Accordo sul trattamento dei dati (DPA)

Questo accordo, ai sensi dell'art. 28 del Regolamento (UE) 2016/679 ("GDPR"), è parte integrante dei Termini di servizio di instradApp e si applica automaticamente a ogni cliente che utilizza il servizio per trattare dati personali di terzi (in particolare, i dati degli alunni).

1. Le parti e i ruoli

• Titolare del trattamento: il cliente — l'autoscuola o l'istruttore che utilizza instradApp e inserisce nel servizio i dati dei propri alunni (di seguito "il Titolare").
• Responsabile del trattamento: OWL CAVE LABS di Giacomo Antolini, Via Canelli 4, San Biagio, 44016 Argenta (FE) — P. IVA 01686240381 (di seguito "il Responsabile").

Il Titolare decide quali dati degli alunni inserire e per quali finalità; il Responsabile li tratta esclusivamente per fornire il servizio, secondo le istruzioni del presente accordo.

2. Oggetto, natura e finalità del trattamento

Il trattamento consiste nella raccolta, archiviazione, organizzazione, consultazione e cancellazione dei dati inseriti dal Titolare nell'app, al solo scopo di erogare le funzionalità di instradApp: gestione degli alunni, registrazione delle esercitazioni di guida, valutazioni e monitoraggio dei progressi.

3. Tipologie di dati e categorie di interessati

• Interessati: alunni dell'autoscuola (anche minorenni, ove ammessi alle esercitazioni di guida ai sensi di legge).
• Dati trattati: dati anagrafici (nome, cognome), fotografie (facoltative), valutazioni didattiche, storico delle esercitazioni e dei luoghi di esercitazione.
• Il servizio non è destinato a categorie particolari di dati (art. 9 GDPR); il Titolare si impegna a non inserirne.

4. Durata

L'accordo è efficace per tutta la durata di utilizzo del servizio da parte del Titolare e cessa con l'eliminazione dell'account o dei dati.

5. Obblighi del Responsabile

Il Responsabile:

• tratta i dati solo per erogare il servizio e su istruzione documentata del Titolare, costituita dal presente accordo e dall'uso delle funzionalità dell'app;
• garantisce che le persone autorizzate al trattamento siano impegnate alla riservatezza;
• adotta le misure di sicurezza di cui all'art. 32 GDPR descritte al punto 7;
• assiste il Titolare, per quanto ragionevolmente possibile, nel dare seguito alle richieste degli interessati (accesso, rettifica, cancellazione, portabilità) e negli obblighi di cui agli artt. 32–36 GDPR;
• notifica al Titolare senza ingiustificato ritardo le violazioni di dati personali (data breach) di cui venga a conoscenza;
• al termine del servizio, cancella i dati personali trattati per conto del Titolare (l'eliminazione dell'account dall'app — Menu → Account → Elimina account — cancella integralmente alunni, valutazioni e immagini), salvo obblighi di legge che ne richiedano la conservazione;
• mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto del presente accordo e consente ragionevoli attività di verifica, previo accordo sulle modalità.

6. Obblighi del Titolare

Il Titolare:

• garantisce di disporre di una idonea base giuridica per il trattamento dei dati degli alunni inseriti nel servizio (tipicamente, il rapporto contrattuale di iscrizione all'autoscuola);
• fornisce agli alunni l'informativa sul trattamento dei loro dati, indicando anche l'utilizzo di instradApp quale strumento/responsabile del trattamento;
• inserisce solo i dati pertinenti e necessari alle finalità didattiche e li mantiene aggiornati;
• gestisce le richieste degli interessati relative ai dati di cui è Titolare, utilizzando gli strumenti dell'app (modifica, archiviazione, cancellazione alunno) e, ove non sufficienti, il contatto di cui al punto 10.

7. Misure di sicurezza

• Autenticazione degli accessi tramite Firebase Authentication;
• regole di autorizzazione lato server (Firestore Security Rules) che limitano l'accesso ai dati al solo titolare della scuola, ai suoi istruttori e all'alunno eventualmente collegato;
• comunicazioni cifrate in transito (HTTPS/TLS);
• archiviazione su infrastruttura Google Cloud/Firebase con cifratura a riposo;
• separazione degli ambienti di sviluppo e produzione.

8. Sub-responsabili

Il Titolare autorizza in via generale il ricorso ai seguenti sub-responsabili:

• Google Ireland Limited / Google LLC (Firebase: Authentication, Cloud Firestore, Cloud Storage, Cloud Functions) — hosting e archiviazione dei dati. Google agisce sulla base dei propri Data Processing Terms.

Il Responsabile informerà il Titolare (su questa pagina e, per gli abbonati, via email) di eventuali modifiche all'elenco, dando la possibilità di opporsi; in caso di opposizione il Titolare può recedere dal servizio.

9. Trasferimenti extra-UE

I dati sono archiviati sui server di Google, che possono trovarsi nell'Unione Europea o in altre regioni. Gli eventuali trasferimenti extra-UE avvengono sulla base delle clausole contrattuali standard (SCC) adottate da Google e delle garanzie di cui al capo V del GDPR.

10. Contatti

Per ogni comunicazione relativa al presente accordo: assistenza@instrad.app