Privacy Policy

La presente informativa (di seguito, l'"Informativa") è resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 ("GDPR") e del D.Lgs. 196/2003, come modificato dal D.Lgs. 101/2018 ("Codice Privacy"), a chiunque acceda a vallaury.it o app.vallaury.it (di seguito, congiuntamente, "Vallaury" o il "Servizio").

Vallaury è un'iniziativa indipendente, ideata e sviluppata da uno studente dell'IIS Vallauri. Vallaury non costituisce la piattaforma ufficiale dell'Istituto e non è gestito, controllato o formalmente autorizzato dallo stesso.

1. Definizioni

• Titolare del Trattamento: la persona fisica che sviluppa e gestisce Vallaury, non costituita in forma societaria o associativa, contattabile all'indirizzo indicato all'art. 2.
• Utente: la persona fisica che si iscrive alla lista d'attesa o che accede al Servizio con un proprio account.
• Interessato: ai sensi dell'art. 4.1 GDPR, la persona fisica identificata o identificabile cui i dati personali si riferiscono, incluse le persone i cui dati sono sincronizzati automaticamente ai sensi dell'art. 5 della presente Informativa senza essere Utenti dirette del Servizio.
• Dati Personali: qualsiasi informazione riguardante una persona fisica identificata o identificabile, ai sensi dell'art. 4.1 GDPR.

2. Titolare del trattamento e contatti

Il Titolare del Trattamento è la persona fisica che sviluppa e gestisce Vallaury. Ogni richiesta relativa al trattamento dei Dati Personali, ivi incluso l'esercizio dei diritti di cui all'art. 9 della presente Informativa, deve essere indirizzata a [email protected].

Non è stato nominato un Responsabile della Protezione dei Dati (DPO). Tale nomina non costituisce un obbligo ai sensi dell'art. 37 GDPR, in ragione della natura, dell'ambito e della scala del trattamento svolto, che non comporta un monitoraggio sistematico e su larga scala degli interessati, né il trattamento su larga scala di categorie particolari di dati.

3. Dati trattati in relazione alla lista d'attesa (vallaury.it)

In relazione all'iscrizione alla lista d'attesa, è trattato il solo indirizzo email fornito dall'Utente, unitamente alla data di iscrizione. Tale dato è trattato esclusivamente per notificare all'Utente la disponibilità di un invito. Il dato non è utilizzato per ulteriori finalità, né ceduto a terzi, né impiegato per la costruzione di profili.

La base giuridica del trattamento è il consenso dell'interessato (art. 6.1.a GDPR), prestato mediante la compilazione del modulo di iscrizione. Il conferimento del dato è facoltativo, ma necessario per essere ricontattati in assenza del quale non è possibile notificare la disponibilità dell'invito. Il dato è conservato per la durata di apertura della lista d'attesa, o fino al momento in cui viene inviato l'invito. Il consenso può essere revocato in qualsiasi momento, con effetto identico e di pari semplicità rispetto alla sua prestazione, mediante richiesta all'indirizzo indicato all'art. 2, senza necessità di motivazione.

4. Dati trattati in relazione all'utilizzo dell'applicazione (app.vallaury.it)

A seguito dell'attivazione dell'account, sono trattate le seguenti categorie di dati, e nessuna ulteriore:

• Dati identificativi e dell'account: nome, cognome, indirizzo email istituzionale e, a seconda della modalità di autenticazione prescelta dall'Utente, l'identificativo dell'account Google collegato (in nessun caso la relativa password), la chiave pubblica associata alla passkey, oppure, nel caso del codice temporaneo via email, nessun dato ulteriore rispetto all'indirizzo email stesso. Il Titolare non memorizza né ha accesso ad alcuna password dell'Utente, per nessuna delle modalità di accesso disponibili. L'accesso tramite codice temporaneo è reso disponibile proprio in quanto alternativa che non richiede la creazione di un legame con alcun fornitore di identità digitale terzo.
• Dati scolastici sincronizzati automaticamente: orario delle lezioni, materie, aule, composizione delle classi e nominativi di docenti e studenti, acquisiti dai sistemi resi pubblici e aggiornati dall'Istituto stesso. La sincronizzazione avviene senza necessità di intervento dell'Utente, al fine di garantire un orario costantemente aggiornato.
• Contenuti generati dall'Utente: appunti, compiti, messaggi nella chat di classe, frase di stato del profilo, colore del profilo, fotografia caricata a discrezione dell'Utente. Gli appunti sono impostati come privati per impostazione predefinita e vengono condivisi solo a seguito di un'azione esplicita dell'Utente.
• Dati tecnici minimi: token di sessione per il mantenimento dell'autenticazione, registro (audit log) delle azioni amministrative svolte, comunicazioni email di servizio (es. avviso di variazione di orario). Nessun indirizzo IP è raccolto, conservato o impiegato per alcuna finalità, né di profilazione, né statistica, né altra, e non sono impiegate tecniche di device fingerprinting.

Il Servizio non tratta, per alcuna finalità, categorie particolari di dati personali ai sensi dell'art. 9 GDPR (origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati genetici, biometrici, relativi alla salute o alla vita o all'orientamento sessuale).

5. Trattamento di dati riferiti a soggetti terzi (docenti e altri studenti)

Al fine di rendere disponibili un orario e una rubrica funzionali, il Servizio tratta necessariamente anche dati riferiti a Interessati che non sono Utenti diretti del Servizio: i docenti e gli studenti di altre classi. Si tratta esclusivamente di dati organizzativi minimi (nominativo, materia insegnata, classe di appartenenza, aula, orario), già resi disponibili all'interno della comunità scolastica, e mai di categorie particolari di dati.

La base giuridica di tale trattamento è il legittimo interesse del Titolare (art. 6.1.f GDPR), consistente nel rendere fruibile, in forma organizzata, un'informazione già diffusa dall'Istituto ai propri studenti. Il Titolare ha condotto un bilanciamento tra tale interesse e i diritti e le libertà fondamentali degli Interessati, concludendo che l'interesse perseguito non risulta prevalente in modo sproporzionato, in considerazione della natura minima e organizzativa del dato trattato, della sua preesistente diffusione nel contesto scolastico, e della disponibilità di un meccanismo di opposizione immediato e privo di formalità.

Ogni Interessato, ivi incluso un docente, può esercitare il diritto di opposizione di cui all'art. 21 GDPR e richiedere l'esclusione dei propri dati da tale sincronizzazione scrivendo all'indirizzo indicato all'art. 2. La richiesta è evasa entro un termine indicativo di alcuni giorni, senza necessità di fornire alcuna motivazione.

6. Assistente basato su intelligenza artificiale e moderazione della messaggistica

Anche nella scelta del fornitore che elabora le richieste rivolte all'assistente integrato, Vallaury ha privilegiato la riservatezza dell'Utente: il fornitore impiegato in via predefinita è Mistral AI, società con sede nell'Unione Europea e pertanto direttamente soggetta al GDPR, senza che sia necessario alcun trasferimento di dati al di fuori dello Spazio Economico Europeo. Soltanto nei momenti di sovraccarico della capacità di calcolo di Mistral AI, e in via meramente residuale, la richiesta può essere instradata verso OpenAI o, come ultima risorsa, verso Anthropic, entrambi vincolati da un accordo sul trattamento dei dati (Data Processing Agreement) conforme all'art. 28 GDPR.

In ognuno di questi casi, al fornitore selezionato è trasmessa la sola richiesta formulata dall'Utente e il contesto strettamente pertinente (a titolo esemplificativo, l'orario, il compito o l'appunto oggetto della richiesta). Ciascun fornitore agisce in qualità di responsabile del trattamento ai sensi dell'art. 28 GDPR e, in base alle condizioni applicabili alle rispettive interfacce di programmazione (API), distinte dai prodotti destinati al pubblico consumer, non utilizza il testo trasmesso per l'addestramento dei propri modelli. Si raccomanda comunque all'Utente di astenersi dal comunicare all'assistente dati particolari propri o di terzi non necessari alla richiesta formulata.

I messaggi scambiati nella chat di classe sono sottoposti a un controllo automatico basato su un elenco di termini, eseguito integralmente sui sistemi del Titolare: nessun messaggio è trasmesso a terzi per finalità di moderazione. Un messaggio può essere bloccato o segnalato per revisione da parte del Titolare; l'evento è registrato in un log interno, consultabile esclusivamente dal Titolare, che può essere rimosso dalla visualizzazione corrente ma non cancellato, al fine di preservare la verificabilità del sistema in caso di condotte abusive. Nessuna decisione avente effetti sull'Utente è adottata in modo interamente automatizzato ai sensi dell'art. 22 GDPR: ogni blocco automatico resta sottoponibile a revisione umana su richiesta.

7. Destinatari dei dati e trasferimenti extra-UE

Il Servizio si avvale di un numero volutamente contenuto di fornitori terzi, ciascuno vincolato contrattualmente a trattare i dati esclusivamente per conto del Titolare, ai sensi dell'art. 28 GDPR, e per le sole finalità di seguito indicate:

• Google LLC: esclusivamente per chi sceglie di autenticarsi con l'account Google istituzionale (protocollo OAuth, con ambiti limitati a identità, indirizzo email e nome). Si tratta di un'opzione, non di un passaggio obbligato: chi preferisce non coinvolgere Google può accedere in ogni momento tramite codice temporaneo via email, senza alcuna differenza funzionale.
• Resend: per l'invio delle comunicazioni email di servizio (conferma di iscrizione, avvisi di variazione dell'orario, codici di accesso).
• Mistral AI: fornitore predefinito per la generazione delle risposte dell'assistente, come descritto all'art. 6; con sede nell'Unione Europea, non comporta alcun trasferimento extra-UE.
• OpenAI, Anthropic: impiegati solo come fallback residuale in caso di sovraccarico di Mistral AI, come descritto all'art. 6.
• Open-Meteo / MET Norway: per la previsione meteorologica mostrata nella pagina principale, limitatamente a una località fissa (Fossano), senza trasmissione di alcun dato personale.

Al di fuori di questi fornitori, impiegati unicamente per le finalità puntuali sopra descritte, nessun altro soggetto terzo entra in contatto con i dati personali trattati da Vallaury. Alcuni di essi possono effettuare trattamenti al di fuori dello Spazio Economico Europeo, in particolare negli Stati Uniti d'America; in tali casi, il trasferimento è effettuato sulla base delle Clausole Contrattuali Standard approvate dalla Commissione Europea (art. 46.2.c GDPR) ovvero di altra garanzia adeguata prevista dal fornitore.

Con questa sola eccezione puntuale, l'intera infrastruttura tecnica che ospita il Servizio, server applicativo e base di dati, è di proprietà del Titolare ed è fisicamente ubicata in Piemonte, Italia: non un servizio cloud di terze parti, non un data center gestito da altri, ma hardware posseduto e amministrato direttamente da chi sviluppa Vallaury. Questa scelta architetturale, deliberata fin dall'origine del progetto, è ciò che rende possibile escludere concretamente, e non solo sulla carta, la presenza di intermediari non necessari tra l'Utente e i propri dati. Nessun dato personale è oggetto di vendita, né è utilizzato per finalità pubblicitarie o di profilazione commerciale. Non sussistono destinatari dei dati ulteriori rispetto a quelli indicati nella presente Informativa.

8. Misure di sicurezza

In applicazione dell'art. 32 GDPR, il Titolare adotta misure tecniche e organizzative adeguate al rischio, tra cui:

• cifratura della connessione (HTTPS/TLS) su ogni pagina e ogni richiesta, senza eccezioni;
• autenticazione mediante sessioni sicure, passkey (standard WebAuthn) o protocollo OAuth, senza gestione diretta di password da parte del Titolare;
• accesso ai dati riservato al solo Titolare, con registrazione (audit log) di ogni azione amministrativa, al fine di garantire la tracciabilità delle operazioni svolte;
• applicazione del principio di minimizzazione fin dalla fase di progettazione di ogni nuova funzionalità;
• disponibilità, per l'Utente, di funzionalità native di esportazione e cancellazione dei propri dati.

In caso di violazione dei dati personali suscettibile di presentare un rischio per i diritti e le libertà degli interessati, il Titolare provvederà a darne comunicazione senza ingiustificato ritardo, ai sensi dell'art. 34 GDPR, e, ove ricorrano i presupposti, a notificare l'evento al Garante per la protezione dei dati personali entro 72 ore, ai sensi dell'art. 33 GDPR.

9. Periodo di conservazione

In applicazione del principio di limitazione della conservazione (art. 5.1.e GDPR), i dati sono conservati per il tempo strettamente necessario alle finalità indicate:

• i dati dell'account sono conservati per la durata di esistenza dell'account medesimo; la cancellazione può essere richiesta in qualsiasi momento e, per gli account riferiti a Utenti minorenni, anche da chi esercita la responsabilità genitoriale;
• i contenuti generati dall'Utente (appunti, compiti, messaggi) sono rimossi contestualmente alla cancellazione dell'account;
• il registro delle azioni amministrative e di moderazione è conservato per un periodo ulteriore, in forma minima, limitato a quanto necessario per finalità di sicurezza e accountability, ed è reso non riconducibile ai dati identificativi dell'interessato a seguito della cancellazione dell'account;
• gli indirizzi email raccolti tramite la lista d'attesa e non ancora invitati sono conservati per la durata di apertura della lista stessa.

10. Diritti dell'interessato

Ai sensi degli articoli 15-22 GDPR, l'interessato ha diritto di:

• accedere ai dati personali conservati, in formato leggibile;
• ottenerne la rettifica, qualora inesatti o non aggiornati;
• ottenerne la cancellazione, salve le eccezioni indicate all'art. 9;
• ottenere la limitazione del trattamento, ricorrendone i presupposti;
• opporsi al trattamento fondato sul legittimo interesse, di cui all'art. 5;
• ottenere i dati in un formato strutturato e leggibile da dispositivo automatico (portabilità);
• revocare il consenso prestato per l'iscrizione alla lista d'attesa, in qualsiasi momento, senza pregiudizio per la liceità del trattamento svolto anteriormente alla revoca;
• proporre reclamo all'Autorità Garante per la protezione dei dati personali (www.garanteprivacy.it, Piazza Venezia 11, 00187 Roma), indipendentemente da ogni altro rimedio amministrativo o giurisdizionale.

Le richieste di esercizio dei diritti sopra indicati devono essere indirizzate a [email protected] e ricevono riscontro entro il termine di trenta giorni, ai sensi dell'art. 12.3 GDPR. L'esercizio di tali diritti non è in alcun caso subordinato al pagamento di alcun corrispettivo.

11. Utenti minorenni

Il Servizio è destinato a studenti e studentesse dell'Istituto, indicativamente di età compresa tra i 14 e i 19 anni. Ai sensi dell'art. 2-quinquies del Codice Privacy, l'età del consenso digitale in Italia è fissata a 14 anni. Il Servizio non prevede, allo stato, un meccanismo dedicato alla raccolta del consenso genitoriale per gli utenti di età inferiore ai 14 anni: qualora l'Utente abbia età inferiore a tale soglia, si raccomanda l'utilizzo del Servizio esclusivamente con il coinvolgimento e sotto la supervisione di chi esercita la responsabilità genitoriale. Chi esercita la responsabilità genitoriale può in qualsiasi momento richiedere informazioni sui dati del minore o la cancellazione del relativo account, rivolgendosi all'indirizzo indicato all'art. 2, anche senza disporre delle credenziali di accesso dell'account medesimo.

12. Modifiche alla presente Informativa

Ogni modifica sostanziale alle modalità di trattamento dei dati personali sarà comunicata in forma visibile all'interno dell'applicazione prima della relativa entrata in vigore, e non sarà in alcun caso applicata retroattivamente a un trattamento più ampio rispetto a quello per cui era stato prestato il consenso. La data e il numero di versione indicati in apertura della presente pagina ne identificano l'ultimo aggiornamento; le versioni precedenti restano disponibili su richiesta.