Accordo sul trattamento dei dati

Accordo sul trattamento dei dati per le scuole

Tra la scuola, il consiglio scolastico o il distretto scolastico che utilizza Mindomo, o l’insegnante che utilizza Mindomo con una classe (la “scuola”), ed Expert Software Applications SRL, Str. Ciprian Porumbescu 5A, 300236 Timișoara, Romania (“Mindomo”, “noi”).

1. Parti e ambito di applicazione

• La scuola è il titolare del trattamento. Mindomo è il responsabile del trattamento.
• Il presente DPA riguarda i dati personali presenti negli account e nei contenuti degli studenti, degli insegnanti e del personale della scuola, e degli studenti della classe di un insegnante, per tutto il tempo in cui li trattiamo per conto della scuola.
• L’Allegato 1 descrive i dati. Se il presente DPA e le Condizioni di utilizzo differiscono in materia di dati personali, prevale il presente DPA.

2. Istruzioni

Trattiamo i dati solo per fornire Mindomo alla scuola, ai suoi studenti e al suo personale, così come lo configurano i suoi amministratori e i suoi insegnanti, e secondo le sue altre istruzioni documentate, salvo che la legge richieda diversamente; in tal caso ne informiamo prima la scuola, a meno che la legge lo vieti. Informiamo la scuola se riteniamo che un’istruzione violi la normativa sulla protezione dei dati. Non vendiamo mai i dati, non li utilizziamo mai per la pubblicità e non li utilizziamo mai per addestrare modelli di IA.

3. Riservatezza

Tutte le persone di Mindomo che possono accedere ai dati sono vincolate alla riservatezza, e vi accedono solo quando è necessario per fornire il servizio o il supporto.

4. Sicurezza

Proteggiamo i dati con le misure tecniche e organizzative descritte nella nostra pagina Sicurezza. Mindomo è certificata ISO/IEC 27001 e ISO/IEC 27701.

5. Sub-responsabili del trattamento

• La scuola autorizza i sub-responsabili del trattamento indicati nell’Allegato 2. Ciascuno è vincolato da un contratto con gli stessi obblighi in materia di protezione dei dati del presente DPA.
• Annunciamo un nuovo sub-responsabile del trattamento con almeno 30 giorni di anticipo, in questa pagina e per e-mail agli amministratori della scuola. La scuola può opporsi per un motivo ragionevole legato alla protezione dei dati; se non riusciamo a porvi rimedio, la scuola può porre fine alla propria licenza e ottenere il rimborso della parte non utilizzata del corrispettivo.
• I trasferimenti al di fuori dell’UE si basano sul quadro UE-USA per la protezione dei dati personali (EU-US Data Privacy Framework) o sulle clausole contrattuali tipo della Commissione europea.

6. Assistenza

Aiutiamo la scuola a rispondere alle richieste di studenti, genitori e personale (accesso, rettifica, cancellazione, esportazione), principalmente tramite gli strumenti presenti in Mindomo e nella sua console di amministrazione, e nelle sue valutazioni, come una valutazione d’impatto sulla protezione dei dati. Inoltriamo alla scuola ogni richiesta che riceviamo riguardo ai suoi dati, comprese quelle dei genitori.

7. Violazioni

Informiamo la scuola di una violazione dei dati personali che riguarda i suoi dati senza ingiustificato ritardo dopo esserne venuti a conoscenza, indicando ciò che sappiamo e ciò che stiamo facendo al riguardo, e la aggiorniamo man mano che ne sappiamo di più.

8. Quando la licenza termina

La scuola decide che cosa accade ai suoi dati. Può chiedere in qualsiasi momento un’esportazione o la cancellazione, tramite il supporto o la console di amministrazione. Se non dà istruzioni quando la sua licenza termina, si applica quanto segue, e la scuola lo sceglie accettando il presente DPA:

• Gli account i cui utenti hanno accettato personalmente le nostre Condizioni di utilizzo (insegnanti, personale e studenti che si sono registrati in autonomia) proseguono come account propri degli utenti, con i loro contenuti. Dalla fine della licenza, Mindomo ne è il titolare del trattamento, in base alla propria Informativa sulla privacy.
• Gli account creati dalla scuola (con un PIN, un’importazione CSV o un elenco della classe, oppure tramite Clever, Skolon o LTI) restano dati della scuola, invariati, in modo che un rinnovo riprenda da dove ci si era fermati. Possiamo eliminare un account a cui nessuno ha effettuato l’accesso per 12 mesi dopo la fine della licenza, dopo averne informato gli amministratori della scuola. Non trasformiamo mai di nostra iniziativa un account di questo tipo in un account personale: uno studente che vuole continuare a utilizzarlo deve prima accettare personalmente le nostre Condizioni.
• La scuola può chiedere invece l’eliminazione di tutti i suoi account, o solo degli account che ha creato.

9. Audit

Dimostriamo la conformità al presente DPA mediante i nostri certificati ISO/IEC 27001 e 27701 e i relativi rapporti di audit, e rispondendo alle domande ragionevoli della scuola. Gli audit in loco si svolgono solo quando la legge li richiede, con un preavviso ragionevole, a spese della scuola.

Allegato 1. Che cosa trattiamo

• Interessati: gli studenti, gli insegnanti e il personale della scuola; i genitori, quando uno studente ne indica uno per l’approvazione; le altre persone che la scuola invita.
• Dati: dati dell’account (nome, indirizzo e-mail o nome utente, ruolo, fascia d’età, appartenenza a classi e gruppi); i contenuti che creano, caricano e condividono; commenti, compiti, feedback e voti; richieste a Mindomo IA e chat con l’assistente, se la scuola consente Mindomo IA; log di sicurezza (indirizzo IP, browser, accessi).
• Finalità: fornire Mindomo alla scuola, ai suoi studenti e al suo personale, a fini didattici.
• Durata: finché la scuola utilizza Mindomo, poi come descritto al §8.
• Luogo: hosting in Germania, con backup in Germania.

Allegato 2. Sub-responsabili del trattamento

I servizi che la scuola collega autonomamente, come Clever, Skolon, Yilan, la sua piattaforma didattica (LTI), il suo single sign-on (SAML) o Google Classroom, sono servizi propri della scuola, non nostri sub-responsabili del trattamento.

Quando una funzionalità effettua tramite Microsoft una ricerca sul web o una ricerca di immagini, la query di ricerca viene inviata al servizio di ricerca di Microsoft, che può trattarla al di fuori dell’UE. Per tali ricerche Microsoft non è un nostro sub-responsabile del trattamento: tratta la query sotto la propria responsabilità, secondo l’informativa sulla privacy di Microsoft (Microsoft Privacy Statement).

Allegato 3. Condizioni specifiche per paese per le scuole

Stati Uniti

• Mindomo agisce come “school official” (funzionario scolastico) con un legittimo interesse educativo ai sensi del FERPA, sotto il controllo diretto della scuola sull’uso e sulla conservazione dei fascicoli scolastici (education records).
• La scuola autorizza gli account dei propri studenti ai sensi del COPPA, esclusivamente per uso didattico, e per nessun altro scopo commerciale.
• Niente pubblicità rivolta agli studenti, niente vendita dei dati degli studenti e niente profilazione degli studenti.
• Con una licenza a pagamento, firmiamo su richiesta l’accordo sulla riservatezza dei dati proprio di un distretto scolastico o di uno stato.

Canada

• Il consiglio scolastico mantiene la custodia e il controllo delle informazioni personali dei propri studenti, ai sensi del Municipal Freedom of Information and Protection of Privacy Act (MFIPPA) dell’Ontario e delle leggi equivalenti delle altre province, come il FOIPPA della Columbia Britannica, la Legge 25 del Québec e le leggi sulla privacy dell’Alberta.
• I dati sono conservati in Germania.
• Alla fine del contratto, restituiamo o cancelliamo i dati secondo le istruzioni del consiglio scolastico (§8).
• Con una licenza a pagamento, firmiamo su richiesta l’accordo proprio di un consiglio scolastico.

Regno Unito

• Si applicano il GDPR del Regno Unito (UK GDPR) e il Data Protection Act 2018, al posto del GDPR ove pertinente.
• Il nostro rappresentante nel Regno Unito: Silvana Carpineanu, dpo@mindomo.com.
• I trasferimenti dal Regno Unito seguono le norme del Regno Unito: l’estensione al Regno Unito del quadro UE-USA per la protezione dei dati personali (UK Extension to the EU-US Data Privacy Framework), o l’addendum del Regno Unito alle clausole contrattuali tipo.

Come le scuole accettano il presente DPA

• Ogni scuola e ogni insegnante, con qualsiasi piano, gratuito o a pagamento: il presente DPA si applica quando un amministratore accetta le Condizioni di utilizzo per la scuola, o quando un insegnante utilizza Mindomo con una classe. Non occorre firmare nulla.
• Con una licenza a pagamento, forniamo anche una copia controfirmata del presente DPA, oppure firmiamo l’accordo proprio della scuola, del distretto scolastico o del consiglio scolastico. Scriva a support@mindomo.com.

Accordo sul trattamento dei dati per le aziende

Tra l’azienda, il team o l’altra organizzazione che utilizza Mindomo per i propri membri (l’“organizzazione”), ed Expert Software Applications SRL, Str. Ciprian Porumbescu 5A, 300236 Timișoara, Romania (“Mindomo”, “noi”). Le scuole utilizzano la versione per le scuole.

1. Parti e ambito di applicazione

• L’organizzazione è il titolare del trattamento. Mindomo è il responsabile del trattamento.
• Il presente DPA riguarda i dati personali presenti negli account e nei contenuti dei membri dell’organizzazione (dipendenti, collaboratori esterni e le altre persone che l’organizzazione aggiunge al proprio team), per tutto il tempo in cui li trattiamo per conto dell’organizzazione.
• L’Allegato 1 descrive i dati. Se il presente DPA e le Condizioni di utilizzo differiscono in materia di dati personali, prevale il presente DPA.
• Per gli acquisti e le fatture dell’organizzazione, e per i dati di contatto dei suoi amministratori in quanto nostro cliente, Mindomo è titolare del trattamento, in base alla propria Informativa sulla privacy.

2. Istruzioni

Trattiamo i dati solo per fornire Mindomo all’organizzazione e ai suoi membri, così come lo configurano i suoi amministratori, e secondo le sue altre istruzioni documentate, salvo che la legge richieda diversamente; in tal caso ne informiamo prima l’organizzazione, a meno che la legge lo vieti. Informiamo l’organizzazione se riteniamo che un’istruzione violi la normativa sulla protezione dei dati. Non vendiamo mai i dati, non li utilizziamo mai per la pubblicità e non li utilizziamo mai per addestrare modelli di IA.

3. Riservatezza

Tutte le persone di Mindomo che possono accedere ai dati sono vincolate alla riservatezza, e vi accedono solo quando è necessario per fornire il servizio o il supporto.

4. Sicurezza

Proteggiamo i dati con le misure tecniche e organizzative descritte nella nostra pagina Sicurezza. Mindomo è certificata ISO/IEC 27001 e ISO/IEC 27701.

5. Sub-responsabili del trattamento

• L’organizzazione autorizza i sub-responsabili del trattamento indicati nell’Allegato 2. Ciascuno è vincolato da un contratto con gli stessi obblighi in materia di protezione dei dati del presente DPA.
• Annunciamo un nuovo sub-responsabile del trattamento con almeno 30 giorni di anticipo, in questa pagina e per e-mail agli amministratori dell’organizzazione. L’organizzazione può opporsi per un motivo ragionevole legato alla protezione dei dati; se non riusciamo a porvi rimedio, l’organizzazione può porre fine alla propria licenza e ottenere il rimborso della parte non utilizzata del corrispettivo.
• I trasferimenti al di fuori dell’UE si basano sul quadro UE-USA per la protezione dei dati personali (EU-US Data Privacy Framework) o sulle clausole contrattuali tipo della Commissione europea.

6. Assistenza

Aiutiamo l’organizzazione a rispondere alle richieste dei suoi membri (accesso, rettifica, cancellazione, esportazione), principalmente tramite gli strumenti presenti in Mindomo e nella sua console di amministrazione, e nelle sue valutazioni, come una valutazione d’impatto sulla protezione dei dati. Inoltriamo all’organizzazione ogni richiesta che riceviamo riguardo ai suoi dati.

7. Violazioni

Informiamo l’organizzazione di una violazione dei dati personali che riguarda i suoi dati senza ingiustificato ritardo dopo esserne venuti a conoscenza, indicando ciò che sappiamo e ciò che stiamo facendo al riguardo, e la aggiorniamo man mano che ne sappiamo di più.

8. Quando la licenza termina, o un membro lascia il team

L’organizzazione decide che cosa accade ai suoi dati. Può chiedere in qualsiasi momento un’esportazione o la cancellazione, tramite il supporto o la console di amministrazione. Se non dà istruzioni quando la sua licenza termina, si applica quanto segue, e l’organizzazione lo sceglie accettando il presente DPA:

• Gli account i cui utenti hanno accettato personalmente le nostre Condizioni di utilizzo proseguono come account propri degli utenti, con i loro contenuti al di fuori delle cartelle condivise del team. Dalla fine della licenza, Mindomo ne è il titolare del trattamento, in base alla propria Informativa sulla privacy.
• Ogni account creato dall’organizzazione stessa resta tra i dati dell’organizzazione, invariato, in modo che un rinnovo riprenda da dove ci si era fermati. Possiamo eliminare un account a cui nessuno ha effettuato l’accesso per 12 mesi dopo la fine della licenza, dopo averne informato gli amministratori dell’organizzazione.
• L’organizzazione può chiedere invece l’eliminazione di tutti i suoi account, o solo degli account che ha creato.

Quando un membro lascia il team mentre la licenza è in corso, i contenuti che ha creato nelle cartelle condivise del team restano al team se è un amministratore a rimuoverlo; un membro che lascia il team di propria iniziativa può portarli con sé se prosegue con un proprio piano a pagamento, e altrimenti restano al team. La regola completa si trova nella Parte B delle Condizioni di utilizzo.

9. Audit

Dimostriamo la conformità al presente DPA mediante i nostri certificati ISO/IEC 27001 e 27701 e i relativi rapporti di audit, e rispondendo alle domande ragionevoli dell’organizzazione. Gli audit in loco si svolgono solo quando la legge li richiede, con un preavviso ragionevole, a spese dell’organizzazione.

Allegato 1. Che cosa trattiamo

• Interessati: i dipendenti, i collaboratori esterni e gli altri membri dell’organizzazione, e le persone che l’organizzazione invita a lavorare con loro.
• Dati: dati dell’account (nome, indirizzo e-mail, ruolo, appartenenza a gruppi); i contenuti che creano, caricano e condividono; commenti e attività; richieste a Mindomo IA e chat con l’assistente, se l’organizzazione consente Mindomo IA; log di sicurezza (indirizzo IP, browser, accessi).
• Finalità: fornire Mindomo all’organizzazione e ai suoi membri.
• Durata: finché l’organizzazione utilizza Mindomo, poi come descritto al §8.
• Luogo: hosting in Germania, con backup in Germania.

Allegato 2. Sub-responsabili del trattamento

I servizi che l’organizzazione collega autonomamente, come il suo single sign-on (SAML), sono servizi propri dell’organizzazione, non nostri sub-responsabili del trattamento.

Quando una funzionalità effettua tramite Microsoft una ricerca sul web o una ricerca di immagini, la query di ricerca viene inviata al servizio di ricerca di Microsoft, che può trattarla al di fuori dell’UE. Per tali ricerche Microsoft non è un nostro sub-responsabile del trattamento: tratta la query sotto la propria responsabilità, secondo l’informativa sulla privacy di Microsoft (Microsoft Privacy Statement).

Allegato 3. Condizioni specifiche per paese per le aziende

Regno Unito

• Si applicano il GDPR del Regno Unito (UK GDPR) e il Data Protection Act 2018, al posto del GDPR ove pertinente.
• Il nostro rappresentante nel Regno Unito: Silvana Carpineanu, dpo@mindomo.com.
• I trasferimenti dal Regno Unito seguono le norme del Regno Unito: l’estensione al Regno Unito del quadro UE-USA per la protezione dei dati personali (UK Extension to the EU-US Data Privacy Framework), o l’addendum del Regno Unito alle clausole contrattuali tipo.

Stati Uniti

• Se all’organizzazione si applica una legge statale statunitense sulla privacy, come il California Consumer Privacy Act, Mindomo agisce come suo “service provider” (fornitore di servizi) o “processor” (responsabile del trattamento): utilizziamo i dati solo per fornire Mindomo all’organizzazione, e non li vendiamo né li condividiamo, né li combiniamo con dati provenienti da altre fonti per finalità nostre.

Come le organizzazioni accettano il presente DPA

• Ogni organizzazione, con qualsiasi piano, gratuito o a pagamento: il presente DPA si applica quando un amministratore accetta le Condizioni di utilizzo per l’organizzazione. Non occorre firmare nulla.
• Con una licenza a pagamento, forniamo anche una copia controfirmata del presente DPA, oppure firmiamo l’accordo sul trattamento dei dati proprio dell’organizzazione. Scriva a support@mindomo.com.