Informativa sulla privacy

1. Chi siamo e come contattarci

Geometry Mapping Tool («GMT», «noi») è uno strumento online per imparare e insegnare Geometria Descrittiva, disponibile su geometrymappingtool.com.

GMT è gestito da una persona fisica, non da una società. Il titolare del trattamento dei dati personali qui descritti è João Romano Barbosa, lavoratore autonomo stabilito in Spagna, codice fiscale (NIE) Z2120363K, con recapito per le comunicazioni in Calle de Orense 6-B6, 28020 Madrid, Spagna.

Per qualsiasi questione relativa alla privacy, o per esercitare i diritti descritti al punto 8, scriva a info@geometrymappingtool.com. Non abbiamo nominato un Responsabile della protezione dei dati, né siamo tenuti a farlo: non ricorre alcuno dei casi previsti dall’articolo 37 del GDPR per un’attività di questo tipo e dimensione.

2. Quali dati personali raccogliamo

Raccogliamo soltanto ciò che serve per erogare il servizio:

• Account e profilo: il suo indirizzo e-mail, il nome utente, una professione o funzione facoltativa e la sua password — conservata solo come hash con sale, quindi non la vediamo mai in chiaro. Se accede con Google, riceviamo anche l’identificativo e il nome del suo account Google.
• Ciò che crea nello strumento: le sue schede di lavoro e la geometria della sandbox, le segnalazioni di errore che ci invia, le sue impostazioni di interfaccia e la data dell’ultimo accesso.
• Fatturazione: i pagamenti sono gestiti da Stripe. Conserviamo gli identificativi cliente e abbonamento di Stripe e lo stato del suo piano. Non riceviamo né conserviamo mai il numero della sua carta.
• Analytics: solo se accetta i cookie analitici, Google Analytics raccoglie eventi di utilizzo e identificativi. Consulti la nostra Informativa sui cookie per i dettagli.
• Membri iscritti da un istituto: quando una scuola o un’organizzazione la iscrive, riceviamo il suo indirizzo e-mail e il suo nome tramite tale istituto.

3. Perché usiamo i suoi dati e su quale base giuridica

Ai sensi dell’articolo 6 del GDPR, ogni utilizzo dei suoi dati si fonda su una delle seguenti basi:

• Creare e gestire il suo account e fornire lo strumento — esecuzione del contratto con lei concluso.
• Incassare i pagamenti e gestire gli abbonamenti, e conservare le scritture contabili richieste dalla legge — esecuzione di un contratto e adempimento di un obbligo legale.
• Mantenere il servizio sicuro, prevenire abusi e diagnosticare malfunzionamenti — il nostro legittimo interesse a un servizio funzionante e sicuro.
• Inviare comunicazioni di servizio, come la verifica dell’e-mail, il reimpostazione della password e i messaggi di benvenuto delle organizzazioni — esecuzione del contratto e legittimo interesse.
• Misurare l’utilizzo dello strumento per migliorarlo — il suo consenso, prestato tramite il banner dei cookie e revocabile in qualsiasi momento.

4. Decisioni automatizzate e profilazione

Non assumiamo decisioni che la riguardano basate unicamente su trattamenti automatizzati, né effettuiamo profilazione che produca effetti giuridici o incida in modo analogamente significativo sulla sua persona, ai sensi dell’articolo 22 del GDPR. L’analytics, ove da lei acconsentito, è utilizzato in forma aggregata per capire come viene usato lo strumento — non per decidere sulle persone.

5. Con chi condividiamo i suoi dati

Non vendiamo i suoi dati personali. Li condividiamo solo con fornitori che li trattano su nostra istruzione, in forza di un accordo scritto di responsabile del trattamento, e solo nella misura necessaria a erogare il servizio:

• Resend — invio di e-mail transazionali.
• Stripe — gestione dei pagamenti e degli abbonamenti.
• Google — «Accedi con Google» e, se acconsente, Google Analytics.
• Google Cloud — hosting dell’applicazione su Cloud Run, in europe-west1 (Belgio).
• Neon — il database PostgreSQL, ospitato su AWS in eu-central-1 (Francoforte, Germania).
• Se è stato iscritto da una scuola o organizzazione, confermiamo a tale istituto la sua qualità di membro e il relativo stato.
• Possiamo inoltre comunicare dati quando la legge ce lo imponga, quando un’autorità competente lo richieda legittimamente, o quando sia necessario per accertare o difendere un diritto in giudizio.

6. Trasferimenti fuori dallo SEE

L’applicazione gira in Belgio e il relativo database in Germania, entrambi all’interno dello Spazio Economico Europeo.

Anche Google e Stripe possono trattare dati fuori dallo SEE, inclusi gli Stati Uniti. Entrambe sono certificate nel Quadro UE–USA sulla privacy dei dati, la decisione di adeguatezza adottata dalla Commissione europea nel luglio 2023, ed entrambe si vincolano inoltre alle Clausole Contrattuali Standard della Commissione quando il Quadro non copre un trasferimento. Google LLC dichiara di aderire ai Principi del Quadro; Stripe indica il Quadro e le Clausole nel proprio accordo sul trattamento dei dati.

7. Per quanto tempo conserviamo i suoi dati

• Account e contenuti che crea: finché il suo account esiste. L’eliminazione dell’account li cancella, come descritto al punto 8.
• Gli account mai attivati o privi di qualsiasi attività possono essere rimossi dopo circa 30 giorni.
• I link monouso scadono rapidamente per scelta progettuale: verifica dell’e-mail dopo 24 ore, reimpostazione della password dopo 2 ore e impostazione della password per le organizzazioni dopo 30 giorni. Le sessioni durano circa 30 giorni.
• Documenti di fatturazione e fiscali: conservati per il periodo previsto dalla legge spagnola, che non possiamo abbreviare su sua richiesta — in linea generale 6 anni per la documentazione commerciale ai sensi dell’articolo 30 del Codice di commercio spagnolo e 4 anni a fini tributari ai sensi della Legge generale tributaria.
• I backup seguono un ciclo di rotazione, per cui i dati eliminati possono permanere in un backup per un breve periodo prima di essere sovrascritti.

8. I suoi diritti

Ha il diritto di chiederci l’accesso ai suoi dati personali, nonché la loro rettifica o cancellazione; di chiedere la limitazione del trattamento o di opporvisi; di riceverli in un formato portabile; e di revocare in qualsiasi momento il consenso prestato, senza che ciò pregiudichi la liceità del trattamento precedente.

Può esercitare gran parte di questi diritti da solo e subito: in Pannello → Profilo → I suoi dati può esportare in un file tutto ciò che conserviamo su di lei ed eliminare definitivamente il suo account. Nella stessa pagina può correggere i suoi dati, e può modificare la scelta sui cookie dal banner quando vuole.

Per tutto il resto, scriva a info@geometrymappingtool.com. Rispondiamo entro un mese, come richiede l’articolo 12 del GDPR; se la richiesta è complessa potremo prorogare tale termine, spiegandogliene il motivo.

Se ritiene che abbiamo trattato male i suoi dati, può presentare reclamo all’autorità di controllo del Paese in cui risiede o lavora — in Italia il Garante per la protezione dei dati personali, su garanteprivacy.it. Essendo noi stabiliti in Spagna, la nostra autorità capofila è la Agencia Española de Protección de Datos (AEPD), su aepd.es, e il diritto spagnolo integra il GDPR con la Legge Organica 3/2018 (LOPDGDD).

9. Scuole, organizzazioni e minori

Quando una scuola o un’organizzazione crea il suo account nell’ambito di un programma, è tale istituto a decidere finalità e mezzi del trattamento per quello scopo. È esso il titolare e gli spetta disporre di una base giuridica, informare gli studenti e ottenere il consenso dei genitori ove la legge lo richieda. In tale rapporto GMT agisce come responsabile del trattamento per conto dell’istituto, in forza di un apposito accordo.

Al di fuori di questo quadro non creiamo consapevolmente account per minori. L’età al di sotto della quale è necessario il consenso dei genitori varia nell’UE — 14 anni in Spagna, ai sensi dell’articolo 7 della Legge Organica 3/2018, come pure in Italia; 13 in Portogallo; 16 in alcuni altri Stati membri — e il rispetto della soglia applicabile è responsabilità dell’istituto che effettua l’iscrizione.

10. Come proteggiamo i suoi dati

Adottiamo misure adeguate al rischio, tra cui password conservate solo come hash con sale, trasporto cifrato (HTTPS) per tutto ciò che ci invia, controlli di accesso basati sul ruolo e link monouso con scadenza, anziché inviare mai una password via e-mail.

Nessun sistema è totalmente sicuro. Se si verifica una violazione che possa mettere a rischio i suoi diritti, ne daremo notifica all’autorità di controllo e, nei casi previsti dal GDPR, anche a lei.

11. Modifiche a questa informativa

Possiamo aggiornare questa informativa — per esempio quando aggiungiamo una funzionalità o cambiamo fornitore. La versione vigente è sempre su questa pagina e la data sopra indicata segnala l’ultima modifica. Se una modifica incide in modo sostanziale sui suoi diritti, gliela comunicheremo direttamente e non solo tramite questa pagina.