Informativa sulla privacy

Bozza di lavoro 0.1 per la revisione legale, non ancora in vigore. I punti aperti sono contrassegnati con [DA CONFERMARE].

La presente informativa spiega quali dati personali Brotelo raccoglie sui genitori e sui bambini, perché li raccogliamo, chi li riceve, per quanto tempo li conserviamo e quali diritti hai. I bambini possono leggere una versione breve scritta per loro sulla nostra pagina «Privacy per bambini e ragazzi».

1 In breve

• Solo gli adulti hanno un account. I bambini usano un profilo creato dal genitore, con un nickname, un’età e un avatar predefinito.
• I bambini non ci forniscono mai un indirizzo e-mail, una foto, un numero di telefono o la propria posizione.
• Usiamo i dati per gestire i corsi, salvare i progressi, rilasciare i certificati, incassare i pagamenti e mantenere Brotelo sicuro.
• Niente pubblicità, niente tracker pubblicitari, nessuna vendita di dati, niente chat e nessun profilo pubblico.
• Le nostre statistiche sulle visite non usano cookie e non sono mai attive nell’area dei bambini.
• Puoi consultare, rettificare, scaricare e cancellare i tuoi dati e quelli dei tuoi figli.

2 Chi è responsabile dei tuoi dati

Il titolare del trattamento dei tuoi dati personali è TOPFED WEB S.R.L., società registrata nella Repubblica di Moldova, IDNO 1026023125543, con sede legale in s. Pepeni, r-nul Sîngerei, MD-6234, Repubblica di Moldova. Puoi scriverci a [email protected] per qualsiasi questione relativa alla presente informativa.

2.1 Rappresentante nell’Unione europea

Poiché siamo stabiliti al di fuori dell’Unione europea, dobbiamo designare un rappresentante nell’UE (articolo 27 del GDPR). [DA CONFERMARE: il nome e i dati di contatto del rappresentante nell’UE.]

2.2 Rappresentante nel Regno Unito

[DA CONFERMARE: se Brotelo è offerto nel Regno Unito, il nome e i dati di contatto del rappresentante nel Regno Unito ai sensi dell’articolo 27 del UK GDPR.]

2.3 Responsabile della protezione dei dati

[DA CONFERMARE: se occorre designare un responsabile della protezione dei dati ai sensi dell’articolo 37 del GDPR o della legge moldava n. 195/2024; fino ad allora, scrivi a [email protected].]

3 Quali dati raccogliamo

3.1 Su di te, in quanto genitore

• Dati dell’account: il tuo indirizzo e-mail e il modo in cui accedi. Se accedi con Google, riceviamo gli identificativi che Google ci invia. [DA CONFERMARE: quali dati del profilo Google vengono conservati; raccomandiamo solo l’identificativo dell’account e l’indirizzo e-mail.] La tua password è gestita da Firebase Authentication, un servizio di Google, e noi non la vediamo mai.
• Dati dell’ordine: il tuo nome e cognome, il tuo Paese, la conferma che hai almeno 18 anni, i corsi che acquisti, i prezzi, le imposte, la valuta, la data e il numero dell’ordine, lo stato del pagamento e il riferimento della transazione fornito dalla nostra banca. Non riceviamo né conserviamo il numero completo della tua carta. [DA CONFERMARE: se la banca ci invia dati della carta mascherati, come le ultime quattro cifre.]
• Registrazioni delle tue scelte: i tuoi consensi (profili bambino, certificati pubblici, newsletter), il tuo consenso all’avvio immediato dell’accesso e il tuo riconoscimento, i tuoi recessi e le tue richieste in base alla garanzia di rimborso, con le relative date.
• Messaggi: ciò che ci scrivi (domande, reclami, segnalazioni di sicurezza, richieste relative ai tuoi diritti) e le nostre risposte.
• Newsletter e lista d’attesa: il tuo indirizzo e-mail, la tua lingua, e la data e la prova del tuo consenso e della tua conferma (double opt-in).
• Dati tecnici: indirizzo IP, tipo di browser e di dispositivo, pagine richieste, data e ora, nei log di sicurezza dei nostri server e di Cloudflare.

3.2 Su tuo figlio

Conserviamo solo ciò che inserisci tu e ciò che il bambino crea mentre impara:

• Profilo: nickname, età o anno di nascita, e l’avatar scelto dal nostro elenco predefinito.
• PIN: il PIN facoltativo di 4 cifre, conservato in forma protetta (tramite hash). [DA CONFERMARE: come viene conservato il PIN.]
• Dati di apprendimento: i corsi disponibili per il profilo, le slide completate, le risposte alle domande di verifica e al quiz finale, i tentativi e i punteggi dei quiz, e le date di attività. [DA CONFERMARE: se vengono conservate le risposte alle domande di verifica all’interno della presentazione.]
• Certificati: il nome che hai scelto per il certificato (per impostazione predefinita il nome e l’iniziale del cognome), il corso, la data, il codice del certificato e l’indicazione se hai reso il certificato verificabile pubblicamente.

3.3 Cosa non raccogliamo mai dai bambini

• Nessun indirizzo e-mail, numero di telefono o indirizzo postale.
• Nessuna foto, video, registrazione vocale o caricamento di alcun tipo.
• Nessun messaggio o chat.
• Nessun dato sulla posizione.
• Nessun identificativo pubblicitario, nessun tracciamento a fini pubblicitari e nessuna statistica sulle visite nell’area dei bambini.

4 Perché usiamo i dati e su quale base giuridica

[DA CONFERMARE: la base giuridica per i dati dei bambini (consenso dei genitori, il nostro contratto con il genitore o legittimo interesse) e la base giuridica per le registrazioni richieste dalla legge moldava, poiché l’articolo 6, paragrafo 1, lettera c), del GDPR riguarda solo gli obblighi previsti dal diritto dell’Unione o degli Stati membri.]

Non usiamo alcun dato a fini pubblicitari o per profili di marketing, e non prendiamo decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici o incidano in modo analogo significativamente su di te o su tuo figlio. Quando ci basiamo sul legittimo interesse, puoi opporti (sezione 9).

5 Dati dei bambini e consenso dei genitori

Brotelo è pensato per bambini e ragazzi dagli 8 ai 14 anni, ma solo gli adulti sono titolari di un account e i bambini non si registrano mai da soli.

Ai sensi del GDPR, quando un servizio online si basa sul consenso, un minore al di sotto dell’età del consenso digitale ha bisogno del consenso del titolare della responsabilità genitoriale. Tale età è compresa tra i 13 e i 16 anni a seconda del Paese, ad esempio 16 anni in Romania. Poiché tutti i bambini su Brotelo hanno 14 anni o meno e non si registrano mai da soli, chiediamo sempre il consenso al genitore, qualunque siano l’età e il Paese del bambino.

Quando crei un profilo bambino, confermi di essere il genitore o il tutore del bambino, o di avere il permesso del titolare della responsabilità genitoriale, e presti il tuo consenso al nostro utilizzo dei dati del bambino come qui descritto. [DA CONFERMARE: come ci adoperiamo in ogni modo ragionevole per verificare che il consenso provenga dal titolare della responsabilità genitoriale (articolo 8, paragrafo 2, del GDPR) e, se sono serviti gli Stati Uniti, il metodo di consenso verificabile dei genitori previsto dal COPPA.]

• Raccogliamo il meno possibile: un nickname invece del nome completo, un’età o un anno di nascita invece della data di nascita, avatar predefiniti invece di foto.
• Sei sempre al corrente: vedi i progressi e i certificati di tuo figlio nell’Area genitori, e la nostra pagina «Privacy per bambini e ragazzi» spiega a tuo figlio che puoi vederli.
• Puoi cambiare idea: revochi il tuo consenso eliminando il profilo bambino, il che cancella i dati del bambino (sezione 8). La revoca del consenso non pregiudica il trattamento effettuato prima della revoca.
• Non usiamo mai i dati dei bambini per marketing, pubblicità o profilazione, e non li vendiamo mai.
• Se un bambino si è registrato da solo: se veniamo a sapere che un bambino ha creato un account da solo, lo eliminiamo.

Valutiamo i rischi del nostro trattamento per i bambini in una valutazione d’impatto sulla protezione dei dati. [DA CONFERMARE: completare la valutazione d’impatto sulla protezione dei dati (DPIA) prima del lancio.]

6 Chi riceve i dati

Non vendiamo dati personali. Li condividiamo solo con fornitori di servizi che li trattano per nostro conto, secondo le nostre istruzioni e in base a un contratto (articolo 28 del GDPR), e con i pochi destinatari autonomi elencati di seguito.

[DA CONFERMARE: l’entità contraente e l’accordo sul trattamento dei dati per ciascun fornitore.]

Destinatari autonomi, secondo le rispettive informative sulla privacy:

• MAIB (Moldova Agroindbank), Repubblica di Moldova, che elabora i pagamenti con carta e i dati della carta che inserisci sulla sua pagina di pagamento. [DA CONFERMARE: se MAIB agisce come titolare autonomo del trattamento o come nostro responsabile del trattamento.]
• Google, se scegli di accedere con il tuo account Google, in qualità di fornitore di tale account.
• Consulenti professionali, come avvocati e commercialisti, tenuti alla riservatezza.
• Autorità e tribunali, solo quando la legge lo richiede, o per proteggere un bambino che potrebbe essere in pericolo.

Se la nostra attività, o parte di essa, venisse venduta, l’acquirente potrebbe ricevere i dati necessari per proseguire il servizio, nel rispetto della presente informativa. Te lo comunicheremmo in anticipo.

7 Trasferimenti internazionali

Abbiamo sede nella Repubblica di Moldova e il nostro team accede ai dati da lì. La Commissione europea non ha adottato una decisione di adeguatezza per la Repubblica di Moldova. [DA CONFERMARE: le garanzie per l’accesso dalla Moldova, secondo le Linee guida 05/2021 del Comitato europeo per la protezione dei dati (EDPB) sull’interazione tra l’articolo 3 e il capo V del GDPR.]

I nostri server si trovano in Germania e Brevo opera nell’UE. Cloudflare e Google possono trattare i dati negli Stati Uniti. Per questi trasferimenti ci basiamo sull’EU-US Data Privacy Framework (quadro UE-USA per la protezione dei dati personali) quando la società è certificata nell’ambito di tale quadro, e altrimenti sulle clausole contrattuali tipo della Commissione europea. Per gli utenti nel Regno Unito, ci basiamo sull’estensione di tale quadro al Regno Unito o sull’addendum del Regno Unito a tali clausole. [DA CONFERMARE: la certificazione e le garanzie di ciascun fornitore alla data di pubblicazione.]

I pagamenti con carta sono elaborati da MAIB nella Repubblica di Moldova.

Puoi chiederci una copia delle garanzie che utilizziamo scrivendo a [email protected].

8 Per quanto tempo conserviamo i dati

Conserviamo i dati solo per il tempo necessario. I periodi indicati di seguito sono proposte. [DA CONFERMARE: ciascuno dei periodi indicati di seguito, alla luce della legge contabile moldava, delle norme IVA dell’UE e dei termini di prescrizione.]

9 I tuoi diritti

Hai il diritto di:

• accedere ai tuoi dati e ottenerne una copia;
• rettificare i dati inesatti o incompleti;
• ottenere la cancellazione dei tuoi dati;
• ottenere la limitazione del trattamento dei tuoi dati in alcuni casi;
• ricevere i dati che ci hai fornito in un formato di uso comune e farli trasmettere a un altro servizio (portabilità);
• opporti al trattamento dei tuoi dati basato sul legittimo interesse e, in qualsiasi momento, al marketing diretto;
• revocare il consenso in qualsiasi momento, senza pregiudicare il trattamento effettuato prima della revoca;
• non essere oggetto di decisioni basate unicamente su un trattamento automatizzato; non prendiamo decisioni di questo tipo.

Eserciti questi diritti per conto di tuo figlio. Quando un bambino è abbastanza grande da capire, teniamo conto della sua opinione e del suo interesse superiore.

9.1 Come esercitare i tuoi diritti

Nell’Area genitori puoi modificare o eliminare i profili bambino, attivare o disattivare la verifica pubblica di un certificato, modificare le tue preferenze e-mail e chiudere il tuo account. [DA CONFERMARE: le funzioni self-service disponibili al lancio, compreso il download dei tuoi dati.]

Puoi anche scrivere a [email protected] dall’indirizzo e-mail del tuo account. Potremmo chiederti di confermare la tua identità. Rispondiamo entro un mese. Per richieste complesse o numerose, possiamo prorogare questo termine di altri due mesi, spiegandotene il motivo. L’esercizio dei tuoi diritti è gratuito, salvo che una richiesta sia manifestamente infondata o eccessiva.

10 Reclami a un’autorità di controllo

Puoi proporre reclamo a un’autorità per la protezione dei dati:

• nella Repubblica di Moldova, il Centro nazionale per la protezione dei dati personali (NCPDP), www.datepersonale.md;
• nell’Unione europea, l’autorità del Paese in cui vivi, in cui lavori o in cui si è verificato il problema; il Comitato europeo per la protezione dei dati le elenca tutte su edpb.europa.eu; in Romania è l’ANSPDCP, www.dataprotection.ro;
• nel Regno Unito, l’Information Commissioner's Office (ICO), ico.org.uk.

Ti saremmo grati se ci dessi la possibilità di occuparci prima noi della questione, quindi scrivici a [email protected].

11 Sicurezza

Proteggiamo i dati con misure tecniche e organizzative adeguate ai rischi, in particolare per i dati dei bambini:

• tutte le connessioni a Brotelo sono cifrate (HTTPS);
• i nostri server si trovano in Germania e vi ha accesso solo chi ne ha bisogno;
• le password sono gestite da Firebase Authentication e non vengono mai conservate da noi;
• i PIN sono conservati in forma protetta (tramite hash);
• i dati delle carte sono gestiti dalla banca, mai da noi;
• manteniamo aggiornati i nostri sistemi ed effettuiamo backup regolari.

[DA CONFERMARE: le misure tecniche e organizzative, come documentate nella DPIA e nel registro delle attività di trattamento.]

In caso di violazione dei dati personali, la notifichiamo all’autorità competente entro 72 ore ove la legge lo richieda, e te la comunichiamo senza ingiustificato ritardo se è probabile che presenti un rischio elevato per te o per tuo figlio.

12 E-mail di marketing

Inviamo la newsletter e le novità della lista d’attesa solo ai genitori che le richiedono. L’iscrizione avviene tramite una casella separata, mai preselezionata, e la confermi cliccando sul link che ti inviamo (double opt-in). Non inviamo mai e-mail di marketing ai bambini. Ogni e-mail contiene un link per annullare l’iscrizione, e l’annullamento non ha effetti sul tuo account né sulle tue e-mail di servizio. [DA CONFERMARE: che il tracciamento delle aperture e dei clic sia disattivato in Brevo.]

13 Cookie e tecnologie simili

Sul tuo dispositivo memorizziamo solo ciò di cui Brotelo ha bisogno per funzionare. Non usiamo cookie analitici né cookie pubblicitari. La nostra Informativa sui cookie riporta l’elenco completo.

14 Utenti in determinati Paesi

14.1 Regno Unito

Se vivi nel Regno Unito, si applicano il UK GDPR e il Data Protection Act 2018. Seguiamo l’Age Appropriate Design Code dell’ICO (il Children's Code): privacy elevata per impostazione predefinita, minimizzazione dei dati, nessuna profilazione, nessuna spinta a condividere più dati e informazioni sulla privacy comprensibili per i bambini.

14.2 Stati Uniti

[DA CONFERMARE: se Brotelo è offerto negli Stati Uniti al lancio. In tal caso, prima del lancio occorre conformarsi al COPPA: avviso diretto ai genitori, consenso verificabile dei genitori prima di raccogliere informazioni personali da bambini di età inferiore a 13 anni, una politica scritta di conservazione dei dati, un programma di sicurezza delle informazioni e un’informativa online che includa un numero di telefono.] I genitori negli Stati Uniti possono esaminare le informazioni personali del proprio figlio, chiederci di cancellarle e rifiutarne l’ulteriore raccolta o utilizzo. Non chiediamo a un bambino più informazioni di quelle ragionevolmente necessarie per partecipare a un’attività.

14.3 Repubblica di Moldova

Il nostro trattamento è soggetto anche alla Legge n. 195/2024 sulla protezione dei dati personali della Repubblica di Moldova. [DA CONFERMARE: le disposizioni applicabili, la loro entrata in vigore ed eventuali obblighi di registrazione o notifica nei confronti del Centro nazionale per la protezione dei dati personali (NCPDP).]

15 Modifiche alla presente informativa

Possiamo aggiornare la presente informativa. La data indicata in alto corrisponde alla versione in vigore. Ti informeremo per e-mail prima che entrino in vigore modifiche importanti e, se una modifica lo richiede, ti chiederemo nuovamente il consenso.

16 Contatti

TOPFED WEB S.R.L., s. Pepeni, r-nul Sîngerei, MD-6234, Repubblica di Moldova. E-mail: [email protected].