Informativa sul trattamento dei dati personali

Titolare del trattamento

Il titolare del trattamento è Alessandro Malizia, P.IVA 03204070605, con sede in Roma, Italia. Per domande privacy o per esercitare i diritti previsti dal GDPR puoi scrivere a hello@minigenius.ai.

Persone interessate e ruolo del genitore

L'account è riservato a un genitore o tutore maggiorenne, che presta il consenso e configura l'accesso del bambino. Il bambino non crea un account autonomo. Chiediamo al genitore di usare un nickname e di non inserire nel profilo o nelle richieste dati identificativi non necessari.

Categorie di dati trattati

Trattiamo solo le categorie necessarie al funzionamento e alla sicurezza del servizio:

• Dati del genitore: email, nome dichiarato, paese, lingua, registrazioni del consenso, stato dell'account e dell'abbonamento.
• Dati del profilo bambino: nickname, fascia d'età, lingua, colore avatar, limiti e preferenze configurate dal genitore.
• Dati di utilizzo: identificativi di account, profilo e sessione, orari, durata, conteggi, argomenti aggregati, stato della sessione e indicatori di sicurezza.
• Dati tecnici e di sicurezza: indirizzo IP trasformato in hash in fase di consenso, user-agent, log tecnici minimizzati, esiti di rate limit e sicurezza.
• Dati di pagamento: Stripe tratta i dati della carta; MiniGenius AI riceve identificativi cliente e abbonamento, piano, stato, importi ed eventi di fatturazione necessari.
• Dati waitlist e comunicazioni: email del genitore, fascia d'età indicativa, lingua, paese approssimativo a livello nazionale ricavato dall'infrastruttura senza conservarne l'indirizzo IP, consensi, stato di conferma e cancellazione.

Come trattiamo voce e chat

Quando il bambino parla, l'audio viene trasmesso al fornitore speech-to-text per ottenere la trascrizione necessaria a rispondere. Il testo viene sottoposto ai controlli di sicurezza e, quando serve una risposta generata, al fornitore AI. La risposta di Momo può essere inviata al fornitore text-to-speech. MiniGenius AI non conserva l'audio del bambino né il testo della conversazione in chiaro. Conserviamo solo hash non reversibili, metadati, conteggi, argomenti normalizzati ed eventuali eventi safety. Le risposte vocali di Momo, non la voce del bambino, possono essere conservate in cache privata.

Finalità del trattamento

Usiamo i dati per:

• creare, autenticare e proteggere l'account genitore e verificare il consenso;
• fornire Momo, voce, giochi, storie, profili, limiti giornalieri e continuità della sessione;
• applicare moderazione, guardrail, prevenzione abusi, rate limit e avvisi di sicurezza;
• gestire piani, pagamenti, fatture, assistenza e richieste privacy;
• inviare OTP, conferme, comunicazioni operative e, solo con consenso separato, aggiornamenti promozionali;
• misurare in forma minimizzata affidabilità, utilizzo, costi e andamento della waitlist.

Basi giuridiche

Le basi giuridiche dipendono dalla finalità:

• Consenso del genitore o tutore: attivazione dell'esperienza bambino e comunicazioni promozionali facoltative.
• Esecuzione del contratto e misure precontrattuali: account, funzionalità richieste, abbonamento, assistenza e comunicazioni operative.
• Obbligo legale: adempimenti fiscali, contabili, tutela dei consumatori e risposta alle autorità competenti.
• Legittimo interesse: sicurezza del servizio, prevenzione frodi e abusi, difesa dei diritti, diagnostica minimizzata e miglioramento dell'affidabilità, nel rispetto dei diritti degli interessati.

Dati dei minori

MiniGenius AI applica protezione dei dati fin dalla progettazione e minimizzazione. Non chiediamo al bambino nome reale, cognome, indirizzo, scuola, città, telefono, foto o contatti. Il profilo 10+ modifica solo difficoltà e linguaggio, non i limiti di sicurezza. Se veniamo a conoscenza di dati personali inseriti senza necessità, possiamo limitarne il trattamento o cancellarli.

Destinatari dei dati e fornitori

Usiamo fornitori tecnici per le sole funzioni necessarie. A seconda del servizio, operano come responsabili del trattamento o titolari autonomi:

• Supabase: database, autenticazione e storage privato, con progetto ospitato nella regione UE di Francoforte.
• Vercel: hosting dell'applicazione e delle API nella regione configurata.
• OpenAI: moderazione, generazione delle risposte, speech-to-text e, se configurato, text-to-speech.
• ElevenLabs: generazione della voce di Momo quando selezionato come provider text-to-speech.
• Stripe: checkout, abbonamenti, pagamenti, fatture e portale cliente.
• Resend: invio di OTP, conferme, email operative e comunicazioni autorizzate.
• Cloudflare: DNS e, se attivati, servizi di protezione e sicurezza di rete.
• Consulenti o autorità possono ricevere dati solo quando necessario per assistenza professionale, tutela dei diritti o obblighi di legge.

Trasferimenti fuori dallo Spazio Economico Europeo

Alcuni fornitori o loro subfornitori possono trattare dati in paesi esterni allo Spazio Economico Europeo. In tali casi verifichiamo la presenza di una decisione di adeguatezza o di garanzie appropriate, come le Clausole Contrattuali Standard approvate dalla Commissione europea, oltre alle misure supplementari applicabili. Puoi chiedere informazioni sulle garanzie scrivendo a hello@minigenius.ai.

Analytics, waitlist e tecnologie locali

La waitlist usa analytics first-party minimizzati per collegare visite e iscrizioni completate. Registriamo eventi, parametri UTM, lingua, categoria dispositivo e dominio referrer, senza email nell'evento, IP in chiaro, URL referrer completo, user-agent completo, fingerprint o dati del bambino. Un identificativo casuale resta in sessionStorage e termina con la sessione del browser. Non usiamo questi dati per pubblicità comportamentale e non installiamo cookie pubblicitari di terze parti.

Conservazione

Applichiamo periodi o criteri diversi in base al dato:

• Account e profili: per la durata del rapporto e fino alla cancellazione, salvo dati da conservare per obblighi o controversie.
• Audio e transcript in chiaro del bambino: non conservati da MiniGenius AI dopo l'elaborazione della richiesta.
• Log messaggio con hash e metadati: normalmente fino a 30 giorni.
• Eventi di sicurezza: normalmente fino a 12 mesi, salvo necessità di indagine, tutela o obbligo legale.
• Dati contrattuali, di pagamento e fatturazione: per il periodo richiesto dalla normativa fiscale, contabile e di tutela dei diritti.
• Waitlist e marketing: fino alla revoca, cancellazione o cessazione della finalità; gli eventi analytics minimizzati sono riesaminati periodicamente e cancellati quando non più necessari.
• Cache della voce di Momo: finché utile a fornire il contenuto e ridurre latenza e costi, con accesso privato e senza voce del bambino.

Misure di sicurezza

Adottiamo misure tecniche e organizzative proporzionate, tra cui autenticazione OTP, separazione degli ambienti, controllo degli accessi, Row Level Security, chiavi server-only, storage privato, cifratura in transito, rate limit, session lock, log minimizzati e controlli safety. Nessun sistema connesso a Internet è privo di rischio; gestiamo e riesaminiamo le misure in base all'evoluzione del servizio.

Intelligenza artificiale e decisioni automatizzate

Momo usa sistemi automatizzati per trascrivere la voce, moderare contenuti, generare alcune risposte e classificare metadati. Questi processi non producono decisioni con effetti giuridici o analogamente significativi sul bambino. I controlli possono bloccare o reindirizzare una richiesta per sicurezza; il genitore può segnalare un errore e chiedere assistenza.

Email operative e marketing

OTP, conferme, sicurezza, assistenza e fatturazione sono comunicazioni necessarie al servizio. Le email promozionali o di lancio richiedono un consenso separato e facoltativo. Puoi revocarlo tramite il link presente nelle email o scrivendo a hello@minigenius.ai, senza perdere l'accesso alle funzioni essenziali dell'account.

I tuoi diritti

Nei casi previsti dal GDPR puoi:

• ottenere conferma, accesso e copia dei dati;
• chiedere rettifica, cancellazione o limitazione;
• ricevere i dati forniti in formato portabile quando applicabile;
• opporti ai trattamenti basati sul legittimo interesse;
• revocare il consenso in qualsiasi momento, senza pregiudicare il trattamento già svolto;
• proporre reclamo all'autorità di controllo competente; in Italia, il Garante per la protezione dei dati personali (www.garanteprivacy.it).

Modifiche all'informativa

Aggiorneremo questa informativa quando cambiano trattamenti, fornitori o obblighi applicabili. La data e la versione saranno indicate in pagina. Se una modifica incide in modo rilevante sui diritti o su un trattamento basato sul consenso, forniremo un avviso adeguato e, quando necessario, chiederemo un nuovo consenso.

Contatto privacy

Per esercitare i diritti o chiedere informazioni scrivi a hello@minigenius.ai indicando che la richiesta riguarda MiniGenius AI. Risponderemo senza ingiustificato ritardo e normalmente entro un mese. Per proteggere l'account potremo chiedere una verifica ragionevole dell'identità e del rapporto con il profilo bambino.