Informativa sulla Privacy

1. Titolare del trattamento

Il Titolare del trattamento dei dati personali è G.P.G. TECH S.R.L. (servizio "Skooly"), con sede legale in Via Angelo Secchi 8, 00197 Roma — C.F. e P.IVA 18261831004, iscritta al Registro delle Imprese di Roma (REA 1772576) nella sezione speciale delle start-up innovative dal 16/10/2025. PEC: gpgtechsrl@legalmail.it.

Responsabile della Protezione dei Dati (DPO): in corso di designazione. Nelle more della nomina, ogni richiesta in materia di protezione dei dati è gestita dal Titolare all'indirizzo privacy@skooly.it.

2. Dati personali trattati

• Dati di registrazione: nome, indirizzo email, password (memorizzata come hash crittografico PBKDF2-SHA256, mai in chiaro)
• Dati di utilizzo: log delle sessioni di studio (tutor, orale, esercizi), punteggi, progressi, Twin (mappa delle competenze)
• Materiali didattici: documenti e immagini caricati dai docenti (PDF, immagini) e relative analisi AI
• Dati tecnici: indirizzo IP (per sicurezza e rate limiting), cookie di sessione, preferenze (tema, consenso cookie)
• Dati di fatturazione: gestiti interamente da Stripe Inc., Skooly non memorizza dati di pagamento

3. Base giuridica del trattamento

• Esecuzione del contratto (Art. 6(1)(b) GDPR): trattamento necessario per fornire il servizio educativo
• Consenso (Art. 6(1)(a) GDPR): per l'analisi AI dei materiali e la profilazione pedagogica
• Interesse legittimo (Art. 6(1)(f) GDPR): sicurezza del servizio, prevenzione abusi, rate limiting

4. Trattamento dati con Intelligenza Artificiale

Skooly utilizza i servizi AI di OpenAI (API) per le seguenti funzionalita:

• Tutor vocale: sessioni di ripetizione interattive tramite API Realtime di OpenAI
• Interrogazione orale: simulazione di interrogazione con feedback AI
• Analisi materiali (Vision): estrazione di contenuti da immagini e PDF per personalizzare lo studio
• Generazione esercizi: creazione di quiz e domande adattive basate sull'argomento
• Feedback pedagogico: valutazione delle performance e suggerimenti di studio

I dati inviati a OpenAI sono minimizzati: solo l'argomento, estratti del materiale e trascrizioni della sessione. OpenAI non utilizza i dati API per addestrare i propri modelli (policy zero data retention per API).

5. Responsabili del trattamento e sub-processor

Per erogare il servizio, il Titolare si avvale dei seguenti fornitori, nominati responsabili del trattamento ex art. 28 GDPR, ciascuno per la sola finalità indicata:

Le notifiche push sono facoltative: si attivano solo dopo un suo consenso esplicito nell'app e si spengono in qualunque momento dal profilo. Se non le attiva, nessun dato viene trasmesso a Expo, Apple o Google per questa finalità. Il testo della notifica non contiene il nome di suo figlio.

L'elenco aggiornato dei sub-processor è disponibile su richiesta a privacy@skooly.it. In caso di sostituzione di un sub-processor il Titolare aggiorna la presente informativa.

6. Diritti dell'interessato

In conformita al GDPR, hai i seguenti diritti:

• Diritto di accesso (Art. 15): puoi richiedere copia dei tuoi dati personali
• Diritto alla portabilita (Art. 20): puoi esportare i tuoi dati in formato JSON dal tuo profilo
• Diritto alla cancellazione (Art. 17): puoi eliminare il tuo account e tutti i dati associati dal tuo profilo — i passaggi per ogni ruolo, che cosa viene cancellato e che cosa resta per obbligo di legge sono su Eliminare l'account
• Diritto di rettifica (Art. 16): puoi modificare i tuoi dati dal profilo
• Diritto di opposizione (Art. 21): puoi opporti al trattamento contattando privacy@skooly.it
• Diritto di revoca del consenso (Art. 7): puoi revocare il consenso in qualsiasi momento

7. Minori

Skooly e un servizio educativo rivolto a studenti. In conformita alla normativa italiana:

• Studenti di 14 anni o piu: possono prestare autonomamente il consenso al trattamento dei dati
• Studenti sotto i 14 anni: il consenso deve essere prestato o autorizzato dal genitore/tutore legale

I docenti che invitano studenti minorenni devono assicurarsi che il consenso genitoriale sia stato ottenuto.

8. Conservazione dei dati

• Dati dell'account: conservati fino alla cancellazione dell'account
• Log delle sessioni: conservati per 12 mesi dall'ultima attivita
• Materiali didattici: conservati fino alla rimozione da parte del docente o cancellazione dell'account
• Dati di rate limiting: eliminati automaticamente dopo 24 ore

9. Trasferimento dati extra-UE

Alcuni trattamenti comportano il trasferimento di dati verso Paesi terzi (in particolare gli Stati Uniti): OpenAI (elaborazione AI), Stripe (pagamenti), Twilio (SMS del consenso genitoriale, se attivo), il fornitore SMTP (email) e Google (erogazione dei font). Tali trasferimenti avvengono sulla base di garanzie adeguate ex Capo V GDPR: Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea e, ove applicabile, adesione al Data Privacy Framework UE-USA. È possibile richiedere copia delle garanzie adottate scrivendo a privacy@skooly.it. Il Titolare rende disponibile, come alternativa (Piano B), l'elaborazione AI tramite Azure OpenAI in regione UE per ridurre i trasferimenti extra-UE.

10. Intelligenza Artificiale, profilazione e EU AI Act

Skooly integra un sistema di IA destinato a valutare gli esiti dell'apprendimento e a orientare il percorso di studio. Ai sensi del Regolamento (UE) 2024/1689 (EU AI Act), tale sistema è classificato come sistema di IA ad alto rischio (Allegato III, punto 3, lettera b). Il Titolare adotta di conseguenza le seguenti misure di tutela e trasparenza:

• Profilazione pedagogica: il sistema elabora un profilo di apprendimento (competenze, misconcezioni ricorrenti, ritmo e stile di studio — il "Twin") per personalizzare tutor, esercizi e feedback, e mantiene una memoria cognitiva di osservazioni stabili sullo studente (es. calo di attenzione, curve di dimenticanza, orari di miglior rendimento). Sulla base di questo profilo il sistema può fornire stime (es. concetti da ripassare, un voto stimato indicativo): sono suggerimenti non vincolanti, la valutazione resta del docente (Art. 14 AI Act). Tale trattamento avviene sulla base del consenso (Art. 6(1)(a) e, per i minori, Art. 8 GDPR), è esportabile e revocabile.
• Trasparenza (Art. 50 AI Act): l'utente è sempre informato quando interagisce con l'IA (etichette visibili) e i contenuti generati dall'IA sono segnalati come tali.
• Sorveglianza umana (Art. 14 AI Act): le valutazioni dell'IA non sono definitive; il docente può sempre esaminarle e sovrascriverle, ed è disponibile una coda di revisione delle decisioni.
• Diritti sulle decisioni automatizzate (Art. 22 GDPR): non vengono adottate decisioni esclusivamente automatizzate con effetti giuridici o similmente significativi; l'interessato ha diritto a ottenere una spiegazione e a richiedere l'intervento umano.
• Registro delle decisioni e incidenti (Art. 12 e 73 AI Act): ogni decisione rilevante dell'IA è registrata ed è disponibile un canale per la segnalazione di incidenti.

Il Titolare mantiene la documentazione tecnica di conformità (valutazione d'impatto sulla protezione dei dati, valutazione di conformità AI Act) e la aggiorna nel tempo.

11. Cookie e tecnologie di tracciamento

• Cookie di sessione: tecnico, necessario per l'autenticazione (HttpOnly, Secure, SameSite=Lax)
• localStorage: preferenze utente (tema, consenso cookie, ultima sessione di studio)
• Google Fonts: i font tipografici sono erogati da Google; al caricamento delle pagine il browser comunica a Google il proprio indirizzo IP. Si tratta di un uso funzionale (resa tipografica), non di profilazione pubblicitaria.
• Skooly non utilizza cookie di profilazione pubblicitaria né tracciamento comportamentale di terze parti a fini di marketing

12. Sicurezza

Skooly adotta le seguenti misure di sicurezza:

• Crittografia HTTPS obbligatoria (HSTS preload)
• Password con hash PBKDF2-SHA256 (120.000 iterazioni)
• Protezione CSRF, CSP, XSS (Helmet + header di sicurezza)
• Rate limiting per prevenire abusi
• Token JWT con scadenza e verifica timing-safe