Accordo sul trattamento dei dati per le scuole

Il presente accordo è concluso tra la scuola o altro istituto di istruzione che utilizza un account scuola (la “Scuola”) e Omnibus, Ltd., indirizzo disponibile su richiesta (“noi”). Esso costituisce parte integrante del contratto o dell’offerta in base a cui è fornito l’account scuola e, in materia di protezione dei dati, prevale su di esso. È redatto in conformità all’art. 28 del GDPR / UK GDPR e, per le scuole in Turchia, all’art. 12 della KVKK.

Anche i membri del personale hanno un proprio account Earbunny; l’uso che ne fanno al di fuori dell’account scuola è disciplinato dalla nostra informativa sulla privacy.

Per conto della Scuola non vengono trattati dati appartenenti a categorie particolari né dati personali degli studenti. La Scuola non deve caricare né inviarci dati personali degli studenti.

Trattiamo i dati della Scuola soltanto su istruzione documentata della Scuola, costituita dal presente accordo e dalle impostazioni della Scuola nell’account scuola, salvo che la legge disponga diversamente (nel qual caso ne informiamo prima la Scuola, a meno che la legge non lo vieti). Informiamo la Scuola se riteniamo che un’istruzione violi la normativa sulla protezione dei dati.

Solo il personale che ne ha bisogno può accedere ai dati della Scuola, ed è vincolato da un obbligo di riservatezza. Ogni accesso del personale ai dati personali viene registrato.

Applichiamo le misure tecniche e organizzative indicate nell’allegato, adeguate al rischio (art. 32 GDPR). Possiamo migliorarle nel tempo, ma non ridurremo il livello complessivo di protezione.

La Scuola ci concede un’autorizzazione generale a ricorrere ai sub-responsabili del trattamento elencati nella nostra pagina dei sub-responsabili del trattamento. Inviamo alla Scuola un’e-mail almeno 30 giorni prima di aggiungerne o sostituirne uno. La Scuola può opporsi per ragionevoli motivi attinenti alla protezione dei dati; se non siamo in grado di dare seguito all’opposizione, la Scuola può chiudere l’account scuola. Vincoliamo ciascun sub-responsabile a obblighi di protezione dei dati equivalenti a quelli del presente accordo e ne restiamo responsabili.

I dati della Scuola sono ospitati nell’UE. Quando un sub-responsabile li tratta al di fuori dell’UE/SEE, del Regno Unito o della Turchia, ci avvaliamo di una decisione di adeguatezza (compreso, ove applicabile, il Data Privacy Framework UE–USA) o delle clausole contrattuali tipo e, per i dati provenienti dalla Turchia, delle garanzie di cui all’art. 9 della KVKK.

Tenuto conto della natura del trattamento, assistiamo la Scuola nel rispondere alle richieste del personale che esercita i propri diritti in materia di protezione dei dati, nonché nelle valutazioni d’impatto sulla protezione dei dati e nelle consultazioni con le autorità (artt. da 32 a 36 GDPR). Se riceviamo direttamente una richiesta relativa ai dati della Scuola, la trasmettiamo alla Scuola.

Informiamo la Scuola senza ingiustificato ritardo e comunque entro 72 ore dal momento in cui veniamo a conoscenza di una violazione che riguarda i dati della Scuola. La notifica descrive, per quanto noto, l’accaduto, i dati e le persone interessati, le probabili conseguenze e le misure adottate o proposte, e indica un referente. Integriamo le informazioni man mano che diventano disponibili e aiutiamo la Scuola ad adempiere ai propri obblighi di notifica.

Quando l’account scuola cessa, cancelliamo entro 30 giorni l’organizzazione, le classi, i codici di classe e le assegnazioni del personale della Scuola, salvo che la Scuola chieda prima una copia o che la legge ci imponga di conservare qualcosa. I backup vengono sovrascritti entro ulteriori 30 giorni. I collegamenti degli studenti alle classi cessano; le famiglie conservano i propri account e dati Earbunny, che non sono interessati.

Mettiamo a disposizione le informazioni necessarie a dimostrare il rispetto del presente accordo. La Scuola può verificare la nostra conformità una volta all’anno o dopo una violazione, con un preavviso di almeno 30 giorni, a proprie spese e con obbligo di riservatezza. Possiamo rispondere in prima battuta con documenti, questionari o report; una verifica in loco è possibile quando questi non bastano.

La responsabilità di ciascuna parte ai sensi del presente accordo segue il contratto in base a cui è fornito l’account scuola, salvo i casi in cui la legge non consente di limitarla.

Il presente accordo è disciplinato dalla legge del Paese in cui è registrata Omnibus, Ltd., salvo che norme imperative applicabili alla Scuola, come la normativa sul settore pubblico o sulla protezione dei dati del suo Paese, dispongano diversamente.

• Cifratura in transito (TLS) e a riposo, compresi i backup.
• Hosting nell’UE; backup cifrati conservati per 30 giorni.
• Un’unica regola di accesso verificata a ogni richiesta; il personale scolastico vede solo report anonimi delle proprie classi, e i codici di classe sono visibili solo agli amministratori scolastici.
• I report sono bloccati quando meno di 10 studenti hanno inviato dati e non contengono nomi né identificativi.
• Sessioni di breve durata; l’accesso si conclude con un codice inviato via e-mail; limiti di frequenza e protezione dai bot per l’accesso e i codici.
• Verifica in due passaggi per i nostri account di amministrazione; ogni accesso del personale ai dati personali viene registrato.
• I codici di accesso e di abbinamento non vengono scritti nei log di produzione; i report sugli arresti anomali non contengono dati personali oltre a un ID opaco.
• Separazione tra ambienti di produzione e di test; accesso concesso in base al principio della necessità di conoscere.
• Processo di risposta agli incidenti con notifica delle violazioni come indicato nella sezione 11.

Domande sul presente accordo o richiesta di una copia firmata: schools [at] earbunny.app. Maggiori informazioni nella nostra pagina sulla sicurezza.