Vai al contenuto
Note legali

Tutto quello che chiede un reparto IT, con le risposte prese dal codice in esecuzione.

Hosting, sub-responsabili del trattamento, i domini da sbloccare, quali dati vengono salvati e dove si trovano. Il questionario di approvvigionamento integrale è a un clic di distanza.

Scheda fornitore · aggiornata a settembre 2026
In una riga
Un sito web, non un'installazione
Qualsiasi browser moderno, qualsiasi dispositivo. Nessun plugin, nessuna app, nessun account per giocare.
Hosting
Vercel davanti, Google Firebase dietro
Vercel distribuisce l'applicazione; account, attività e risultati stanno in un database realtime di Firebase.
Posizione dei dati
UE o Stati Uniti, deciso alla creazione dell'account
Un nuovo account viene archiviato nella regione indicata dal fuso orario del browser: Europa e Africa nell'UE, il resto negli Stati Uniti. I file e i dati dell'account sono due impostazioni separate. I file possono essere riassegnati da qualsiasi account; spostare i dati dell'account richiede un abbonamento attivo.
Firewall
Una lista di autorizzazioni breve — websocket incluso
Il database comunica tramite wss://, la regola che i filtri scolastici più severi bloccano più spesso.
1

Da chi stai acquistando

Puzzel.org è un'azienda olandese di una sola persona: il contatto commerciale, il contatto tecnico e chi scrive il codice sono la stessa persona. Questi sono i dati di cui un ufficio acquisti ha bisogno per registrare il fornitore.

L'assistenza è illimitata e funziona via e-mail: le risposte arrivano dallo sviluppatore, non da una coda di ticket.
Il contatto qui sotto è anche il contatto per la sicurezza e per le violazioni dei dati; non esiste un percorso di escalation separato.
Ragione sociale
Puzzel.org
Contatto e referente
Daan Weustenraad
Indirizzo
Sneekermeer 13, 3825XT Amersfoort, The Netherlands
Camera di Commercio (KvK)
66090091
Partita IVA
NL002191535B44
Assistenza
Illimitata, via e-mail, 09:00–22:00 CET
2

Che cosa installa davvero una scuola

Non si installa nulla. Gli insegnanti aprono puzzel.org nel browser che hanno già e i giocatori aprono un link o un'attività incorporata nella tua pagina — senza account, senza download, senza diritti di amministratore.

Chrome, Firefox, Safari ed Edge sono supportati; Internet Explorer no.
Non servono Flash, Java o estensioni del browser, e sul dispositivo non viene salvato nulla.
Le pagine sono leggere — di solito ben sotto 1 MB — quindi il wireless basta; non serve una connessione via cavo.
Giocare funziona su telefoni e tablet; creare un'attività è più comodo su un tablet o su un computer.
Chromebook e dispositivi gestiti e bloccati vanno benissimo: tutto gira nel browser.
3

Firewall, lista di autorizzazioni e intestazioni delle pagine

Sblocca i domini qui sotto. Il database realtime si collega tramite websocket, la cosa che un filtro dei contenuti severo tende a scartare in silenzio: se le attività si aprono ma i risultati non vengono mai salvati, è la prima regola da guardare.

Consenti entrambi i domini del database. I dati del tuo account stanno in una sola regione, ma alcuni dati comuni a tutta la piattaforma sono sempre negli Stati Uniti, quindi bloccarne anche solo uno può impedire il salvataggio dei risultati.
Stripe viene contattato solo durante l'acquisto o il rinnovo di un abbonamento: sui dispositivi in classe può restare bloccato.
Domini da consentire attraverso il filtro
puzzel.org L'applicazione stessa
puzzelorg-cdn.s3.us-west-1.amazonaws.com Immagini e audio caricati dagli account archiviati negli Stati Uniti
puzzelorg-image-cdn.s3.eu-north-1.amazonaws.com Immagini e audio caricati dagli account archiviati nell'UE
*.googleapis.com Accesso e aggiornamento del token (Firebase Authentication)
puzzelorg.firebaseapp.com Il pop-up di accesso per gli account Google e Microsoft
wss://puzzelorg.firebaseio.com Database realtime — account archiviati negli Stati Uniti wss
wss://puzzelorg-2.europe-west1.firebasedatabase.app Database realtime — account archiviati nell'UE wss
checkout.stripe.com Solo durante l'acquisto o il rinnovo di un abbonamento

I caratteri jolly sono gli host di Google per Firebase Authentication; gli altri sono esatti.

Intestazioni di risposta impostate su ogni pagina
Strict-Transport-Security: max-age=31536000; includeSubDomains; preload
Impone HTTPS per un anno, sottodomini inclusi
X-Content-Type-Options: nosniff
Impedisce al browser di indovinare i tipi di contenuto
Referrer-Policy: strict-origin-when-cross-origin
Invia agli altri siti solo l'origine, mai l'URL completo
X-Frame-Options: SAMEORIGIN
Blocca l'inserimento della piattaforma in un frame — le attività incorporate, e le pagine dei corsisti di un'Accademia sui siti esatti che elenca, sono le eccezioni volute
Content-Security-Policy: frame-ancestors 'self'; upgrade-insecure-requests;
Ripete la regola sui frame e aggiorna qualsiasi richiesta in http semplice
4

Accessi, ruoli e single sign-on

Gli insegnanti accedono con un indirizzo e-mail e una password, oppure con l'account Google o Microsoft che la tua scuola già gestisce. I giocatori restano anonimi, a meno che un insegnante non attivi di proposito la registrazione per un'attività.

Ogni insegnante ha il proprio accesso; il proprietario dell'account scolastico invita i colleghi e può riprendersi un posto.
I ruoli sono volutamente piatti: il proprietario gestisce i posti e ogni insegnante vede le proprie attività, più la biblioteca della scuola se la scuola la attiva.
Le attività incorporate supportano il single sign-on OIDC: il tuo portale passa un token firmato, che viene verificato con le chiavi pubblicate dal tuo provider di identità prima di far entrare un giocatore. Gli emittenti sono autorizzati per singolo account, su richiesta.
Oggi non c'è nessun connettore Clever, ClassLink o SAML — chiedi prima di darlo per scontato.
5

Quali dati conserva la piattaforma

Per impostazione predefinita un'attività non registra nulla del giocatore: nessun account, nessun nome, nessun punteggio. Registrare i risultati e chiedere a un giocatore chi è sono due impostazioni separate che l'insegnante attiva per ogni singola attività, e ogni campo richiesto viene scelto a mano dalla lista qui sotto.

Account dell'insegnante: indirizzo e-mail, nome, le attività create e le immagini o gli audio caricati.
Dati del giocatore: solo i campi di registrazione scelti da quell'insegnante, più le risposte date in quella singola attività.
Nessun tracker pubblicitario o di analisi in nessun punto della piattaforma, e nessuno script di terze parti nella schermata di gioco.
L'assistente AI viene usato per ogni richiesta: quello che scrive un insegnante viene inviato a OpenAI o a Google Gemini per generare contenuti. Una cosa che scrive un giocatore può arrivare a OpenAI: in un Wordle che accetta solo parole esistenti, un tentativo assente dalle nostre liste di parole viene inviato come parola singola, senza nulla che identifichi il giocatore.
Campi che un insegnante può scegliere di chiedere a un giocatore
Nome e cognomeNomeCognomeE-mailNumero di telefonoMatricola studenteMatricola dipendenteOrganizzazioneClassePaeseAltre informazioniPasswordUna domanda che scrivi tu

Nessuno di questi viene chiesto, a meno che l'insegnante non lo aggiunga a quella specifica attività.

6

Isolamento, crittografia e chi può vedere i tuoi dati

Ogni lettura e ogni scrittura passa dalle Firebase Security Rules, e quel controllo gira sui server di Google, non nel browser, quindi regge anche di fronte a chi riscrive la pagina che ha davanti. Ai dati dell'account e ai risultati arriva solo l'account a cui appartengono. Alcune cose sono aperte di proposito, così una pagina di gioco si carica anche senza accesso: il contenuto di un'attività, il piano e lo stile del proprietario, e le sessioni multigiocatore in corso.

Il traffico è HTTPS da un capo all'altro e i dati sono cifrati in transito e a riposo da Google Firebase.
Le immagini e gli audio caricati vengono serviti da un URL S3 pubblico. Trattali come pubblici: tieni fuori dai contenuti delle attività tutto ciò che è riservato.
Puzzel.org apre un account solo quando il proprietario chiede aiuto per qualcosa che c'è dentro.
Sub-responsabili del trattamento
Vercel Hosting e distribuzione dell'applicazione
Google Firebase Autenticazione e database realtime che contiene i dati degli account
Amazon S3 Archiviazione delle immagini e degli audio caricati
Stripe Pagamenti degli abbonamenti e fatturazione
OpenAI Genera contenuti quando un insegnante usa l'assistente AI, e controlla se un tentativo di Wordle è una parola esistente
Google Gemini Genera immagini e legge i documenti e le immagini che un insegnante importa con l'assistente AI
Twilio SendGrid Invia le e-mail della piattaforma: e-mail di benvenuto e di pagamento, inviti e aggiornamenti sul prodotto
Pixabay Fornisce le foto stock gratuite che un insegnante può cercare dall'editor

Tutto ciò da cui dipende la piattaforma. A parte questi, e i sistemi della scuola stessa a cui un insegnante si collega, nessun'altra parte riceve dati degli account o dei giocatori.

7

Dove vengono conservati i dati

Due impostazioni, volutamente indipendenti: una decide quale regione S3 contiene i file caricati, l'altra quale regione del database contiene i dati dell'account. Un nuovo account parte nella regione suggerita dal fuso orario del browser — Europa e Africa ricevono il database UE — ed entrambe si possono cambiare in seguito.

Dati dell'account: un database realtime di Google Firebase in europe-west1, Belgio, oppure in us-central1, Stati Uniti.
File: un bucket Amazon S3 in us-west-1 (California) o eu-north-1 (Stoccolma). I file esistenti continuano a funzionare dopo il cambio.
Gli account creati prima di settembre 2026 sono archiviati negli Stati Uniti, a meno che non siano stati spostati. Spostare i dati dell'account nell'altra regione avviene come migrazione in background e richiede un abbonamento a pagamento.
8

Eliminazione, conservazione e notifica delle violazioni

Tutto quello che un insegnante crea, quell'insegnante può eliminarlo — subito, senza chiedere all'assistenza. Eliminare un'attività elimina anche quello che i giocatori le hanno inviato.

Elimina un risultato ed è sparito; elimina un'attività e con lei se ne vanno contenuti, statistiche e registrazioni dei giocatori.
Eliminare l'account rimuove le sue attività, le cartelle, le preimpostazioni, lo storico dei pagamenti e l'accesso stesso.
Non c'è un periodo di conservazione fisso: i dati restano finché il titolare dell'account non li rimuove.
Dopo una violazione, i titolari degli account ricevono un'e-mail dal contatto qui sopra con che cosa è successo, chi è coinvolto e che cosa significa per loro.
9

Incorporamento, LMS e API

La maggior parte delle scuole usa Puzzel.org incorporato in qualcosa che ha già — una pagina Canvas, il sito della scuola, un blog. Le pagine delle attività sono le uniche che un altro sito può mettere in un frame; il resto della piattaforma rifiuta i frame del tutto.

Canvas: un lancio LTI permette a un insegnante di scegliere una delle proprie attività e la inserisce nella pagina come contenuto incorporato.
Per tutto il resto: copia il codice di incorporamento e incollalo in qualsiasi pagina — non serve alcun lavoro di integrazione.
Un'API REST può creare attività dai tuoi sistemi, con un limite di 10 richieste al giorno per chiave.
Non c'è niente da importare prima in Puzzel.org — nessuna sincronizzazione degli elenchi, nessun caricamento degli studenti.
Google Classroom: un insegnante assegna un'attività di Puzzel.org e il punteggio di ogni studente viene scritto sul suo elaborato — nessun accesso all'elenco degli studenti. L'amministratore del tuo Google Workspace approva una sola app per farlo; il centro assistenza indica il relativo client ID.
10

Licenze, acquisti e pagamento

L'abbonamento Scuola è una licenza annuale per un account scolastico con spazio per i colleghi, dimensionata sul numero di sessioni di gioco che prevedi ogni mese. Non si allarga mai da solo generando costi extra: la taglia la scegli tu e puoi aumentarla quando ti serve.

Un ordine d'acquisto va bene se può essere pagato con carta o bonifico. Gli assegni non si possono accettare: l'azienda non ha sede negli Stati Uniti.
I pagamenti passano da Stripe, quindi i dati della carta non arrivano mai ai sistemi di Puzzel.org.
Ti serve un documento formale prima di ordinare? Il generatore di preventivi produce un preventivo in PDF con i dati della tua scuola.
Per l'accessibilità, nella pagina Accessibilità è scaricabile un rapporto di conformità VPAT 2.5 su WCAG 2.1 AA, Section 508 e EN 301 549. È un'autovalutazione e indica ciò che non è conforme.
L'abbonamento Scuola in breve
Prezzo all'anno
€125 / $150
Account insegnante inclusi
5
Sessioni di gioco al mese
5.000
Ampliamento
1.000 sessioni in più al mese per €25 / $30 all'anno
Senza abbonamento
2 attività e 60 sessioni di gioco al mese, gratis
11

Accordo sul trattamento dei dati

Puzzel.org tratta i dati degli studenti seguendo le istruzioni della tua scuola, e per questo il GDPR chiede un contratto. Eccolo, pronto da firmare — non devi scriverlo tu e non costa nulla.

Per le scuole olandesi: il Model Verwerkersovereenkomst 4.0 del settore stesso, usato tale e quale, con i tre allegati già compilati. La tua scuola conosce già questo documento.
Per tutte le altre: un accordo sul trattamento dei dati in inglese, ai sensi dell'articolo 28 del GDPR, con gli stessi due allegati come Schedules.
Non c'è niente di firmato in anticipo. Compila la tua parte, firma e rimandalo indietro — controfirmiamo e ti restituiamo una copia.

L'allegato sulla sicurezza dichiara ogni misura in modo onesto, comprese le quindici su ventuno che un'impresa di una sola persona non rispetta. Leggilo prima di firmare, non dopo.

Qualcosa qui non è ancora chiaro? Chiedi pure — le pagine legali che costringono a scrivere un'e-mail di chiarimento sono scritte male.