Informativa Privacy

Piattaforma di democrazia partecipata del Comune di Marsala democraziapartecipata.comune.marsala.tp.it

Resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR) e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018.

Versione 1.0 — in vigore dal 4 settembre 2026

1. Premessa e ambito di applicazione

Questa informativa descrive come il Comune di Marsala tratta i dati personali delle persone che consultano e utilizzano la piattaforma di democrazia partecipata raggiungibile all'indirizzo democraziapartecipata.comune.marsala.tp.it.

Riguarda solo questa piattaforma. Non riguarda gli altri siti e servizi del Comune, che hanno informative proprie:

• sito istituzionale e Sportello Telematico: https://www.comune.marsala.tp.it/it/privacy

• app Municipium per le segnalazioni: informativa pubblicata nell'app

Questa informativa costituisce parte integrante dei Termini e Condizioni d'uso della piattaforma.

2. Titolare del trattamento

Comune di Marsala Via Giuseppe Garibaldi 47 — 91025 Marsala (TP) C.F./P.IVA 00139550818 PEC: protocollo@pec.comune.marsala.tp.it Contatto per la piattaforma: democraziapartecipata@comune.marsala.tp.it

3. Responsabile della protezione dei dati (DPO)

Ing. Nicola Madrigali — Regulus s.r.l.s., Bologna Email: nmadrigali@regulus.it PEC: regulus1981@pec.it

4. Autorità di controllo

Garante per la protezione dei dati personali — www.garanteprivacy.it

5. Tipologie di dati trattati

5.1 Dati di navigazione

L'accesso alla piattaforma comporta la registrazione, nei log di sistema, di dati tecnici quali indirizzo IP, data e ora della richiesta, pagina richiesta, tipo di browser e sistema operativo.

Questi dati non sono raccolti per identificare gli utenti, ma per loro natura potrebbero consentirlo attraverso elaborazioni e associazioni con dati detenuti da terzi, in particolare quando sia necessario accertare responsabilità in caso di abusi informatici ai danni della piattaforma.

5.2 Dati di registrazione

Per creare un account: indirizzo email, pseudonimo (nickname), password (conservata in forma cifrata e non conoscibile dal Comune), nome e cognome se l'utente sceglie di indicarli.

Facoltativi: immagine del profilo, breve descrizione personale, preferenze di notifica, lingua.

5.3 Contenuti pubblicati dall'utente

Proposte, commenti, adesioni e sostegni, contributi nei dibattiti, iscrizioni agli incontri, risposte ai sondaggi, allegati caricati, insieme alla data e ora di pubblicazione.

I contenuti possono includere dati di localizzazione quando l'utente sceglie di georeferenziare una proposta indicando un indirizzo o un punto sulla mappa.

5.4 Dati di verifica dell'identità

Per alcuni processi può essere richiesta una verifica più forte dell'identità o della residenza nel Comune di Marsala, ad esempio tramite SPID o CIE. In tal caso il Comune tratta i soli dati necessari a verificare il requisito (ad esempio codice fiscale, data di nascita, residenza), conservando l'esito della verifica e non l'intero set di dati identificativi, secondo il principio di minimizzazione.

Questa modalità è attiva solo nei processi in cui è espressamente indicata sulla pagina del processo.

5.5 Dati relativi agli incontri in presenza

Iscrizioni agli incontri, eventuali elenchi di presenza, verbali e sintesi. Quando un incontro è oggetto di riprese audio, video o fotografiche, ne è data informazione preventiva ai partecipanti, con l'indicazione delle modalità per opporsi alla ripresa.

5.6 Iscrizione al servizio di newsletter e comunicazioni informative istituzionali

Per la fruizione del servizio di informazione periodica e mailing istituzionale, il Titolare raccoglie unicamente i dati di contatto forniti spontaneamente dall'interessato: indirizzo di posta elettronica, nome e cognome qualora richiesti, eventuali preferenze tematiche.

Il Comune non alimenta questo servizio estraendo massivamente indirizzi da archivi istituzionali esistenti (anagrafe, tributi, SUAP, elenchi di beneficiari di contributi o di partecipanti ad altri procedimenti), in assenza di previo consenso o di specifica norma di legge. L'iscrizione avviene esclusivamente su iniziativa dell'interessato, mediante modulo di iscrizione volontaria o attivazione del servizio nelle impostazioni del profilo.

In ogni comunicazione inviata è presente un meccanismo semplice e immediato di disiscrizione (opt-out).

5.7 Segnalazioni e richieste di assistenza

Le email inviate agli indirizzi indicati nella piattaforma comportano l'acquisizione dell'indirizzo del mittente e degli altri dati contenuti nel messaggio, trattati esclusivamente per rispondere alla richiesta.

5.8 Dati particolari

La piattaforma non è destinata al trattamento delle categorie particolari di dati di cui all'art. 9 GDPR (origine etnica, opinioni politiche, convinzioni religiose, dati sulla salute, vita sessuale) né dei dati relativi a condanne penali (art. 10).

Gli utenti sono invitati a non inserirli. I contenuti che li rivelano, propri o di terzi, in modo non pertinente all'oggetto del processo sono rimossi in sede di moderazione.

6. Finalità e basi giuridiche

Finalità Base giuridica Gestione della piattaforma e dei processi partecipativi; raccolta, istruttoria e riscontro dei contributi Esecuzione di un compito di interesse pubblico — art. 6, par. 1, lett. e) GDPR, in relazione agli artt. 8 e 10 del D.Lgs. 267/2000 e al Titolo IV dello Statuto comunale (artt. 32-43, "Partecipazione, accesso e informazione dei cittadini") Registrazione e gestione dell'account, autenticazione, notifiche di servizio Esecuzione di un compito di interesse pubblico — art. 6, par. 1, lett. e); esecuzione del servizio richiesto dall'interessato — art. 6, par. 1, lett. b) Pubblicazione del nome e cognome accanto ai contenuti, in luogo del solo pseudonimo Consenso dell'interessato — art. 6, par. 1, lett. a), espresso mediante scelta esplicita nelle impostazioni del profilo e revocabile in ogni momento Verifica dell'identità o della residenza nei processi che la richiedono Esecuzione di un compito di interesse pubblico — art. 6, par. 1, lett. e) Riprese audio, video e fotografiche degli incontri Consenso — art. 6, par. 1, lett. a), salvo i casi di cronaca istituzionale in cui prevale l'interesse pubblico, comunque previa informazione ai partecipanti Invio di comunicazioni informative istituzionali e newsletter: invio a mezzo email di aggiornamenti, avvisi e notizie sui processi partecipativi e sulle iniziative di partecipazione civica dell'amministrazione Consenso esplicito e informato dell'interessato — art. 6, par. 1, lett. a) GDPR, espresso mediante specifica registrazione al servizio, ovvero esecuzione di un servizio richiesto dall'interessato — art. 6, par. 1, lett. b). Il conferimento dell'indirizzo email è facoltativo, ma il mancato conferimento rende impossibile la ricezione delle comunicazioni Pubblicazione dei dati aggregati e dei dataset in formato aperto Esecuzione di un compito di interesse pubblico — art. 6, par. 1, lett. e), in relazione al D.Lgs. 36/2006 e all'art. 52 del D.Lgs. 82/2005. I dataset sono pubblicati in forma anonimizzata o pseudonimizzata Sicurezza della piattaforma, prevenzione degli abusi, moderazione Esecuzione di un compito di interesse pubblico — art. 6, par. 1, lett. e); adempimento di obblighi di legge — art. 6, par. 1, lett. c) Statistiche di utilizzo in forma aggregata Esecuzione di un compito di interesse pubblico — art. 6, par. 1, lett. e)

Il Comune non utilizza il legittimo interesse (art. 6, par. 1, lett. f) come base giuridica: ai sensi dell'art. 6, par. 1, ultimo periodo del GDPR, esso non è applicabile ai trattamenti effettuati dalle autorità pubbliche nell'esecuzione dei propri compiti.

7. Pubblicità dei contenuti e diffusione dei dati

Questo è il punto che distingue questa piattaforma da un normale servizio online, e merita attenzione.

I contenuti pubblicati nelle aree pubbliche della piattaforma sono visibili a chiunque, anche senza registrazione, e possono essere indicizzati dai motori di ricerca.

Per questo motivo:

• l'identità dell'utente è resa pubblica, per impostazione predefinita, mediante il solo pseudonimo;

• la pubblicazione del nome e cognome reali avviene esclusivamente su scelta esplicita dell'interessato, modificabile in ogni momento dalle impostazioni del profilo;

• l'indirizzo email non è mai pubblicato né visibile ad altri utenti.

Si invitano gli utenti a non inserire nei contenuti dati personali propri o di terzi non necessari alla comprensione del contributo (recapiti, indirizzi di abitazione, targhe, immagini di persone identificabili).

8. Natura del conferimento

Il conferimento dei dati di registrazione è facoltativo, ma necessario per partecipare: senza account è possibile consultare la piattaforma ma non pubblicare contributi.

Il conferimento dei dati per la newsletter e la scelta di pubblicare il nome reale sono liberi e revocabili; il rifiuto non pregiudica in alcun modo la possibilità di partecipare.

9. Modalità del trattamento e sicurezza

Il trattamento avviene con strumenti automatizzati, da parte di personale autorizzato e istruito, secondo i principi di liceità, correttezza, trasparenza, minimizzazione, esattezza, limitazione della conservazione, integrità e riservatezza.

Sono adottate misure tecniche e organizzative adeguate: cifratura delle comunicazioni (HTTPS), conservazione delle password mediante funzioni di hash non reversibili, controllo degli accessi amministrativi, autenticazione a più fattori per gli account con privilegi di amministrazione, backup periodici, registrazione degli accessi amministrativi.

La piattaforma è realizzata con il software libero Decidim, rilasciato con licenza AGPL v3.

Non sono effettuati processi decisionali automatizzati né attività di profilazione ai sensi dell'art. 22 GDPR.

10. Destinatari dei dati e responsabili del trattamento

I dati non sono oggetto di comunicazione o diffusione a terzi, salvo quanto indicato al punto 7 e salvo che disposizioni di legge o di regolamento dispongano diversamente.

Possono venire a conoscenza dei dati:

• il personale del Comune autorizzato al trattamento;

• i moderatori designati con atto pubblico;

• i soggetti esterni che forniscono servizi tecnici alla piattaforma, formalmente designati Responsabili del trattamento ai sensi dell'art. 28 GDPR.

[VERIFICA DPO] Da compilare con l'elenco effettivo, verificando che ciascun soggetto sia coperto da atto di designazione:

Soggetto Servizio Atto di designazione [fornitore hosting / manutenzione] Infrastruttura e gestione tecnica della piattaforma [estremi] [fornitore servizio di invio email / SMTP] Recapito delle notifiche e delle comunicazioni [estremi] [eventuale piattaforma di gestione newsletter] Gestione del database dei contatti e invio delle comunicazioni informative [estremi] [eventuale fornitore statistiche] Analisi di utilizzo [estremi]

Se la gestione tecnica è interna al CED comunale, il rapporto non richiede designazione ex art. 28 ma la nomina degli addetti come persone autorizzate al trattamento.

Servizi cloud e SaaS. Qualora l'Ente utilizzi una piattaforma software di terze parti (cloud/SaaS) per la gestione del database dei contatti e per l'invio delle email, il relativo fornitore deve essere formalmente designato Responsabile del trattamento ai sensi dell'art. 28 GDPR, previa verifica dell'assenza di trasferimenti illeciti di dati verso Paesi extra-UE.

11. Trasferimento di dati extra UE

I dati sono trattati su server ubicati all'interno dell'Unione Europea.

Non sono effettuati trasferimenti verso Paesi terzi. Qualora ciò dovesse rendersi necessario per l'utilizzo di specifici servizi tecnici, il trasferimento avverrà esclusivamente in presenza di una decisione di adeguatezza della Commissione europea o di adeguate garanzie ai sensi degli artt. 46 e seguenti del GDPR, e la presente informativa sarà aggiornata.

[VERIFICA DPO] Da confermare rispetto al fornitore SMTP e all'eventuale CDN: è il punto in cui più spesso si annidano trasferimenti non dichiarati.

12. Periodo di conservazione

Dato Conservazione Log di navigazione e sicurezza 12 mesi, salvo ulteriore conservazione necessaria all'accertamento di reati Dati dell'account Fino alla cancellazione richiesta dall'interessato. Gli account inattivi da 36 mesi sono cancellati previo avviso via email Contenuti pubblicati Per la durata del processo partecipativo e successivamente archiviati in forma anonimizzata, per garantire l'integrità e la verificabilità dei processi conclusi (art. 5, par. 1, lett. e) GDPR — finalità di archiviazione nel pubblico interesse) Dati di verifica dell'identità Per la durata del processo; è conservato il solo esito della verifica Iscrizioni agli incontri ed elenchi di presenza Fino alla conclusione del processo partecipativo e per i 12 mesi successivi, poi cancellati Verbali, sintesi e materiali degli incontri Conservati senza limite di tempo quale documentazione del procedimento amministrativo. Sono pubblicati senza i dati identificativi dei partecipanti privati; restano indicati i soggetti istituzionali intervenuti Riprese audio, video e fotografiche degli incontri Fino alla revoca del consenso e comunque non oltre 24 mesi, salva la conservazione a fini di archivio storico dell'Ente Dati per newsletter Fino alla revoca del consenso o alla richiesta di cancellazione (disiscrizione) da parte dell'utente, esercitabile in qualsiasi momento Email di assistenza 24 mesi dalla chiusura della richiesta

13. Diritti dell'interessato

L'interessato può chiedere al Titolare, nei casi previsti dalla normativa:

• l'accesso ai propri dati personali;

• la rettifica dei dati inesatti;

• la cancellazione dei dati;

• la limitazione del trattamento;

• l'opposizione al trattamento fondato sull'art. 6, par. 1, lett. e), per motivi connessi alla propria situazione particolare;

• la portabilità dei dati trattati sulla base del consenso o del contratto.

Revoca del consenso. Dove il trattamento si fonda sul consenso, questo può essere revocato in ogni momento con la stessa facilità con cui è stato prestato, senza pregiudicare la liceità del trattamento effettuato prima della revoca.

In particolare, per le comunicazioni informative è possibile interrompere la ricezione in qualunque momento cliccando sul link "Disiscriviti" presente in calce a ciascuna email, oppure disattivando il servizio dalle impostazioni del profilo.

Limite alla cancellazione dei contenuti pubblici. La cancellazione dell'account comporta la rimozione dei dati identificativi. I contenuti già pubblicati possono restare online in forma anonimizzata quando ciò è necessario a garantire l'integrità e la verificabilità di un processo partecipativo già svolto: un dibattito pubblico non può essere riscritto a posteriori. Questa limitazione trova fondamento nell'art. 17, par. 3, lett. b) e d) del GDPR.

Come esercitare i diritti: scrivendo a democraziapartecipata@comune.marsala.tp.it, al DPO agli indirizzi indicati al punto 3, o via PEC a protocollo@pec.comune.marsala.tp.it. Chi non può usare la posta elettronica può rivolgersi all'URP del Comune, tel. 0923 993371, anche di persona. Il Comune risponde entro un mese dalla richiesta, prorogabile di due mesi in casi di particolare complessità.

Reclamo: è fatto salvo il diritto di proporre reclamo al Garante per la protezione dei dati personali o di ricorrere all'autorità giudiziaria.

14. Minori

La registrazione è consentita a chi ha compiuto sedici anni, in coerenza con l'art. 32 dello Statuto comunale, che estende gli istituti di partecipazione ai cittadini residenti non ancora elettori che abbiano compiuto il sedicesimo anno di età.

Il medesimo articolo estende la partecipazione anche ai cittadini non residenti che nel Comune svolgono la propria attività prevalente di lavoro o di studio e agli stranieri e apolidi residenti o dimoranti nel Comune: la piattaforma è accessibile a tutte queste categorie.

[VERIFICA DPO] La soglia dei 16 anni ha quindi fondamento statutario e non è una scelta discrezionale. Resta da verificare che il form di registrazione chieda effettivamente la conferma del requisito, e da valutare se sia necessaria un'informativa in linguaggio semplificato per i minori.

15. Cookie e tecnologie analoghe

La piattaforma utilizza:

Cookie tecnici (non richiedono consenso): gestione della sessione (_session_id), memorizzazione delle preferenze sui cookie (decidim-consent), protezione dagli attacchi CSRF, memorizzazione locale dello stato della notifica di installazione dell'applicazione web (pwaInstallPromptSeen).

Cookie statistici e di profilazione: la piattaforma non utilizza strumenti di analisi statistica né cookie di profilazione. Non sono installati Matomo, Google Analytics o strumenti analoghi.

[DA VERIFICARE CON IL CED — intervento sulla configurazione] Decidim non include alcuno strumento di analisi nella configurazione predefinita: le categorie "Preferenze", "Analisi e statistiche" e "Marketing" compaiono nel pannello di consenso come contenitori vuoti. Poiché non corrispondono ad alcun trattamento reale, vanno disattivate dal pannello di amministrazione prima della pubblicazione: dichiarare categorie inesistenti è un errore evitabile e verificabile da chiunque apra il banner.

Qualora in futuro si decida di attivare la misurazione degli accessi, lo strumento da preferire è Matomo in configurazione anonimizzata, per coerenza con le Linee guida AgID Web Analytics e con quanto già in uso sul portale comunale. In quel caso questa sezione va aggiornata prima dell'attivazione.

Il consenso può essere modificato in ogni momento dal link "Impostazione cookie" presente nel piè di pagina.

16. Modifiche alla presente informativa

Il Comune può aggiornare questa informativa. Le modifiche sostanziali sono comunicate agli utenti registrati e la versione precedente resta consultabile con l'indicazione delle date di vigenza.

Ultima revisione: 4 settembre 2026.

17. Riferimenti utili

• Termini e Condizioni d'uso: /pages/terms-of-service

• Dichiarazione di accessibilità: [link form.agid.gov.it ]

• Informativa privacy del sito istituzionale: comune.marsala.tp.it/it/privacy

• Garante per la protezione dei dati personali: garanteprivacy.it