Informativa sulla Privacy

In breve — per te che studi

• Raccogliamo quello che serve per farti studiare: nome, email, data di nascita, le tue sessioni con l'AI e i materiali che carichi. La tua voce non la registriamo: mentre parli, l'audio va dritto al fornitore dell'AI e a noi resta solo il testo di quello che vi siete detti.
• Il tuo profilo di apprendimento (il "Twin") è parte di Skooly: serve a farti le domande giuste e a ripassare al momento giusto. Non è una casella da spuntare, è il servizio — se non lo vuoi più, puoi cancellare l'account quando vuoi.
• Le tue sessioni possono servirci per rendere Skooly più bravo — anche per allenare i nostri modelli — ma solo se lo scegli tu, e solo anonimizzate: senza il tuo nome e senza i dati che dicono che sei tu. Parte spento: lo accendi dal profilo e lo spegni quando vuoi. Se hai meno di 14 anni non puoi accenderlo tu: per ora resta spento e basta.
• Non vendiamo i tuoi dati a nessuno, né con l'interruttore acceso né con quello spento.
• L'AI può sbagliare: i voti che suggerisce sono stime, e il tuo prof può sempre correggerle.
• Puoi scaricare tutti i tuoi dati o cancellare tutto quando vuoi, dal tuo profilo.
• Domande? Scrivici: supporto@skooly.it. Qui sotto trovi la versione completa.

1. Titolare del trattamento

Il Titolare del trattamento dei dati personali è G.P.G. TECH S.R.L. (servizio "Skooly"), con sede legale in Via Angelo Secchi 8, 00197 Roma — C.F. e P.IVA 18261831004, iscritta al Registro delle Imprese di Roma (REA 1772576) nella sezione speciale delle start-up innovative dal 16/10/2025. PEC: gpgtechsrl@legalmail.it.

Responsabile della Protezione dei Dati (DPO): non designato. Il Titolare ha valutato che, alle dimensioni attuali del servizio, non ricorrono i presupposti dell'art. 37 GDPR che rendono la nomina obbligatoria; la valutazione viene ripetuta al crescere degli utenti. Ogni richiesta in materia di protezione dei dati è gestita direttamente dal Titolare all'indirizzo supporto@skooly.it.

2. Dati personali trattati

• Dati di registrazione: nome, cognome, indirizzo email, password (conservata solo come hash crittografico non reversibile, mai in chiaro)
• Data di nascita: raccolta alla registrazione per verificare l'età e applicare le tutele previste per i minori
• Dati di utilizzo: log delle sessioni di studio (tutor, orale, esercizi), punteggi, progressi, Twin (mappa delle competenze)
• Voce: trascrizioni delle sessioni vocali (tutor e interrogazione orale). L'audio non viene registrato né conservato da Skooly: è trasmesso in tempo reale dal dispositivo dell'utente al fornitore AI, che può conservarlo fino a 30 giorni per finalità di sicurezza secondo il proprio contratto. Di ogni sessione restano presso il Titolare la trascrizione, la pagella e i segnali di apprendimento
• Materiali didattici: documenti e immagini caricati dagli utenti (PDF, immagini) e relative analisi AI
• Conversazioni con il Twin: testo dei messaggi dello studente e delle risposte dell'AI, testo estratto da un'eventuale foto allegata (mai l'immagine, che non viene conservata in alcuna forma) e azioni proposte in quel turno
• Dati del genitore o tutore: nome, email e, facoltativamente, il numero di telefono, per la gestione dell'account famiglia e delle autorizzazioni relative ai minori
• Dati tecnici: indirizzo IP (per sicurezza e rate limiting), cookie di sessione, preferenze (tema)
• Dati di fatturazione: gestiti interamente dal fornitore di pagamenti (sezione 5): Skooly non memorizza dati di pagamento

Gli interessati sono gli studenti e i genitori o tutori che utilizzano il servizio.

3. Base giuridica del trattamento

• Esecuzione del contratto (Art. 6(1)(b) GDPR): trattamenti necessari a fornire il servizio richiesto — le funzioni di IA che sono il servizio (tutor, interrogazione orale, analisi dei materiali caricati, generazione e correzione di esercizi) e il profilo di apprendimento longitudinale (il "Twin" e la memoria cognitiva descritti alla sezione 10) che le rende utili nel tempo. Non sono oggetto di un consenso separato: senza questi trattamenti non esiste alcuna prestazione da erogare
• Consenso (Art. 6(1)(a) GDPR): comunicazioni promozionali, facoltative e revocabili dal profilo
• Interesse legittimo (Art. 6(1)(f) GDPR) — misurazione dell'uso del servizio: il Titolare registra eventi da un elenco chiuso (registrazione conclusa, prima sessione, esercizio completato, acquisto) per capire dove il percorso si interrompe. Non sono raccolti contenuti né testo libero. L'interessato ha diritto di opposizione (Art. 21 GDPR) e lo esercita dal profilo, ritirando il consenso «statistiche d'uso»: da quel momento gli eventi che lo riguardano sono registrati senza il suo identificativo
• Consenso di chi esercita la responsabilità genitoriale (Art. 8 GDPR e art. 2-quinquies Codice Privacy): accesso al servizio degli studenti di età inferiore a 14 anni (sezione 7)
• Consenso specifico e separato (Art. 6(1)(a) GDPR): utilizzo dei contenuti delle sessioni, in forma anonimizzata, per il miglioramento del servizio e l'addestramento di modelli propri (sezione 4-bis). È disattivato per impostazione predefinita, si attiva dal profilo e si revoca dallo stesso punto
• Interesse legittimo (Art. 6(1)(f) GDPR): sicurezza del servizio, prevenzione degli abusi, limitazione della frequenza delle richieste
• Obbligo legale (Art. 6(1)(c) GDPR): registro delle decisioni dell'IA (EU AI Act, artt. 12 e 19) e obblighi fiscali sulla fatturazione

Il conferimento dei dati di registrazione (inclusa la data di nascita) è necessario per concludere il contratto: senza questi dati non è possibile creare l'account. I trattamenti basati sul consenso — comunicazioni promozionali e uso anonimizzato delle sessioni — sono invece facoltativi: il rifiuto o la revoca non limitano in alcun modo l'uso del servizio. Il Titolare non chiede un consenso all'uso dell'IA: sarebbe un consenso non libero (Art. 7(4) GDPR), perché l'IA non è una funzione aggiuntiva ma l'oggetto stesso del contratto. Chi non desidera questo trattamento può non registrarsi o cancellare l'account in qualsiasi momento (sezione 6).

4. Trattamento dati con Intelligenza Artificiale

Skooly utilizza, tramite API, i servizi di un fornitore di modelli di intelligenza artificiale (sezione 5) per le seguenti funzionalita:

• Tutor vocale: sessioni di ripetizione interattive tramite l'API vocale in tempo reale del fornitore
• Interrogazione orale: simulazione di interrogazione con feedback AI
• Analisi materiali (Vision): estrazione di contenuti da immagini e PDF per personalizzare lo studio
• Generazione esercizi: creazione di quiz e domande adattive basate sull'argomento
• Feedback pedagogico: valutazione delle performance e suggerimenti di studio

I dati inviati ai fornitori AI sono minimizzati — solo l'argomento, estratti del materiale e trascrizioni della sessione — e servono a generare le risposte richieste. Le condizioni contrattuali delle API che utilizziamo non consentono al fornitore di impiegarli per addestrare i propri modelli. Il fornitore può conservarli temporaneamente (fino a 30 giorni) per sole finalità di sicurezza e prevenzione degli abusi.

4-bis. Miglioramento del servizio e addestramento di modelli propri

Skooly può utilizzare i contenuti delle sessioni per migliorare il servizio e per addestrare modelli propri, a due condizioni cumulative:

• Solo su consenso. Il trattamento avviene esclusivamente se l'interessato lo ha scelto attivando l'apposito consenso nella pagina Profilo. Il consenso è facoltativo, separato dal contratto e revocabile in qualsiasi momento dalla stessa pagina: il rifiuto o la revoca non limitano in alcun modo l'uso del servizio. L'impostazione è disattivata per impostazione predefinita.
• Solo in forma anonimizzata. I contenuti sono privati degli identificativi diretti e indiretti prima di essere utilizzati per questa finalità: non sono riferibili a un utente identificato o identificabile.

Per gli utenti di età inferiore a 14 anni questo consenso può essere prestato soltanto da chi esercita la responsabilità genitoriale (art. 8 GDPR e art. 2-quinquies del Codice Privacy). Per questi utenti la finalità resta esclusa: l'interruttore non è attivabile dallo studente e il server rifiuta ogni tentativo di concessione. La revoca è invece sempre esercitabile, anche dal minore stesso.

Skooly non vende e non cede a terzi i dati degli utenti, né i materiali derivati da questa finalità. La revoca non ha effetto retroattivo sui trattamenti già eseguiti (art. 7(3) GDPR), ma interrompe ogni utilizzo successivo.

5. Responsabili del trattamento e sub-processor

Per erogare il servizio, il Titolare si avvale delle seguenti categorie di fornitori, nominati responsabili del trattamento ex art. 28 GDPR, ciascuno per la sola finalità indicata. Per ogni categoria sono indicati attività, dati trattati, sede e garanzia per i trasferimenti; la ragione sociale di ciascun fornitore è disponibile su richiesta (in fondo a questa sezione):

Le notifiche push sono facoltative: si attivano solo dopo un suo consenso esplicito nell'app e si spengono in qualunque momento dal profilo. Se non le attiva, nessun dato viene trasmesso al servizio di recapito, ad Apple o a Google per questa finalità. Il testo della notifica non contiene il nome di suo figlio.

Nessun fornitore riceve dati per finalità proprie: ciascuno tratta i dati solo per conto del Titolare e secondo le sue istruzioni. Il materiale anonimizzato di cui alla sezione 4-bis resta nella disponibilità del solo Titolare: non è ceduto, venduto né condiviso con terzi.

Accesso con Google o con Apple (facoltativo). Nelle pagine di accesso e registrazione può comparire il pulsante «Continua con Google» o «Continua con Apple». Se lo usa, è il suo browser a rivolgersi a Google LLC o ad Apple Inc., che verificano la sua identità e restituiscono al nostro server due sole informazioni: l'indirizzo email verificato e un identificativo stabile del suo account presso quel fornitore. In questo passaggio Google e Apple non sono nostri responsabili ex art. 28 — non compaiono infatti nella tabella qui sopra — ma titolari autonomi nei suoi confronti, secondo la loro informativa, e trattano i dati negli Stati Uniti e in Irlanda. Nelle nostre pagine non è caricato alcuno script dei due fornitori: se il pulsante non compare, o se non lo usa, per questa finalità non avviene alcuno scambio. L'accesso con Google o con Apple è un'alternativa a email e password, mai un obbligo, e non sostituisce la registrazione: data di nascita e consensi restano dovuti come per chiunque altro.

L'elenco nominativo e aggiornato dei sub-processor (ragione sociale e sede di ciascuno) è disponibile su richiesta a supporto@skooly.it. In caso di sostituzione di un sub-processor il Titolare aggiorna la presente informativa.

6. Diritti dell'interessato

I diritti principali si esercitano in autonomia, senza scrivere a nessuno: esportazione dei dati in formato JSON e gestione dei consensi dalla pagina Profilo; cancellazione completa dalla pagina Eliminare l'account.

In conformita al GDPR, hai i seguenti diritti:

• Diritto di accesso (Art. 15): puoi richiedere copia dei tuoi dati personali
• Diritto alla portabilita (Art. 20): puoi esportare i tuoi dati in formato JSON dal tuo profilo
• Diritto alla cancellazione (Art. 17): puoi eliminare il tuo account e tutti i dati associati dal tuo profilo — i passaggi per ogni ruolo, che cosa viene cancellato e che cosa resta per obbligo di legge sono su Eliminare l'account
• Diritto di rettifica (Art. 16): puoi modificare i tuoi dati dal profilo
• Diritto di limitazione (Art. 18): l'interessato può chiedere la sospensione temporanea del trattamento dei propri dati — ad esempio mentre è in corso una verifica su esattezza o liceità — scrivendo a supporto@skooly.it
• Diritto di opposizione (Art. 21): puoi opporti al trattamento contattando supporto@skooly.it
• Diritto di revoca del consenso (Art. 7): puoi revocare in qualsiasi momento, dal profilo, i consensi facoltativi — comunicazioni promozionali e uso anonimizzato delle sessioni; il ritiro di «statistiche d'uso» vale come opposizione alla misurazione (sezione 3). Le funzioni di IA non rientrano fra questi: si fondano sull'esecuzione del contratto (sezione 3) e per interromperle si cancella l'account

7. Minori

Skooly e un servizio educativo rivolto a studenti. In conformita alla normativa italiana:

• Studenti di 14 anni o piu: possono prestare autonomamente il consenso al trattamento dei dati
• Studenti sotto i 14 anni: il consenso deve essere prestato o autorizzato dal genitore/tutore legale

Il percorso per gli studenti sotto i 14 anni è attivo. Alla registrazione viene richiesto l'indirizzo email di chi esercita la responsabilità genitoriale, che riceve una richiesta di conferma: l'account resta sospeso — l'accesso è impedito — finché il consenso non è confermato. Il numero di telefono del genitore è facoltativo e serve solo a un secondo passo di conferma via SMS. Il genitore può in qualsiasi momento revocare il consenso, e alla revoca l'accesso torna sospeso.

8. Conservazione dei dati

• Dati dell'account: fino alla cancellazione dell'account. La cancellazione richiesta dall'interessato è immediata e definitiva: l'operazione è atomica e irreversibile, e non esiste alcuna attesa prima che diventi effettiva. Una copia può restare nelle copie di backup cifrate per un massimo di 30 giorni (7 sul server, 30 nella copia remota), che non sono usate per ripristinare un account cancellato
• Audio delle sessioni vocali: non conservato dal Titolare (v. sezione 2). Restano le trascrizioni, con la durata indicata alla voce successiva
• Log delle sessioni di studio, interazioni e profilo di apprendimento (Twin): 24 mesi
• Conversazioni con il Twin («Le mie chat»): 90 giorni dall'ultimo messaggio, per gli utenti di 14 anni o più. Per gli utenti sotto i 14 anni la conversazione non viene conservata: si chiude quando si esce. Ogni conversazione è cancellabile dall'utente, una alla volta o tutte insieme
• Registro delle decisioni dell'IA (obbligo EU AI Act, artt. 12 e 19): 36 mesi
• Log dei consensi, incluso quello genitoriale: 5 anni a fini probatori (art. 7(1) GDPR) finché l'account esiste. Alla cancellazione dell'account il registro dei consensi viene eliminato insieme a esso: il diritto all'oblio prevale sulla conservazione probatoria
• Materiali didattici caricati: fino alla rimozione da parte di chi li ha caricati o alla cancellazione dell'account
• Dati di fatturazione: 10 anni (obblighi fiscali e civilistici)
• Log di sicurezza: 14 giorni il registro degli accessi al server (con indirizzo IP), 7 giorni i contatori dei tentativi di accesso falliti
• Copie di backup cifrate: al massimo 30 giorni (7 sul server, 30 nella copia remota cifrata)

La tabella completa, categoria per categoria, è contenuta nella politica di conservazione del Titolare, disponibile su richiesta a supporto@skooly.it.

9. Trasferimento dati extra-UE

Alcuni trattamenti comportano il trasferimento di dati verso Paesi terzi, in particolare gli Stati Uniti: riguarda tutti i fornitori elencati nella tabella della sezione 5 con ubicazione USA (elaborazione AI, hosting, pagamenti, abbonamenti in-app, notifiche push e, quando saranno attivi, email e SMS). Tali trasferimenti avvengono sulla base di garanzie adeguate ai sensi del Capo V del GDPR: Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea e, ove applicabile, adesione al Data Privacy Framework UE-USA, come indicato categoria per categoria nella stessa tabella. È possibile richiedere copia delle garanzie adottate scrivendo a supporto@skooly.it. Il Titolare rende disponibile, come alternativa (Piano B), l'elaborazione AI tramite una regione UE dello stesso tipo di servizio per ridurre i trasferimenti extra-UE.

10. Intelligenza Artificiale, profilazione e EU AI Act

Skooly integra un sistema di IA destinato a valutare gli esiti dell'apprendimento e a orientare il percorso di studio. Ai sensi del Regolamento (UE) 2024/1689 (EU AI Act), tale sistema è classificato come sistema di IA ad alto rischio (Allegato III, punto 3, lettera b).

Il tutor IA è parte essenziale del servizio, non una funzione accessoria: le sessioni di studio, l'interrogazione orale, gli esercizi e il profilo di apprendimento esistono solo grazie a esso. Per questo il relativo trattamento si fonda sull'esecuzione del contratto (Art. 6(1)(b) GDPR) e non è oggetto di un consenso separato: un consenso che si potesse negare o ritirare senza che il servizio cambi non sarebbe una tutela, ma una dichiarazione priva di effetto. La tutela dell'interessato è affidata alle garanzie qui elencate, tutte già operative:

• Profilazione pedagogica: il sistema elabora un profilo di apprendimento (competenze, misconcezioni ricorrenti, ritmo e stile di studio — il "Twin") per personalizzare tutor, esercizi e feedback, e mantiene una memoria cognitiva di osservazioni stabili sullo studente (es. calo di attenzione, curve di dimenticanza, orari di miglior rendimento). Sulla base di questo profilo il sistema può fornire stime (es. concetti da ripassare, un voto stimato indicativo): sono suggerimenti non vincolanti: non sostituiscono la valutazione di un docente e l'interessato può contestarli in ogni momento (v. «Sorveglianza umana» qui sotto). Tale trattamento è necessario a erogare il servizio e avviene sulla base dell'esecuzione del contratto (Art. 6(1)(b) GDPR); per gli studenti di età inferiore a 14 anni l'accesso al servizio resta subordinato al consenso di chi esercita la responsabilità genitoriale (Art. 8 GDPR). Il profilo è sempre esportabile (Art. 20 GDPR) e si cancella con l'account (Art. 17 GDPR).
• Trasparenza (Art. 50 AI Act): l'utente è sempre informato quando interagisce con l'IA (etichette visibili) e i contenuti generati dall'IA sono segnalati come tali.
• Sorveglianza umana (Art. 14 AI Act) — stato al 23 agosto 2026: il Regolamento (UE) 2026/1744 («Digital Omnibus on AI», in vigore dal 27 luglio 2026) ha rinviato al 2 dicembre 2027 l'applicazione degli obblighi previsti per i sistemi di IA ad alto rischio dell'Allegato III. Fino a tale data la coda interna di revisione delle decisioni da parte del docente non è attiva. Restano attive, senza rinvio: la registrazione di ogni decisione dell'IA (Art. 12), la trasparenza verso l'utente (Art. 50), il canale di segnalazione degli incidenti (Art. 73) e il diritto dell'interessato di contestare una valutazione e di ottenere l'intervento umano scrivendo a supporto@skooly.it. Le valutazioni dell'IA non sono in nessun caso definitive né vincolanti.
• Diritti sulle decisioni automatizzate (Art. 22 GDPR): non vengono adottate decisioni esclusivamente automatizzate con effetti giuridici o similmente significativi; l'interessato ha diritto a ottenere una spiegazione e a richiedere l'intervento umano.
• Registro delle decisioni e incidenti (Art. 12 e 73 AI Act): ogni decisione rilevante dell'IA è registrata ed è disponibile un canale per la segnalazione di incidenti.
• Diritto alla spiegazione (Art. 86 Reg. UE 2024/1689): l'interessato ha diritto di ottenere una spiegazione chiara e significativa del ruolo del sistema di IA nelle valutazioni che lo riguardano, scrivendo a supporto@skooly.it
• Diritto di reclamo: l'interessato può contestare in qualsiasi momento una valutazione o un comportamento del sistema scrivendo a supporto@skooly.it, e proporre reclamo all'Autorità Garante per la Protezione dei Dati Personali (Art. 77 GDPR) o all'autorità nazionale competente ai sensi dell'AI Act (Art. 85) — i recapiti sono alla sezione 13

Il Titolare mantiene la documentazione tecnica di conformità (valutazione d'impatto sulla protezione dei dati, valutazione di conformità AI Act) e la aggiorna nel tempo.

11. Cookie e tecnologie di tracciamento

• Cookie di sessione: tecnico, necessario per l'autenticazione (HttpOnly, Secure, SameSite=Lax)
• localStorage: preferenze utente (tema, ultima sessione di studio)
• Google Fonts: i font tipografici sono erogati da Google; al caricamento delle pagine il browser comunica a Google il proprio indirizzo IP. Si tratta di un uso funzionale (resa tipografica), non di profilazione pubblicitaria.
• Skooly non utilizza cookie di profilazione pubblicitaria né tracciamento comportamentale di terze parti a fini di marketing

12. Sicurezza

Skooly adotta le seguenti misure di sicurezza:

• Traffico cifrato end-to-end (HTTPS obbligatorio su tutto il servizio)
• Password protette con algoritmi di derivazione crittografica conformi alle migliori pratiche correnti, con parametri rivisti periodicamente: non sono mai memorizzate in chiaro né sono recuperabili da noi
• Protezione contro le vulnerabilità applicative note (CSRF, XSS, injection) e intestazioni di sicurezza restrittive
• Limitazione della frequenza delle richieste per prevenire abusi e tentativi automatizzati
• Sessioni a scadenza, revocabili in qualsiasi momento e invalidate al cambio password o alla cancellazione dell'account
• Separazione dei dati fra utenti verificata lato server a ogni richiesta: nessun accesso ai dati di un altro studente o di un'altra famiglia

Non pubblichiamo i dettagli implementativi delle nostre misure (algoritmi specifici, parametri, librerie): non aggiungono trasparenza utile per l'interessato e agevolano chi tenta un attacco. Sono documentati nel registro dei trattamenti e disponibili su richiesta motivata a supporto@skooly.it, o all'Autorità di controllo.