Privacy Policy di PrepGoat

Ultimo aggiornamento: 29 ottobre 2025

Versione: 2.1

ℹ️ Società in fase di costituzione
PrepGoat S.r.l., società edtech a responsabilità limitata attualmente in fase di costituzione, gestisce in modo continuativo il trattamento dei dati personali e l'erogazione dei servizi – inclusi gli abbonamenti a pagamento – descritti in questa informativa. Eventuali aggiornamenti successivi all'iscrizione nel Registro delle Imprese saranno comunicati con tempestività.

Ai sensi del Regolamento (UE) 2016/679 ("GDPR") e della normativa italiana in materia di protezione dei dati personali, la presente informativa descrive come vengono raccolti, utilizzati, conservati e protetti i dati personali degli utenti che utilizzano il sito prepgoat.it, le aree riservate e i servizi digitali correlati.

1. Titolare del trattamento e contatti

Il titolare del trattamento è PrepGoat S.r.l., società a responsabilità limitata in fase di costituzione ai sensi dell'art. 2331 c.c., con sede legale in Italia e contattabile all'indirizzo assistenza@crushthetest.it (di seguito, "PrepGoat" o la "Società"). Prima della definitiva iscrizione nel Registro delle Imprese i soci fondatori operano in nome e per conto della costituenda società e rispondono solidalmente delle obbligazioni assunte.

Non è stato nominato un Responsabile della Protezione dei Dati (DPO); per qualsiasi richiesta o esercizio dei diritti è possibile inviare una comunicazione all'indirizzo e-mail indicato.

Domicilio provvisorio del titolare: Milano (MI) – CAP 20100, presso i soci fondatori. Il recapito completo viene fornito agli interessati che ne facciano richiesta e resta valido per comunicazioni formali fino all'iscrizione nel Registro delle Imprese.

2. Tipologie di dati trattati

Nel corso dell'utilizzo del Servizio possono essere raccolte le seguenti categorie di dati:

Dati identificativi e di contatto: nome, cognome, indirizzo e-mail, data di nascita, eventuale nickname pubblico.
Dati dell'account: ID utente, credenziali cifrate, preferenze salvate, impostazioni di notifica.
Dati di utilizzo: quiz svolti, punteggi, progressi, statistiche generate, badge ottenuti, posizione in classifica.
Dati relativi agli abbonamenti: piano sottoscritto, stato dell'abbonamento, cronologia dei pagamenti e delle fatture, scadenze.
Dati di pagamento: token di pagamento e identificativi cliente Stripe (customer ID, subscription ID) necessari alla gestione degli abbonamenti. PrepGoat non raccoglie né conserva il numero completo della carta, le ultime quattro cifre o altri dati sensibili dello strumento di pagamento, che restano trattati esclusivamente sui server Stripe.
Dati tecnici: indirizzi IP, informazioni sul dispositivo e sul browser, log di sicurezza, timestamp di accesso, identificativi dei cookie tecnici.
Dati di assistenza: contenuto delle richieste inviate al supporto, allegati e note interne necessarie alla gestione.
Preferenze marketing: consensi espressi, decisioni sul banner cookie, iscrizione o revoca alla newsletter.

3. Finalità e basi giuridiche

I dati sono trattati per le finalità e secondo le basi giuridiche indicate di seguito:

Creazione e gestione dell'account (art. 6.1.b GDPR – esecuzione di misure contrattuali): registrazione, autenticazione, gestione delle credenziali, erogazione dei servizi freemium e premium.
Esecuzione degli abbonamenti e fatturazione (art. 6.1.b e 6.1.c GDPR – contratto e obbligo legale): attivazione dei piani, gestione dei rinnovi, emissione di ricevute e adempimenti fiscali.
Assistenza clienti e comunicazioni operative (art. 6.1.b e 6.1.f GDPR): riscontro alle richieste, notifiche sullo stato dell'account, alert su pagamenti o scadenze.
Funzionalità didattiche e gamification (art. 6.1.b GDPR): calcolo di progressi, classifiche, badge e suggerimenti personalizzati sulla base dei dati di utilizzo.
Analisi aggregate e miglioramento del servizio (art. 6.1.f GDPR – legittimo interesse): monitoraggio prestazioni, prevenzione di abusi, sviluppo di nuove funzionalità, effettuati su dati aggregati o pseudonimizzati.
Adempimento di obblighi di legge (art. 6.1.c GDPR): risposte ad autorità, conservazione documentazione fiscale, gestione di contestazioni legali.
Invio di comunicazioni promozionali (art. 6.1.a GDPR – consenso): newsletter, offerte commerciali, eventi. Il consenso è facoltativo e revocabile in qualsiasi momento.
Misurazione statistica e cookie non essenziali (art. 6.1.a GDPR – consenso): utilizzo di Google Analytics 4 (con IP anonimizzato) e di Google Ads/Consent Mode per finalità di marketing e misurazione, attivati solo dopo l'accettazione sul banner.
Sicurezza, prevenzione frodi e tutela giudiziaria (art. 6.1.f GDPR): monitoraggio degli accessi, blocco di attività sospette, difesa in giudizio.

4. Modalità del trattamento

I dati sono trattati con strumenti elettronici e, in casi limitati, in forma cartacea. Sono adottate misure tecniche e organizzative adeguate (es. cifratura delle password, logging centralizzato, firewall applicativi, controlli di accesso) per prevenire perdita, uso illecito o accessi non autorizzati.

5. Conservazione dei dati

I dati sono conservati per il tempo strettamente necessario alle finalità per cui sono raccolti:

dati dell'account: per tutta la durata dell'iscrizione e fino a 24 mesi dalla cancellazione, salvo obblighi diversi;
dati di pagamento e fatturazione: fino a 10 anni ai sensi della normativa fiscale e civilistica;
dati di utilizzo e statistiche: per la durata del rapporto contrattuale; trascorsi 24 mesi dalla cancellazione vengono anonimizzati;
log di sicurezza: 12 mesi, salvo necessità di conservazione per indagini su abusi;
dati di assistenza: 24 mesi dalla chiusura del ticket;
consensi marketing: fino alla revoca o, in assenza di revoca, per 24 mesi dall'ultima interazione documentata;
preferenze cookie: 180 giorni, trascorsi i quali sarà richiesto un nuovo consenso.

6. Destinatari e categorie di soggetti autorizzati

I dati possono essere trattati dalla Società e da collaboratori autorizzati (es. sviluppatori, personale di supporto) vincolati da accordi di riservatezza. Inoltre, i dati possono essere comunicati a soggetti esterni qualificati come responsabili del trattamento ai sensi dell'art. 28 GDPR, tra cui:

fornitore di hosting e infrastruttura cloud Heroku (Salesforce) in regione UE, basata su data center Amazon Web Services situati nell'Unione Europea;
Stripe Payments Europe, Limited (pagamenti e fatturazione);
Google LLC/Google Ireland Limited (analytics, advertising, Google Workspace, YouTube);
provider e-mail (es. Gmail/Google Workspace) per invio di comunicazioni e supporto;
consulenti legali, amministrativi o fiscali, nei limiti strettamente necessari;
autorità pubbliche o giudiziarie, se previsto da norme di legge o da ordini ufficiali.

7. Trasferimenti extra-UE

Alcuni fornitori (in particolare Google e Stripe) possono trattare dati anche in Paesi non appartenenti all'UE/SEE. I trasferimenti avvengono sulla base di Clausole Contrattuali Standard approvate dalla Commissione Europea, di decisioni di adeguatezza o di altre garanzie conformi agli artt. 44-49 GDPR. Ulteriori dettagli sono disponibili su richiesta.

8. Cookie e tecnologie affini

Il sito utilizza cookie tecnici necessari (es. sessionid, csrftoken, ctt_consent) e, previo consenso, cookie e tag di analisi e marketing gestiti tramite Google Consent Mode v2. Le informazioni complete sulle categorie, la durata e le modalità di gestione delle preferenze sono disponibili nella Cookie Policy.

9. Comunicazioni promozionali

Le newsletter e i messaggi promozionali sono inviati solo a seguito di consenso esplicito. L'utente può revocare il consenso in qualsiasi momento tramite il link presente a fondo e-mail o scrivendo alla Società. La revoca non pregiudica la liceità del trattamento effettuato prima della revoca stessa.

10. Profilazione e decisioni automatizzate

Il Servizio elabora dati per generare suggerimenti di studio, classifiche e stime di probabilità di superamento. Tali funzionalità costituiscono profilazione ai fini di personalizzare l'esperienza di apprendimento, ma non producono effetti giuridici né incidono in modo analogo significativamente sull'utente. In nessun caso vengono prese decisioni esclusivamente basate su processi automatizzati senza intervento umano.

11. Minori di età

Il Servizio è destinato a utenti con almeno 14 anni. Gli utenti tra 14 e 18 anni devono utilizzare il Servizio con il consenso del genitore o tutore. PrepGoat non raccoglie intenzionalmente dati di minori di 14 anni: eventuali dati raccolti accidentalmente saranno cancellati su richiesta.

12. Sicurezza

Sono adottate misure di sicurezza quali hashing delle password con PBKDF2 (salt unico per utente), connessioni HTTPS, controlli di accesso basati su ruoli, sistemi di logging e monitoraggio delle anomalie. Gli utenti sono invitati a utilizzare password robuste e a non condividerle. In caso di violazione dei dati (data breach) verrà data comunicazione secondo quanto previsto dagli artt. 33 e 34 GDPR.

13. Diritti dell'interessato

Gli utenti possono esercitare in qualsiasi momento i diritti previsti dagli artt. 15-22 GDPR, inclusi:

accesso ai dati personali;
rettifica o aggiornamento;
cancellazione (diritto all'oblio);
limitazione del trattamento;
portabilità dei dati;
opposizione al trattamento basato su legittimo interesse;
revoca del consenso per le attività basate su consenso.

Le richieste vanno inviate a assistenza@crushthetest.it. La Società risponderà entro 30 giorni, salvo proroga motivata. Potrà essere richiesto di verificare l'identità del richiedente.

14. Reclamo all'Autorità Garante

Gli utenti che ritengono che il trattamento avvenga in violazione del GDPR hanno il diritto di presentare reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it) o all'autorità di controllo del Paese UE di residenza.

15. Aggiornamenti dell'informativa

Questa informativa può essere aggiornata per adeguamenti normativi o modifiche del Servizio. La versione più recente è sempre disponibile su questa pagina. Le modifiche sostanziali saranno comunicate via e-mail o tramite notifiche nel Servizio con un preavviso ragionevole.