Privacy Policy
Patentino per cittadini digitali
Versione privacy-2026-v3 — 23 settembre 2026
Questa informativa integra l’Informativa sul trattamento dei dati personali dell’USR Umbria e descrive esclusivamente i trattamenti ulteriori o specifici connessi al portale «Patentino per cittadini digitali». Per Titolare, RPD/DPO, finalità e base giuridica generali del sito e dei servizi, dati di navigazione, destinatari generali, modalità del trattamento, diritti, reclamo e natura generale del conferimento si rinvia a: https://istruzione.umbria.it/privacy/.
La presente informativa non ripete le informazioni già pubblicate dall’USR Umbria. Le integra soltanto per account e procedure del progetto, posta dedicata, Chatbase, video esterni, fornitori specifici, tempi di conservazione e trasferimenti internazionali connessi a tali servizi.
1. Ambito e informative specifiche
Le seguenti procedure sono disciplinate da informative dedicate, che integrano sia la presente pagina sia l’informativa generale dell’USR Umbria:
- Iscrizione della scuola al progetto: adesione, referenti, incontri, verifica della visione e attività connesse.
- Registrazione del docente al portale: account, attivazione, autenticazione e gestione dell’accesso.
- Cookie Policy del progetto: cookie, archiviazione locale, servizi esterni e gestione delle preferenze.
Le informative dei fornitori descrivono i trattamenti di loro competenza, ma non sostituiscono le informazioni relative alle attività svolte attraverso il portale.
2. Trattamenti specifici del portale
2.1 Posta elettronica dedicata al progetto
Le caselle di posta del progetto, gestite tramite Aruba, sono utilizzate per comunicazioni di servizio, corrispondenza organizzativa e richieste di assistenza. Possono essere trattati mittente, destinatari, oggetto, testo, data, allegati e dati tecnici di recapito. I messaggi relativi a iscrizioni e account sono descritti anche nelle informative delle rispettive procedure.
È opportuno inviare soltanto informazioni pertinenti, evitando password, codici di accesso e dati personali di studenti o di altre persone non necessari alla richiesta.
2.2 Assistenza conversazionale Chatbase
Il portale può mettere a disposizione un widget facoltativo di Chatbase Inc. Il widget viene caricato soltanto dopo il consenso espresso per questo servizio. Prima dell’attivazione, i suoi componenti non devono effettuare richieste al fornitore.
Dopo l’attivazione, Chatbase può ricevere dati tecnici di connessione e, se il servizio viene utilizzato, messaggi, risposte, identificativo e metadati della conversazione, tempi delle interazioni ed eventuali recapiti forniti volontariamente. Il servizio può utilizzare cookie e local storage per mantenere la conversazione.
Non devono essere inseriti password, codici di accesso, dati sanitari, altre informazioni particolarmente delicate o dati identificativi di studenti e terzi non necessari. Le risposte sono generate automaticamente e possono contenere errori; per una verifica deve restare disponibile un canale di assistenza umano.
2.3 Video YouTube e/o Vimeo
Il portale può utilizzare video ospitati su YouTube, servizio di Google, e/o Vimeo. Quando il lettore esterno è autorizzato e caricato, il fornitore può ricevere indirizzo IP, informazioni sul browser e sul dispositivo, pagina visitata, identificatori e dati di interazione con il video. Se l’utente è autenticato presso il fornitore, tali dati possono essere associati al relativo account secondo l’informativa del servizio.
Il lettore e le risorse esterne collegate devono essere caricati soltanto dopo il consenso al fornitore prescelto e la richiesta di visualizzazione. Le impostazioni di maggiore riservatezza dei player non equivalgono all’assenza di comunicazioni al fornitore. Gli eventuali progressi registrati dal portale sono disciplinati dall’informativa relativa alla specifica procedura.
3. Finalità e basi giuridiche specifiche
| Finalità specifica | Base giuridica | Conseguenze della scelta |
|---|---|---|
| Gestire la corrispondenza relativa al progetto tramite le caselle dedicate | Art. 6, par. 1, lett. e), GDPR, nell’ambito del compito istituzionale descritto nell’informativa generale e negli atti del progetto. | L’invio è facoltativo; senza recapiti o informazioni sufficienti potrebbe non essere possibile rispondere. |
| Attivare Chatbase e trattare la conversazione per fornire assistenza facoltativa | Art. 6, par. 1, lett. a), GDPR; consenso agli strumenti sul terminale ai sensi dell’art. 122 del d.lgs. 196/2003. | Il consenso è facoltativo e revocabile; resta disponibile il canale e-mail. |
| Attivare YouTube o Vimeo e consentire la riproduzione del video esterno | Art. 6, par. 1, lett. a), GDPR; art. 122 del d.lgs. 196/2003 per cookie e strumenti non necessari. | Senza consenso il lettore esterno resta bloccato. |
| Registrare e rispettare le preferenze relative ai servizi facoltativi | Art. 6, par. 1, lett. c), GDPR, in relazione agli artt. 5, par. 2, e 7, par. 1. | Sono conservati soltanto gli elementi necessari a rispettare e dimostrare la scelta. |
La presa visione delle informative di iscrizione o registrazione non costituisce consenso ai servizi facoltativi. Il consenso raccolto dal portale non autorizza trattamenti ulteriori svolti dai fornitori per proprie finalità.
4. Conservazione specifica
| Dati | Termine previsto | Precisazioni |
|---|---|---|
| Messaggi e allegati nelle caselle di posta del progetto | 5 anni dalla data di invio o ricezione | La durata deve essere coordinata con il piano di conservazione dell’Amministrazione e con l’eventuale inserimento del messaggio in una pratica. |
| Conversazioni Chatbase e relativi metadati trattati per conto del progetto | 30 giorni dall’ultima interazione | Cancellazione tramite le funzioni del servizio o la procedura concordata con il fornitore. La durata non coincide con quella degli identificatori nel browser. |
| Copie di sicurezza giornaliere del portale | Massimo 30 giorni dalla creazione | Eliminazione o sovrascrittura secondo il ciclo di backup; accesso riservato agli autorizzati al ripristino. |
| Cookie e archiviazione locale | Durate indicate nella Cookie Policy del progetto | Le durate devono corrispondere all’inventario e alla configurazione tecnica effettivi. |
I dati cancellati dall’ambiente operativo possono permanere nelle copie di sicurezza preesistenti fino alla loro naturale scadenza. In caso di ripristino devono essere riapplicate le cancellazioni e le rettifiche intervenute successivamente alla copia.
Una conservazione ulteriore è ammessa soltanto per dati necessari alla gestione documentata di incidenti, richieste dell’autorità, obblighi normativi o contenziosi. Motivo, dati, accessi e durata devono essere delimitati e documentati.
5. Fornitori specifici
In relazione ai trattamenti specifici descritti possono accedere ai dati, nei limiti del servizio svolto:
- Amazon Web Services, per l’hosting e le copie di sicurezza del portale nella configurazione adottata.
- Aruba, per le caselle di posta dedicate al progetto.
- Chatbase Inc. e i relativi subfornitori, quando l’utente attiva il servizio conversazionale.
- Google/YouTube e/o Vimeo, quando l’utente attiva il relativo lettore video.
Quando un fornitore tratta dati per conto dell’Amministrazione deve essere disciplinato ai sensi dell’art. 28 GDPR. Per i trattamenti svolti dal fornitore per finalità proprie si applicano il ruolo e le condizioni descritti nella sua informativa. Il ruolo di Google/YouTube o Vimeo non deve essere qualificato automaticamente come responsabile del trattamento.
6. Trasferimenti connessi ai servizi specifici
L’attivazione di Chatbase, YouTube o Vimeo può comportare comunicazioni dirette dal browser a fornitori che trattano dati anche negli Stati Uniti. La localizzazione dell’hosting e della posta deve essere verificata rispetto ai servizi effettivamente acquistati, ai subfornitori e agli eventuali accessi di assistenza.
| Servizio | Riferimento da verificare |
|---|---|
| Chatbase | Il DPA del fornitore incorpora le clausole contrattuali standard della decisione (UE) 2021/914 per i flussi pertinenti; il modulo applicabile dipende dal ruolo delle parti. |
| YouTube / Google | Google dichiara per Google LLC l’adesione al Data Privacy Framework UE-USA e l’uso di clausole contrattuali standard per i flussi pertinenti. |
| Vimeo | Vimeo dichiara l’adesione al Data Privacy Framework UE-USA e il ricorso alle clausole contrattuali standard ove appropriato. |
| Aruba — posta | Devono essere verificati il contratto e l’accordo applicabili al servizio di posta effettivamente acquistato. |
Per i flussi coperti dal Data Privacy Framework UE-USA il riferimento è la decisione di adeguatezza (UE) 2023/1795, limitatamente a destinatari con certificazione attiva e ai trattamenti coperti. Per gli altri flussi deve essere individuata la garanzia concretamente applicabile. Il consenso ai servizi facoltativi non sostituisce le condizioni richieste per il trasferimento internazionale.
7. Risposte automatizzate
Chatbase genera risposte automatiche di assistenza, ma non decide l’ammissione al progetto e non attribuisce diritti o attestazioni. Per chiarimenti o correzioni deve essere possibile rivolgersi a un operatore tramite i recapiti del progetto. Questa precisazione non riguarda eventuali trattamenti autonomi dei fornitori, descritti nelle rispettive informative.
8. Aggiornamenti e rinvio
La presente informativa è aggiornata quando cambiano servizi, fornitori, categorie di dati, tempi di conservazione o modalità del trattamento. Per tutto ciò che è già disciplinato dall’informativa generale, compresi Titolare, RPD/DPO, dati di navigazione, modalità del trattamento, diritti e reclamo, si rinvia all’Informativa sul trattamento dei dati personali dell’USR Umbria: https://istruzione.umbria.it/privacy/.
Il dettaglio relativo a cookie, local storage, blocco preventivo dei componenti e gestione delle preferenze è riportato nella Cookie Policy specifica del progetto.