Chi tratta i dati per nostro conto.
Class2Class coinvolge un piccolo gruppo di fornitori fidati per fornire parti della piattaforma : il database, il servizio di posta elettronica, il chatbot di assistenza clienti, le funzionalità di intelligenza artificiale. Ognuno di loro è in questo elenco, con la sua posizione, il meccanismo di trasferimento e il tutele contrattuali che abbiamo messo in atto.
DPA firmati
Ogni sub-responsabile del trattamento ha firmato un contratto scritto con Class2Class che impone gli stessi obblighi di protezione dei dati che accettiamo nei tuoi confronti, ai sensi dell'Art. 28(2)–(4).
Prima l'UE
Backend, data warehouse, hosting frontend AI, ETL ed e-mail vengono eseguiti tutti nell'UE. I trasferimenti negli Stati Uniti utilizzano le SCC, il quadro normativo sulla privacy dei dati UE-USA, ove applicabile, e una valutazione dell'impatto del trasferimento.
Nessuna formazione sull'intelligenza artificiale
A ogni sub-responsabile del trattamento AI (Chatbase, OpenAI, Google Gemini, Anthropic) è contrattualmente vietato utilizzare i dati di Class2Class per addestrare qualsiasi modello di AI, il proprio o di chiunque altro.
Preavviso di 30 giorni
Le scuole partner vengono informate di qualsiasi aggiunta, sostituzione o modifica materiale con almeno 30 giorni di calendario in anticipo, con una finestra di 15 giorni per opporsi per motivi ragionevoli.
Diciassette sub-responsabili del trattamento, organizzati in base a ciò che fanno.
Fai clic su qualsiasi fornitore per aprire direttamente la relativa documentazione sulla privacy o DPA.
Xano
Solo autenticazione legacy. Xano non fornisce più i dati della piattaforma. Viene raggiunto in due casi specifici durante la migrazione di Supabase: verificare la password di un account importato che non è ancora stato convertito e risolvere una sessione legacy. Entrambi i percorsi verranno ritirati.
Vercello
Infrastruttura di hosting ed edge runtime per la piattaforma Class2Class e AI Gateway che indirizza le nostre funzionalità AI ai loro fornitori di modelli.
Supabase
Database della piattaforma, autenticazione, archiviazione di file e servizi in tempo reale. Man mano che la piattaforma migra da Xano, è qui che risiedono i dati di account, progetti e messaggi.
BiscottoSì
piattaforma di gestione del consenso: memorizza e rispetta le tue scelte di consenso sui cookie in tutto il sito. Il cookie di consenso stesso è strettamente necessario.
Sentinella
Monitoraggio degli errori e delle prestazioni: acquisisce rapporti su eccezioni e arresti anomali in modo da poter mantenere stabile la piattaforma. Ospitato nella regione europea di Sentry (Francoforte). i dati personali non vengono inviati per impostazione predefinita e i restanti dati dell'evento vengono cancellati prima dell'invio; gli eventi vengono incanalati attraverso un proxy di prima parte sul nostro dominio. La conservazione è l'impostazione predefinita del piano Sentry Developer di circa 30 giorni.
Chatbase
Chatbot di assistenza clienti basato sull'intelligenza artificiale. Sistema AI-01 nel nostro inventario AI.
OpenAI
API LLM raggiunta tramite Vercel AI Gateway come fornitore di fallback per la generazione di testo di Project Creation Assistant quando il modello predefinito non è disponibile. Solo per insegnanti. Sistema AI-02.
Google (API Gemini)
Generazione di immagini per copertine di progetti (Gemini 2.5 Flash, "Nano Banana") e un fornitore di testo di fallback raggiunto tramite Vercel AI Gateway. Solo invocato dall'insegnante. Sistemi AI-04 e AI-02.
Antropico (Claude)
Modello predefinito per le funzionalità di testo dell'Assistente alla creazione di progetti (Claude Haiku), raggiungibile tramite Vercel AI Gateway - solo per insegnanti. Anche lo staff assistente di Class2Class utilizza per interrogare il data warehouse. Sistemi AI-02 e AI-05.
PostHog
Analisi dell'utilizzo del prodotto all'interno della piattaforma: il successore di Mixpanel. controllato dal consenso; la riproduzione della sessione e l'acquisizione delle eccezioni sono disattivate.
Staffa
Proxy di tagging lato server di prima parte che inoltra eventi di analisi da un sottodominio Class2Class, mantenendo il tagging di prima parte e controllato dal consenso.
Pannello misto
Analisi del prodotto : essere in pensione. Non imposta più cookie sulla piattaforma; i dati storici vengono conservati solo nel data warehouse e coperti dal programma di conservazione dell'Informativa sulla privacy.
Google Analytics
Analisi del sito Web per il sito di marketing. Anonimizzazione IP abilitata.
Google Cloud: BigQuery
Data warehouse centralizzato per dati su prodotti, marketing e utilizzo della piattaforma. Solo analisi interne.
Airbyte
Piattaforma ETL: sposta i dati da Mixpanel, Google Analytics, Search Console, Meta Ads e Xano a BigQuery.
Brevo
E-mail transazionali e di marketing: e-mail di reimpostazione della password, annunci di programmi, newsletter di adesione.
Meta
Pixel di marketing e pubblicità: solo basati sul consenso, mai attivati senza il consenso esplicito dei cookie.
Tutti i 17 sub-responsabili del trattamento in un unico posto.
Per le scuole partner, gli enti regolatori e i revisori dei conti che desiderano una visione completa in un'unica tabella.
| # | sub-responsabile del trattamento | Servizio | Posizione | Meccanismo di trasferimento | Riferimento |
|---|---|---|---|---|---|
| 1 | Xano (Xano, Inc.) | Solo coda di autenticazione legacy: verifica della password per gli account importati che non sono stati convertiti e risoluzione della sessione legacy | Unione Europea | Non applicabile – Stoccaggio nell’UE | Informativa sulla privacy |
| 2 | Brevo (Sendinblue SAS) | E-mail transazionali e di marketing | Unione Europea | Non applicabile – Stoccaggio nell’UE | Informativa sulla privacy |
| 3 | Mixpanel (Mixpanel, Inc.) | Analisi del prodotto: andare in pensione; sostituito da PostHog (solo dati storici) | Stati Uniti | SCC + TIA | DPA |
| 4 | Google Analytics (Google LLC) | Analisi del sito web | Stati Uniti | DPF UE-USA (Google LLC) + fallback SCC + TIA + anonimizzazione IP | Privacy |
| 5 | Meta (Meta Piattaforme, Inc.) | Pixel di marketing, pubblicità (basato sul consenso) | Stati Uniti | SCC + TIA | DPA |
| 6 | Chatbase (Chatbase, Inc.) | Chatbot di assistenza clienti AI (sistema AI-01) | Stati Uniti | SCC + TIA + formazione contrattuale senza intelligenza artificiale | Privacy |
| 7 | OpenAI (OpenAI, LLC) | Fornitore LLM fallback per la generazione di testo assistente alla creazione di progetti, tramite AI Gateway; solo insegnante (sistema AI-02) | Stati Uniti | SCC + TIA · API standard: nessuna formazione predefinita · Conservazione di 30 giorni per il monitoraggio degli abusi | Privacy e protezione dei dati personali |
| 8 | Google – API Gemini (Google LLC) | Generazione di immagini per copertine di progetti (sistema AI-04); fornitore di testo di fallback tramite AI Gateway (sistema AI-02); solo per insegnanti | Stati Uniti | DPF UE-USA (Google LLC) + fallback SCC + TIA + formazione contrattuale senza intelligenza artificiale | DPA |
| 9 | Vercel (Vercel, Inc.) | Hosting e edge runtime per la piattaforma; AI Gateway instrada le funzionalità AI ai fornitori di modelli | Unione Europea | Non applicabile: regioni dell'UE configurate | DPA |
| 10 | Google Cloud – BigQuery (Google LLC) | Data warehouse per analisi di prodotti, marketing e utilizzo della piattaforma; solo personale | Unione Europea | Regioni UE configurate · DPF (Google LLC) per qualsiasi trattamento control-plane | Panoramica del GDPR |
| 11 | Airbyte (Airbyte, Inc.) | Piattaforma ETL: sposta i dati in BigQuery in base a una pianificazione | Regione UE | SCC + TIA in caso di trasferimento negli Stati Uniti; altrimenti residenza UE | Protezione dei dati |
| 12 | Antropico (PBC antropico: Claude) | LLM predefinito per la generazione di testo dell'assistente alla creazione di progetti tramite AI Gateway, solo per insegnanti (sistema AI-02); assistente data warehouse del personale (sistema AI-05) | Stati Uniti | SCC + TIA + Termini commerciali antropici senza formazione sull'intelligenza artificiale | Legale |
| 13 | PostHog (PostHog, Inc.) | Analisi dell'utilizzo del prodotto all'interno della piattaforma (successore di Mixpanel); limitato al consenso, riproduzione della sessione disattivata | Unione Europea (EU Cloud, Francoforte) | Non applicabile: configurato per il cloud UE; SCC di riserva per qualsiasi accesso al piano di controllo statunitense; nessuna formazione contrattuale sull'intelligenza artificiale | DPA |
| 14 | CookieSì (Synconize Solutions Pvt. Ltd.) | piattaforma di gestione del consenso: memorizza e rispetta le scelte relative ai cookie-consenso | India | SCC + TIA | DPA |
| 15 | Staffa (Stape OÜ) | Proxy di tagging lato server di prima parte: inoltra eventi di analisi | Unione Europea (Estonia) | Non applicabile – Stoccaggio nell’UE | Termini |
| 16 | Sentry (Software funzionale, Inc.) | Monitoraggio degli errori e delle prestazioni: nessuna PII per impostazione predefinita + dati degli eventi cancellati; conservazione ≈ 30 giorni (impostazione predefinita del piano sviluppatore) | Unione Europea (regione UE, Francoforte) | Non applicabile: regione UE configurata; Gli SCC fanno ricorso a qualsiasi accesso al piano di controllo statunitense | DPA |
| 17 | Supabase (Supabase, Inc.) | Database della piattaforma, autenticazione, archiviazione di file e servizi in tempo reale | Unione Europea | Non applicabile: regione dell'UE (eu-west-1) | DPA |
Cosa significa in parole povere "sub-responsabile del trattamento".
Un sub-responsabile del trattamento è un servizio di terze parti che utilizziamo per fornire alcune parti della piattaforma Class2Class, ad esempio il database che memorizza il tuo account, il servizio di posta elettronica che ti invia un collegamento per reimpostare la password o lo strumento di analisi che ci aiuta a capire quali funzionalità utilizzano effettivamente gli insegnanti. Ogni sub-responsabile del trattamento presente in questa lista:
- Ha firmato un contratto scritto con Class2Class che impone loro di proteggere i tuoi dati secondo lo stesso standard che facciamo noi
- È in questo elenco perché svolgono un ruolo specifico che non possiamo svolgere noi stessi sulla nostra scala
- Viene rivisto prima dell'incarico e successivamente almeno una volta all'anno
Non vendiamo i tuoi dati personali a nessunoe nessun sub-responsabile del trattamento in questo elenco utilizza i dati di Class2Class per addestrare modelli di intelligenza artificiale, siano essi propri o di terze parti.
Trasferimenti internazionali e valutazioni di impatto dei trasferimenti
Laddove un sub-responsabile del trattamento sia stabilito al di fuori dello Spazio Economico Europeo (SEE), ci affidiamo a un meccanismo di trasferimento valido ai sensi del Capo V del GDPR. I meccanismi che utilizziamo, in ordine di preferenza:
- UE-USA Quadro normativo sulla privacy dei dati (DPF) : per i sub-responsabili certificati ai sensi del DPF, la decisione di adeguatezza (UE) 2023/1795 della Commissione Europea del 10 luglio 2023 fornisce una base di adeguatezza per i trasferimenti negli Stati Uniti. Google LLC (che copre Google Analytics, Google Cloud/BigQuery e l'API Gemini di Google) è certificato DPF.
- clausola contrattuale tipo (SCC) : utilizzato come meccanismo principale per i sub-responsabili statunitensi non certificati DPF (Mixpanel, Meta, Chatbase, OpenAI, Anthropic) e per CookieYes (India), e come riserva per quelli certificati DPF e per l'accesso accidentale al piano di controllo dei fornitori ospitati nell'UE (ad esempio PostHog, Sentry).
- Valutazione dell'impatto del trasferimento (TIA) : integrato in modo trasversale, ai sensi dell'art Schrems II sentenza e Raccomandazioni dell’EDPB 01/2020. Il TIA viene mantenuto internamente e fornito alle scuole partner su richiesta ragionevole.
Sub-responsabili del trattamento dell'IA: garanzie aggiuntive
Class2Class utilizza le funzionalità AI in linea con questo principio "Decidi tu. L'intelligenza artificiale aiuta." : gli insegnanti e il personale rimangono i decisori, l’intelligenza artificiale è solo assistiva. Qualora un sub-responsabile del trattamento AI tratti dati personali per nostro conto:
- Il contratto vieta al sub-responsabile del trattamento di utilizzare i dati di Class2Class per addestrare qualsiasi modello di intelligenza artificiale, sia proprio che di terzi.
- Il sistema di intelligenza artificiale è classificato come non ad alto rischio (o a rischio limitato per i sistemi che interagiscono direttamente con gli utenti) ai sensi della legge UE sull'intelligenza artificiale ed è documentato nel nostro inventario dei sistemi di intelligenza artificiale e nella valutazione ai sensi dell'articolo 6, paragrafo 3.
- Quando un sistema interagisce direttamente con una persona fisica, si identifica come IA prima che la conversazione abbia inizio, in conformità con l’articolo 50 della legge UE sull’AI
Gli attuali sub-responsabili del trattamento AI in questo elenco sono Chatbase (rischio limitato, assistenza clienti - sistema AI-01), OpenAI (API LLM, riservata agli insegnanti, non ad alto rischio ai sensi dell'articolo 6, paragrafo 3, lettera b): sistema AI-02), Google (Gemelli) (generazione di immagini, riservata esclusivamente agli insegnanti, non ad alto rischio ai sensi dell'articolo 6, paragrafo 3, lettera b): sistema AI-04), e Antropico (Claude) (analisi interne, riservato al personale, nessuna applicabilità dell'allegato III, nessun obbligo di cui all'articolo 50: sistema AI-05).
Vercel, Google Cloud (BigQuery) e Airbyte lo sono no Sub-responsabili del trattamento AI: Vercel ospita l'infrastruttura, BigQuery è un data warehouse e Airbyte è una piattaforma ETL. Nessuno di loro addestra modelli di intelligenza artificiale su dati Class2Class.
Domande poste dalle scuole partner e dagli enti regolatori.
Perché alcuni sub-responsabili del trattamento hanno sede negli Stati Uniti?
Alcuni servizi specializzati da cui dipendiamo (API LLM, alcuni strumenti di analisi, chatbot di assistenza clienti) non sono disponibili con le nostre operazioni esclusivamente nell'UE. In caso di trasferimento negli Stati Uniti, ci basiamo sul quadro normativo sulla privacy dei dati UE-USA (dove il fornitore è certificato DPF), sulla clausola contrattuale tipo e su una valutazione dell'impatto del trasferimento integrata per Schrems II e Raccomandazioni dell'EDPB 01/2020.
Il TIA viene mantenuto internamente e condiviso con le scuole partner su richiesta ragionevole.
Come verrò avvisato quando questo elenco cambia?
Le scuole partner vengono avvisate con almeno 30 giorni di calendario in anticipo tramite il contatto registrato nell'accordo sul trattamento dei dati firmato. Le scuole possono opporsi a una modifica proposta per ragionevoli motivi di protezione dei dati entro 15 giorni di calendario.
I singoli utenti (docenti, genitori) che vogliono essere informati di cambiamenti materiali possono scrivere a dpo@class2class.org e ti aggiungeremo all'elenco delle notifiche.
Qualcuno di questi sub-responsabili addestra modelli di intelligenza artificiale sui nostri dati?
No. A ciascuno dei quattro sub-responsabili del trattamento dell'intelligenza artificiale che utilizziamo (Chatbase, OpenAI, Google Gemini e Anthropic) è contrattualmente vietato utilizzare dati Class2Class per addestrare qualsiasi modello di intelligenza artificiale, sia proprio che di terze parti.
Per OpenAI in particolare, utilizziamo l'API standard che non prevede formazione per impostazione predefinita; OpenAI conserva i dati di richiesta/risposta API per 30 giorni per il monitoraggio degli abusi (come responsabile del trattamento, finalità di sicurezza) e poi li cancella. Il nostro DPA Appendice D.6 contiene i dettagli contrattuali.
Dove sono effettivamente archiviati i dati degli studenti della mia scuola?
La posizione principale per i dati dell'account, il contenuto del progetto e i messaggi della piattaforma è Supabase nell'UE (regione eu-ovest-1). Xano conserva ancora i dati di autenticazione legacy nell'UE fino al ritiro dei rimanenti percorsi di autenticazione. Alcuni dati operativi e analitici passano attraverso sub-responsabili del trattamento con sede negli Stati Uniti nel rispetto delle garanzie sopra descritte.
Per le scuole in cui i trasferimenti statunitensi non sono accettabili per nessun tipo di dati, scrivere a dpo@class2class.org : possiamo discutere quali flussi di dati possono essere disattivati (analisi, pixel di marketing) mantenendo funzionale la piattaforma principale.
Posso ottenere una copia della valutazione dell'impatto del trasferimento?
Sì, le scuole partner possono richiedere una copia dell'attuale TIA dpo@class2class.org. Viene revisionato annualmente e in occasione di ogni modifica all'ubicazione dei dati o ai termini contrattuali del sub-responsabile del trattamento.
Come posso oppormi ad una modifica del sub-responsabile del trattamento?
Le scuole partner hanno 15 giorni di calendario dalla notifica per opporsi per motivi ragionevoli legati alla protezione dei dati. Scrivi a dpo@class2class.org con le basi per la tua opposizione e lavoreremo con te su un percorso da seguire - che potrebbe consistere in ulteriori garanzie contrattuali, un sub-responsabile alternativo del trattamento o, in rari casi, la risoluzione del rapporto.
Hai una domanda sul sub-responsabile del trattamento?
Che tu sia una scuola partner che esegue due diligence, un ente regolatore che esegue un audit o un insegnante che desidera capire chi gestisce i tuoi dati, saremo felici di rispondere. Scrivi direttamente al nostro DPO.
- responsabile della protezione dei datiGiancarlo Mena: dpo@class2class.org
- Scuole partnerIl tuo account manager designato o dpo@class2class.org
- Preoccupazione generalesupport@class2class.org
- Preoccupazione per l'amministratore delegatoRevisore indipendente: class2class.org@gmail.com
- Presentare un reclamoDatatilsynet: dt@datatilsynet.dk
Cerchi l'accordo completo sul trattamento dei dati?
Se la tua scuola si sta preparando all'integrazione con Class2Class, scrivi al nostro DPO all'indirizzo dpo@class2class.org per l'attuale modello DPA. Copre ogni sub-responsabile del trattamento presente in questo elenco nell'Appendice C, con SCC, meccanismi di trasferimento, SLA di notifica delle violazioni e misure tecniche e organizzative specifiche per l'IA.
Invia un'e-mail al DPO