Privacy Policy

01

Titolare del Trattamento

Comitato Studentesco IIS Luigi Galvani

Via Gatti 14, 20163 Milano (MI)

Email: comitato.studentesco@iisgalvanimi.edu.it

Il Comitato Studentesco, in qualità di titolare del trattamento, è responsabile della gestione della piattaforma e del trattamento dei dati personali degli utenti. Per qualsiasi richiesta relativa al trattamento dei dati personali, è possibile contattare il Comitato all'indirizzo email sopra indicato.

Nota: Non è stato nominato un Responsabile della Protezione dei Dati (DPO) in quanto il trattamento non rientra nei casi previsti dall'Art. 37 del GDPR che ne rendono obbligatoria la designazione.

02

Introduzione e Ambito

La presente Privacy Policy illustra le modalità di raccolta, utilizzo e protezione dei dati personali degli utenti della piattaforma digitale gestita dal Comitato Studentesco dell'IIS Luigi Galvani. La piattaforma è riservata esclusivamente agli studenti dell'Istituto in possesso di email studentesca (@iisgalvanimi.edu.it), inclusi studenti minorenni.

La piattaforma ha finalità organizzative, informative e anche commerciali (vendita merchandising con pagamento in contanti).

Questa informativa è resa ai sensi del Regolamento UE 2016/679 (GDPR) e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018.

Normativa di riferimento

Regolamento UE 2016/679 (GDPR) sulla protezione dei dati personali
D.Lgs. 196/2003 - Codice in materia di protezione dei dati personali
D.Lgs. 101/2018 - Disposizioni per l'adeguamento al GDPR
Provvedimenti del Garante Privacy in ambito scolastico
Art. 8 GDPR - Condizioni applicabili al consenso dei minori

Trattamento dati di minori

La piattaforma è accessibile anche a studenti minorenni. Il trattamento dei dati di minori di 14 anni avviene sulla base della legittima attività del Comitato Studentesco in ambito scolastico (Art. 6(1)(e) GDPR - esercizio di pubbliche funzioni). Per studenti tra 14 e 18 anni, si applica l'Art. 8 GDPR che consente il trattamento autonomo. I genitori/tutori mantengono il diritto di esercitare i diritti GDPR per conto dei minori.

03

Tipologie di Dati Raccolti

La piattaforma raccoglie diverse categorie di dati personali necessari al suo funzionamento:

3.1 Dati di Registrazione (Obbligatori)

Dato	Tipo	Finalità	Base Giuridica
Email istituzionale	Obbligatorio	Autenticazione e comunicazioni	Art. 6(1)(e) GDPR
Password	Obbligatorio	Autenticazione sicura	Art. 6(1)(e) GDPR
Nome e cognome	Obbligatorio	Identificazione utente	Art. 6(1)(e) GDPR
Classe	Obbligatorio	Organizzazione scolastica	Art. 6(1)(e) GDPR
Ruolo	Obbligatorio	Gestione permessi	Art. 6(1)(e) GDPR

Nota sulla password: Le password sono conservate in formato crittografato con hash e verificate tramite il servizio "Have I Been Pwned" (HIBP) per garantire che non siano state compromesse in data breach noti.

3.2 Dati del Profilo Utente (Facoltativi)

Immagine profilo

Avatar caricato dall'utente per personalizzare il profilo. Facoltativo e modificabile.

Biografia

Breve descrizione personale facoltativa visibile agli altri utenti della piattaforma.

3.3 Dati relativi alle Attività sulla Piattaforma

Sondaggi e Votazioni

Voti espressi
User ID associato (per prevenire voti multipli)
Data e ora della votazione

Consenso richiesto

Interrogazioni Programmate

ID studente
Materia e data interrogazione
ID docente
Note facoltative

Interesse pubblico

Ordini e Acquisti

Nome destinatario
Note ordine
Importo e stato ordine

Consenso richiesto

Documenti

File caricati dagli utenti
Tracciamento lettura (timestamp)
Categoria documento

Interesse pubblico

Segnalazioni

Autore (con opzione anonimato)
Descrizione segnalazione
File allegati
Categoria

Consenso richiesto

Eventi e Tornei

Iscrizioni eventi
Composizione squadre
Lista membri partecipanti

Consenso richiesto

3.4 Dati Tecnici e di Log

Dato	Conservazione	Finalità
Log di sistema	7 giorni	Sicurezza e debugging
Indirizzo IP	Sessione	Sicurezza e prevenzione abusi
Token sessione	~1 ora	Autenticazione
Preferenze navigazione	Locale (browser)	Esperienza utente

Importante: Anonimato nei Sondaggi

Sebbene i sondaggi siano presentati come "anonimi" nell'interfaccia utente, dal punto di vista tecnico il database conserva l'identificativo utente (user_id) associato a ciascun voto.

Questo permette di prevenire voti multipli e garantire l'integrità del sistema. I voti non sono tecnicamente anonimi per gli amministratori, ma sono trattati con riservatezza. I risultati sono pubblicati in forma aggregata.

04

Base Giuridica del Trattamento

Il trattamento dei dati personali si fonda sulle seguenti basi giuridiche previste dall'Art. 6 del GDPR:

Art. 6(1)(e) - Interesse Pubblico

Gestione delle attività didattiche e amministrative dell'Istituto scolastico.

Esempi: Autenticazione, gestione classi, interrogazioni programmate

Art. 6(1)(a) - Consenso

Per funzionalità facoltative come sondaggi, eventi, tornei e caricamento contenuti personali.

Esempi: Avatar, biografia, partecipazione eventi

Art. 6(1)(c) - Obbligo Legale

Conservazione dati per adempimenti normativi in ambito scolastico.

Esempi: Registri, documentazione amministrativa

Art. 6(1)(f) - Legittimo Interesse

Sicurezza della piattaforma, prevenzione abusi e debugging.

Esempi: Log di sicurezza, monitoraggio accessi

Utenti Minorenni

Per gli utenti minorenni, il consenso è espresso dai genitori o da chi esercita la responsabilità genitoriale, in conformità all'Art. 8 del GDPR.

05

Finalità del Trattamento

I dati personali raccolti vengono trattati esclusivamente per le seguenti finalità legittime:

1

Registrazione e Autenticazione

Creazione e gestione dell'account utente, controllo degli accessi alla piattaforma

2

Gestione del Profilo

Personalizzazione dell'esperienza sulla piattaforma

3

Sondaggi e Votazioni

Raccolta opinioni degli studenti e rappresentanti su temi scolastici

4

Organizzazione Ordini

Gestione acquisti collettivi (gadget, materiale didattico)

5

Gestione Eventi

Iscrizioni e partecipazione a eventi scolastici ed extrascolastici

6

Analisi Statistiche

Raccolta dati anonimi per comprendere utilizzo piattaforma e migliorare i servizi

7

Segnalazioni

Raccolta e gestione segnalazioni (con possibilità di anonimato)

8

Documenti

Condivisione materiale informativo e didattico

9

Interrogazioni Programmate

Comunicazione date interrogazioni agli studenti

10

Sicurezza Piattaforma

Log di sistema per prevenzione accessi non autorizzati e debugging

06

Modalità di Trattamento e Sicurezza

I dati personali sono trattati con strumenti elettronici e informatici, secondo principi di correttezza, liceità e trasparenza. Il Titolare adotta misure di sicurezza tecniche e organizzative adeguate:

Crittografia Password

Tutte le password sono conservate in formato hash crittografico con algoritmi robusti. Mai salvate in chiaro.

HIBP Integration

Controllo password vulnerabili tramite Have I Been Pwned per verificare compromissioni in data breach.

Row Level Security

Politiche RLS a livello database garantiscono accesso dati solo ad utenti autorizzati.

Zero-Trust Architecture

Ogni richiesta validata lato server con controlli autorizzazione. Edge Functions sicure.

Input Sanitization

Validazione e sanitizzazione input per protezione contro XSS e SQL injection.

Log di Sicurezza

Monitoraggio accessi e attività critiche (conservazione 7 giorni) per audit e sicurezza.

Accesso Limitato

Dati accessibili solo a personale autorizzato dell'Istituto e fornitori tecnici necessari.

Server EU

Database ospitato su server nell'Unione Europea per maggiore protezione dati.

07

Destinatari dei Dati

I dati personali possono essere comunicati ai seguenti destinatari:

Responsabili del Trattamento

Supabase Inc. (USA)

Ruolo: Fornitore servizio hosting database e infrastruttura cloud

Localizzazione: Server nell'Unione Europea (regione selezionabile)

Base giuridica: Responsabile del Trattamento (Art. 28 GDPR)

Garanzie: Clausole Contrattuali Standard (SCC)

Terze Parti per Servizi Tecnici

Lucide Icons (unpkg.com)

CDN per icone vettoriali. Caricamento tecnico necessario per interfaccia utente.

jsDelivr CDN

CDN per librerie JavaScript (Supabase, DOMPurify). Possono ricevere l'IP per finalità tecniche.

Google Analytics (Google LLC)

Analisi del traffico web per migliorare l'esperienza utente e i servizi offerti.

Soggetti Interni

I dati sono accessibili, nei limiti delle rispettive competenze, al personale dell'Istituto (amministratori della piattaforma, docenti, rappresentanti) per le finalità descritte.

Nessuna vendita dati

I dati personali NON sono venduti, ceduti o condivisi con terze parti per finalità di marketing o pubblicitarie.

08

Trasferimenti di Dati Extra-UE

Alcuni fornitori di servizi tecnici sono localizzati al di fuori dello Spazio Economico Europeo (SEE). In conformità all'Art. 44-50 del GDPR, adottiamo le seguenti garanzie:

Fornitore	Paese	Servizio	Garanzie Adeguate
Supabase Inc.	USA	Database hosting	Server UE + Standard Contractual Clauses (SCC)
Unpkg CDN	USA	CDN librerie e icone	Standard Contractual Clauses (SCC)
jsDelivr	Globale	CDN librerie	Standard Contractual Clauses (SCC)
Google LLC	USA	Google Analytics	Decisione di Adeguatezza UE-USA (Data Privacy Framework 2023) + Standard Contractual Clauses (SCC)

Server nell'Unione Europea

I dati del database principale sono conservati su server localizzati nell'UE. Gli accessi da USA avvengono solo per supporto tecnico, con garanzie contrattuali (SCC) approvate dalla Commissione Europea.

09

Periodo di Conservazione

I dati personali sono conservati per il tempo strettamente necessario al conseguimento delle finalità. Il Comitato adotta una politica di cancellazione annuale degli account al termine di ogni anno scolastico.

Categoria Dati	Periodo di Conservazione	Nota
Account e profilo	1 anno scolastico	Cancellazione automatica a fine anno
Attività piattaforma	Anno scolastico corrente	Sondaggi, ordini merchandising, eventi
Dati aggregati e statistiche	Conservazione permanente	Dati anonimi per analisi trend e performance negli anni
Log di sistema	7 giorni	Cancellazione automatica per motivi di sicurezza
Dati Google Analytics	14 mesi	Configurazione standard GA4, dati anonimi
Segnalazioni	Fino a risoluzione, max 1 anno	Per accertamenti e follow-up necessari

Cancellazione Annuale e Dati Aggregati

Al termine di ogni anno scolastico, gli account e i dati personali degli utenti vengono cancellati automaticamente. Vengono tuttavia conservati dati aggregati e anonimizzati per finalità statistiche e di analisi delle performance della piattaforma nel corso degli anni, al fine di comprendere gli interessi e le preferenze della comunità studentesca e migliorare i servizi offerti.

I dati aggregati non consentono l'identificazione di singoli utenti e sono utilizzati esclusivamente per scopi interni al Comitato Studentesco.

10

Diritti dell'Interessato

In conformità agli Articoli 15-22 del GDPR, hai diritto di:

Accesso (Art. 15)

Ottenere conferma dell'esistenza di dati personali che ti riguardano e riceverne una copia completa.

Rettifica (Art. 16)

Ottenere la correzione di dati inesatti o l'integrazione di dati incompleti.

Cancellazione (Art. 17)

Ottenere la cancellazione dei dati personali (diritto all'oblio), nei casi previsti dalla legge.

Limitazione (Art. 18)

Ottenere la limitazione del trattamento in determinate circostanze previste dalla legge.

Portabilità (Art. 20)

Ricevere i dati in formato strutturato e leggibile da dispositivo automatico, e trasmetterli a un altro titolare.

Opposizione (Art. 21)

Opporti al trattamento dei dati per motivi legittimi connessi alla tua situazione particolare.

Revoca Consenso (Art. 7)

Revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento basata sul consenso prestato prima della revoca.

Reclamo

Proporre reclamo all'Autorità Garante per la Protezione dei Dati Personali in caso di violazioni.

Come Esercitare i Tuoi Diritti

Per esercitare i propri diritti, invia una richiesta via email a:

Contatta Privacy Team

Il Titolare risponderà alla richiesta entro 30 giorni dal ricevimento.

11

Cookie e Tecnologie di Tracciamento

La piattaforma utilizza le seguenti tecnologie per il funzionamento e la sicurezza del servizio:

Cosa NON utilizziamo

La piattaforma NON utilizza cookie di profilazione, cookie pubblicitari o sistemi di tracciamento per finalità di marketing.

Per ulteriori dettagli, consultare la Cookie Policy dedicata.

12

Modifiche alla Privacy Policy

Il Titolare si riserva il diritto di modificare la presente Privacy Policy in qualsiasi momento per adeguamento normativo o organizzativo.

Notifica via Email

Gli utenti riceveranno una comunicazione all'indirizzo di posta istituzionale

Avviso sulla Piattaforma

Banner informativo al primo accesso successivo alla modifica

Data Aggiornamento

La data dell'ultimo aggiornamento è sempre indicata in testa al documento

Consultazione Periodica

Si invitano gli utenti a consultare periodicamente questa pagina per rimanere aggiornati sulle modalità di trattamento dei dati personali.

13

Contatti e Reclami

Titolare del Trattamento

Comitato Studentesco IIS Luigi Galvani

Presso: IIS Luigi Galvani, Via Gatti 14, 20163 Milano (MI)

Email: comitato.studentesco@iisgalvanimi.edu.it

Non è stato nominato un Responsabile della Protezione dei Dati (DPO).

Autorità Garante per la Protezione dei Dati Personali

In caso di ritenuta violazione dei propri diritti, l'utente può proporre reclamo all'Autorità Garante:

Garante per la Protezione dei Dati Personali

Piazza Venezia, 11 - 00187 Roma (RM)

Telefono: +39 06.696771

Fax: +39 06.69677.3785

Email: garante@gpdp.it

PEC: protocollo@pec.gpdp.it

Sito web: www.garanteprivacy.it

Titolare del Trattamento

Introduzione e Ambito

Normativa di riferimento

Trattamento dati di minori

Tipologie di Dati Raccolti

3.1 Dati di Registrazione (Obbligatori)

3.2 Dati del Profilo Utente (Facoltativi)

Immagine profilo

Biografia

3.3 Dati relativi alle Attività sulla Piattaforma

Sondaggi e Votazioni

Interrogazioni Programmate

Ordini e Acquisti

Documenti

Segnalazioni

Eventi e Tornei

3.4 Dati Tecnici e di Log

Importante: Anonimato nei Sondaggi

Base Giuridica del Trattamento

Art. 6(1)(e) - Interesse Pubblico

Art. 6(1)(a) - Consenso

Art. 6(1)(c) - Obbligo Legale

Art. 6(1)(f) - Legittimo Interesse

Utenti Minorenni

Finalità del Trattamento

Registrazione e Autenticazione

Gestione del Profilo

Sondaggi e Votazioni

Organizzazione Ordini

Gestione Eventi

Analisi Statistiche

Segnalazioni

Documenti

Interrogazioni Programmate

Sicurezza Piattaforma

Modalità di Trattamento e Sicurezza

Crittografia Password

HIBP Integration

Row Level Security

Zero-Trust Architecture

Input Sanitization

Log di Sicurezza

Accesso Limitato

Server EU

Destinatari dei Dati

Responsabili del Trattamento

Terze Parti per Servizi Tecnici

Soggetti Interni

Nessuna vendita dati

Trasferimenti di Dati Extra-UE

Server nell'Unione Europea

Periodo di Conservazione

Cancellazione Annuale e Dati Aggregati

Diritti dell'Interessato

Accesso (Art. 15)

Rettifica (Art. 16)

Cancellazione (Art. 17)

Limitazione (Art. 18)

Portabilità (Art. 20)

Opposizione (Art. 21)

Revoca Consenso (Art. 7)

Reclamo

Come Esercitare i Tuoi Diritti

Cookie e Tecnologie di Tracciamento

Cookie Tecnici Necessari

Web Storage (localStorage/sessionStorage)

Lucide Icons (CDN)

Font Locali

Cosa NON utilizziamo

Modifiche alla Privacy Policy

Notifica via Email

Avviso sulla Piattaforma

Data Aggiornamento

Consultazione Periodica

Contatti e Reclami

Titolare del Trattamento

Autorità Garante per la Protezione dei Dati Personali

Domande sulla Privacy?