Contratto di trattamento dei dati

Il presente contratto di trattamento dei dati (« DPA ») fa parte dei Termini e condizioni e dell'Informativa sulla privacy tra le parti e disciplina il trattamento dei dati personali effettuato dal responsabile del trattamento per conto del titolare del trattamento in relazione alla piattaforma Mektebi. È concluso come richiesto dalla legge sulla protezione dei dati personali della Repubblica di Macedonia del Nord (Gazzetta ufficiale della RMN n. 42/2020, e successive modifiche) (la « LPDP »), armonizzata con il Regolamento generale sulla protezione dei dati dell'UE (GDPR). Qualora il titolare del trattamento sia stabilito in Svizzera, si applica invece la variante svizzera del presente DPA.

1. Parti

• Responsabile del trattamento: FETOSOFT DOOEL, Goce Delchev 2/32, 1300 Kumanovo, Macedonia del Nord — support@fetosoft.com
• Titolare del trattamento: la scuola / moschea che accetta il presente DPA, identificata dal suo account sulla piattaforma e dalla persona che lo accetta per suo conto.

Il presente DPA ha effetto dalla data in cui il titolare del trattamento lo accetta sulla piattaforma (registrata elettronicamente).

2. Definizioni

I termini quali « dati personali », « categorie particolari di dati personali », « trattamento », « titolare del trattamento », « responsabile del trattamento », « sub-responsabile del trattamento », « interessato », « violazione dei dati personali » e « autorità di controllo » hanno il significato loro attribuito dalla LPDP. L'« Agenzia » indica l'Agenzia per la protezione dei dati personali della Repubblica di Macedonia del Nord (AZLP), Skopje.

3. Ruoli delle parti

3.1 Il titolare del trattamento determina le finalità e i mezzi del trattamento dei dati personali dei suoi studenti, genitori e insegnanti ed è responsabile della liceità di tale trattamento — incluso qualsiasi consenso richiesto, in particolare il consenso esplicito per i dati di categoria particolare (contesto religioso) e il consenso dei genitori/tutori per i minori ove richiesto dalla legge applicabile al titolare del trattamento.

3.2 Il responsabile del trattamento tratta tali dati personali esclusivamente in base alle istruzioni documentate del titolare del trattamento, come stabilito nel presente DPA e nell'Allegato 1.

3.3 FETOSOFT agisce in qualità di titolare del trattamento autonomo soltanto per i dati limitati di amministrazione degli account, di log di sicurezza e di visitatori del sito descritti nella sua Informativa sulla privacy; tale trattamento esula dall'ambito di applicazione del presente DPA.

4. Oggetto e istruzioni

4.1 La natura, la finalità, i tipi di dati e gli interessati sono descritti nell'Allegato 1.

4.2 Il responsabile del trattamento tratta i dati personali esclusivamente in base alle istruzioni documentate del titolare del trattamento — incluso il funzionamento delle funzionalità della piattaforma così come configurate dal titolare del trattamento — salvo che la legge gli imponga di agire diversamente; in tal caso ne informa preventivamente il titolare del trattamento, a meno che la legge non lo vieti.

4.3 Il responsabile del trattamento informa il titolare del trattamento se, a suo giudizio, un'istruzione viola la LPDP o altra normativa applicabile in materia di protezione dei dati.

4.4 Il responsabile del trattamento non deve utilizzare i dati personali per proprie finalità, non deve venderli né renderli disponibili per finalità commerciali, e non deve utilizzarli per pubblicità, profilazione o analisi. Ciò non riguarda le statistiche proprie del responsabile del trattamento sui visitatori del sito web pubblico (clausola 3.3): Google Analytics è attivo solo sul sito web pubblico, per i visitatori che non hanno effettuato l'accesso e solo con il loro consenso ai cookie, e mai all'interno della piattaforma o delle app.

5. Obblighi del responsabile del trattamento

• Riservatezza — le persone autorizzate a trattare i dati sono vincolate alla riservatezza e li trattano solo su istruzione.
• Sicurezza — misure tecniche e organizzative appropriate come richiesto dalla LPDP, descritte nell'Allegato 2.
• Sub-responsabili del trattamento — solo quelli indicati nell'Allegato 3 o altri autorizzati ai sensi della clausola 6.
• Diritti degli interessati — assistere il titolare del trattamento, per quanto possibile, nel rispondere agli interessati che esercitano i loro diritti ai sensi della LPDP.
• Assistenza — assistere in materia di sicurezza, notifica delle violazioni, valutazioni d'impatto e consultazione preventiva dell'Agenzia, tenendo conto delle informazioni a disposizione del responsabile del trattamento.
• Notifica delle violazioni — notificare al titolare del trattamento senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione dei dati personali, con le informazioni necessarie al titolare del trattamento per adempiere ai propri obblighi di notifica.
• Cancellazione o restituzione — a scelta del titolare del trattamento, cancellare o restituire tutti i dati personali al termine dei servizi e cancellare le copie esistenti, salvo che la legge ne imponga la conservazione.
• Registrazioni e audit — mettere a disposizione le informazioni necessarie a dimostrare la conformità e consentire e contribuire agli audit con ragionevole preavviso, fatta salva la riservatezza.

6. Sub-responsabili del trattamento

6.1 Il titolare del trattamento concede un'autorizzazione generale a ricorrere ai sub-responsabili del trattamento indicati nell'Allegato 3.

6.2 Il responsabile del trattamento impone contrattualmente a ciascun sub-responsabile del trattamento obblighi equivalenti in materia di protezione dei dati e resta pienamente responsabile del suo operato.

6.3 Il responsabile del trattamento dà un preavviso di almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile del trattamento, periodo durante il quale il titolare del trattamento può opporsi per ragionevoli motivi di protezione dei dati; in caso di mancata risoluzione, il titolare del trattamento può recedere dal servizio interessato.

7. Trasferimenti internazionali

7.1 L'applicazione, il database e i file caricati sono ospitati all'interno dello Spazio economico europeo (Allegato 3).

7.2 Il responsabile del trattamento e il suo personale accedono ai dati personali dalla Macedonia del Nord per gestire e supportare la piattaforma. Qualora la legge applicabile al titolare del trattamento consideri la Macedonia del Nord un Paese privo di un livello di protezione adeguato (ad esempio ai sensi del GDPR dell'UE), tale accesso è coperto da garanzie appropriate — le clausole contrattuali tipo dell'UE (Modulo Due, da titolare a responsabile del trattamento) di cui all'Allegato 4, che le parti concludono.

7.3 Alcuni sub-responsabili del trattamento (Allegato 3) trattano dati limitati negli Stati Uniti, nell'ambito del Data Privacy Framework UE–USA ove il destinatario sia certificato, oppure altrimenti in virtù delle clausole di cui all'Allegato 4.

7.4 In caso di conflitto tra il presente DPA e le clausole di cui all'Allegato 4 in merito alla protezione dei dati trasferiti, prevalgono le clausole.

8. Obblighi del titolare del trattamento

Il titolare del trattamento garantisce di disporre di una base giuridica valida ai sensi della legge applicabile per il trattamento che dispone, di aver fornito le informazioni richieste agli interessati e di aver ottenuto qualsiasi consenso necessario (incluso per i dati di categoria particolare e i dati dei minori). È responsabile dell'esattezza dei dati che inserisce e della gestione dei diritti di accesso dei suoi amministratori, insegnanti e genitori.

9. Responsabilità

Ciascuna parte è responsabile dei danni causati da un trattamento che viola la normativa applicabile in materia di protezione dei dati.

10. Durata e cessazione

Il presente DPA resta in vigore per tutto il tempo in cui il responsabile del trattamento tratta dati personali per conto del titolare del trattamento. Le clausole che, per loro natura, devono sopravvivere (riservatezza, cancellazione/restituzione, le clausole di cui all'Allegato 4, responsabilità) sopravvivono alla cessazione.

11. Legge applicabile e foro competente

Il presente DPA è disciplinato dalle leggi della Repubblica di Macedonia del Nord, e i tribunali di Skopje hanno giurisdizione, fatte salve le norme inderogabili in materia di protezione dei dati o di tutela dei consumatori applicabili al titolare del trattamento o agli interessati nel loro Paese di residenza. Le clausole di cui all'Allegato 4 mantengono le proprie disposizioni in materia di legge applicabile e foro per le materie da esse coperte.

12. Accettazione

Il presente DPA è concluso per via elettronica mediante l'accettazione sulla piattaforma da parte di un rappresentante autorizzato del titolare del trattamento; la piattaforma registra la persona che lo accetta, il suo ruolo, la scuola, la versione del documento, nonché la data e l'ora.

---

Allegato 1 — Descrizione del trattamento

• Oggetto: fornitura della piattaforma Mektebi per l'educazione islamica e la gestione scolastica.
• Durata: per tutto il tempo in cui il titolare del trattamento mantiene un account.
• Categorie di interessati: gli studenti del titolare del trattamento (inclusi i minori), i genitori/tutori, gli insegnanti e gli amministratori, altre persone che essi nominano in messaggi o note, nonché altre persone la cui voce si sente in una registrazione.
• Tipi di dati personali: identificazione & contatto (nome, email, telefono, hash della password, lingua); profilo (titolo onorifico/titolo islamico, sesso, data di nascita, livello, collegamenti con il mentore); indirizzo (cifrato); documentazione scolastica (iscrizioni, voti, avanzamento delle lezioni, presenze, rapporti di tutela); contenuti (foto, materiali didattici — testo, immagini, audio); sicurezza (segreti a due fattori).
• Funzioni per le famiglie: segnalazioni di assenza inviate dalle famiglie (date e una nota facoltativa che può indicare un motivo di salute; cifrate, cancellate 12 mesi dopo la fine dell'anno scolastico); dati di consegna degli avvisi (chi ha ricevuto e aperto un avviso della moschea e quale tutore lo ha confermato per quale figlio; cancellati 12 mesi dopo la scadenza dell'avviso).
• Messaggi: chat all'interno della moschea del titolare del trattamento tra i suoi studenti, genitori, insegnanti e amministratori: testo dei messaggi (cifrato), registrazioni vocali, foto, file PDF e link a lezioni, corsi e compiti; stato di lettura; blocchi tra utenti; segnalazioni di messaggi, che vanno agli amministratori del titolare del trattamento e alla casella di moderazione del responsabile del trattamento, che le esamina entro 24 ore. Conservati finché l'autore elimina un messaggio entro 15 minuti, oppure eliminati insieme al corso, alla persona di cui tratta la chat o all'account del titolare del trattamento.
• Motivi di assenza e progressi di apprendimento: il motivo facoltativo indicato in una segnalazione di assenza (malato, famiglia, viaggio o altro); registrazioni delle recitazioni (cosa è stato recitato, il risultato e una nota facoltativa cifrata); osservazioni degli insegnanti e rapporti sui progressi pubblicati (istantanee cifrate), con l'indicazione che un genitore li ha visti; il punto raggiunto nell'audio di una lezione.
• Registrazioni audio delle recitazioni: registrazioni audio facoltative della recitazione di uno studente, effettuate da un insegnante quando annota una recitazione, solo se il titolare del trattamento ha attivato le registrazioni e non per gli studenti che ha escluso; conservate con l'annotazione di quella recitazione; riprodotte solo al personale del titolare del trattamento, allo studente e ai genitori approvati di uno studente sotto i 18 anni (o la cui data di nascita non è registrata), tramite link che scadono dopo cinque minuti; mai pubblicate, mai condivise con altre moschee e non inviate per e-mail né tramite notifica push; non trattate per identificare qualcuno dalla voce e non analizzate automaticamente. Cancellate immediatamente quando il personale del titolare del trattamento rimuove la registrazione o elimina l'annotazione della recitazione, quando lo studente viene rimosso dalla moschea o elimina il proprio account, e insieme all'account del titolare del trattamento.
• Esercizi delle lezioni: le risposte di uno studente agli esercizi delle lezioni, che possono comprendere disegni o scrittura a mano, foto di una pagina del quaderno di esercizi e, alle stesse condizioni delle registrazioni audio delle recitazioni, registrazioni dello studente mentre legge; e una nota vocale facoltativa di un insegnante su un compito corretto. Mostrate alle stesse persone delle registrazioni audio delle recitazioni, tramite link che scadono dopo cinque minuti. I file vengono cancellati quando lo studente viene rimosso dalla moschea o elimina il proprio account, e insieme all'account del titolare del trattamento.
• Seguire uno studente: quale membro del personale del titolare del trattamento segue quale studente, e le notifiche che ne derivano per quel membro del personale (una nota, una recitazione o un'assenza registrate da un'altra persona, oppure un compito consegnato dallo studente). Accessibili solo al personale del titolare del trattamento e limitati alla moschea del titolare del trattamento.
• Dati tecnici: registrazioni di sessione (un hash della chiave di sessione e i momenti di creazione e di ultimo utilizzo; nessun indirizzo IP); il token del link privato del calendario di uno studente o di un genitore; token per le notifiche push.
• Categorie particolari: dati che rivelano la convinzione religiosa (insiti nell'iscrizione a una moschea/un mekteb, nei titoli islamici e nelle registrazioni di uno studente che recita il Corano), trattati sulla base del consenso esplicito fornito dal titolare del trattamento. Comprendono anche dati relativi alla salute quando una segnalazione di assenza indica il motivo «malato» o la sua nota menziona una malattia; questi dati servono solo a permettere al titolare del trattamento di organizzare le lezioni e giustificare le assenze. Le registrazioni audio delle recitazioni e le letture degli esercizi non sono dati biometrici: non sono trattate mediante specifici mezzi tecnici per identificare una persona dalla voce (art. 4 punto 14 GDPR).

Allegato 2 — Misure tecniche e organizzative

• Cifratura in transito (HTTPS/TLS) per tutto il traffico.
• Cifratura a riposo per i dati personali sensibili: indirizzi, numeri di telefono, date di nascita, genere, titoli religiosi, informazioni sui rapporti di tutela, note degli insegnanti, voti e osservazioni su voti e presenze, segreti a due fattori e token di accesso.
• Password memorizzate solo come hash con salt (bcrypt); cookie di sessione cifrati; autenticazione a due fattori opzionale.
• Cifrati a riposo anche: testo dei messaggi delle chat, note delle segnalazioni di assenza, note sulle recitazioni, osservazioni nei rapporti sui progressi e rapporti pubblicati. I file di chat, consegne, avvisi ed esercizi delle lezioni, e le registrazioni audio delle recitazioni, sono forniti solo agli utenti autorizzati, tramite link che scadono dopo cinque minuti. Le sessioni lato server conservano solo un hash della chiave di sessione e terminano con l'uscita dall'account o dopo due settimane di inattività.
• Rigorosa separazione tra tenant — i record di ogni scuola sono segregati e la piattaforma impone tale separazione; una persona che appartiene a più scuole ha un profilo distinto presso ciascuna scuola, e nessuna scuola può vedere i record di un'altra scuola relativi a tale persona. Il suo account di accesso (nome, indirizzo e-mail, foto del profilo e password) è unico e lo gestisce personalmente; nome, indirizzo e-mail e foto del profilo sono visibili a tutte le scuole a cui appartiene, e una scuola non può modificare l'account di accesso di una persona che appartiene anche a un'altra scuola.
• Accesso secondo il principio del privilegio minimo, basato sui ruoli (amministratore / insegnante / genitore / studente).
• Nessuna estrazione né importazione in blocco dei dati personali dei membri è messa a disposizione degli utenti delle scuole — i record sono creati e gestiti singolarmente.
• Nessuna analisi, pubblicità, nessun tracciamento o profilazione all'interno della piattaforma o delle app (Google Analytics è attivo solo sul sito web pubblico, per i visitatori che non hanno effettuato l'accesso e solo con il loro consenso ai cookie), e nessuna vendita o condivisione commerciale di dati personali.
• Hosting all'interno dello Spazio economico europeo; monitoraggio degli errori/dell'operatività; registrazione di sicurezza; backup regolari con conservazione controllata.

Allegato 3 — Sub-responsabili del trattamento approvati

Allegato 4 — Clausole contrattuali tipo

Per i trasferimenti che le richiedono, le parti concludono le clausole contrattuali tipo dell'UE (Modulo Due: da titolare a responsabile del trattamento), decisione di esecuzione (UE) 2021/914 della Commissione. L'appendice delle clausole è compilata a partire dagli Allegati 1–3 di cui sopra.

---

Il presente documento è fornito a fini di trasparenza e non costituisce consulenza legale. Viene esaminato alla luce della legge applicabile vigente prima di farvi affidamento.