1. Titolare del Trattamento

Il Titolare del trattamento è responsabile della protezione dei dati personali raccolti attraverso il sito web promossobro.it e i servizi ad esso collegati (di seguito "Servizio" o "Piattaforma").

2. Definizioni

Ai fini della presente informativa:

• Dati Personali: qualsiasi informazione riguardante una persona fisica identificata o identificabile;
• Interessato: la persona fisica a cui si riferiscono i Dati Personali;
• Trattamento: qualsiasi operazione compiuta sui Dati Personali;
• Responsabile del trattamento: persona fisica o giuridica che tratta dati per conto del Titolare;
• Utente: chi utilizza il Servizio, registrato o non registrato;
• Studente: il minore o maggiorenne che utilizza il servizio di tutoring AI;
• Genitore/Tutore: l'adulto titolare dell'account che gestisce l'abbonamento.

3. Dati Personali Raccolti

3.1 Dati di Registrazione dell'Account

Per creare un account e utilizzare il Servizio raccogliamo:

• Email - per autenticazione e comunicazioni di servizio
• Password - conservata esclusivamente in forma crittografata (hash bcrypt)
• Nome e Cognome - del genitore/tutore titolare dell'account
• Nome dello Studente - per personalizzare l'esperienza di studio

3.2 Dati Facoltativi del Profilo Studente

Per migliorare l'esperienza educativa, l'Utente può fornire volontariamente:

• Età dello studente
• Genere (maschio/femmina/non specificato)
• Classe frequentata (es. 3° superiore)
• Tipo di istituto (liceo, tecnico, professionale, università)
• Materie di interesse o difficoltà

Questi dati sono utilizzati esclusivamente per personalizzare le risposte del tutor AI e non sono condivisi con terzi.

3.3 Dati di Studio e Utilizzo

Durante l'utilizzo del Servizio raccogliamo:

• Sessioni di studio: materia, data, durata, numero di messaggi
• Argomenti trattati: per tracciare i progressi nel Cruscotto Genitori
• Interazioni con il tutor AI: domande e risposte della sessione corrente
• Badge e traguardi: obiettivi raggiunti dallo studente

3.4 Dati di Pagamento

I pagamenti sono processati esclusivamente tramite Stripe (Stripe Payments Europe, Ltd.). Il Titolare non raccoglie né conserva:

• Numeri di carta di credito/debito
• CVV o codici di sicurezza
• Dati bancari completi

Conserviamo unicamente:

• Numero d'ordine (generato internamente)
• Importo e data della transazione
• Tipo di piano sottoscritto (mensile/annuale)
• Stato del pagamento (confermato/rimborsato)
• Identificativi Stripe (payment_intent, invoice_id) per riconciliazione

3.5 Dati Tecnici e di Navigazione

Raccogliamo automaticamente:

• Indirizzo IP - per sicurezza e prevenzione abusi
• User Agent - tipo di browser e dispositivo
• Timestamp - data e ora delle richieste
• Pagine visitate - per analytics aggregati
• Referrer - provenienza del traffico

3.6 Dati del Form di Contatto

Quando ci contatti tramite il form raccogliamo:

• Nome
• Email
• Contenuto del messaggio

4. Finalità e Basi Giuridiche del Trattamento

Finalità	Dati Trattati	Base Giuridica (GDPR)
Erogazione del Servizio Fornire il tutoring AI, gestire le sessioni di studio, mostrare i progressi	Account, profilo studente, sessioni di studio	Art. 6.1.b - Esecuzione del contratto
Gestione Account Registrazione, login, recupero password, gestione abbonamento	Email, password, nome	Art. 6.1.b - Esecuzione del contratto
Pagamenti e Fatturazione Processare pagamenti, emettere ricevute, gestire rimborsi	Dati transazione, email	Art. 6.1.b - Esecuzione del contratto Art. 6.1.c - Obbligo legale (fiscale)
Comunicazioni di Servizio Email transazionali, conferme pagamento, scadenze abbonamento	Email, nome	Art. 6.1.b - Esecuzione del contratto
Report Settimanali Invio riassunto progressi ai genitori (solo piano annuale, disattivabile)	Email, dati di studio	Art. 6.1.a - Consenso
Sicurezza e Prevenzione Abusi Protezione da accessi non autorizzati, rate limiting, anti-fraud	IP, User Agent, timestamp	Art. 6.1.f - Interesse legittimo
Protezione Account (Session Guard) Impedire uso simultaneo da IP diversi per prevenire condivisione credenziali	IP, session ID	Art. 6.1.f - Interesse legittimo
Analytics e Miglioramento Servizio Analisi aggregate sull'utilizzo per migliorare il prodotto	Dati tecnici anonimi	Art. 6.1.a - Consenso (per cookie analytics)
Marketing e Pubblicità Misurare efficacia campagne, remarketing	Cookie, identificatori pubblicitari	Art. 6.1.a - Consenso
Assistenza Clienti Rispondere a richieste di supporto	Nome, email, contenuto richiesta	Art. 6.1.b - Esecuzione del contratto

5. Destinatari e Terze Parti

I dati personali possono essere comunicati alle seguenti categorie di destinatari:

5.1 Responsabili del Trattamento

Fornitore	Servizio	Dati Trattati	Sede
Stripe Payments Europe, Ltd.	Elaborazione pagamenti	Dati carta, email, importi	Irlanda (UE)
Hetzner Online GmbH	Hosting server	Tutti i dati (storage)	Germania (UE)
Google Ireland Limited	Google Analytics 4	Dati navigazione (con consenso)	Irlanda (UE)
Meta Platforms Ireland Ltd.	Meta Pixel, Conversions API	Eventi, identificatori (con consenso)	Irlanda (UE)

5.2 Comunicazioni Obbligatorie

I dati possono essere comunicati a:

• Autorità giudiziarie o di pubblica sicurezza, su richiesta legittima
• Autorità fiscali, per adempimenti di legge
• Garante per la Protezione dei Dati Personali, in caso di ispezioni

5.3 Nessuna Vendita di Dati

6. Trasferimenti di Dati Extra-UE

6.1 Server in Europa

6.2 Trasferimenti verso USA (Google e Meta)

I servizi di analytics e advertising (Google, Meta) possono comportare trasferimenti verso gli Stati Uniti. Tali trasferimenti avvengono nel rispetto del GDPR mediante:

• EU-US Data Privacy Framework (DPF) - Google LLC e Meta Platforms, Inc. sono certificate DPF
• Standard Contractual Clauses (SCC) - clausole contrattuali tipo approvate dalla Commissione Europea
• Consent Mode - i dati vengono trasmessi solo previo consenso esplicito dell'Utente

L'Utente può rifiutare il consenso ai cookie di analytics e marketing tramite il banner cookie, impedendo qualsiasi trasferimento extra-UE di dati di navigazione.

7. Periodo di Conservazione dei Dati

Categoria di Dati	Periodo di Conservazione	Motivazione
Dati account (email, nome, password)	Durata del rapporto contrattuale + 10 anni	Obbligo fiscale (Art. 2220 c.c.)
Dati profilo studente	Durata del rapporto contrattuale	Erogazione servizio
Sessioni di studio e progressi	12 mesi dalla creazione	Visualizzazione storico nel Cruscotto
Conversazioni con il tutor AI	Durata della sessione (non persistenti)	Le chat non vengono salvate permanentemente
Dati di pagamento	10 anni dall'ultima transazione	Obbligo fiscale
Log di sicurezza (IP, accessi)	6 mesi	Sicurezza e prevenzione frodi
Email di supporto	24 mesi dalla chiusura ticket	Gestione reclami
Cookie analytics (Google)	26 mesi	Policy Google Analytics
Cookie pubblicitari (Meta)	90 giorni	Attribuzione conversioni

Al termine del periodo di conservazione, i dati vengono cancellati o anonimizzati in modo irreversibile.

8. Cookie e Tecnologie di Tracciamento

8.1 Cosa sono i Cookie

I cookie sono piccoli file di testo che i siti web salvano sul dispositivo dell'Utente per memorizzare informazioni utili alla navigazione.

8.2 Tipologie di Cookie Utilizzati

Cookie Necessari (sempre attivi)

Essenziali per il funzionamento del sito. Non richiedono consenso.

Nome	Scopo	Durata
token (localStorage)	Autenticazione utente (JWT)	7 giorni
promossobro_consent (localStorage)	Memorizza preferenze cookie	1 anno

Cookie Analytics (con consenso)

Raccolgono dati aggregati sull'utilizzo del sito per migliorare il servizio.

Nome	Fornitore	Scopo	Durata
_ga	Google Analytics	Distingue gli utenti	2 anni
_ga_*	Google Analytics	Mantiene stato sessione	2 anni

Cookie Marketing (con consenso)

Utilizzati per misurare l'efficacia delle campagne pubblicitarie e mostrare annunci pertinenti.

Nome	Fornitore	Scopo	Durata
_fbp	Meta (Facebook)	Identifica il browser per pubblicità	90 giorni
_fbc	Meta (Facebook)	Traccia click da annunci Facebook	90 giorni

8.3 Consent Mode e Server-Side Tracking

Utilizziamo le seguenti tecnologie per il rispetto della privacy:

• Google Consent Mode v2: i dati vengono inviati a Google solo dopo consenso esplicito. In assenza di consenso, vengono raccolti solo dati anonimi per modellazione statistica.
• Meta Conversions API: inviamo eventi di conversione lato server per misurare l'efficacia pubblicitaria. Quando l'Utente non ha dato consenso marketing, i dati vengono comunque inviati in forma aggregata e senza identificatori personali, nel rispetto del legittimo interesse per la misurazione delle performance.

8.4 Come Gestire i Cookie

L'Utente può gestire le preferenze cookie in qualsiasi momento:

• Tramite il banner cookie che appare alla prima visita
• Cliccando su "Gestisci Cookie" nel footer del sito
• Modificando le impostazioni del proprio browser

La disattivazione dei cookie analytics e marketing non pregiudica il funzionamento del Servizio.

9. Diritti dell'Interessato

Ai sensi degli Artt. 15-22 del GDPR, l'Interessato ha diritto di:

Diritto	Descrizione	Articolo GDPR
Accesso	Ottenere conferma del trattamento e copia dei propri dati	Art. 15
Rettifica	Correggere dati inesatti o incompleti	Art. 16
Cancellazione	Richiedere l'eliminazione dei dati ("diritto all'oblio")	Art. 17
Limitazione	Limitare il trattamento in determinate circostanze	Art. 18
Portabilità	Ricevere i dati in formato strutturato e leggibile	Art. 20
Opposizione	Opporsi al trattamento basato su interesse legittimo	Art. 21
Revoca consenso	Revocare il consenso prestato in qualsiasi momento	Art. 7.3
Reclamo	Presentare reclamo all'Autorità di controllo	Art. 77

9.1 Come Esercitare i Diritti

Per esercitare i propri diritti, l'Interessato può contattare il Titolare:

• Email: [email protected]
• PEC: [email protected]

Il Titolare risponderà entro 30 giorni dalla ricezione della richiesta, prorogabili di ulteriori 60 giorni in caso di richieste complesse.

9.2 Autorità di Controllo

L'Interessato ha diritto di proporre reclamo al:

10. Trattamento Dati di Minori

10.1 Consenso Genitoriale

Ai sensi dell'Art. 8 del GDPR e dell'Art. 2-quinquies del D.Lgs. 196/2003 (come modificato dal D.Lgs. 101/2018):

• Il Servizio richiede la registrazione da parte di un genitore o tutore legale
• Il genitore/tutore è il titolare dell'account e responsabile dell'utilizzo da parte del minore
• Non è consentita la registrazione autonoma a minori di 14 anni
• I minori di età compresa tra 14 e 18 anni possono registrarsi con il consenso del genitore

10.2 Dati dei Minori

I dati relativi allo studente minore (nome, età, classe, sessioni di studio) sono trattati:

• Solo per le finalità strettamente connesse all'erogazione del servizio educativo
• Con misure di sicurezza adeguate
• Senza condivisione con terze parti per finalità di marketing
• Con possibilità di cancellazione su richiesta del genitore/tutore

10.3 Cruscotto Genitori

Il Cruscotto Genitori permette al titolare dell'account di:

• Monitorare tempo di studio e progressi
• Visualizzare materie e argomenti affrontati
• Ricevere report settimanali (disattivabili)

Questa funzionalità è progettata per favorire il coinvolgimento genitoriale nel percorso educativo.

11. Misure di Sicurezza

Il Titolare adotta misure tecniche e organizzative adeguate ai sensi dell'Art. 32 del GDPR:

11.1 Misure Tecniche

• Crittografia in transito: tutte le comunicazioni avvengono tramite HTTPS con TLS 1.3
• Crittografia password: le password sono conservate con hash bcrypt (work factor 12)
• Firewall: protezione perimetrale con fail2ban e rate limiting
• Backup: backup automatici giornalieri con retention di 30 giorni
• Aggiornamenti: patch di sicurezza applicate regolarmente
• Accesso limitato: principio del minimo privilegio per gli accessi amministrativi

11.2 Misure Organizzative

• Formazione del personale sulla protezione dei dati
• Policy interne di sicurezza informatica
• Procedure di gestione degli incidenti (data breach)
• Audit periodici dei sistemi

11.3 Protezione Anti-Condivisione (Session Guard)

Per proteggere il valore dell'abbonamento e garantire un utilizzo corretto, il sistema:

• Verifica che l'account sia utilizzato da un solo dispositivo/IP alla volta
• Blocca l'accesso simultaneo da IP differenti
• Non raccoglie dati aggiuntivi, utilizza solo l'IP già presente per finalità di sicurezza

12. Modifiche alla Privacy Policy

Il Titolare si riserva di modificare la presente informativa in qualsiasi momento.

In caso di modifiche sostanziali:

• Sarà aggiornata la data "Ultimo aggiornamento" in fondo alla pagina
• Gli Utenti registrati riceveranno comunicazione via email
• Potrà essere richiesto un nuovo consenso ove necessario

Si consiglia di consultare periodicamente questa pagina.

13. Contatti