Contratto sul trattamento dei dati

1. Parti e ruoli

Il presente contratto è concluso tra la scuola che utilizza la piattaforma School Exams, di seguito il «titolare», e «ФИРМА», EIK «ЕИК», con sede in «седалище и адрес на управление», di seguito il «responsabile».

La scuola determina le finalità e i mezzi del trattamento dei dati dei propri docenti e studenti. È titolare del trattamento ai sensi dell’art. 4, punto 7 del GDPR.

Trattiamo questi dati solo per fornire il servizio e solo su istruzione della scuola. Siamo responsabili del trattamento ai sensi dell’art. 4, punto 8.

Il presente contratto è parte integrante del contratto di abbonamento ed è firmato insieme a esso.

2. Oggetto, durata, natura e finalità del trattamento

Oggetto: trattamento dei dati personali di docenti e studenti necessario per organizzare, svolgere, valutare e archiviare gli esami scolastici.

Natura del trattamento: raccolta, registrazione, conservazione, strutturazione, consultazione, uso, limitazione, cancellazione e comunicazione dei dati agli utenti autorizzati della scuola.

Finalità: fornitura della piattaforma in base al contratto di abbonamento. Non trattiamo i dati per alcuna finalità propria — né per analisi, né per addestrare modelli, né per pubblicità.

Durata: per la durata del contratto di abbonamento e per il periodo successivo alla sua cessazione stabilito nella sezione 10.

3. Categorie di interessati e tipi di dati

Categorie di interessati: studenti, docenti e personale amministrativo della scuola.

Tipi di dati: nomi; indirizzo e-mail di servizio o scolastico; classe e gruppo; disciplina; contenuto degli elaborati d’esame e delle risposte; voti, punteggi e commenti per criterio; file allegati dall’utente; registro delle azioni nel sistema; dati tecnici di accesso, compresi l’indirizzo IP e i dati di sessione.

Non sono trattate categorie particolari di dati ai sensi dell’art. 9 del GDPR, salvo che la scuola ne inserisca di propria iniziativa in un testo libero. La scuola è responsabile dell’ammissibilità di tale inserimento.

4. Trattamento solo su istruzione del titolare

Trattiamo i dati personali solo su istruzione documentata della scuola, anche in caso di trasferimento verso un paese terzo, salvo che lo richieda il diritto dell’Unione o di uno Stato membro. In tal caso informiamo la scuola prima del trattamento, a meno che la legge lo vieti. (art. 28, paragrafo 3, lettera a)

Le impostazioni definite dalla scuola nella piattaforma e il contratto di abbonamento costituiscono istruzioni documentate.

Se riteniamo che un’istruzione violi il GDPR o altre disposizioni sulla protezione dei dati, ne informiamo immediatamente la scuola.

5. Riservatezza delle persone con accesso

Le persone autorizzate al trattamento dei dati personali si sono impegnate alla riservatezza o sono soggette a un adeguato obbligo legale di riservatezza. (art. 28, paragrafo 3, lettera b)

Vi accedono solo i dipendenti che ne hanno bisogno per la manutenzione del servizio, e solo nella misura necessaria.

6. Misure di sicurezza

Applichiamo misure tecniche e organizzative adeguate ai sensi dell’art. 32 del GDPR. (art. 28, paragrafo 3, lettera c)

— isolamento dei dati per scuola a livello di database — i dati di una scuola non sono accessibili a un’altra;

— cifratura di tutto il traffico con protocolli moderni; le versioni meno recenti sono disattivate;

— una sola sessione attiva per utente — un nuovo accesso chiude le sessioni precedenti;

— limiti alla frequenza delle richieste, separatamente per l’API principale, per i file e per la gestione;

— separazione dei processi — database, cache e applicazione funzionano con diritti separati;

— a scelta della scuola — limitazione degli esami ai soli indirizzi IP della rete scolastica;

— un registro di ogni azione sensibile: chi, quando e su cosa;

— backup regolari e verifica periodica tramite ripristino in un ambiente separato.

Le misure sono descritte in dettaglio nella pagina sulla sicurezza di questo sito.

7. Sub-responsabili

La scuola concede un’autorizzazione generale preventiva al ricorso a sub-responsabili. (art. 28, paragrafo 3, lettera d, in combinato disposto con i paragrafi 2 e 4)

Attualmente il sub-responsabile è il fornitore dell’infrastruttura «хостинг доставчик и държава», che fornisce l’hosting dell’applicazione, del database e della posta elettronica.

Informiamo la scuola per iscritto almeno 30 giorni prima di ricorrere a un sub-responsabile o di sostituirlo. La scuola può opporsi entro tale termine; in caso di opposizione motivata ha il diritto di recedere dal contratto senza penali.

Imponiamo a ogni sub-responsabile gli stessi obblighi di protezione dei dati che abbiamo noi. Rispondiamo nei confronti della scuola dei suoi atti come dei nostri.

8. Assistenza nell’esercizio dei diritti degli interessati

Assistiamo la scuola con misure tecniche e organizzative adeguate nel dare seguito alle richieste di esercizio dei diritti di cui al capo III del GDPR. (art. 28, paragrafo 3, lettera e)

A tal fine la piattaforma offre: la consultazione dei dati conservati sull’utente; l’esportazione nel formato leggibile da dispositivo automatico JSON; una richiesta di cancellazione dell’account che, una volta approvata, comporta una cancellazione a cascata.

Se una richiesta ci perviene direttamente, non vi rispondiamo nel merito, ma la inoltriamo alla scuola senza ingiustificato ritardo.

9. Assistenza ai sensi degli artt. 32–36 e notifica delle violazioni

Assistiamo la scuola nell’adempimento dei suoi obblighi ai sensi degli artt. 32–36 del GDPR, tenendo conto della natura del trattamento e delle informazioni a nostra disposizione. (art. 28, paragrafo 3, lettera f)

In caso di violazione dei dati personali, informiamo la scuola senza ingiustificato ritardo e comunque entro 72 ore dal momento in cui ne siamo venuti a conoscenza.

La notifica contiene: cosa è accaduto, quali categorie e approssimativamente quanti interessati e record sono coinvolti, le probabili conseguenze e le misure adottate o proposte.

10. Cancellazione o restituzione dei dati

Al termine della fornitura del servizio, a scelta della scuola, cancelliamo o restituiamo tutti i dati personali e cancelliamo le copie esistenti, salvo che il diritto dell’Unione o di uno Stato membro ne preveda la conservazione. (art. 28, paragrafo 3, lettera g)

La scuola comunica la propria scelta per iscritto entro 30 giorni dalla cessazione. Se non comunica alcuna scelta, alla scadenza di tale termine procediamo alla cancellazione.

Le copie di backup sono cancellate alla scadenza del loro normale ciclo di conservazione.

11. Informazioni e verifiche

Mettiamo a disposizione della scuola tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui all’art. 28 e consentiamo e contribuiamo alle attività di revisione, comprese le ispezioni, realizzate dalla scuola o da un altro soggetto da essa incaricato. (art. 28, paragrafo 3, lettera h)

Le verifiche si svolgono previo preavviso scritto, in orario lavorativo e in modo da non compromettere la sicurezza dei dati di altre scuole.

12. Luogo del trattamento

I dati sono trattati all’interno dello Spazio economico europeo.

Non trasferiamo dati verso un paese terzo senza istruzione della scuola e senza una base ai sensi del capo V del GDPR.