Informativa privacy

Chi è il titolare del trattamento

Il titolare è chi decide come e perché i tuoi dati vengono trattati, ed è la persona a cui puoi scrivere per qualunque domanda o richiesta legata a questa informativa.

Il titolare del trattamento è Giovanni Boccardo. Puoi scrivergli a privacy@riadotta.it, ed è la casella giusta anche per esercitare i diritti elencati più sotto.

Quali dati trattiamo

L'account

Alla registrazione ti chiediamo il minimo: nome, email, una password e la tua fascia d'età, cioè se hai fra i 14 e i 17 anni oppure sei maggiorenne. La fascia serve a sapere cosa chiederti: chi dichiara di avere fra i 14 e i 17 anni deve anche confermare che un suo genitore sa che usa RiAdotta ed è d'accordo. La fascia dichiarata la conserviamo insieme all'account. La password invece non la conosciamo nemmeno noi: la conserviamo solo in forma cifrata (hash) e non è recuperabile, solo reimpostabile.

Le classi che segui

Per farti trovare i libri giusti registri scuola, anno e sezione delle classi che ti interessano, anche per più figli. Se dai un nome a una classe (per esempio "il grande" o "2ª B"), quell'etichetta la vedi solo tu: non compare mai agli altri utenti. Ti consigliamo comunque un'etichetta neutra invece del nome del bambino.

I libri che offri e che cerchi

Quando metti in circolo un libro salviamo edizione, condizioni e l'eventuale prezzo che proponi; quando ne cerchi uno salviamo la lista che ti serve e il raggio entro cui vuoi cercare. Il raggio si misura da scuola a scuola: il tuo indirizzo di casa non ce l'abbiamo e non lo vogliamo.

Richieste, accordi e scambi

Teniamo traccia delle richieste che mandi e ricevi, delle accettazioni e degli scambi confermati: è la memoria che fa funzionare il servizio e il contatore dei libri salvati.

I dati tecnici

Come ogni sito, per far funzionare l'accesso registriamo dati di sessione (indirizzo IP e tipo di browser) per la durata tecnica necessaria. I cookie sono solo tecnici e sono descritti nella cookie policy.

Perché li trattiamo e con quale base giuridica

• Per darti il servizio (art. 6.1.b GDPR, contratto): creare l'account, calcolare i match, gestire richieste e scambi, mandarti le email di servizio (verifica, avvisi sui libri, conferme).
• Per tenere il sito sicuro (art. 6.1.f, legittimo interesse): log tecnici, prevenzione degli abusi, protezione degli account.
• Per rispondere alla legge (art. 6.1.c, obbligo legale): se un'autorità ce lo chiede legittimamente.

Oggi nessun trattamento si basa sul consenso: non usiamo cookie che lo richiedano e non facciamo marketing. Se un domani ne aggiungeremo uno, te lo chiederemo allora, dicendoti di che strumento si tratta: un consenso raccolto oggi, su qualcosa che non esiste ancora, non sarebbe valido, e non ce lo teniamo in tasca per il futuro.

Chi può vedere i tuoi dati

RiAdotta è un luogo di incontro tra famiglie, quindi qualcosa si vede per forza, ma il perimetro è stretto:

• le altre famiglie vedono il tuo nome accanto ai libri che offri o che chiedi, con scuola e classe del libro;
• la tua email viene condivisa solo con l'altra persona di uno scambio, e solo dopo che la richiesta è stata accettata: da lì vi organizzate direttamente;
• i prezzi proposti sono visibili solo a chi ha un account;
• chi non è registrato non vede mai nomi, email o contatti.

Non vendiamo i tuoi dati a nessuno, non li cediamo per pubblicità e non facciamo profilazione. Il matching è un confronto automatico tra liste di adozione e copie disponibili: non produce decisioni con effetti giuridici su di te, e proporre o accettare uno scambio resta sempre una scelta tua.

Le segnalazioni

Chiunque può segnalarci un comportamento contrario ai termini di servizio o un fatto che mette a rischio una persona, scrivendo a ciao@riadotta.it: anche chi non è iscritto, e anche senza firmarsi. Una segnalazione contiene dati di due persone: di chi scrive, se si firma, e di chi viene segnalato. Li trattiamo per tenere il servizio sicuro (art. 6.1.f GDPR, legittimo interesse) e, quando il fatto lo richiede, per rispondere all'autorità (art. 6.1.c). Conserviamo i fatti riferiti e la decisione presa per 2 anni dalla decisione: è il tempo che serve a riconoscere un comportamento che si ripete da un anno scolastico all'altro.

Chi è segnalato può chiedere accesso ai fatti che lo riguardano e alla decisione presa, ma non all'identità di chi ha segnalato, né ai passaggi del racconto che la rivelerebbero: il diritto di accesso non può ledere i diritti e la sicurezza di altre persone (art. 15.4 GDPR).

Dove stanno i dati e chi ci aiuta

Il server e il database stanno in un data center OVHcloud in Italia: l'account, le classi, i libri e gli scambi non lasciano l'Unione europea. Per la manutenzione dei sistemi può intervenire a distanza una società del gruppo OVHcloud dal Regno Unito o dal Canada: sono paesi che per la Commissione europea proteggono i dati in modo adeguato (art. 45 GDPR).

Le email di servizio le spedisce Brevo, che a sua volta si appoggia a dei sub-fornitori. Alcuni di loro hanno sede negli Stati Uniti o in India, quindi per quello che viaggia dentro una email (il tuo nome, il tuo indirizzo, e il contenuto del messaggio: titoli dei libri, scuola, e il nome dell'altra famiglia quando accettate uno scambio) c'è un trasferimento fuori dall'Unione europea. Avviene con le garanzie degli articoli 44-49 del GDPR: clausole contrattuali tipo e, per gli Stati Uniti, il Data Privacy Framework. Se vuoi l'elenco aggiornato di quei sub-fornitori, chiedicelo e te lo mandiamo.

I fornitori, nominati responsabili del trattamento ai sensi dell'art. 28 GDPR:

• Brevo SAS (Parigi, Francia): l'invio delle email di servizio;
• OVHcloud: il server e il database, nel data center di Milano, alimentato con energia rinnovabile.

Le liste di adozione arrivano dagli open data del Ministero dell'Istruzione e del Merito e non contengono dati personali.

Per quanto tempo li conserviamo

• Account e dati collegati: finché l'account resta aperto. Puoi cancellarlo tu, quando vuoi, da Il mio account: la cancellazione è immediata, non ci sono 30 giorni da aspettare. Se preferisci scriverci, ce ne occupiamo noi entro un mese.
• Sessioni: scadono dopo 2 ore di inattività; l'accesso "Ricordami" dura fino a 400 giorni o finché esci.
• Richieste e scambi: restano nel tuo storico finché l'account esiste, perché raccontano i libri passati di mano.
• Copie di sicurezza: una copia dei dati resta nei backup per al massimo 14 giorni. Servono solo a ripristinare il servizio dopo un guasto, non li apriamo per altro; se un ripristino riportasse indietro dati che avevi cancellato, le cancellazioni si rieseguono.

Una cosa sopravvive alla cancellazione, e vale la pena dirla prima: gli scambi che hai già concluso. Uno scambio riguarda due famiglie, e la riga nello storico è anche dell'altra. Quando cancelli il tuo account quella riga resta a lei, ma perde il tuo nome: al suo posto legge «una famiglia che ha lasciato RiAdotta». Da quel momento non c'è più niente che riconduca a te: resta il fatto che un libro è passato di mano, che è successo davvero e che tiene onesto il conto della carta risparmiata.

I tuoi diritti

Il GDPR (articoli 15-22) ti dà il diritto di accedere ai tuoi dati, farli correggere, farli cancellare, limitarne l'uso, riceverli in un formato portabile e opporti ai trattamenti basati sul legittimo interesse. Per esercitarli basta scrivere all'email del titolare indicata sopra: rispondiamo entro un mese. Se la richiesta è particolarmente complessa possiamo impiegare fino a due mesi in più, e in quel caso te lo diciamo entro il primo mese.

La cancellazione però non devi chiederla a nessuno: la fai da Il mio account, con la tua password, ed è immediata. Ti diciamo prima cosa sparisce e cosa resta.

Se pensi che qualcosa non vada, puoi sempre fare reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).

I dati dei minori

RiAdotta è pensata per i genitori e per chi ha almeno 14 anni: è l'età da cui in Italia si può decidere da soli del trattamento dei propri dati in un servizio digitale. Per questo alla registrazione ognuno dichiara la propria fascia d'età, e il modulo non offre una strada a chi ha meno di 14 anni: per i bambini si iscrive il genitore. Chi dichiara di avere fra i 14 e i 17 anni conferma anche che in famiglia lo sanno. È una dichiarazione, non una verifica: non chiediamo documenti. I dati che riguardano i tuoi figli li inserisci tu e sono ridotti all'osso: scuola, anno e sezione. Niente foto, niente date di nascita, niente nomi richiesti. Le etichette di classe sono libere e private, ma il consiglio resta: meglio "la piccola" che nome e cognome.

Anche il nome dell'account può essere sobrio: va bene quello della famiglia («Famiglia Bianchi»), e a chi ha fra i 14 e i 18 anni suggeriamo il solo nome di battesimo, senza cognome.

Come proteggiamo i dati

Connessione cifrata (HTTPS) in produzione, password salvate solo come hash, cookie di sessione protetti (HttpOnly, SameSite), accessi al pannello di amministrazione riservati. Il sito non carica risorse da domini di terze parti: quello che vedi arriva tutto dai nostri server.

Se cambia qualcosa

Questa è la prima versione dell'informativa, quella con cui RiAdotta parte. Se cambia in modo sostanziale lo segnaliamo sul sito e aggiorniamo la data in testa alla pagina, e la versione di prima non finisce in un cassetto: resta pubblicata per intero, con il sommario di cosa è cambiato, in le versioni di questa informativa. Così potrai vedere sotto quali condizioni hai usato RiAdotta quando l'hai usata.