Privacy Policy

La presente informativa sulla privacy è resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (di seguito "GDPR") e descrive le modalità di trattamento dei dati personali degli utenti che accedono e utilizzano la piattaforma RegisPro (di seguito "Servizio" o "Piattaforma"), accessibile all'indirizzo https://www.regispro.it.

Documenti collegati: Cookie Policy, Elenco Sub-responsabili, DPA art. 28 GDPR, Informativa per studenti e genitori, Esercita i tuoi diritti.

Entrata in vigore. Questa versione, aggiornata al 13 ottobre 2026, aggiunge alla sezione 2.2 la pagina del sito da cui parte una registrazione, salvata solo con il consenso alle statistiche, e i dati dei dispositivi collegati, e descrive l'eliminazione dell'account direttamente dalle Impostazioni (sezioni 7 e 12), con il periodo fra la richiesta e la cancellazione definitiva che passa da 30 a 7 giorni, e la conservazione nelle copie di sicurezza (sezione 7). La versione del 29 settembre 2026 precisava nelle sezioni 3 e 4 la misurazione del tempo di utilizzo del registro. La versione del 6 settembre 2026, in vigore dal giorno di attivazione dell'abbonamento RegisPro Premium, ha introdotto la sezione 11 sui dati di abbonamento, pagamento e fatturazione. Le versioni precedenti, compresa quella del 18 luglio 2026, restano archiviate e vengono inviate su richiesta scrivendo a simone@regispro.it.

0. Ruoli del trattamento

RegisPro opera con duplice qualifica in funzione del flusso di dati interessato:

• Titolare del trattamento per i dati dei docenti utenti della Piattaforma (registrazione, autenticazione, fatturazione, assistenza, sicurezza, marketing).
• Responsabile del trattamento ai sensi dell'art. 28 GDPR per i dati di studenti, classi, voti, presenze e comunicazioni didattiche inseriti dal docente. In tale ipotesi il Titolare e': (a) l'istituzione scolastica, se ha adottato ufficialmente RegisPro; (b) il docente professionista che eroga lezioni private. Il modello di accordo art. 28 GDPR e' pubblicato alla pagina DPA.

Il docente che inserisce dati di studenti su RegisPro resta responsabile di: (i) avere una base giuridica per il trattamento; (ii) fornire l'informativa ex artt. 13-14 GDPR agli interessati; (iii) non inserire dati sensibili (BES, DSA, L. 104) in campi visibili a soggetti diversi dai destinatari legittimi; (iv) verificare l'identita' e i diritti dei richiedenti. RegisPro fornisce gli strumenti tecnici per assolvere a questi obblighi (RLS, default privacy-friendly, audit log).

1. Titolare del Trattamento

Il Titolare del trattamento dei dati personali è:

• Nome: Simone Frosini
• Partita IVA: 07077510480
• Indirizzo: Via Guglielmo Tesi 122, 50013 Campi Bisenzio (FI), Italia
• Email: simone@regispro.it

Per qualsiasi questione relativa al trattamento dei dati personali, è possibile contattare il Titolare ai recapiti sopra indicati.

1.1 Punto di contatto privacy e Responsabile della Protezione dei Dati (DPO)

Considerata la tipologia di dati trattati (dati di minori, eventualmente anche dati relativi alla salute ai sensi dell'art. 9 GDPR per le funzioni BES/DSA del registro elettronico), e' in corso la designazione del Responsabile della Protezione dei Dati (DPO/RPD) ai sensi dell'art. 37, par. 1, lett. c) del GDPR. Nelle more della designazione formale, il punto di contatto unico per ogni questione relativa al trattamento dei dati personali e' simone@regispro.it. L'indirizzo e' monitorato direttamente dal Titolare. Gli aggiornamenti relativi alla designazione del DPO saranno pubblicati in questa sezione e notificati al Garante ai sensi dell'art. 37, par. 7 GDPR.

2. Tipologie di Dati Raccolti

Nell'ambito dell'erogazione del Servizio, il Titolare raccoglie e tratta le seguenti categorie di dati personali:

2.1 Dati forniti volontariamente dall'utente

• Dati identificativi: nome, cognome, indirizzo email
• Dati dell'account: credenziali di autenticazione (gestite tramite Supabase Auth o Google OAuth)
• Dati professionali: informazioni relative a classi, studenti, lezioni, voti, meriti e demeriti, eventi di calendario, giochi didattici e altri contenuti inseriti dall'utente nell'ambito dell'utilizzo della Piattaforma
• File caricati: documenti, immagini e altri file allegati alle lezioni
• Dati di abbonamento e pagamento: piano scelto, prezzo applicato, stato e date dell'abbonamento, esito dei pagamenti, circuito della carta, ultime quattro cifre e scadenza, identificativi del cliente e dell'abbonamento presso il fornitore di pagamento. Il numero completo della carta non viene mai raccolto dal Titolare (si veda la sezione 11)
• Dati di richiesta preventivo (scuole e organizzazioni): denominazione della scuola o dell'organizzazione, città, numero di docenti, nome del referente, indirizzo email, numero di telefono (facoltativo) e note libere scritte dal richiedente. Sono raccolti dal modulo pubblico della pagina Prezzi per scuole, anche da chi non ha un account
• Dati di fatturazione (solo se richiesti dall'utente): ragione sociale o nome e cognome, indirizzo, codice fiscale, partita IVA, codice destinatario SDI o PEC e, per le amministrazioni pubbliche, codice univoco ufficio e CIG

2.2 Dati raccolti automaticamente

• Dati di navigazione: indirizzo IP, tipo di browser, sistema operativo, pagine visitate, data e ora di accesso, durata della sessione
• Cookie tecnici: cookie di sessione necessari per il funzionamento dell'autenticazione e delle preferenze utente (si veda la Cookie Policy)
• Cookie della categoria marketing (solo previo consenso): identificativi pubblicitari di Meta (_fbp, _fbc, fr) impostati sulle sole pagine pubbliche del sito e utilizzati per la misurazione delle campagne pubblicitarie e per il remarketing. In assenza di consenso non vengono mai impostati (si veda la Cookie Policy)
• Log di attività: registrazioni delle operazioni effettuate sulla Piattaforma per finalità di sicurezza e debug
• Pagina da cui è partita la registrazione (solo previo consenso alle statistiche): alla registrazione, se l'utente ha accettato i cookie statistici, si salva sul suo profilo la pagina del sito da cui è partito, il sito di provenienza e gli eventuali parametri della campagna, per capire quali pagine sono utili. Non viene salvato nient'altro dell'indirizzo visitato. Senza consenso questi dati non si raccolgono (si veda la Cookie Policy)
• Dispositivi collegati (solo account docente): per ogni browser o app da cui il docente accede registriamo il tipo di dispositivo (computer, telefono, tablet o app installata), il browser e il sistema operativo ricavati dalle informazioni che il browser invia, la data dell'ultimo uso e un codice casuale del dispositivo (cookie rp-device, conservato solo in forma cifrata in modo irreversibile). Servono al limite di 3 dispositivi per account e alla lista "Dispositivi collegati" nelle Impostazioni, da cui il docente può scollegarli. Base giuridica: esecuzione del contratto (art. 6.1.b GDPR). I dati di un dispositivo sono conservati fino a 30 (trenta) giorni dopo il suo ultimo uso, poi cancellati insieme alla sua sessione; si cancellano subito quando il docente esce da quel dispositivo o lo scollega.

2.3 Dati diagnostici allegati alle segnalazioni

Quando l'utente invia una segnalazione tramite il canale di assistenza interno (sezione "Feedback" o pulsante "Segnala un problema"), la Piattaforma allega automaticamente alla segnalazione un contesto tecnico utile a diagnosticare e risolvere il problema riportato. Tale contesto comprende: la pagina in cui ci si trovava, informazioni sul dispositivo (tipo di browser e sistema operativo), eventuali errori applicativi verificatisi, un identificativo tecnico dell'utente con il relativo ruolo (docente, studente o genitore) e la scuola e, quando disponibile, una registrazione tecnica della sessione (session replay) in cui testi, campi di input e contenuti multimediali sono integralmente mascherati. Questi dati sono elaborati per nostro conto da Sentry (Functional Software GmbH), nella regione UE (Francoforte), esclusivamente per finalità di diagnosi e risoluzione dei malfunzionamenti segnalati. L'invio della segnalazione è volontario e abilita la raccolta di questo contesto tecnico limitatamente al caso segnalato; la base giuridica è il legittimo interesse del Titolare (art. 6, par. 1, lett. f GDPR) a garantire il corretto funzionamento del Servizio. Nessun contenuto della segnalazione viene alterato e i dati sensibili sono oscurati dal mascheramento integrale.

3. Finalità del Trattamento

I dati personali sono trattati per le seguenti finalità:

4. Base Giuridica del Trattamento

Il trattamento dei dati personali si fonda sulle seguenti basi giuridiche ai sensi dell'art. 6 del GDPR:

• Esecuzione del contratto (art. 6, par. 1, lett. b): il trattamento è necessario per l'esecuzione del contratto di cui l'utente è parte (Termini di Servizio) o per l'esecuzione di misure precontrattuali adottate su richiesta dell'utente. Questa base giuridica si applica alla creazione e gestione dell'account, all'erogazione del Servizio e alle comunicazioni strettamente connesse al suo funzionamento, nonche' alla gestione del periodo di prova, dell'abbonamento RegisPro Premium, dei pagamenti, dei rinnovi, delle disdette, dei recessi e dei rimborsi. Alla stessa base giuridica, in particolare come misura precontrattuale adottata su richiesta dell'interessato, si riconducono la ricezione e la gestione delle richieste di preventivo inviate da scuole e organizzazioni.
• Consenso (art. 6, par. 1, lett. a): per il trattamento dei dati mediante cookie non tecnici, sia della categoria analitica sia della categoria marketing, per le attività di misurazione pubblicitaria e remarketing svolte tramite Meta Pixel e Conversions API, che comportano profilazione a fini pubblicitari, e per l'invio di comunicazioni promozionali. L'utente può revocare il consenso in qualsiasi momento dal banner cookie o dalla Cookie Policy, senza che ciò pregiudichi la liceità del trattamento basato sul consenso prima della revoca. Alla revoca del consenso marketing gli identificativi pubblicitari di Meta già presenti sul dispositivo vengono cancellati e non viene più inviato alcun evento a Meta, né dal browser né dai nostri server. Nessuna delle attività di misurazione pubblicitaria produce effetti giuridici o incide in modo analogo sull'utente ai sensi dell'art. 22 GDPR.
• Legittimo interesse (art. 6, par. 1, lett. f): per finalità di sicurezza della Piattaforma, prevenzione di abusi, verifica del ruolo docente a tutela dei dati dei minori trattati sulla Piattaforma, analisi aggregate per il miglioramento del Servizio, misurazione del tempo di utilizzo del registro da parte dei docenti con account e utilizzo di cookie strettamente tecnici/necessari. La valutazione del legittimo interesse (LIA) è documentata ed è disponibile su richiesta. Il legittimo interesse del Titolare è bilanciato con i diritti e le libertà degli utenti.
• Obbligo legale (art. 6, par. 1, lett. c): per adempiere a obblighi previsti dalla normativa applicabile, fra cui l'emissione e la conservazione delle fatture e dei documenti contabili e fiscali relativi all'abbonamento.

5. Destinatari dei Dati

I dati personali potranno essere comunicati alle seguenti categorie di destinatari, in qualità di responsabili del trattamento o titolari autonomi, nella misura strettamente necessaria per le finalità sopra indicate:

5.1 Perimetro del trattamento pubblicitario Meta

Nessun dato riferibile a studenti viene trasmesso a Meta. Il Meta Pixel è caricato esclusivamente sulle pagine pubbliche del sito (home, pagine di prodotto, blog, guide, risorse, pagine di contatto e di registrazione) e non è mai attivo nella dashboard del docente, nel registro, nei portali di studenti e genitori, nelle pagine di accesso tramite invito o codice classe, nelle aree amministrative e nelle pagine legali. L'elenco delle pagine tracciate è definito in modo esplicito nel codice della Piattaforma: una pagina nuova non viene tracciata finché non viene aggiunta deliberatamente a quell'elenco.

Gli eventi inviati tramite Conversions API riguardano unicamente l'azione compiuta dal docente o dal visitatore adulto (a titolo esemplificativo: registrazione di un account, iscrizione alla newsletter, richiesta di contatto, prenotazione di una chiamata). Tali eventi possono contenere, quando disponibili, email, nome, cognome e identificativo dell'account esclusivamente in forma cifrata con algoritmo SHA-256, oltre a indirizzo IP, tipo di browser e identificativi dei cookie pubblicitari di Meta. Voti, presenze, note disciplinari, contenuti delle lezioni, anagrafiche degli studenti e ogni altro dato inserito nel registro restano integralmente fuori da questo trattamento e non vengono mai comunicati a Meta, né dal browser né dai nostri server.

L'elenco aggiornato dei sub-responsabili, con dettagli sulle garanzie di trasferimento e link ai DPA dei fornitori, e' pubblicato e mantenuto alla pagina Sub-responsabili. Le modifiche sostanziali sono notificate ai Titolari clienti con preavviso di almeno 30 giorni ai sensi dell'art. 28, par. 2 GDPR.

I dati non saranno diffusi né comunicati a soggetti terzi diversi da quelli sopra indicati, salvo obblighi di legge.

6. Trasferimento dei Dati Extra-UE

Alcuni dei destinatari sopra indicati hanno sede negli Stati Uniti d'America. Il trasferimento dei dati personali verso tali soggetti avviene nel rispetto del Capo V del GDPR, sulla base di:

• Clausole Contrattuali Standard (SCC) adottate dalla Commissione Europea ai sensi dell'art. 46, par. 2, lett. c) del GDPR, integrate ove necessario da misure supplementari di sicurezza tecnica e organizzativa;
• EU-U.S. Data Privacy Framework, ove il destinatario sia certificato ai sensi della decisione di adeguatezza della Commissione Europea.

In particolare, i dati ospitati su Supabase sono conservati in data center nella regione dell'Unione Europea, minimizzando la necessità di trasferimenti transfrontalieri.

Quanto ai pagamenti, il rapporto contrattuale intercorre con Stripe Payments Europe, Limited, con sede in Irlanda, e con PayPal (Europe) S.à r.l. et Cie, S.C.A., con sede in Lussemburgo. L'eventuale trasferimento verso Stripe, Inc. negli Stati Uniti avviene sulla base delle Clausole Contrattuali Standard richiamate dal Data Processing Agreement di Stripe e della certificazione EU-U.S. Data Privacy Framework.

Quanto al trattamento pubblicitario, il titolare del trattamento nell'Unione Europea è Meta Platforms Ireland Ltd, con sede in Irlanda e recapiti indicati nella Cookie Policy. L'eventuale trasferimento verso Meta Platforms, Inc. negli Stati Uniti avviene sulla base delle Clausole Contrattuali Standard richiamate dalle condizioni degli strumenti aziendali di Meta e della certificazione EU-U.S. Data Privacy Framework. Il trasferimento ha luogo solo in presenza del consenso della categoria marketing e riguarda esclusivamente i dati descritti alla sezione 5.1.

7. Periodo di Conservazione

I dati personali sono conservati secondo i seguenti criteri:

• Dati dell'account e contenuti: per tutta la durata dell'account attivo dell'utente. Quando l'utente chiede di eliminare l'account, l'account si chiude subito e i dati vengono cancellati in modo definitivo dopo 7 (sette) giorni, periodo nel quale l'utente può annullare la richiesta (sezione 12), fatti salvi gli obblighi di conservazione previsti dalla legge.
• Copie di sicurezza (backup): per poter ripristinare il servizio in caso di guasto, ogni notte il database e i file caricati vengono copiati in forma cifrata in un archivio privato accessibile solo al Titolare. Le copie giornaliere del database sono conservate per 30 (trenta) giorni e quelle dei file per 14 (quattordici) giorni; a queste si aggiunge una copia mensile, quella del primo giorno di ogni mese, che oggi non ha una scadenza prefissata. I dati di un account cancellato non vengono più usati in alcun modo, ma restano dentro queste copie finché le copie stesse non vengono eliminate, e tornerebbero disponibili solo in caso di ripristino del servizio dopo un guasto.
• Dati di navigazione e log: per un massimo di 12 (dodici) mesi dalla raccolta, salvo necessità di conservazione più lunga per accertamento, esercizio o difesa di un diritto in sede giudiziaria.
• Dati per adempimenti legali: per il periodo previsto dalla specifica normativa di riferimento.
• Dati dell'abbonamento e dei pagamenti: per tutta la durata del rapporto e per i 3 (tre) mesi successivi alla scadenza senza rinnovo, termine entro il quale i contenuti restano intatti e riattivabili come previsto dall'art. 5.12 dei Termini di Servizio. Trascorso quel periodo i dati vengono cancellati, salvo quanto indicato al punto successivo.
• Dati di richiesta preventivo: 24 (ventiquattro) mesi dalla richiesta, se non si arriva alla stipula di una licenza; alla scadenza i dati vengono cancellati. Se la licenza viene attivata, i dati del referente seguono la conservazione prevista per i dati contrattuali e, per la parte documentale, quella delle fatture.
• Fatture e documenti contabili e fiscali: 10 (dieci) anni, ai sensi dell'art. 2220 del codice civile e della normativa fiscale.
• Documento di verifica del ruolo: utilizzato solo per la verifica e cancellato subito dopo l'esito. A sistema resta unicamente l'esito della verifica per la durata dell'account; si cancella insieme all'account, coerentemente con la conservazione generale dei dati dell'account.

Decorsi i termini di conservazione, i dati saranno cancellati o resi anonimi in modo irreversibile.

8. Diritti dell'Interessato

Ai sensi degli artt. 15-22 del GDPR, l'utente ha il diritto di esercitare in qualsiasi momento i seguenti diritti:

• Diritto di accesso (art. 15): ottenere conferma dell'esistenza di un trattamento di dati personali e accedere ai propri dati e alle informazioni relative al trattamento.
• Diritto di rettifica (art. 16): ottenere la rettifica dei dati personali inesatti o l'integrazione dei dati incompleti.
• Diritto alla cancellazione (art. 17): ottenere la cancellazione dei propri dati personali, nei casi previsti dal GDPR.
• Diritto alla limitazione del trattamento (art. 18): ottenere la limitazione del trattamento nei casi previsti dal GDPR.
• Diritto alla portabilità dei dati (art. 20): ricevere i propri dati personali in un formato strutturato, di uso comune e leggibile da dispositivo automatico, e trasmetterli a un altro titolare del trattamento.
• Diritto di opposizione (art. 21): opporsi in qualsiasi momento al trattamento dei dati personali fondato sul legittimo interesse del Titolare.
• Diritto di revocare il consenso: revocare in qualsiasi momento il consenso prestato, senza che ciò pregiudichi la liceità del trattamento effettuato prima della revoca.
• Diritto di proporre reclamo (art. 77): proporre reclamo all'autorità di controllo competente, ovvero il Garante per la Protezione dei Dati Personali (Piazza Venezia 11, 00187 Roma, email: garante@gpdp.it, PEC: protocollo@pec.gpdp.it).

Per esercitare i propri diritti, l'utente può inviare una richiesta al Titolare del trattamento ai recapiti indicati nella sezione 1 della presente informativa, allegando copia di un documento di identità valido ove necessario per la verifica dell'identità del richiedente.

Il Titolare si impegna a rispondere alle richieste entro 30 (trenta) giorni dal ricevimento, salvo proroga di ulteriori 60 (sessanta) giorni in caso di complessità della richiesta, dandone comunicazione all'interessato.

8.1 Trattamenti riguardanti minori (artt. 8 GDPR, 2-quinquies Codice Privacy)

Quando il docente inserisce nella Piattaforma dati di studenti minorenni, il consenso ex art. 8 GDPR si applica solo se il trattamento e' fondato sul consenso. Per le funzioni didattiche del registro elettronico la base giuridica e' il compito di interesse pubblico (art. 6 par. 1 lett. e e art. 9 par. 2 lett. g GDPR + art. 2-sexies D.Lgs. 196/2003) e non e' richiesto consenso (cfr. Garante Privacy, Provv. 26 marzo 2020, n. 64).

Quando occorre il consenso (es. attivita' non didattiche, pubblicazione di foto/video, comunicazioni promozionali), il limite di eta' in Italia e' 14 anni ex art. 2-quinquies D.Lgs. 196/2003: sotto tale soglia il consenso deve essere prestato dall'esercente la responsabilita' genitoriale. L'informativa rivolta a studenti e genitori in linguaggio semplice e' pubblicata alla pagina Informativa per studenti e genitori.

8.2 Valutazione d'impatto sulla protezione dei dati (DPIA, art. 35 GDPR)

Considerata la combinazione di tipologie di trattamento ricorrenti su RegisPro (dati di minori, dati relativi alla salute riferibili a BES/DSA, trattamento sistematico e su larga scala — elementi inclusi nell'allegato del Provv. Garante 11 ottobre 2018 n. 467), il Titolare ha avviato il processo di redazione di una Valutazione d'Impatto sulla Protezione dei Dati. La sintesi e i risultati sono disponibili su richiesta ai Titolari clienti che adottano RegisPro in qualita' di istituzione scolastica o di docente professionista, ai sensi dell'art. 28, par. 3, lett. f) GDPR.

8.3 Responsabilita' del docente come Titolare

Quando il docente opera in autonomia (lezioni private), assume la qualifica di Titolare del trattamento per i dati dei propri studenti. In tale caso, oltre al rispetto delle istruzioni operative fornite da RegisPro come Responsabile, il docente deve:

• fornire agli interessati (studenti e genitori) l'informativa ex artt. 13-14 GDPR;
• verificare di avere una base giuridica per il trattamento (es. contratto con il genitore committente, consenso esplicito per dati ex art. 9);
• limitare i contenuti inseriti al minimo necessario, evitando di pubblicare in campi visibili a soggetti diversi dai destinatari legittimi dati sensibili (BES, DSA, L. 104, salute);
• rispondere alle richieste di esercizio dei diritti degli interessati entro 30 giorni; RegisPro fornisce supporto tecnico tramite la pagina Esercita i tuoi diritti.

Casi reali utili come riferimento: Garante Privacy ha sanzionato scuole per aver reso visibili nel registro elettronico documenti riguardanti alunni con disabilita' (es. Provv. n. 9852255, n. 9811361). L'esposizione di un dato sensibile per pochi minuti puo' comportare sanzione: e' richiesta attenzione massima nella selezione dei destinatari delle comunicazioni.

9. Verifica del ruolo docente

Per la sicurezza della Piattaforma e per prevenire usi impropri, il Titolare verifica che chi si registra come docente lo sia effettivamente. La misura protegge anche i dati degli studenti, che non devono finire in registri aperti da chi non ne ha titolo. La verifica si articola in due livelli. A tutti gli utenti è richiesta un'attestazione del proprio ruolo di docente, con l'impegno a non inserire dati reali di persone senza averne titolo. Nei soli casi in cui emergono segnali oggettivi di uso improprio, oppure su segnalazione, può essere richiesto il caricamento di un documento che attesti il ruolo di docente. Per individuare i casi sospetti il Titolare utilizza segnali tecnici e comportamentali già raccolti per finalità di sicurezza, incluso l'indirizzo IP.

Non è richiesta la carta d'identità. Sono accettati, a titolo esemplificativo, un contratto o una lettera di incarico anche di supplenza, un cedolino con gli importi oscurati, un attestato di servizio, una tessera o un badge della scuola, l'iscrizione alle graduatorie, una partita IVA o un profilo professionale per chi svolge ripetizioni, oppure un'autodichiarazione del ruolo resa sotto la propria responsabilità per chi non disponga di un documento formale. Il documento è utilizzato solo per la verifica e poi cancellato: a sistema resta unicamente l'esito della verifica, la data, il tipo generico di documento e l'identificativo del revisore.

La base giuridica è il legittimo interesse (art. 6, par. 1, lett. f), documentato in un'apposita valutazione disponibile su richiesta. In caso di mancata verifica nei casi richiesti, l'accesso all'account viene sospeso e i dati restano conservati ed esportabili; solo dopo un ulteriore periodo e ulteriori avvisi l'account viene chiuso e i dati cancellati. L'esito della verifica è contestabile scrivendo all'indirizzo simone@regispro.it o tramite il canale assistenza in-app: la presentazione di una contestazione o di un nuovo documento sospende i termini di sospensione e cancellazione fino all'esito del riesame, svolto da una persona. La verifica riguarda i soli docenti e non si applica agli studenti né ai genitori.

10. Sicurezza dei Dati

Il Titolare adotta misure tecniche e organizzative adeguate per garantire un livello di sicurezza appropriato al rischio, ai sensi dell'art. 32 del GDPR. Tali misure comprendono, a titolo esemplificativo e non esaustivo:

• Cifratura dei dati in transito tramite protocollo HTTPS/TLS
• Cifratura dei dati a riposo nei database Supabase
• Autenticazione sicura tramite token JWT e OAuth 2.0
• Politiche di accesso basate su Row Level Security (RLS) a livello di database
• Monitoraggio continuo e log di sicurezza
• Backup periodici dei dati

11. Abbonamento, pagamenti e fatturazione

RegisPro Premium è l'abbonamento a pagamento che dà accesso alla Piattaforma, disciplinato dall'art. 5 dei Termini di Servizio. Il periodo di prova non richiede alcun metodo di pagamento e non comporta il trattamento di dati di pagamento.

Per la gestione dell'abbonamento il Titolare tratta:

• Dati dell'abbonamento: piano scelto, prezzo applicato, stato (prova, attivo, sospeso, scaduto), date di attivazione, di rinnovo e di scadenza, eventuale codice promozionale utilizzato, identificativi del cliente e dell'abbonamento presso il fornitore di pagamento.
• Dati del pagamento: importo, data, esito, circuito della carta, ultime quattro cifre e data di scadenza del metodo di pagamento. Il numero completo della carta non transita mai dai sistemi del Titolare e non viene da questi conservato: i dati della carta sono raccolti direttamente dal fornitore di pagamento, certificato secondo lo standard PCI-DSS Level 1.
• Dati di fatturazione, solo su richiesta dell'utente: ragione sociale o nome e cognome, indirizzo, codice fiscale, partita IVA, codice destinatario SDI o PEC e, per le amministrazioni pubbliche, codice univoco ufficio e CIG.

Destinatari. I pagamenti sono eseguiti da Stripe Payments Europe, Limited (Irlanda) e, per chi sceglie quel metodo, da PayPal (Europe) S.à r.l. et Cie, S.C.A. (Lussemburgo). Stripe agisce come responsabile del trattamento per l'esecuzione del pagamento per conto del Titolare e come titolare autonomo per la prevenzione delle frodi, per gli obblighi antiriciclaggio e regolamentari e per il miglioramento dei propri servizi. PayPal agisce come titolare autonomo per i dati del conto del pagatore. Le rispettive informative sono disponibili sui siti dei due fornitori.

Basi giuridiche. Esecuzione del contratto (art. 6, par. 1, lett. b GDPR) per l'attivazione e la gestione dell'abbonamento, dei pagamenti, dei rinnovi, delle disdette, dei recessi e dei rimborsi; obbligo legale (art. 6, par. 1, lett. c GDPR) per l'emissione delle fatture e la conservazione dei documenti contabili e fiscali; legittimo interesse (art. 6, par. 1, lett. f GDPR) alla prevenzione delle frodi sui pagamenti.

Conservazione. I dati dell'abbonamento sono conservati per la durata del rapporto e per i 3 mesi successivi alla scadenza senza rinnovo; le fatture e i documenti contabili per 10 anni ai sensi dell'art. 2220 del codice civile; i dati antifrode restano presso il fornitore di pagamento secondo le sue politiche di conservazione.

Nessuna profilazione e nessun addebito non richiesto. I dati di pagamento non sono utilizzati per finalità di marketing e non vengono ceduti a terzi. Nessun metodo di pagamento registrato in passato per una donazione viene mai addebitato per un abbonamento.

11.1 Donazioni (canale chiuso)

Fino a settembre 2026 la Piattaforma permetteva di effettuare donazioni volontarie (liberalità ai sensi dell'art. 769 c.c.) tramite la sezione "Sostieni". Il canale non è più attivo e la pagina rimanda alla pagina Prezzi. Il sostegno al progetto passa oggi dall'abbonamento.

I dati relativi alle donazioni già ricevute (data, importo, identificativo della transazione, eventuali dati pubblicabili scelti dal donatore) sono conservati per le finalità di rendicontazione e per gli adempimenti fiscali e contabili previsti dalla normativa applicabile (10 anni ai sensi dell'art. 2220 c.c.). Anche in questo caso i dati della carta sono stati trattati direttamente dal provider di pagamento certificato PCI-DSS Level 1 e il Titolare non ha mai avuto accesso al numero completo della carta.

Chi ha effettuato una donazione può chiedere in qualsiasi momento la rimozione dei propri dati dalle pagine pubbliche scrivendo ai recapiti indicati nella sezione 1, fermi restando gli obblighi di conservazione fiscale dei dati di transazione. Le eventuali donazioni ricorrenti sono state interrotte e non generano nuovi addebiti.

12. Cancellazione dei Dati e dell'Account

L'utente può chiedere la cancellazione del proprio account e di tutti i dati personali associati in qualsiasi momento, senza dover motivare la richiesta:

• Dalle Impostazioni della Piattaforma (via principale): nella scheda "Profilo" delle Impostazioni, con il tasto "Elimina account". Lo stesso tasto è disponibile anche quando l'accesso al registro è sospeso per la scadenza della prova o dell'abbonamento.
• Via email (in alternativa): inviando una richiesta a simone@regispro.it con oggetto "Richiesta cancellazione dati".

Alla richiesta fatta dalle Impostazioni l'account si chiude subito su tutti i dispositivi e l'utente riceve un'email di conferma con la data della cancellazione. Alla fine del settimo giorno dalla richiesta tutti i dati personali dell'utente (profilo, classi, studenti, lezioni, voti, meriti, eventi, file allegati) vengono cancellati in modo definitivo, fatti salvi gli obblighi di conservazione previsti dalla legge e le copie di sicurezza descritte alla sezione 7, che seguono i tempi lì indicati. Fino a quel giorno l'utente può annullare la richiesta dal link nell'email o accedendo di nuovo alla Piattaforma. L'eventuale abbonamento non viene più rinnovato dal momento della richiesta e si chiude alla cancellazione definitiva; per il periodo già pagato non è previsto un rimborso automatico. A cancellazione avvenuta l'utente ne riceve conferma via email. Le richieste arrivate via email sono evase entro 30 (trenta) giorni, come previsto dall'art. 12 del GDPR.

Il proprietario di un'organizzazione in cui ci sono altri docenti deve prima togliere i membri o chiedere di passare l'organizzazione a un collega, perché la cancellazione del suo account cancellerebbe l'organizzazione anche per loro. Il motivo della richiesta è facoltativo. Dopo la cancellazione ne resta soltanto la voce scelta dall'elenco, in un registro statistico che contiene solo il tipo di cancellazione, il giorno della richiesta e la data della cancellazione, e nessun dato che permetta di risalire all'utente; l'eventuale testo libero scritto dall'utente viene cancellato insieme all'account.

La cancellazione dell'account su richiesta dell'utente è cosa diversa dalla scadenza dell'abbonamento: in quel caso i dati restano intatti per 3 mesi, l'utente riceve tre avvisi via email prima della cancellazione definitiva e l'esportazione completa dei dati resta sempre disponibile e senza spese, come previsto dall'art. 5.12 dei Termini di Servizio.

13. Modifiche alla Privacy Policy

Il Titolare si riserva il diritto di modificare la presente informativa in qualsiasi momento. Le modifiche saranno pubblicate sulla Piattaforma con indicazione della data di ultimo aggiornamento. L'utilizzo continuato del Servizio successivamente alla pubblicazione delle modifiche costituisce accettazione delle stesse.

In caso di modifiche sostanziali, il Titolare provvederà a informare gli utenti tramite notifica all'interno della Piattaforma o comunicazione via email.

14. Contatti

Per qualsiasi domanda, chiarimento o richiesta relativa alla presente Privacy Policy o al trattamento dei dati personali, è possibile contattare il Titolare:

• Simone Frosini
• Via Guglielmo Tesi 122, 50013 Campi Bisenzio (FI), Italia
• Email: simone@regispro.it
• P.IVA: 07077510480