INFORMATIVA sul trattamento dei dati personali

1. Chi tratta i dati e con quali ruoli

1.1 Trattamenti comuni della piattaforma

Per i trattamenti comuni necessari alla configurazione, al funzionamento, alla sicurezza e all'assistenza tecnica di ZenkAI, STEM UP IMPRESA SOCIALE, Via A. Marzolo 21, 00122 Roma (di seguito, “StemUP”), e UAB KERBERA, A. Goštauto g. 8-358, LT-01108 Vilnius, Lituania (di seguito, “Kerbera”), operano quali contitolari ai sensi dell'art. 26 GDPR.

Rientrano nei trattamenti comuni:

• configurazione, funzionamento ed evoluzione delle funzionalità che comportano il trattamento di dati personali, inclusa l'integrazione dei servizi di intelligenza artificiale;
• gestione tecnica degli account, autenticazione, sessioni, ruoli applicativi e accesso alle funzionalità;
• ricezione, conservazione ed elaborazione dei materiali caricati, dei prompt, degli output, delle immagini e degli eventuali dati audio necessari alle funzioni richieste;
• sicurezza della piattaforma, controllo degli accessi, log, backup, prevenzione degli abusi e gestione degli incidenti;
• assistenza tecnica integrata, diagnosi dei malfunzionamenti e interventi necessari alla continuità del servizio.

Il contenuto essenziale dell'accordo di contitolarità è reso disponibile agli interessati su richiesta. Il punto di contatto comune è support@zenkaieducation.com. Resta possibile esercitare i diritti nei confronti di ciascun contitolare.

1.2 Trattamenti autonomi di Kerbera - canale diretto

Kerbera opera quale titolare autonoma per la gestione del rapporto contrattuale con l'utente diretto: registrazione e piano, abbonamenti, pagamenti tramite Stripe, fatturazione, assistenza commerciale non tecnica, adempimenti amministrativi, contabili, fiscali e difensivi ed eventuali comunicazioni commerciali proprie, ove lecite.

1.3 Trattamenti autonomi di StemUP - scuole e organizzazioni

StemUP opera quale titolare autonoma per la gestione dei referenti istituzionali, delle trattative, del contratto e delle licenze, della fatturazione e del recupero crediti, degli adempimenti amministrativi, contabili, fiscali e difensivi e delle eventuali comunicazioni commerciali proprie, ove lecite.

1.4 Trattamenti autonomi di StemUP - canale intermediato

Quando l'accesso a ZenkAI è attivato tramite intermediari commerciali, rivenditori o circuiti di welfare aziendale (es. buoni o gift card convertibili in abbonamento), StemUP opera quale titolare autonoma per la gestione del rapporto con l'intermediario, la verifica del titolo di attivazione presentato dall'utente e la relativa fatturazione. L'intermediario resta responsabile dei propri trattamenti verso i propri clienti o dipendenti, secondo la propria informativa.

1.5 Ruolo della scuola o dell'organizzazione

La scuola o altra organizzazione che sceglie ZenkAI resta titolare dei trattamenti che determina per le proprie finalità didattiche, organizzative e amministrative, comprese la scelta del servizio, l'assegnazione delle licenze e l'individuazione degli utenti autorizzati.

Quando una specifica operazione è svolta esclusivamente per conto e su istruzioni documentate del cliente istituzionale e ricorrono i presupposti dell'art. 28 GDPR, il rapporto è disciplinato con separato accordo sottoscritto dal cliente e dalla Parte o dalle Parti effettivamente incaricate. Tale accordo non modifica i ruoli di StemUP e Kerbera nei trattamenti comuni descritti sopra.

2. Quali dati trattiamo e da dove provengono

• Interessati. Utenti diretti; referenti e amministratori delle scuole o organizzazioni; docenti; studenti, anche minorenni; altro personale autorizzato.
• Dati dell'account. Nome, email, identificativo utente, eventuale nome utente, ruolo dichiarato, dati di autenticazione e sessione e informazione relativa al superamento della soglia minima di età. Le credenziali e l'autenticazione sono gestite tramite AWS Cognito. Non è prevista la raccolta sistematica della data di nascita completa.
• Dati dei referenti istituzionali. Nome, ruolo, organizzazione di appartenenza, recapiti professionali, comunicazioni e informazioni necessarie a trattative, contratto, licenze, fatturazione e assistenza.
• Accesso e portale scuole. Codice meccanografico, email istituzionale autorizzata, organizzazione, ruolo, inviti monouso, assegnazioni dei posti e registrazioni di audit necessarie a verificare il referente, isolare le organizzazioni e amministrare la licenza. I token sono conservati soltanto in forma cifrata o come impronta crittografica e hanno una scadenza breve.
• Newsletter. Email, lingua preferita, stato dell'iscrizione e preferenze registrate, versione dell'informativa e del consenso, data della richiesta e dati tecnici limitati per prevenire abusi. L'iscrizione diventa attiva soltanto dopo la conferma del link inviato via email (double opt-in).
• Dati contrattuali e di pagamento del canale diretto. Piano scelto, stato dell'abbonamento e delle transazioni, identificativi Stripe, dati di fatturazione e informazioni amministrative necessarie. I dati completi della carta sono trattati da Stripe e non sono memorizzati da ZenkAI.
• Contenuti dell'utente. Materiali caricati, testi, immagini, prompt, richieste rivolte ai modelli di IA e output generati o salvati, inclusi quiz, riassunti, flashcard, mappe, script o podcast e risposte in chat.
• Immagini e audio. Immagini utilizzate nei flussi live, avatar, visuali o ambienti 360 e dati audio/TTS, se la funzione è attiva. Le immagini non sono trattate per identificazione biometrica. Quando tecnicamente disponibile, ZenkAI tenta di oscurare localmente i volti prima dell'invio al fornitore IA; la misura riduce il rischio, ma non rende necessariamente anonima l'immagine.
• Calendario. Eventi inseriti nel calendario interno; se l'utente collega facoltativamente Google Calendar, dati degli eventi e credenziali tecniche necessarie alla sincronizzazione, nei limiti delle autorizzazioni accordate.
• Community. Materiali caricati nella libreria, eventuali contenuti condivisi, nome utente visualizzato, data di pubblicazione e dati necessari alla moderazione e alle segnalazioni.
• Dati tecnici. Indirizzo IP, eventi di autenticazione, sessioni, cookie tecnici, log applicativi e di sicurezza, dati del dispositivo e informazioni strettamente necessarie a prevenire abusi e risolvere malfunzionamenti.
• Assistenza. Richieste inviate al supporto e comunicazioni successive.

Origine dei dati

I dati sono forniti direttamente dall'utente oppure generati durante l'uso del servizio. Nel canale scuole possono essere comunicati dalla scuola o dall'organizzazione che abilita l'account. I dati dei referenti istituzionali possono inoltre provenire dall'organizzazione di appartenenza, da precedenti comunicazioni professionali o da fonti pubblicamente accessibili pertinenti al ruolo ricoperto. Se l'account è attivato tramite un intermediario commerciale o un circuito welfare, il nome associato al titolo di attivazione presentato dall'utente è verificato al momento del riscatto.

Dati particolari e dati di terzi

ZenkAI non richiede dati sanitari, dati relativi a disabilità, convinzioni religiose, opinioni politiche o altre categorie particolari di dati. L'utente deve evitare di inserirli nei campi liberi e non deve caricare dati personali di altre persone se non dispone di un idoneo presupposto. L'eventuale inserimento incidentale non modifica la finalità del servizio e può comportare la rimozione del contenuto.

3. Perché trattiamo i dati e su quale base

3.1 Trattamenti comuni

• Funzioni della piattaforma. Per il canale diretto, Kerbera tratta i dati necessari all'esecuzione del contratto (art. 6.1.b GDPR); StemUP fonda la propria partecipazione ai trattamenti comuni sul legittimo interesse a concorrere all'erogazione e al funzionamento del prodotto comune (art. 6.1.f), previa valutazione che considera la presenza di minori. Nel canale scuole, in assenza di un rapporto contrattuale diretto con il singolo utente, StemUP e Kerbera fondano i trattamenti comuni necessari all'erogazione sul rispettivo legittimo interesse (art. 6.1.f), coordinato con la base giuridica individuata dalla scuola per i propri trattamenti.
• Sicurezza e continuità. Controllo degli accessi, autenticazione, prevenzione degli abusi, log e gestione degli incidenti si fondano sul legittimo interesse dei contitolari a proteggere utenti, dati e servizio (art. 6.1.f), valutato con particolare attenzione ai minori.
• Assistenza tecnica. Il trattamento è necessario a erogare la funzione richiesta e a garantire il corretto funzionamento del servizio; si fonda, secondo il canale e la Parte coinvolta, sull'esecuzione del contratto e/o sul legittimo interesse alla gestione tecnica e alla continuità del servizio (art. 6.1.b e f).
• Google Calendar. La sincronizzazione facoltativa si fonda sul consenso dell'utente (art. 6.1.a), revocabile disattivando l'integrazione.
• Community. La condivisione volontaria è trattata per fornire la funzione richiesta (art. 6.1.b); la moderazione e la gestione delle segnalazioni si fondano sul legittimo interesse alla sicurezza e alla corretta gestione della community (art. 6.1.f) e, ove applicabile, su obblighi di legge (art. 6.1.c).

3.2 Trattamenti autonomi del canale diretto

Kerbera tratta i dati necessari a registrazione, piano, abbonamento, pagamenti, fatturazione, assistenza commerciale e comunicazioni indispensabili sul servizio per eseguire il contratto o le misure precontrattuali richieste dall'utente (art. 6.1.b), adempiere obblighi di legge (art. 6.1.c) e tutelare i propri diritti (art. 6.1.f). Eventuali comunicazioni promozionali si fondano sul consenso, salvo i casi nei quali la legge ne consenta l'invio senza un nuovo consenso.

La newsletter del sito si fonda sul consenso dell'interessato (art. 6.1.a GDPR), raccolto con una casella separata e confermato tramite double opt-in. Il consenso può essere revocato in qualsiasi momento dal link presente nelle comunicazioni; la revoca non pregiudica la liceità del trattamento precedente. I controlli antifrode e antiabuso strettamente necessari si fondano sul legittimo interesse a proteggere il modulo e il servizio (art. 6.1.f).

3.3 Trattamenti autonomi del canale istituzionale

StemUP tratta i dati dei referenti per gestire contatti, trattative, contratto, licenze, fatturazione, assistenza commerciale e adempimenti connessi. Il trattamento si fonda sull'esecuzione del contratto o di misure precontrattuali, quando applicabile (art. 6.1.b), sul legittimo interesse a gestire il rapporto con l'organizzazione tramite i suoi referenti (art. 6.1.f), sugli obblighi di legge (art. 6.1.c) e sulla tutela dei diritti (art. 6.1.f). Eventuali comunicazioni promozionali si fondano sul consenso, salvo i casi consentiti dalla legge.

3.4 Trattamenti determinati dalla scuola

Finalità e base giuridica dei trattamenti decisi dalla scuola o dall'organizzazione sono indicate nella relativa informativa. Quando StemUP e/o Kerbera svolgono specifiche operazioni esclusivamente per conto del cliente, trattano i dati sulla base delle istruzioni documentate contenute nell'accordo ex art. 28 GDPR.

Quando un trattamento si fonda sul legittimo interesse, l'interessato può chiedere informazioni sul bilanciamento effettuato e opporsi per motivi connessi alla propria situazione particolare.

4. Dati necessari e dati facoltativi

Nome, email, credenziali di autenticazione, ruolo e dati minimi del piano o della licenza sono necessari per creare o abilitare l'account ed erogare il servizio; il mancato conferimento impedisce la registrazione o l'uso delle relative funzioni. Per i referenti istituzionali sono necessari i dati professionali indispensabili a gestire il rapporto con l'organizzazione.

Materiali, prompt, immagini, audio, contenuti della community, collegamento a Google Calendar e iscrizione alla newsletter sono facoltativi e vengono trattati soltanto quando l'utente sceglie di utilizzare la funzione corrispondente. La mancata iscrizione o la revoca della newsletter non impedisce l'uso di ZenkAI.

5. Uso dei servizi di intelligenza artificiale

I contenuti inviati dall'utente possono essere trasmessi, nella misura necessaria, ai servizi IA integrati tramite API per generare la risposta richiesta. StemUP e Kerbera non autorizzano l'impiego dei dati ZenkAI per addestrare o migliorare modelli di terzi e configurano i servizi secondo le condizioni contrattuali applicabili agli account utilizzati.

ZenkAI non adotta decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o incidano in modo analogamente significativo sull'utente ai sensi dell'art. 22 GDPR. Gli output sono generati automaticamente in risposta alle richieste dell'utente e devono essere verificati prima di essere utilizzati.

6. Destinatari e fornitori

I dati possono essere trattati da personale autorizzato di StemUP e Kerbera, dal personale autorizzato della scuola o dell'organizzazione secondo le rispettive competenze e dai fornitori strettamente necessari all'erogazione del servizio, vincolati secondo il ruolo loro applicabile. Alla data di questa informativa sono previsti:

• AWS. Infrastruttura, database, storage, autenticazione tramite Amazon Cognito e log; account intestato a StemUP; regione principale Europa (Milano), eu-south-1.
• Google Gemini API. Elaborazione testuale e rielaborazione dei materiali di studio tramite account/progetto intestato a StemUP.
• OpenAI API. Elaborazione di immagini e, se attive, funzioni audio/TTS o visuali tramite account intestato a StemUP; non vengono utilizzati strumenti consumer per tali elaborazioni.
• Stripe. Gestione dei pagamenti e degli abbonamenti del canale diretto sotto la responsabilità di Kerbera, secondo il ruolo assunto da Stripe per la specifica operazione.
• Amazon Simple Email Service (SES). Invio delle email di servizio, dei link di conferma e, dopo consenso e double opt-in, della newsletter; servizio AWS configurato per l'infrastruttura ZenkAI.
• Google Calendar. Sincronizzazione facoltativa degli eventi, esclusivamente dopo l'autorizzazione dell'utente e nei limiti delle autorizzazioni accordate.
• Intermediari commerciali e circuiti welfare (es. Edenred). Quando l'accesso è attivato tramite un intermediario o un circuito welfare, questi ultimi gestiscono in autonomia la propria piattaforma di emissione dei titoli di attivazione e il rapporto con i propri clienti o dipendenti; StemUP riceve unicamente le informazioni necessarie a verificare il titolo presentato e a gestire la fatturazione con l'intermediario, secondo quanto descritto al § 1.4.

7. Trasferimenti verso Paesi terzi

Alcuni fornitori possono trattare dati anche fuori dallo Spazio economico europeo. In tali casi la Parte che gestisce il rapporto con il fornitore verifica la presenza di una decisione di adeguatezza oppure adotta le garanzie previste dal Capo V GDPR, incluse, ove applicabili, le clausole contrattuali standard e misure supplementari. È possibile chiedere informazioni sulla garanzia applicata e ottenerne copia o indicazione del luogo in cui è disponibile scrivendo a support@zenkaieducation.com.

8. Per quanto tempo conserviamo i dati

• Account e contenuti salvati. Per la durata dell'account o della licenza o fino alla cancellazione del singolo contenuto, salvi i dati da conservare per legge o per la tutela dei diritti.
• Utenti del canale scuole. L'abilitazione segue la durata stabilita nel rapporto con la scuola o l'organizzazione e le sue istruzioni per le operazioni eventualmente soggette all'art. 28. La scuola determina autonomamente i tempi dei propri trattamenti e li indica nella propria informativa.
• Dati contrattuali, di pagamento e fatturazione. Per il periodo richiesto dalla normativa applicabile a Kerbera o StemUP e, successivamente, per il tempo necessario alla tutela dei rispettivi diritti.
• Dati dei referenti istituzionali. Per la durata delle trattative e del rapporto con l'organizzazione e, dopo la cessazione, per gli adempimenti di legge e la tutela dei diritti. I dati non più pertinenti al ruolo o al rapporto vengono aggiornati o cancellati.
• Richieste di accesso scuola e inviti. Le richieste tecniche non ancora elaborate e gli inviti hanno durata limitata e vengono cancellati o resi non riconducibili all'interessato dopo la scadenza, l'accettazione o la revoca, salvi gli eventi di audit minimizzati necessari alla sicurezza e alla prova delle operazioni.
• Newsletter. Le richieste non confermate vengono eliminate o redatte entro 30 giorni nella configurazione ordinaria; i contatti confermati sono conservati fino alla disiscrizione o alla revoca del consenso. Dopo la disiscrizione restano soltanto i dati minimi necessari a rispettare la scelta, gestire eventuali contestazioni e impedire nuovi invii non autorizzati, secondo la policy applicabile.
• Cookie di autenticazione e sessioni. Durata massima attuale di 30 giorni; cancellazione al logout o alla chiusura dell'account, secondo la funzione interessata.
• Log applicativi su CloudWatch. 7 giorni nella configurazione attuale.
• Backup del database. 1 giorno nella configurazione attuale, salvi i tempi tecnici di sovrascrittura.
• Immagini nei flussi live. Utilizzate come contenuto temporaneo della richiesta e non conservate stabilmente da ZenkAI; nella cronologia può restare il solo riferimento all'allegato.
• Avatar e ambienti/360. Fino alla cancellazione da parte dell'utente o alla chiusura dell'account.
• Google Calendar. Autorizzazioni e dati tecnici di collegamento fino alla disconnessione dell'integrazione; gli eventi già memorizzati nel calendario Google dell'utente restano soggetti alle impostazioni e ai tempi scelti presso Google.
• Assistenza e moderazione. Per il tempo necessario alla gestione e, se occorre, alla tutela dei diritti o all'adempimento di obblighi di legge.

Alla chiusura dell'account o alla cessazione del servizio, i dati vengono rimossi dai sistemi attivi o resi anonimi secondo la procedura applicabile; copie residuali possono permanere temporaneamente nei backup fino alla naturale sovrascrittura, con accessi limitati e senza ulteriore utilizzo.

9. Community e contenuti condivisi

I materiali caricati nella libreria sono privati per impostazione predefinita. La condivisione avviene soltanto mediante un'azione specifica dell'utente e rende il contenuto visibile agli altri utenti secondo l'opzione selezionata. Con il contenuto possono essere mostrati il nome utente scelto e la data di pubblicazione.

Per gli account dichiarati appartenenti a utenti tra 14 e 17 anni, i contenuti restano privati e la condivisione pubblica non è abilitata. Per gli account attivati tramite una scuola o altra organizzazione, disponibilità e configurazione delle funzioni di condivisione dipendono anche dalle impostazioni concordate con il cliente istituzionale.

Le segnalazioni relative a contenuti illeciti, lesivi o contenenti dati personali possono essere inviate a support@zenkaieducation.com; i dati della segnalazione sono trattati per verificare il contenuto, adottare le misure necessarie e documentare la gestione del caso. Le regole sulla titolarità dei materiali, sulle licenze d'uso e sulla procedura di notifica e rimozione sono disciplinate nei Termini e Condizioni e nel regolamento della community.

10. Minori

Il canale diretto di ZenkAI è riservato a chi ha compiuto 14 anni. Gli utenti tra 14 e 17 anni possono registrarsi, utilizzare il servizio e acquistare il piano prescelto nel rispetto dei Termini e Condizioni e delle modalità di pagamento disponibili. Possono esprimere autonomamente, ove richiesto, il consenso al trattamento dei dati personali connesso all'uso dell'IA, sulla base di informazioni accessibili e comprensibili. La registrazione richiede soltanto la dichiarazione di aver compiuto 14 anni; se risulta che l'account appartiene a un minore di 14 anni, l'account e i relativi dati vengono cancellati, salvi gli obblighi di legge. Questa dichiarazione è richiesta in fase di registrazione a chiunque crei un account nel canale diretto, indipendentemente dalle modalità con cui si accede alla piattaforma — acquisto diretto, invito, o attivazione tramite intermediario o circuito welfare — senza eccezioni legate al canale di attivazione.

I minori di 14 anni possono accedere tramite una scuola o altro percorso autorizzato. L'accesso all'IA e il conseguente trattamento dei dati richiedono il consenso di chi esercita la responsabilità genitoriale ai sensi dell'art. 4 della legge 23 settembre 2025, n. 132. La scuola informa studenti e famiglie sui trattamenti che determina e sulle modalità con cui gestisce tale presupposto.

11. Diritti dell'interessato

È possibile chiedere l'accesso ai dati, la rettifica, la cancellazione, la limitazione del trattamento e la portabilità, quando prevista; è inoltre possibile opporsi ai trattamenti fondati sul legittimo interesse e revocare in ogni momento il consenso, senza pregiudicare la liceità del trattamento precedente alla revoca.

Le richieste possono essere inviate a support@zenkaieducation.com. L'identità del richiedente può essere verificata con misure proporzionate, per evitare accessi non autorizzati.

Per i trattamenti determinati dalla scuola o dall'organizzazione, i diritti devono essere esercitati anche nei confronti di tale soggetto, utilizzando i contatti indicati nella sua informativa. StemUP e Kerbera cooperano nei limiti dei ruoli effettivamente assunti e degli accordi applicabili.

È sempre possibile proporre reclamo al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it, oppure rivolgersi all'autorità di controllo del Paese dell'Unione europea in cui si vive o lavora o nel quale si ritiene avvenuta la violazione.

12. Sicurezza

StemUP e Kerbera adottano misure tecniche e organizzative proporzionate al rischio, tra cui autenticazione tramite AWS Cognito, cookie di sessione sicuri, token email con scadenza, gestione dei segreti tramite AWS Secrets Manager, cifratura in transito e a riposo, accessi amministrativi limitati e tracciati, separazione degli ambienti, log di sicurezza, backup, gestione delle vulnerabilità e degli incidenti e revoca degli accessi.

13. Modifiche dell'informativa

Questa informativa può essere aggiornata in caso di modifica delle funzioni, dei fornitori, delle finalità, dei ruoli, dei tempi di conservazione o della normativa applicabile. Le modifiche rilevanti saranno comunicate con modalità adeguate prima che producano effetti.

Ultimo aggiornamento: 25 agosto 2026