La presente informativa riguarda i trattamenti di dati personali svolti tramite l'applicazione Buoni mensa (mensa.vcuria.app), utilizzata dagli uffici del Comune di San Lorenzo del Vallo per verificare i pagamenti del servizio di mensa scolastica effettuati tramite pagoPA e registrare la consegna dei blocchetti di buoni pasto. È rivolta ai genitori, ai tutori o agli altri soggetti che effettuano i pagamenti, agli alunni che fruiscono del servizio e al personale autorizzato che utilizza l'applicazione.

1. Titolare del trattamento

Il Titolare del trattamento è il Comune di San Lorenzo del Vallo, con sede in Viale della Libertà 123, 87040 San Lorenzo del Vallo (CS), codice fiscale e partita IVA 01334140785.

• Telefono: 0981.953103
• E-mail: comune@sanlorenzodelvallo.eu
• PEC: sanlorenzodelvallo@asmepec.it

2. Responsabile della Protezione dei Dati (RPD/DPO)

I dati di contatto del Responsabile della Protezione dei Dati (RPD/DPO), come pubblicati sul sito istituzionale del Comune, sono: Indo s.r.l.s., sede legale in Via G. Mancini 156, Cosenza, e-mail dpo@indoconsulting.it. Il RPD può essere contattato anche tramite la PEC del Comune sanlorenzodelvallo@asmepec.it.

3. Interessati, categorie di dati e loro origine

• Dati identificativi del soggetto pagatore (debitore) e, ove presenti nella posizione di pagamento, dell'alunno che fruisce del servizio: cognome, nome, codice fiscale.
• Dati di pagamento: codice IUV, importo, date di emissione, scadenza e pagamento, causale, servizio e tipologia, riferimento del prestatore di servizi di pagamento (PSP), estremi contabili di accertamento e reversale, indicazione dell'applicazione di una tariffa ridotta.
• Dati sulla consegna dei buoni: anno scolastico, numero di blocchetti dovuti e consegnati, date delle consegne.
• Per gli utenti dell'applicazione (personale autorizzato): dati di navigazione e indirizzo IP da cui provengono tentativi di accesso non riusciti.

L'applicazione non tratta dati relativi alla salute (ad esempio diete speciali o allergie) né coordinate bancarie.

Origine dei dati. I dati non sono raccolti direttamente presso l'interessato: provengono dall'archivio delle posizioni di pagamento pagoPA del Comune, esportato dal software gestionale dell'Ente e importato nell'applicazione dagli uffici.

4. Finalità e base giuridica del trattamento

I dati sono trattati per:

• verificare i pagamenti del servizio di mensa scolastica e consegnare agli aventi diritto i blocchetti di buoni pasto corrispondenti;
• tenere il registro delle consegne e svolgere la rendicontazione amministrativa e contabile del servizio;
• gestire l'accesso riservato all'applicazione e garantirne la sicurezza.

Basi giuridiche:

• art. 6, par. 1, lett. e, GDPR: esecuzione di un compito di interesse pubblico connesso all'erogazione del servizio di refezione scolastica di competenza comunale (art. 2-ter del D.Lgs. 196/2003);
• art. 6, par. 1, lett. c, GDPR: adempimento degli obblighi contabili e di rendicontazione previsti dall'ordinamento degli enti locali (D.Lgs. 267/2000 e D.Lgs. 118/2011).

5. Natura del conferimento

Il trattamento è necessario per la gestione del servizio: i dati derivano dalle posizioni di pagamento già in possesso del Comune e il loro trattamento non si basa sul consenso. Senza tali dati non è possibile verificare il pagamento né consegnare i buoni.

6. Modalità del trattamento e misure di sicurezza

I dati sono trattati con strumenti informatici, esclusivamente da personale del Comune autorizzato e istruito (art. 29 GDPR e art. 2-quaterdecies del D.Lgs. 196/2003), nel rispetto dei principi di liceità, correttezza, trasparenza, minimizzazione, esattezza e limitazione della conservazione (art. 5 GDPR).

Sono adottate misure tecniche e organizzative adeguate al rischio (art. 32 GDPR), tra cui: accesso all'applicazione riservato e protetto da password, connessioni cifrate (HTTPS), limitazione dei tentativi di accesso, intestazioni di sicurezza HTTP ed esclusione delle pagine dall'indicizzazione dei motori di ricerca.

Non sono effettuati processi decisionali automatizzati, compresa la profilazione, di cui all'art. 22 GDPR.

7. Destinatari dei dati

I dati sono trattati dal personale degli uffici comunali competenti (servizi scolastici e ragioneria) autorizzato all'utilizzo dell'applicazione.

Possono inoltre venire a conoscenza dei dati, nei limiti strettamente necessari alle rispettive attività, i seguenti soggetti esterni che forniscono servizi al Comune, designati, ove previsto, responsabili del trattamento ai sensi dell'art. 28 GDPR:

• Vercel Inc. (Stati Uniti): servizio di hosting ed esecuzione dell'applicazione;
• Turso: servizio di database gestito in cui sono archiviati i dati dell'applicazione;
• il fornitore incaricato dello sviluppo e della manutenzione dell'applicazione, per le sole attività di assistenza tecnica.

I dati possono essere comunicati ad autorità pubbliche e organi di controllo nei soli casi previsti dalla legge. I dati personali non sono diffusi, salvo quanto eventualmente indicato in questa informativa.

8. Trasferimento dei dati verso Paesi terzi

L'applicazione è ospitata sull'infrastruttura di Vercel Inc. e le richieste sono elaborate su server situati negli Stati Uniti. Il trasferimento dei dati verso gli Stati Uniti avviene sulla base della decisione di adeguatezza della Commissione europea del 10 luglio 2023 relativa all'EU-U.S. Data Privacy Framework, al quale Vercel Inc. aderisce, nonché delle clausole contrattuali standard approvate dalla Commissione europea (Decisione di esecuzione (UE) 2021/914) previste dall'accordo sul trattamento dei dati del fornitore (artt. 45 e 46 GDPR).

Per gli altri fornitori indicati al punto precedente, eventuali trasferimenti di dati verso Paesi non appartenenti allo Spazio economico europeo avvengono soltanto in presenza delle garanzie previste dagli artt. 45 e 46 GDPR (decisione di adeguatezza o clausole contrattuali standard).

9. Periodo di conservazione

• Dati di pagamento e di consegna dei buoni: per la durata dell'anno scolastico di riferimento e, successivamente, per il periodo previsto per la conservazione della documentazione contabile dell'Ente (di norma dieci anni), al termine del quale sono cancellati.
• Indirizzi IP dei tentativi di accesso non riusciti: per il tempo strettamente necessario a prevenire accessi abusivi; sono eliminati in seguito a un accesso riuscito dallo stesso indirizzo.
• Cookie di sessione: 12 ore dall'accesso, oppure fino all'uscita dall'applicazione.

10. Cookie

L'applicazione utilizza esclusivamente cookie tecnici, necessari al suo funzionamento e per i quali non è richiesto il consenso (art. 122 del D.Lgs. 196/2003 e Linee guida del Garante del 10 giugno 2021). Non sono utilizzati cookie di profilazione né cookie analitici o di terze parti.

• mensa_sessione: cookie tecnico che identifica la sessione autenticata degli uffici; non è accessibile agli script della pagina (HttpOnly) e scade dopo 12 ore.

11. Diritti dell'interessato

In qualità di interessato può esercitare in qualsiasi momento, nei limiti e alle condizioni previsti dalla normativa, i diritti di cui agli artt. 15-22 GDPR:

• accesso ai propri dati personali e alle informazioni sul trattamento (art. 15);
• rettifica dei dati inesatti e integrazione di quelli incompleti (art. 16);
• cancellazione dei dati, nei casi previsti dall'art. 17, salvo che il trattamento sia necessario per adempiere un obbligo di legge o per eseguire un compito di interesse pubblico (art. 17, par. 3, lett. b);
• limitazione del trattamento (art. 18);
• opposizione al trattamento per motivi connessi alla propria situazione particolare (art. 21).

Il diritto alla portabilità dei dati (art. 20) non si applica ai trattamenti necessari per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri (art. 20, par. 3, GDPR).

Le richieste possono essere inviate al Comune tramite PEC (sanlorenzodelvallo@asmepec.it) o e-mail (comune@sanlorenzodelvallo.eu), presentate all'Ufficio Protocollo, oppure rivolte al RPD (dpo@indoconsulting.it). Il Comune risponde senza ingiustificato ritardo e comunque entro un mese dal ricevimento della richiesta, termine prorogabile di due mesi nei casi previsti dall'art. 12, par. 3, GDPR.

I diritti relativi ai dati degli alunni minorenni sono esercitati dai genitori o da chi ne esercita la responsabilità genitoriale.

12. Diritto di reclamo

Se ritiene che il trattamento dei Suoi dati personali avvenga in violazione del GDPR, ha il diritto di proporre reclamo al Garante per la protezione dei dati personali (art. 77 GDPR), Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it, PEC protocollo@pec.gpdp.it, oppure di adire le competenti sedi giudiziarie (art. 79 GDPR).

13. Aggiornamenti dell'informativa

Il Titolare può modificare o aggiornare la presente informativa, anche in seguito a modifiche normative o organizzative. La versione vigente è sempre pubblicata in questa pagina, raggiungibile anche senza effettuare l'accesso.