Informativa sulla Privacy

Informazioni generali

Le seguenti indicazioni offrono una semplice panoramica di ciò che accade ai vostri dati personali quando visitate questo sito. I dati personali sono tutti quei dati con cui è possibile identificarvi personalmente.

Titolare del trattamento

Titolare del trattamento dei dati su questo sito è la società di diritto civile tedesco (GbR):

Hosting

I file statici del sito e dell’app sono ospitati presso Fritz Managed IT GmbH, Ötterichweg 7, 90411 Norimberga, Germania; i sub-responsabili sono Hetzner Online GmbH (data center in Germania) e Global Switch (data center a Francoforte sul Meno). Con il provider è stato stipulato un accordo sul trattamento dei dati (art. 28 GDPR).

L'utilizzo del fornitore di hosting si basa sull'art. 6 (1) lit. f GDPR. Abbiamo un interesse legittimo a una presentazione tecnicamente corretta e sicura del nostro sito.

Cookie tecnicamente necessari

Il nostro sito utilizza esclusivamente cookie di sessione tecnicamente necessari. Servono a memorizzare localmente nel vostro browser le preferenze per le seguenti funzioni:

• Impostazione della lingua
• Modalità di visualizzazione (chiara o scura)

Ulteriori informazioni al seguente link: Politica sui cookie

La memorizzazione si basa sull'art. 6 (1) lit. f GDPR. Il nostro interesse legittimo consiste nel fornire un sito web di facile utilizzo. Questi cookie vengono eliminati al termine della vostra visita o dopo la chiusura della sessione del browser, salvo che li salviate in modo permanente nelle impostazioni del browser.

File di log del server

Il provider delle pagine raccoglie e memorizza automaticamente informazioni nei file di log che il vostro browser ci trasmette automaticamente:

• Tipo e versione del browser
• Sistema operativo utilizzato
• URL referrer (pagina visitata in precedenza)
• Hostname del computer che effettua l'accesso
• Ora della richiesta al server
• Indirizzo IP

I file di log del server contengono indirizzi IP e vengono cancellati dal provider al più tardi dopo 30 giorni.

Questi dati sono tecnicamente necessari per il funzionamento sicuro del sito. Il trattamento avviene ai sensi dell'art. 6 (1) lit. f GDPR.

Caratteri (hosting locale)

Utilizziamo web font per una rappresentazione uniforme dei caratteri. Sono installati localmente sul nostro server web. Non avviene alcun collegamento con server esterni (p. es. Google Fonts).

Richiesta via e-mail, telefono o fax

Se ci contattate via e-mail, telefono o fax, la vostra richiesta, inclusi tutti i dati personali da essa derivanti (nome, richiesta), verrà memorizzata ed elaborata da noi al fine di gestire la vostra istanza. Non trasmettiamo questi dati senza il vostro consenso.

Il trattamento di questi dati si basa sull'art. 6 (1) lit. b GDPR se la vostra richiesta è connessa all'esecuzione di un contratto o è necessaria per misure precontrattuali. In tutti gli altri casi, il trattamento si basa sul nostro interesse legittimo all'efficace gestione delle richieste a noi rivolte (art. 6 (1) lit. f GDPR) o sul vostro consenso (art. 6 (1) lit. a GDPR) qualora richiesto; il consenso è revocabile in qualsiasi momento.

I dati da voi trasmessi tramite richieste di contatto restano presso di noi fino a quando non ci richiederete la cancellazione, revocherete il vostro consenso alla memorizzazione o verrà meno la finalità della conservazione (p. es. dopo la conclusione della vostra istanza). Restano impregiudicate le disposizioni di legge cogenti – in particolare i termini di conservazione previsti dalla legge.

Protezione dei dati

Trattiamo i vostri dati personali in modo riservato e in conformità alle disposizioni di legge in materia di protezione dei dati e alla presente informativa. Con il semplice uso informativo di questo sito vengono raccolti solo dati tecnicamente necessari al funzionamento.

Cifratura SSL/TLS

Per motivi di sicurezza e per proteggere la trasmissione di contenuti riservati, questo sito utilizza una cifratura SSL o TLS. Riconoscerete una connessione cifrata dal fatto che la barra degli indirizzi del browser passa da «http://» a «https://» e dal simbolo del lucchetto nella barra del browser.

Nota sul trasferimento di dati verso paesi terzi

L’applicazione utilizza, tra gli altri, Google Firebase, hCaptcha e Stripe. Questi servizi possono comportare trasferimenti verso paesi terzi. Il titolare del trattamento presso Stripe è Stripe Technology Company, Limited (STC), One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irlanda, stabilimento principale di Stripe in Europa e titolare dei dati trattati al di fuori delle Americhe. Per i servizi di pagamento regolamentati, STC, Stripe Payments Europe, Limited (SPEL) e l’entità Stripe regolamentata a livello locale sono contitolari; l’istituto di moneta elettronica è Stripe Technology Europe, Limited, regolamentato dalla Banca centrale d’Irlanda. Per i trasferimenti verso paesi terzi Stripe si avvale del Data Privacy Framework UE-USA e di clausole contrattuali tipo. Le sezioni seguenti e la cookie policy descrivono i singoli servizi, le finalità e le garanzie applicabili.

I vostri diritti (informazione, cancellazione, reclamo)

Avete il diritto in qualsiasi momento di ricevere gratuitamente informazioni sull'origine, sui destinatari e sulla finalità dei vostri dati personali memorizzati. Vi spetta inoltre il diritto di presentare reclamo presso l'autorità di controllo competente.

Archiviazione nel cloud con Google Firebase

Per rendere disponibili i progressi di apprendimento su diversi dispositivi e per sincronizzare gli account dei genitori e dei bambini utilizziamo i servizi della Google Cloud Platform, in particolare Firebase Authentication e Cloud Firestore (fornitore: Google Ireland Limited, Gordon House, Barrow Street, Dublino 4, Irlanda).

In Cloud Firestore vengono memorizzati i seguenti dati personali:

• Indirizzo e-mail, nome visualizzato e tipo di account (genitore, insegnante, bambino)
• Progressi di apprendimento, lezioni completate, riconoscimenti e statistiche
• Impostazione della lingua, modalità di visualizzazione, piani di apprendimento e impostazioni del timer
• Profili dei bambini creati da voi in qualità di genitori o insegnanti

Ubicazione dei dati: il database Cloud Firestore denominato e le Cloud Functions di Hurra Mathe sono configurati nella regione «europe-west3» (Francoforte, Germania). Questa scelta regionale non si applica automaticamente a tutti i servizi Firebase: secondo Google, Firebase Authentication opera esclusivamente in data center statunitensi e Firebase App Check usa un’infrastruttura globale.

Con Google abbiamo stipulato un contratto di trattamento ai sensi dell’art. 28 GDPR. Quando avviene un trasferimento fuori dall’UE/SEE, il fornitore indica garanzie quali le clausole contrattuali standard dell’UE e, se applicabile, il Data Privacy Framework UE-USA.

Base giuridica: art. 6 (1) lit. b GDPR (esecuzione di un contratto) per gli utenti registrati e art. 6 (1) lit. f GDPR (interesse legittimo) per la fornitura tecnica della funzione di sincronizzazione. Per gli account dei bambini, il trattamento si basa inoltre sul consenso del titolare della responsabilità genitoriale (art. 6 (1) lit. a, art. 8 GDPR).

Invio di e-mail

Inviamo le e-mail transazionali (ad es. conferme di verifica, invito, contratto e disdetta) tramite il responsabile del trattamento Mailjet (gruppo Sinch), sede tedesca: Mailjet GmbH, Alt-Moabit 2, 10557 Berlin. Vengono trattati indirizzo e-mail, nome, contenuto del messaggio e dati di invio e consegna; l’invio avviene da server situati nell’UE. L’accordo sul trattamento dei dati (art. 28 GDPR) è concluso tramite le condizioni d’uso di Mailjet (Data Processing Agreement).

La base giuridica è l’art. 6, par. 1, lett. b) GDPR (esecuzione del contratto) o l’art. 6, par. 1, lett. f) GDPR (consegna affidabile).

Periodo di prova unico (registro di controllo)

Affinché il periodo di prova gratuito di 7 giorni possa essere utilizzato una sola volta per indirizzo e-mail, all’avvio di un periodo di prova salviamo in un registro di controllo esclusivamente un valore di controllo pseudonimizzato del Suo indirizzo e-mail (HMAC-SHA256 con chiave segreta sull’indirizzo normalizzato) insieme alla data di inizio e di scadenza della voce. L’indirizzo e-mail stesso non vi viene salvato; non è ricavabile senza la chiave conservata separatamente. In caso di nuova registrazione con lo stesso indirizzo verifichiamo solo se esiste una voce.

La voce viene conservata anche dopo la cancellazione dell’account ed è cancellata automaticamente 36 mesi dopo l’avvio del periodo di prova.

La base giuridica è l’art. 6, par. 1, lett. f) del GDPR. Il nostro legittimo interesse consiste nell’impedire l’uso ripetuto del periodo di prova gratuito. Può opporsi al trattamento per motivi connessi alla Sua situazione particolare (art. 21 GDPR).

Modalità offline e archiviazione locale

L'applicazione funziona anche senza connessione a Internet. In tal caso i vostri inserimenti vengono inizialmente memorizzati nella memoria locale (localStorage) del browser e vengono sincronizzati automaticamente con Cloud Firestore al successivo accesso online. I dati memorizzati localmente non lasciano il vostro dispositivo fino alla sincronizzazione.

In modalità demo (senza registrazione) i vostri progressi vengono memorizzati esclusivamente nella memoria locale di questo browser e non vengono mai trasferiti nel cloud. Se la demo non viene utilizzata per più di sette giorni, questi progressi locali vengono eliminati automaticamente al successivo avvio. Prima dell'eliminazione offriamo di conservarli creando un account; il trasferimento avviene quindi interamente all'interno di questo browser nel vostro account.

Periodo di conservazione e cancellazione

Conserviamo i vostri dati per tutto il tempo in cui esiste il vostro account. Potete eliminare il vostro account e quindi tutti i dati associati in qualsiasi momento nelle impostazioni; tutti i dati personali in Cloud Firestore verranno quindi rimossi immediatamente. Restano impregiudicati gli obblighi di conservazione previsti dalla legge.

Se un bambino si registra da solo, la richiesta di conferma ai genitori è valida 14 giorni. Se i genitori rifiutano o non confermano entro 14 giorni, eliminiamo l’account del bambino con tutti i dati. Come prova (art. 6, par. 1, lett. c e f GDPR) conserviamo solo l’esito, le date, l’identificativo dell’account eliminato e valori di controllo (hash) dell’indirizzo e-mail dei genitori e – in caso di rifiuto – dell’indirizzo IP, ma nessun indirizzo e-mail in chiaro e nessun nome; questa prova viene cancellata alla fine del terzo anno civile successivo all’evento.

Tempi di conservazione in sintesi: gli account gratuiti vengono eliminati dopo 24 mesi di completa inattività (avviso via e-mail quattro settimane prima). Gli account dei bambini congelati dopo un downgrade vengono eliminati dopo 12 mesi (avviso via e-mail 30 giorni prima). Le prove di conclusione dei contratti, disdette e consensi sono conservate dopo l’eliminazione di un account fino al 31 dicembre del terzo anno successivo. Il valore di controllo del periodo di prova unico viene eliminato dopo 36 mesi, i file di log del server al più tardi dopo 30 giorni.