Privacy Policy

1. Titolare del trattamento

Il titolare del trattamento dei dati è Kumolab, che gestisce il sito kumolab.it e il negozio di materiali didattici raggiungibile allo stesso indirizzo. Puoi contattarci in qualsiasi momento dal modulo di contatto oppure scrivendo a kumolab.main@gmail.com. Non abbiamo nominato un Responsabile della protezione dei dati (DPO): non rientriamo nei casi in cui l’art. 37 del GDPR lo rende obbligatorio.

2. Tipologie di dati raccolti

Raccogliamo solo i dati che ci servono per farti usare la piattaforma, per consegnarti ciò che acquisti e per risponderti. Nel dettaglio:

• Docenti con account — nome e cognome, indirizzo email e immagine del profilo, forniti da Google al momento dell’accesso (l’unico modo di registrarsi è Google: non chiediamo né conserviamo password)
• Contenuti che crei — attività didattiche, compiti assegnati, recensioni della piattaforma e dei materiali. Un’attività resta privata finché sei tu a pubblicarla nella community
• Chi acquista nel Bazar — email dell’account, ordine (materiale, importo, data), identificativi Stripe della transazione, Paese di fatturazione risolto da Stripe ai fini IVA e diritti di download associati all’account. I dati della carta non transitano mai dai nostri server: li tratta direttamente Stripe
• Chi ci scrive dal form contatti — nome, indirizzo email e testo del messaggio
• Chi compila la richiesta per istituti — nome, email, istituto e testo della richiesta. Il form è in homepage e non richiede un account
• Chi si iscrive alla newsletter — indirizzo email, con consenso esplicito e conferma tramite email
• Chi gioca senza account — un identificativo casuale generato dal tuo browser (kumolab_guest_id), che serve solo a contare le attività di prova gratuite e non è collegato a nome, email o altri dati identificativi
• Provenienza della registrazione — se arrivi da una nostra campagna, i parametri utm_* del link cliccato restano in un cookie per 7 giorni e, se ti registri, vengono salvati sull’account per sapere quale campagna funziona. Non contengono dati tuoi: dicono quale nostro link è stato aperto
• Dati di navigazione e utilizzo — statistiche aggregate raccolte tramite cookie analitici e, se lo consenti, misurazione delle campagne tramite Meta Pixel. Entrambi solo con il tuo consenso, categoria per categoria

3. Studenti: quali dati, e di chi è la responsabilità

Gli studenti che aprono un’attività dal link o dal codice di un compito (/assign/[codice]) non si registrano, non ricevono alcun identificativo nel browser e non vengono profilati in alcun modo.

Quello che viene salvato è solo l’esito del gioco — punteggio, tempo impiegato, risposte date — e, se il docente ha scelto di chiederlo, il nome digitato dallo studente, che serve all’insegnante per riconoscere la consegna. È un campo libero e non verificato: può essere un nome di battesimo, un soprannome o un numero, e la scelta spetta a chi assegna il compito. Il risultato è visibile solo al docente che ha creato l’attività.

Chi decide, decide a scuola. Rispetto ai dati degli studenti il titolare del trattamento è l’istituzione scolastica (o il docente che agisce per essa), che sceglie quali attività assegnare e se chiedere un nome; Kumolab li tratta soltanto per suo conto, come responsabile del trattamento ai sensi dell’art. 28 del GDPR, e non li usa per finalità proprie. Restano in capo alla scuola l’informativa alle famiglie e la base giuridica del trattamento. Se il vostro istituto ha bisogno dell’accordo scritto previsto dall’art. 28, richiedetelo dal modulo di contatto: ve lo inviamo.

Il docente può cancellare in qualsiasi momento un compito o un’attività: con essi spariscono i risultati collegati. Kumolab non contatta mai gli studenti, non invia loro email e non mostra pubblicità.

4. Finalità del trattamento

• Creazione e gestione dell’account docente
• Erogazione del servizio (creazione attività, gestione compiti e risultati)
• Gestione dei pagamenti, degli abbonamenti e degli ordini del Bazar (tramite Stripe)
• Consegna dei materiali acquistati nella libreria dell’account e loro riscaricamento nel tempo
• Adempimenti contabili e fiscali legati alle vendite
• Invio di comunicazioni transazionali (benvenuto, conferma abbonamento, conferma d’ordine, annullamento)
• Risposta alle richieste inviate dal form contatti e dal form per istituti
• Invio della newsletter, solo a chi ha dato il proprio consenso
• Conteggio delle attività di prova per chi gioca senza account
• Analisi aggregate sull’utilizzo della piattaforma (solo con consenso, tramite Google Analytics GA4)
• Misurazione dell’efficacia delle nostre campagne su Facebook e Instagram (solo con consenso, tramite Meta Pixel)
• Sicurezza della piattaforma, prevenzione degli abusi e limitazione delle richieste automatiche

5. Base giuridica

• Esecuzione del contratto (art. 6.1.b GDPR): per l’erogazione del servizio, la gestione dell’account, l’abbonamento Premium e la consegna dei materiali acquistati nel Bazar
• Obbligo legale (art. 6.1.c GDPR): per la conservazione dei documenti contabili e fiscali relativi agli acquisti
• Consenso (art. 6.1.a GDPR): per i cookie analitici, per i cookie di marketing e per la newsletter. Puoi revocarlo in qualsiasi momento, senza che questo pregiudichi la liceità del trattamento svolto prima della revoca
• Legittimo interesse (art. 6.1.f GDPR): per rispondere alle richieste che ci invii, per la sicurezza della piattaforma, la prevenzione di abusi e per sapere da quale nostra campagna arriva una registrazione
• Per conto del titolare (art. 28 GDPR): per i dati degli studenti inseriti dal docente o dalla scuola, secondo quanto scritto al punto 3

6. Conservazione dei dati

• Account e contenuti — per tutta la durata dell’account. Alla cancellazione, i dati vengono eliminati entro 30 giorni insieme alle attività, ai compiti e ai risultati collegati
• Risultati dei giochi — finché esiste l’attività o il compito a cui appartengono: è il docente a decidere quando cancellarli
• Ordini e documenti contabili — 10 anni, come impone la legge italiana per le scritture contabili (art. 2220 del Codice civile). Restano anche dopo la chiusura dell’account, nella misura necessaria a quell’obbligo
• Diritti di download dei materiali — finché esiste l’account: è ciò che ti permette di riscaricare fra due anni quello che hai comprato oggi
• Richieste dai form — nella nostra casella di posta, per il tempo necessario a gestirle e a dimostrare di averlo fatto
• Newsletter — fino alla revoca dell’iscrizione
• Identificativo di prova degli ospiti — 365 giorni, la durata del cookie

7. Condivisione dei dati

I dati possono essere condivisi con i seguenti servizi terzi:

• Google — autenticazione OAuth e, con il tuo consenso, Analytics GA4
• Stripe — elaborazione dei pagamenti di abbonamenti e acquisti, calcolo dell’IVA ed emissione della ricevuta (i dati di pagamento non transitano sui nostri server)
• Resend — invio delle email transazionali e consegna dei messaggi inviati dai form
• Mailchimp (Intuit Inc., Stati Uniti) — invio della newsletter e delle comunicazioni di servizio. Riceve indirizzo email e nome. L’iscrizione richiede il tuo consenso esplicito e una conferma via email, e puoi revocarla in qualsiasi momento dal link presente in fondo a ogni messaggio
• Meta Platforms — solo se acconsenti alla categoria «marketing»: il Meta Pixel comunica a Meta le pagine viste e alcune azioni compiute sul sito (registrazione, acquisto), per misurare le nostre campagne su Facebook e Instagram. Senza il tuo consenso lo script non viene nemmeno caricato e nessuna richiesta parte dal tuo browser
• Google Classroom — solo se colleghi il tuo account Classroom con il piano Premium: in quel caso creiamo i compiti nei corsi che scegli tu
• Fornitore di hosting — i server su cui gira la piattaforma e su cui risiede il database

Questi fornitori trattano i dati per nostro conto e secondo le nostre istruzioni, in qualità di responsabili del trattamento. Non vendiamo né cediamo i tuoi dati personali a terzi per finalità di marketing proprie di questi ultimi.

8. Trasferimenti fuori dall’Unione Europea

Alcuni dei fornitori elencati sopra (Google, Stripe, Meta, Mailchimp, Resend) sono società statunitensi o si appoggiano a infrastrutture fuori dallo Spazio economico europeo. Il trasferimento avviene sulla base delle clausole contrattuali standard approvate dalla Commissione europea e, ove il fornitore vi aderisca, del Data Privacy Framework UE-USA, con le garanzie supplementari previste dai rispettivi accordi. Puoi chiederci copia delle garanzie adottate dal modulo di contatto.

9. Cookie e memoria del browser

La piattaforma utilizza:

• Cookie tecnici necessari — sessione NextAuth (indispensabili per il funzionamento)
• Cookie analitici — Google Analytics GA4 (solo con il consenso dell’utente)
• Cookie di marketing — Meta Pixel (solo con il consenso dell’utente)
• Memoria locale del browser — la tua scelta sui cookie e l’identificativo di prova kumolab_guest_id per chi gioca senza account

L’elenco completo, con durate e finalità di ciascuna chiave, è nella Cookie Policy. Puoi cambiare idea in qualsiasi momento da «Gestisci cookie», in basso a sinistra su ogni pagina.

10. Decisioni automatizzate e intelligenza artificiale

Non effettuiamo processi decisionali automatizzati, compresa la profilazione, che producano effetti giuridici o incidano in modo analogamente significativo su di te o sui tuoi studenti (art. 22 GDPR). Il punteggio di un gioco è il confronto con la risposta indicata dal docente, non una valutazione automatica della persona.

La piattaforma non utilizza sistemi di intelligenza artificiale, e i contenuti dei docenti e i risultati degli studenti non vengono usati per addestrare modelli. Dove l’IA entra nel nostro lavoro — illustrazioni, testi delle nostre comunicazioni, prime bozze dei materiali del Bazar — lo dichiariamo per esteso nella pagina Trasparenza sull’intelligenza artificiale, redatta secondo il Regolamento (UE) 2024/1689 (AI Act).

11. Diritti dell’interessato

Ai sensi degli articoli 15-22 del GDPR, hai diritto di:

• Accesso — ottenere conferma del trattamento e copia dei tuoi dati
• Rettifica — correggere dati inesatti o incompleti
• Cancellazione — richiedere la cancellazione dei tuoi dati ("diritto all’oblio")
• Limitazione — limitare il trattamento in determinate circostanze
• Portabilità — ricevere i tuoi dati in formato strutturato e leggibile
• Opposizione — opporti al trattamento basato su legittimo interesse
• Revoca del consenso — revocare il consenso in qualsiasi momento

Per esercitare i tuoi diritti scrivici dal modulo di contatto oppure a kumolab.main@gmail.com: non serve avere un account Kumolab, basta lasciare un indirizzo a cui ricontattarti. Rispondiamo entro 30 giorni. Se la richiesta riguarda i dati di uno studente, la strada più breve è passare dalla scuola o dal docente che ha assegnato il compito, perché è chi decide su quei dati (punto 3): noi diamo comunque una mano a rintracciarli.

Hai inoltre il diritto di presentare reclamo all’autorità di controllo italiana (Garante per la protezione dei dati personali — garanteprivacy.it).

12. Sicurezza

Adottiamo misure tecniche e organizzative adeguate per proteggere i dati personali da accesso non autorizzato, perdita o distruzione. Le connessioni sono protette tramite protocollo HTTPS, i dati di pagamento sono gestiti direttamente da Stripe e i file dei materiali acquistati non sono raggiungibili da alcun indirizzo pubblico: escono solo dopo il controllo del diritto di chi li richiede.

13. Età e minori

Il servizio è rivolto a docenti maggiorenni e l’account può essere creato solo da chi ha compiuto 18 anni. Non è previsto — né tecnicamente possibile — che uno studente si registri: chi gioca da un compito assegnato entra senza account, come descritto al punto 3.

14. Modifiche alla policy

Ci riserviamo il diritto di aggiornare questa informativa. In caso di modifiche sostanziali, ne daremo comunicazione tramite la piattaforma. La data in cima alla pagina indica sempre l’ultima revisione: ti invitiamo a consultarla periodicamente.

15. Contatti

Per qualsiasi domanda relativa alla privacy, usa il modulo di contatto oppure scrivi a kumolab.main@gmail.com.