Cosa sappiamo di te

Per le attività nello spazio scolastico, il titolare è normalmente la tua scuola. Il suo nome, i contatti e quelli del responsabile della protezione dei dati (DPO) devono essere indicati nell’informativa fornita dalla scuola prima dell’accesso.

Il soggetto che gestirà legalmente Skoolab è ancora da definire. Skoolab è il nome del progetto: non identifica da solo un titolare o un responsabile del trattamento. Prima dell’uso con dati reali devono essere indicati identità, recapiti e ruoli effettivi, anche per i contatti dei referenti di scuole ed enti, nei termini, nelle informative e negli accordi con la scuola. info@skoolab.it è il contatto del progetto.

• Identità e accesso. Nome, cognome, email, scuola, classe, ruolo e dati tecnici dell’accesso. Nome e cognome sono visibili anche ai compagni della tua scuola.
• Preferenze. Interessi che scegli per la Home e impostazioni delle notifiche.
• Partecipazione. Proposte e commenti firmati, supporti, opportunità salvate, interesse per gli eventi e relative autorizzazioni.
• Sondaggi. Le tue risposte e le date di invio sono collegate al tuo account nel database. La dirigenza riceve solo i risultati aggregati consentiti dal sistema.
• Assistenza e moderazione. Segnalazioni, richieste di correzione dei dati, notifiche e decisioni della scuola.
• Notifiche sul telefono. Se le abiliti, un token per recapitare le notifiche è associato al tuo account e al dispositivo.

I dati di identità e scuola servono a gestire l’accesso; ciò che invii serve a far funzionare discussioni, iniziative, sondaggi e richieste. I dati tecnici servono a proteggere il servizio. Gli interessi e le notifiche sono configurabili. Partecipare a un sondaggio è facoltativo.

Per ogni finalità la scuola e il gestore devono indicare la base giuridica applicabile. L’uso di una piattaforma da parte di una scuola non rende automaticamente lecita ogni attività: sondaggi sul benessere o contenuti sulla salute richiedono una valutazione specifica.

L’app studenti non chiede telefono, geolocalizzazione, foto del profilo, voti o assenze. I moduli per registrare una scuola o un ente raccolgono invece i dati del referente, compreso il telefono se richiesto dal modulo. Evita di inserire dati privati di altre persone nei testi liberi.

Proposte e commenti nuovi sono firmati e visibili agli iscritti della tua scuola, compresa la dirigenza. I contenuti storici privi di un autore associato restano senza nome; gli identificativi pseudonimi conservati non garantiscono però un anonimato irreversibile.

I supporti e i salvataggi individuali sono riservati al tuo account nell’app. Le risposte ai sondaggi restano collegate al tuo account, anche se la scuola vede soltanto aggregati quando il gruppo è abbastanza ampio. Un risultato aggregato non è una garanzia assoluta contro ogni possibile identificazione.

La dirigenza può gestire identità, correzioni, segnalazioni e autorizzazioni agli eventi. Gli operatori tecnici autorizzati e i fornitori possono trattare i dati necessari al servizio: l’accesso tecnico al database non equivale ai permessi di uno studente o della scuola nell’app.

Possono comparire opportunità sponsorizzate. Il loro pubblico viene scelto in base alle caratteristiche delle scuole; gli offerenti non ricevono gli elenchi degli studenti che salvano un’opportunità. Se apri un sito esterno si applica anche la sua informativa.

La scuola deve informare studenti e famiglie con un linguaggio comprensibile. Quando il trattamento si basa sul consenso per un servizio online offerto direttamente a un minore, in Italia sotto i 14 anni occorre l’autorizzazione di chi esercita la responsabilità genitoriale. Questa regola non significa che ogni trattamento scolastico debba basarsi sul consenso.

Le modalità di accesso dei minori e l’eventuale raccolta e verifica del consenso devono essere definite dalla scuola prima dell’attivazione. Un codice di ingresso non prova da solo quel consenso.

Skoolab usa Supabase per account e database. L’hosting web e l’invio delle email dipendono dalla configurazione del servizio. Se attive, le notifiche mobili passano attraverso Expo e i servizi di Apple o Google: ricevono il token e un avviso generico, mentre i dettagli si leggono nell’app dopo l’accesso.

Se scegli un accesso esterno, il relativo fornitore partecipa all’autenticazione. Il controllo delle password compromesse invia a Have I Been Pwned soltanto i primi cinque caratteri dell’impronta della password, senza email o password in chiaro.

L’elenco dei fornitori effettivi, le regioni di trattamento, i subfornitori e le eventuali garanzie per i trasferimenti fuori dallo Spazio economico europeo devono essere confermati dal gestore. Non possiamo dedurre dal solo codice che tutti i dati restino nell’Unione europea.

Il piano di conservazione della scuola deve indicare durate o criteri per account, contenuti, sondaggi, segnalazioni, log e copie di sicurezza. Questo piano è ancora da completare; il servizio non applica una scadenza automatica generale a tutti questi dati.

La cancellazione dell’account elimina il profilo, l’identità, le preferenze, le risposte individuali ai sondaggi, i supporti, i salvataggi, le partecipazioni e i token push. I testi delle tue proposte e dei tuoi commenti collegati all’account vengono sostituiti con un avviso di rimozione; la discussione e i contributi degli altri possono restare.

I testi che altre persone hanno scritto su di te, i contenuti storici senza un autore associato e le copie già scaricate non possono essere individuati o cancellati automaticamente da questa funzione. Puoi segnalarli al titolare. I risultati aggregati già pubblicati possono restare invariati per evitare che il confronto prima e dopo riveli una risposta individuale. Le registrazioni di scuole ed enti e i relativi contatti richiedono una richiesta al gestore. Anche i file caricati e le loro copie richiedono una verifica separata: la cancellazione dell’account non garantisce la rimozione dei file dallo spazio di archiviazione. Le copie di sicurezza seguono un piano separato, da definire e verificare.

Da Profilo → I tuoi dati puoi esportare i dati dell’account e richiederne la cancellazione. L’esportazione automatica copre i dati applicativi, i metadati di accesso disponibili, quelli dei propri file caricati e delle proprie azioni di moderazione o autorizzazione; per il contenuto dei file, i log dei fornitori o altri documenti puoi rivolgerti al titolare. Per correggere nome e classe usa la richiesta di correzione o contatta la scuola.

Puoi chiedere accesso, rettifica, cancellazione, limitazione e, quando applicabili, opposizione e portabilità. Puoi revocare un consenso senza pregiudicare i trattamenti precedenti. Le richieste vanno riscontrate normalmente entro un mese; un’eventuale proroga va motivata e comunicata.

Puoi contattare la scuola o info@skoolab.it e presentare un reclamo al Garante per la protezione dei dati personali. I diritti rimangono esercitabili anche se l’account è sospeso o non riesci ad accedere.