Informativa sulla privacy

1.Chi tratta i tuoi dati

Il titolare del trattamento dei dati personali raccolti tramite Once Upon a Time (il «Servizio»), accessibile all’indirizzo onceuponatimeai.it, è Arcano Zero AI Lab (il «Titolare»).

Ragione sociale:

Arcano Zero - AI Lab S.r.l.

Sede legale:

Via Alessandro Torlonia 16, 00161 Roma (RM), Italia

Codice fiscale e partita IVA:

18432281006

Capitale sociale:

€ 5.000,00 i.v.

REA:

RM - 1784120

PEC:

arcanozero@legalmail.it

Registro Imprese:

Roma — sezione speciale startup innovative (art. 25 D.L. 179/2012)

Per qualsiasi questione relativa ai dati personali, incluso l’esercizio dei diritti descritti alla sezione 10, l’indirizzo da usare è privacy@arcanozero.com.

2.Chi usa il Servizio, e per conto di chi

Il Servizio è pensato per essere usato da adulti — genitori o tutori, insegnanti, logopedisti e altri professionisti — a beneficio di bambini. L’account si apre solo se si è maggiorenni.

Non raccogliamo dati direttamente dai bambini. Ogni informazione su un minore presente nel Servizio è stata inserita da un adulto che dichiara di averne titolo: il genitore o il tutore legale, oppure un professionista che ha ottenuto il consenso della famiglia. Un bambino può leggere le storie sul dispositivo di un adulto, ma non ha un proprio percorso di registrazione e non gli viene chiesto nulla.

Se sei un insegnante o un logopedista: sei tu a doverti assicurare di avere una base valida per inserire i dati degli alunni o dei pazienti nel Servizio. Rispetto a quei dati il Titolare agisce su tua istruzione.

3.Quali dati trattiamo

L’elenco che segue è esaustivo e corrisponde a ciò che il Servizio effettivamente memorizza. Non ci sono altre raccolte in corso.

Cosa NON facciamo. Non tracciamo quali storie vengono lette né per quanto tempo. Non misuriamo la durata delle sessioni. Non usiamo strumenti di analisi del comportamento, non c’è pubblicità e non c’è profilazione. Se in futuro introdurremo statistiche di lettura, aggiorneremo questa informativa prima di attivarle.

4.Perché li trattiamo, e con quale base giuridica

5.Dati dei minori e dati sulla salute

Il profilo di lettura (dislessia, ADHD, autismo, ipovisione) è un dato relativo alla salute ai sensi dell’art. 9 GDPR, e appartiene a un minore. Lo trattiamo alle condizioni più strette che il regolamento prevede:

• È facoltativo. Il Servizio funziona senza. Se non lo indichi, la storia viene semplicemente scritta per l’età del bambino.
• Serve a una cosa sola: cambiare come la storia viene scritta e come appare — frasi più corte, linguaggio letterale, ritmo più serrato, testo più grande. Non lo usiamo per nient’altro, e non viene comunicato a nessuno se non ai fornitori elencati alla sezione 6.
• Si revoca in ogni momento riportando il profilo di lettura a «nessuna indicazione» nella scheda del bambino. La revoca vale per il futuro e non tocca le storie già create.
• Non è una diagnosi e il Servizio non ne formula alcuna: è una preferenza di presentazione che ci indichi tu.

Il consenso al trattamento dei dati del minore è prestato dall’adulto responsabile ai sensi dell’art. 8 GDPR. Chiediamo di inserire il solo nome di battesimo, o un soprannome: è la scelta più prudente, e riduce a monte quanto c’è da proteggere.

6.A chi vengono trasmessi i dati

Per funzionare, il Servizio si appoggia ai fornitori qui sotto, che agiscono come responsabili del trattamento. La colonna centrale dice esattamente che cosa ciascuno riceve.

Trasferimenti fuori dall’Unione Europea. I fornitori statunitensi elencati sopra trattano dati al di fuori dello Spazio economico europeo. Il trasferimento avviene sulla base delle Clausole Contrattuali Standard adottate dalla Commissione europea e, ove il fornitore vi aderisca, della decisione di adeguatezza relativa al EU-US Data Privacy Framework.

Addestramento dei modelli. I fornitori di intelligenza artificiale sono vincolati contrattualmente a non usare i contenuti trasmessi tramite le loro API per addestrare i propri modelli. Non cediamo dati a nessuno per finalità di addestramento.

Non vendiamo, non affittiamo e non cediamo dati personali a terzi per finalità commerciali. Al di fuori di questo elenco, i dati possono essere comunicati solo su richiesta legittima dell’autorità giudiziaria.

7.Copertine e link condivisi

Le illustrazioni di copertina sono conservate in un archivio i cui indirizzi sono pubblici ma non indovinabili: chi conosce l’indirizzo esatto di un’immagine può aprirla senza accedere, ma l’elenco dei file non è consultabile e gli indirizzi non sono derivabili. Le copertine non contengono testo della storia né il nome del bambino.

Se attivi la condivisione di una storia, il Servizio crea un link segreto e revocabile. Chi lo riceve vede la copertina; per leggere la storia deve accedere. Il titolo — che di solito contiene il nome del bambino — compare nell’anteprima del link solo se lo scegli espressamente, una storia alla volta. Tieni presente una cosa che nessun servizio può annullare: le app di messaggistica conservano una copia dell’anteprima anche dopo che il link è stato revocato. Il link si revoca dal lettore, e la revoca è immediata.

8.Per quanto tempo conserviamo i dati

9.Cookie e dati salvati sul tuo dispositivo

Il Servizio non usa cookie di profilazione, non ha pubblicità e non impiega strumenti di analisi di terze parti. Per questo non trovi un banner di consenso: i cookie che usiamo sono tecnici e non lo richiedono.

• Cookie di sessione (Supabase): ti tengono autenticato. Senza, dovresti riaccedere a ogni pagina.
• ouat_locale e ouat_story_locale: ricordano la lingua dell’interfaccia e quella in cui vuoi le storie. Durata: un anno.

Il Servizio salva inoltre alcune preferenze soltanto nel tuo browser, senza inviarle a noi: la dimensione del testo, il fatto che tu abbia già chiuso l’invito a installare l’app, e un contatore di visite usato solo per non riproporti quell’invito. Si cancellano svuotando i dati del sito dalle impostazioni del browser.

10.I tuoi diritti

Il GDPR ti riconosce i diritti seguenti, che valgono anche per i dati dei minori inseriti da te:

• Accesso ai dati che ti riguardano (art. 15).
• Rettifica dei dati inesatti (art. 16): nome, profilo dei bambini e impostazioni si modificano direttamente nell’app.
• Cancellazione (art. 17).
• Limitazione del trattamento (art. 18).
• Portabilità (art. 20): da Profilo → Privacy e dati scarichi subito, senza chiedere nulla a nessuno, un file con il tuo profilo, i profili dei bambini, tutte le storie e le classi.
• Opposizione al trattamento fondato sul legittimo interesse (art. 21).
• Revoca del consenso in qualsiasi momento, senza che ciò pregiudichi la liceità del trattamento svolto prima della revoca.

Come esercitarli. Scrivi a privacy@arcanozero.com. Rispondiamo entro 30 giorni. Per la cancellazione dell’account usa lo stesso indirizzo: eliminiamo account, profili dei bambini, storie e copertine entro 30 giorni dalla richiesta.

Se ritieni che il trattamento violi il GDPR puoi proporre reclamo al Garante per la protezione dei dati personali o rivolgerti all’autorità giudiziaria.

11.Decisioni automatizzate

Il Servizio usa modelli di intelligenza artificiale per scrivere e illustrare storie. Non prende decisioni automatizzate che producano effetti giuridici o incidano in modo analogamente significativo su una persona ai sensi dell’art. 22 GDPR: non valuta, non classifica e non attribuisce punteggi a nessun bambino, e non formula diagnosi.

I testi generati possono contenere imprecisioni. Il Servizio non sostituisce una valutazione pedagogica, medica o logopedica, e l’adulto resta l’unico giudice di ciò che è adatto al proprio bambino.

12.Come proteggiamo i dati

• Cifratura del traffico in transito (HTTPS/TLS) su ogni pagina e ogni chiamata.
• Row Level Security attiva su tutte le tabelle: la separazione fra un account e l’altro è imposta dal database, non dal codice dell’applicazione, che è la garanzia più solida delle due.
• Password mai conservate in chiaro; autenticazione gestita da Supabase.
• Accessi differenziati per ruolo, e accessi dei professionisti a scadenza.
• Intestazioni di sicurezza restrittive (Content Security Policy, protezione contro l’inclusione in frame di terzi, blocco del riconoscimento automatico del tipo di contenuto).
• Il funzionamento offline dell’app non conserva sul dispositivo pagine autenticate né copertine delle storie: su un tablet condiviso non sopravvivono all’uscita dall’account.

In caso di violazione dei dati personali che comporti un rischio per i diritti e le libertà degli interessati, informeremo il Garante entro 72 ore e, quando il rischio è elevato, anche te, ai sensi degli artt. 33 e 34 GDPR.

13.Modifiche a questa informativa

Se cambiamo il modo in cui trattiamo i dati, aggiorniamo questa pagina e la data in alto. Le modifiche sostanziali — una nuova finalità, un nuovo fornitore che riceve dati dei bambini — te le comunichiamo per email o nell’app prima che entrino in vigore. Il semplice proseguire nell’uso del Servizio non vale come consenso a un trattamento nuovo che il consenso lo richiede: in quel caso te lo chiediamo espressamente.