Nomina a responsabile del trattamento

Art. 28 Regolamento (UE) 2016/679 · Gestionale per scuole nautiche · Edizioni Alare. Versione 1.0, in vigore dal 16 settembre 2026

Questo documento è l'accordo previsto dall'art. 28, paragrafo 3, del Regolamento (UE) 2016/679 ("GDPR") fra la scuola nautica che usa il gestionale e Edizioni Alare. È parte integrante dei Termini di servizio.

1. Le parti e come si accetta

Titolare del trattamento: la scuola nautica cliente, con i dati indicati nella richiesta di accesso e in Impostazioni del gestionale.

Responsabile del trattamento: Edizioni Alare di Davide Schiavato, Caorle (VE), Italia — P.IVA P.IVA da inserire — contatto per la protezione dei dati: [email protected]. Non è nominato un Responsabile della protezione dei dati (DPO): non ricorrono i casi dell'art. 37 GDPR.

La nomina si perfeziona con l'attivazione dell'accesso: la scuola dichiara di averla letta e accettata quando invia la richiesta di accesso dal sito e quando entra nel gestionale. Su richiesta, Edizioni Alare consegna copia sottoscritta di questo accordo.

2. Oggetto, natura e finalità del trattamento

Edizioni Alare tratta i dati personali per conto della scuola al solo scopo di fornire il gestionale e i servizi collegati: iscrizioni e segreteria, checklist dei documenti, pratiche verso l'ufficio esami e relative stampe, calendario di lezioni e uscite in mare con le prenotazioni, pagamenti e prima nota, comunicazioni verso allievi e istruttori (email e promemoria), app dell'allievo collegata alla scuola, sessioni di domande in aula, pagina pubblica della scuola, assistenza tecnica, sicurezza e continuità del servizio.

Le operazioni comprendono raccolta, registrazione, organizzazione, conservazione, consultazione, estrazione, uso, comunicazione ai soli destinatari indicati dalla scuola, esportazione, limitazione, cancellazione. Non c'è profilazione, non c'è decisione automatizzata con effetti giuridici sull'interessato, non c'è uso dei dati per finalità proprie di Edizioni Alare, né cessione o vendita a terzi, né pubblicità.

3. Durata

Il trattamento dura quanto il contratto di servizio e termina con esso, salvo quanto previsto al punto 11 per la restituzione e la cancellazione.

4. Categorie di interessati e tipi di dati

Interessati	Dati trattati
Allievi (iscritti e in sola anagrafica)	Nome e cognome, sesso, data e luogo di nascita, cittadinanza, codice fiscale, residenza e recapiti (telefono, email); tipo, numero, ente e data di rilascio del documento d'identità; tipo di patente e abilitazione richiesta, corso, numero di registro, stato della pratica, numero di protocollo della domanda, date e esiti degli esami, numero e data della patente; checklist dei documenti come spunte con data (certificato medico, dichiarazione anamnestica, foto, PagoPA, bollo, documento d'identità, codice fiscale, casellario, delega, informativa privacy firmata, consenso di chi esercita la responsabilità genitoriale, autorizzazione alle esercitazioni, ritiro della patente); presenze alle lezioni, prenotazioni e presenze alle uscite in mare, crediti e rimborsi; pagamenti, importi, causali e ricevute; compiti assegnati e svolti; risposte date nelle sessioni di domande in aula; note della segreteria.
Allievi minorenni e chi esercita la responsabilità genitoriale	Gli stessi dati dell'allievo, più nome, telefono e qualità (madre, padre, tutore) di chi esercita la responsabilità genitoriale e la data del consenso raccolto dalla scuola. I solleciti e le comunicazioni amministrative vanno a quei recapiti.
Istruttori e personale della scuola	Nome, email, telefono, ruolo, sede, credenziali di accesso (password conservata solo come hash), disponibilità e assegnazione a lezioni e uscite, giornale delle attività svolte nel gestionale.
Potenziali iscritti (pagina pubblica, telefonate, passaparola)	Nome, telefono, email, corso d'interesse, note, data del prossimo contatto, esito.

Nessun documento viene caricato nel gestionale. Certificato medico, dichiarazione anamnestica, documento d'identità e ricevute esistono nel sistema solo come spunta con la data: non sono presenti referti, diagnosi o altri documenti sanitari. La data della visita medica, presa da sola, è un dato relativo alla salute (art. 9 GDPR) e per questo è trattata con le stesse cautele degli altri dati della pratica; gli originali restano nel fascicolo della scuola.

5. Istruzioni documentate del titolare

Edizioni Alare tratta i dati soltanto su istruzione documentata della scuola. Costituiscono istruzioni: questo accordo, i Termini di servizio, la documentazione del prodotto e le operazioni che la scuola compie dentro il gestionale (creare un allievo, inviare una comunicazione, esportare, cancellare). Istruzioni ulteriori si danno per iscritto a [email protected]; se comportano una modifica del prodotto, le parti ne concordano prima fattibilità e costi.

Edizioni Alare informa immediatamente la scuola se ritiene che un'istruzione violi il GDPR o altre norme sulla protezione dei dati, e può sospenderne l'esecuzione fino a chiarimento. Tratta i dati fuori dalle istruzioni solo se un obbligo di legge glielo impone, e in quel caso informa la scuola prima del trattamento, salvo che la legge lo vieti.

6. Riservatezza

Le persone autorizzate al trattamento sono individuate per iscritto, istruite e tenute alla riservatezza. L'accesso ai dati di una scuola è limitato a chi ne ha effettivo bisogno per l'assistenza o per la manutenzione del servizio, ed è tracciato nel giornale delle attività.

7. Misure di sicurezza (art. 32)

Separazione fra scuole: ogni dato appartiene a una sola scuola e ogni richiesta al server è filtrata sull'identificativo della scuola della sessione; nessun account può leggere i dati di un'altra scuola.
Trasporto cifrato (HTTPS/TLS) su tutte le connessioni, con certificati gestiti dal fornitore di infrastruttura.
Credenziali: le password sono conservate solo come hash con funzione lenta e sale (PBKDF2), mai in chiaro; le sessioni sono token a scadenza, revocabili, conservati come hash; l'accesso alla console di piattaforma richiede un codice a sei cifre inviato per email e una sessione di durata limitata.
Limiti di frequenza sulle richieste di accesso e sui moduli pubblici, contro i tentativi ripetuti e gli abusi automatici.
Giornale delle attività (audit log) delle operazioni rilevanti: chi, che cosa, quando, su quale record, compresi gli accessi di assistenza.
Minimizzazione: i documenti non si caricano (solo spunte con data); il proiettore dell'aula non mostra mai nomi; le esportazioni complete richiedono una sessione autenticata.
Continuità: ripristino del database a un istante precedente entro gli ultimi 30 giorni (Cloudflare D1 Time Travel) e copie periodiche a cura di Edizioni Alare; possibilità per la scuola di esportare i propri dati in qualsiasi momento.
Aggiornamento: le misure sono riviste quando cambiano il prodotto o i rischi; Edizioni Alare può sostituirle con misure di efficacia almeno equivalente.

8. Sub-responsabili

La scuola autorizza in via generale Edizioni Alare a servirsi dei sub-responsabili qui elencati, ciascuno vincolato da obblighi di protezione dei dati non meno rigorosi di quelli di questo accordo:

Sub-responsabile	Attività	Dove
Cloudflare	Infrastruttura del servizio: esecuzione dell'applicazione (Workers), database (D1) e archivio chiave-valore per token tecnici e cache (KV), rete e protezione dagli abusi.	Database creato con giurisdizione europea: risiede e viene elaborato solo nell'Unione Europea.
Zoho	Invio delle email del gestionale: credenziali, promemoria, solleciti, avvisi alla scuola, codici di accesso.	Datacenter europeo (`zoho.eu`).

Non ci sono altri fornitori terzi: nessuno strumento di analisi statistica, nessuna pubblicità, nessun tracciamento, nessun servizio di terze parti caricato dalle pagine del gestionale.

Se Edizioni Alare intende aggiungere o sostituire un sub-responsabile, lo comunica alla scuola per email con almeno 30 giorni di anticipo. La scuola può opporsi per iscritto entro quel termine per motivi ragionevoli legati alla protezione dei dati; se le parti non trovano una soluzione, la scuola può recedere dal contratto senza costi. Edizioni Alare resta pienamente responsabile dell'operato dei propri sub-responsabili.

9. Trasferimenti fuori dall'Unione Europea

Il trattamento avviene nell'Unione Europea. Il database ha giurisdizione europea e la posta è inviata dal datacenter europeo del fornitore. Non è previsto alcun trasferimento dei dati della scuola verso paesi terzi. Se in futuro ne servisse uno, avverrebbe solo con una delle basi previste dal Capo V del GDPR (decisione di adeguatezza o clausole contrattuali standard, con valutazione dell'impatto del trasferimento) e verrebbe comunicato alla scuola in anticipo con le modalità del punto 8.

10. Assistenza al titolare

Tenuto conto della natura del trattamento e delle informazioni a sua disposizione, Edizioni Alare assiste la scuola:

Diritti degli interessati (artt. 15-22): il gestionale consente alla scuola di consultare, correggere, esportare e cancellare i dati di un allievo da sé. Se una richiesta arriva direttamente a Edizioni Alare, questa non risponde nel merito e la gira alla scuola senza ritardo, fornendo su richiesta il supporto tecnico necessario.
Sicurezza, valutazione d'impatto e consultazione preventiva (artt. 32-36): fornendo le informazioni sul trattamento e sulle misure adottate che la scuola non può ricavare da sé.
Violazioni dei dati personali (artt. 33-34): Edizioni Alare informa la scuola senza ingiustificato ritardo e comunque entro 48 ore da quando viene a conoscenza di una violazione che riguarda i dati della scuola, indicando natura dell'evento, categorie e numero approssimativo di interessati e di record coinvolti, conseguenze probabili e misure adottate o proposte. La notifica al Garante e agli interessati resta della scuola, in quanto titolare.

11. Fine del rapporto: restituzione e cancellazione

Alla cessazione del contratto la scuola sceglie, entro 30 giorni, se avere i dati restituiti in un'esportazione completa in formato leggibile da una macchina oppure se farli cancellare senza altra formalità. In mancanza di indicazione, Edizioni Alare mette a disposizione l'esportazione per 30 giorni e poi cancella.

La cancellazione riguarda le copie di lavoro entro 30 giorni dalla richiesta; le copie contenute nei meccanismi di ripristino del database si esauriscono da sé nella loro finestra di 30 giorni. Restano conservate le sole informazioni che un obbligo di legge impone di conservare (per esempio i documenti fiscali relativi al contratto), per il tempo previsto e senza altro uso.

Cancellazione dell'account da parte dell'allievo: se un allievo cancella il proprio account dall'app, Edizioni Alare elimina i dati di cui è titolare (accesso, progressi di studio, eventi d'uso, sessioni) e pseudonimizza l'utenza; la scheda anagrafica e la pratica presso la scuola non vengono toccate, perché sono dati della scuola, e restano sotto il suo controllo e i suoi obblighi di conservazione. La scuola può cancellarli quando decide di farlo.

12. Informazioni e audit

Edizioni Alare mette a disposizione della scuola tutte le informazioni necessarie a dimostrare il rispetto dell'art. 28 e consente verifiche, comprese le ispezioni, svolte dalla scuola o da un soggetto da essa incaricato che non sia un concorrente. La richiesta si manda a [email protected] con almeno 30 giorni di preavviso; la verifica si svolge in orario lavorativo, senza interferire con il servizio, non più di una volta l'anno salvo violazione dei dati o richiesta dell'autorità, e nel rispetto della riservatezza delle altre scuole. Una prima risposta consiste di norma nelle informazioni documentali su architettura, misure di sicurezza e sub-responsabili.

13. Responsabilità e modifiche

Ciascuna parte risponde delle proprie violazioni degli obblighi che il GDPR pone a suo carico. La scuola garantisce di aver raccolto le informative e i consensi necessari e che i dati inseriti sono trattati su una base giuridica valida. Per il resto valgono i limiti di responsabilità previsti dai Termini di servizio, che non si applicano alle sanzioni e ai risarcimenti che la legge riferisce direttamente al responsabile del trattamento.

Questo accordo può essere aggiornato per adeguarlo alla normativa o all'evoluzione del prodotto, con le stesse modalità e gli stessi preavvisi previsti per i Termini di servizio. La versione in vigore è quella pubblicata a questo indirizzo.