Accordo sul trattamento dei dati (DPA)

Il presente Accordo ("DPA") è concluso tra l'Ente Partner registrato sulla Piattaforma, in qualità di titolare del trattamento ("Titolare"), e ZEROLAB S.R.L., sede legale Via Davide Galdi n. 62/64, 84129 Salerno (SA), C.F. e P. IVA 06350780653, in qualità di responsabile del trattamento ("Responsabile"), ai sensi dell'art. 28 del Regolamento (UE) 2016/679 ("GDPR"). È l'accordo previsto dall'art. 12.3 dei Termini e Condizioni di FormaChiara, di cui forma parte integrante.

1. Oggetto, natura, finalità e durata

Il Responsabile tratta dati personali per mettere a disposizione, mantenere, proteggere e assistere la piattaforma FormaChiara e le funzioni acquistate dal Titolare, incluse gestione di utenti e corsi, registrazione di presenze, generazione di registri e attestati, archiviazione, backup, esportazione e assistenza. Il trattamento dura per il Contratto e per il successivo periodo necessario a esportazione, restituzione e cancellazione.

2. Interessati e categorie di dati

Gli interessati possono includere corsisti, docenti, tutor, dipendenti e collaboratori del Titolare. Le categorie di dati possono includere dati anagrafici e di contatto, dati di iscrizione, presenze, risultati delle prove, attestati, log tecnici e di sicurezza. Dati particolari, giudiziari o di minori sono trattati soltanto se espressamente autorizzati e strettamente necessari.

3. Istruzioni documentate

Il Responsabile tratta i dati soltanto su istruzione documentata del Titolare. Costituiscono istruzioni il Contratto, il presente DPA, l'Ordine e le configurazioni effettuate dagli amministratori autorizzati. Se il Responsabile ritiene che un'istruzione violi il GDPR, ne informa senza ritardo il Titolare.

4. Persone autorizzate e riservatezza

Il Responsabile consente l'accesso soltanto a persone che ne abbiano necessità per le mansioni assegnate, autorizzate, istruite e vincolate da obblighi di riservatezza.

5. Misure tecniche e organizzative

Il Responsabile adotta misure adeguate ai rischi ai sensi dell'art. 32 GDPR, descritte nella pagina Sicurezza.

6. Sub-responsabili

Il Titolare concede un'autorizzazione generale all'impiego dei sub-responsabili elencati nella pagina Sub-responsabili. ZEROLAB informa il Titolare di nuovi sub-responsabili o sostituzioni con ragionevole anticipo, salvo urgenze di sicurezza.

7. Trasferimenti internazionali

Il database e l'archivio dei file (contenuti dei corsi, registri, attestati) sono ospitati nell'Unione Europea (Francoforte). Alcuni sub-responsabili hanno però sede o operano tramite server fuori dallo Spazio economico europeo, in particolare negli Stati Uniti: l'hosting dell'applicazione web (Vercel Inc.) e, per i soli dati del pagamento, il gateway Stripe. Il Titolare autorizza questi trasferimenti, che avvengono ai sensi del Capo V del GDPR sulla base della decisione di adeguatezza EU-US Data Privacy Framework (art. 45) o delle Clausole Contrattuali Standard della Commissione Europea (art. 46, par. 2, lett. c). Il dettaglio per fornitore è nella pagina Sub-responsabili.

8. Violazioni dei dati personali

Il Responsabile informa il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione dei dati personali che riguardi dati trattati per suo conto, indicando natura, categorie di interessati coinvolti, conseguenze probabili e misure adottate.

9. Conservazione, restituzione e cancellazione

Alla cessazione del rapporto, il Titolare può chiedere l'esportazione dei propri dati e di quelli dei propri corsisti entro 30 (trenta) giorni (art. 13.4 dei Termini e Condizioni); decorso il termine, il Responsabile cancella i dati non soggetti a obblighi di conservazione. Attestati, registri e tracciati di fruizione restano conservati per dieci anni dalla fine di ciascun corso (Accordo Stato-Regioni del 17 aprile 2025, Parte I, punto 7), a disposizione del Titolare per le ispezioni, salvo che il Titolare ne assuma la conservazione in proprio con accordo scritto.

10. Audit

Il Titolare può effettuare o far effettuare un audit, non più di una volta l'anno salvo incidente, con preavviso ragionevole, durante l'orario di lavoro e senza compromettere sicurezza o dati di altri clienti.

11. Accettazione

Il DPA è accettato dal rappresentante legale dell'Ente Partner, insieme ai Termini e Condizioni, prima dell'inizio del trattamento; ZEROLAB S.R.L. ne conserva copia con versione e data. Le modifiche al DPA sono comunicate all'Ente Partner e pubblicate su questa pagina con la nuova data di aggiornamento.