I tuoi dati, trattati con rispetto.

Chi siamo

Class2Class ApS ("Class2Class", "noi", "nostro", "ci") gestisce la piattaforma Class2Class.org. Siamo un'azienda danese. Il titolare del trattamento dei dati personali trattati sulla piattaforma è:

Per i dati trattati da Class2Class per conto di una scuola partner (titolare del trattamento–responsabile del trattamento dei dati degli studenti nell'ambito di un accordo firmato sul trattamento dei dati), la scuola è il titolare del trattamento e Class2Class è il responsabile del trattamento. Vedi §9.

Cosa copre questa affermazione

La presente informativa riguarda i dati personali trattamento per:

• Le piattaforme web Class2Class (sotto il dominio class2class.org) e qualsiasi esperienza mobile associata, compresi i sottodomini web e le piattaforme mobili.
• L'area Risorse per gli insegnanti, compresa la guida all'alfabetizzazione in materia di IA e uso responsabile.
• Comunicazioni di assistenza clienti tramite support@class2class.org, dpo@class2class.orge il chatbot di supporto in piattaforma.
• Funzionalità assistite dall'intelligenza artificiale descritte nel §6.

Lo fa no coprire i dati personali elaborati dai sistemi della tua scuola o da siti esterni a cui ci colleghiamo. Questi sono regolati dalle rispettive informative sulla privacy.

Quali dati personali raccogliamo

Il nostro obiettivo è raccogliere solo ciò di cui abbiamo bisogno per far funzionare la piattaforma. Le categorie seguenti sono esaustive alla data della presente dichiarazione.

3.1 Cosa fornisci direttamente

Lo facciamo no raccogliere intenzionalmente categorie particolari di dati personali (art. 9 GDPR): salute, religione, etnia, opinioni politiche, orientamento sessuale, dati genetici, dati biometrici per l'identificazione univoca, appartenenza sindacale. Laddove tali informazioni vengano condivise incidentalmente in un progetto (ad esempio, la riflessione di uno studente che menziona la sua religione o il contesto familiare), vengono gestite con le stesse protezioni degli altri dati personali e l'insegnante può rimuoverle.

Le foto e i video condivisi all'interno di un progetto sono contenuti didattici. Lo sono no trattati per l'identificazione biometrica, no analizzati da sistemi di riconoscimento facciale, e no utilizzato per identificare in modo univoco qualsiasi persona. Non sono dati biometrici ai sensi dell’art. 9.

3.2 Cosa raccogliamo automaticamente

Perché utilizziamo i dati personali e la base giuridica

Dove è la base giuridica consenso, potrai revocare il consenso in qualsiasi momento. Dove è la base giuridica interesse legittimo, puoi opporti: cfr. §11.

Programma di ritenzione visiva

Conserviamo i dati personali solo finché ne abbiamo bisogno. Di seguito è riportato il programma di conservazione consolidato, derivato dal registro delle attività di trattamento (ROPA) e dall'accordo sul trattamento dei dati con le organizzazioni partner.

Laddove Class2Class sia il responsabile del trattamento (per i dati degli studenti della scuola partner sotto un DPA firmato), disciplina il periodo di conservazione nel DPA. Le finestre di conservazione di cui sopra sono il titolare del trattamento lato conservazione dei dati che Class2Class controlla direttamente.

Funzionalità dell'intelligenza artificiale e come gestiscono i tuoi dati

Class2Class gestisce le funzionalità AI secondo il principio "Decidi tu. L'intelligenza artificiale aiuta." : gli esseri umani restano i decisori; L'intelligenza artificiale è solo assistiva.

6.1 I sistemi di intelligenza artificiale che utilizziamo

Documentiamo la base di queste classificazioni nel nostro standalone Articolo 6, paragrafo 3, Valutazione della classificazione del rischio AI v.1.0, disponibile su richiesta alle autorità di vigilanza e alle scuole partner.

6.2 I nostri impegni sull'IA

• Nessuna decisione automatizzata sugli studenti. Non utilizziamo l'intelligenza artificiale per prendere decisioni automatizzate su uno studente, né su voti, posizionamenti o comportamento. Qualsiasi decisione che incida materialmente su uno studente viene presa da un essere umano.
• Nessun utilizzo dei tuoi dati per la formazione sull'intelligenza artificiale. Non utilizziamo il tuo lavoro, i tuoi messaggi, le tue immagini o le registrazioni delle sessioni per addestrare modelli di intelligenza artificiale, né i nostri né quelli di terze parti. Ciò è contrattualmente richiesto ad ogni sub-responsabile del trattamento di AI.
• L'intelligenza artificiale si identifica. Quando interagisci direttamente con un sistema di intelligenza artificiale su Class2Class (attualmente il chatbot di assistenza clienti), il sistema si identifica come intelligenza artificiale prima che la conversazione abbia inizio, in conformità con l'articolo 50, paragrafo 1, della legge UE sull'intelligenza artificiale. L'Assistente alla creazione di progetti e la funzione Generazione di immagini di progetto non "interagiscono direttamente" ai sensi dell'Articolo 50: sono strumenti che l'insegnante utilizza e rivede; i risultati raggiungono l'insegnante come bozze di suggerimenti, non come conversazione.
• Controllo umano sulle bandiere. Nessun contenuto viene rimosso, sospeso o riassegnato solo sulla base di una segnalazione AI: un moderatore umano esamina ogni segnalazione.
• alfabetizzazione in materia di IA per personale e docenti. Il nostro personale completa la formazione annuale sull'alfabetizzazione in materia di IA, sulle Linee guida etiche, sulla tutela dei minori e sulla gestione delle segnalazioni. Gli insegnanti che utilizzano le funzionalità AI attestano, al momento dell'accettazione dei nostri Termini e condizioni, che leggeranno e applicheranno la nostra guida pubblica all'alfabetizzazione in materia di IA e uso responsabile prima di utilizzare le funzionalità AI con gli studenti.

Puoi leggere l'intero guida all'alfabetizzazione in materia di IA e uso responsabile nelle nostre Risorse per gli insegnanti.

6.3 Se non desideri che l'AI elabori i tuoi dati

Il chatbot dell'assistenza clienti è un punto di accesso al supporto: puoi inviare un'e-mail support@class2class.org direttamente per raggiungere il supporto umano senza coinvolgere il chatbot. L'Assistente alla creazione del progetto (generazione di testo e generazione di immagini per le copertine dei progetti) viene attivato solo quando un insegnante sceglie di invocarlo su una bozza di progetto.

Bambini e minori: cosa facciamo di diverso

Class2Class accoglie studenti di tutte le età, compresi gli studenti sotto i 13 anni con il consenso del titolare della responsabilità genitoriale. Poiché la maggior parte dei nostri studenti sono minorenni, la protezione dei bambini è integrata nella piattaforma anziché aggiunta ai margini.

7.1 Età minima e verifica

L'età minima per utilizzare Class2Class è 13. Gli studenti di età inferiore a 13 anni possono utilizzare la piattaforma solo se il loro insegnante ha ottenuto il consenso dei genitori o del tutore e ha confermato tale consenso nel flusso di consenso della nostra piattaforma. È compito degli insegnanti verificare che lo studente abbia almeno 13 anni (o ottenere il consenso del titolare della responsabilità genitoriale per gli studenti sotto i 13 anni). Gli adulti non possono utilizzare Class2Class come studenti.

7.2 Gatekeeping degli insegnanti

Gli studenti non possono registrarsi direttamente. Ogni account studente viene creato e gestito da un insegnante. Questo modello di gatekeeping:

• Riduce il rischio che un bambino condivida dati personali con noi senza che un adulto sia coinvolto
• Garantisce che ogni studente sulla piattaforma sia collegato a un insegnante che ne è responsabile
• Consente agli insegnanti di eliminare immediatamente i contenuti inappropriati e di rimuovere gli studenti dai progetti quando necessario

7.3 Restrizioni sulla messaggistica per i minori di 13 e 16 anni

7.4 consenso del titolare della responsabilità genitoriale per gli studenti fino a 13 anni

Per gli studenti sotto i 13 anni:

• Il docente attesta, attraverso il flusso di consenso della piattaforma, che il genitore o tutore è stato informato su Class2Class, ha compreso quali dati lo studente condividerà e come lo studente utilizzerà la piattaforma, e ha acconsentito.
• Questa attestazione viene registrata con l'identità dell'insegnante, l'identità dello studente, la versione del testo dell'attestazione mostrata e il timestamp: questi record vengono conservati per 5 anni dopo la chiusura dell'account dello studente (vedere §5).
• I quadri giuridici riconosciuti sono i COPPA "autorizzazione scolastica" modello negli Stati Uniti e Articolo 8 del GDPR altrove (che consente al titolare del trattamento di compiere ragionevoli sforzi per verificare la potestà genitoriale).
• Gli insegnanti non devono confermare il consenso a meno che i genitori o tutori non siano stati effettivamente informati e abbiano acconsentito.

Se sei un genitore o tutore e desideri:

• Ritirare il consenso: scrivi a dpo@class2class.org. Bloccheremo immediatamente l'accesso dello studente. I dati relativi al project work e all'apprendimento dello studente vengono conservati durante la revoca del consenso (vedere §7.5). Puoi anche chiedere all'insegnante di tuo figlio di ritirare il consenso sulla piattaforma: hanno funzionalità per farlo.
• Cancella completamente l'account dello studente: scrivi a dpo@class2class.org. Questo è più forte della revoca del consenso: elimineremo l'account e i dati, con le eccezioni di conservazione richieste dalla legge (vedere §5), e confermeremo per iscritto ciò che è stato cancellato.
• Chiedi quali dati conserviamo su tuo figlio (diritto di accesso): scrivere a dpo@class2class.org.
• Correggi o aggiorna qualcosa: scrivi a dpo@class2class.orgoppure chiedi all'insegnante dello studente di aggiornare il record in cui conserva le informazioni pertinenti.

Rispondiamo alle richieste relative ai diritti dei dati dei genitori all'interno 30 giorni di calendario come richiesto dall'articolo 12, paragrafo 3 del GDPR.

7.5 Revoca del consenso e schermata di blocco

Quando un genitore o un tutore revoca il consenso, lo studente non può navigare o utilizzare la piattaforma: una schermata di blocco impedisce l'accesso. L'account stesso non viene eliminato durante il blocco; le registrazioni del lavoro progettuale e dell'apprendimento dello studente vengono conservate, in modo che il consenso possa essere ripristinato senza perdita della documentazione didattica. Il blocco permane finché il docente non conferma nel flusso di consenso l'avvenuto riacquisto del consenso.

7.6 Riepilogo a misura di bambino

Un breve riassunto semplice di come gestiamo i dati dei bambini, scritto per gli stessi studenti di età compresa tra 13 e 18 anni, è pubblicato su class2class.org/privacy-for-students. Incoraggiamo gli insegnanti a introdurlo in classe.

Trasferimenti internazionali: dove vanno i tuoi dati

Class2Class è un'azienda danese. La nostra archiviazione principale dei dati è nel file Unione Europea (Supabase, regione UE eu-west-1). Alcuni dei nostri sub-responsabili del trattamento hanno sede al di fuori dello Spazio economico europeo (SEE), pertanto una parte dei tuoi dati personali viene trasferita negli Stati Uniti o in altri paesi terzi per fornire servizi specifici (analisi, chatbot di assistenza clienti, fornitori modello dietro le nostre funzionalità di intelligenza artificiale, strumenti di marketing a cui hai dato il consenso).

Per ogni sub-responsabile del trattamento con sede negli Stati Uniti ci affidiamo a Clausole contrattuali tipo (SCC) della Commissione Europea integrato da a Valutazione dell'impatto del trasferimento (TIA) che manteniamo internamente per il Schrems II giudizio e Raccomandazioni dell'EDPB 01/2020. Il TIA viene rivisto annualmente e in occasione di ogni modifica all'ubicazione dei dati o ai termini contrattuali del sub-responsabile del trattamento.

Laddove un sub-responsabile del trattamento sia certificato ai sensi della normativa UE-USA. Quadro normativo sulla privacy dei dati (DPF) : ad esempio, Google LLC, che copre Google Analytics, Google Cloud/BigQuery e l'API Gemini di Google: facciamo inoltre affidamento sulla Commissione Europea decisione di adeguatezza (UE) 2023/1795 del 10 luglio 2023 come base di trasferimento primaria. Gli SCC vengono conservati come meccanismo di fallback; il TIA è ancora mantenuto.

Gli attuali sub-responsabili del trattamento e i loro meccanismi di trasferimento sono elencati nel nostro pubblico Elenco sub-responsabili del trattamento. Punti salienti:

• Pannello misto (Stati Uniti: SCC + TIA; in pensione, sostituito da PostHog: solo dati storici)
• BiscottoSì (India – SCC + TIA; piattaforma di gestione del consenso)
• Google Analytics (Stati Uniti: certificazione DPF di Google LLC + SCC come fallback + TIA + anonimizzazione IP)
• Meta (USA: SCC + TIA, marketing solo con consenso)
• Chatbase (Stati Uniti: SCC + TIA + impegno contrattuale di assenza di formazione sull'intelligenza artificiale sui dati degli utenti)
• OpenAI (Stati Uniti: SCC + TIA; API standard senza formazione predefinita e conservazione di 30 giorni per il monitoraggio degli abusi; consente la generazione di testo dell'Assistente alla creazione di progetti, solo per insegnanti)
• Google (API Gemini) (Stati Uniti: certificazione DPF di Google LLC + SCC come fallback + TIA + impegno contrattuale di non formazione sull'intelligenza artificiale sui dati degli utenti; poteri Project Image Generation, solo per insegnanti)
• Antropico (Claude AI) (Stati Uniti: SCC + TIA + impegno contrattuale senza formazione sull'intelligenza artificiale sui dati degli utenti; modello predefinito per la generazione di testo di Project Creation Assistant, analisi interne solo per insegnanti e solo per personale sul data warehouse BigQuery)

sub-responsabili del trattamento con sede nell'UE (nessun trasferimento al di fuori del SEE): Supabase (Regione UE eu-west-1: database della piattaforma, autenticazione, archiviazione di file e tempo reale), Xano (Residenza UE, solo percorsi di autenticazione legacy), Brevo, Vercello (regioni dell'UE, hosting di piattaforme e gateway AI), PostHog (EU Cloud, Francoforte: analisi sull'utilizzo del prodotto; con consenso controllato, riproduzione della sessione disattivata), Staffa (Estonia: proxy di codifica lato server di prima parte), Sentinella (regione UE, Francoforte: monitoraggio degli errori e delle prestazioni; nessun dato personale inviato per impostazione predefinita e dati rimanenti dell'evento cancellati; conservazione ≈ 30 giorni), Google Cloud: BigQuery (Regioni UE per il data warehouse centralizzato), Airbyte (Distribuzione nell'UE per le pipeline ETL che caricano BigQuery).

Sub-responsabili del trattamento

Coinvolgiamo i sub-responsabili del trattamento per fornire parti della piattaforma, ad esempio il database, il servizio di posta elettronica, il chatbot di assistenza clienti. Ogni sub-responsabile del trattamento:

• È stato rivisto prima dell'incarico e successivamente almeno una volta all'anno
• È elencato pubblicamente su class2class.org/data-processing-agreement

Avvisiamo almeno i partner e le scuole 30 giorni di calendario in anticipo di qualsiasi aggiunta, sostituzione o modifica materiale all'elenco dei sub-responsabili del trattamento, tramite il contatto registrato sotto il loro DPA firmato. I partner e le scuole possono opporsi per ragionevoli motivi di protezione dei dati entro 15 giorni di calendario. I singoli utenti (docenti, genitori) che vogliono essere informati di cambiamenti materiali possono scrivere a dpo@class2class.org.

Biscotti

I cookie e tecnologie simili sono regolati dalla nostra separata Politica sui cookie. La Politica sui cookie descrive le quattro categorie di cookie che utilizziamo (necessari, funzionali, statistici, di marketing), i cookie di ciascuna categoria, il nostro banner di consenso e come modificare le tue preferenze in qualsiasi momento.

Non utilizziamo cookie wall. È possibile utilizzare le funzionalità essenziali della piattaforma senza acconsentire ai cookie non essenziali.

I tuoi diritti

Ai sensi del GDPR, hai i seguenti diritti in relazione ai tuoi dati personali. Li rispettiamo tutti, con le limitate eccezioni descritte nel GDPR stesso (ad esempio, laddove una richiesta di cancellazione sarebbe in conflitto con i nostri obblighi legali).

Rispondiamo alle richieste sui diritti dei dati all'interno 30 giorni di calendario di ricevimento (art. 12, comma 3 GDPR). Laddove una richiesta sia insolitamente complessa, possiamo estendere la durata fino a 60 giorni aggiuntivi, comunicandoti per iscritto il motivo della proroga. Per tali richieste non è previsto alcun compenso, salvo il caso in cui la richiesta sia manifestamente infondata o eccessiva.

Se la tua richiesta riguarda i dati di un bambino, vedi §7.4.

Un'esportazione di portabilità contiene i dati che ci hai fornito (come il tuo profilo, progetti, post, riflessioni, messaggi e certificati) insieme all'attività che hai generato sulla piattaforma. Viene assemblato dal nostro database operativo e fornito come file JSON (CSV su richiesta). Non include i dati che ricaviamo internamente, ad esempio analisi aggregate, o dati su altri utenti, che non rientrano entrambi nell'ambito dell'articolo 20.

Sicurezza

Implementiamo misure tecniche e organizzative adeguate per proteggere i tuoi dati personali, in linea con l'articolo 32 del GDPR. In evidenza:

• Crittografia in transito : TLS 1.2+ su tutte le connessioni alla piattaforma.
• Crittografia a riposo : fornito da Supabase nel livello di archiviazione dell'UE.
• Memorizzazione della password : le password vengono archiviate utilizzando bcrypt, il moderno algoritmo di hashing adattivo raccomandato da OWASP e NIST SP 800-63B. L'hashing viene eseguito da Supabase Auth nell'UE. Gli account importati che non hanno effettuato l'accesso dopo la migrazione vengono comunque verificati rispetto al negozio Xano precedente fino al ritiro del percorso.
• Controllo degli accessi basato sui ruoli : L'accesso del personale Class2Class ai dati personali è limitato in base al ruolo e registrato.
• Autenticazione a più fattori : richiesto per l'accesso amministrativo all'infrastruttura della piattaforma.
• sub-responsabile del trattamento due diligence : ogni sub-responsabile del trattamento è stato revisionato e dispone di un DPA firmato.
• Controlli di sicurezza regolari : revisioni annuali della sicurezza, integrate da revisioni ad hoc su incidenti o modifiche sostanziali.
• Quadri di sicurezza : i nostri controlli sono mappati e monitorati continuamente rispetto a ISO 27001 e SOC 2. L'audit di certificazione ISO 27001 e l'attestazione SOC 2 sono in corso, quindi non disponiamo ancora di nessuno dei due report. Lo stato attuale del controllo è pubblicato sul ns Centro fiducia.
• Risposta all'incidente : una procedura documentata di risposta alla violazione dei dati copre il rilevamento, la classificazione e la notifica normativa entro 72 ore ai sensi dell'art. 33, e comunicazione agli interessati ai sensi dell'art. 34 ove richiesto.

Abbiamo completato una valutazione d'impatto sulla protezione dei dati (DPIA) per la piattaforma che identifica e mitiga 10 rischi principali, con il rischio residuo complessivo valutato da basso a moderato (accettabile). La DPIA viene rivista annualmente.

Modifiche a questa affermazione

Potremmo aggiornare questa dichiarazione per riflettere i cambiamenti nei nostri servizi, nella legge applicabile o nei nostri impegni di conformità.

L'uso continuato della piattaforma dopo il periodo di preavviso implica l'accettazione della dichiarazione modificata. Se non sei d'accordo, puoi chiudere il tuo account durante il periodo di preavviso - vedi Termini e condizioni §9.5.

Accessibilità

Il nostro autonomo Dichiarazione di accessibilità descrive il nostro impegno nei confronti delle WCAG 2.1 Livello AA e dell'Atto europeo sull'accessibilità (direttiva (UE) 2019/882).

Se una funzionalità di questa Informativa sulla privacy e l'accessibilità (o qualsiasi altro documento che pubblichiamo) non ti è accessibile nella sua forma attuale, scrivi a support@class2class.org (oggetto "Accessibilità") e lo forniremo in un formato alternativo.

Contatto

Il quadro completo della rendicontazione è descritto nel Linee guida etiche §10 e nella Procedura per la gestione delle segnalazioni e la tutela dei segnalanti.

Documenti correlati

• Termini e condizioni v.2.0
• Politica sui cookie
• Elenco sub-responsabili del trattamento
• Dichiarazione di accessibilità
• Linee guida etiche
• Codice di condotta
• Riepilogo della privacy a misura di bambino
• guida all'alfabetizzazione in materia di IA e uso responsabile

Se uno qualsiasi di questi documenti è in conflitto con questa affermazione su una questione di sostanza, applichiamo l'interpretazione più protettiva per l'interessato e risolviamo il conflitto alla successiva revisione del documento. Raccontacelo a dpo@class2class.org e lo sistemeremo.