Accordo sul Trattamento dei Dati

Parti dell'Accordo

Premesse

Il Titolare gestisce un centro educativo per minori e intende utilizzare la piattaforma software Covini per la gestione delle comunicazioni con le famiglie, la rilevazione delle presenze, la gestione dei pagamenti e altre attività amministrative e didattiche.

Nell'ambito di tale utilizzo, il Responsabile tratterà dati personali per conto del Titolare, inclusi dati di minori e dati sanitari ai sensi dell'art. 9 GDPR, rendendo necessaria la stipula del presente accordo ai sensi dell'art. 28 GDPR.

Art. 1 — Oggetto e Durata

1.1 Il presente accordo disciplina il trattamento dei dati personali effettuato dal Responsabile per conto del Titolare nell'ambito dell'utilizzo della piattaforma Covini, nel rispetto di quanto previsto dall'art. 28 GDPR.

1.2 L'accordo ha durata pari a quella del contratto di servizio sottoscritto tra le parti e si risolve automaticamente alla sua scadenza o risoluzione, fermo restando l'obbligo di conservazione dei dati nei termini previsti dalla normativa vigente.

Art. 2 — Natura, Finalità e Categorie di Dati Trattati

Il trattamento svolto nell'ambito delle finalità di seguito indicate riguarderà:

Categorie di interessati:

• Genitori e tutori legali dei minori iscritti alla struttura.
• Personale educativo, amministrativo e collaboratori della struttura.
• Minori (indirettamente, tramite i dati inseriti dai genitori o tutori legali).
• Delegati autorizzati al ritiro dei minori.

Categorie di dati trattati:

• Dati anagrafici e di contatto (nome, cognome, data e luogo di nascita, codice fiscale, residenza, telefono, email).
• Categorie particolari di dati personali ai sensi dell'art. 9 GDPR: dati sanitari (allergie, patologie, farmaci salvavita, certificati medici).
• Dati multimediali: fotografie e contenuti audiovisivi dei minori.
• Dati di presenza lavorativa del personale (data, orario, luogo di timbratura).
• Dati di geolocalizzazione del personale, raccolti esclusivamente durante l'atto di timbratura e previo consenso esplicito.
• Dati di navigazione: indirizzo IP, identificativi del dispositivo, log di sistema.
• Dati di pagamento, gestiti interamente da Stripe — il Responsabile non archivia dati di carte di credito o IBAN.

Finalità del trattamento:

• Gestione delle comunicazioni tra struttura e famiglie.
• Rilevazione presenze dei bambini e gestione diari individuali e di classe.
• Gestione eventi, laboratori e attività extracurricolari.
• Gestione pagamenti e fatturazione.
• Rilevazione presenze del personale per finalità connesse al rapporto di lavoro.
• Invio di notifiche push relative alle attività della struttura.

Art. 3 — Obblighi del Responsabile

Ai sensi dell'art. 28 GDPR, il Responsabile del Trattamento si impegna a:

Art. 4 — Obblighi del Titolare

Art. 5 — Trasferimento dei Dati

5.1 I dati sono conservati principalmente su server situati nell'Unione Europea (Supabase EU region), nel rispetto del principio di minimizzazione dei trasferimenti extra-UE.

5.2 Alcuni fornitori tecnici (Stripe, Expo) potrebbero trasferire dati negli Stati Uniti. Tale trasferimento avviene nel rispetto del Data Privacy Framework EU-USA e delle Clausole Contrattuali Standard (SCC) di cui alla Decisione di esecuzione (UE) 2021/914 della Commissione europea, garantendo un livello di protezione adeguato ai sensi dell'art. 46 GDPR.

Art. 6 — Violazioni dei Dati Personali (Data Breach)

6.1 Il Responsabile notificherà al Titolare qualsiasi violazione dei dati personali ai sensi dell'art. 33 GDPR entro 48 ore dalla scoperta, fornendo tutte le informazioni necessarie per adempiere all'obbligo di notifica all'Autorità di controllo competente (Garante per la Protezione dei Dati Personali).

6.2 La notifica conterrà almeno: la descrizione della natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni di dati personali in questione, le probabili conseguenze della violazione e le misure adottate o proposte.

Art. 7 — Diritti degli Interessati

7.1 Il Responsabile assiste il Titolare nell'evadere le richieste degli interessati relative all'esercizio dei diritti di cui agli artt. 15-22 GDPR (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione).

7.2 La piattaforma Covini fornisce agli utenti funzionalità native per: esportare i propri dati personali in formato JSON (art. 20 GDPR — diritto alla portabilità) ed eliminare definitivamente il proprio account e tutti i dati associati (art. 17 GDPR — diritto alla cancellazione), tramite apposita funzione nella sezione Profilo dell'app.

Art. 8 — Periodo di Conservazione dei Dati

I dati personali sono conservati per il tempo strettamente necessario al raggiungimento delle finalità per cui sono stati raccolti, nel rispetto del principio di limitazione della conservazione di cui all'art. 5, par. 1, lett. e) GDPR:

Art. 9 — Audit e Ispezioni

9.1 Il Responsabile mette a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui all'art. 28 GDPR e consente e contribuisce alle attività di revisione, comprese le ispezioni, realizzate dal Titolare o da un altro soggetto da questi incaricato.

Art. 10 — Legge Applicabile e Foro Competente

Il presente accordo è regolato dalla legge italiana e dal Regolamento UE 2016/679. Per qualsiasi controversia riguardante l'esecuzione o l'interpretazione del presente accordo sarà competente esclusivamente il Foro di Bologna.