Informativa privacy

Chi è il titolare

Il titolare del trattamento è Andrea Lestingi, Mola di Bari (BA), Italia, persona fisica che sviluppa e gestisce Insieme a titolo privato (non c'è una società dietro).

Per qualsiasi domanda sui tuoi dati scrivi a privacy@getinsieme.it. Rispondiamo entro 30 giorni, di solito molto prima. Non è stato nominato un responsabile della protezione dei dati (DPO), perché per un servizio di queste dimensioni non è obbligatorio.

Quali dati trattiamo

Il tuo account

Email, nome visualizzato, colore scelto, data di registrazione, versione e data dei termini accettati. La password la salviamo solo in forma cifrata con un algoritmo a senso unico (bcrypt): nessuno, nemmeno noi, può leggerla.

Quello che metti nei gruppi

Eventi del calendario (titolo, note, luogo, date), le interrogazioni per cui ti offri volontario, sondaggi e voti, foto e video con la data di scatto e la didascalia, le circolari che carichi, e l'annuario generato a fine percorso. Teniamo anche a quali gruppi appartieni, il tuo ruolo (membro o amministratore) e se hai silenziato le notifiche di un gruppo.

Dalle foto togliamo i metadati prima di salvarle, compresa la posizione GPS: resta solo la data di scatto, che serve a mettere la foto nell'anno scolastico giusto. I video invece vengono salvati così come li carichi: se il tuo telefono registra la posizione nei video, disattivala prima di caricarli.

Il telefono

Se permetti le notifiche, salviamo il codice del telefono che serve a mandartele (token di Firebase Cloud Messaging su Android o di Apple Push Notification service su iPhone) e il tipo di sistema. Lo cancelliamo quando esci dall'account o quando smette di funzionare.

Dati tecnici

Come ogni servizio online, il server registra le richieste che riceve (indirizzo IP, data e ora, indirizzo richiesto, esito). Questi registri servono solo a far funzionare il servizio, a capire i guasti e a difenderci da abusi, e vengono sovrascritti automaticamente quando raggiungono una dimensione limitata.

Se ci scrivi

Nome, email e testo del messaggio che mandi dal modulo contatti o per email.

Non raccogliamo dati di pagamento, contatti della rubrica, posizione del telefono né dati sulla salute. Non chiediamo né vogliamo categorie particolari di dati (art. 9 GDPR): non pubblicarle nei gruppi.

Perché li usiamo e su quale base

Per fare cosa	Base giuridica
Creare e gestire il tuo account, i gruppi, il calendario, l'album, i sondaggi, le circolari e l'annuario	Esecuzione del contratto, cioè dei Termini d'uso che accetti (art. 6.1.b GDPR)
Mandarti le email di servizio: codice di conferma, recupero password, conferma di eliminazione	Esecuzione del contratto (art. 6.1.b)
Mandarti le notifiche push dei tuoi gruppi	Esecuzione del contratto (art. 6.1.b). Le attivi tu dal telefono e le puoi spegnere per ogni gruppo
Spiegare una circolare con l'intelligenza artificiale, quando qualcuno lo chiede	Esecuzione del contratto (art. 6.1.b)
Sicurezza, prevenzione degli abusi, registri tecnici, copie di backup	Legittimo interesse a tenere il servizio sicuro e funzionante (art. 6.1.f)
Rispondere ai tuoi messaggi e alle richieste sui tuoi dati	Esecuzione del contratto o misure richieste da te (art. 6.1.b) e obbligo di legge (art. 6.1.c)
Difendere i nostri diritti o rispondere alle autorità	Obbligo di legge e legittimo interesse (art. 6.1.c e 6.1.f)

Non usiamo i tuoi dati per pubblicità, non facciamo profilazione né decisioni automatizzate che ti riguardano, e non li vendiamo né li cediamo a nessuno.

Chi vede cosa

Gli altri membri del tuo gruppo vedono il tuo nome visualizzato e il tuo colore, quello che pubblichi nel gruppo, a quali interrogazioni ti sei offerto volontario e cosa hai votato nei sondaggi.
L'amministratore del gruppo (uno studente della classe, non noi) può anche togliere contenuti e membri, cambiare il codice invito e le impostazioni del gruppo.
Chi non è nel gruppo non vede niente. Foto e file si aprono solo con link firmati che scadono.
Noi accediamo ai dati solo quando serve per assistenza, sicurezza o manutenzione.

Fornitori che trattano dati per nostro conto

Per far funzionare Insieme ci appoggiamo a pochi fornitori, che trattano i dati solo per il servizio che ci danno, come responsabili del trattamento (art. 28 GDPR) o, dove indicato, come titolari autonomi.

Fornitore	Cosa fa	Dove
Scheggia Cloud	Server virtuale su cui stanno il database, le foto, i video e i file. È l'unico posto dove i dati sono conservati.	Italia
NorthDNS	Posta elettronica: invio delle email di servizio e ricezione dei messaggi a privacy@getinsieme.it. DNS del dominio.	Unione europea
Google (Firebase Cloud Messaging)	Consegna le notifiche ai telefoni Android. Riceve il token del telefono e il testo della notifica (nome del gruppo, nome di chi ha fatto l'azione, titolo dell'evento o numero di foto).	UE e Stati Uniti
Apple (Apple Push Notification service)	Come sopra, per gli iPhone.	UE e Stati Uniti
OpenAI	Solo se l'amministratore attiva le spiegazioni e qualcuno tocca “Spiega con l'AI”: riceve il testo della circolare (un documento pubblico della scuola) e restituisce il riassunto. Non riceve dati degli utenti. Secondo le condizioni di OpenAI per le API, questi dati non vengono usati per addestrare i modelli e sono conservati al massimo 30 giorni per controlli anti-abuso.	Stati Uniti

Google Play e App Store, da cui scarichi l'app, trattano i tuoi dati come titolari autonomi secondo le loro informative.

Dati fuori dall'Unione europea

Google, Apple e OpenAI possono trattare alcuni dati negli Stati Uniti. Il trasferimento è lecito perché queste società aderiscono all'EU-U.S. Data Privacy Framework (decisione di adeguatezza della Commissione europea del 10 luglio 2023) e, in aggiunta, sottoscrivono le clausole contrattuali standard approvate dalla Commissione. Tutto il resto, compresi foto, video e database, resta sul server in Italia.

Per quanto tempo

Account e contenuti: finché hai l'account. Se lo elimini cancelliamo subito il profilo, le foto, i video e le circolari che hai caricato, i tuoi voti e le tue candidature da volontario. Gli eventi e i sondaggi che hai creato restano nel gruppo, perché servono agli altri, ma senza il tuo nome.
Gruppi: quando esce l'ultimo membro il gruppo viene cancellato con tutto il suo contenuto, annuario compreso.
Codici via email: 15 minuti. Sessioni di accesso: 60 giorni dall'ultimo rinnovo.
Token delle notifiche: fino all'uscita dall'account o finché il telefono non lo invalida.
Copie di backup: 7 giorni, poi vengono sovrascritte. Un dato cancellato può quindi restare nei backup fino a 7 giorni.
Messaggi che ci mandi: il tempo necessario a risponderti e comunque non oltre 24 mesi.

Età minima

Insieme è pensata per studenti delle scuole superiori. Per registrarti devi avere almeno 14 anni: è l'età da cui in Italia si può dare da soli il consenso per i servizi online (art. 2-quinquies del Codice privacy). Se scopriamo che un account appartiene a una persona più giovane lo cancelliamo. Se sei un genitore e pensi che tuo figlio sotto i 14 anni si sia registrato, scrivici a privacy@getinsieme.it.

I tuoi diritti

In ogni momento puoi chiedere di:

accedere ai tuoi dati e averne una copia (art. 15);
correggerli (art. 16): nome e colore li cambi da solo nell'app;
cancellarli (art. 17): dall'app, in Gruppo → Privacy e account → Elimina account, oppure dalla pagina Elimina l'account di questo sito;
limitarne il trattamento (art. 18) od opporti ai trattamenti basati sul legittimo interesse (art. 21);
riceverli in un formato leggibile e portarli altrove (art. 20): nell'app, Gruppo → Privacy e account → Scarica i miei dati.

Per tutto il resto scrivi a privacy@getinsieme.it. Potremmo chiederti di confermare la richiesta dall'email del tuo account, per essere sicuri che sia tu.

Se pensi che trattiamo i tuoi dati in modo scorretto puoi fare reclamo al Garante per la protezione dei dati personali o all'autorità del Paese europeo in cui vivi o lavori.

Come proteggiamo i dati

Tutte le connessioni tra app, sito e server sono cifrate (HTTPS).
Le password sono salvate solo come hash bcrypt; i codici via email come hash e con un numero limitato di tentativi.
Ogni richiesta controlla che tu faccia parte del gruppo; i file si aprono solo con link firmati e a tempo.
Il database non è raggiungibile da internet; le chiavi dei servizi esterni stanno solo sul server, mai nell'app.
Backup giornalieri, aggiornamenti regolari e limiti contro i tentativi ripetuti di accesso.

Nessun sistema è sicuro al cento per cento. Se succedesse una violazione dei dati che ti mette a rischio, avviseremo il Garante e te, come previsto dagli artt. 33 e 34 GDPR.

Il sito getinsieme.it

Il sito non usa cookie, non ha statistiche, pixel o strumenti di tracciamento e non carica risorse da altri siti: anche i caratteri sono sul nostro server. I dettagli sono nella pagina Cookie.

Modifiche

Se cambiamo questa informativa aggiorniamo la data in alto. Se le modifiche sono importanti te lo diciamo nell'app o per email prima che entrino in vigore.