Privacy Policy

1. Titolare del trattamento

Il titolare del trattamento dei dati personali è NOIS SECURITY di De Bona Marco, partita IVA 01277180251, con sede legale in Via Rivabella 6, 32100 Belluno (BL). Per qualsiasi richiesta sui dati personali scrivi a privacy@quiz-al-volo.it.

Per contattarci, anche se non hai (più) un account, scrivi agli indirizzi indicati in fondo alla pagina.

2. Dati raccolti

Se ti registri, raccogliamo:

• Indirizzo email — per autenticazione e comunicazioni legate all'account
• Nome (facoltativo) — per personalizzare l'esperienza
• Password — conservata come hash bcrypt (cost 10), mai in chiaro
• Data d'esame (facoltativa) — per il conto alla rovescia nel profilo
• Stato di verifica dell'email ed eventuale email in attesa di conferma, in caso di cambio email
• Data dell'ultimo accesso e data/versione dei testi legali (Termini, Privacy) che hai accettato
• Risultati degli esami e dei quiz, tentativi sulle singole domande — per le statistiche nel profilo e nella dashboard
• Segnalazioni (errori sulle domande, feedback) che invii dall'app
• Dati di pagamento e fatturazione, se acquisti un accesso: importo, data, piano, identificativo cliente Stripe, link alla ricevuta di pagamento, ed eventuale rinuncia al diritto di recesso. Il checkout non raccoglie partita IVA né codice fiscale: se chiedi la fattura elettronica, i dati fiscali (codice fiscale o P.IVA, codice destinatario SDI o PEC) ci arrivano solo via email, da te
• Codici sconto riscattati, se ne usi uno
• Indirizzo IP e user-agent del browser — registrati insieme ai consensi che presti (registrazione, rinuncia al recesso) come prova a norma dell'art. 7.1 GDPR, e nei link di verifica/reset che ti inviamo per email

Gli utenti non registrati (visitatori) non forniscono dati personali: le sessioni di quiz anonime non sono associate a nessun profilo.

3. Finalità del trattamento

• Erogazione del servizio di preparazione all'esame teorico di parapendio
• Autenticazione e gestione dell'account
• Gestione degli acquisti, fatturazione e adempimenti fiscali
• Mostrare statistiche personali di apprendimento
• Invio di email transazionali (verifica email, reset password, ricevute, avvisi sull'account)
• Sicurezza, prevenzione di abusi e frodi (es. limiti di frequenza sui tentativi di accesso)

Non usiamo i tuoi dati per marketing o profilazione commerciale. Non ci sono cookie o tracker di terze parti su questo sito (vedi la sezione 7).

4. Base giuridica

Il trattamento si fonda, per ciascuna finalità, su una base giuridica diversa:

• Esecuzione di un contratto (art. 6.1.b GDPR) — creazione e gestione dell'account, erogazione del servizio, gestione degli acquisti
• Obbligo legale (art. 6.1.c GDPR) — fatturazione e conservazione dei dati fiscali per 10 anni (art. 2220 c.c.)
• Legittimo interesse (art. 6.1.f GDPR) — sicurezza della piattaforma, prevenzione di frodi e abusi, log tecnici

Oggi non trattiamo alcun dato sulla base del consenso (art. 6.1.a GDPR): non facciamo marketing né profilazione, e non usiamo cookie non essenziali che lo richiederebbero. Se in futuro dovessimo farlo, te lo chiederemo in modo specifico e potrai revocarlo in qualsiasi momento.

5. Destinatari e responsabili del trattamento

Per erogare il servizio ci appoggiamo a questi fornitori, che trattano i dati in nostro nome come responsabili del trattamento:

• Resend, Inc. (Stati Uniti) — invio delle email transazionali, dalla regione UE
• Stripe Payments Europe, Ltd. (Irlanda) e Stripe, Inc. (Stati Uniti) — elaborazione dei pagamenti

La piattaforma sarà ospitata su server situati nell'Unione Europea; il fornitore di hosting sarà indicato in questa informativa prima dell'apertura delle iscrizioni. Questa pagina vetrina è ospitata da Cloudflare, come indicato in apertura.

6. Trasferimenti extra-UE

Resend, Inc. e Stripe, Inc. sono società statunitensi: l'invio delle email e l'elaborazione dei pagamenti possono comportare un trasferimento di dati verso gli Stati Uniti, ai sensi degli artt. 44-49 GDPR. Questi trasferimenti si basano sulle Clausole Contrattuali Standard adottate dalla Commissione Europea e/o sull'adesione del fornitore al Data Privacy Framework UE-USA, secondo quanto previsto dai rispettivi accordi con i fornitori.

7. Nessun processo decisionale automatizzato

Non prendiamo decisioni basate unicamente su trattamenti automatizzati, inclusa la profilazione, che producano effetti giuridici su di te o che ti riguardino in modo analogamente significativo (art. 22 GDPR). Le statistiche di apprendimento che vedi nel profilo sono solo informative.

8. Natura del conferimento dei dati

Email e password sono obbligatorie: senza di esse non possiamo creare l'account né farti accedere al servizio. Nome e data d'esame sono facoltativi: puoi usare il servizio anche senza fornirli. In caso di acquisto, i dati di pagamento e fatturazione richiesti da Stripe sono necessari per completare la transazione.

9. Cookie e archiviazione locale

Utilizziamo esclusivamente:

• Cookie di sessione (essenziali) — generati da NextAuth per mantenere la tua sessione di accesso. Non richiedono consenso poiché strettamente necessari al funzionamento del servizio.
• LocalStorage — per salvare la preferenza tema (chiaro/scuro) e il consenso al cookie notice. Questi dati rimangono nel tuo browser e non vengono trasmessi ai nostri server.

Non utilizziamo cookie di profilazione, analytics o pubblicitari di terze parti: sul sito non è presente alcun tracker di terze parti.

10. Sicurezza

Il sito utilizza comunicazioni cifrate HTTPS. Le password sono conservate esclusivamente come hash bcrypt (mai in chiaro). L'accesso all'infrastruttura è limitato al titolare.

11. Conservazione dei dati (retention)

Conserviamo i dati solo per il tempo necessario alla finalità per cui sono stati raccolti:

Dato	Conservazione
Account attivo e verificato	Fino alla cancellazione da parte dell'utente
Account mai verificato, senza acquisti	Reminder al 7° giorno, anonimizzato automaticamente al 30° giorno
Link di verifica email / reset password / cambio email	Validi 24h / 1h / 2h, purgati entro 7 giorni dalla scadenza o dall'uso
Sessioni di quiz/esame senza account (visitatori)	12 mesi
Segnalazioni gestite	24 mesi dalla creazione
Dati fiscali degli acquisti	10 anni (art. 2220 c.c.), anche dopo la cancellazione dell'account
Log delle cancellazioni account (solo hash, non riconducibili a te)	5 anni
Sessione di accesso (token JWT nel browser)	30 giorni, o fino al logout
Copie di sicurezza (backup) del database	Al massimo 12 mesi

Queste soglie sono applicate automaticamente da un job di pulizia periodico e non richiedono alcuna azione da parte tua.

Oltre alla copia "live" del database, teniamo periodicamente delle copie di sicurezza per poter recuperare il servizio in caso di guasto grave. Per un massimo di 12 mesi, queste copie possono quindi contenere una versione di dati che nel frattempo, nel sistema principale, hai già cancellato o che sono già stati anonimizzati (ad esempio dopo la cancellazione del tuo account). Non le usiamo per nessuno scopo se non il ripristino del servizio, e trascorsi i 12 mesi anche l'ultima copia che li conteneva viene eliminata: a quel punto i tuoi dati non sopravvivono più nemmeno lì.

12. Diritti dell'interessato

Ai sensi degli artt. 15-22 GDPR hai diritto di accedere, rettificare, cancellare, limitare o opporti al trattamento e di richiedere la portabilità dei tuoi dati. In pratica:

• Accesso e portabilità — dalla pagina Profilo del servizio puoi esportare tutti i tuoi dati in un file JSON, in qualsiasi momento
• Rettifica — nome ed email si modificano direttamente dal Profilo (il cambio email richiede una conferma)
• Cancellazione — dal Profilo puoi eliminare il tuo account in autonomia. Tecnicamente è un'anonimizzazione: email, nome e password vengono azzerati e l'account smette di essere utilizzabile, ma le righe legate ai tuoi acquisti sopravvivono (senza nome né email) per l'obbligo di conservazione fiscale di 10 anni descritto sopra. Questo avviene subito nel sistema principale; come spiegato al punto 11, le copie di sicurezza del database possono conservare per un massimo di ulteriori 12 mesi uno snapshot precedente all'anonimizzazione, e vengono poi eliminate anch'esse
• Limitazione e opposizione — scrivici agli indirizzi indicati in fondo alla pagina

Se non hai (più) un account, o per qualunque richiesta che non riesci a gestire da solo, scrivi a privacy@quiz-al-volo.it: rispondiamo entro 30 giorni (art. 12.3 GDPR).

Hai inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

13. Minori

Il Servizio è pensato per utenti di almeno 16 anni. È comunque consentita la registrazione a partire dai 14 anni, con il consenso di un genitore o tutore legale prestato al momento dell'iscrizione. Non raccogliamo consapevolmente dati di persone di età inferiore ai 14 anni: se dovesse succedere per errore, i dati verranno cancellati non appena ce ne accorgiamo o su segnalazione.

14. Modifiche a questa informativa

Ogni revisione di questa informativa è identificata da una data di versione (in cima a questa pagina). Per le modifiche sostanziali, potremmo richiederti di accettare nuovamente l'informativa prima di continuare a usare alcune funzionalità del Servizio.