Axios Italia Service Srl CIXIOS ww.axiositalia.com info@axiositalia.com DPA — Data Processing Agreement Accordo sul Trattamento dei Dati Personali (ex. art.28 Regolamento UE 2016/679) PREMESSA AXIOS), da oltre 30 anni, sviluppa software per la gestione delle Segreterie Scolastiche nelle Scuole sia nell’utilizzo in locale (client/server) che su web. Obiettivo principale dell'azienda, oltre quello di rendere agevole il lavoro quotidiano dei nostri clienti, è quello di garantire la sicurezza degli applicativi adeguandoli alle normative che si sono susseguite negli anni. la circolare n.3 del 9 aprile 2018 per gli applicativi SaaS. AXIOS, attraverso il presente Accordo, intende informare il TITOLARE in merito alle modalità di trattamento dei dati e alle misure di sicurezza adottate nel rispetto di quanto previsto dal Regolamento UE 2016/679 {di seguito RGPD - Regolamento Generale per la Protezione dei Dati) e delle altre normative vigenti in materia di protezione dei dati personali. DEFINIZIONI Ai fini del presente accordo i termini e le espressioni che seguono dovranno intendersi come di seguito indicato: Y Sono da intendersi valide tutte le definizioni così come indicate nell’art.4 dell’RGPD; Y Si tiene conto anche delle definizioni indicate nell’ALLEGATO “A” (CONDIZIONI DI LICENZA D'USO SOFTWARE AXIOS E RELATIVA ASSISTENZA); Y Per semplicità espositiva, peraltro adottata frequentemente nella dottrina, si definisce “responsabile del trattamento” colui che tratta i dati per conto di un titolare del trattamento mentre si definisce “sub-responsabile” colui che tratta i dati per conto di un responsabile del trattamento. OGGETTO Considerato che tra la AXIOS {di seguito RESPONSABILE) e l’Istituto scolastico {di seguito TITOLARE) rappresentato legalmente dal Dirigente Scolastico {pro tempore) è stipulato, ed è in corso di validità, un Contratto per la fornitura di software gestionale per la segreteria scolastica (programmi client/server per sistemi Microsoft Windows) e servizi gestionali in SaaS (su piattaforma web) per l’attività amministrativa e didattica riguardanti l'elaborazione in locale e on line dei dati di cui l’Istituto scolastico è TITOLARE (inclusi relativi servizi di assistenza tecnica e manutenzione), ai sensi dell’art.28 dell’RGPD, sulla base del presente Accordo AXIOS agirà quale RESPONSABILE del trattamento in relazione alle attività di trattamento dei dati personali conferiti dal TITOLARE ai soli fini dell'esecuzione del Contratto. Il trattamento potrà essere svolto sia in forma automatizzata sia in forma non automatizzata. Pag.1 Axios Italia Service Srl Tel. 06.777.231 Fax 06.777.23.456 www.axiositalia.com Axios Italia Service Srl CIXIOÒ5OS www.axiositalia.com info@axiositalia.com Il presente Accordo intende disciplinare i diritti e gli obblighi spettanti al RESPONSABILE e al TITOLARE relativamente al rispetto della normativa in materia di protezione dei dati personali (Regolamento UE 2016/679, D.lgs. 196/03 come modificato dal D.lgs. 101/18, e altre normative vigenti in materia di protezione dei dati personali). [omissis] TITOLARE garantisce che: vi Dati Personali conferiti al RESPONSABILE sono nella sua piena disponibilità nel rispetto di quanto previsto dall’RGPD e dalla legislazione in materia di protezione delle persone fisiche a riguardo del trattamento dei dati; vi Dati personali conferiti al RESPONSABILE sono esatti e aggiornati. DATI PERSONALI TRATTATI E CATEGORIE DI INTERESSATI Le categorie di dati personali trattati sono: v Credenziali di accesso e log relativi agli accessi e all'utilizzo delle applicazioni; v dati identificativi e anagrafici in generale (es. nome, cognome, e-mail, numeri di telefono, indirizzo IP, etc.); v datidi fatturazione, contabilità e pagamenti; dati ex. art.9 (categorie particolari di dati personali; es. dati relativi allo stato di salute); << dati ex. art.10 (dati personali relativi a condanne penali o a reati o a connesse misure di sicurezza ..)} v datistatistici o altri dati di navigazione in rete. I dati personali raccolti e trattati si riferiscono alle seguenti tipologie di interessati: v_ Alunni Dipendenti SAS Genitori Famigliari Tutori Fornitori (Aziende, Consulenti, etc.) COMUNICAZIONE VIOLAZIONI DELLA SICUREZZA Il TITOLARE comunica senza ingiustificato ritardo al RESPONSABILE, attraverso i canali di comunicazione messi a disposizione da AXIOS (mail, PEC, telefono) eventuali o potenziali violazioni della sicurezza che coinvolgano o meno dati personali. OBBLIGHI DEL RESPONSABILE II RESPONSABILE è tenuto a rispettare tutti i requisiti di legge previsti dagli artt. 28-33 RGPD.A tal fine, il RESPONSABILE garantisce quanto segue: NOMINA DI UN RESPONSABILE PER LA PROTEZIONE DEI DATI PERSONALI (RPD/DPO) AXIOS ha nominato un Responsabile per la protezione dei dati. L'attuale DPO è il [omissis] indirizzo mail: dpo@axiositalia.com . Il RESPONSABILE segnalerà al TITOLARE senza indebito ritardo ogni cambio di DPO. RISERVATEZZA Pag.2 Le attività di trattamento regolate da questo Accordo saranno svolte solo da dipendenti, collaboratori o Axios Italia Service Srl Tel. 06.777.231 Fax 06.777.23.456 www.axiositalia.com Axios Italia Service Srl CIXIOS w.axiositalia.com nfo@axiositalia.com incaricati previamente istruiti dal RESPONSABILE sul corretto trattamento di dati personali e contrattualmente soggetti ad obbligo di riservatezza ai sensi degli artt. 28 par. 3 {b) e 32 RGPD. Il RESPONSABILE, così come chiunque agisca sotto la sua autorità ed ha abbia accesso a dati personali, non tratterà dati personali se non istruito in tal senso dal TITOLARE, anche a mezzo del presente Accordo, salvo che per espressa previsione di legge (art. 29 RGPD). [omissis] RESPONSABILE garantisce la sicurezza del trattamento ai sensi degli artt. 28 par. 3 punto c) e 32 RGPD, in particolare ai sensi dell'art. 5 par. 1 e par. 2 RGPD. Tali misure devono garantire la sicurezza dei dati ed un livello di protezione adeguato al rischio per la confidenzialità, integrità, disponibilità e resilienza dei sistemi. Ai sensi dell'art. 32 par. 1 RGPD, nel valutare il livello di adeguatezza delle misure di sicurezza deve tenersi conto dello stato dell'arte, i costi di realizzazione, la natura, l'oggetto e gli scopi del trattamento, così come la probabilità di una violazione di dati personali e la gravità dei rischi da essa potenzialmente derivanti per i diritti e le libertà delle persone fisiche. Il RESPONSABILE controlla periodicamente i processi interni e le misure tecniche e organizzative per assicurare che il trattamento nella sua area di competenza sia conforme ai requisiti della normativa sulla protezione dei dati personali e dei diritti degli interessati, ai sensi di quanto specificato dall'art. 32 RGPD. Il RESPONSABILE garantisce al TITOLARE la verificabilità delle misure tecniche e organizzative nell'ambito dei suoi poteri di controllo. ASSISTENZA AL TITOLARE Il RESPONSABILE assiste il TITOLARE nell'adempimento degli obblighi relativi alla sicurezza dei dati personali, nella segnalazione di violazioni dei dati, nelle valutazioni d'impatto sulla protezione dei dati e nelle consultazioni preventive di cui agli articoli da 32 a 36 RGPD, tra l'altro garantendo adeguati standard di protezione mediante misure tecniche e organizzative, tenendo conto della natura, delle circostanze e delle finalità del trattamento, della probabilità di violazioni dei dati e della gravità del rischio per le persone fisiche che ne può derivare garantendo l'immediata individuazione delle violazioni e assistendo il TITOLARE nell'evadere le richieste degli interessati di esercizio dei loro diritti. VIOLAZIONI DELLA SICUREZZA Ai sensi dell’art. 33 par.2, in caso di violazione dei dati personali, “il RESPONSABILE del trattamento informa il TITOLARE del trattamento senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione”, inviando una comunicazione con il seguente contenuto: la data e l’ora in cui si è verificata la violazione; una descrizione del tipo di violazione e di come è stata identificata;