Informativa sulla privacy

Titolare del trattamento

Tobias Bucci
Mühlenweg 51, St. Sigmund
39030 Kiens (BZ), Italia
E-mail: buccitobias774@gmail.com

Ambito

La presente informativa vale per il sito www.digitalesregister.com, il servizio di avvisi api.digitalesregister.com e l’area di amministrazione. Per l’app «Digitales Register» (anche «Schulregister Südtirol») vale l’informativa sulla privacy dell’app.

Sito e servizio di avvisi

A ogni accesso vengono trattati tecnicamente: indirizzo IP, user agent, percorso richiesto con i parametri e orario. Per il servizio di avvisi si aggiungono i parametri piattaforma, versione dell’app e lingua.

Le finalità sono la distribuzione delle pagine e degli avvisi, la sicurezza, la prevenzione degli abusi e la limitazione delle richieste. La base giuridica è l’art. 6, par. 1, lett. f) GDPR: il nostro legittimo interesse è un funzionamento sicuro e regolare.

Il sito non usa strumenti di analisi, pubblicità né contenuti di altri server.

Log del server e conservazione

Il server web (Caddy) e il server degli avvisi non scrivono registri di accesso.

Per limitare le richieste, l’indirizzo IP (per IPv6 i primi 64 bit) resta solo nella memoria di lavoro. Non viene scritto su disco e va perso al riavvio del servizio o alla pulizia della tabella.

Solo in caso di errore del server (stato HTTP 5xx) il server web scrive indirizzo IP, indirizzo richiesto con i parametri e intestazioni della richiesta, esclusi i cookie, nel registro di sistema del server. Il registro di sistema viene cancellato al più tardi dopo 15 giorni.

Servizio di avvisi

Il servizio è pubblico e non richiede account né accesso. L’app invia piattaforma, versione dell’app, lingua e dati tecnici per la paginazione e la cache (limit, cursor, ETag). Non invia dati di account, scuola o voti, identificatori del dispositivo né ID pubblicitari.

Il server non conserva nulla di queste richieste, salvo il caso di errore descritto sopra. Non ci sono servizi push (né APNs né FCM), cookie e, in questa fase, analisi d’uso. Gli avvisi letti e nascosti vengono annotati solo sul dispositivo.

Cloudflare

Il sito, il servizio di avvisi e l’area di amministrazione passano attraverso Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Cloudflare fornisce DNS, proxy e CDN, la terminazione TLS, la protezione DDoS e, per l’area di amministrazione, Cloudflare Access. Poiché la cifratura termina presso Cloudflare, Cloudflare vede indirizzi IP, intestazioni e le richieste stesse.

Secondo quanto dichiara, Cloudflare è responsabile del trattamento per i log dei clienti e titolare per gli altri dati personali. Cloudflare dichiara di conservare i dati principalmente negli Stati Uniti e nello Spazio economico europeo; è quindi possibile un trasferimento fuori dall’UE. Come garanzie Cloudflare indica la propria certificazione ai sensi dell’EU-U.S. Data Privacy Framework e, se questa venisse meno, le clausole contrattuali standard.

Le risposte contengono intestazioni Cloudflare per il Network Error Logging, con cui i browser compatibili possono segnalare errori di connessione a Cloudflare. La base giuridica è l’art. 6, par. 1, lett. f) GDPR.

Dettagli: informativa sulla privacy di Cloudflare (4 novembre 2025), Data Processing Addendum (versione 6.4, 3 aprile 2026), sub-responsabili.

Hosting presso Oracle

Il server è una macchina virtuale di Oracle Cloud Infrastructure (Always Free) nella regione di Milano, Italia (eu-milan-1). Secondo quanto dichiara, Oracle agisce come responsabile del trattamento. Per i trasferimenti dallo Spazio economico europeo Oracle indica norme vincolanti d’impresa per i responsabili del trattamento o clausole contrattuali standard, nonché l’EU-U.S. Data Privacy Framework.

Dettagli: Oracle Services Privacy Policy, Oracle Data Processing Agreement.

Area di amministrazione

L’area di amministrazione è riservata al gestore. L’accesso è protetto da Cloudflare Access con un PIN monouso via e-mail e da un proprio accesso con cookie di sessione. Se qualcuno inserisce un indirizzo e-mail nella pagina di accesso di Cloudflare Access, Cloudflare lo tratta per il controllo dell’accesso.

Gli accessi falliti vengono contati senza IP in chiaro e cancellati dopo un giorno; le copie di sicurezza vengono cancellate dopo 14 giorni. La base giuridica è l’art. 6, par. 1, lett. f) GDPR.

Cookie e archiviazione locale

Le pagine pubbliche non impostano cookie, non usano localStorage né sessionStorage e non caricano nulla da altri server. Per questo non c’è un banner dei cookie.

I cookie esistono solo nell’area di amministrazione e sono tutti tecnicamente necessari: __Host-dr_session mantiene la sessione (termina dopo 30 minuti di inattività, al più tardi dopo 12 ore), __Host-dr_challenge vale 5 minuti durante l’accesso. Cloudflare Access imposta propri cookie di autenticazione, ad esempio CF_Authorization e CF_AppSession.

Per i cookie tecnici non è necessario il consenso ai sensi dell’art. 122 del Codice in materia di protezione dei dati personali (D.Lgs. 196/2003). La base giuridica è l’art. 6, par. 1, lett. f) GDPR.

L’app

I dati del registro passano direttamente tra il dispositivo e il registro scolastico scelto; il gestore dell’app non li riceve. Per i dati nel registro sono responsabili la scuola e il suo fornitore del registro. Solo con il consenso Google (Firebase Crashlytics, Google Analytics for Firebase con esportazione in BigQuery nell’UE) tratta dati di diagnostica e d’uso. I dettagli sono nell’informativa sulla privacy dell’app.

Destinatari e trasferimenti

I destinatari sono Cloudflare e Oracle come descritto sopra. I dati sul server restano nella regione di Milano; trasferimenti fuori dall’UE sono possibili presso Cloudflare. Oltre a ciò comunichiamo dati solo se obbligati per legge. Non vendiamo dati.

I tuoi diritti

Hai diritto di accesso, rettifica, cancellazione, limitazione del trattamento e portabilità dei dati (artt. 15-20 GDPR). Puoi opporti al trattamento basato sul legittimo interesse (art. 21 GDPR) e revocare in qualsiasi momento il consenso per il futuro. Scrivi a buccitobias774@gmail.com. Usiamo il tuo indirizzo e il tuo messaggio solo per risponderti; la casella di posta è ospitata da Google.

Poiché non esistono account né registri di accesso, di regola non possiamo attribuire a una persona le richieste relative ai dati di connessione.

Reclamo

Puoi proporre reclamo all’autorità di controllo: Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it.

Obbligo di fornire i dati, decisioni automatizzate

Non sei obbligato a fornire dati. Senza i dati di connessione tecnicamente necessari, però, pagine e avvisi non possono essere distribuiti. Non esistono processi decisionali automatizzati né profilazione.

Modifiche

La versione 5 del 7 novembre 2026 è la prima versione completa per sito, servizio di avvisi e area di amministrazione. Le modifiche vengono pubblicate qui con una nuova data.