Informativa sul trattamento dei dati personali, articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR). Ultimo aggiornamento: 28 ottobre 2026.

Questa pagina spiega come l’Accademia Musica Legale usa i dati delle persone che visitano il sito, ci scrivono, chiedono una lezione di prova, si iscrivono ai corsi o diventano soci. Per i maestri e i collaboratori c’è un’informativa dedicata, consegnata con l’incarico.

1. Chi tratta i tuoi dati

Il titolare del trattamento è PICTOR ONLUS (Associazione Pictor), che gestisce la scuola di musica Accademia Musica Legale.

Sede legale: Via delle Madonie 20, 90144 Palermo
Sede operativa, dove si svolgono i corsi: Via Titina De Filippo 39, 90135 Palermo
Codice fiscale: 97197070820
Contatto per tutto ciò che riguarda i tuoi dati: segreteria.musicalegale@gmail.com

Non abbiamo nominato un responsabile della protezione dei dati (RPD o DPO): per qualsiasi domanda scrivi all’indirizzo qui sopra.

2. Quali dati usiamo, perché e su quale base

Usiamo solo i dati che servono per ciascuna attività. La «base giuridica» è il motivo previsto dalla legge che ci permette di usarli (articolo 6 del GDPR).

Attività	Dati	Base giuridica
Visita del sito	Dati tecnici della connessione (indirizzo IP, browser, pagine richieste, data e ora), registrati dal server per farlo funzionare e proteggerlo	Legittimo interesse alla sicurezza del sito (art. 6.1.f)
Rispondere a chi ci scrive (modulo Contatti, email, telefono, WhatsApp, messaggi privati su Facebook e Instagram)	Nome, email, telefono se lo indichi, quello che scrivi; per i messaggi su Facebook e Instagram anche il nome o il nome utente del tuo profilo	Risposta a una tua richiesta (art. 6.1.b)
Lezione di prova e settimana porte aperte, anche quando la chiedi dal modulo che si apre negli annunci su Facebook o Instagram	Nome, cognome, email e telefono di chi chiede; nome, cognome, fascia d’età e strumento di chi prova; preferenze di giorno e orario; eventuali risposte facoltative su esperienza e motivazione. Dal modulo degli annunci: nome e cognome, email e telefono di chi chiede, strumento, per chi è la lezione (con la fascia d’età) e il solo nome di chi suonerà	Richiesta della prova (art. 6.1.b)
Protezione del modulo della lezione di prova dalle richieste automatiche e da quelle false	Indirizzo IP e dati tecnici del browser e del dispositivo, controllati da Cloudflare mentre compili il modulo. Per la segreteria, un avviso sulla richiesta quando i dati sembrano non veri (per esempio un’email che si cancella da sola); l’elenco dei contatti che hanno mandato richieste false resta finché non lo togliamo	Legittimo interesse alla sicurezza del sito e a non impegnare i maestri con richieste false (art. 6.1.f)
Tessera di socio studente per gli studenti del Conservatorio e prenotazione delle sale	Dati anagrafici e di contatto, strumento, corso e anno, prenotazioni; per i minorenni anche i dati del genitore	Richiesta di adesione e rapporto associativo (art. 6.1.b); obblighi di legge dell’associazione (art. 6.1.c)
Iscrizione ai corsi, rapporto di socio, lezioni	Dati anagrafici, codice fiscale, residenza, contatti; per i minorenni i dati del genitore; corso, orari, maestro, presenze e assenze; libro soci e quote	Rapporto associativo e servizi richiesti (art. 6.1.b); obblighi di legge, tra cui tenuta del libro soci e della contabilità (art. 6.1.c)
Pagamenti, ricevute, contabilità	Importi, date, modalità di pagamento, ricevute e fatture, ricevute di bonifico che carichi nell’area personale, coordinate bancarie quando servono (per esempio per un addebito o un rimborso)	Rapporto associativo (art. 6.1.b); obblighi contabili e fiscali (art. 6.1.c)
Area personale (portale), chat con la segreteria e con il maestro (solo per le comunicazioni sulle lezioni), notifiche	Account e accessi (data, ora, indirizzo IP, browser), messaggi e allegati della chat, preferenze di notifica	Servizio richiesto (art. 6.1.b); per il registro degli accessi, sicurezza dell’account (art. 6.1.f)
Comunicazioni di servizio (conferme, promemoria, ricevute, avvisi su lezioni e pagamenti)	Nome, email, telefono, contenuto del messaggio; registro degli invii	Rapporto associativo e servizi richiesti (art. 6.1.b)
Newsletter e novità sulle attività	Nome ed email; se apri le email e su quali link clicchi	Consenso, che puoi ritirare quando vuoi (art. 6.1.a)
Foto, audio e video durante lezioni, saggi ed eventi, e loro pubblicazione	Immagini e voce	Consenso, dato con la liberatoria e ritirabile quando vuoi (art. 6.1.a)
Accesso alla sede (porte e luci comandate dal sistema)	Chi ha aperto o comandato un dispositivo, quando, da quale connessione (IP e browser)	Sicurezza della sede e delle persone (art. 6.1.f)
Candidature («Lavora con noi»)	Dati di contatto, città, esperienza, curriculum e quello che ci mandi	Valutazione della candidatura su tua richiesta (art. 6.1.b)
Provenienza delle richieste	Da quale link o annuncio arriva una richiesta (parametri del link, senza cookie)	Legittimo interesse a capire quali iniziative funzionano (art. 6.1.f)
Statistiche di visita del sito	Pagine viste, sito o link da cui arrivi, tipo di dispositivo, giorno e ora, uso dei moduli (senza il loro contenuto): contati solo come totali giornalieri, senza cookie e senza salvare l’indirizzo IP (vedi il punto 7)	Legittimo interesse a sapere come viene usato il sito e quali iniziative funzionano (art. 6.1.f)
Obblighi di legge e tutela dei diritti	I dati necessari caso per caso	Obbligo di legge (art. 6.1.c); legittimo interesse a difendere i nostri diritti (art. 6.1.f)

Quando la base è il legittimo interesse, abbiamo verificato che non prevalga sui tuoi diritti: i dati sono pochi, servono alla sicurezza o a misurare in forma aggregata, e puoi opporti (vedi il punto 9).

Dati sulla salute. Li chiediamo solo per i bambini dei corsi di gruppo, ed è facoltativo: allergie, farmaci da avere con sé, esigenze che chi segue il gruppo deve conoscere. Li indica il genitore nell’area personale o alla segreteria. Li vedono solo la segreteria e chi segue il gruppo, sull’elenco della classe, e servono solo a proteggere il bambino durante gli incontri. Base giuridica: il consenso esplicito del genitore, dato scrivendoli, che si può ritirare in ogni momento chiedendone la cancellazione (art. 9.2.a del GDPR). Se ci scrivi altri dati sulla salute (per esempio nel motivo di un’assenza) li usiamo solo per quello.

Assistente basato su intelligenza artificiale. Nella chat dell’area personale usiamo un assistente basato su intelligenza artificiale:

nei messaggi alla segreteria prepara una bozza di risposta. Per farlo usa il tuo nome, il tuo messaggio, gli ultimi messaggi della conversazione e i dati del tuo account che servono a rispondere (per esempio lezioni, recuperi, pacchetti, scadenze e orari). La bozza la legge, la corregge se serve e la invia sempre una persona della segreteria;
nelle chat con il maestro, quando fai una domanda pratica (spostare o disdire una lezione, assenze e recuperi, pagamenti, pacchetti, regolamento, uso dell’area personale), può risponderti subito con un messaggio firmato «Assistente AI», che il maestro legge e può correggere o completare. Per queste risposte l’assistente riceve solo la tua domanda e i tuoi ultimi messaggi nella conversazione, senza il tuo nome e senza i messaggi del maestro, e usa soltanto il regolamento, le guide del sito e gli orari della segreteria. Le domande sulla musica e quelle personali restano al maestro.

In chat l’assistente può solo leggere: non sposta lezioni, non modifica pagamenti e non prende decisioni su di te. La segreteria può usarlo anche per cercare informazioni nel gestionale e preparare bozze, e ogni azione la conferma una persona. I dati necessari alla singola richiesta passano ai fornitori del servizio (punti 4 e 5), che li trattano solo per nostro conto. Base giuridica: legittimo interesse a risponderti in fretta e a gestire in modo efficiente la segreteria (art. 6.1.f); puoi opporti scrivendoci.

3. Minorenni

Per chi ha meno di 14 anni la richiesta di una lezione di prova la fa un genitore. Dai 14 anni i ragazzi possono chiederla da soli.
Gli annunci su Facebook e Instagram e il modulo che si apre da essi sono rivolti solo ad adulti. Se la lezione è per un figlio, nel modulo il genitore indica solo il nome del figlio e la sua fascia d’età: questi dati li riceviamo dal genitore, non dal ragazzo (art. 14 del GDPR), e li usiamo solo per organizzare la prova. Il cognome lo confermiamo con il genitore quando fissiamo la lezione.
L’iscrizione ai corsi e la domanda di socio di un minorenne le fa il genitore, o chi ne ha la responsabilità genitoriale, a nome del figlio (art. 320 del codice civile). Quando nei moduli spunti la casella per il minore, dichiari di essere il genitore e fai la richiesta a suo nome: non è un consenso al trattamento, perché la base è la richiesta stessa.
Le email con le novità per un minorenne le mandiamo solo al genitore, mai al ragazzo.
Foto e video di un minorenne li facciamo e li pubblichiamo solo con la liberatoria firmata dal genitore, che il genitore può ritirare quando vuole.
I maestri vedono dei loro allievi minorenni solo quello che serve alla lezione.
Se l’allievo è minorenne, il genitore vede la chat del figlio nel portale e può spegnere quella con i maestri: i messaggi del maestro gli arrivano allora per email.
Per i bambini dei corsi di gruppo il genitore può indicarci allergie ed esigenze di salute (vedi il punto 2). I maestri non le vedono nel loro portale.

4. A chi vanno i dati

I dati li usano la segreteria e la direzione dell’associazione; i maestri vedono solo ciò che riguarda i propri allievi e le proprie lezioni. Ognuno ha un accesso personale con i soli permessi del suo ruolo.

La chat del portale serve solo per le comunicazioni sulle lezioni. La segreteria può leggere anche i messaggi tra maestri e allievi: chi scrive lo trova scritto sopra la casella di scrittura.

Li trattano per nostro conto, come responsabili del trattamento (art. 28 del GDPR), questi fornitori:

Aruba S.p.A. (Ponte San Pietro, Bergamo), che ospita il sito e il gestionale su server in Italia;
Brevo (Sendinblue SAS, Parigi, Francia), che consegna le email del sito;
Google (Google Ireland Limited, Dublino), che fornisce le caselle Gmail della segreteria e dell’amministrazione;
i servizi di notifica del browser (Google, Apple, Microsoft, Mozilla), solo se nell’area personale attivi le notifiche: ricevono un codice tecnico del dispositivo e un messaggio cifrato che non possono leggere;
Anthropic PBC e Groq Inc. (Stati Uniti), per l’assistente basato su intelligenza artificiale descritto al punto 2;
Cloudflare (Cloudflare, Inc., San Francisco, Stati Uniti), che controlla che il modulo della lezione di prova sia compilato da una persona e non da un programma automatico.

Possono ricevere i dati anche i consulenti che ci assistono (per esempio per contabilità, lavoro e fisco), le banche per i pagamenti, e le autorità quando la legge lo richiede. Non vendiamo i dati e non li diamo a nessuno per fini commerciali.

Se ci scrivi su WhatsApp o interagisci con le nostre pagine Facebook e Instagram, quei servizi trattano i dati anche come titolari autonomi, secondo le informative di WhatsApp e di Meta. Le foto pubblicate sui social sono solo quelle coperte da liberatoria.

Messaggi su Facebook e Instagram. Se scrivi in privato alla nostra pagina Facebook o al nostro profilo Instagram, leggiamo e rispondiamo anche dal nostro gestionale: da Meta ci arrivano il testo dei messaggi, il nome o il nome utente del tuo profilo e il codice con cui Meta identifica la conversazione. Li usiamo solo per rispondere a quello che chiedi, mai per pubblicità, e ogni risposta la scrive una persona della segreteria. Nel gestionale li conserviamo al massimo 24 mesi; su Facebook e Instagram restano secondo le regole di Meta e puoi cancellarli anche tu dalla tua app. Se ce lo chiedi, li eliminiamo dal gestionale e dalla casella della nostra pagina.

Moduli degli annunci su Facebook e Instagram. Se chiedi la lezione di prova dal modulo che si apre in un nostro annuncio, le risposte (nome e cognome, email, telefono se lo indichi, strumento, per chi è la lezione e il nome di chi suonerà) le raccoglie Meta Platforms Ireland Ltd sulla sua piattaforma e ce le trasmette: il nostro gestionale le preleva in automatico entro pochi minuti. Per questo servizio Meta non è un nostro responsabile del trattamento: usa le risposte anche per scopi propri, come titolare autonomo, secondo la sua informativa (per esempio per precompilare i moduli con i dati del tuo profilo e misurare i risultati degli annunci), e per questi usi puoi rivolgerti anche direttamente a Meta. Noi usiamo le risposte solo per organizzare la lezione di prova, come scritto nel modulo, e non le vendiamo né le diamo ad altri, come prevedono anche le condizioni di Meta per questi moduli.

Statistiche delle pagine e annunci su Facebook e Instagram. Per le statistiche delle nostre pagine (quante persone le visitano e interagiscono, solo in forma aggregata) siamo contitolari con Meta Platforms Ireland Ltd, secondo l'accordo di contitolarità di Meta: Meta si occupa delle richieste degli interessati e della sicurezza di questi dati, noi vediamo solo numeri complessivi. Per mostrare i nostri annunci anche a chi negli ultimi 12 mesi ha interagito con la pagina Facebook, con l'account Instagram o con i nostri video usiamo i «pubblici personalizzati» di Meta basati sulle interazioni: non carichiamo elenchi di contatti e non sappiamo chi ne fa parte. Base giuridica: nostro legittimo interesse a far conoscere i corsi (art. 6.1.f); gli annunci sono rivolti solo a persone maggiorenni. Puoi opporti in ogni momento scrivendoci oppure dalle impostazioni sulle inserzioni di Facebook e Instagram; per i dati trattati da Meta valgono la sua informativa e le sue impostazioni.

5. Dati fuori dall’Unione europea

Gestionale, sito e archivi sono in Italia. Alcuni fornitori possono però trattare dati anche fuori dall’Unione europea:

Google può trattare i dati delle caselle Gmail negli Stati Uniti, sulla base della decisione di adeguatezza della Commissione europea del 10 luglio 2023 (Data Privacy Framework UE-USA);
Meta, per le risposte ai moduli degli annunci che tratta come titolare autonomo, può trasferirle negli Stati Uniti alle condizioni della sua informativa: Meta Platforms, Inc. aderisce al Data Privacy Framework UE-USA (decisione di adeguatezza della Commissione europea del 10 luglio 2023);
Brevo può affidare alcune attività a propri fornitori negli Stati Uniti e in India, con le garanzie previste dal GDPR (clausole contrattuali standard approvate dalla Commissione europea);
Anthropic e Groq trattano i dati negli Stati Uniti, sulla base delle clausole contrattuali standard (decisione della Commissione 2021/914) contenute nei loro accordi sul trattamento dei dati;
Cloudflare può trattare negli Stati Uniti i dati tecnici del controllo sul modulo della lezione di prova: Cloudflare, Inc. aderisce al Data Privacy Framework UE-USA (decisione di adeguatezza della Commissione europea del 10 luglio 2023).

Puoi chiederci copia delle garanzie scrivendo al contatto del punto 1.

6. Per quanto tempo li teniamo

Dati	Per quanto tempo
Richieste di informazioni	Fino a 24 mesi dall’ultimo contatto, se non diventano un’iscrizione
Lezioni di prova e porte aperte non seguite da un’iscrizione	24 mesi, poi nome e contatti vengono cancellati e restano solo dati anonimi per le statistiche
Risposte ai moduli degli annunci su Facebook e Instagram, nel pannello di Meta	Il gestionale le preleva entro pochi minuti; nel pannello di Meta restano consultabili per 90 giorni, poi non sono più disponibili. Nel gestionale valgono i tempi delle lezioni di prova
Richieste di tessera degli studenti del Conservatorio non accolte o ritirate	12 mesi, poi nome e contatti vengono cancellati
Registrazione all’area personale non confermata	7 giorni
Iscritti e soci: dati anagrafici, amministrativi, contabili	Per tutto il rapporto e poi 10 anni, come richiesto per le scritture contabili (art. 2220 del codice civile) e per la prescrizione ordinaria (art. 2946 del codice civile)
Libro soci	È un libro dell’associazione: la riga del socio resta anche dopo la fine del rapporto
Messaggi della chat del portale, allegati compresi	36 mesi
Messaggi privati su Facebook e Instagram	24 mesi
Registro delle email e degli SMS inviati	24 mesi
Messaggi WhatsApp e registro delle notifiche inviate	10 anni
Registro degli accessi all’area personale	90 giorni
Registro delle aperture e dei comandi in sede	12 mesi
Storico dei consensi e delle richieste di non essere contattati	10 anni, per poter dimostrare cosa ci hai chiesto e quando
Newsletter	Finché non ritiri il consenso; dopo, teniamo solo l’indirizzo nella lista di chi non vuole ricevere email, per non scriverti di nuovo per errore
Foto e video	Finché non ritiri il consenso; se lo ritiri li togliamo dai nostri canali (sito e social)
Allergie ed esigenze dei bambini dei corsi di gruppo	Finché il bambino è iscritto al corso di gruppo; il genitore può farle cancellare quando vuole scrivendoci
Candidature	24 mesi
Statistiche di visita del sito	Il codice che serve a contare una volta al giorno chi visita il sito si cancella ogni notte; i totali giornalieri, che non riguardano nessuno in particolare, 25 mesi

7. Cookie

Il sito usa solo cookie tecnici, necessari a farlo funzionare, e per questi la legge non chiede il consenso (art. 122 del Codice privacy; Linee guida del Garante sui cookie del 10 giugno 2021):

un cookie di sessione (PHPSESSID) e un cookie che evita di mostrare a un visitatore la pagina preparata per un altro (crml_nocache): si cancellano quando chiudi il browser;
i cookie di WordPress per restare collegati all’area personale, solo se accedi.

Caratteri tipografici, immagini e script delle pagine pubbliche arrivano dal nostro server: aprendole non comunichi dati a Google o ad altri. Fa eccezione la pagina della lezione di prova: il controllo contro i programmi automatici si carica dai server di Cloudflare (vedi il punto 4), che riceve il tuo indirizzo IP e alcuni dati tecnici del browser, e li usa per questo controllo secondo la sua informativa.

Nella pagina Contatti la mappa di Google si carica solo se premi «Mostra la mappa»: da quel momento Google riceve il tuo indirizzo IP e può usare i propri cookie, secondo la sua informativa. In alternativa puoi aprire l’indirizzo direttamente in Google Maps con il link sotto la mappa. Allo stesso modo i video di YouTube presenti in alcune pagine partono solo se premi «Guarda il video», e da quel momento YouTube (Google) riceve il tuo indirizzo IP e può usare i propri cookie.

Nel browser salviamo anche una breve nota per non mostrarti di nuovo per 3 giorni un avviso che hai chiuso. Non usiamo cookie di profilazione, né Google Analytics o altri servizi esterni di statistica, né pixel pubblicitari.

Statistiche di visita senza cookie. Per sapere quante visite riceve il sito, quali pagine vengono lette e da dove arrivano (motori di ricerca, social, annunci, newsletter) usiamo un conteggio fatto dal nostro sito, che non usa cookie e non salva nulla sul tuo dispositivo. Quando apri una pagina, il sito registra la pagina, il sito o il link da cui arrivi e il tipo di dispositivo. Per contare le persone una volta sola al giorno, il server calcola dal tuo indirizzo IP e dal tipo di browser un codice che cambia ogni giorno e viene cancellato la notte: l’indirizzo IP non viene salvato e restano solo totali giornalieri, che non permettono di risalire a te. Nei moduli del sito (lezione di prova, porte aperte, Conservatorio, contatti) contiamo allo stesso modo quante persone li vedono, li iniziano e li inviano e, per chi li lascia a metà, il nome dell’ultimo campo toccato (per esempio «telefono»): mai quello che scrivi. Se il tuo browser chiede di non essere tracciato (impostazione «Do Not Track» o «Global Privacy Control») la tua visita non viene contata. Le statistiche le vediamo solo noi e non le incrociamo con altri dati. Questo strumento rientra tra quelli che le Linee guida del Garante del 10 giugno 2021 equiparano ai cookie tecnici, quindi non serve il consenso; puoi comunque opporti scrivendoci (punto 9).

8. Se non ci dai i dati

I dati segnati come obbligatori nei moduli servono a fare quello che chiedi: senza non possiamo rispondere, organizzare la prova o iscriverti. Il codice fiscale e gli altri dati per ricevute e libro soci sono richiesti dalla legge. Tutto il resto è facoltativo, e i consensi (novità, foto e video) non condizionano la scuola: puoi dire di no e frequentare lo stesso.

9. I tuoi diritti

In qualsiasi momento puoi chiederci:

accesso: sapere quali dati abbiamo e averne copia (art. 15);
rettifica: correggerli o completarli (art. 16);
cancellazione, quando non servono più o non c’è più una base per tenerli; i dati che la legge ci obbliga a conservare, come le ricevute, restano fino alla scadenza (art. 17);
limitazione: sospendere l’uso dei dati mentre verifichiamo una tua contestazione (art. 18);
portabilità: ricevere i dati che ci hai dato in un formato leggibile da un computer, o farli mandare a un altro titolare (art. 20);
opposizione ai trattamenti basati sul legittimo interesse, e sempre alle comunicazioni promozionali (art. 21);
il ritiro del consenso, senza conseguenze su quanto fatto prima (art. 7). Per la newsletter basta il link in fondo a ogni email.

Puoi anche chiederci di non essere più contattato: blocchiamo subito ogni comunicazione verso i tuoi recapiti (email, SMS, WhatsApp, notifiche e chat) finché non ci chiedi di riattivarle.

Scrivi a segreteria.musicalegale@gmail.com. Rispondiamo entro un mese; se la richiesta è complessa possiamo prendere altri due mesi, ma te lo diciamo entro il primo (art. 12). Potremmo chiederti di confermare la tua identità.

Non prendiamo decisioni su di te in modo solo automatico e non facciamo profilazione (art. 22).

Se pensi che trattiamo i tuoi dati in modo non corretto puoi fare reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o rivolgerti al giudice (artt. 77 e 79).

10. Sicurezza

Il sito funziona solo in HTTPS. Il gestionale è accessibile solo con un account personale, con verifica in due passaggi per chi amministra e per la segreteria; ogni persona vede solo i dati del suo ruolo. Gli IBAN sono cifrati, i documenti sono in archivi non raggiungibili dal web, le operazioni importanti vengono registrate, e i moduli pubblici sono protetti dagli invii automatici senza servizi esterni.

11. Modifiche

Se cambiamo il modo in cui usiamo i dati aggiorniamo questa pagina e la data in alto. Per i cambiamenti importanti avvisiamo gli iscritti per email o nell’area personale.