1. Titolare del trattamento

Il titolare del trattamento dei dati è Nicola Turco (di seguito «Kumolab» o «noi»), persona fisica che gestisce, a titolo gratuito e senza scopo di lucro, il sito kumolab.it e la raccolta di materiali didattici (Bazar) raggiungibile allo stesso indirizzo. Puoi contattarci in qualsiasi momento dal modulo di contatto oppure scrivendo a kumolab.main@gmail.com. Non abbiamo nominato un Responsabile della protezione dei dati (DPO): non rientriamo nei casi in cui l’art. 37 del GDPR lo rende obbligatorio.

2. Tipologie di dati raccolti

Raccogliamo solo i dati che ci servono per farti usare la piattaforma, per metterti a disposizione i materiali che scarichi e per risponderti. Nel dettaglio:

Docenti con account — nome e cognome, indirizzo email e immagine del profilo, forniti da Google al momento dell’accesso, insieme all’identificativo del tuo account Google e ai codici di accesso (token) che Google rilascia con il login. L’unico modo di registrarsi è Google: non chiediamo né conserviamo password
Data dell’ultimo accesso — al massimo una volta ogni 12 ore registriamo quando hai usato l’account per l’ultima volta, per sapere se chi si iscrive torna a usare la piattaforma. È una data sola, sovrascritta ogni volta: non teniamo lo storico delle tue visite
Contenuti che crei — attività didattiche, compiti assegnati, recensioni della piattaforma e dei materiali, e i «mi piace» che metti alle attività della community (di un «mi piace» si vede soltanto il numero, mai chi l’ha messo). Quando crei un’attività, l’interruttore «Pubblica in Community» è acceso: se la salvi così, è pubblicata nella community. Puoi spegnerlo prima di salvare, o in qualunque momento dopo, e l’attività resta visibile solo a te; le copie delle attività di altri docenti restano sempre private. Un’attività pubblicata compare senza il tuo nome, a meno che tu non scelga «Mostra il mio nome» in «Il mio Kumolab»: allora il nome compare accanto alle tue attività pubblicate (anche nei dati che i motori di ricerca leggono dalla pagina), e lo puoi spegnere quando vuoi. Quando una tua recensione viene approvata, il tuo nome compare pubblicamente accanto a essa: se preferisci di no, chiedici di toglierla
Chi collega Google Classroom — i codici di accesso che Google ci rilascia (token) per elencare i tuoi corsi e crearvi i compiti che scegli tu. Restano sul nostro database finché esiste l’account; puoi revocarli in qualsiasi momento dalla pagina Accessi di terze parti del tuo account Google
Chi scarica dal Bazar — i materiali presi, associati all’account (la tua libreria), con la data e il numero di download di ciascuno. Non chiediamo né trattiamo dati di pagamento: i materiali sono gratuiti
Chi ci scrive dal form contatti — nome, indirizzo email e testo del messaggio
Chi compila la richiesta per istituti — nome, email, istituto e testo della richiesta. Il form è nella pagina Per le scuole e non richiede un account
Chi si iscrive alla newsletter — indirizzo email, con consenso esplicito e conferma tramite email. Se ti iscrivi dal tuo account (da Il mio Kumolab, dalla libreria del Bazar o da Impostazioni) usiamo l’indirizzo del tuo account, e conserviamo la data in cui hai chiesto l’iscrizione e quella in cui hai risposto alla domanda, così non te la facciamo una seconda volta
Chi gioca o visita la community senza account — un identificativo casuale generato dal tuo browser (kumolab_guest_id), che serve solo a contare le attività di prova gratuite e non è collegato a nome, email o altri dati identificativi. Non lo riceve chi apre un compito, né chi apre un gioco da una lezione del nostro canale YouTube
Provenienza della registrazione — se arrivi da un link che porta i parametri utm_* (per esempio da una nostra campagna, o da un assistente che li aggiunge da sé), quei parametri e il momento dell’arrivo restano in un cookie per 7 giorni e, se ti registri, vengono salvati sull’account per sapere da dove arrivano le iscrizioni. Non contengono dati tuoi: dicono quale link è stato aperto
Dati di navigazione e utilizzo — statistiche aggregate raccolte tramite cookie analitici e, se lo consenti, misurazione delle campagne tramite Meta Pixel. Entrambi solo con il tuo consenso, categoria per categoria

3. Studenti: quali dati, e di chi è la responsabilità

Gli studenti che aprono un’attività dal link o dal QR di un compito (/assign/[codice]) non si registrano, non ricevono alcun identificativo di tracciamento e non vengono profilati in alcun modo: nel browser restano soltanto le chiavi tecniche con cui funziona l’accesso al sito (due cookie di sicurezza e una voce nella memoria locale), che non identificano nessuno e sono elencate nella Cookie Policy. Lo stesso vale per una classe che apre un gioco da una lezione del nostro canale YouTube: nessun identificativo, nessun limite di partite. Su queste pagine, sulla modalità LIM proiettata in classe e sui giochi aperti dalle lezioni del nostro canale YouTube, Google Analytics e Meta Pixel non vengono mai caricati, nemmeno se su quel dispositivo qualcuno aveva accettato i cookie.

Quello che viene salvato è solo l’esito del gioco — punteggio, tempo impiegato, data e ora — e, se il docente ha scelto di chiederlo, il nome digitato dallo studente, che serve all’insegnante per riconoscere la consegna. Di serie il nome non viene chiesto: è il docente ad attivarlo, compito per compito. È un campo libero e non verificato: può essere un nome di battesimo, un soprannome o un numero, e la scelta spetta a chi assegna il compito. Il risultato è visibile solo al docente che ha creato l’attività.

Chi decide, decide a scuola. Rispetto ai dati degli studenti il titolare del trattamento è l’istituzione scolastica (o il docente che agisce per essa), che sceglie quali attività assegnare e se chiedere un nome; Kumolab li tratta soltanto per suo conto, come responsabile del trattamento ai sensi dell’art. 28 del GDPR, e non li usa per finalità proprie. Restano in capo alla scuola l’informativa alle famiglie e la base giuridica del trattamento. Se il vostro istituto ha bisogno dell’accordo scritto previsto dall’art. 28, richiedetelo dal modulo di contatto: ve lo inviamo.

Il docente può cancellare in qualsiasi momento un compito o un’attività: con essi spariscono i risultati collegati. Kumolab non contatta mai gli studenti, non invia loro email e non mostra pubblicità.

4. Finalità del trattamento

Creazione e gestione dell’account docente
Erogazione del servizio (creazione attività, gestione compiti e risultati)
Messa a disposizione dei materiali del Bazar nella libreria dell’account e loro riscaricamento nel tempo
Invio di comunicazioni di servizio: l’email di benvenuto, il link per il computer quando lo chiedi tu dal sito e, una sola volta, il giorno dopo l’iscrizione, un’email con tre attività pronte se non ne hai ancora creata una. Quest’ultima non contiene pubblicità e la disattivi dal link in fondo al messaggio o da Impostazioni
Risposta alle richieste inviate dal form contatti e dal form per istituti
Invio della newsletter, solo a chi ha dato il proprio consenso
Conteggio delle attività di prova per chi gioca senza account
Analisi aggregate sull’utilizzo della piattaforma (solo con consenso, tramite Google Analytics GA4)
Misurazione dell’efficacia delle nostre campagne su Facebook e Instagram (solo con consenso, tramite Meta Pixel)
Sicurezza della piattaforma, prevenzione degli abusi e limitazione delle richieste automatiche

5. Base giuridica

Esecuzione del contratto (art. 6.1.b GDPR): per l’erogazione del servizio, la gestione dell’account e la messa a disposizione dei materiali del Bazar che scarichi
Consenso (art. 6.1.a GDPR): per i cookie analitici, per i cookie di marketing e per la newsletter. Puoi revocarlo in qualsiasi momento, senza che questo pregiudichi la liceità del trattamento svolto prima della revoca
Legittimo interesse (art. 6.1.f GDPR): per rispondere alle richieste che ci invii, per la sicurezza della piattaforma, la prevenzione di abusi, per sapere da quale nostra campagna arriva una registrazione e se chi si iscrive torna a usare la piattaforma (data dell’ultimo accesso), e per l’email con le attività pronte del giorno dopo l’iscrizione. A quest’ultima puoi opporti in ogni momento, con un clic (art. 21 GDPR)
Per conto del titolare (art. 28 GDPR): per i dati degli studenti inseriti dal docente o dalla scuola, secondo quanto scritto al punto 3

6. Conservazione dei dati

Account e contenuti — per tutta la durata dell’account. Alla cancellazione, i dati vengono eliminati entro 30 giorni insieme alle attività, ai compiti e ai risultati collegati
Copie di backup — per poter ripristinare il servizio dopo un guasto conserviamo copie del database, al massimo per 90 giorni: un dato cancellato scompare anche dall’ultima copia entro quel termine
Risultati dei giochi — finché esiste l’attività o il compito a cui appartengono: è il docente a decidere quando cancellarli
Materiali del Bazar nella libreria — finché esiste l’account: è ciò che ti permette di riscaricare più avanti quello che hai preso oggi
Richieste dai form — nella nostra casella di posta (Gmail), per il tempo necessario a gestirle e a dimostrare di averlo fatto
Newsletter — fino alla revoca dell’iscrizione
Identificativo di prova degli ospiti — 365 giorni: dopo un anno il browser ne genera uno nuovo, e le partite di prova registrate con quello vecchio vengono cancellate dal nostro database

7. Condivisione dei dati

I dati possono essere condivisi con i seguenti servizi terzi:

Google — autenticazione con il tuo account Google; la casella Gmail (kumolab.main@gmail.com) in cui arrivano i messaggi dei form e le email che ci scrivi; e, con il tuo consenso, Analytics GA4
Resend — invio delle email transazionali e consegna dei messaggi inviati dai form
Mailchimp (Intuit Inc., Stati Uniti) — solo per la newsletter, e solo per chi si iscrive, dal modulo in fondo alle pagine o dal proprio account: riceve l’indirizzo email. L’iscrizione richiede il tuo consenso esplicito e una conferma via email, e puoi revocarla in qualsiasi momento dal link presente in fondo a ogni messaggio o da Impostazioni. Creare un account non ti iscrive alla newsletter
Meta Platforms — solo se acconsenti alla categoria «marketing»: il Meta Pixel comunica a Meta le pagine viste e alcune azioni compiute sul sito (per esempio la registrazione), per misurare le nostre campagne su Facebook e Instagram. Senza il tuo consenso lo script non viene nemmeno caricato e nessuna richiesta parte dal tuo browser; sulle pagine dei compiti degli studenti, in modalità LIM e sui giochi aperti dalle lezioni del canale YouTube non viene caricato mai
Google Classroom — solo se scegli di collegare il tuo account Classroom: in quel caso leggiamo l’elenco dei tuoi corsi e creiamo i compiti in quelli che scegli tu. Non leggiamo gli elenchi degli studenti né i loro lavori. L’uso e il trasferimento delle informazioni ricevute dalle API di Google rispettano le Google API Services User Data Policy, compresi i requisiti di uso limitato (Limited Use)
Hetzner Online GmbH (Germania) — i server su cui gira la piattaforma e su cui risiede il database, nell’Unione Europea

Questi fornitori trattano i dati per nostro conto e secondo le nostre istruzioni, in qualità di responsabili del trattamento. Fa eccezione Meta: per i dati raccolti dal Meta Pixel è contitolare del trattamento insieme a noi (art. 26 GDPR), secondo i termini che Meta mette a disposizione dei propri inserzionisti, e li usa anche per finalità proprie descritte nella sua informativa. Per questo il Pixel parte solo con il tuo consenso. Non vendiamo né cediamo i tuoi dati personali a terzi.

8. Trasferimenti fuori dall’Unione Europea

Alcuni dei fornitori elencati sopra (Google, Meta, Mailchimp, Resend) sono società statunitensi o si appoggiano a infrastrutture fuori dallo Spazio economico europeo. Il trasferimento avviene sulla base delle clausole contrattuali standard approvate dalla Commissione europea e, ove il fornitore vi aderisca, del Data Privacy Framework UE-USA, con le garanzie supplementari previste dai rispettivi accordi. Puoi chiederci copia delle garanzie adottate dal modulo di contatto.

10. Decisioni automatizzate e intelligenza artificiale

Non effettuiamo processi decisionali automatizzati, compresa la profilazione, che producano effetti giuridici o incidano in modo analogamente significativo su di te o sui tuoi studenti (art. 22 GDPR). Il punteggio di un gioco è il confronto con la risposta indicata dal docente, non una valutazione automatica della persona.

La piattaforma non utilizza sistemi di intelligenza artificiale, e i contenuti dei docenti e i risultati degli studenti non vengono usati per addestrare modelli. Dove l’IA entra nel nostro lavoro — icone, sfondi e oggetti dei giochi, illustrazioni del sito, altre immagini, testi e codice del sito, attività pronte ed esempi dell’editor, testi delle nostre comunicazioni, prime bozze dei materiali del Bazar, animazioni e voce dei video del nostro canale YouTube, sempre con la revisione di una persona — lo dichiariamo per esteso nella pagina Trasparenza sull’intelligenza artificiale, redatta secondo il Regolamento (UE) 2024/1689 (AI Act).

11. Diritti dell’interessato

Ai sensi degli articoli 15-22 del GDPR, hai diritto di:

Accesso — ottenere conferma del trattamento e copia dei tuoi dati
Rettifica — correggere dati inesatti o incompleti
Cancellazione — richiedere la cancellazione dei tuoi dati ("diritto all’oblio")
Limitazione — limitare il trattamento in determinate circostanze
Portabilità — ricevere i tuoi dati in formato strutturato e leggibile
Opposizione — opporti al trattamento basato su legittimo interesse
Revoca del consenso — revocare il consenso in qualsiasi momento

Per esercitare i tuoi diritti scrivici dal modulo di contatto oppure a kumolab.main@gmail.com: non serve avere un account Kumolab, basta lasciare un indirizzo a cui ricontattarti. Rispondiamo entro 30 giorni. Se la richiesta riguarda i dati di uno studente, la strada più breve è passare dalla scuola o dal docente che ha assegnato il compito, perché è chi decide su quei dati (punto 3): noi diamo comunque una mano a rintracciarli.

Hai inoltre il diritto di presentare reclamo all’autorità di controllo italiana (Garante per la protezione dei dati personali — garanteprivacy.it).

12. Sicurezza

Adottiamo misure tecniche e organizzative adeguate per proteggere i dati personali da accesso non autorizzato, perdita o distruzione. Le connessioni sono protette tramite protocollo HTTPS e i file dei materiali del Bazar non sono raggiungibili da alcun indirizzo pubblico: escono solo a chi ha effettuato l’accesso e li ha presi nella propria libreria.

13. Età e minori

Il servizio è rivolto a docenti maggiorenni e l’account è riservato a chi ha compiuto 18 anni. Agli studenti un account non serve e il servizio non è pensato perché se ne creino uno: chi gioca da un compito assegnato entra senza account, come descritto al punto 3.

14. Modifiche alla policy

Ci riserviamo il diritto di aggiornare questa informativa. In caso di modifiche sostanziali, ne daremo comunicazione tramite la piattaforma. La data in cima alla pagina indica sempre l’ultima revisione: ti invitiamo a consultarla periodicamente.

15. Contatti

Per qualsiasi domanda relativa alla privacy, usa il modulo di contatto oppure scrivi a kumolab.main@gmail.com.

Vedi anche: Cookie Policy · Termini di Servizio · Trasparenza IA · Contatti

Privacy Policy