Informativa sulla privacy
Questa informativa spiega quali dati personali raccogliamo quando usi KidooTales, perché li trattiamo, con chi li condividiamo e quali diritti puoi esercitare. È resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 («GDPR») e del D.lgs. 196/2003 come modificato dal D.lgs. 101/2018 («Codice Privacy»).
KidooTales è un servizio pensato per essere usato dai genitori (o da chi esercita la responsabilità genitoriale) per creare racconti personalizzati per i propri figli. I bambini non hanno un account autonomo: tutto avviene all'interno dell'account del genitore.
1. Titolare del trattamento
Il titolare del trattamento è [RAGIONE SOCIALE DA INSERIRE], [INDIRIZZO SEDE LEGALE DA INSERIRE] (Italia) — P.IVA [PARTITA IVA DA INSERIRE], C.F. [CODICE FISCALE DA INSERIRE].
Email per questioni privacy: privacy@mindral.com
PEC: [PEC DA INSERIRE]
Non è stato nominato un Responsabile della protezione dei dati, non ricorrendo i presupposti dell'art. 37 GDPR. Per qualsiasi richiesta in materia di dati personali puoi scrivere all'indirizzo indicato sopra.
2. Quali dati trattiamo
2.1 Dati del genitore (titolare dell'account)
- Nome e indirizzo email, eventualmente forniti tramite Google al momento del login.
- Password in forma cifrata (hash bcrypt), se scegli l'accesso con credenziali.
- Eventuali credenziali passkey/WebAuthn (chiave pubblica e identificativo del dispositivo, mai la biometria, che non lascia mai il tuo dispositivo).
- Dati di fatturazione e cronologia di crediti, acquisti e abbonamenti.
- Richieste di assistenza e comunicazioni che ci invii.
2.2 Dati del bambino, inseriti da te
- Nome (o soprannome) e genere, come li scegli tu.
- Data di nascita ed età, usate per calibrare linguaggio e lunghezza della storia.
- Interessi, livello di lettura, temi da evitare e filtri sui contenuti.
- Facoltativo: una fotografia del bambino, se decidi di caricarla per generare l'avatar illustrato. Vedi il punto 6, che merita una lettura attenta.
- Attività di lettura: storie generate, capitoli letti, preferiti, punti, poteri e aiutanti sbloccati.
- Amicizie fra bambini, quando due genitori le approvano reciprocamente tramite codice di invito.
2.3 Dati raccolti automaticamente
- Log tecnici del server: indirizzo IP, data e ora, pagina richiesta, tipo di browser. Ci servono per sicurezza, diagnosi di malfunzionamenti e prevenzione degli abusi.
- Cookie tecnici di sessione: vedi la Cookie policy.
Non usiamo cookie di profilazione, non facciamo pubblicità, non rivendiamo dati e non costruiamo profili commerciali sui bambini.
3. Finalità e basi giuridiche
| Finalità | Base giuridica (art. 6 GDPR) | Conservazione |
|---|---|---|
| Creare e gestire il tuo account, autenticarti | Esecuzione del contratto — art. 6.1.b | Per tutta la durata dell'account |
| Generare storie personalizzate a partire dal profilo del bambino | Esecuzione del contratto — art. 6.1.b | Finché non cancelli la storia o il profilo |
| Generare l'avatar illustrato a partire da una fotografia (facoltativo) | Consenso esplicito del genitore — art. 6.1.a | La foto originale viene eliminata subito dopo la generazione; resta solo l'illustrazione |
| Moderazione dei contenuti e sicurezza dei minori | Obbligo legale e legittimo interesse alla tutela dei minori — art. 6.1.c / 6.1.f | Log di moderazione: 12 mesi |
| Gestione di crediti, abbonamenti e adempimenti fiscali | Contratto e obbligo legale — art. 6.1.b / 6.1.c | 10 anni (art. 2220 c.c.) |
| Sicurezza dei sistemi, prevenzione frodi e abusi | Legittimo interesse — art. 6.1.f | Log tecnici: 90 giorni |
| Comunicazioni di servizio (es. avvisi importanti sull'account) | Esecuzione del contratto — art. 6.1.b | Per tutta la durata dell'account |
4. Dati dei minori: chi presta il consenso
I dati del bambino sono inseriti da te, genitore, e il trattamento si fonda sulla tua richiesta di erogare il servizio. In Italia l'età minima per prestare autonomamente il consenso ai servizi della società dell'informazione è di 14 anni (art. 2-quinquies del Codice Privacy). Poiché KidooTales si rivolge anche a bambini più piccoli, il servizio è configurato in modo che solo un adulto possa aprire un account, creare profili e autorizzare le amicizie fra bambini.
Creando un profilo bambino dichiari di essere il genitore o il tutore legale del minore.
Applichiamo per impostazione predefinita i principi di minimizzazione e di privacy by design: chiediamo solo i dati che servono davvero a scrivere la storia, non chiediamo il cognome, non chiediamo la scuola, non chiediamo la posizione geografica.
5. Contenuti generati dall'intelligenza artificiale
Le storie e le illustrazioni sono prodotte da modelli di intelligenza artificiale. Per generarle inviamo ai fornitori indicati al punto 7 solo le informazioni necessarie: nome o soprannome del bambino, età, interessi, tema scelto, poteri e aiutanti, preferenze di lettura. Non trasmettiamo la tua email, i dati di pagamento o altri dati identificativi dell'account.
Selezioniamo fornitori che, per le proprie condizioni contrattuali applicabili all'uso via API, non utilizzano i contenuti trasmessi per addestrare i propri modelli. Le condizioni aggiornate sono consultabili sui siti dei rispettivi fornitori, elencati al punto 7.
Ogni testo passa attraverso controlli automatici di sicurezza prima di essere mostrato. I sistemi automatici non sono infallibili: se trovi un contenuto inadeguato segnalacelo a abuse@mindral.com e interverremo. Non adottiamo decisioni automatizzate che producano effetti giuridici su di te ai sensi dell'art. 22 GDPR.
6. La fotografia del bambino
Il caricamento di una foto è facoltativo: puoi usare KidooTales per intero senza mai caricarne una. Se scegli di farlo:
- l'immagine viene inviata a un modello di visione artificiale che ne ricava una descrizione testuale dei tratti (per esempio colore dei capelli, degli occhi);
- la stessa immagine viene trasmessa, come riferimento visivo, al modello che genera l'illustrazione in stile fiabesco;
- la fotografia originale non viene mai salvata sui nostri server né in banca dati: resta in memoria per il tempo della generazione e viene poi scartata. Conserviamo soltanto l'avatar illustrato e la descrizione testuale dei tratti;
- non usiamo riconoscimento facciale, non creiamo modelli biometrici e non trattiamo dati biometrici ai sensi dell'art. 9 GDPR;
- puoi eliminare l'avatar in qualsiasi momento dalle impostazioni del profilo.
Il trattamento si fonda sul tuo consenso esplicito, che puoi revocare in ogni momento senza pregiudicare la liceità del trattamento già effettuato.
7. Destinatari e responsabili del trattamento
Non vendiamo e non cediamo i tuoi dati. Li condividiamo solo con fornitori che agiscono come responsabili del trattamento ai sensi dell'art. 28 GDPR, sulla base di un accordo scritto:
| Fornitore | Servizio | Dati trattati | Sede |
|---|---|---|---|
| Anthropic PBC | Generazione e revisione dei testi | Parametri della storia, profilo del bambino in forma minimizzata | USA |
| xAI Corp. | Generazione delle illustrazioni | Prompt descrittivi delle scene | USA |
| OpenAI, L.L.C. | Modelli di testo e visione (configurazione alternativa) | Parametri della storia; immagine caricata, se presente | USA |
| Google Ireland Ltd. | Autenticazione «Accedi con Google», se la usi | Identificativo account, nome, email | UE |
| Fornitore di posta transazionale | Invio di email di servizio | Email, contenuto del messaggio | UE / USA |
| Fornitore di hosting | Server applicativo, database, archiviazione | Tutti i dati del servizio | UE |
L'elenco aggiornato e nominativo dei responsabili è disponibile su richiesta scrivendo a privacy@mindral.com.
Possiamo inoltre comunicare dati all'autorità giudiziaria o alle forze dell'ordine quando la legge lo impone, in particolare a tutela di un minore.
8. Trasferimenti fuori dallo Spazio economico europeo
Alcuni fornitori di intelligenza artificiale hanno sede negli Stati Uniti. I trasferimenti avvengono sulla base delle Clausole contrattuali standard adottate dalla Commissione europea (decisione di esecuzione (UE) 2021/914) e, ove applicabile, della certificazione al EU–U.S. Data Privacy Framework, accompagnate da misure supplementari quali la minimizzazione dei dati trasmessi e la cifratura in transito. Puoi richiederne copia scrivendoci.
9. Sicurezza
- Traffico cifrato in transito con TLS e HSTS attivo su tutto il dominio.
- Password conservate solo come hash bcrypt: non possiamo leggerle nemmeno noi.
- Accesso al database limitato alla sola applicazione, su rete privata.
- Limitazione della frequenza delle richieste per contenere abusi e attacchi automatici.
- Registro degli accessi amministrativi ai dati.
- Backup cifrati periodici del database, con conservazione limitata nel tempo.
Nessuna misura è infallibile. In caso di violazione dei dati personali che comporti un rischio elevato per i tuoi diritti, ti informeremo senza ingiustificato ritardo e notificheremo l'evento al Garante entro 72 ore, come previsto dagli artt. 33 e 34 GDPR.
10. Conservazione e cancellazione
Conserviamo i dati per i tempi indicati nella tabella al punto 3. Quando chiudi l'account, i dati dell'account e dei profili bambino vengono cancellati entro 30 giorni, fatti salvi i documenti che siamo tenuti a conservare per obblighi fiscali e contabili. Puoi eliminare in autonomia una singola storia o un intero profilo bambino dalle impostazioni.
11. I tuoi diritti
Ai sensi degli artt. 15-22 GDPR puoi in ogni momento:
- accedere ai dati che ti riguardano e ottenerne copia;
- chiederne la rettifica se inesatti o incompleti;
- chiederne la cancellazione («diritto all'oblio»);
- chiedere la limitazione del trattamento;
- opporti ai trattamenti fondati sul legittimo interesse;
- ottenere i tuoi dati in formato strutturato e leggibile da dispositivo automatico;
- revocare in qualsiasi momento i consensi prestati.
Scrivi a privacy@mindral.com: rispondiamo entro un mese, prorogabile di due mesi in casi complessi. Se ritieni che il trattamento violi il GDPR puoi proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma) o ricorrere all'autorità giudiziaria.
12. Modifiche a questa informativa
Se cambiamo qualcosa di sostanziale te lo comunicheremo via email o con un avviso ben visibile nell'applicazione, con almeno 15 giorni di anticipo. La versione in vigore è sempre quella pubblicata su questa pagina, con la data di aggiornamento in fondo.