Accordo per il trattamento dei dati dell'organizzatore

Questo accordo per il trattamento dei dati ("Accordo") è stipulato tra:

Titolare del trattamento

L'organizzatore è il titolare del trattamento per tutte le informazioni personali caricate, raccolte o trattate in relazione alle proprie gare su Gym Art Meets. In qualità di titolare del trattamento, l'organizzatore:

• Determina le finalità e i mezzi del trattamento dei dati;
• Mantiene la piena responsabilità della liceità della raccolta;
• Assicura l'accuratezza e la completezza delle informazioni personali;
• Ottiene e mantiene tutti i consensi richiesti dagli interessati prima di caricare le informazioni su Gym Art;
• Si conforma a tutte le leggi e i regolamenti applicabili in materia di protezione dei dati.

Responsabile del trattamento

Gym Art agisce come responsabile del trattamento per conto dell'organizzatore. In questa veste, Gym Art:

• Tratta i dati personali solo su istruzioni documentate dell'organizzatore;
• Implementa misure tecniche e organizzative di sicurezza per proteggere i dati personali;
• Si avvale solo di sub-responsabili autorizzati con obblighi equivalenti di protezione dei dati;
• Mantiene registri delle attività di trattamento e coopera con le indagini delle autorità di controllo;
• Notifica all'organizzatore qualsiasi violazione dei dati che interessa i loro dati entro 72 ore;
• Cancella o restituisce tutti i dati personali al termine del presente accordo, salvo obbligo legale di conservazione.

L'organizzatore certifica che, prima di caricare qualsiasi informazione personale su Gym Art Meets, ha ottenuto tutti i consensi legalmente richiesti dall'interessato o dal genitore/tutore legale appropriato, come segue:

3.1 Per i ginnasti di età inferiore a 13 anni

Per i ginnasti di età inferiore a 13 anni, l'organizzatore ha ottenuto il consenso verificabile del genitore o del tutore legale in conformità con il Children's Online Privacy Protection Act (COPPA), 16 CFR Part 312, comprese le modifiche della regola finale del 2025 in vigore dal 22 aprile 2026. Tale consenso deve essere verificabile e documentare l'autorizzazione affermativa del genitore o del tutore prima che avvenga la raccolta dei dati.

3.2 Per i ginnasti di età compresa tra 13 e 15 anni

Per i ginnasti di età compresa tra 13 e 15 anni, l'organizzatore ha ottenuto il consenso del genitore o del tutore legale come richiesto dalle leggi applicabili in materia di protezione dei dati nelle giurisdizioni in cui il ginnasta risiede o in cui si svolge la gara, incluse:

• Loi 25 (Quebec): https://www.legisquebec.gouv.qc.ca/en/document/cs/P-39.1
• PIPEDA (Canada): https://laws-lois.justice.gc.ca/eng/acts/P-8.6/
• PIPA (Alberta): https://kings-printer.alberta.ca/570.cfm?frm_isbn=9780779842902
• PIPA (British Columbia): https://www.bclaws.gov.bc.ca/civix/document/id/complete/statreg/03063_01
• GDPR (European Union / EEA): https://gdpr-info.eu/

3.3 Per gli individui di 16 anni e oltre

Per gli individui di 16 anni e oltre, l'organizzatore ha ottenuto il consenso informato dell'individuo stesso, oppure ha stabilito un'altra base giuridica per il trattamento come consentito dalle leggi applicabili in materia di protezione dei dati (ad esempio, necessità contrattuale, legittimo interesse).

3.4 Ambito del consenso — Dati principali

Tutti i consensi ottenuti coprono esplicitamente la raccolta, il trattamento e la conservazione dei seguenti campi dati principali e finalità:

• Nome del ginnasta;
• Affiliazione alla società/organizzazione;
• Livello agonistico e categoria di età;
• Data di nascita;
• Trattamento di questi dati da parte di Gym Art come responsabile del trattamento per conto dell'organizzatore;
• Conservazione dei dati su Google Cloud Platform a Montréal, Canada (regione northamerica-northeast1);
• Periodi di conservazione come specificato nell' Informativa sulla Privacy di Gym Art (Sezione 8);
• I diritti dell'interessato di accedere, correggere, cancellare e trasferire le proprie informazioni personali.

3.5 Ambito del consenso — Campi dati aggiuntivi

Per qualsiasi campo di dati personali aggiuntivo oltre ai campi principali — come informazioni di contatto di emergenza, requisiti dietetici, note mediche, esigenze di accessibilità o altre informazioni sensibili — l'organizzatore ha ottenuto un consenso separato ed esplicito che:

• Divulga chiaramente la categoria specifica di dati (ad esempio, "nome e numero di telefono del contatto di emergenza");
• Spiega la finalità della raccolta (ad esempio, "per contattare in caso di emergenza medica");
• Specifica il periodo di conservazione per quella categoria;
• È documentato e conservato dall'organizzatore a fini di audit.

3.6 Musica del corpo libero e file multimediali

Per i file musicali del corpo libero, le registrazioni video o altri contenuti multimediali associati ai singoli ginnasti, l'organizzatore ha ottenuto il consenso esplicito del ginnasta (o del genitore/tutore se minore di 18 anni) che autorizza:

• Il caricamento su Gym Art Meets;
• La conservazione su Google Cloud Platform;
• L'uso in relazione alla gara (ad esempio, visualizzazione sul tabellone segnapunti, archivio);
• Il periodo di conservazione predefinito di 3 anni dalla data della gara.

L'organizzatore è tenuto a impostare una data di conservazione specifica o una politica di cancellazione al momento della configurazione della gara. Gli interessati possono richiedere la cancellazione anticipata contattando l'organizzatore.

L'organizzatore deve mantenere una documentazione completa per attestare la conformità al presente accordo, tra cui:

Registri del consenso

• Copie di tutti i moduli di consenso e gli accordi firmati (fisici o digitali) ottenuti dagli interessati o dai genitori/tutori;
• Registri della data in cui è stato ottenuto il consenso e del metodo utilizzato per ottenerlo (ad esempio, firma elettronica, stampa e firma, di persona);
• Prova che il modulo di consenso soddisfaceva i requisiti di tutte le giurisdizioni applicabili per l'età e la posizione dell'interessato.

Produzione dei registri

L'organizzatore deve essere in grado di produrre registri del consenso:

• Su ragionevole richiesta di Gym Art per audit di conformità o come parte della risposta a richieste dell'interessato o delle autorità di controllo;
• A qualsiasi autorità di controllo (ad esempio, commissario per l'informazione, commissario per la privacy) che conduce un'indagine;
• A un interessato che esercita il proprio diritto di accesso o contesta la liceità del trattamento.

Modelli di modulo di consenso

Un modello di modulo di consenso conforme che soddisfa i requisiti di tutte le giurisdizioni applicabili (Loi 25, PIPEDA, PIPA AB, PIPA BC, COPPA, GDPR) è disponibile presso:

Modello di modulo di consenso genitore/tutore

Gli organizzatori possono utilizzare questo modello o sviluppare il proprio modulo, a condizione che includa tutti gli elementi e le informazioni richieste.

Ritiro e revoca del consenso

L'organizzatore deve notificare immediatamente a Gym Art qualsiasi ritiro del consenso da parte di un interessato. Su notifica, Gym Art cancellerà o cesserà il trattamento dei dati di tale individuo in conformità con la Sezione 6.

Responsabilità dell'organizzatore

L'organizzatore deve assicurare che i propri sistemi, pratiche e strutture mantengano standard di sicurezza ragionevoli appropriati alla sensibilità dei dati personali, incluso:

• L'uso di password sicure e univoche per accedere al proprio account Gym Art Meets;
• Non condividere mai le credenziali di accesso con personale non autorizzato;
• Limitare l'accesso ai dati personali solo ai membri del team autorizzati;
• Utilizzare reti e dispositivi sicuri per accedere alla piattaforma;
• Implementare misure di sicurezza fisiche, tecniche e organizzative ragionevoli per qualsiasi dato personale conservato localmente.

Misure di sicurezza di Gym Art

Gym Art implementa misure di sicurezza tecniche e organizzative conformi agli standard del settore per proteggere i dati personali, tra cui crittografia in transito, controlli di accesso sicuri e valutazioni di sicurezza regolari. I dettagli completi sono forniti nell' Informativa sulla Privacy di Gym Art.

Notifica di violazione

L'organizzatore deve segnalare tempestivamente qualsiasi violazione sospetta o confermata dei dati personali, accesso non autorizzato o incidente di sicurezza che interessa Gym Art Meets o i dati personali in essa conservati a:

privacy@gymart.org

Una violazione deve essere segnalata non appena scoperta, anche se i dettagli sono ancora oggetto di indagine.

Periodi di conservazione impostati dall'organizzatore

Al momento della creazione e della configurazione della gara, l'organizzatore deve configurare la/e data/e di conservazione per tutti i dati personali in conformità con la legge applicabile e l' Informativa sulla Privacy di Gym Art. La conservazione predefinita è:

• Registri della gara: 3 anni dalla data della gara;
• Musica del corpo libero e contenuti multimediali: 3 anni dalla data della gara;
• Elenchi dei partecipanti e dati di iscrizione: 3 anni dalla data della gara.

Cancellazione automatica

Alla scadenza del periodo di conservazione impostato dall'organizzatore, Gym Art cancella automaticamente i dati personali associati da tutti i sistemi, inclusi i backup, salvo che Gym Art sia legalmente obbligato a conservarli più a lungo (ad esempio, per finalità fiscali o procedimenti legali).

Richieste di cancellazione anticipata

L'organizzatore può richiedere la cancellazione anticipata dei dati della gara in qualsiasi momento contattando:

privacy@gymart.org

Gym Art elaborerà le richieste di cancellazione anticipata entro 10 giorni lavorativi, salvo che una conservazione prolungata sia richiesta dalla legge.

Risoluzione dell'accordo

Alla risoluzione del presente accordo o dell'account Gym Art dell'organizzatore:

• Gym Art cancellerà tutti i dati personali associati alle gare dell'organizzatore entro 30 giorni, salvo che un periodo di conservazione più lungo sia legalmente richiesto;
• L'organizzatore può richiedere un'esportazione dei dati prima della cancellazione;
• La cancellazione include tutti i backup, gli archivi e i sistemi di disaster recovery.

Autorizzazione del sub-responsabile del trattamento

Gym Art può avvalersi di sub-responsabili del trattamento di terze parti per assistere nella fornitura del servizio Gym Art Meets, alle seguenti condizioni:

• Ciascun sub-responsabile deve essere vincolato da un contratto scritto per il trattamento dei dati che impone obblighi di protezione dei dati sostanzialmente equivalenti;
• Gym Art rimane responsabile nei confronti dell'organizzatore per qualsiasi inadempimento da parte di un sub-responsabile dei propri obblighi di protezione dei dati;
• L'organizzatore viene informato di qualsiasi modifica all'elenco dei sub-responsabili del trattamento.

Sub-responsabili del trattamento attuali

Alla data di entrata in vigore del presente accordo, il principale sub-responsabile del trattamento è:

• Google Cloud Platform (GCP): I dati personali sono conservati su server Google Cloud situati a Montréal, Canada (regione northamerica-northeast1). Tutti i dati rimangono crittografati a riposo e in transito. Google Cloud mantiene le certificazioni SOC 2, ISO 27001 e altre certificazioni di conformità.

Un elenco completo e aggiornato dei sub-responsabili del trattamento è mantenuto presso https://www.gymart.org/en/sub-processors ed è incorporato per riferimento nel presente accordo. Gym Art aggiornerà questo elenco almeno 30 giorni prima di ingaggiare qualsiasi nuovo sub-responsabile del trattamento.

Modifiche ai sub-responsabili del trattamento

Gym Art può ingaggiare sub-responsabili del trattamento aggiuntivi o sostitutivi in futuro. L'organizzatore viene notificato delle modifiche sostanziali con almeno 30 giorni di anticipo, con l'opportunità di terminare il proprio utilizzo di Gym Art Meets se si oppone a un nuovo sub-responsabile del trattamento.

Diritti degli interessati

Gli interessati hanno i seguenti diritti rispetto alle loro informazioni personali trattate tramite Gym Art Meets, come stabilito dalle leggi applicabili in materia di protezione dei dati (GDPR, Loi 25, PIPEDA, PIPA AB, PIPA BC):

• Diritto di accesso: Richiedere una copia dei propri dati personali;
• Diritto di correzione/rettifica: Richiedere la correzione di dati inesatti;
• Diritto alla cancellazione: Richiedere la cancellazione dei propri dati (soggetto a requisiti legali di conservazione);
• Diritto alla portabilità dei dati: Richiedere i propri dati in un formato portabile e leggibile da dispositivo automatico;
• Diritto di opposizione: Opporsi a determinate attività di trattamento;
• Diritto di revocare il consenso: Revocare il consenso al trattamento in qualsiasi momento.

Esercizio dei diritti

Gli interessati possono esercitare questi diritti:

• Contattando direttamente l'organizzatore (in quanto titolare del trattamento);
• Presentando una richiesta tramite la piattaforma Gym Art Meets (se disponibile);
• Contattando Gym Art all'indirizzo privacy@gymart.org, e Gym Art notificherà l'organizzatore e assisterà nell'adempimento della richiesta.

Tempi di risposta

L'organizzatore, con il supporto di Gym Art, deve rispondere alle richieste di esercizio dei diritti dell'interessato entro 30 giorni dal ricevimento, o entro un termine più breve se richiesto dalla legge applicabile (ad esempio, 15 giorni ai sensi del GDPR per le richieste di accesso). Proroghe fino a 60 giorni aggiuntivi possono essere concesse per richieste complesse o voluminose.

Cooperazione di Gym Art

Gym Art assisterà ragionevolmente l'organizzatore nell'adempimento delle richieste di esercizio dei diritti dell'interessato, inclusa la fornitura di strumenti per esportare, correggere o cancellare dati ove tecnicamente fattibile.

Obblighi di notifica di Gym Art

In caso di violazione confermata o ragionevolmente sospetta dei dati personali che interessa i dati dell'organizzatore, Gym Art:

• Notificherà l'organizzatore entro 72 ore dalla scoperta della violazione;
• Fornirà dettagli della violazione, tra cui: la natura dei dati interessati, il numero di interessati potenzialmente coinvolti, la causa sospetta e le misure di mitigazione adottate;
• Fornirà le informazioni necessarie all'organizzatore per valutare il rischio e adempiere ai propri obblighi di notifica della violazione agli interessati e alle autorità di controllo.

Obblighi di notifica di violazione dell'organizzatore

L'organizzatore è responsabile della notifica agli interessati e alle autorità di controllo delle violazioni come richiesto dalla legge applicabile:

• Il GDPR richiede la notifica senza indebito ritardo e entro 72 ore all'autorità competente;
• PIPEDA, Loi 25 e le leggi provinciali sulla privacy possono avere tempi e soglie differenti.

Gym Art coopererà e fornirà le informazioni necessarie per assistere l'organizzatore nell'adempimento di questi obblighi.

Indagine e rimedio

Entrambe le parti coopereranno nell'indagine della violazione, nella determinazione della sua portata e nell'implementazione di misure correttive per prevenire la ricorrenza. Gym Art fornirà aggiornamenti regolari sull'avanzamento dell'indagine.

Manleva dell'organizzatore

L'organizzatore tiene indenne, difende e manleva Gym Art e i suoi funzionari, direttori, dipendenti e agenti da qualsiasi reclamo, danno, responsabilità e costo (incluse ragionevoli spese legali) derivante da:

• Il mancato ottenimento da parte dell'organizzatore del consenso appropriato e legittimo dagli interessati o dai genitori/tutori prima di caricare i dati personali;
• La violazione da parte dell'organizzatore del presente accordo, incluso il mancato mantenimento della documentazione o la non conformità alle leggi in materia di protezione dei dati;
• Il trattamento da parte dell'organizzatore di dati personali oltre l'ambito autorizzato dal presente accordo;
• L'uso da parte dell'organizzatore di Gym Art Meets in violazione della legge applicabile o dei termini di servizio della piattaforma.

Manleva di Gym Art

Gym Art tiene indenne, difende e manleva l'organizzatore da qualsiasi reclamo, danno, responsabilità e costo derivante da:

• Il mancato trattamento da parte di Gym Art dei dati personali in conformità con le istruzioni documentate dell'organizzatore e del presente accordo;
• Il trattamento, la divulgazione o la perdita non autorizzati di dati personali da parte di Gym Art a causa di violazione dei propri obblighi di sicurezza;
• Il mancato supporto da parte di Gym Art alle richieste di esercizio dei diritti dell'interessato, alle notifiche di violazione o alle indagini delle autorità di controllo;
• L'uso da parte di Gym Art di un sub-responsabile del trattamento che non mantiene obblighi equivalenti di protezione dei dati.

Limitazione

Questi obblighi di manleva sono soggetti al dovere delle parti di mitigare i danni e non si applicano nella misura in cui un reclamo derivi da negligenza grave o condotta intenzionalmente illecita dell'altra parte.

Data di entrata in vigore e ambito

Il presente accordo entra in vigore all'accettazione dell'organizzatore tramite la piattaforma Gym Art Meets. L'accettazione è richiesta:

• Prima di creare la prima gara su Gym Art Meets;
• Prima della creazione di ciascuna nuova gara (l'organizzatore sarà invitato ad accettare o riaccettare la versione corrente);
• Prima di caricare qualsiasi dato personale sulla piattaforma.

Applicazione retroattiva agli eventi precedenti

Accettando il presente accordo, l'organizzatore riconosce e accetta che i termini, gli obblighi e le dichiarazioni qui stabiliti si applicano retroattivamente a tutte le gare precedenti che l'organizzatore ha ospitato o gestito utilizzando la piattaforma Gym Art Meets, indipendentemente da quando tali eventi hanno avuto luogo.

In particolare, l'organizzatore conferma che:

• Per tutti gli eventi precedenti ospitati su Gym Art Meets, l'organizzatore ha ottenuto tutti i consensi necessari e l'autorità legale per raccogliere, caricare e trattare le informazioni personali di ginnasti e altri interessati in conformità con i requisiti descritti nel presente accordo;
• L'organizzatore ha mantenuto (e continua a mantenere) i registri dei consensi ottenuti per gli eventi precedenti e può fornire prova di tale consenso su richiesta di Gym Art o di un'autorità di controllo;
• L'organizzatore accetta la piena responsabilità come titolare del trattamento per tutti i dati personali caricati sulla piattaforma Gym Art in relazione agli eventi precedenti, incluse le informazioni sui ginnasti, la documentazione medica, i file musicali del corpo libero, i punteggi delle gare e qualsiasi campo dati aggiuntivo;
• Gli obblighi di manleva dell'organizzatore ai sensi del presente accordo si estendono ai reclami derivanti da o relativi a eventi precedenti;
• Tutti i dati personali provenienti da eventi precedenti che rimangono sulla piattaforma Gym Art sono soggetti alle disposizioni di conservazione ed eliminazione del presente Accordo.

L'uso continuato della piattaforma Gym Art Meets costituisce accettazione di questa applicazione retroattiva. Se l'Organizzatore non accetta queste condizioni retroattive, l'Organizzatore deve notificare Gym Art per iscritto all'indirizzo privacy@gymart.org entro 30 giorni dall'accettazione. Gym Art collaborerà quindi con l'Organizzatore per eliminare tutti i dati degli eventi precedenti e, qualora non si raggiunga una soluzione, l'accesso dell'Organizzatore alla piattaforma verrà sospeso.

Aggiornamenti al presente Accordo

Gym Art può aggiornare il presente Accordo di volta in volta per riflettere modifiche nella legge, nella tecnologia o nelle pratiche commerciali. Gym Art fornirà un preavviso ragionevole (almeno 30 giorni) delle modifiche sostanziali. L'uso continuato di Gym Art Meets dopo il periodo di preavviso costituisce accettazione dell'Accordo aggiornato.

Risoluzione

Ciascuna parte può risolvere il presente Accordo con un preavviso scritto di 30 giorni all'altra parte. Alla risoluzione:

• L'accesso dell'Organizzatore a Gym Art Meets e a tutti i dati verrà sospeso;
• Gym Art eliminerà tutti i dati personali associati all'Organizzatore entro 30 giorni, salvo sia legalmente tenuta a conservarli;
• Gli obblighi dell'Organizzatore ai sensi delle Sezioni 2–10 rimangono in vigore relativamente a eventuali obblighi di conservazione dei dati o normativi in corso.

Il presente Accordo è disciplinato e interpretato in conformità alle leggi della Provincia del Quebec, Canada, senza riguardo ai suoi principi di conflitto di leggi. Qualsiasi controversia derivante dal presente Accordo è soggetta alla giurisdizione esclusiva dei tribunali della Provincia del Quebec.

L'Organizzatore acconsente alla giurisdizione e al foro di tali tribunali e rinuncia a qualsiasi obiezione riguardo all'inconvenienza di tale foro.

Per domande, richieste o preoccupazioni riguardanti il presente Accordo sul Trattamento dei Dati, gli obblighi dell'Organizzatore o le pratiche di trattamento dei dati, si prega di contattare Gym Art:

Gym Art risponderà a richieste e domande entro 10 giorni lavorativi. Per questioni urgenti relative alla sicurezza dei dati, si prega di contattare privacy@gymart.org indicando "URGENTE" nell'oggetto.