Informativa sulla privacy

Titolare del trattamento ai sensi del Regolamento generale sulla protezione dei dati (UE) 2016/679 (GDPR) è:

Non è stato nominato un responsabile della protezione dei dati, perché non ricorrono i presupposti di legge. Per qualsiasi domanda sulla privacy puoi contattare il titolare all’indirizzo indicato sopra.

• POKYH è gratuita, senza pubblicità e non vende dati.
• La tua password WebUntis va solo al server WebUntis della tua scuola e non viene salvata sui server di POKYH.
• I dati di WebUntis (orario, voti, assenze, messaggi) vengono richiesti solo per mostrarli e non vengono conservati in modo permanente sui server di POKYH.
• Le statistiche facoltative ci sono solo con il tuo consenso, revocabile in qualsiasi momento. Le foto da altri siti si possono nascondere in qualsiasi momento.
• Puoi chiedere in qualsiasi momento accesso, cancellazione e altro; basta un’e-mail.

Credenziali scolastiche (accesso a WebUntis)

Nome utente e password vengono usati solo per accedere al server WebUntis della scuola che hai scelto; questi server sono gestiti da Untis GmbH per conto della rispettiva scuola. Sui server di POKYH la password non viene salvata né registrata. Per rinnovare automaticamente una sessione chiusa da WebUntis, credenziali e scuola scelta sono salvate sul tuo dispositivo, cifrate con AES-GCM, in un cookie httpOnly (pokyh_renew); viene inviato solo all’indirizzo di accesso, vale solo insieme alla tua sessione, scade dopo 4 ore e viene eliminato al logout. Anche la sessione WebUntis è cifrata con AES-GCM in un cookie httpOnly. L’accesso consiste solo di questi cookie: se li elimini, sei disconnesso. Base giuridica: fornitura del servizio da te richiesto (art. 6, par. 1, lett. b GDPR).

Cookie di sessione (pokyh_session)

Cookie httpOnly cifrato contenente il token di sessione del portale scolastico. Scade al logout o dopo 4 ore. Non accessibile da JavaScript (protezione XSS).

Account POKYH (accesso alternativo)

Chi non ha un account scolastico può registrarsi con un account proprio di POKYH (nome utente + password). La password viene memorizzata con hash bcrypt. Una password in chiaro non viene mai salvata.

Cookie utente (pokyh_user)

Contiene informazioni di visualizzazione non sensibili (nome utente, classe, scuola) per la presentazione nell’app. Nessuna password, nessun token.

Ricerca della scuola e scuola scelta

Per trovare la tua scuola, il server di POKYH invia il termine di ricerca (nome, città o CAP di una scuola) alla ricerca pubblica delle scuole di WebUntis (Untis GmbH). Untis riceve solo il termine di ricerca e l’indirizzo del server di POKYH, non il tuo indirizzo IP. I risultati restano fino a 10 minuti nella memoria di lavoro del server e non vengono associati a nessuno. La scuola scelta (nome di accesso, nome, indirizzo e server secondo WebUntis) viene salvata dal tuo browser fino alla fine dell’anno scolastico (31 agosto, almeno 30 giorni) come pokyh_school, così non devi cercarla ogni volta; puoi cambiarla in qualsiasi momento all’accesso. Dopo l’accesso il backend di POKYH associa il tuo account a questa scuola (nome di accesso, nome e server della scuola), così classi, promemoria, commenti e menù restano separati per scuola; quando qualcuno di una scuola accede per la prima volta, la scuola viene creata. Base giuridica: art. 6, par. 1, lett. b GDPR.

Backend POKYH (cose da fare e promemoria)

Le attività e i promemoria di classe vengono salvati sul backend proprio di POKYH: titolo, dettagli, timestamp, nome utente. Puoi eliminarli tu stesso in qualsiasi momento. Per queste funzioni non vengono utilizzati servizi cloud esterni.

Valutazioni e commenti della mensa

Quando valuti o commenti un piatto, il backend di POKYH salva la valutazione in stelle o il testo del commento, il nome utente, l’ID utente interno e la data. I commenti sono visibili con il tuo nome utente agli altri utenti registrati; le valutazioni compaiono come media e numero e, se hai anche commentato il piatto, le tue stelle accanto al tuo commento. Puoi eliminare i tuoi commenti in qualsiasi momento.

Notifiche (campanella)

Perché la campanella appaia uguale su tutti i tuoi dispositivi, il backend di POKYH salva con il tuo ID utente interno quali delle sue notifiche hai visto o rimosso, e quando. Vengono salvati solo identificativi (ad es. “grade:4711” per un voto o “msg:12” per un messaggio), nessun voto, materia, testo o mittente. Base giuridica: fornitura del servizio da te richiesto (art. 6, par. 1, lett. b GDPR). Le voci vengono cancellate automaticamente dopo 30 giorni, con il tuo account anche prima.

Segnalazioni di contenuti (Digital Services Act)

Se segnali un commento o un altro contenuto (con «Segnala» o via e-mail), trattiamo la tua segnalazione: il tuo nome e il tuo indirizzo e-mail, se li indichi, il contenuto segnalato e la tua motivazione. Ci servono per esaminare la segnalazione, risponderti e motivare la nostra decisione. Non comunichiamo il tuo nome alla persona il cui contenuto è stato segnalato. Base giuridica: obbligo legale (art. 6, par. 1, lett. c GDPR in combinato disposto con gli artt. 16 e 17 del regolamento (UE) 2022/2065). Conservazione: fino alla chiusura del caso, poi al massimo 6 mesi per domande e reclami.

Notifiche push (sito web, facoltative)

Solo se consenti le notifiche nel browser: il backend di POKYH salva l’indirizzo push (endpoint) del tuo browser con il tuo ID utente. Per informarti dei nuovi messaggi WebUntis salva inoltre la tua sessione WebUntis attuale (identificativo di sessione e token di accesso, non la password) e chiede con essa circa ogni 5 minuti al server WebUntis della tua scuola quanti messaggi non sono letti. I contenuti dei messaggi non vengono salvati. La richiesta termina quando WebUntis chiude la sessione. Le notifiche vengono recapitate tramite il servizio push del produttore del browser (ad es. Google, Mozilla o Apple). Puoi revocarle in qualsiasi momento nelle impostazioni del browser; l’indirizzo push viene allora cancellato.

Foto da altri siti (mensa)

Le foto dei piatti nel menù della mensa si trovano su siti di ricette di terzi e vengono mostrate da lì; POKYH non le copia. Il browser le carica direttamente da questi siti, che ricevono come per ogni visita il tuo indirizzo IP e dati tecnici del browser (ad es. il tipo di browser), senza referrer, cioè senza l’indirizzo della pagina di POKYH. Cosa fanno questi siti con i dati, ad esempio se impostano cookie, dipende da loro; molti browser bloccano i cookie di siti terzi. Base giuridica: legittimo interesse (art. 6, par. 1, lett. f GDPR) a mostrare il menù in modo chiaro. Puoi opporti in qualsiasi momento (art. 21 GDPR): con «Nascondi le foto» nella pagina della mensa il browser non carica più foto di terzi; la scelta viene salvata come pokyh_external_media.

Google Analytics 4 (GA4)

Questo sito può utilizzare Google Analytics 4 (Google LLC), ma solo previo tuo consenso esplicito espresso nel banner dei cookie; prima non viene stabilita alcuna connessione con Google. GA4 raccoglie dati d’uso pseudonimizzati (visualizzazioni di pagina, categoria del dispositivo, paese di origine approssimativo) e a tal fine imposta i cookie _ga e _ga_*. Secondo Google, GA4 non memorizza indirizzi IP; i segnali Google e le funzioni pubblicitarie sono disattivati. Base giuridica: il tuo consenso (art. 6, par. 1, lett. a GDPR, art. 122 Codice privacy). Puoi revocarlo in qualsiasi momento nelle impostazioni dei cookie; i cookie vengono allora cancellati. Puoi inoltre opporti alla raccolta dati su tools.google.com/dlpage/gaoptout.

Cloudflare Tunnel (Cloudflare, Inc.)

Per la raggiungibilità pubblica del server autogestito viene utilizzato Cloudflare Tunnel. Cloudflare tratta metadati di rete (indirizzi IP, intestazioni delle richieste) per l’inoltro del traffico. Nessun contenuto viene conservato in modo permanente. Base giuridica: legittimo interesse (art. 6, par. 1, lett. f GDPR) per la gestione sicura del server. Cloudflare ci trasmette inoltre il paese ricavato dall’indirizzo IP (eventualmente regione e città), che usiamo per la statistica dei visitatori del sito e delle app; non avviene alcuna localizzazione presso altri fornitori.

Registrazione dei log del server (request log)

Il server backend di POKYH registra automaticamente i log di accesso: indirizzo IP, metodo HTTP, percorso richiesto, codice di stato HTTP, durata della risposta, nome utente e user agent. Finalità: sicurezza, diagnosi degli errori e rilevamento degli abusi. Inoltre ne ricaviamo, senza nomi, quanti account sono stati attivi ogni giorno e negli ultimi 7 o 30 giorni e se hanno usato l’app iOS, l’app Android o il sito. Per il tuo account viene annotato giorno per giorno se hai usato POKYH, con quale tipo di dispositivo (app iOS, app Android, sito da telefono o computer) e quante volte hai effettuato l’accesso, senza indirizzo IP e senza pagine visitate; questo riepilogo giornaliero lo vedi tu stesso nel tuo profilo. Base giuridica: legittimo interesse (art. 6, par. 1, lett. f GDPR). I log vengono cancellati al più tardi dopo 30 giorni, il riepilogo giornaliero del tuo account alla fine dell’anno scolastico (vedi Periodo di conservazione).

Registro delle attività di amministrazione

Se gli amministratori modificano qualcosa che riguarda il tuo account o i tuoi contenuti (ad esempio rimuovono un commento o assegnano diritti), il backend di POKYH registra chi ha modificato cosa e quando e quale account o contenuto è interessato, senza password o altri segreti. Finalità: tracciabilità e protezione dagli abusi. Base giuridica: legittimo interesse (art. 6, par. 1, lett. f GDPR) e principio di responsabilizzazione (art. 5, par. 2 GDPR). Le voci vengono cancellate dopo 365 giorni.

Statistiche di utilizzo (app e sito)

Finché hai effettuato l’accesso e POKYH è aperto in primo piano, l’app iOS, l’app Android e il sito comunicano al backend di POKYH circa ogni 30-60 secondi per quanto tempo POKYH è stato usato e quante schermate sono state aperte. Per ogni visita vengono salvati: un ID di visita casuale, la piattaforma (app iOS, app Android o sito, per il sito anche smartphone o computer e se è installato come web app), la versione dell’app, giorno e ora, la durata d’uso e il numero di schermate aperte. Insieme a questi dati non vengono salvati indirizzo IP, user agent, contenuti o dati inseriti; nel browser o sul dispositivo non viene memorizzato nulla. Senza consenso (anonimo): al posto del tuo account la visita contiene solo una chiave giornaliera, un valore hash del tuo ID account e di un valore casuale che viene cancellato alla fine della giornata. Così si può contare quante persone diverse hanno usato POKYH in un giorno senza sapere chi, e i giorni non possono essere collegati tra loro. Le visualizzazioni di pagina del sito contano inoltre come visita al sito, l’apertura di un’app come visita all’app, a questo scopo l’indirizzo IP viene salvato separatamente dalle statistiche di utilizzo (vedi «Visitatori del sito e delle app»). Per ogni classe e giorno viene inoltre sommato soltanto per quanto tempo e da quante persone è stato usato POKYH (senza nomi; una classe viene mostrata solo a partire da 5 giorni-persona). I dati vengono analizzati solo in forma aggregata (ad es. utenti per piattaforma, durata media d’uso, orari di punta), visibili esclusivamente agli amministratori. Base giuridica: legittimo interesse al funzionamento e al miglioramento del servizio (art. 6, par. 1, lett. f GDPR); puoi opporti in qualsiasi momento (art. 21 GDPR): basta un breve messaggio al contatto indicato sopra. I browser con «Global Privacy Control» attivo non inviano statistiche di utilizzo. Con consenso (personale, «Accetta tutto» o profilo): la visita viene inoltre associata al tuo account e gli amministratori possono vedere per il tuo account quale piattaforma e versione dell’app usi, quando sei stato attivo l’ultima volta, per quanto tempo, quanto spesso e in quanti giorni hai usato POKYH, quali pagine hai aperto e da quali indirizzi IP e luoghi hai usato il sito e le app (ad es. per il supporto o per segnalare versioni dell’app obsolete). Base giuridica: il tuo consenso (art. 6, par. 1, lett. a GDPR); sotto i 14 anni solo con il permesso dei genitori (art. 8 GDPR, art. 2-quinquies Codice privacy). Puoi revocarlo in qualsiasi momento nel profilo o nelle impostazioni dei cookie; il tuo nome viene allora rimosso da tutti i dati raccolti finora. Questi dati non vengono ceduti a terzi, non vengono usati per pubblicità e non vengono collegati a voti o altri dati scolastici.

Visitatori del sito e delle app (portata e sicurezza)

A ogni visualizzazione di pagina del sito (con o senza account) il backend di POKYH salva: l’indirizzo IP, il paese ricavato da Cloudflare dall’indirizzo IP (e, se trasmessi, regione e città), il tipo di dispositivo (smartphone, tablet, computer), la pagina aperta, data e ora e se avevi effettuato l’accesso. Allo stesso modo, nell’app iOS e Android (che inviano dati d’uso solo ad accesso effettuato) salva ogni apertura dell’app una volta per indirizzo IP e giorno: l’indirizzo IP, il paese (e, se trasmessi, regione e città), il dispositivo (iPhone o Android), la versione dell’app, data e ora e l’ID di visita casuale delle statistiche di utilizzo, così che una visita venga contata una sola volta. L’app non invia nulla in più; viene usato l’indirizzo da cui arrivano comunque le statistiche di utilizzo. Se hai effettuato l’accesso si aggiunge una chiave pseudonima dell’account (un valore hash calcolato con un segreto del server, senza nome), per contare quanti account diversi usano un indirizzo IP, ad esempio in una rete scolastica. I visitatori diversi al giorno vengono contati tramite una chiave giornaliera (ricavata dal tuo account se hai effettuato l’accesso, altrimenti da indirizzo IP e identificativo del browser) che alla fine della giornata non è più riconducibile. Finalità: sapere quante persone raggiunge il sito e da dove provengono, nonché riconoscere abusi, bot e attacchi. Base giuridica: legittimo interesse (art. 6, par. 1, lett. f GDPR); puoi opporti in qualsiasi momento (art. 21 GDPR): basta un breve messaggio al contatto indicato sopra. Se hai acconsentito alle statistiche di utilizzo personali, la visita viene inoltre associata al tuo account, così gli amministratori vedono il tuo nome presso l’indirizzo IP (art. 6, par. 1, lett. a GDPR); senza consenso non viene salvato alcun nome, dopo la revoca viene rimosso. Indirizzo IP, luogo, chiave dell’account, ID di visita e account vengono cancellati dopo 30 giorni; resta solo un conteggio anonimo per paese, tipo di dispositivo, pagina o versione dell’app, giorno e ora. I browser con «Global Privacy Control» attivo vengono contati senza indirizzo IP e account. I dati sono visibili esclusivamente agli amministratori; non vengono ceduti a terzi né usati per pubblicità.

Informativa e consensi

Per il tuo account salviamo quale versione di questa informativa ti è stata mostrata e quando (all’accesso o dopo una modifica, sul sito o nell’app), e se e quando hai dato o revocato il consenso alle statistiche di utilizzo personali, come prova (art. 5, par. 2, art. 7, par. 1 GDPR). La visualizzazione non è un consenso. I dati vengono cancellati insieme al tuo account. La tua scelta nel banner dei cookie viene inoltre salvata sul tuo dispositivo (vedi Cookie).

App mobile (iOS e Android)

Le app native di POKYH memorizzano le credenziali esclusivamente in forma cifrata sul dispositivo (Keychain di iOS o con una chiave dell’Android Keystore), per poter rinnovare l’accesso; non vengono salvate sui server di POKYH. La sincronizzazione con iCloud è disattivata. Oltre alle statistiche di utilizzo e alla statistica dei visitatori dell’app descritte sopra, l’app non raccoglie dati di analisi; non sono integrati SDK di analisi di terze parti. Dopo il primo accesso e dopo una modifica di questa informativa l’app mostra una volta un avviso; il fatto che sia stato mostrato viene salvato come sul sito (vedi «Informativa e consensi»). Per l’uso offline l’app conserva gli ultimi dati caricati (ad es. orario, voti, assenze, mensa) nella memoria privata dell’app sul dispositivo. I promemoria vengono recapitati come notifiche locali del dispositivo (nessun push remoto). I controlli degli aggiornamenti avvengono tramite l’API pubblica di GitHub; per motivi tecnici GitHub riceve l’indirizzo IP, ma nessun dato dell’account o scolastico.

Segnalazioni di errore (app e amministrazione)

Se nell’app iOS o Android o nell’area di amministrazione si verifica un errore, queste inviano una segnalazione tecnica al backend di POKYH: il messaggio di errore e il suo svolgimento (ripuliti da indirizzi, token e parametri di ricerca), la pagina interessata, la versione dell’app, la famiglia approssimativa di browser o app e la tua scuola, senza indirizzo IP, senza account e senza identificativo completo del dispositivo. Base giuridica: legittimo interesse a un servizio funzionante e sicuro (art. 6, par. 1, lett. f GDPR). Le segnalazioni vengono cancellate dopo 30 giorni.

Memoria locale (localStorage)

La memoria del browser viene usata per le impostazioni (aspetto, lingua, scuola e mensa scelte, foto sì/no, i progressi nell’aula nascosta della pagina di accesso) e come memoria temporanea degli ultimi dati scolastici caricati (orario, voti, assenze, messaggi) per una visualizzazione più rapida. Questi dati non lasciano il dispositivo; le singole voci sono elencate nell’informativa sui cookie.

Sostegno tramite Buy Me a Coffee (volontario)

Il link «Sostieni POKYH» (impostazioni, Chi siamo) non carica nulla da Buy Me a Coffee prima che tu lo apra; si apre in una nuova scheda senza referrer. Se sostieni POKYH lì, Buy Me a Coffee è titolare autonomo del pagamento; valgono le sue condizioni e la sua informativa privacy, e Buy Me a Coffee ha sede negli Stati Uniti. Da Buy Me a Coffee riceviamo solo i dati che indichi (ad esempio nome, indirizzo e-mail, messaggio e importo), nessun dato di pagamento o di carta, e li usiamo solo per attribuire il sostegno ed eventualmente ringraziarti. Base giuridica: art. 6, par. 1, lett. b GDPR; conservati finché lo richiedono obblighi di legge, ad esempio fiscali.

Il trattamento avviene per l’erogazione del servizio (art. 6, par. 1, lett. b GDPR). Le misure di sicurezza necessarie (ad es. inoltro di rete, log di accesso), la statistica dei visitatori del sito e delle app con indirizzo IP e le statistiche di utilizzo anonime si basano sul nostro legittimo interesse a un funzionamento sicuro e al miglioramento del servizio (art. 6, par. 1, lett. f GDPR). Le statistiche di utilizzo personali e Google Analytics avvengono esclusivamente con il tuo consenso (art. 6, par. 1, lett. a GDPR), che dai nel banner dei cookie («Accetta tutto» o «Impostazioni») o nel profilo e che puoi revocare lì in qualsiasi momento; la revoca non pregiudica la liceità del trattamento effettuato prima. Nessuna delle due opzioni è preselezionata e POKYH è pienamente utilizzabile anche senza.

La ricerca della scuola e l’associazione del tuo account alla scuola servono alla fornitura del servizio (art. 6, par. 1, lett. b GDPR). Le foto da altri siti vengono caricate sulla base del legittimo interesse (art. 6, par. 1, lett. f GDPR); puoi opporti in qualsiasi momento nascondendole (art. 21 GDPR).

• Untis GmbH (WebUntis della tua scuola)Accesso e richiesta di orario, voti, assenze e messaggi. Dei dati WebUntis è titolare la tua scuola; Untis gestisce i server per suo conto nell’UE.Informativa
• Untis GmbH (ricerca pubblica delle scuole)Ricerca della tua scuola all’accesso; Untis riceve solo il termine di ricerca dal server di POKYHInformativa
• Backend POKYHServer proprio per account, scuole, to-do, promemoria, mensa, commenti, notifiche e statistiche
• Google Analytics 4 (Google LLC)Statistiche d’uso anonimizzate per migliorare il servizio, solo previo consensoInformativa
• Cloudflare, Inc.Instradamento di rete tramite Cloudflare Tunnel per il server autogestitoInformativa
• Servizi push dei produttori di browserRecapito delle notifiche web push: solo se le consentiInformativa
• API GitHub (GitHub, Inc.)Verifica degli aggiornamenti delle app; GitHub riceve per motivi tecnici l’indirizzo IP, nessun dato dell’account o della scuolaInformativa
• Siti di ricette (foto dei piatti)Foto nel menù della mensa caricate direttamente dai siti che le pubblicano (disattivabili con «Nascondi le foto»)
• Buy Me a CoffeeSostegno volontario: solo se apri il link e sostieni lì; titolare autonomo del pagamento

Secondo quanto dichiara, Untis GmbH tratta i dati di WebUntis esclusivamente nell’UE. Cloudflare, Inc., GitHub, Inc. (solo per la verifica degli aggiornamenti delle app), Google LLC (solo con il tuo consenso alla statistica) e i servizi push dei produttori di browser (ad esempio Google, Apple o Mozilla; solo se consenti le notifiche) possono trattare dati negli Stati Uniti; il trasferimento si basa sulla decisione di adeguatezza relativa al Data Privacy Framework UE-USA (art. 45 GDPR), secondo cui questi fornitori sono certificati, e sulle clausole contrattuali standard (art. 46 GDPR). I siti di ricette da cui provengono le foto del menù della mensa possono avere sede fuori dall’UE, anche in paesi senza decisione di adeguatezza. Il tuo browser carica le foto direttamente da lì finché non le disattivi con «Nascondi le foto»; questi siti ricevono così il tuo indirizzo IP. Se non lo desideri, nascondi le foto.

I cookie di accesso vengono eliminati al logout e altrimenti scadono automaticamente (sessione 4 ore, token API 8 ore, token di refresh 30 giorni). Attività, promemoria, valutazioni e commenti della mensa restano sul backend di POKYH finché non li elimini tu stesso. I log del server vengono cancellati dopo 30 giorni, i backup del database dopo 7 giorni. Il riepilogo giornaliero del tuo account (giorni attivi, tipo di dispositivo, accessi) resta salvato fino alla fine dell’anno scolastico in corso; le statistiche di utilizzo indicano il tuo account solo con il consenso e al massimo per lo stesso periodo. Al cambio di anno scolastico (1° agosto) i dati dell’anno per ogni account (giorni attivi, accessi, con il consenso la durata d’uso) passano, insieme agli account, alle classi, alle attività e ai promemoria dell’anno concluso, in un archivio dell’anno scolastico consultabile solo dagli amministratori; le voci dell’anno vengono poi cancellate. Le visualizzazioni di pagina vengono cancellate dopo 30 giorni. Dopo (e per le visite anonime, non appena i log del server sono stati cancellati) nessuna voce può più essere ricondotta a una persona e resta solo come statistica anonima. Per le visite al sito e alle app indirizzo IP, luogo, chiave dell’account, ID di visita e (con il consenso) il tuo account vengono rimossi dopo 30 giorni; resta un conteggio anonimo per paese, tipo di dispositivo, pagina o versione dell’app, giorno e ora. Le attività completate vengono nascoste automaticamente dopo 24 ore. I dati di Google Analytics vengono cancellati, se hai prestato il consenso, dopo 14 mesi. Le segnalazioni di contenuti vengono conservate fino alla chiusura del caso, poi al massimo 6 mesi. Il registro delle attività di amministrazione viene cancellato dopo 365 giorni, le segnalazioni di errore delle app dopo 30 giorni. Quali notifiche della campanella hai visto o rimosso, il backend di POKYH lo cancella dopo 30 giorni. I progressi nell’aula nascosta restano solo nel tuo browser finché non li cancelli lì.

La scuola scelta resta nel browser fino al 31 agosto dell’anno scolastico in corso, per almeno 30 giorni. La sessione WebUntis salvata per le notifiche push è valida solo finché WebUntis non la chiude e viene cancellata insieme all’indirizzo push. L’associazione del tuo account alla scuola viene cancellata con il tuo account. I risultati della ricerca delle scuole in memoria scadono dopo 10 minuti.

POKYH è per persone dai 14 anni in su. I più giovani possono usare POKYH solo con il consenso dei genitori. In Italia il consenso (statistiche personali di utilizzo, cookie statistici) si può dare da soli solo dai 14 anni (art. 8 GDPR, art. 2-quinquies Codice in materia di protezione dei dati personali); sotto questa età solo tramite i genitori. Se veniamo a sapere che dati di un minore sono trattati senza questo consenso, li cancelliamo.

Hai i seguenti diritti riguardo ai tuoi dati personali:

• Accesso (art. 15 GDPR)
• Rettifica dei dati inesatti (art. 16 GDPR)
• Cancellazione / diritto all’oblio (art. 17 GDPR)
• Limitazione del trattamento (art. 18 GDPR)
• Portabilità dei dati (art. 20 GDPR)
• Opposizione al trattamento basato sul legittimo interesse (art. 21 GDPR)
• Revoca del consenso

[email protected]

Reclamo all’autorità di controllo competente: Garante per la protezione dei dati personali, www.garanteprivacy.it

Non sei obbligato a fornire dati a POKYH. Senza le credenziali WebUntis, però, POKYH non può mostrare i dati di WebUntis. Non ci sono processi decisionali automatizzati né profilazione ai sensi dell’art. 22 GDPR.

Tutte le connessioni avvengono tramite HTTPS/TLS (fornito tramite Cloudflare Tunnel). I token di sessione WebUntis vengono cifrati lato server con AES-GCM e conservati esclusivamente in cookie httpOnly (nessun accesso da JavaScript). Le password non vengono mai salvate sui server di POKYH. Gli input vengono validati lato server. Il server è gestito su hardware privato ed è raggiungibile esclusivamente tramite il tunnel Cloudflare cifrato.

• pokyh_sessionNecessarioToken di sessione cifrato del portale scolastico (httpOnly, AES-GCM, 4 ore)
• pokyh_userNecessarioInformazioni utente non sensibili per la visualizzazione (nessun token, nessuna password, 4 ore, con un account POKYH senza account scolastico 8 ore)
• pokyh_api_tokenNecessarioJWT del backend POKYH per l’accesso alle API (non httpOnly, 8 ore)
• pokyh_api_refreshNecessarioToken di refresh del backend POKYH per rinnovare automaticamente il token API (httpOnly, 30 giorni)
• pokyh_renewNecessarioCredenziali e scuola scelta per il rinnovo automatico della sessione, cifrate con AES-GCM (httpOnly, inviato solo all’indirizzo di accesso, valido solo insieme alla sessione, 4 ore, eliminato al logout)
• pokyh_schoolImpostazioneLa scuola scelta all’accesso (localStorage, fino al 31 agosto, almeno 30 giorni)
• pokyh_external_mediaImpostazioneRicorda se hai nascosto le foto da altri siti (localStorage, finché non le mostri di nuovo)
• pokyh_themeImpostazioneSchema colori salvato (localStorage, non è un cookie)
• pokyh_sidebar_collapsedImpostazioneStato della barra laterale (localStorage, non è un cookie)
• passkey_declinedImpostazioneRicorda che hai rifiutato di salvare l’accesso nel browser (cookie, 1 anno)
• pokyh_cache_*NecessarioMemoria temporanea degli ultimi dati scolastici caricati per una visualizzazione più rapida (localStorage, non lascia il dispositivo, eliminata al logout)
• _ga, _ga_*StatisticaGoogle Analytics 4: statistiche d’uso anonimizzate (solo con consenso), durata 1-2 anni

Cookie e memoria

Questa informativa viene aggiornata quando cambiano POKYH o la normativa. La versione attuale è sempre su pokyh.com/legal. Delle modifiche importanti POKYH informa dopo l’accesso.