Accordo sul trattamento dei dati personali per conto dell'Utente
1. Parti e ruoli
Quando l'Utente inserisce nel Servizio dati personali di altre persone, ad esempio nome, ruolo, telefono ed email dei referenti degli istituti, oppure annotazioni negli interventi, l'Utente è titolare del trattamento di quei dati e Go Web snc (P. IVA 01184570628, il «Fornitore») ne è responsabile del trattamento.
Se l'Utente usa il Servizio per conto della propria istituzione scolastica, che resta titolare, l'Utente agisce secondo le istruzioni di questa e il Fornitore opera come ulteriore responsabile; spetta all'Utente verificare con l'istituzione che l'uso del Servizio sia consentito.
Per i dati dell'account dell'Utente il Fornitore è invece titolare autonomo, come descritto nell'informativa privacy.
2. Oggetto, natura e finalità
Il Fornitore tratta i dati solo per fornire il Servizio: conservazione, visualizzazione, ricerca, esportazione, backup e cancellazione, secondo le funzioni usate dall'Utente. Non li usa per finalità proprie né li comunica a terzi, salvo quanto previsto al punto 6 o imposto dalla legge.
3. Tipi di dati e interessati
- Interessati: referenti e personale delle istituzioni scolastiche e altre persone citate dall'Utente nelle proprie annotazioni.
- Dati: dati identificativi e di contatto (nome, ruolo, telefono, email), luoghi di lavoro, annotazioni di servizio.
- L'Utente non inserisce categorie particolari di dati (art. 9 GDPR) né dati relativi a condanne penali (art. 10 GDPR).
4. Durata
Il trattamento dura quanto il contratto e i periodi di conservazione indicati nei termini del servizio (art. 7), al termine dei quali i dati sono cancellati.
5. Obblighi del Fornitore
- tratta i dati soltanto su istruzione documentata dell'Utente, che consiste nell'uso delle funzioni del Servizio e in questo accordo, e lo informa se ritiene che un'istruzione violi la normativa;
- garantisce che le persone autorizzate al trattamento siano vincolate alla riservatezza;
- adotta le misure di sicurezza dell'art. 32 GDPR descritte al punto 7;
- ricorre ad altri responsabili solo alle condizioni del punto 6;
- assiste l'Utente nel dare seguito alle richieste degli interessati: l'Utente può consultare, correggere, esportare e cancellare in autonomia tutti i dati dal Servizio;
- assiste l'Utente negli adempimenti degli artt. 32-36 GDPR, tenendo conto della natura del trattamento e delle informazioni disponibili;
- al termine del contratto cancella i dati secondo i tempi dei termini del servizio; prima della cancellazione l'Utente può scaricarli in formato strutturato con «Scarica i miei dati»;
- mette a disposizione dell'Utente le informazioni necessarie a dimostrare il rispetto di questo accordo e consente verifiche, anche tramite un incaricato dell'Utente vincolato alla riservatezza, con preavviso ragionevole e senza pregiudicare la sicurezza degli altri utenti.
6. Altri responsabili (sub-responsabili)
L'Utente autorizza in via generale il Fornitore ad avvalersi dei seguenti fornitori, vincolati da obblighi equivalenti a quelli di questo accordo:
- hosting di server e database: IONOS, Germania;
- invio delle email di servizio: IONOS, Germania;
- calcolo dei tempi di viaggio: HeiGIT gGmbH (openrouteservice, Germania), solo per indirizzi e coordinate dei plessi.
Il Fornitore comunica via email ogni aggiunta o sostituzione almeno 15 giorni prima; l'Utente può opporsi per motivi legittimi e, se l'opposizione non può essere accolta, recedere dal contratto con rimborso della parte non fruita del periodo pagato.
7. Misure di sicurezza
- connessioni cifrate (HTTPS) e cookie protetti;
- dati di ciascun utente conservati in un database separato;
- password di accesso conservate come impronte Argon2id, verifica in due passaggi disponibile, blocco dei tentativi ripetuti, chiusura delle sessioni inattive;
- password degli istituti cifrate nel browser dell'Utente (AES-256-GCM) con una chiave che il Fornitore non conosce;
- backup giornalieri a rotazione, cancellati insieme all'account;
- accesso amministrativo limitato e registrato;
- aggiornamento periodico del software e dei sistemi.
8. Violazioni dei dati
Il Fornitore informa l'Utente senza ingiustificato ritardo, e comunque entro 48 ore da quando ne viene a conoscenza, di ogni violazione dei dati personali che riguardi i suoi dati, con le informazioni disponibili per consentirgli gli adempimenti degli artt. 33 e 34 GDPR.
9. Trasferimenti
I dati trattati per conto dell'Utente sono conservati nell'Unione europea e non sono trasferiti verso Paesi terzi.
10. Disposizioni finali
Questo accordo è accettato con la registrazione al Servizio e segue la durata del contratto. Per quanto non previsto valgono i termini del servizio e il GDPR. Contatti: metttiu@gmail.com, PEC matteopepe72@pec.it.