Informativa sulla privacy

1. Titolare del trattamento

Di seguito denominato «Fornava» o «noi».

2. Contatto privacy

Per domande sulla privacy o per esercitare i tuoi diritti, puoi contattarci all'indirizzo di contatto privacy indicato sopra. Puoi scriverci via e-mail o utilizzare «I tuoi dati» in Fornava.

Rispondiamo di regola senza indebito ritardo, al più tardi entro un mese (art. 12 comma 3 GDPR). Per richieste complesse, il termine può essere prorogato fino a due mesi aggiuntivi. Ti informeremo tempestivamente al riguardo.

L'esercizio dei tuoi diritti è di regola gratuito. In caso di richieste manifestamente infondate o eccessive, possiamo chiedere un compenso ragionevole o rifiutare la richiesta (art. 12 comma 5 GDPR).

3. Responsabile della protezione dei dati

Attualmente non è nominato un responsabile della protezione dei dati, salvo che la legge lo richieda. L'esistenza di un obbligo di nomina ai sensi dell'art. 37 GDPR in combinato disposto con il § 38 BDSG dipende, tra l'altro, dall'identità e dall'ambito del titolare ed è verificata continuamente.

Se verrà nominato un responsabile della protezione dei dati, nome e dati di contatto saranno aggiunti qui.

4. Finalità del trattamento

Trattiamo dati personali in particolare per le seguenti finalità:

• Fornitura del tuo account, accesso e gestione delle sessioni
• Conservazione del tuo progresso di apprendimento, delle coppie linguistiche, delle carte e delle revisioni
• Fornitura di contenuti di gioco, scene del villaggio, strumenti e panoramiche del progresso
• Onboarding, collocamento e adattamento del tuo percorso di apprendimento
• Chat, dialogo e funzioni di apprendimento assistite dall'IA, se hai acconsentito
• Input e output vocale tramite la nostra infrastruttura, se utilizzi funzioni IA
• Cronaca, duelli, fucina e altri strumenti assistiti dall'IA
• Elaborazione di feedback e richieste di supporto
• Elaborazione di richieste in materia di protezione dei dati (artt. 15–22 GDPR)
• Sicurezza informatica, prevenzione degli abusi e funzionamento stabile
• Analisi d'uso opzionale per migliorare Fornava, solo se hai acconsentito. Attualmente non raccogliamo dati di utilizzo.

5. Basi giuridiche

A seconda dell'operazione, basiamo il trattamento sulle seguenti basi giuridiche del GDPR:

• Art. 6 comma 1 lett. b GDPR: contratto o misure precontrattuali (gestione del tuo account, conservazione del progresso di apprendimento, fornitura delle funzioni principali)
• Art. 6 comma 1 lett. a GDPR: consenso (IA e trattamento vocale, analytics opzionali, ove attivati)
• Art. 6 comma 1 lett. f GDPR: interesse legittimo (vedi sezione 6)
• Art. 6 comma 1 lett. c GDPR: obbligo legale, ove ci siano obblighi di legge

Puoi revocare in qualsiasi momento un consenso prestato con effetto per il futuro (art. 7 comma 3 GDPR). Il trattamento fino alla revoca resta lecito.

6. Interessi legittimi

Quando trattiamo dati personali sulla base di interessi legittimi (art. 6 comma 1 lett. f GDPR), si tratta in particolare dei seguenti interessi:

• Sicurezza informatica, integrità della sessione e prevenzione degli abusi nell'accesso
• Stabilità del servizio e log operativi proporzionati e redatti senza contenuti grezzi delle tue conversazioni
• Elaborazione di richieste in materia di protezione dei dati con dati di verifica minimi
• Qualità del prodotto e supporto quando ci invii feedback

Ponderiamo questi interessi rispetto ai tuoi diritti e interessi fondamentali. Puoi opporti in qualsiasi momento al trattamento su questa base (art. 21 comma 1 GDPR), ove applicabile. Documentiamo internamente le valutazioni di bilanciamento dettagliate.

7. Categorie di dati personali

A seconda del tuo utilizzo, trattiamo in particolare:

• Dati dell'account (p. es. ID utente interno, nome visualizzato, e-mail, provider di accesso, ruoli)
• Contesto linguistico e di apprendimento (lingua madre, lingua di apprendimento, carte, revisioni, titoli, progresso, valori giornalieri)
• Contenuti di gioco e chat (testi di conversazione, input di dialogo, stato di relazioni e scene)
• Contesto IA (prompt, testi generati, parole della fucina, contenuti di cronaca e duelli)
• Impostazioni relative al dispositivo e cache locale sul dispositivo (ove memorizzati localmente)
• Impostazioni e richieste privacy (consensi, esportazioni, richieste di cancellazione)
• Metadati tecnici per funzionamento e sicurezza (p. es. metadati di provider e utilizzo redatti senza prompt grezzi)
• Feedback e messaggi di supporto quando ci scrivi

Gli input audio vengono trasmessi per l'elaborazione immediata quando utilizzi funzioni vocali. Non conserviamo in modo permanente l'audio grezzo nel database in seguito.

Non trattiamo categorie particolari di dati personali ai sensi dell'art. 9 GDPR, salvo che tu ce li fornisca in campi di testo libero.

8. Origine dei dati

Otteniamo dati personali:

• direttamente da te (input nel gioco, chat, fucina, feedback, richieste privacy)
• al momento dell'accesso tramite Kanidm (p. es. e-mail, nome visualizzato, ruoli e credenziali di identità)
• automaticamente durante il funzionamento (dati di sessione, metadati tecnici, dati di log)

Se non raccogliamo dati personali da te, te ne informiamo qui. Al momento dell'accesso, i dati principali dell'account provengono dal servizio di identità Kanidm.

9. Destinatari e responsabili del trattamento

I destinatari possono essere:

• Operazioni Fornava e amministratori tecnicamente autorizzati sulla nostra infrastruttura.
• Hetzner Online GmbH (cloud hosting in Germania): responsabile del trattamento per app, database e backup sul nostro VPS.
• Kanidm (KANIDM/OIDC) sulla nostra infrastruttura presso Hetzner (Germania, UE): accesso, credenziali di identità e gestione delle password. Fornava non memorizza le password nel database; i dati di accesso restano presso il servizio di identità Kanidm.
• MS Azure Europe: fornitura di funzioni IA come conversazioni con gli abitanti del villaggio, esercizi personalizzati, traduzioni, generazione di testi e trattamento vocale (speech-to-text e text-to-speech), se hai acconsentito all'uso delle funzioni IA.
• Mistral AI SAS (Francia): fornitura di funzioni IA e generazione di testi, se questi servizi sono utilizzati e hai acconsentito all'uso delle funzioni IA.
• Servizi vocali sulla nostra infrastruttura (ove utilizzati): elaborazione temporanea dell'audio. L'audio grezzo non viene memorizzato permanentemente nel database.

Con i responsabili del trattamento concludiamo — ove legalmente richiesto — accordi di responsabile del trattamento ai sensi dell'art. 28 GDPR.

10. Trasferimenti verso paesi terzi

I destinatari menzionati nella sezione 9 trattano attualmente i dati all'interno dell'Unione europea o dello Spazio economico europeo (in particolare Germania e Francia).

Il trasferimento di dati personali verso paesi terzi al di fuori dell'UE/SEE non è attualmente previsto.

Se ciò dovesse cambiare (p. es. per altri sub-responsabili, accessi di supporto da paesi terzi, replica cloud o servizi vocali del browser attivati), aggiorneremo tempestivamente la presente informativa e baseremo i trasferimenti — ove necessario — su garanzie adeguate ai sensi del capo V del GDPR (p. es. decisione di adeguatezza o clausole contrattuali standard), incluse le valutazioni d'impatto sui trasferimenti richieste.

11. Periodo di conservazione

Conserviamo i dati personali solo per il tempo necessario alle finalità indicate o finché sussistono obblighi legali di conservazione.

• Dati di sessione fino alla scadenza o al logout
• Dati dell'account e progresso di apprendimento finché il tuo account esiste
• Contenuti di chat e IA finché il tuo account esiste, se utilizzi funzioni IA
• Richieste privacy, esportazioni e documenti ai sensi degli obblighi legali di prova
• Log operativi solo per il tempo necessario a sicurezza, prevenzione degli abusi o fatturazione
• I dati locali del dispositivo possono essere reimpostati sul dispositivo in qualsiasi momento

Dopo le richieste di cancellazione, verifichiamo quali dati devono essere cancellati, limitati o conservati per motivi legali. I backup sul nostro VPS Hetzner possono ritardare la cancellazione; puntiamo a non reintrodurre dati cancellati in caso di ripristino.

I dati dell'account Kanidm (password, passkey, audit di identità) sono gestiti separatamente nel servizio di identità e soggetti a propri processi di cancellazione o disattivazione.

12. Archiviazione sul dispositivo, cookie e dati locali

Oltre ai dati sul server, utilizziamo l'archiviazione sul dispositivo:

• Web: cookie di sessione (HttpOnly, SameSite=Lax) per l'accesso e la gestione delle sessioni. Base giuridica: art. 6 comma 1 lett. b GDPR e § 25 comma 2 n. 2 TTDSG (strettamente necessario).
• App: archiviazione sicura dei token (Secure Store) per l'accesso.
• Web e app: archiviazione locale sul dispositivo (archivio del browser o dell'app) per impostazioni, stato dell'interfaccia e stato di gioco. Puoi rimuovere questi dati in «I tuoi dati» o nel profilo con «Reimposta dispositivo».

Attualmente non utilizziamo cookie di marketing né tracciamento di terze parti. L'analisi d'uso opzionale non è ancora implementata; viene memorizzato solo il tuo consenso.

L'accesso opzionale ai servizi vocali del browser o del sistema operativo è disattivato per impostazione predefinita e — se mai attivato — avverrebbe solo dopo una verifica giuridica separata e un aggiornamento della presente informativa.

13. Sicurezza del trattamento

Adottiamo misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR, tra l'altro:

• connessioni di trasporto crittografate (HTTPS/TLS) per accesso e utilizzo dell'app
• cookie di sessione HttpOnly firmati, OIDC con state, nonce e PKCE
• nessuna memorizzazione permanente dei token di accesso OIDC nel frontend
• logging redatto per connessioni IA senza prompt grezzi nei log
• elaborazione vocale temporanea senza memorizzazione permanente dell'audio grezzo nel database
• accessi basati sui ruoli e controlli di consenso per funzioni IA

Le misure di protezione vengono continuamente adattate allo stato dell'arte. I dettagli su hardening del VPS, crittografia a riposo, accessi ai backup e risposta agli incidenti sono documentati nel registro delle attività di trattamento ai sensi dell'art. 30 GDPR.

14. Obbligo di fornire dati

Per utilizzare Fornava sono necessari dati di accesso e dell'account nonché i dati richiesti per il funzionamento dell'apprendimento (art. 6 comma 1 lett. b GDPR). Senza questi dati non possiamo fornirti un account né le funzioni principali.

Le funzioni IA, il trattamento vocale e l'analisi d'uso opzionale sono volontari. Richiedono un consenso separato. Il funzionamento principale senza IA resta disponibile se non presti questi consensi.

Non sussiste alcun obbligo legale di fornire dati per le funzioni volontarie.

15. I tuoi diritti

Nei limiti previsti dal GDPR, hai in particolare i seguenti diritti:

• Accesso (art. 15 GDPR) e copia dei tuoi dati
• Rettifica (art. 16 GDPR)
• Cancellazione (art. 17 GDPR)
• Limitazione del trattamento (art. 18 GDPR)
• Portabilità dei dati (art. 20 GDPR), ove applicabile
• Opposizione al trattamento basato su interessi legittimi (art. 21 comma 1 GDPR), ove applicabile
• Revoca dei consensi prestati (art. 7 comma 3 GDPR). Il trattamento fino alla revoca resta lecito.

Se abbiamo reso pubblici dati personali e hai diritto alla cancellazione, informiamo — ove possibile — altri titolari della tua richiesta di cancellazione (art. 19 GDPR), ove applicabile.

Puoi avviare molte richieste direttamente in «I tuoi dati» in Fornava. Prima dell'accesso, dell'esportazione o della cancellazione, possiamo verificare la tua identità per prevenire abusi.

Non sei soggetto a decisioni automatizzate ai sensi dell'art. 22 GDPR (vedi sezione 17).

16. Informativa, contratto e consensi

La presente informativa sulla privacy ti informa sul nostro trattamento (artt. 13/14 GDPR). Prima dell'uso, confermi di averla letta. Non costituisce un consenso generale a tutti i trattamenti.

Basiamo la fornitura dell'account e delle funzioni principali sull'art. 6 comma 1 lett. b GDPR (contratto o misure precontrattuali).

Per le funzioni assistite dall'IA (conversazioni con gli abitanti del villaggio, traduzioni, cronaca, fucina, duelli, input e output vocale) è richiesto un consenso separato. Il trattamento avviene tramite Mistral AI (UE/SEE) e la nostra infrastruttura vocale.

Puoi attivare separatamente l'analisi d'uso opzionale. Attualmente memorizziamo solo il tuo consenso. La raccolta di dati analytics non è ancora implementata.

Puoi modificare i consensi in qualsiasi momento in «I tuoi dati». La revoca non pregiudica la liceità del trattamento fino alla revoca.

17. Decisioni automatizzate e profilazione

Fornava non adotta decisioni basate esclusivamente su trattamento automatizzato ai sensi dell'art. 22 GDPR che producano effetti giuridici nei tuoi confronti o ti incidano in modo analogo in misura significativa.

Raccomandazioni di apprendimento, titoli, contenuti di gioco o testi generati dall'IA servono alla progettazione didattica. Non costituiscono valutazioni giuridicamente vincolanti.

Attualmente non effettuiamo profilazione ai sensi dell'art. 4 n. 4 GDPR a fini pubblicitari o di valutazione.

18. Violazioni dei dati

In caso di violazione della protezione dei dati personali, valutiamo il rischio e agiamo conformemente agli artt. 33 e 34 GDPR.

• Notifica all'autorità di controllo entro 72 ore se sussiste un rischio
• Notifica agli interessati se è probabile un rischio elevato per i tuoi diritti e libertà
• documentazione interna di tutti gli incidenti

Ti consigliamo di contattarci immediatamente se sospetti un uso improprio del tuo account.

19. Bambini e giovani

Fornava non è rivolto specificamente ai bambini. Ove il diritto nazionale richieda il consenso dei genitori per i minori (in Germania, di regola a partire dai 16 anni per i servizi della società dell'informazione), il servizio non può essere utilizzato senza tale consenso.

Se ritieni che stiamo trattando dati di un minore senza il consenso richiesto, contattaci. Verificheremo la questione e cancelleremo o limiteremo il trattamento ove imposto dalla legge.

20. Modifiche alla presente informativa

Possiamo adattare la presente informativa sulla privacy quando cambiano la situazione giuridica, le funzioni o i trattamenti.

• La versione è visualizzata in Fornava.
• In caso di modifiche sostanziali, ti informeremo in modo appropriato (p. es. nell'app o via e-mail) prima che entrino in vigore nuovi trattamenti, ove necessario.
• Leggi la versione attuale prima di utilizzare Fornava.

La documentazione strutturata di conformità del titolare è mantenuta internamente nel registro delle attività di trattamento ai sensi dell'art. 30 GDPR.

21. Diritto di reclamo

Hai il diritto di proporre reclamo a un'autorità di controllo per la protezione dei dati (art. 77 GDPR), in particolare nello Stato membro della tua residenza abituale, del tuo luogo di lavoro o del luogo della presunta violazione.

L'autorità di controllo competente è la Commissaria per la protezione dei dati e la libertà di informazione di Berlino [(https://www.datenschutz-berlin.de/)](https://www.datenschutz-berlin.de/).

Ti preghiamo di contattarci prima di proporre reclamo a un'autorità di controllo. Verificheremo la tua richiesta e ti risponderemo. Il tuo diritto di reclamo presso un'autorità di controllo resta inalterato.