Privacy Policy

La presente informativa sulla privacy è resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (di seguito "GDPR") e descrive le modalità di trattamento dei dati personali degli utenti che accedono e utilizzano la piattaforma RegisPro (di seguito "Servizio" o "Piattaforma"), accessibile all'indirizzo https://www.regispro.it.

Documenti collegati: Cookie Policy, Elenco Sub-responsabili, DPA art. 28 GDPR, Informativa per studenti e genitori, Esercita i tuoi diritti.

0. Ruoli del trattamento

RegisPro opera con duplice qualifica in funzione del flusso di dati interessato:

• Titolare del trattamento per i dati dei docenti utenti della Piattaforma (registrazione, autenticazione, fatturazione, assistenza, sicurezza, marketing).
• Responsabile del trattamento ai sensi dell'art. 28 GDPR per i dati di studenti, classi, voti, presenze e comunicazioni didattiche inseriti dal docente. In tale ipotesi il Titolare e': (a) l'istituzione scolastica, se ha adottato ufficialmente RegisPro; (b) il docente professionista che eroga lezioni private. Il modello di accordo art. 28 GDPR e' pubblicato alla pagina DPA.

Il docente che inserisce dati di studenti su RegisPro resta responsabile di: (i) avere una base giuridica per il trattamento; (ii) fornire l'informativa ex artt. 13-14 GDPR agli interessati; (iii) non inserire dati sensibili (BES, DSA, L. 104) in campi visibili a soggetti diversi dai destinatari legittimi; (iv) verificare l'identita' e i diritti dei richiedenti. RegisPro fornisce gli strumenti tecnici per assolvere a questi obblighi (RLS, default privacy-friendly, audit log).

1. Titolare del Trattamento

Il Titolare del trattamento dei dati personali è:

• Nome: Simone Frosini
• Partita IVA: 07077510480
• Indirizzo: Via Guglielmo Tesi 122, 50013 Campi Bisenzio (FI), Italia
• Email: simone@regispro.it

Per qualsiasi questione relativa al trattamento dei dati personali, è possibile contattare il Titolare ai recapiti sopra indicati.

1.1 Punto di contatto privacy e Responsabile della Protezione dei Dati (DPO)

Considerata la tipologia di dati trattati (dati di minori, eventualmente anche dati relativi alla salute ai sensi dell'art. 9 GDPR per le funzioni BES/DSA del registro elettronico), e' in corso la designazione del Responsabile della Protezione dei Dati (DPO/RPD) ai sensi dell'art. 37, par. 1, lett. c) del GDPR. Nelle more della designazione formale, il punto di contatto unico per ogni questione relativa al trattamento dei dati personali e' simone@regispro.it. L'indirizzo e' monitorato direttamente dal Titolare. Gli aggiornamenti relativi alla designazione del DPO saranno pubblicati in questa sezione e notificati al Garante ai sensi dell'art. 37, par. 7 GDPR.

2. Tipologie di Dati Raccolti

Nell'ambito dell'erogazione del Servizio, il Titolare raccoglie e tratta le seguenti categorie di dati personali:

2.1 Dati forniti volontariamente dall'utente

• Dati identificativi: nome, cognome, indirizzo email
• Dati dell'account: credenziali di autenticazione (gestite tramite Supabase Auth o Google OAuth)
• Dati professionali: informazioni relative a classi, studenti, lezioni, voti, meriti e demeriti, eventi di calendario, giochi didattici e altri contenuti inseriti dall'utente nell'ambito dell'utilizzo della Piattaforma
• File caricati: documenti, immagini e altri file allegati alle lezioni

2.2 Dati raccolti automaticamente

• Dati di navigazione: indirizzo IP, tipo di browser, sistema operativo, pagine visitate, data e ora di accesso, durata della sessione
• Cookie tecnici: cookie di sessione necessari per il funzionamento dell'autenticazione e delle preferenze utente (si veda la Cookie Policy)
• Cookie della categoria marketing (solo previo consenso): identificativi pubblicitari di Meta (_fbp, _fbc, fr) impostati sulle sole pagine pubbliche del sito e utilizzati per la misurazione delle campagne pubblicitarie e per il remarketing. In assenza di consenso non vengono mai impostati (si veda la Cookie Policy)
• Log di attività: registrazioni delle operazioni effettuate sulla Piattaforma per finalità di sicurezza e debug

2.3 Dati diagnostici allegati alle segnalazioni

Quando l'utente invia una segnalazione tramite il canale di assistenza interno (sezione "Feedback" o pulsante "Segnala un problema"), la Piattaforma allega automaticamente alla segnalazione un contesto tecnico utile a diagnosticare e risolvere il problema riportato. Tale contesto comprende: la pagina in cui ci si trovava, informazioni sul dispositivo (tipo di browser e sistema operativo), eventuali errori applicativi verificatisi, un identificativo tecnico dell'utente con il relativo ruolo (docente, studente o genitore) e la scuola e, quando disponibile, una registrazione tecnica della sessione (session replay) in cui testi, campi di input e contenuti multimediali sono integralmente mascherati. Questi dati sono elaborati per nostro conto da Sentry (Functional Software GmbH), nella regione UE (Francoforte), esclusivamente per finalità di diagnosi e risoluzione dei malfunzionamenti segnalati. L'invio della segnalazione è volontario e abilita la raccolta di questo contesto tecnico limitatamente al caso segnalato; la base giuridica è il legittimo interesse del Titolare (art. 6, par. 1, lett. f GDPR) a garantire il corretto funzionamento del Servizio. Nessun contenuto della segnalazione viene alterato e i dati sensibili sono oscurati dal mascheramento integrale.

3. Finalità del Trattamento

I dati personali sono trattati per le seguenti finalità:

4. Base Giuridica del Trattamento

Il trattamento dei dati personali si fonda sulle seguenti basi giuridiche ai sensi dell'art. 6 del GDPR:

• Esecuzione del contratto (art. 6, par. 1, lett. b): il trattamento è necessario per l'esecuzione del contratto di cui l'utente è parte (Termini di Servizio) o per l'esecuzione di misure precontrattuali adottate su richiesta dell'utente. Questa base giuridica si applica alla creazione e gestione dell'account, all'erogazione del Servizio e alle comunicazioni strettamente connesse al suo funzionamento.
• Consenso (art. 6, par. 1, lett. a): per il trattamento dei dati mediante cookie non tecnici, sia della categoria analitica sia della categoria marketing, per le attività di misurazione pubblicitaria e remarketing svolte tramite Meta Pixel e Conversions API, che comportano profilazione a fini pubblicitari, e per l'invio di comunicazioni promozionali. L'utente può revocare il consenso in qualsiasi momento dal banner cookie o dalla Cookie Policy, senza che ciò pregiudichi la liceità del trattamento basato sul consenso prima della revoca. Alla revoca del consenso marketing gli identificativi pubblicitari di Meta già presenti sul dispositivo vengono cancellati e non viene più inviato alcun evento a Meta, né dal browser né dai nostri server. Nessuna delle attività di misurazione pubblicitaria produce effetti giuridici o incide in modo analogo sull'utente ai sensi dell'art. 22 GDPR.
• Legittimo interesse (art. 6, par. 1, lett. f): per finalità di sicurezza della Piattaforma, prevenzione di abusi, verifica del ruolo docente a tutela dei dati dei minori trattati sulla Piattaforma, analisi aggregate per il miglioramento del Servizio e utilizzo di cookie strettamente tecnici/necessari. La valutazione del legittimo interesse (LIA) è documentata ed è disponibile su richiesta. Il legittimo interesse del Titolare è bilanciato con i diritti e le libertà degli utenti.
• Obbligo legale (art. 6, par. 1, lett. c): per adempiere a obblighi previsti dalla normativa applicabile.

5. Destinatari dei Dati

I dati personali potranno essere comunicati alle seguenti categorie di destinatari, in qualità di responsabili del trattamento o titolari autonomi, nella misura strettamente necessaria per le finalità sopra indicate:

5.1 Perimetro del trattamento pubblicitario Meta

Nessun dato riferibile a studenti viene trasmesso a Meta. Il Meta Pixel è caricato esclusivamente sulle pagine pubbliche del sito (home, pagine di prodotto, blog, guide, risorse, pagine di contatto e di registrazione) e non è mai attivo nella dashboard del docente, nel registro, nei portali di studenti e genitori, nelle pagine di accesso tramite invito o codice classe, nelle aree amministrative e nelle pagine legali. L'elenco delle pagine tracciate è definito in modo esplicito nel codice della Piattaforma: una pagina nuova non viene tracciata finché non viene aggiunta deliberatamente a quell'elenco.

Gli eventi inviati tramite Conversions API riguardano unicamente l'azione compiuta dal docente o dal visitatore adulto (a titolo esemplificativo: registrazione di un account, iscrizione alla newsletter, richiesta di contatto, prenotazione di una chiamata). Tali eventi possono contenere, quando disponibili, email, nome, cognome e identificativo dell'account esclusivamente in forma cifrata con algoritmo SHA-256, oltre a indirizzo IP, tipo di browser e identificativi dei cookie pubblicitari di Meta. Voti, presenze, note disciplinari, contenuti delle lezioni, anagrafiche degli studenti e ogni altro dato inserito nel registro restano integralmente fuori da questo trattamento e non vengono mai comunicati a Meta, né dal browser né dai nostri server.

L'elenco aggiornato dei sub-responsabili, con dettagli sulle garanzie di trasferimento e link ai DPA dei fornitori, e' pubblicato e mantenuto alla pagina Sub-responsabili. Le modifiche sostanziali sono notificate ai Titolari clienti con preavviso di almeno 30 giorni ai sensi dell'art. 28, par. 2 GDPR.

I dati non saranno diffusi né comunicati a soggetti terzi diversi da quelli sopra indicati, salvo obblighi di legge.

6. Trasferimento dei Dati Extra-UE

Alcuni dei destinatari sopra indicati hanno sede negli Stati Uniti d'America. Il trasferimento dei dati personali verso tali soggetti avviene nel rispetto del Capo V del GDPR, sulla base di:

• Clausole Contrattuali Standard (SCC) adottate dalla Commissione Europea ai sensi dell'art. 46, par. 2, lett. c) del GDPR, integrate ove necessario da misure supplementari di sicurezza tecnica e organizzativa;
• EU-U.S. Data Privacy Framework, ove il destinatario sia certificato ai sensi della decisione di adeguatezza della Commissione Europea.

In particolare, i dati ospitati su Supabase sono conservati in data center nella regione dell'Unione Europea, minimizzando la necessità di trasferimenti transfrontalieri.

Quanto al trattamento pubblicitario, il titolare del trattamento nell'Unione Europea è Meta Platforms Ireland Ltd, con sede in Irlanda e recapiti indicati nella Cookie Policy. L'eventuale trasferimento verso Meta Platforms, Inc. negli Stati Uniti avviene sulla base delle Clausole Contrattuali Standard richiamate dalle condizioni degli strumenti aziendali di Meta e della certificazione EU-U.S. Data Privacy Framework. Il trasferimento ha luogo solo in presenza del consenso della categoria marketing e riguarda esclusivamente i dati descritti alla sezione 5.1.

7. Periodo di Conservazione

I dati personali sono conservati secondo i seguenti criteri:

• Dati dell'account e contenuti: per tutta la durata dell'account attivo dell'utente e per un periodo di 30 (trenta) giorni successivi alla cancellazione dell'account, al fine di consentire l'eventuale ripristino e per adempiere a obblighi di legge.
• Dati di navigazione e log: per un massimo di 12 (dodici) mesi dalla raccolta, salvo necessità di conservazione più lunga per accertamento, esercizio o difesa di un diritto in sede giudiziaria.
• Dati per adempimenti legali: per il periodo previsto dalla specifica normativa di riferimento.
• Documento di verifica del ruolo: utilizzato solo per la verifica e cancellato subito dopo l'esito. A sistema resta unicamente l'esito della verifica per la durata dell'account più 30 giorni successivi alla cancellazione, coerentemente con la conservazione generale dei dati dell'account.

Decorsi i termini di conservazione, i dati saranno cancellati o resi anonimi in modo irreversibile.

8. Diritti dell'Interessato

Ai sensi degli artt. 15-22 del GDPR, l'utente ha il diritto di esercitare in qualsiasi momento i seguenti diritti:

• Diritto di accesso (art. 15): ottenere conferma dell'esistenza di un trattamento di dati personali e accedere ai propri dati e alle informazioni relative al trattamento.
• Diritto di rettifica (art. 16): ottenere la rettifica dei dati personali inesatti o l'integrazione dei dati incompleti.
• Diritto alla cancellazione (art. 17): ottenere la cancellazione dei propri dati personali, nei casi previsti dal GDPR.
• Diritto alla limitazione del trattamento (art. 18): ottenere la limitazione del trattamento nei casi previsti dal GDPR.
• Diritto alla portabilità dei dati (art. 20): ricevere i propri dati personali in un formato strutturato, di uso comune e leggibile da dispositivo automatico, e trasmetterli a un altro titolare del trattamento.
• Diritto di opposizione (art. 21): opporsi in qualsiasi momento al trattamento dei dati personali fondato sul legittimo interesse del Titolare.
• Diritto di revocare il consenso: revocare in qualsiasi momento il consenso prestato, senza che ciò pregiudichi la liceità del trattamento effettuato prima della revoca.
• Diritto di proporre reclamo (art. 77): proporre reclamo all'autorità di controllo competente, ovvero il Garante per la Protezione dei Dati Personali (Piazza Venezia 11, 00187 Roma, email: garante@gpdp.it, PEC: protocollo@pec.gpdp.it).

Per esercitare i propri diritti, l'utente può inviare una richiesta al Titolare del trattamento ai recapiti indicati nella sezione 1 della presente informativa, allegando copia di un documento di identità valido ove necessario per la verifica dell'identità del richiedente.

Il Titolare si impegna a rispondere alle richieste entro 30 (trenta) giorni dal ricevimento, salvo proroga di ulteriori 60 (sessanta) giorni in caso di complessità della richiesta, dandone comunicazione all'interessato.

8.1 Trattamenti riguardanti minori (artt. 8 GDPR, 2-quinquies Codice Privacy)

Quando il docente inserisce nella Piattaforma dati di studenti minorenni, il consenso ex art. 8 GDPR si applica solo se il trattamento e' fondato sul consenso. Per le funzioni didattiche del registro elettronico la base giuridica e' il compito di interesse pubblico (art. 6 par. 1 lett. e e art. 9 par. 2 lett. g GDPR + art. 2-sexies D.Lgs. 196/2003) e non e' richiesto consenso (cfr. Garante Privacy, Provv. 26 marzo 2020, n. 64).

Quando occorre il consenso (es. attivita' non didattiche, pubblicazione di foto/video, comunicazioni promozionali), il limite di eta' in Italia e' 14 anni ex art. 2-quinquies D.Lgs. 196/2003: sotto tale soglia il consenso deve essere prestato dall'esercente la responsabilita' genitoriale. L'informativa rivolta a studenti e genitori in linguaggio semplice e' pubblicata alla pagina Informativa per studenti e genitori.

8.2 Valutazione d'impatto sulla protezione dei dati (DPIA, art. 35 GDPR)

Considerata la combinazione di tipologie di trattamento ricorrenti su RegisPro (dati di minori, dati relativi alla salute riferibili a BES/DSA, trattamento sistematico e su larga scala — elementi inclusi nell'allegato del Provv. Garante 11 ottobre 2018 n. 467), il Titolare ha avviato il processo di redazione di una Valutazione d'Impatto sulla Protezione dei Dati. La sintesi e i risultati sono disponibili su richiesta ai Titolari clienti che adottano RegisPro in qualita' di istituzione scolastica o di docente professionista, ai sensi dell'art. 28, par. 3, lett. f) GDPR.

8.3 Responsabilita' del docente come Titolare

Quando il docente opera in autonomia (lezioni private), assume la qualifica di Titolare del trattamento per i dati dei propri studenti. In tale caso, oltre al rispetto delle istruzioni operative fornite da RegisPro come Responsabile, il docente deve:

• fornire agli interessati (studenti e genitori) l'informativa ex artt. 13-14 GDPR;
• verificare di avere una base giuridica per il trattamento (es. contratto con il genitore committente, consenso esplicito per dati ex art. 9);
• limitare i contenuti inseriti al minimo necessario, evitando di pubblicare in campi visibili a soggetti diversi dai destinatari legittimi dati sensibili (BES, DSA, L. 104, salute);
• rispondere alle richieste di esercizio dei diritti degli interessati entro 30 giorni; RegisPro fornisce supporto tecnico tramite la pagina Esercita i tuoi diritti.

Casi reali utili come riferimento: Garante Privacy ha sanzionato scuole per aver reso visibili nel registro elettronico documenti riguardanti alunni con disabilita' (es. Provv. n. 9852255, n. 9811361). L'esposizione di un dato sensibile per pochi minuti puo' comportare sanzione: e' richiesta attenzione massima nella selezione dei destinatari delle comunicazioni.

9. Verifica del ruolo docente

Per la sicurezza della Piattaforma e per prevenire usi impropri, il Titolare verifica che chi si registra come docente lo sia effettivamente. La misura protegge anche i dati degli studenti, che non devono finire in registri aperti da chi non ne ha titolo. La verifica si articola in due livelli. A tutti gli utenti è richiesta un'attestazione del proprio ruolo di docente, con l'impegno a non inserire dati reali di persone senza averne titolo. Nei soli casi in cui emergono segnali oggettivi di uso improprio, oppure su segnalazione, può essere richiesto il caricamento di un documento che attesti il ruolo di docente. Per individuare i casi sospetti il Titolare utilizza segnali tecnici e comportamentali già raccolti per finalità di sicurezza, incluso l'indirizzo IP.

Non è richiesta la carta d'identità. Sono accettati, a titolo esemplificativo, un contratto o una lettera di incarico anche di supplenza, un cedolino con gli importi oscurati, un attestato di servizio, una tessera o un badge della scuola, l'iscrizione alle graduatorie, una partita IVA o un profilo professionale per chi svolge ripetizioni, oppure un'autodichiarazione del ruolo resa sotto la propria responsabilità per chi non disponga di un documento formale. Il documento è utilizzato solo per la verifica e poi cancellato: a sistema resta unicamente l'esito della verifica, la data, il tipo generico di documento e l'identificativo del revisore.

La base giuridica è il legittimo interesse (art. 6, par. 1, lett. f), documentato in un'apposita valutazione disponibile su richiesta. In caso di mancata verifica nei casi richiesti, l'accesso all'account viene sospeso e i dati restano conservati ed esportabili; solo dopo un ulteriore periodo e ulteriori avvisi l'account viene chiuso e i dati cancellati. L'esito della verifica è contestabile scrivendo all'indirizzo simone@regispro.it o tramite il canale assistenza in-app: la presentazione di una contestazione o di un nuovo documento sospende i termini di sospensione e cancellazione fino all'esito del riesame, svolto da una persona. La verifica riguarda i soli docenti e non si applica agli studenti né ai genitori.

10. Sicurezza dei Dati

Il Titolare adotta misure tecniche e organizzative adeguate per garantire un livello di sicurezza appropriato al rischio, ai sensi dell'art. 32 del GDPR. Tali misure comprendono, a titolo esemplificativo e non esaustivo:

• Cifratura dei dati in transito tramite protocollo HTTPS/TLS
• Cifratura dei dati a riposo nei database Supabase
• Autenticazione sicura tramite token JWT e OAuth 2.0
• Politiche di accesso basate su Row Level Security (RLS) a livello di database
• Monitoraggio continuo e log di sicurezza
• Backup periodici dei dati

11. Donazioni

La Piattaforma offre la possibilità di effettuare donazioni volontarie (liberalità ai sensi dell'art. 769 c.c.) tramite la sezione "Sostieni". L'effettuazione di una donazione è del tutto opzionale e non condiziona in alcun modo l'accesso o l'utilizzo delle funzionalità della Piattaforma, che restano sempre gratuite per tutti gli utenti.

In caso di donazione, vengono trattati i seguenti dati personali:

• Dati di pagamento: numero carta, dati di fatturazione, indirizzo email associato al metodo di pagamento. Tali dati sono raccolti e trattati direttamente da un provider di pagamento esterno certificato secondo lo standard PCI-DSS Level 1, in qualità di responsabile del trattamento. Il Titolare non ha mai accesso al numero completo della carta.
• Dati pubblicabili (opzionali): al momento della donazione l'utente può scegliere quali informazioni mostrare nel muro pubblico dei sostenitori (nome, cognome, città, scuola, foto profilo, importo, messaggio personale). Ogni campo è granulare e può essere disattivato. È inoltre possibile effettuare la donazione in forma totalmente anonima.
• Dati amministrativi: data e importo della donazione, identificativo della transazione. Tali dati sono conservati per le finalità di rendicontazione e per gli adempimenti fiscali e contabili previsti dalla normativa applicabile (10 anni ai sensi dell'art. 2220 c.c.).

La base giuridica per il trattamento dei dati relativi alla donazione è l'esecuzione della liberalità richiesta dall'utente (art. 6, par. 1, lett. b GDPR) e l'adempimento di obblighi fiscali e contabili (art. 6, par. 1, lett. c GDPR).

L'utente che ha effettuato una donazione può richiedere in qualsiasi momento la rimozione dei propri dati dal muro pubblico dei sostenitori contattando il Titolare ai recapiti indicati nella sezione 1, fermi restando gli obblighi di conservazione fiscale dei dati di transazione.

Nel caso di donazione mensile ricorrente, i dati necessari per l'esecuzione del pagamento ricorrente restano archiviati presso il provider di pagamento per il tempo strettamente necessario. La cancellazione della donazione mensile può essere richiesta in qualsiasi momento scrivendo all'indirizzo frosinisimo@gmail.com.

12. Cancellazione dei Dati e dell'Account

L'utente può richiedere la cancellazione del proprio account e di tutti i dati personali associati in qualsiasi momento tramite i seguenti canali:

• Dalle Impostazioni della Piattaforma: nella sezione "Impostazioni" è disponibile la funzione di cancellazione dell'account.
• Via email: inviando una richiesta a simone@regispro.it con oggetto "Richiesta cancellazione dati".

A seguito della richiesta, tutti i dati personali dell'utente (profilo, classi, studenti, lezioni, voti, meriti, eventi, file allegati) saranno cancellati in modo definitivo entro 30 (trenta) giorni, fatti salvi gli obblighi di conservazione previsti dalla legge. L'utente riceverà conferma dell'avvenuta cancellazione via email.

13. Modifiche alla Privacy Policy

Il Titolare si riserva il diritto di modificare la presente informativa in qualsiasi momento. Le modifiche saranno pubblicate sulla Piattaforma con indicazione della data di ultimo aggiornamento. L'utilizzo continuato del Servizio successivamente alla pubblicazione delle modifiche costituisce accettazione delle stesse.

In caso di modifiche sostanziali, il Titolare provvederà a informare gli utenti tramite notifica all'interno della Piattaforma o comunicazione via email.

14. Contatti

Per qualsiasi domanda, chiarimento o richiesta relativa alla presente Privacy Policy o al trattamento dei dati personali, è possibile contattare il Titolare:

• Simone Frosini
• Via Guglielmo Tesi 122, 50013 Campi Bisenzio (FI), Italia
• Email: simone@regispro.it
• P.IVA: 07077510480