Trasparenza, sicurezza e tutela dei dati

1Titolare del trattamento e ruoli

Per i trattamenti effettuati nell'ambito dell'attività didattica scolastica, il titolare del trattamento è l'istituzione scolastica di riferimento, secondo la propria organizzazione e documentazione privacy. AltRaVia APS gestisce la piattaforma e le attività del progetto secondo gli accordi definiti con l'istituto.

I ruoli privacy formali tra i soggetti coinvolti devono risultare dagli atti e dagli accordi del progetto. Per l'esercizio dei diritti o per contattare il Responsabile della protezione dei dati (RPD/DPO), occorre fare riferimento ai contatti privacy pubblicati dall'istituto scolastico.

2Quali dati vengono trattati

• codice studente, classe ed eventuale gruppo di lavoro;
• risposte ai questionari pre/post, riflessioni e risultati delle attività;
• interventi e scelte effettuati nei laboratori, compresi i testi scritti nel Lab 2;
• link ai materiali prodotti e valutazioni tra pari nel Lab 4;
• informazioni tecniche strettamente necessarie al funzionamento e alla sicurezza del servizio;
• nel modulo di segnalazione: descrizione della situazione e, se volontariamente inseriti, nome/classe e recapito.

3Finalità del trattamento

• consentire lo svolgimento del percorso educativo e salvare i progressi;
• consentire al conduttore di gestire classi, attività e materiali;
• valutare l'andamento del progetto attraverso dati didattici e riepiloghi;
• gestire eventuali segnalazioni di bullismo, cyberbullismo o disagio;
• proteggere la piattaforma da accessi non autorizzati e abusi.

4Base giuridica

Quando la piattaforma è utilizzata nell'ambito delle attività didattiche e formative dell'istituto scolastico, il trattamento è collegato alle finalità istituzionali e ai compiti di interesse pubblico della scuola, secondo la normativa applicabile.

Per eventuali trattamenti ulteriori o facoltativi, la base giuridica deve essere individuata dal titolare del trattamento in relazione alla specifica finalità.

5Intelligenza artificiale nel Lab 2

Nel Lab 2, il testo scritto dallo studente viene inviato attraverso una funzione protetta su Supabase al servizio API di OpenAI per generare le reazioni simulate dei personaggi.

La funzione è configurata per non richiedere né inviare il nome reale dello studente. Le chiamate API utilizzano l'opzione store:false.

6Segnalazioni di disagio e cyberbullismo

Il modulo di segnalazione può essere utilizzato anche senza effettuare l'accesso. Nome, classe e contatto sono facoltativi. Le segnalazioni non sono visibili agli altri studenti.

Se configurato dalla scuola, il contenuto della segnalazione può essere inoltrato via email ai docenti o referenti individuati tramite il servizio EmailJS.

7Fornitori tecnici

La piattaforma utilizza servizi tecnici di terze parti, tra cui:

• Netlify, per la pubblicazione del sito;
• Supabase, per database, sessioni applicative ed Edge Functions;
• OpenAI API, limitatamente alle interazioni del Lab 2;
• EmailJS, se attivato, per l'invio automatico delle segnalazioni ai referenti;
• jsDelivr, per il caricamento di alcune librerie tecniche utilizzate dalla piattaforma e da Network Runner;
• Canva, soltanto quando l'utente sceglie di aprire il relativo servizio esterno per la produzione dei materiali;
• YouTube o Vimeo, soltanto se il conduttore configura nella piattaforma un video ospitato su uno di questi servizi.

I fornitori possono trattare dati tecnici secondo i propri termini, misure di sicurezza e accordi sul trattamento dei dati.

8Conservazione dei dati

Alla scadenza del periodo di conservazione, i dati vengono cancellati o resi anonimi, ove tecnicamente e giuridicamente possibile.

Le segnalazioni di disagio, bullismo o cyberbullismo possono richiedere tempi di conservazione differenti, determinati dal titolare del trattamento in base alla gestione del caso, agli obblighi applicabili e alla tutela degli interessati.

9Sicurezza

La piattaforma utilizza connessioni HTTPS, controlli di accesso al database tramite Row Level Security, sessioni applicative separate per studenti e conduttore, limitazione dell'accesso alle segnalazioni e protezioni anti-abuso per le funzioni AI.

Nessun sistema informatico può garantire sicurezza assoluta; l'accesso ai dati deve comunque essere limitato alle persone autorizzate.

10Cookie e altri strumenti di tracciamento

La versione attuale di Schermo Aperto non utilizza strumenti di analytics, pubblicità comportamentale o profilazione e non installa cookie di marketing.

I token di sessione applicativi sono mantenuti in sessionStorage, cioè nello spazio della scheda/sessione del browser, e non vengono salvati in cookie o nel localStorage persistente. Vengono rimossi al logout e non sono utilizzati per finalità di tracciamento.

Il playtest di Network Runner utilizza localStorage esclusivamente per ricordare sul dispositivo lo stato tecnico della prova e, in caso di temporanea assenza di rete, un feedback in attesa di invio. Il questionario di playtest e pochi dati tecnici di gioco (livello raggiunto, fallimenti, punteggio, interventi, viralità e tipo di dispositivo) sono salvati in una tabella separata dai dati didattici del Lab 2 e sono utilizzati soltanto per migliorare il gioco prima del suo impiego come strumento di peer education. Non sono usati per valutare lo studente, per pubblicità o profilazione.

11Diritti degli interessati

Gli interessati possono, nei casi previsti dal GDPR, chiedere accesso, rettifica, limitazione, cancellazione o opposizione al trattamento e possono rivolgersi al Garante per la protezione dei dati personali.

Le richieste vanno presentate al titolare del trattamento attraverso i contatti privacy dell'istituto scolastico.

12Indicazioni per studenti e famiglie

La piattaforma è progettata per raccogliere solo le informazioni necessarie alle attività.

Nei campi liberi è opportuno evitare di inserire dati personali di terzi, nomi completi, numeri di telefono, indirizzi o informazioni sanitarie, salvo quando ciò sia davvero necessario in una segnalazione destinata ai referenti scolastici.