Accordo sul trattamento dei dati (DPA)

1. Parti e accettazione

Il presente accordo è stipulato tra l’accademia che crea un account su Acatudy («l’Accademia», titolare del trattamento) e Fragua Labs LLC, con sede in 30 N Gould St Ste N, Sheridan, WY 82801, USA («Acatudy», responsabile del trattamento).

Fa parte dei Termini e condizioni e si accetta al momento della creazione dell’accademia, nella stessa casella dei termini. Se l’Accademia ha bisogno di una copia firmata, può richiederla a legal@acatudy.com.

2. Oggetto e dettagli del trattamento

• Oggetto e finalità: fornire all’Accademia la piattaforma Acatudy (corsi, esami, compiti, messaggi, sito pubblico, incassi dagli studenti e assistenti IA) e la relativa assistenza.
• Durata: finché l’Accademia usa il servizio e fino alla cancellazione dei dati ai sensi della sezione 9.
• Natura del trattamento: hosting, archiviazione, organizzazione, consultazione, invio di comunicazioni, backup e cancellazione.
• Interessati: studenti e, se minorenni, i loro genitori o tutori; docenti e personale dell’Accademia; visitatori e contatti del suo sito.
• Tipi di dati: dati identificativi e di contatto; dati scolastici (iscrizioni, progressi, voti, consegne, certificati); messaggi; registri di accesso e IP; dati degli incassi dagli studenti (gestiti da Stripe) e qualsiasi altro dato che l’Accademia decida di caricare. Il servizio non è pensato per categorie particolari di dati: l’Accademia non deve caricarle se non dispone di una base giuridica.

3. Istruzioni dell’Accademia

Acatudy tratta i dati solo su istruzioni documentate dell’Accademia, che sono il presente accordo, i termini e le impostazioni che l’Accademia configura sulla piattaforma, anche per quanto riguarda i trasferimenti internazionali, salvo che una legge applicabile lo imponga diversamente; in tal caso lo comunicherà prima all’Accademia, se la legge lo consente. Se ritiene che un’istruzione violi la legge, ne informerà l’Accademia.

4. Riservatezza e sicurezza

Le persone di Acatudy autorizzate a trattare i dati sono vincolate alla riservatezza. Acatudy applica le misure tecniche e organizzative dell’allegato sulla sicurezza, adeguate al rischio ai sensi dell’articolo 32 del GDPR, e può aggiornarle purché non riducano il livello di protezione.

5. Sub-responsabili

L’Accademia concede ad Acatudy un’autorizzazione generale a ricorrere ai sub-responsabili elencati in questo documento. Acatudy comunicherà con almeno 30 giorni di anticipo qualsiasi aggiunta o sostituzione (via email al proprietario o nel pannello) e l’Accademia potrà opporsi per motivi ragionevoli legati alla protezione dei dati; se non si trova una soluzione, potrà annullare l’abbonamento senza penali. Acatudy impone a ogni sub-responsabile obblighi di protezione dei dati equivalenti a quelli del presente accordo e risponde del loro rispetto.

6. Diritti degli interessati e assistenza

La piattaforma consente all’Accademia di accedere, correggere, esportare e cancellare i dati dei suoi studenti. Se un interessato si rivolge direttamente ad Acatudy, lo indirizzeremo all’Accademia o le inoltreremo la richiesta senza rispondere per conto nostro. Acatudy assisterà ragionevolmente l’Accademia nell’adempimento dei suoi obblighi in materia di sicurezza, valutazioni d’impatto e consultazioni preventive (articoli da 32 a 36 del GDPR).

7. Violazioni dei dati

Acatudy notificherà all’Accademia, senza ingiustificato ritardo ed entro 48 ore da quando ne viene a conoscenza, qualsiasi violazione di sicurezza che riguardi i suoi dati, con le informazioni disponibili affinché l’Accademia possa notificarla all’autorità e agli interessati quando necessario.

8. Trasferimenti internazionali

Acatudy è stabilita negli Stati Uniti. Nella misura in cui il trattamento comporti trasferimenti di dati personali soggetti al GDPR dallo Spazio economico europeo verso un paese senza decisione di adeguatezza, le parti incorporano per riferimento le clausole contrattuali tipo della Decisione di esecuzione (UE) 2021/914 della Commissione: il modulo 2 (da titolare a responsabile) tra l’Accademia e Acatudy e il modulo 3 (da responsabile a responsabile) con i sub-responsabili, con la clausola 7 di adesione, l’opzione 2 della clausola 9 (autorizzazione generale), senza la clausola facoltativa 11, e con la legge e i tribunali dell’Irlanda per le clausole 17 e 18. Per il Regno Unito si applica l’International Data Transfer Addendum dell’ICO e, per la Svizzera, le stesse clausole con gli adattamenti richiesti dalla sua legge. Con i sub-responsabili certificati nell’EU-US Data Privacy Framework si può usare anche tale meccanismo. In caso di contrasto, prevalgono le clausole contrattuali tipo.

9. Cessazione dell’accordo: restituzione e cancellazione

Finché l’account è aperto, l’Accademia può esportare i suoi dati dal pannello. Alla chiusura dell’accademia, Acatudy cancella i suoi dati personali; i backup e il cestino dei file vengono sovrascritti entro un massimo di 31 giorni. Si conserva solo ciò che una legge obbliga a conservare e il registro minimo dei certificati emessi descritto nell’informativa sulla privacy.

Fatture: se l’accademia non viene chiusa dal proprietario dal suo pannello (per esempio, se viene chiusa per inattività, mancato pagamento o violazione), Acatudy conserva per 7 anni dalla data di ciascuna fattura i dati delle sue fatture all’Accademia e dei pagamenti degli studenti all’Accademia (importi, imposte, date, descrizione e riferimenti di Stripe, senza nome né email degli studenti), in un archivio separato accessibile solo ad Acatudy, e poi li cancella. Se la chiude il proprietario dal pannello, vengono cancellati anche questi; Stripe conserva la propria copia.

10. Informazioni e audit

Acatudy metterà a disposizione dell’Accademia le informazioni necessarie per dimostrare il rispetto del presente accordo e consentirà audit ragionevoli, svolti dall’Accademia o da un revisore indipendente vincolato alla riservatezza, con un preavviso di 30 giorni, al massimo una volta all’anno salvo violazione o richiesta di un’autorità, e senza accesso ai dati di altri clienti. Si cercherà prima di risolvere con la documentazione e i questionari forniti da Acatudy.

11. Obblighi dell’Accademia

L’Accademia garantisce di avere una base giuridica per i dati che carica, di informare i suoi studenti con la propria informativa sulla privacy e, quando iscrive minori, di ottenere il consenso del genitore o tutore nei casi in cui la legge lo richiede (ad esempio, COPPA per i minori di 13 anni negli Stati Uniti).

12. Leggi statunitensi sulla privacy

Per i dati soggetti al CCPA/CPRA e a leggi statali simili, Acatudy agisce come «service provider» o «processor»: non vende né condivide tali dati, non li conserva, usa o comunica al di fuori del rapporto diretto con l’Accademia né per finalità diverse dalla fornitura del servizio, e non li combina con dati di altre fonti salvo quanto consentito dalla legge. Se l’Accademia è soggetta a FERPA, Acatudy agisce come «school official» con un legittimo interesse educativo, sotto il suo controllo diretto. Acatudy avviserà l’Accademia se non è più in grado di rispettare tali obblighi.

13. Responsabilità e prevalenza

La responsabilità di ciascuna parte è disciplinata dai termini, fatte salve le disposizioni inderogabili della legge applicabile in materia di protezione dei dati. Per quanto riguarda i dati personali, il presente accordo prevale sui termini.

Allegato: misure di sicurezza

• Cifratura delle comunicazioni (HTTPS/TLS) e delle password; file in archiviazione cifrata, serviti tramite link firmati e temporanei.
• Separazione logica dei dati di ogni accademia e controlli di accesso basati sui ruoli.
• Accesso del team di Acatudy limitato al necessario, con verifica in due passaggi obbligatoria e registrazione della sua attività.
• Backup giornalieri fuori dal server e procedure di ripristino testate.
• Protezione perimetrale (WAF e verifica anti-bot), limiti alle richieste e aggiornamenti di sicurezza periodici.

Allegato: sub-responsabili

Contatti

Domande sul presente accordo e sulla protezione dei dati: legal@acatudy.com

Informativa sulla privacy · Termini e condizioni