Politica di Tutela dei Minori — Vestibolo APS-ETS
Versione 2.0 — 6 aprile 2026
Pagina in costruzione — documento in fase di compilazione finale
Scarica il documento integrale in PDF (CPP v2.0 con appendici — PDF firmato dal CD, disponibile dopo l'approvazione)
Child Protection Policy — Vestibolo APS-ETS
Vestibolo APS-ETS is committed to safeguarding the welfare of every child participating in its activities. This Child Protection Policy (version 2.0) was adopted by the Board of Directors on [DATE] in compliance with:
This policy applies to all persons who come into contact with children in the context of Vestibolo's activities, including the project "Occhi di Quartiere — Neighbourhood Eyes" (CERV-2026-CITIZENS-CIV-ENGAGEMENT-BEYOND-ELECTIONS).
A Data Protection Impact Assessment (DPIA) pursuant to Art. 35 GDPR will be completed before any activity involving children begins.
The full policy is available in Italian below and as a downloadable PDF. For questions or reports: info@vestibolo.org
Vestibolo APS-ETS opera in conformità con:
Questa policy è allegato obbligatorio alla candidatura al bando CERV-2026-CITIZENS-CIV-ENGAGEMENT-BEYOND-ELECTIONS (call document V1.0 del 02.03.2026).
Il benessere di ogni bambino che partecipa alle nostre attività è non negoziabile. Questa policy non è un documento di compliance: è la traduzione operativa di un impegno reale.
Titolare del trattamento: Vestibolo APS-ETS — CF 92184940903 — Via Nicolò Ferracciu 1, 07100 Sassari — info@vestibolo.org — Rappresentante legale: Giuseppe Tavera (Presidente).
Responsabile della Protezione dei Dati (DPO): Vestibolo adottera volontariamente la figura del DPO prima dell'avvio delle attività con minori (previsto febbraio 2027), pur non essendovi tenuta per legge (art. 37 GDPR — trattamento non su larga scala). Vedere la Sezione 7quater per requisiti e incompatibilità.
Ai sensi dell'art. 35 GDPR e dell'Elenco delle tipologie di trattamenti soggetti a DPIA pubblicato dal Garante (Provv. 11 ottobre 2018), Vestibolo è tenuta a effettuare una DPIA prima dell'avvio di qualsiasi attività con minori nel progetto Occhi di Quartiere.
L'obbligo sussiste perché il trattamento presenta almeno tre dei criteri delle Linee Guida EDPB WP248 rev.01:
La DPIA è redatta dal Titolare del trattamento (Vestibolo) con il supporto del Coordinatore Formazione e del referente tecnico. Il DPO, una volta nominato, esprime un parere autonomo sulla DPIA ma non ne è l'autore (principio di separazione — Provv. Garante n. 202/2025).
La DPIA sarà completata e firmata prima dell'avvio del pilota Carbonazzi (ottobre 2026).
Questa policy si applica a tutte le persone che, nell'ambito delle attività di Vestibolo APS-ETS, hanno contatto diretto con minori di 18 anni:
Si applica in tutte le fasi del progetto "Occhi di Quartiere" e in qualunque altra attività futura di Vestibolo che coinvolga minori.
Chiunque abbia contatto diretto con minori deve essere verificato prima dell'avvio delle attività. Non esistono eccezioni, indipendentemente dal ruolo, dall'anzianità associativa o dal livello di fiducia personale.
Non anteriori a 90 giorni dalla data di inizio attività:
I documenti sono conservati su Nextcloud con accesso autenticato e log degli accessi, limitato al Presidente e al Coordinatore Formazione, per la durata del rapporto associativo più 5 anni. Il trattamento è documentato nel Registro delle attività di trattamento (vedere Sezione 7bis).
Rinnovo: ogni 24 mesi o immediatamente in caso di variazioni rilevanti dichiarate dall'interessato.
Chi lavora con i bambini nelle attività di Vestibolo agisce sempre nell'interesse superiore del minore, mantiene confini relazionali chiari e professionali, e non sfrutta mai la relazione di autorità o fiducia per scopi personali.
I tablet sono forniti dalla scuola o da Vestibolo. Non sono ammessi dispositivi personali degli adulti nelle uscite con i bambini. Le app di mappatura non richiedono account personali dei bambini e non trasmettono dati a server extra-UE senza valutazione nella DPIA.
L'uso dell'AI (OpenClaw v5.1) nel progetto ODQ è limitato a:
Sono tassativamente vietati, in conformità con le Linee guida MIM/Garante agosto 2025:
OpenClaw v5.1 opera in modalità read-only con kill switch umano e zero decisioni automatizzate — sistema classificato a rischio minimo ai sensi del Reg. UE 2024/1689 (AI Act), senza interazione diretta con i minori.
Nessuna fotografia che mostri il volto identificabile di un bambino viene caricata su piattaforme pubbliche, piattaforme di comunicazione interna non certificate GDPR, o trasmessa al partner transnazionale senza specifica base giuridica.
Qualunque persona che operi nelle attività di Vestibolo con minori è tenuta a segnalare immediatamente:
| Situazione | A chi segnalare | Entro quando |
|---|---|---|
| Comportamento inappropriato di un adulto | Coordinatore Formazione | Immediatamente |
| Segnali di disagio in un bambino | Coordinatore Formazione + Dirigente Scolastico | Entro fine giornata |
| Incidente fisico | Coordinatore Formazione + Tesoriere (comunicazione ai genitori e aspetto assicurativo) | Immediatamente |
| Violazione GDPR | Coordinatore Formazione + DPO | Entro 4 ore |
| Segnalazioni che coinvolgano il Coordinatore | Presidente | Immediatamente |
Contatti: info@vestibolo.org
Se emergono elementi che configurano possibili reati o pericolo immediato: Servizi Sociali del Comune di Sassari, Polizia o Carabinieri, Procura della Repubblica presso il Tribunale per i Minorenni di Sassari. L'interesse superiore del minore prevale su ogni altra considerazione.
Riservatezza: tutte le segnalazioni sono trattate con la massima riservatezza. Le informazioni vengono condivise solo con chi è strettamente necessario per gestire la situazione.
Protezione di chi segnala: Vestibolo garantisce che nessuna persona che effettua una segnalazione in buona fede subisca conseguenze negative, anche se la segnalazione si rivela infondata.
Prima di iniziare qualunque attività con minori, ogni persona completa un percorso formativo di almeno 7 ore articolato in:
L'informativa per i bambini di 9-11 anni è fornita in forma adeguata alla loro età, ai sensi dell'art. 12 GDPR: linguaggio semplice, diretto, privo di tecnicismi, con supporto visivo (fumetti e pittogrammi). L'informativa per i bambini è distinta da quella destinata ai genitori.
Aggiornamento annuale di almeno 2 ore per tutto il personale attivo, prima dell'avvio di ciascun ciclo scolastico.
Vestibolo mantiene un registro delle sessioni di formazione svolte, con indicazione di partecipanti, date e contenuti, documentato nel Registro delle attività di trattamento (vedere Sezione 7bis).
Il consenso alla raccolta e al trattamento dei dati personali dei minori partecipanti richiede la firma di entrambi i genitori esercenti la responsabilità genitoriale. Un consenso firmato da un solo genitore non è sufficiente.
Il fondamento giuridico di questa regola è duplice:
La base giuridica per il trattamento dei dati nel progetto ODQ è l'art. 6(1)(a) GDPR (consenso). Per i componenti digitali del progetto qualificabili come servizi della società dell'informazione (app di mappatura, piattaforma DGA), si applica anche l'art. 8 GDPR e l'art. 2-quinquies D.Lgs. 196/2003 (soglia 14 anni in Italia per il consenso digitale autonomo del minore — i bambini ODQ hanno 9-11 anni, pertanto il consenso genitoriale è sempre necessario).
I consensi sono raccolti separatamente per ciascuna finalità distinta, in conformità con il principio di granularità (art. 7(1) e (4) GDPR; Guidelines EDPB 05/2020). Il consenso per una finalità non è vincolato alla partecipazione all'attività né al consenso per altre finalità:
Regola operativa: nelle versioni pubbliche del progetto (mappa pubblica, comunicazioni CERV, disseminazione) non vengono mai pubblicate immagini con volti identificabili di minori, indipendentemente dalla presenza del consenso. Questa scelta è motivata dal principio di minimizzazione (art. 5(1)(c) GDPR) — la finalità comunicativa è raggiungibile senza ricorrere a dati identificativi (Provv. Garante n. 446/2025).
I genitori hanno diritto di revocare il consenso in qualsiasi momento: la revoca non pregiudica la liceità dei trattamenti già effettuati, ma comporta la cessazione delle attività di trattamento future.
I moduli di consenso specificano i diritti degli interessati ai sensi degli artt. 15-22 GDPR (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione) e le modalità per esercitarli.
Coordinatore Formazione (Nadia Madeddu): applicazione della policy, formazione del personale, tenuta dei registri.
Presidente (Giuseppe Tavera): comunicazioni esterne, firma della DPIA in qualità di Titolare del trattamento, notifiche al Garante.
La policy è revisionata annualmente dal Consiglio Direttivo e aggiornata in caso di variazioni normative rilevanti. Le versioni precedenti sono archiviate con numero di versione e data.
Ai sensi dell'art. 30 GDPR, Vestibolo mantiene un Registro scritto delle attività di trattamento che coinvolgono dati di minori. Il Registro documenta, per ciascun trattamento: finalità, categorie di interessati e di dati personali, destinatari, eventuali trasferimenti, termini di cancellazione e misure di sicurezza adottate.
Il Registro è conservato su Nextcloud, tenuto dal Coordinatore Formazione e approvato dal Presidente. Non è pubblico — è esibito al Garante su richiesta ai sensi dell'art. 30(4) GDPR.
In caso di violazione dei dati personali che coinvolga dati di minori (accesso non autorizzato, perdita, distruzione, divulgazione), Vestibolo applica la seguente procedura:
Valutazione interna — entro 4 ore dalla scoperta (policy interna Vestibolo), il DPO e il Coordinatore Formazione valutano: natura della violazione, categorie e quantità di dati coinvolti, numero di minori interessati, probabilità e gravità delle conseguenze.
Notifica al Garante — se la violazione presenta un rischio per i diritti e le libertà degli interessati, Vestibolo notifica il Garante entro 72 ore dalla scoperta tramite il portale dedicato (art. 33 GDPR). La notifica al Garante non è discrezionale: in caso di dubbio, si notifica.
Comunicazione ai genitori — se la violazione presenta un rischio elevato, Vestibolo comunica la violazione ai genitori (o tutori legali) senza ingiustificato ritardo, in linguaggio chiaro e semplice (art. 34 GDPR).
Documentazione — ogni violazione, anche se non notificata al Garante, è documentata nel Registro delle violazioni con data, natura, effetti e misure correttive (art. 33(5) GDPR).
Vestibolo adotta volontariamente la figura del DPO pur non essendovi tenuta per legge — il trattamento ODQ (60-80 bambini in un solo istituto) non raggiunge la soglia della "larga scala" prevista dall'art. 37(1)(c) GDPR. La nomina è una scelta organizzativa a garanzia della conformità GDPR e dell'allineamento ai Keeping Children Safe Standards.
Il DPO non può ricoprire ruoli decisionali operativi sul trattamento (art. 38(6) GDPR — assenza di conflitto di interessi; cfr. anche Provv. Garante n. 202/2025). Non possono pertanto assumere il ruolo di DPO il Presidente, il Coordinatore Formazione né il Tesoriere.
Funzioni del DPO nel progetto:
La nomina avverrà prima dell'avvio delle attività con minori.
Il rapporto tra Vestibolo (Titolare del trattamento per le finalità del progetto ODQ) e ICS San Donato (Titolare del trattamento per le finalità scolastiche istituzionali) sarà formalizzato ai sensi del GDPR prima dell'avvio delle attività:
La qualificazione corretta sarà stabilita con il DPO di Vestibolo e il DPO scolastico di ICS San Donato, sulla base dei criteri delle Guidelines EDPB 07/2020 (concetti di titolare e responsabile).
Al partner transnazionale del progetto CERV — stabilito nell'Unione Europea (trasferimento intra-UE, nessuna restrizione) — vengono trasmessi esclusivamente dati aggregati e anonimi relativi alle segnalazioni. Mai dati individuali dei bambini, delle famiglie o del personale.
Nota di validazione (5 aprile 2026): il contenuto della presente Child Protection Policy è stato esaminato da Nadia Madeddu, Coordinatore Formazione di Vestibolo APS-ETS e insegnante di scuola primaria nel Comune di Sassari, che ne ha verificato la coerenza con la normativa vigente in materia di tutela dei minori e con i regolamenti scolastici applicabili.
