Rimozione dati ed esercizio dei diritti

1. Diritti riconosciuti

• Accesso ai propri dati personali e copia degli stessi.
• Rettifica di dati inesatti o incompleti.
• Cancellazione ("diritto all'oblio") nei casi previsti dalla legge.
• Limitazione del trattamento.
• Portabilità dei dati in formato leggibile da macchina.
• Opposizione al trattamento basato su interesse legittimo.
• Reclamo all'Autorità di controllo competente.

2. Come inviare una richiesta

Le richieste possono essere inviate via email a litterflow.app@gmail.com, indicando nell'oggetto: "Richiesta esercizio diritti GDPR — LitterFlow" e specificando nel testo il diritto che si intende esercitare.

3. Identificazione del richiedente

Per evitare divulgazioni non autorizzate, può essere richiesta una verifica di identità ragionevole. Tipicamente è sufficiente inviare la richiesta dall'indirizzo email registrato nell'account LitterFlow. Per richieste presentate da terzi (es. tutori) può essere chiesta documentazione idonea.

4. Tempi di risposta

Il titolare risponde senza ingiustificato ritardo e comunque entro un mese dalla ricezione della richiesta; in casi particolarmente complessi il termine può essere prorogato di ulteriori due mesi, dandone comunicazione motivata all'interessato entro il primo mese (art. 12.3 GDPR).

5. Cancellazione account: cosa viene cancellato

• L'account utente viene disattivato e successivamente eliminato.
• I dati di profilo (email, eventuale nome visualizzato, organizzazione, ruolo) vengono rimossi.
• I dati ambientali strutturati creati dall'utente (transetti, eventi, item) possono essere conservati in forma de-identificata per finalità di interesse scientifico e di integrità storica del dataset, oppure cancellati, secondo richiesta dell'utente e nei limiti previsti dalla normativa applicabile.
• Le foto-evidenza degli item caricate dall'utente vengono rimosse dal bucket privato item-photos contestualmente alla cancellazione dei record collegati, salvo eventuali backup automatici del provider (vedi §6).
• I log tecnici minimi necessari per ragioni di sicurezza possono essere conservati per il tempo strettamente necessario.
• Eventi condivisi (Sprint 4C): la cancellazione dell'account propaga in CASCADE alla rimozione delle righe di partecipazione (event_participants) collegate all'utente; gli item eventualmente registrati come partecipante restano trattati con le stesse regole degli item negli eventi propri (modifica diretta finché in draft, procedura ordinaria altrimenti).

6. Tempistiche di cancellazione effettiva

La cancellazione effettiva avviene senza ingiustificato ritardo e, di norma, entro un mese dalla conferma della richiesta, in coerenza con i termini di cui al §4. Una conservazione residua può derivare dai backup automatici del provider di database (Supabase), che permangono fino al loro ciclo di rotazione previsto dal provider, e non sono accessibili nelle operazioni ordinarie. Restano impregiudicati eventuali obblighi di legge.

7. Rettifica e accesso ai propri dati

Per parte dei dati la rettifica è già possibile in autonomia dall'app (es. modifica dei propri record di transetti/eventi nelle relative pagine). Per dati non modificabili dall'interfaccia (es. ruolo applicativo, email di registrazione) la richiesta passa dal canale email indicato sopra.

8. Reclamo all'Autorità di controllo

In caso di mancata risposta o di esito non soddisfacente, l'utente può presentare reclamo all'Autorità di controllo competente. Per l'Italia: Garante per la protezione dei dati personali.

9. Note operative

Per la fase attuale di beta operativa indipendente, le richieste sono gestite manualmente dal team di progetto, sotto la responsabilità del referente privacy operativo (Alessandro Maffettone) per conto del titolare (SCOOL APS). Una procedura semi-automatizzata di richiesta cancellazione dall'app è prevista come evoluzione futura.