Informativa privacy e cookie

1. Ambito dell'informativa

La presente informativa descrive il trattamento dei dati personali connesso alla navigazione e all'utilizzo del sito emiliaromagna5stelle.eu, comprese le relative aree riservate e le funzionalità direttamente gestite attraverso il sito.

Il sito è dedicato all'attività, all'informazione e alle iniziative del Movimento 5 Stelle in Emilia-Romagna.

Per i servizi accessibili tramite siti o piattaforme esterne si applicano le informative predisposte dai rispettivi titolari.

2. Titolare del trattamento e contatti

Titolare del trattamento: Gruppo Assembleare "Movimento 5 Stelle" - Assemblea Legislativa della Regione Emilia-Romagna

Indirizzo: Viale Aldo Moro, 50 — 40127 Bologna.

Email: Movimento5stelle@regione.emilia-romagna.it.

Per informazioni relative al trattamento dei dati effettuato attraverso emiliaromagna5stelle.eu e per l'esercizio dei diritti previsti dalla normativa è possibile scrivere direttamente all'indirizzo indicato oppure utilizzare la pagina Contattaci.

Le attività di trattamento eventualmente svolte dall'Associazione MoVimento 5 Stelle attraverso propri siti, portali o servizi nazionali sono autonome rispetto ai trattamenti descritti nella presente informativa e sono disciplinate dalle rispettive informative.

3. Categorie di dati trattati

A seconda delle funzionalità utilizzate, il sito può trattare:

• dati tecnici e di navigazione;
• indirizzo IP e informazioni relative alle richieste HTTP;
• informazioni sul dispositivo, sul browser e sull'ambiente informatico;
• dati relativi all'utilizzo delle pagine e alle interazioni con i contenuti, quando è stato prestato il consenso alla misurazione statistica;
• dati forniti tramite il modulo Contattaci;
• dati relativi agli utenti autorizzati ad accedere alle aree riservate;
• identificativi tecnici necessari alla ricezione delle notifiche push;
• dati e informazioni contenuti nei messaggi, nei contenuti o nei file volontariamente forniti dagli utenti autorizzati.

La semplice navigazione del sito non è utilizzata per dedurre l'appartenenza politica, le opinioni politiche o altre categorie particolari di dati personali dell'utente, né per creare profili individuali destinati alla comunicazione politica personalizzata.

Gli utenti sono invitati a non inserire nei moduli o nelle comunicazioni dati appartenenti a categorie particolari ai sensi dell'art. 9 GDPR, salvo quando ciò sia strettamente necessario alla richiesta formulata.

4. Dati di navigazione, sicurezza e log tecnici

I sistemi informatici e le procedure software che consentono il funzionamento del sito acquisiscono, nel normale esercizio, dati la cui trasmissione è implicita nell'utilizzo dei protocolli Internet. Possono rientrare in questa categoria indirizzi IP, data e ora delle richieste, URI o URL delle risorse richieste, metodo e stato delle richieste HTTP e informazioni relative al browser, al dispositivo e al sistema operativo.

Tali informazioni sono trattate nella misura necessaria al funzionamento, alla sicurezza, alla protezione del sito da utilizzi anomali o automatizzati, alla diagnosi dei malfunzionamenti e alla gestione dell'infrastruttura.

Il sito utilizza inoltre sistemi di rate limiting, che possono utilizzare temporaneamente l'indirizzo IP per limitare richieste eccessive verso determinate funzionalità, tra cui il modulo Contattaci e la registrazione delle notifiche push.

Sono presenti strumenti tecnici che consentono di riconoscere nei log gli accessi effettuati da alcuni crawler di motori di ricerca o servizi di intelligenza artificiale. Tale funzione è utilizzata a fini diagnostici e di monitoraggio tecnico e non comporta l'invio, da parte del sito, dei dati dei visitatori a tali servizi.

5. Modulo Contattaci

L'utilizzo del modulo Contattaci comporta il trattamento dei dati volontariamente inseriti dall'utente, tra cui indirizzo email, nominativo, motivo della richiesta, oggetto e testo del messaggio.

Il sito adotta un sistema di conferma dell'indirizzo email: dopo l'invio del modulo, viene trasmesso un messaggio contenente un collegamento di conferma. Il messaggio viene inoltrato al destinatario configurato dal sito soltanto dopo la conferma.

Il token utilizzato per la conferma viene conservato nel database in forma crittograficamente derivata mediante hash e non in chiaro.

La presa visione dell'informativa richiesta nel modulo costituisce attestazione dell'avvenuta informazione dell'utente e non equivale, nei casi in cui il trattamento si fondi su una diversa base giuridica, a un consenso generalizzato al trattamento dei dati.

Per proteggere il modulo da spam e invii automatizzati viene inoltre utilizzato Google reCAPTCHA secondo quanto specificato nella presente informativa.

6. Area riservata e account degli utenti autorizzati

La registrazione pubblica degli utenti non è prevista. Gli account destinati all'accesso alle aree riservate sono gestiti nell'ambito dell'amministrazione del sito.

Per tali account possono essere trattati indirizzo email, nominativo, ruolo e ambito territoriale, autorizzazioni e permessi applicativi, stato dell'account, data e ora dell'ultimo accesso e le informazioni necessarie alla conferma o modifica dell'indirizzo email e al recupero della password.

Le password non sono conservate in chiaro, ma tramite funzioni di hashing. Anche i token temporanei utilizzati per conferma email, modifica dell'indirizzo e recupero password sono memorizzati sotto forma di hash.

Per mantenere autenticato un utente dell'area riservata viene utilizzato il cookie tecnico ER5S.Auth, configurato con una durata massima di 12 ore e rinnovo della validità durante l'utilizzo della sessione nei casi previsti dall'applicazione.

Possono inoltre essere utilizzati cookie tecnici generati dal framework applicativo per la protezione contro richieste fraudolente, quali i token anti-CSRF/antiforgery.

7. Notifiche push e Firebase

Il sito consente all'utente, sui browser compatibili, di attivare volontariamente le notifiche push relative alla pubblicazione di nuovi contenuti.

Il servizio utilizza tecnologie Google Firebase, in particolare Firebase Cloud Messaging e Firebase Installations.

L'attivazione richiede un'azione esplicita dell'utente e l'autorizzazione alle notifiche da parte del browser. In caso di attivazione possono essere trattati il Firebase Installation ID (FID) associato all'installazione del browser, l'eventuale token tecnico necessario alla consegna delle notifiche, la data e l'ora della prima registrazione, la data e l'ora dell'ultima sincronizzazione e le informazioni tecniche necessarie all'erogazione del servizio.

Il sito conserva tali identificativi nel proprio database esclusivamente per individuare le installazioni abilitate alla ricezione delle notifiche. Se l'autorizzazione alle notifiche è già stata concessa in una visita precedente, il sito può sincronizzare nuovamente l'identificativo Firebase per mantenere funzionante il servizio.

La disattivazione delle notifiche comporta la rimozione della relativa registrazione dal database quando il browser e Firebase comunicano correttamente la revoca. L'utente può inoltre revocare in qualsiasi momento l'autorizzazione attraverso le impostazioni del proprio browser o dispositivo.

L'attivazione delle notifiche è facoltativa e si basa sul consenso dell'utente ai sensi dell'art. 6, par. 1, lett. a GDPR. Il consenso può essere revocato dal sito e dalle impostazioni del browser; la revoca non pregiudica la liceità del trattamento effettuato prima della revoca.

La presenza nella configurazione Firebase di identificativi tecnici del progetto non implica, di per sé, l'utilizzo di Firebase Analytics: il progetto utilizza Firebase per la gestione delle notifiche push e delle relative installazioni.

8. Finalità e basi giuridiche

I dati sono trattati, a seconda della funzionalità interessata, per le seguenti finalità:

• Funzionamento e sicurezza del sito: per garantire disponibilità, sicurezza, prevenzione degli abusi e diagnosi dei problemi tecnici, sulla base del legittimo interesse di cui all'art. 6, par. 1, lett. f GDPR.
• Gestione delle richieste inviate tramite Contattaci: per registrare, confermare, inoltrare e gestire la comunicazione richiesta dall'utente, ai sensi dell'art. 6, par. 1, lett. b e/o lett. f GDPR, secondo il caso.
• Gestione degli account e delle aree riservate: per autenticare gli utenti, attribuire ruoli e permessi, proteggere gli account e consentire le funzioni assegnate, ai sensi dell'art. 6, par. 1, lett. b e/o lett. f GDPR.
• Misurazione statistica e analisi dell'utilizzo: per comprendere come vengono utilizzate le pagine e migliorare contenuti, struttura e servizi del sito; gli strumenti analitici non necessari vengono attivati sulla base del consenso, ai sensi dell'art. 6, par. 1, lett. a GDPR.
• Notifiche push: per inviare all'utente che le abbia volontariamente attivate notifiche relative alla pubblicazione di nuovi contenuti, sulla base del consenso ai sensi dell'art. 6, par. 1, lett. a GDPR.
• Obblighi di legge e tutela dei diritti: quando necessario per adempiere obblighi normativi o per accertare, esercitare o difendere un diritto.

9. Cookie e altre tecnologie

Il sito utilizza cookie e tecnologie assimilabili necessarie per garantire il funzionamento tecnico, proteggere i moduli, gestire l'autenticazione nelle aree riservate, prevenire richieste fraudolente e memorizzare determinate preferenze dell'utente.

I cookie strettamente necessari non vengono utilizzati per creare profili pubblicitari. Gli strumenti di misurazione statistica non necessari sono subordinati alla scelta dell'utente.

La preferenza relativa agli strumenti analitici è memorizzata nel cookie er5s_analytics_consent per 180 giorni. La scelta può essere modificata successivamente tramite il comando Gestisci preferenze cookie presente nel footer, quando disponibile nella configurazione del banner.

La mancata accettazione degli strumenti statistici non impedisce l'accesso ai contenuti e alle funzionalità essenziali del sito.

Elenco dei cookie e delle tecnologie di memorizzazione

Le sezioni seguenti distinguono i cookie impostati direttamente dal sito dalle tecnologie eventualmente utilizzate dai servizi esterni. I nomi dei cookie di terze parti possono essere modificati dai rispettivi fornitori o variare in base alla configurazione, al browser e alle funzionalità effettivamente attive.

10. Google Tag Manager, Google Analytics 4 e Microsoft Clarity

Google Tag Manager

Il sito utilizza Google Tag Manager (GTM) quale strumento tecnico per organizzare e distribuire i tag associati ai servizi di misurazione. Il contenitore viene scaricato solo dopo il consenso statistico e non viene caricato su Contattaci o nelle aree riservate. Google Tag Manager non viene utilizzato dal sito per definire autonomamente profili degli utenti.

L'eventuale presenza di un tag all'interno di GTM non modifica la base giuridica del relativo trattamento: gli strumenti non necessari devono rispettare la scelta espressa dall'utente.

Google Analytics 4

Il sito utilizza, tramite Google Tag Manager, Google Analytics 4 (GA4) per produrre statistiche sull'utilizzo delle pagine e sulle principali interazioni con i contenuti, esclusi Contattaci e le aree riservate.

Prima di una scelta positiva dell'utente, la configurazione prevista mantiene analytics_storage, ad_storage, ad_user_data e ad_personalization su denied. Soltanto scegliendo di consentire la misurazione statistica analytics_storage viene aggiornato a granted; le autorizzazioni relative a pubblicità, dati pubblicitari e personalizzazione pubblicitaria restano negate.

Gli eventi analitici definiti direttamente dal sito sono progettati per descrivere interazioni quali visualizzazione di contenuti, navigazione, utilizzo dei collegamenti, download o attivazione di specifiche funzioni, senza trasmettere intenzionalmente i valori digitati nei moduli o altri dati personali inseriti dall'utente. Il sito non utilizza Analytics per pubblicità comportamentale o profilazione politica.

La conservazione dei dati utente ed evento nelle esplorazioni GA4 dipende dall'impostazione della proprietà (2 o 14 mesi) e deve essere verificata nella console Analytics; tale impostazione non modifica i report aggregati standard.

Microsoft Clarity

Il sito utilizza Microsoft Clarity per statistiche, heatmap e registrazioni di sessione. Clarity viene caricato tramite GTM solo dopo il consenso statistico e riceve i segnali Consent API V2 con archiviazione pubblicitaria sempre negata.

Contattaci e le aree riservate sono escluse dal caricamento analytics; il modulo Contattaci è inoltre marcato per il masking completo. Alla revoca il sito invia il segnale denied, chiede a Clarity di terminare la sessione con consenso e rimuove i cookie first-party accessibili _clck e _clsk.

I dati raccolti attraverso Clarity non sono utilizzati dal sito per pubblicità politica personalizzata o per dedurre le opinioni politiche dell'utente.

11. Google reCAPTCHA e protezione dagli abusi

La pagina Contattaci utilizza Google reCAPTCHA per distinguere le interazioni umane dagli invii automatizzati e proteggere il sito da spam, bot e altri abusi.

Il componente viene caricato nella pagina in cui è presente il modulo e può comportare una comunicazione diretta tra il browser dell'utente e i sistemi Google.

Nell'ambito della verifica possono essere trattati indirizzo IP, informazioni relative al browser e al dispositivo, informazioni sulla richiesta, token prodotto dalla verifica reCAPTCHA e ulteriori dati tecnici necessari a determinare l'affidabilità dell'interazione secondo il funzionamento del servizio.

Il server del sito trasmette a Google il token di verifica e, quando disponibile, l'indirizzo IP remoto per verificare l'esito del controllo. L'utilizzo di reCAPTCHA è finalizzato alla sicurezza del modulo e alla prevenzione degli abusi e non viene utilizzato dal sito per finalità di profilazione politica.

12. Servizi esterni utilizzati

La tabella riepiloga i principali servizi esterni previsti o integrati nel progetto e la relativa funzione. L'effettiva attivazione può dipendere dalla configurazione dell'ambiente e, per gli strumenti non necessari, dalle scelte dell'utente.

L'elenco viene aggiornato quando sono introdotti, sostituiti o rimossi servizi tecnici rilevanti per il trattamento dei dati o per l'utilizzo di cookie e tecnologie assimilabili.

13. Posta elettronica

Il sito utilizza un servizio SMTP per inviare, tra l'altro, messaggi di conferma relativi al modulo Contattaci, comunicazioni necessarie alla gestione dell'account, conferme relative all'indirizzo email e comunicazioni per il recupero della password.

Le comunicazioni possono contenere l'indirizzo email, il nominativo e le informazioni strettamente necessarie alla funzionalità richiesta. Nel caso del modulo Contattaci, dopo la conferma dell'indirizzo il messaggio viene inoltrato alla casella configurata per la gestione delle richieste.

14. Newsletter e collegamenti verso siti esterni

La pagina Contattaci contiene un collegamento verso un servizio esterno dedicato all'iscrizione alla newsletter. L'iscrizione non avviene direttamente attraverso emiliaromagna5stelle.eu: selezionando il collegamento, l'utente lascia il presente sito e accede alla piattaforma esterna, sulla quale gli eventuali dati vengono raccolti e trattati secondo le condizioni e l'informativa applicabili a quel servizio.

Il sito contiene inoltre collegamenti a pagine e servizi esterni, tra cui social network, sistemi di messaggistica, siti istituzionali o altre piattaforme. I semplici collegamenti non comportano, da parte di questo sito, la comunicazione dei dati inseriti nei propri moduli alle piattaforme di destinazione.

Se l'utente seleziona un collegamento esterno, il sito o servizio di destinazione riceverà i dati tecnici normalmente connessi a una richiesta web e applicherà la propria disciplina privacy. Nel progetto non sono utilizzati, per quanto riguarda tali collegamenti, plugin social incorporati che trasferiscano automaticamente al social network il contenuto dei moduli del sito.

15. Destinatari dei dati

I dati possono essere trattati dal titolare del trattamento, da persone autorizzate alla gestione tecnica, amministrativa o editoriale del sito, da fornitori di hosting, database, posta elettronica, sicurezza, notifiche e servizi statistici, da soggetti che forniscono assistenza tecnica al sito e da enti o autorità quando la comunicazione sia prevista dalla legge o necessaria alla tutela di un diritto.

I fornitori che trattano dati personali per conto del titolare operano, ove applicabile, nell'ambito dei rapporti e delle garanzie previste dall'art. 28 GDPR.

16. Trasferimenti verso Paesi terzi

L'utilizzo di alcuni fornitori tecnologici internazionali, tra cui servizi Google e Microsoft, può comportare il trattamento di dati attraverso infrastrutture situate anche al di fuori dello Spazio Economico Europeo.

Quando un trattamento comporta un trasferimento verso un Paese terzo, esso deve avvenire nel rispetto degli artt. 44 e seguenti GDPR, sulla base degli strumenti previsti dalla normativa applicabile, quali decisioni di adeguatezza della Commissione europea, clausole contrattuali standard o ulteriori garanzie previste dalla normativa, quando necessarie.

17. Conservazione dei dati

I dati sono conservati secondo il principio di limitazione della conservazione e soltanto per il periodo necessario alla finalità per cui sono stati raccolti, fatto salvo un periodo ulteriore richiesto da obblighi normativi o dalla necessità di accertare, esercitare o difendere un diritto.

• la scelta relativa agli strumenti analitici registrata nel cookie er5s_analytics_consent è prevista per 180 giorni;
• il cookie di autenticazione dell'area riservata ER5S.Auth è configurato con una durata massima di 12 ore, con rinnovo durante la sessione nei casi previsti;
• i token per il recupero della password e per la conferma o modifica dell'indirizzo email hanno validità limitata e vengono invalidati secondo la relativa funzione;
• i token del modulo Contattaci vengono conservati in forma di hash e hanno validità temporanea;
• i messaggi Contattaci non confermati vengono eliminati 30 giorni dopo la scadenza del token di conferma;
• i messaggi Contattaci confermati e inoltrati vengono eliminati dopo 730 giorni dall'inoltro, salvo obblighi o necessità di tutela che richiedano una conservazione separata e documentata;
• gli identificativi push vengono rimossi alla disattivazione, quando Firebase li segnala come non registrati o dopo 180 giorni senza sincronizzazioni;
• i log tecnici IndexNow vengono eliminati dopo 365 giorni e le statistiche dettagliate dei crawler AI dopo 730 giorni;
• i dati statistici gestiti dai servizi esterni seguono inoltre i periodi di conservazione configurati per i rispettivi strumenti.

Quando i dati non risultano più necessari alle finalità per cui sono stati trattati, vengono cancellati, resi anonimi o comunque non ulteriormente utilizzati, fatti salvi gli obblighi di legge.

18. Misure di sicurezza

Il sito adotta misure tecniche e organizzative finalizzate a proteggere i dati trattati da accessi non autorizzati, perdita, modifica o divulgazione indebita.

Tra le misure implementate nel progetto rientrano, in particolare, utilizzo di HTTPS in produzione, autenticazione mediante cookie tecnico dedicato, hashing delle password e dei token temporanei di sicurezza, protezione antiforgery dei moduli, sistemi di rate limiting, verifica antispam mediante reCAPTCHA, distinzione di ruoli e permessi per l'accesso alle funzioni riservate, limitazione dell'indicizzazione delle pagine amministrative e riservate e utilizzo di connessioni protette per i servizi configurati ove previsto.

Nessun sistema informatico può tuttavia garantire un livello di sicurezza assoluto.

19. Diritti degli interessati

Nei casi previsti dalla normativa, l'interessato può esercitare i diritti riconosciuti dal GDPR, tra cui accesso ai dati personali (art. 15), rettifica (art. 16), cancellazione (art. 17), limitazione del trattamento (art. 18), portabilità dei dati ove applicabile (art. 20), opposizione (art. 21) e revoca del consenso in qualsiasi momento per i trattamenti fondati sul consenso (art. 7, par. 3), senza pregiudicare la liceità del trattamento effettuato prima della revoca.

Per esercitare tali diritti è possibile utilizzare i recapiti indicati nella sezione relativa al titolare o la pagina Contattaci.

L'interessato ha inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali, ai sensi dell'art. 77 GDPR, qualora ritenga che il trattamento dei propri dati avvenga in violazione della normativa applicabile.

20. Aggiornamenti dell'informativa

La presente informativa può essere modificata o aggiornata in conseguenza di cambiamenti normativi, tecnici, organizzativi o relativi ai servizi utilizzati dal sito.

Le modifiche rilevanti riguardanti l'introduzione di nuove tecnologie non necessarie, nuovi strumenti di misurazione o ulteriori trattamenti basati sul consenso saranno accompagnate, quando richiesto, dall'aggiornamento dei relativi meccanismi di scelta.

La versione pubblicata su questa pagina costituisce la versione vigente dell'informativa. Versione 2.0, ultimo aggiornamento 27 agosto 2026.