Data Processing Agreement (DPA)

Tra:

Titolare del trattamento:

la scuola o istituto che utilizza la piattaforma In Buone Mani App (“Titolare”).

Responsabili del trattamento:

• Alessandro Pirovano, via Dante Alighieri 21, Cassano (MI), C.F. PRVLSN77M02L400E, P.IVA 08848470962
• Tommaso Ferrari, via Vittime dell’Annamaria 29, Caravaggio (BG), C.F. FRRTMS81T22L400Z, P.IVA 04026120164

Definizioni

• Dati Personali: informazioni che identificano o rendono identificabile una persona fisica.
• Servizio: In Buone Mani App.
• Interessati: bambini, genitori/tutori, persone delegate al ritiro, personale scolastico.
• Trattamento: qualsiasi operazione sui Dati Personali.
• Condizioni d’uso: le condizioni d’uso del Servizio, di cui il presente DPA è parte integrante.

Oggetto del trattamento

I Responsabili sono incaricati di trattare i Dati Personali per conto del Titolare esclusivamente per le seguenti finalità:

• Archiviazione e gestione elettronica dei dati degli utenti del servizio (bambini, genitori/tutori, persone delegate al ritiro, personale scolastico);
• Monitoraggio delle presenze e delle assenze dei bambini e comunicazione ai genitori di eventuali anomalie, anche tramite notifiche push, e-mail o altri canali;
• Condivisione di documenti, foto e video con le famiglie;
• Sicurezza informatica e protezione dei dati memorizzati nel software;
• Manutenzione tecnica e assistenza sulla piattaforma;.

Il trattamento dura quanto il contratto, più il periodo di esportazione e cancellazione indicato nella sezione “Conservazione e cessazione”.

Categorie di dati e interessati

Il Titolare inserisce solo i dati necessari alle finalità del Servizio ed è responsabile delle informative, delle basi giuridiche e dei consensi, in particolare per foto, video e dati sulla salute dei minori.

Obblighi del Responsabile

• Trattare i dati esclusivamente su istruzioni documentate del Titolare (le Condizioni d’uso, il presente DPA, la configurazione del Servizio e le istruzioni date tramite esso, salvo obblighi di legge), informando il Titolare se ritiene che un’istruzione violi il GDPR;
• Adottare misure tecniche e organizzative adeguate alla sicurezza ai sensi dell’art. 32 GDPR, tra cui: (cifratura, backup, antivirus, firewall, accesso limitato, controlli periodici). Si tratta di obblighi di mezzi: non è garantita l’assenza assoluta di incidenti [verifica che l’elenco corrisponda alle misure realmente adottate];
• Mantenere la riservatezza del personale autorizzato al trattamento;
• Non trasferire dati al di fuori dell’UE senza garanzie adeguate;
• Collaborare con il Titolare per l’esercizio dei diritti degli interessati (accesso, rettifica, cancellazione, portabilità, limitazione, opposizione);
• Assistere il Titolare nel rispetto degli artt. 32-36 GDPR (sicurezza, violazioni, valutazioni d’impatto, consultazioni preventive), per quanto di competenza e in base alle informazioni disponibili;
• Gestire eventuali sub-responsabili in base all’autorizzazione generale del Titolare, con l’elenco indicato nella sezione “Accesso ai dati e fornitori tecnologici”, informando il Titolare di ogni aggiunta o sostituzione con almeno 30 giorni di preavviso (il Titolare può opporsi per motivi ragionevoli legati alla protezione dei dati entro 15 giorni; se non si trova un’alternativa ragionevole, può recedere dal contratto senza penali, con rimborso proporzionale del periodo non fruito), garantendo che siano soggetti a obblighi di protezione dei dati equivalenti a quelli previsti dal presente DPA.
• Non trattare i dati per finalità proprie, salvo quanto indicato nella sezione “Oggetto del trattamento”;
• Notificare al Titolare eventuali violazioni dei dati personali senza ingiustificato ritardo e comunque entro 48 ore, come specificato nella sezione “Data Breach”.

I Responsabili collaborano con il Titolare per consentire l’esercizio dei diritti degli interessati (bambini, genitori/tutori, personale scolastico) come previsto dal GDPR. Tutte le richieste dei genitori devono essere indirizzate direttamente al Titolare. Le richieste ricevute direttamente dai Responsabili sono inoltrate al Titolare senza ingiustificato ritardo, e i Responsabili non vi rispondono nel merito salvo istruzione del Titolare.

Conservazione e cessazione

I dati saranno conservati secondo le politiche del Responsabile (vedi Allegato Tecnico) e, alla cessazione del contratto, cancellati o restituiti a scelta del Titolare. Le misure di protezione dei dati includono backup e copie cifrate e protette. Eventuali dati archiviati in chiaro (anteprime, miniature) saranno eliminati entro i tempi tecnici necessari alle attività di manutenzione e gestione dei sistemi.

• Media del diario (foto e video): conservati 6 mesi; successivamente eliminati dal sistema.

• Dati del diario giornaliero (cibo, nanne, note, attività, ecc.): disponibili per l’intero anno scolastico in corso; alcuni dati potrebbero essere archiviati e non visibili dalla console.

• Dati del registro elettronico (entrate e uscite dei bambini): disponibili per l’anno scolastico in corso e quello precedente; dopo questo periodo i dati saranno eliminati.

• I documenti e le rette associati direttamente al bambino vengono conservati fino alla cancellazione del relativo profilo. A seguito della cancellazione del bambino, i relativi dati non vengono eliminati necessariamente in modo immediato, ma vengono cancellati entro i tempi tecnici necessari alle attività di manutenzione e gestione dei sistemi.

• Altri dati: disponibili fino alla cessazione del contratto; una volta disattivato l’account, i dati non saranno più accessibili e verranno eliminati secondo le procedure tecniche e la pianificazione di manutenzione.

Trasferimenti extra-UE

Tutti i dati sono trattati e archiviati in UE (Serverplan UE, AWS Francoforte, Axiom UE). Nessun trasferimento extra-UE è previsto.

Accesso ai dati e fornitori tecnologici

L’accesso ai Dati Personali presenti sulla piattaforma è limitato ai soggetti autorizzati di Alto Labs che ne abbiano effettiva necessità per lo svolgimento delle attività di gestione, manutenzione, sicurezza e assistenza del servizio.

Non sono previsti ulteriori soggetti esterni che accedano ordinariamente ai contenuti dei Dati Personali.

Per l’erogazione del servizio vengono utilizzati fornitori di infrastruttura tecnologica, tra cui:

• Serverplan, utilizzato per l’infrastruttura server sulla quale opera la piattaforma.
• Amazon Web Services (AWS), utilizzato per l’archiviazione di foto, video e altri contenuti multimediali;
• Axiom, utilizzato per il logging e gli audit

Tali fornitori svolgono attività di fornitura e gestione dell’infrastruttura tecnologica e non accedono ordinariamente ai contenuti dei Dati Personali. Eventuali accessi tecnici eccezionali potranno avvenire esclusivamente quando necessari per attività di manutenzione, sicurezza, gestione dell’infrastruttura o risoluzione di problematiche tecniche, secondo le modalità previste dai relativi servizi e dalle misure di sicurezza applicabili.

L’accesso ai contenuti dei Dati Personali da parte di Alto Labs è limitato al personale autorizzato e alle sole attività per le quali tale accesso risulti necessario.

Data Breach

Il Responsabile notificherà al Titolare ogni violazione di dati personali senza ingiustificato ritardo e comunque entro 48 ore dal momento in cui ne ha avuto conoscenza, tramite email all’indirizzo di contatto indicato dal Titolare. La notifica conterrà, per quanto disponibile al momento: natura della violazione, categorie e numero approssimativo di interessati e di dati coinvolti, probabili conseguenze e misure adottate o proposte per mitigarne gli effetti. Le informazioni mancanti potranno essere fornite in fasi successive senza ulteriore ingiustificato ritardo. La notifica al Garante e la comunicazione agli interessati competono al Titolare; i Responsabili collaborano ragionevolmente. Ciascuna parte sostiene i propri costi, salvo quanto previsto dalle Condizioni d’uso.

Audit e verifiche

Il Titolare ha il diritto di richiedere informazioni, documentazione o ispezioni ragionevoli relative alle misure di sicurezza e al rispetto del GDPR da parte dei Responsabili. Tali verifiche saranno concordate con i Responsabili e condotte in modo da non interferire con le normali operazioni del servizio. Le richieste di audit vanno fatte per iscritto con almeno 30 giorni di preavviso, si svolgono in orario lavorativo, di norma una volta l’anno salvo violazioni o richieste dell’autorità, senza compromettere la sicurezza o i dati di altri clienti. I Responsabili possono soddisfare la richiesta anche con documentazione o certificazioni disponibili. Eventuali richieste straordinarie che richiedano risorse o tempo significativi potranno essere oggetto di accordo separato tra le parti, incluse eventuali condizioni economiche.

Responsabilità

I Responsabili (Alto Labs, rappresentati dai titolari P.IVA Alessandro Pirovano e Tommaso Ferrari) rispondono esclusivamente per il trattamento dei dati effettuato in violazione delle istruzioni scritte del Titolare o degli obblighi del GDPR che riguardano specificamente i responsabili del trattamento. La Scuola Titolare risponde della liceità del trattamento, delle informative agli interessati, delle basi giuridiche, dei consensi e dell’esattezza dei dati che fornisce o fa fornire. I Responsabili non assumono alcuna responsabilità per eventuali trattamenti effettuati dal Titolare o per dati forniti in maniera non conforme, manlevando Alto Labs, rappresentati dai titolari P.IVA Alessandro Pirovano e Tommaso Ferrari, da qualsiasi pretesa relativa a tali casi, secondo quanto previsto dalle Condizioni d’uso. La limitazione di responsabilità prevista dalle Condizioni d’uso si applica anche al presente DPA, nei limiti consentiti dalla legge; non si applica ai casi in cui la legge non ne consente l’esclusione (dolo, colpa grave, danni alla persona). Nulla nel presente DPA limita i diritti degli interessati ai sensi degli artt. 79 e 82 GDPR.

Allegati tecnici

Le specifiche tecniche relative a sicurezza, conservazione dei dati, log, backup e misure di protezione dei server sono disponibili e possono essere fornite su richiesta del Titolare o di soggetti autorizzati, come previsto dalle normative vigenti.

Accettazione

L’utilizzo della piattaforma da parte della Scuola costituisce accettazione del presente Data Processing Agreement ai sensi dell’art. 28 GDPR. La conferma viene registrata nel sistema con utente, data e versione del DPA. Ad ogni modifica sostanziale del DPA, agli utenti verrà richiesto di accettare nuovamente la versione aggiornata. Le modifiche richieste dalla legge, da un’autorità o dovute alla sostituzione di sub-responsabili non richiedono una nuova accettazione, ferma l’informazione al Titolare. In caso di conflitto sul trattamento di dati personali prevale il presente DPA sulle Condizioni d’uso

Le specifiche tecniche dettagliate relative a sicurezza, conservazione dei dati, backup e logging sono consultabili nell’ Allegato Tecnico.

Versione: 20261007