Informativa Privacy

INFORMATIVA PRIVACY “CLASSEVIVA EXTRA”

ai sensi degli art. 13 del Regolamento (UE) 2016/679 in materia di protezione dei dati personali

0. Premessa

Il presente addendum costituisce informativa su come Spaggiari gestisce il sito www.classevivaextra.com e il relativo applicativo (d’ora in avanti, unitamente anche solo “EXTRA” o “la Piattaforma”) in relazione al trattamento dei dati personali riferibili a utenti/clienti che vi accedono.

Il presente addendum attiene espressamente ed esclusivamente a EXTRA e non si riferisce al trattamento dei dati degli utenti eseguito all’interno delle differenti soluzioni dotate di Registro elettronico “ClasseViva” accessibili tramite app ovvero tramite l’indirizzo https://web.spaggiari.eu da cui EXTRA risulta logicamente e fisicamente del tutto autonomo e indipendente.

Per tutto ciò che non è espressamente disciplinato dal presente addendum, si fa rinvio a quanto contenuto nell’informativa privacy Gruppo Spaggiari Parma.

1. Ruoli di Spaggiari rispetto ai trattamenti di dati

Spaggiari agisce in qualità di titolare del trattamento con riferimento a tutte le attività di trattamento di dati eseguite all’interno di EXTRA. Le uniche eccezioni a tale regola generale sono le seguenti:

• Acquisti beni e servizi tramite fornitori terzi. Una volta individuato il servizio esterno o il bene da acquistare, solitamente l’utente viene reindirizzato sul sito del partner il quale, in qualità di titolare del trattamento separato, si occuperà di fornire apposita informativa al momento della raccolta dei dati. In alcuni casi è però possibile che l’operazione di raccolta avvenga sulla piattaforma EXTRA la quale, in tal caso, invia i dati al partner solo previo apposito consenso dell’utente. Anche in questo caso, una volta inviati i dati, il partner agisce come titolare del tutto autonomo rispetto a Spaggiari.
• Transazioni economiche. In caso di transazioni economiche sulla Piattaforma, per mezzo dei sistemi di gestori di pagamento (es. carte di credito e simili), questi soggetti raccoglieranno e tratteranno i dati in qualità di titolari del trattamento autonomi, inviando a Spaggiari solo un codice di transazione utile per gestire eventuali contenziosi o reclami.
• Cookie e traccianti. Vedi sezione 2 della presente informativa.
• Comunicazioni transazionali/notifiche. Le comunicazioni transazionali sono messaggi strettamente necessari per l’esecuzione di un contratto o per fornire un servizio richiesto dall’utente (es. conferme d’ordine, notifiche di spedizione, avvisi di pagamento, gestione di richieste o assistenza tecnica).

2. Cookie e traccianti

Con riferimento al sito www.classevivaextra.com il Titolare utilizza i cookie indicati in maniera espressa su apposita cookie policy rinvenibile sul sito stesso, ove è anche possibile esprimere la propria preferenza in merito a quali cookie utilizzare o meno.

Con riferimento all’app, i sistemi, nel corso del loro normale funzionamento, acquisiscono dati di navigazione che potrebbero consentire l’identificazione dell’utente (ad esempio: informazioni e parametri sul sistema operativo e sul dispositivo informatico impiegato dall’utente) per garantire il corretto funzionamento e il miglioramento delle funzionalità dell’app, anche attraverso l’uso di servizi di terze parti.

Nome	Proprietà	Tipologia	Funzione	Informativa
Crashlytics	Google Ireland Limited	TECNICO	Rilevazione bug/errori	https://policies.google.com/privacy
Firebase Cloud Messaging	Google Ireland Limited	TECNICO	Invio notifiche all'utente	https://policies.google.com/privacy
Google Analytics for Firebase	Google Ireland Limited	ANALITICO ANONIMIZZATO	Statistico	https://policies.google.com/privacy
Apple Push Notification Service	Apple Italia S.r.l.	TECNICO	Invio notifiche all'utente	https://developer.apple.com/app-store/app-privacy-details

 

3. Finalità, base giuridica e periodo di conservazione

Di seguito sono riportate le informazioni specifiche per ciascuna delle funzionalità della Piattaforma. Spaggiari declina ogni responsabilità in merito a servizi di terzi raggiungibili tramite collegamenti ipertestuali. La tipologia e le modalità di trattamento dei dati personali da parte di soggetti esterni sono regolati in conformità all'informativa resa dagli stessi.

Finalità	Tipologia dati	Base giuridica art. 6	Conservazione
Creazione account e uso app	Dati anagrafici	Art. 6. 1 b) GDPR Obbligo contrattuale/richiesta precontrattuale	24 mesi dall’ultima interazione con la Piattaforma
Age verification	Time stamp, IP e altri dati utili a identificare con certezza l’utente	Art. 6. 1 c) GDPR Obbligo di legge	10 anni dalla dichiarazione dell’utente
Comunicazioni di marketing, via e-mail, sms, whatsapp e telefono	Dati di contatto	Art. 6. 1 a) GDPR Consenso	24 mesi dal conferimento consenso
Notifiche push per finalità di marketing	Dati necessari per l’invio notifica	Art. 6. 1 a) GDPR Consenso	24 mesi dal conferimento consenso
Soft Spam per finalità di marketing	Dati di contatto	Art. 6. 1 f) GDPR Legittimo interesse	24 mesi dall’ultimo acquisto
Profilazione utente per finalità di marketing	Dati derivanti dalle scelte utente	Art. 6. 1 a) GDPR Consenso	12 mesi dal conferimento consenso
Comunicazioni transazionali via mail e via notifiche push (no marketing)	Dati di contatto e dati necessari per l’invio notifica	Art. 6. 1 b) GDPR Obbligo contrattuale/richiesta precontrattuale	24 mesi dall’ultima interazione con la Piattaforma
Registrazione dei consensi e scelte utente	Time stamp, IP e altri dati utili a identificare con certezza l’utente	Art. 6. 1 c) GDPR Obbligo di legge	10 anni dalla preferenza espressa
Invio dati ai partner per finalizzare servizi	Dati necessari per finalizzare i servizi richiesti	Art. 6. 1 a) GDPR Consenso e Art. 6. 1 b) GDPR Obbligo contrattuale/richiesta precontrattuale	N.A.
Pagamenti	Dati relativi agli strumenti di pagamento	Art. 6. 1 b) GDPR Obbligo contrattuale/richiesta precontrattuale	10 anni dall’acquisto
Tenuta contabilità e documenti contrattuali	Dati anagrafici e di contatto	Art. 6. 1 c) GDPR Obbligo di legge	10 anni dall’acquisto
Sincronizzazione open data	Dati relativi alla scuola dello studente	Art. 6. 1 b) GDPR Obbligo contrattuale/richiesta precontrattuale	12 mesi dalla sincronizzazione
Difesa in giudizio	Dati necessari ai fini di difesa	Art. 6. 1 f) GDPR Legittimo interesse alla difesa in giudizio	5 anni dalla ultima interazione con la Piattaforma
Trasferimenti per operazioni straordinarie	Dati necessari per eventuali operazioni straordinarie	Art. 6. 1 f) GDPR Legittimo interesse	La data retention segue la policy riferibile alla singola tipologia di dati
Obblighi di legge	Dati trattati per motivi di legge	Art. 6. 1 c) GDPR Obbligo di legge	La data retention segue la policy riferibile alla singola tipologia di dati

 

In particolare, con riferimento ai trattamenti di cui sopra si precisa quanto segue:

Creazione account e uso dell’app

I dati personali sono trattati per consentire all’utente di registrarsi, creare un account personale e accedere alle funzionalità offerte dalla Piattaforma.

Age verification

I dati sono trattati per verificare l’età dell’utente e assicurare che l’accesso all’app sia consentito esclusivamente a soggetti di età pari o superiore a 14 anni, in conformità alle policy interne e alle raccomandazioni normative relative alla tutela dei minori.

Comunicazioni di marketing

I dati possono essere trattati, previo consenso, per inviare all’utente comunicazioni informative, promozionali o pubblicitarie relative a prodotti e servizi offerti dal Titolare, attraverso e-mail, notifiche push o altri canali digitali.

Notifiche push per finalità di marketing

Le notifiche push sono messaggi istantanei inviati dall'app al dispositivo dell'utente, anche quando l'app non è attiva, per fornire messaggi commerciali, aggiornamenti, promemoria o comunicazioni rilevanti. A tal riguardo, si ricorda che, a prescindere dal consenso, l’utente potrà ricevere la notifica solo ove abbia effettivamente abilitato il proprio device in tal senso.

Soft spam

I dati di contatto dell’utente potranno essere utilizzati per l’invio di comunicazioni promozionali relative a prodotti o servizi analoghi a quelli già acquistati o fruiti, sulla base del legittimo interesse del Titolare e nei limiti consentiti dall’art. 130, comma 4 del D. Lgs. 196/2003 (Codice Privacy).

Profilazione dell’utente

I dati possono essere trattati, previo consenso esplicito, per analizzare le preferenze, i comportamenti e gli interessi dell’utente al fine di migliorare la personalizzazione dei contenuti e l’efficacia delle comunicazioni commerciali.

Comunicazioni transazionali (no marketing)

I dati sono trattati per l’invio di comunicazioni necessarie alla gestione operativa del servizio, come conferme di registrazione, notifiche di sistema, aggiornamenti tecnici, ricevute di pagamento e altri messaggi funzionali all’erogazione del servizio.

Registrazione dei consensi e delle scelte dell’utente

I dati sono utilizzati per documentare e gestire i consensi forniti dall’utente in relazione a finalità facoltative (es. marketing, profilazione), nonché per registrare preferenze, impostazioni e scelte relative alla configurazione dell’account.

Invio dati ai partner per finalizzare servizi

Alcuni dati personali possono essere condivisi con soggetti terzi (partner contrattuali del Titolare) per consentire l’erogazione di servizi integrati richiesti dall’utente, nel rispetto dei principi di necessità, minimizzazione e trasparenza.

Pagamenti

I dati personali, anche di natura finanziaria, sono trattati per consentire la gestione dei pagamenti relativi ai servizi a pagamento disponibili nell’app, tramite piattaforme terze.

Tenuta contabilità e documenti contrattuali

Gestione e conservazione di documentazione amministrativa, fiscale e contrattuale, ai fini dell’adempimento di obblighi di legge e contrattuali.

Open Data

L’utente ha la facoltà di inserire i dati relativi al proprio istituto scolastico in modo da consentire la proposizione dei soli strumenti scolastici pensati per la sua classe. Tali dati sono aperti al pubblico e sono scaricabili, a QUESTO INDIRIZZO

Difesa in giudizio

I dati personali potranno essere trattati, ove necessario, per accertare, esercitare o difendere un diritto del Titolare in sede giudiziaria o stragiudiziale, anche in relazione a eventuali contenziosi o contestazioni da parte degli utenti o di terzi.

Operazioni straordinarie

In caso di operazioni straordinarie (es. fusioni, acquisizioni, cessioni di ramo d’azienda), i dati potranno essere trattati per consentire la valutazione e la gestione dell’operazione, nel rispetto della normativa applicabile e garantendo, ove necessario, adeguate misure di informazione o anonimizzazione.

Obblighi di legge

I dati sono trattati qualora necessario per adempiere a obblighi previsti da leggi, regolamenti o dalla normativa dell’Unione europea applicabile, o da ordini provenienti da autorità competenti.

4. Tipologie di dati trattati

Nel rispetto del principio di privacy by design e in piena conformità al principio di minimizzazione dei dati di cui all’articolo 5, paragrafo 1, lettera c) del GDPR, Spaggiari ha proceduto a un’accurata valutazione della necessità e proporzionalità di ciascun dato personale richiesto all’utente.

A seguito di tale analisi:

• i dati ritenuti superflui rispetto alle finalità perseguite sono stati completamente eliminati dai moduli e dai flussi di raccolta;
• i dati utili ma non strettamente necessari sono stati mantenuti su base facoltativa, lasciando all’utente la libertà di fornirli o meno;
• i dati indispensabili per l’erogazione del servizio sono stati qualificati come obbligatori e vengono richiesti come prerequisito per l’utilizzo della piattaforma;
• I dati sensibili/particolari non sono stati inseriti nel novero dei dati trattati dalla Piattaforma.

Di seguito si riporta l’elenco dei principali dati personali oggetto di trattamento da parte della piattaforma EXTRA.

Si precisa che, in ogni caso, il trattamento dei dati avverrà esclusivamente laddove sia presente una valida base giuridica, tra quelle previste dal Regolamento (UE) 2016/679.

Ad esempio, un dato può essere considerato necessario per una specifica finalità, ma, qualora tale finalità fosse fondata sul consenso dell’interessato e quest’ultimo non venisse prestato, il trattamento non sarà avviato e la raccolta stessa del dato non avrà luogo.

Tale impostazione riflette l’impegno di Spaggiari nel garantire un trattamento conforme ai principi di liceità, correttezza, trasparenza e minimizzazione, evitando la raccolta o l’elaborazione di dati in assenza dei presupposti di legittimità richiesti dal GDPR.

NOME PROPERTY	OBBLIGO	Finalità della raccolta	Beneficio per l'utente
id	yes	Identificazione univoca del record utente	Garantisce una gestione precisa del proprio profilo
nome	no	Personalizzazione dell’esperienza utente	Ricezione di comunicazioni personalizzate
cognome	no	Personalizzazione dell’esperienza utente	Ricezione di comunicazioni personalizzate
data di nascita	yes	Verifica dell’età utenti	In caso di utente under 18 è automaticamente esclusa ogni attività di profilazione. Gli utenti under 14 non sono ammessi sulla Piattaforma
e-mail	yes	Contatto diretto per comunicazioni	Ricezione di aggiornamenti, offerte e informazioni richieste
telefono	no	Contatto diretto per comunicazioni	Supporto rapido e assistenza personalizzata, ricezione di comunicazioni commerciali
log_presa_visione/consensi	yes	Adempimento obblighi di compliance	Trasparenza e controllo sui propri dati
IP	yes	Sicurezza e protezione	Tutela della sicurezza e dei dati personali
classe	no	Personalizzazione dell’offerta formativa	Offerte e contenuti calibrati sull’anno scolastico
registrazione_date	yes	Storico della creazione account	Recupero della propria cronologia
Immagine profilo	no	Personalizzazione della esperienza utente	Pubblicazione e visione solo all'utente stesso

 

5. Conseguenze nel rifiuto di fornire dati o consenso

Si precisa che, con riferimento ai trattamenti basati su obblighi di legge, il mancato conferimento dei dati richiesti potrà comportare l’impossibilità di accedere alla Piattaforma o di usufruire dei servizi connessi, in quanto il trattamento risulterebbe giuridicamente necessario.

Per quanto riguarda i trattamenti fondati sull’esecuzione di un contratto o di misure precontrattuali, il conferimento dei dati personali è da considerarsi facoltativo, ma l’eventuale rifiuto potrà comportare l’impossibilità di fruire, in tutto o in parte, del servizio richiesto, nella misura in cui i dati siano strumentali alla sua corretta erogazione.

Infine, in relazione ai trattamenti fondati sul consenso dell’interessato, si evidenzia che il mancato conferimento del consenso non pregiudica l’accesso alla Piattaforma, ma impedisce l’attivazione dello specifico trattamento basato su tale base giuridica (ad esempio: marketing, profilazione, notifiche push). Resta fermo il diritto dell’utente di revocare in qualsiasi momento il consenso prestato, senza che ciò incida sulla liceità del trattamento effettuato anteriormente alla revoca, conformemente all’art. 7, par. 3 del GDPR.

6. Social login. Informazioni ex art. 14 GDPR

Da ultimo, si precisa che all’utente è data la possibilità di accedere tramite social login. La Piattaforma consente l’accesso attraverso sistemi di autenticazione esterni forniti da Apple e Google. In caso di utilizzo di tali modalità di accesso, i dati personali non sono raccolti direttamente presso l’interessato, ma sono comunicati alla Piattaforma da Apple o Google, i quali agiscono in qualità di titolari autonomi del trattamento, trasferendo i dati sulla base della richiesta dell’interessato di procedere all’autenticazione.

In particolare, possono essere trasmessi alla Piattaforma dati quali il nome, l’indirizzo email (solo ove previsto e autorizzato) e un identificativo univoco. Tale identificativo è specifico per ciascun sviluppatore, in modo da impedire la tracciabilità tra applicazioni diverse.

I dati in questione non provengono da fonti accessibili al pubblico, ma da sistemi di autenticazione controllati da Apple e Google, su autorizzazione dell’interessato.

Per approfondire il funzionamento del social login di Apple clicca QUI

Per approfondire il funzionamento del social login di Google clicca QUI

7. Utilizzo di API connesse a Sistemi di Intelligenza Artificiale

All’interno di alcune funzionalità di EXTRA, Spaggiari potrebbe avvalersi di interfacce applicative (API) fornite da sistemi di Intelligenza Artificiale di soggetti terzi (di seguito, il “servizio esterno”, es. OpenAI, Google Gemini). Quando ciò avviene, tale circostanza sarà sempre chiaramente segnalata all’utente in modo inequivocabile. L’utente, una volta informato, potrà decidere se accedere o meno al servizio in questione. In tal senso il trattamento è strettamente correlato all’obbligo contrattuale insito nella richiesta di tale servizio.

I sistemi di AI non sono utilizzati per effettuare decisioni automatizzate ai sensi dell’art. 22 del GDPR, né per generare giudizi o valutazioni automatizzate che producano effetti giuridici o significativi sull’interessato.

7.1 Finalità e modalità di funzionamento

Le API costituiscono un canale di interscambio tra due sistemi informatici distinti, consentendo il dialogo tra l’Applicativo e le piattaforme esterne di AI. In particolare, nel contesto dei servizi utilizzati (es. chatbot, mappe logiche, generazione testi), le API permettono di trasmettere in tempo reale input da parte dell’utente e ricevere output generati dal sistema AI, secondo un meccanismo strutturato di richiesta e risposta.

In particolare, Spaggiari si avvale di API fornite da sistemi di Intelligenza Artificiale di soggetti terzi per le funzionalità “Mappe concettuali” ed “Equazioni” (servizi di supporto allo studio) all’interno di EXTRA. Queste funzionalità non sono pensate per trattare dati personali ulteriori rispetto a quelli trattati da EXTRA per le finalità e secondo le basi giuridiche indicate al precedente paragrafo 7, ma il caricamento di testi e immagini da parte dell’utente potrebbe comportare il trattamento di dati personali ivi contenuti.

In ogni caso, Spaggiari si è dotata di guardrail adeguati a tutelare gli eventuali dati personali oggetto di trattamento anche da API di fornitori di sistemi di Intelligenza Artificiale.

7.2 Ruoli nel trattamento

Spaggiari agisce in qualità di Titolare del trattamento dei dati personali eventualmente conferiti, mentre il servizio esterno (es: OpenAI, Google Gemini) agisce come Responsabile del trattamento, ai sensi dell’art. 28 GDPR. In tale configurazione:

• Spaggiari determina le finalità e i mezzi del trattamento;
• il servizio esterno elabora i dati esclusivamente secondo istruzioni documentate da Spaggiari e sulla base di un apposito accordo di nomina.

7.3 Proprietà e trattamento dei dati

Tutti i dati, le richieste e le informazioni (di seguito “Input”) trasmessi da Spaggiari tramite le API restano di proprietà esclusiva di Spaggiari, così come i contenuti generati in risposta (“Output”).

Secondo quanto dichiarato dal servizio esterno:

• gli Input non vengono utilizzati per addestrare o migliorare i modelli di AI, salvo consenso esplicito;
• gli Input sono trattati esclusivamente per fornire i servizi richiesti, ad esempio per generare risposte coerenti ai prompt ricevuti;
• i sistemi possono generare log tecnici e di sicurezza, contenenti anche dati e metadati forniti da Spaggiari, per finalità di controllo, auditing e prevenzione di abusi, con un periodo di conservazione massimo di 30 giorni (salvo obblighi di legge);
• tali log non sono utilizzati per finalità commerciali o di profilazione.

Inoltre, il servizio esterno si obbliga a:

• non “vendere” né “condividere” i dati personali trattati, secondo le definizioni contenute nelle normative USA (es. CCPA);
• non corrispondere alcun compenso per l’utilizzo dei dati forniti da Spaggiari;
• elaborare dati anonimizzati, pseudonimizzati o aggregati – non più riconducibili a Spaggiari o agli utenti – per il miglioramento generale dei propri servizi.

7.4 Conservazione dei dati

I dati trattati tramite le API sono conservati per un massimo di trenta (30) giorni, salvo diversa previsione normativa. Qualora il servizio esterno sia obbligato a conservarli più a lungo per finalità legali o regolamentari, tali dati saranno isolati e protetti da ulteriori trattamenti, eccetto quelli strettamente necessari.

7.5 Trasferimenti internazionali e Data Residency

L’utilizzo delle API può comportare il trasferimento dei dati personali verso Paesi terzi, tra cui gli Stati Uniti, dove ha sede parte dell’infrastruttura del servizio esterno.

Tale trasferimento avviene sulla base del Data Privacy Framework e, in subordine (in caso di perdita di efficacia) delle Clausole Contrattuali Standard (SCCs) adottate dalla Commissione Europea, incluse nel Data Processing Addendum (DPA) del fornitore.

8. Destinatari dei dati

I dati personali potranno essere comunicati e conosciuti a/da: dipendenti e lavoratori subordinati e, in genere, al personale di Spaggiari, che opereranno in qualità di soggetti autorizzati al trattamento dei dati personali, appositamente istruiti da Spaggiari.

I dati dell’utente potranno essere trattati anche da fornitori di servizi per la gestione dei sistemi informatici (ad es. per la manutenzione dell’infrastruttura IT), tali soggetti opereranno in qualità di responsabili/subresponsabili del trattamento appositamente nominati dal Titolare o dal Responsabile ai sensi dell’art. 28 del GDPR, elencati di seguito.

Nome	Finalità	Ruolo
Stardata S.r.l.	Relativamente all'erogazione tecnica dei servizi informatici e manutenzione dell'infrastruttura IT	Responsabile del trattamento dati personali (ex art. 28 del GDPR)
Akamai Technologies S.r.l.	Relativamente all'erogazione dei servizi di Content Delivery Network "CDN". Per maggiori dettagli si rimanda all'informativa di terze parti: https://www.akamai.com/it/legal/compliance/privacytrust-center	Responsabile del trattamento dati personali (ex art. 28 del GDPR)
TIM	Relativamente all’infrastruttura del data center	Responsabile del trattamento dati personali (ex art. 28 del GDPR)
Aruba	Relativamente alla funzione di disaster recovery	Responsabile del trattamento dati personali (ex art. 28 del GDPR)
Amazon Web Services Inc	Relativamente al sistema di archiviazione	Responsabile del trattamento dati personali (ex art. 28 del GDPR)
Hetzner	Cache autenticata / protetta (non pubblica) – cdndoc.spaggiari.eu	Responsabile del trattamento dati personali (ex art. 28 del GDPR)
CloudFlare	Relativamente ai contenuti statici disponibili sull’App (es. font, loghi, immagini)	Responsabile del trattamento dati personali (ex art. 28 del GDPR)
HubSpot	Relativamente all'erogazione dei servizi di comunicazione e alle comunicazioni transazionali	Responsabile del trattamento dati personali (ex art. 28 del GDPR)

 

Oltre ai destinatari sopra indicati, come si diceva più sopra, è possibile che i dati utente vengano trattati anche da soggetti terzi. Ciò avviene nelle seguenti casistiche:

• Collegamento ipertestuale selezionato dall’utente: in questo caso è l’utente che decide di uscire dalla Piattaforma e di seguire il link verso sito esterno di terzi. Spaggiari non invia dati a tali soggetti ed eventuali trattamenti di questi soggetti partner avverranno esclusivamente in forza di loro privacy policy che dovrà essere fornita all’utente in base alla normativa.
• Invio di dati da parte di Spaggiari: ciò avviene, ad esempio, nel caso di processo di acquisto all’interno di EXTRA. In questo caso, al momento in cui si perfeziona la vendita (es. premendo il tasto “acquista”) è possibile che Spaggiari sia tenuta a inviare i dati al soggetto terzo venditore. Questo passaggio richiede il consenso dell’utente, in mancanza del quale l’acquisto non potrà essere processato.

v. 27/10/2026