Informativa privacy

Ultimo aggiornamento: 23 ottobre 2026

Questa informativa spiega come trattiamo i dati personali quando usi Quizhat (quizhat.app), ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR) e del Codice in materia di protezione dei dati personali (D.Lgs. 196/2003, come modificato dal D.Lgs. 101/2018).

1. Titolare del trattamento e contatti

Il titolare del trattamento è FESTALAUREA SRLS, Via Luigi Mascherpa 18, 35131 Padova (PD), P.IVA 05743150285, che gestisce Quizhat.

• Email: festalaurea.info@gmail.com (per qualsiasi domanda sulla privacy e per esercitare i tuoi diritti)
• PEC: festalaurea@pec.it

Non abbiamo nominato un responsabile della protezione dei dati (DPO), perché per la nostra attività non è obbligatorio (art. 37 GDPR): per ogni richiesta puoi usare i contatti qui sopra.

2. I due ruoli di Quizhat

• Per chi crea un account (formatori, insegnanti, enti, organizzatori di eventi) siamo titolari dei dati dell'account: decidiamo noi come e perché trattarli, nei limiti descritti qui.
• Per chi partecipa a un quiz il titolare è chi organizza la sessione (l'ente di formazione, l'azienda, la scuola, chi organizza l'evento). Quizhat tratta quei dati per suo conto e secondo le sue istruzioni, come responsabile del trattamento (art. 28 GDPR), in base all'Accordo sul trattamento dei dati che fa parte dei Termini di servizio. L'organizzatore decide quali dati chiedere, per quale scopo e su quale base giuridica, e deve darti la sua informativa. Se sei un partecipante e vuoi esercitare i tuoi diritti, rivolgiti all'organizzatore; se scrivi a noi, inoltriamo la richiesta all'organizzatore e lo aiutiamo a risponderti.

3. Quali dati trattiamo

Account (formatori e organizzatori)

• Dati di registrazione: nome, email e password. La password è salvata solo come impronta cifrata (hash Argon2): non possiamo leggerla.
• Accesso con Google o Microsoft, se lo scegli: riceviamo dal fornitore il tuo nome, l'indirizzo email e un identificativo dell'account. Non riceviamo la password né l'accesso ad altri dati del tuo account Google o Microsoft.
• Dati del piano: piano scelto, scadenza della prova, stato dell'abbonamento, contatori d'uso (ad esempio gli usi delle funzioni AI nel mese e il loro consumo, per controllare i costi).
• Dati di fatturazione (piani a pagamento): nome o ragione sociale, indirizzo, paese, partita IVA o codice fiscale, codice destinatario SDI o PEC, gli identificativi di cliente e abbonamento di Stripe e le fatture. I dati della carta li tratta direttamente Stripe: Quizhat non li vede e non li conserva.
• Dati dell'organizzazione, se li inserisci: nome dell'ente o dello studio e logo, che compaiono su verbali, attestati e schermo; corsi, cartelle dei clienti (nome dell'azienda cliente, partita IVA e referente, se li indichi).
• I tuoi contenuti: quiz, domande, immagini caricate, link ai video YouTube, documenti e testi che invii alle funzioni AI, raccolte, report delle sessioni.
• Libreria pubblica: se un tuo quiz è pubblico, accanto al quiz compare il nome dell'account come autore (è la citazione richiesta dalla licenza CC BY). Se preferisci, puoi usare come nome dell'account il nome di un ente o uno pseudonimo.
• Segnalazioni: se segnali un quiz della libreria registriamo il motivo e, se hai fatto l'accesso, il tuo account.
• Comunicazioni: le email che ci scrivi e le nostre risposte.

Partecipanti (per conto dell'organizzatore)

• Il soprannome scelto per giocare, l'avatar e l'eventuale squadra.
• Nella modalità Verifica e quando l'organizzatore lo richiede: nome, cognome e gli altri campi che l'organizzatore sceglie (ad esempio azienda o matricola).
• Le risposte date, i tempi di risposta, il punteggio, l'esito e i tentativi.
• Nella modalità Verifica: gli eventi della sessione (ingresso, uscita, consegna) e il numero di volte in cui il partecipante è uscito dalla pagina durante il test, che l'organizzatore vede nel report e nel verbale.
• Se l'organizzatore carica un elenco di iscritti: nome, cognome, azienda ed eventualmente l'email, con un link personale al test; se l'organizzatore lo chiede, inviamo il link per email.
• Se l'organizzatore genera un attestato: nome, corso, data ed esito, con un codice che permette a chi lo possiede di verificarne la validità su una pagina pubblica (non indicizzata dai motori di ricerca).
• Follow-up di efficacia (piano Ente): se l'organizzatore lo programma, dichiarando di aver informato i partecipanti, alcuni mesi dopo il corso inviamo agli iscritti con un'email un breve questionario facoltativo.

Per partecipare non serve un account e Quizhat non chiede email o telefono, salvo che sia l'organizzatore a inserirli.

Dati tecnici e di navigazione

Per far funzionare il sito e proteggerlo, i nostri sistemi trattano dati tecnici come l'indirizzo IP, il tipo di browser, data e ora delle richieste. Gli indirizzi IP usati per limitare i tentativi di accesso e le registrazioni ripetute restano solo nella memoria del server, al massimo per un'ora. Sul dispositivo salviamo solo cookie e memorie tecniche, descritti nella Cookie policy. Le statistiche di visita le raccogliamo con GoatCounter, installato sui nostri server, senza cookie e senza conservare l'indirizzo IP. Non facciamo profilazione né pubblicità.

Fornire i dati dell'account è necessario per usare le funzioni riservate: senza, non possiamo creare l'account. I dati di fatturazione sono necessari per acquistare un piano a pagamento, tenere le scritture contabili ed emettere la fattura (sempre per aziende e professionisti, su richiesta per i privati).

4. Finalità e basi giuridiche (account e sito)

• Fornire il servizio: account, accesso, creazione dei quiz, sessioni dal vivo, report, verbali, attestati, assistenza. Base: esecuzione del contratto (art. 6.1.b GDPR).
• Email di servizio: conferma dell'indirizzo, benvenuto con le istruzioni per iniziare, reimpostazione della password, avvisi di sicurezza (password o email cambiate, nuovo metodo di accesso), conferma di eliminazione dell'account, comunicazioni su piano e termini. Base: esecuzione del contratto e legittimo interesse alla sicurezza degli account. Non inviamo newsletter né email promozionali.
• Pagamenti, fatturazione e contabilità: base: contratto (art. 6.1.b) e obblighi di legge fiscali e contabili (art. 6.1.c).
• Funzioni AI (generazione di domande, domande da un documento, traduzione): base: esecuzione del contratto, solo quando sei tu a usarle.
• Libreria pubblica: pubblicare i quiz pubblici con il nome dell'autore. Base: contratto (è la scelta di visibilità del piano e la licenza CC BY che accetti).
• Sicurezza, prevenzione degli abusi e gestione delle segnalazioni, compresi i limiti ai tentativi di accesso e la rimozione di contenuti illeciti: base: legittimo interesse (art. 6.1.f) e obblighi di legge (Regolamento UE 2022/2065 sui servizi digitali).
• Statistiche anonime di visita, per capire quali pagine sono utili: base: legittimo interesse (art. 6.1.f); lo strumento non usa cookie e non identifica i visitatori.
• Difesa dei nostri diritti in caso di contestazioni: legittimo interesse (art. 6.1.f).

Non prendiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici su di te (art. 22 GDPR). Nella modalità Verifica il punteggio è calcolato in automatico, ma l'esito della verifica e le sue conseguenze sono decisi dall'organizzatore del corso.

5. Fornitori e destinatari

I dati non sono venduti né usati per pubblicità. Accedono ai dati solo le persone di FESTALAUREA SRLS autorizzate e tenute alla riservatezza, e i fornitori qui sotto, ciascuno per quello che serve. I fornitori che trattano dati per nostro conto sono nominati responsabili del trattamento con un contratto (art. 28 GDPR).

• Aruba S.p.A. (Italia): server virtuale (Aruba Cloud) in un data center in Italia, dove si trovano l'applicazione, il database, le immagini caricate, i backup e le statistiche; registrazione del dominio.
• Resend (Resend, Inc., Stati Uniti): invio delle email di servizio e, su richiesta dell'organizzatore, dei link ai test e dei questionari di follow-up. Riceve l'indirizzo del destinatario, il suo nome e il testo del messaggio.
• Anthropic (Anthropic PBC, Stati Uniti, e sue affiliate): solo quando un formatore usa le funzioni AI. Riceve soltanto il testo o il documento che il formatore invia (per esempio una dispensa) o il quiz da tradurre. I dati dei partecipanti non vengono mai inviati. In base ai termini commerciali di Anthropic, i dati inviati tramite API non sono usati per addestrare i modelli. Ti chiediamo di non inserire dati personali nei documenti e nei testi inviati all'AI.
• Stripe (Stripe Payments Europe, Limited, Irlanda): pagamenti, abbonamenti, fatture e portale di gestione dell'abbonamento. Riceve nome, email, indirizzo di fatturazione, dati fiscali e di pagamento. Per la prevenzione delle frodi e gli obblighi di legge del settore dei pagamenti Stripe agisce come titolare autonomo, secondo la sua informativa.
• Google e Microsoft: solo se scegli di accedere con il loro account. Ci comunicano nome, email e identificativo dell'account; per l'accesso agiscono come titolari autonomi, secondo le loro informative.
• YouTube (Google Ireland Limited): solo nei quiz in cui l'autore inserisce un video, il lettore si carica da YouTube in modalità a privacy avanzata e Google riceve l'indirizzo IP del dispositivo (vedi la Cookie policy). Google agisce come titolare autonomo.
• Google (Gmail): le email che invii al nostro indirizzo di contatto sono ricevute nella casella festalaurea.info@gmail.com.
• Commercialista e consulenti della società, per la contabilità e gli adempimenti fiscali, e il Sistema di Interscambio dell'Agenzia delle Entrate per le fatture elettroniche.
• Autorità, quando la legge lo richiede.

I caratteri tipografici sono ospitati sui nostri server: le pagine non fanno richieste a Google Fonts né ad altri servizi di statistica o pubblicità.

6. Trasferimenti fuori dall'Unione Europea

Database, immagini e backup restano in Italia. Alcuni fornitori (Resend, Anthropic e, per alcune attività, Stripe, Google e Microsoft) possono trattare dati negli Stati Uniti o in altri paesi fuori dallo Spazio economico europeo. In questi casi il trasferimento avviene solo con le garanzie previste dal GDPR: la decisione di adeguatezza della Commissione europea sull'EU-US Data Privacy Framework (art. 45), per i fornitori certificati, oppure le clausole contrattuali standard approvate dalla Commissione (art. 46), previste dagli accordi sul trattamento dei dati di ciascun fornitore. Puoi chiederci informazioni sulle garanzie usate scrivendo all'indirizzo di contatto.

7. Per quanto tempo conserviamo i dati

• Account e contenuti: finché l'account è attivo. Puoi eliminare l'account in qualsiasi momento dalla pagina Account: account, quiz, domande, immagini, corsi, report e dati dei partecipanti delle tue sessioni vengono cancellati subito (se hai un abbonamento attivo, prima va annullato).
• Report delle sessioni e dati dei partecipanti: restano nell'account dell'organizzatore finché l'account esiste, così che possa conservare il fascicolo del corso (i piani Formatore ed Ente includono l'archivio per 10 anni). Con il piano gratuito i report sono consultabili per 30 giorni, ma non vengono cancellati: tornano visibili se si passa a un piano a pagamento. L'organizzatore può eliminare in qualsiasi momento una singola sessione dal suo report («Elimina sessione»): partecipanti, risposte, punteggi, iscritti, attestati e follow-up di quella sessione vengono cancellati subito (dai backup entro circa 14 giorni).
• Dati contabili e fatture: 10 anni, come richiesto dalla legge (art. 2220 del Codice civile e norme fiscali), anche dopo l'eliminazione dell'account.
• Backup: ogni notte facciamo una copia di sicurezza del database e delle immagini; teniamo le ultime 14 copie, quindi i dati cancellati spariscono anche dai backup entro circa 14 giorni.
• Sessione di accesso: 30 giorni, poi bisogna accedere di nuovo.
• Link via email: il link per reimpostare la password vale 1 ora e quello di conferma dell'email 48 ore; entrambi si usano una volta sola e salviamo solo la loro impronta (hash).
• Log tecnici del server: ruotati automaticamente e cancellati entro poche settimane; non contengono le risposte dei partecipanti.
• Statistiche: dati aggregati e anonimi, conservati senza limite perché non riguardano persone identificabili.
• Email di assistenza: per il tempo necessario a gestire la richiesta e le eventuali contestazioni, di regola non oltre 2 anni.

8. Sicurezza

Usiamo misure tecniche e organizzative adeguate: connessioni sempre cifrate (HTTPS), password conservate solo come hash Argon2, accesso al server solo con chiave crittografica e firewall, limiti ai tentativi di accesso, controlli che impediscono a un account di vedere i dati di un altro, backup giornalieri. In caso di violazione dei dati che presenti un rischio per le persone, avvisiamo il Garante e, se necessario, gli interessati, nei tempi e nei modi previsti dagli articoli 33 e 34 del GDPR.

9. I tuoi diritti

Puoi chiedere in qualsiasi momento di:

• accedere ai tuoi dati e riceverne una copia (art. 15);
• correggerli o completarli (art. 16);
• cancellarli (art. 17), anche eliminando l'account dalla pagina Account;
• limitarne il trattamento (art. 18);
• riceverli in un formato strutturato e leggibile, o farli trasmettere a un altro fornitore (portabilità, art. 20): dalla pagina Account puoi scaricare i tuoi dati in formato JSON;
• opporti ai trattamenti basati sul legittimo interesse (art. 21).

Scrivi a festalaurea.info@gmail.com: rispondiamo senza ritardo e comunque entro un mese (prorogabile di due mesi nei casi complessi, avvisandoti). Potremmo chiederti di confermare la tua identità. Se ritieni che i tuoi dati siano trattati in violazione del GDPR puoi proporre reclamo al Garante per la protezione dei dati personali (art. 77) o rivolgerti all'autorità giudiziaria.

Se sei un partecipante, per i dati raccolti in una sessione rivolgiti prima all'organizzatore, che è il titolare: noi lo aiutiamo a rispondere.

10. Minori

Gli account sono riservati ai maggiorenni che usano Quizhat per lavoro, studio o per organizzare un evento. Gli studenti, anche minorenni, possono partecipare ai quiz senza account sotto la responsabilità della scuola o dell'insegnante che organizza la sessione, che è titolare dei loro dati, decide quali dati chiedere e ne valuta la base giuridica. Per i minori consigliamo di usare solo un soprannome che non permetta di identificarli.

11. Modifiche

Possiamo aggiornare questa informativa, per esempio quando cambiano le funzioni del servizio o i fornitori. La data dell'ultimo aggiornamento è in cima alla pagina; per le modifiche importanti avvisiamo via email chi ha un account.