o servizi regolati da autonome informative privacy, cookie policy, condizioni d’uso e impostazioni tecniche di terzi. CPE non esercita alcun controllo sui dati raccolti da tali piattaforme, testate o siti terzi. CPE non determina, non approva, non verifica e non governa le finalità, i mezzi, i cookie, i pixel, gli strumenti di analytics, le tecnologie di profilazione, i sistemi pubblicitari, i trasferimenti internazionali, le logiche di conservazione o le ulteriori comunicazioni di dati effettuate da tali soggetti. La presenza di un link esterno sul sito CPE non implica approvazione, controllo continuativo, garanzia di aggiornamento, responsabilità editoriale, responsabilità tecnica o assunzione di obblighi privacy da parte di CPE rispetto al sito o alla piattaforma di destinazione.

12. Trasferimenti di dati verso Paesi terzi

Alcuni fornitori utilizzati da CPE possono comportare trasferimenti di dati personali verso Paesi non appartenenti all’Unione Europea o allo Spazio Economico Europeo. I trasferimenti avvengono nel rispetto degli artt. 44-49 GDPR, sulla base di:

decisioni di adeguatezza della Commissione Europea, ove applicabili;
Clausole Contrattuali Standard approvate dalla Commissione Europea;
EU-US Data Privacy Framework ove applicabile;
misure supplementari tecniche, contrattuali e organizzative;
ulteriori garanzie previste dal GDPR.

In particolare: Wix.com Ltd. ha sede in Israele, Paese oggetto di decisione di adeguatezza; Google, Meta, Cloudflare, PayPal e altri fornitori internazionali possono comportare trattamenti o trasferimenti verso gli Stati Uniti o altri Paesi extra-UE; Elfsight e relativi sub-fornitori devono essere verificati in base all’entità contrattuale e all’infrastruttura utilizzata; Make.com / Celonis può comportare trattamenti nell’UE e, secondo configurazione e sub-fornitori, trasferimenti extra-UE.

13. Conservazione dei dati

CPE conserva i dati personali per il tempo strettamente necessario al perseguimento delle finalità per cui sono stati raccolti, salvo obblighi legali, sanitari, sociosanitari, fiscali, contabili, assicurativi, autorizzativi, di accreditamento o di difesa in giudizio che impongano o giustifichino una conservazione più lunga.

Tempi indicativi di conservazione:

richieste generiche di contatto non seguite da presa in carico: fino a 12 mesi dalla chiusura della richiesta;
questionario di orientamento non seguito da presa in carico: fino a 12 mesi, salvo necessità documentate;
dati sanitari, clinici, riabilitativi, sociosanitari, DSA, RIA, NPI, logopedia, TNPEE, psicologia, psicoterapia, CDC, residenzialità: secondo i termini previsti dalla normativa sanitaria, sociosanitaria, regionale, SSR, di accreditamento e responsabilità professionale applicabile; in via organizzativa, ove pertinente, non inferiore a 10 anni dalla conclusione del rapporto o percorso, salvo obblighi più lunghi;
dati relativi a minori: secondo i termini previsti dalla normativa applicabile e comunque per il periodo necessario alla tutela dei diritti dell’interessato e di CPE;
documentazione deleghe minori, responsabilità genitoriale, tutori, amministratori di sostegno: per il periodo necessario alla gestione e tutela del rapporto, di regola fino a 10 anni ove pertinente;
dati amministrativi, contabili, fiscali, donazioni: 10 anni;
dati newsletter e marketing: fino a revoca del consenso; successivamente conservazione dei dati minimi necessari in lista di esclusione per documentare la revoca, l’opposizione o la disiscrizione;
consensi privacy e cookie: per il tempo necessario a documentarne la validità; preferenze cookie secondo configurazione della CMP e comunque nel rispetto delle Linee guida applicabili;
CV e candidature: fino a 12 mesi dalla ricezione, salvo instaurazione del rapporto o consenso a conservazione ulteriore;
log tecnici e sicurezza: di regola 30 giorni, salvo necessità di accertamento di frodi, abusi, attacchi informatici o difesa;
log Make.com e automazioni: per il tempo strettamente necessario alla gestione operativa e secondo configurazione del servizio, con minimizzazione dei dati;
dati analytics e advertising: secondo le durate indicate nella Cookie Policy e le impostazioni delle piattaforme, sempre nel rispetto del consenso ove richiesto;
dati relativi a reclami, contenziosi, sinistri, responsabilità sanitaria o difesa: per la durata del procedimento e dei termini di prescrizione applicabili.

Alla scadenza, i dati sono cancellati, anonimizzati o aggregati in modo irreversibile, salvo conservazione ulteriore prevista o consentita dalla legge.

14. Minori e tutele rafforzate

CPE tratta dati di minori con cautele rafforzate, nel rispetto dei principi di liceità, correttezza, trasparenza, minimizzazione, integrità, riservatezza e superiore interesse del minore.

Per servizi sanitari, sociosanitari, riabilitativi, psicologici, educativi e DSA rivolti a minori, le richieste e la documentazione sono gestite ordinariamente tramite il titolare della responsabilità genitoriale, tutore, amministratore di sostegno o altro soggetto legittimato. CPE può richiedere deleghe, dichiarazioni di genitore unico, documentazione relativa alla responsabilità genitoriale o altri atti idonei a verificare poteri e autorizzazioni.

CPE garantisce:

accesso ai dati dei minori solo a personale autorizzato;
minimizzazione delle informazioni richieste nei form online;
separazione tra dati sanitari/minori e strumenti di marketing;
divieto di utilizzare dati sanitari o dati relativi a minori per profilazione commerciale;
divieto di creare pubblici pubblicitari, remarketing o audience personalizzate basate su dati relativi a minori, salute, disabilità o fragilità;
gestione documentata di consensi, autorizzazioni e deleghe;
attenzione al superiore interesse del minore;
comunicazioni adeguate con famiglia, scuola e servizi territoriali.

15. Trattamenti automatizzati, profilazione e intelligenza artificiale

CPE non adotta decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o incidano significativamente sull’interessato ai sensi dell’art. 22 GDPR. CPE non utilizza sistemi di intelligenza artificiale per diagnosi, triage clinico, definizione automatica della priorità, esclusione da percorsi, valutazione dell’idoneità, scoring sanitario, analisi automatizzata di fragilità o decisioni relative alla presa in carico.

Le automazioni eventualmente presenti nel sito, incluse quelle tramite Make.com o strumenti equivalenti, hanno esclusivamente funzione tecnico-organizzativa e sono finalizzate a instradare le richieste al referente corretto, inviare notifiche interne e migliorare l’efficienza del processo.

In caso di futura introduzione di sistemi di intelligenza artificiale in ambito clinico, sanitario, sociosanitario, educativo, diagnostico, psicometrico o di supporto decisionale, CPE procederà a specifica valutazione preventiva ai sensi del GDPR, dell’art. 35 GDPR ove applicabile, e del Regolamento (UE) 2024/1689 sull’intelligenza artificiale, tenendo conto delle date di applicazione progressiva degli obblighi previste dal medesimo Regolamento.

16. Cookie e strumenti di tracciamento

Il sito utilizza cookie tecnici e può utilizzare, previo consenso ove richiesto, cookie funzionali, analitici, strumenti di misurazione, conversion tracking e strumenti di marketing. Le informazioni su nome dei cookie, fornitore, categoria, durata, finalità, base giuridica, modalità di accettazione, rifiuto e revoca sono contenute nella Cookie Policy. I cookie non tecnici, inclusi Google Analytics 4, Google Ads Conversion Tag, Google Ad Grants, Meta Pixel ove attivo, Elfsight ove non strettamente tecnico e ogni altro strumento di tracciamento non essenziale, sono attivati solo previo consenso dell’utente ai sensi dell’art. 6, par. 1, lett. a) GDPR e dell’art. 122 D.Lgs. 196/2003.

17. Diritti degli interessati

L’interessato può esercitare i diritti previsti dagli artt. 15-22 GDPR, tra cui:

diritto di accesso;
diritto di rettifica;
diritto di cancellazione nei casi previsti dall’art. 17 GDPR;
diritto di limitazione del trattamento;
diritto alla portabilità dei dati ove applicabile;
diritto di opposizione;
diritto di revoca del consenso ai sensi dell’art. 7, par. 3 GDPR;
diritto di non essere sottoposto a decisioni basate unicamente su trattamenti automatizzati ai sensi dell’art. 22 GDPR;
diritto di proporre reclamo al Garante per la protezione dei dati personali ai sensi dell’art. 77 GDPR;
diritto di ricorso giurisdizionale ai sensi dell’art. 79 GDPR.

Le richieste possono essere inviate a:

info@centroprogettieducativi.it

centroprogettieducativi@pec.it

oppure al DPO:

francesco.tagliabue@studiolegaletagliabue.it

francesco.tagliabue@ordineavvocaticomo.legalmail.it

oppure mediante comunicazione scritta presso:

Centro Progetti Educativi Società Cooperativa Sociale

Via Belvedere 12, 22079 Villa Guardia (CO)

CPE risponde entro un mese dal ricevimento della richiesta ai sensi dell’art. 12, par. 3 GDPR, salvo proroga nei casi previsti dalla normativa. I diritti relativi a dati sanitari, clinici, sociosanitari o documentazione di minori possono incontrare limiti nei casi previsti dalla legge, dalla normativa sanitaria, dagli obblighi di conservazione, dalla tutela della salute dell’interessato o di terzi, dalla responsabilità professionale e dalla difesa di diritti in sede giudiziaria.

18. Reclamo al Garante

L’interessato che ritenga che il trattamento dei propri dati personali avvenga in violazione della normativa applicabile può proporre reclamo al Garante per la protezione dei dati personali, secondo le modalità pubblicate dall’Autorità, ai sensi dell’art. 77 GDPR.

19. Aggiornamenti dell’informativa

CPE aggiorna la presente informativa in caso di modifiche normative, tecnologiche, organizzative, introduzione di nuovi fornitori, nuovi trattamenti, nuovi form, nuove campagne, nuovi strumenti di tracciamento, nuove funzionalità digitali o variazioni rilevanti dei servizi. Le nuove versioni saranno pubblicate sul sito. In caso di modifiche sostanziali, CPE potrà informare gli utenti mediante avviso sul sito, aggiornamento del banner cookie, comunicazione diretta o altri mezzi idonei.

Ultimo aggiornamento: 27 aprile 2026.