ai sensi dell'art. 28 del Regolamento UE 679/2016 (GDPR)

Identificazione del Titolare del Trattamento

Il soggetto cliente, in qualità di Titolare del trattamento dei dati personali.

Identificazione del Responsabile del Trattamento

Il Responsabile del trattamento dei dati personali è:

• Ragione Sociale
  • Goodlearning S.r.l.
• Iscrizione C.C.I.A.A.
  • CCIAA Brescia BS - 547321
• Indirizzo Sede Legale
  • Vicolo Ungaretti 13B – 25080 Mazzano (BS)
• Codice Fiscale / P.IVA
  • IT03593630985

Premesse

Visto il contratto di fornitura di servizio stipulato tra il Titolare e il Responsabile (Goodlearning S.r.l.), del quale il presente atto costituisce parte integrante, e considerato che:

• il contratto prevede la possibilità per il Responsabile di trattare informazioni e dati, anche di natura personale, riconducibili a terzi (ad esempio gli iscritti alla piattaforma gestiti per conto del Titolare);
• tale modalità si configura come «trattamento per conto del titolare», disciplinata dall'art. 28 del GDPR;
• i dati sono messi a disposizione dal Titolare al Responsabile in forma intelligibile e, una volta ricevuti, restano conservati sui sistemi informatici del Responsabile;

le Parti concordano quanto segue.

Art. 1 – Trattamenti effettuati dal Responsabile

Al fine di espletare i compiti previsti dal contratto, il Responsabile effettuerà i seguenti trattamenti:

• Tipologia di dati trattati: dati di contatto ed e-mail; dati anagrafici; dati di connessione (indirizzo IP, login); immagini e audio derivanti dalla condivisione webcam; contenuti generici inseriti dall'utente in chat.
• Interessati: utenti iscritti alla piattaforma per conto del Titolare.
• Operazioni di trattamento: raccolta, registrazione, conservazione, estrazione, consultazione, uso, comunicazione mediante trasmissione, cancellazione.

Art. 2 – Termini relativi al Trattamento dei Dati

2.1  Nel corso della fornitura del servizio, il Responsabile tratta i dati personali esclusivamente per conto del Titolare e secondo i termini del presente atto.

2.2  Il Responsabile otterrà e manterrà tutte le licenze, autorizzazioni e permessi necessari per il trattamento dei dati personali, ove richiesti dalla normativa applicabile.

2.3  Il Responsabile adotterà e manterrà aggiornate le misure tecniche e organizzative necessarie per soddisfare i requisiti del presente atto.

2.4  Il Responsabile si impegna a trattare i dati conformemente alle istruzioni documentate del Titolare, riportate nell'Allegato A (Atto per la disciplina del Responsabile del trattamento ai sensi dell'art. 28 GDPR).

Art. 3 – Comunicazione dei Dati

Il Responsabile tratta i dati personali del Titolare esclusivamente ai fini dell'esecuzione dell'incarico contrattuale. Non è consentito trattare, trasferire, modificare o divulgare tali dati a terzi, salvo espresse istruzioni documentate del Titolare o obbligo di legge dell'Unione o dello Stato Membro. In quest'ultimo caso, il Responsabile ne informa preventivamente il Titolare, nei limiti consentiti dalla legge, e adotta ogni misura utile a minimizzare l'ambito della divulgazione.

Art. 4 – Affidabilità e Riservatezza

4.1  Il Responsabile adotta misure ragionevoli per garantire l'affidabilità di chiunque abbia accesso ai dati personali trattati per conto del Titolare.

4.2  Il Responsabile garantisce che tutti i soggetti autorizzati ad accedere ai dati:

• siano informati della natura riservata dei dati e degli obblighi derivanti dal presente atto;
• siano vincolati da impegni di riservatezza o da obblighi professionali o normativi equivalenti;
• accedano ai dati esclusivamente mediante procedure di autenticazione e controllo degli accessi conformi al contratto e alla normativa applicabile.

Art. 5 – Sicurezza del Trattamento

5.1  Tenendo conto dello stato dell'arte, dei costi di attuazione, della natura e delle finalità del trattamento, nonché dei rischi per i diritti e le libertà degli interessati, il Responsabile mette in atto misure tecniche e organizzative adeguate, tra cui:

• pseudonimizzazione e cifratura dei dati personali;
• garanzia permanente di riservatezza, integrità, disponibilità e resilienza dei sistemi;
• capacità di ripristino tempestivo dell'accesso ai dati in caso di incidente fisico o tecnico;
• procedura periodica di test, verifica e valutazione dell'efficacia delle misure di sicurezza.

5.2  Nella valutazione dell'adeguato livello di sicurezza, il Responsabile considera in particolare i rischi derivanti dalla distruzione, perdita, modifica o divulgazione non autorizzata, anche accidentale, di dati personali (cfr. Risk Analysis, Allegato B).

Art. 6 – Catena di Responsabilità

Il Responsabile rimane l'unico soggetto responsabile del trattamento senza possibilità di coinvolgere ulteriori sub-responsabili, salvo consenso scritto del Titolare. Eventuali comunicazioni di dati a terzi sono consentite solo previa autorizzazione scritta del Titolare.

Art. 7 – Diritti degli Interessati

7.1  Il Responsabile assiste il Titolare, ove tecnicamente possibile, nell'adempimento degli obblighi di risposta alle richieste degli interessati ai sensi del GDPR (cfr. Allegato B – Misure Tecniche).

7.2  Il Responsabile informa tempestivamente il Titolare di qualsiasi richiesta ricevuta da un interessato, dall'Autorità di controllo o da altra autorità competente in materia di protezione dei dati.

7.3  Il Responsabile coopera con il Titolare per:

• fornire tutte le informazioni e i dati richiesti entro i termini indicati dal Titolare, comprese copie complete dei reclami o delle richieste ricevute;
• assistere il Titolare nel rispetto dei termini prescritti dalla legge per l'evasione delle richieste;
• implementare le ulteriori misure tecniche e organizzative ragionevolmente necessarie per rispondere in modo efficace a reclami o richieste pertinenti.

Art. 8 – Violazione dei Dati Personali

8.1  Il Responsabile notifica al Titolare qualsiasi violazione dei dati personali (data breach) senza ingiustificato ritardo e, comunque, entro 24 ore dalla conoscenza o dal ragionevole sospetto dell'evento. La notifica include almeno:

• la natura della violazione, le categorie e il numero approssimativo degli interessati coinvolti, nonché le tipologie e il numero di registrazioni di dati colpite;
• il nome e i recapiti del Responsabile della Protezione dei Dati o del contatto di riferimento;
• le probabili conseguenze della violazione e il rischio stimato per gli interessati;
• le misure adottate o proposte per porre rimedio alla violazione e attenuarne gli effetti.

8.2  Il Responsabile coopera con il Titolare nelle indagini, nella mitigazione e nella risoluzione del data breach.

8.3  Salvo obbligo di legge, il Responsabile non comunica la violazione a terzi senza il preventivo consenso scritto del Titolare. In caso di obbligo legale, il Responsabile ne informa il Titolare, condivide la bozza della notifica e tiene conto delle osservazioni del Titolare prima di procedere.

Art. 9 – Valutazione d'Impatto e Consultazione Preventiva

Il Responsabile fornisce assistenza ragionevole al Titolare per lo svolgimento delle valutazioni d'impatto sulla protezione dei dati (DPIA) ai sensi dell'art. 35 GDPR e per le consultazioni preventive con l'Autorità di controllo ai sensi dell'art. 36 GDPR, limitatamente ai trattamenti effettuati per conto del Titolare (cfr. Allegato B).

Art. 10 – Cancellazione o Restituzione dei Dati

10.1  Al termine del trattamento, il Responsabile:

• mette a disposizione degli incaricati del Titolare, tramite la propria piattaforma, copia completa di tutti i dati, con possibilità di download integrale;
• cancella in modo sicuro, entro i termini contrattuali, tutte le copie dei dati personali trattati;
• ove la cancellazione definitiva sia tecnicamente impossibile, adotta misure equivalenti ai sensi dell'art. 32 GDPR, quali pseudonimizzazione e cifratura.

10.2  Il Responsabile può conservare i dati oltre il termine contrattuale solo nei casi e per il periodo strettamente necessario a ottemperare a obblighi di legge dell'Unione o degli Stati Membri, garantendo in ogni caso la massima riservatezza e il divieto di qualsiasi ulteriore utilizzo.

Art. 11 – Diritti di Audit

Su richiesta del Titolare, il Responsabile mette a disposizione tutte le informazioni necessarie a dimostrare il rispetto degli obblighi del presente atto e fornisce evidenza documentale della conformità.

Art. 12 – Trasferimento dei Dati verso Paesi Terzi

Il Responsabile non tratta i dati del Titolare in Paesi terzi né consente a eventuali sub-responsabili di farlo, salvo previa autorizzazione scritta del Titolare e nel rispetto delle garanzie previste dal GDPR.

Art. 13 – Codici di Condotta e Certificazioni

Su richiesta del Titolare, il Responsabile valuta l'adesione a codici di condotta approvati ai sensi dell'art. 40 GDPR e/o il conseguimento di certificazioni ai sensi dell'art. 42 GDPR, in relazione ai trattamenti svolti per conto del Titolare.

Art. 14 – Condizioni Generali

14.1  Il presente atto cessa automaticamente al momento della risoluzione, scadenza o cessazione del contratto di servizio tra le Parti.

14.2  Gli obblighi imposti al Responsabile in materia di protezione dei dati personali sopravvivono alla risoluzione o alla scadenza del presente atto.

14.3  Il presente atto è disciplinato dalle disposizioni di legge richiamate nel contratto di servizio, per il tempo in cui tali disposizioni siano applicabili nell'Unione Europea.

14.4  Qualsiasi violazione del presente atto costituisce violazione sostanziale del contratto di servizio.

14.5  Qualora una disposizione del presente atto risultasse invalida o inapplicabile, le restanti disposizioni rimarranno pienamente valide ed efficaci. La clausola invalida sarà emendata nei limiti del possibile per preservarne la finalità originaria.

Allegato A – Misure Tecniche e Organizzative di Sicurezza

Il Responsabile adotta le seguenti misure tecniche e organizzative a protezione dei dati trattati per conto del Titolare:

• Protezione DDoS integrata dal fornitore dei servizi cloud.
• Accesso SSH limitato tramite chiave sicura o password di almeno 64 caratteri alfanumerici.
• Configurazione firewall con rallentamento automatico dei tentativi di accesso SSH falliti (protezione brute-force).
• Invio delle credenziali tramite l'indirizzo e-mail comunicato dall'utente o dall'amministratore della piattaforma.
• Gestione dei ruoli con autorizzazioni specifiche e granulari (principio del minimo privilegio).
• Credenziali generate automaticamente dal sistema, con possibilità di rigenerazione su richiesta.
• Rallentamento progressivo e blocco automatico dell'account dopo 10 tentativi di accesso falliti.
• Comunicazioni cifrate con protocollo TLS e certificati SSL.
• Tipologie di file caricabili vincolate dal sistema (whitelist).
• Aggiornamenti periodici del sistema operativo e delle librerie applicative.
• Replicazione dei dati e dei file su più nodi.
• Backup periodici del database e dei file su server dedicato, con doppio livello di ridondanza.

Allegato B – Regole Comportamentali per il Responsabile del Trattamento

In attuazione delle disposizioni del Regolamento UE n. 679/2016 (GDPR), il Titolare ha definito le seguenti regole comportamentali che il Responsabile e tutti i suoi dipendenti e/o collaboratori sono tenuti a rispettare nell'esecuzione dei compiti assegnati.

Principi generali

Il Responsabile deve osservare scrupolosamente i principi sanciti dall'art. 5 GDPR — tra cui liceità, correttezza, trasparenza, limitazione delle finalità, minimizzazione dei dati, esattezza, limitazione della conservazione, integrità e riservatezza — e in particolare:

• accedere esclusivamente ai dati personali strettamente indispensabili per l'adempimento dei compiti assegnati;
• trattare i dati per un periodo non superiore a quello necessario agli scopi per i quali sono stati raccolti;
• non trasferire i dati ad altri titolari né utilizzarli per vantaggio di soggetti terzi in concorrenza con il Titolare.

Gestione dei documenti elettronici contenenti dati personali

Con riferimento ai documenti in formato elettronico, il Responsabile deve:

• inviare i documenti al Titolare tramite gli indirizzi di posta dedicati, limitando i destinatari ai soli soggetti direttamente interessati;
• aggiungere, ove opportuno, la dicitura «Confidenziale» nell'oggetto o nell'incipit delle comunicazioni e-mail;
• rendere anonimi i dati personali non più necessari prima di conservare un documento;
• proteggere con password i documenti contenenti dati sensibili, rendendoli accessibili solo ai soggetti autorizzati;
• attivare il salvaschermo con password ogni volta che si lascia incustodita la propria postazione di lavoro.

Obblighi specifici per attività in ambito IT

Il Responsabile che svolge attività IT (erogazione di infrastrutture HW/SW, servizi di rete, Application Maintenance) è tenuto inoltre a:

• adottare soluzioni tecniche e organizzative per la regolamentazione degli accessi logici (User ID e password di almeno 10 caratteri, scadenza periodica, profili autorizzativi basati sul principio «Need to Know»);
• installare e mantenere aggiornate soluzioni antivirus su tutti i dispositivi funzionali all'erogazione del servizio;
• garantire un adeguato livello di protezione delle reti e delle infrastrutture;
• individuare vulnerabilità nelle applicazioni e nelle infrastrutture e attivare piani di mitigazione;
• adottare misure per la protezione dei dati nelle comunicazioni elettroniche e non, sia interne che verso l'esterno;
• implementare procedure per la rilevazione e la gestione degli incidenti di sicurezza;
• garantire la continuità dei servizi e la disponibilità delle informazioni;
• assicurarsi che i consensi degli interessati registrati in piattaforma siano conformi a quelli espressi sul modulo di adesione.

Gestione delle postazioni di lavoro

In caso di allontanamento temporaneo dalla propria postazione, il Responsabile deve:

• fare attendere eventuali visitatori in spazi privi di informazioni riservate o dati personali;
• riporre la documentazione cartacea contenente dati personali in cassetti o armadi chiusi a chiave.

Gestione delle credenziali di accesso

Il Responsabile e tutti i dipendenti e/o collaboratori non devono rivelare o far digitare la propria password a terzi — inclusi colleghi e personale di assistenza tecnica — salvo espressa autorizzazione, né trascriverla su supporti facilmente accessibili.

Obblighi di custodia e segnalazione

Il Responsabile e tutti i dipendenti e/o collaboratori devono:

• controllare e custodire atti e documenti contenenti dati personali (inclusi dati particolari ex art. 9 e dati giudiziari ex art. 10 GDPR) fino alla restituzione al termine delle operazioni affidate, impedendo l'accesso a persone non autorizzate;
• segnalare qualsiasi anomalia all'indirizzo: support@goodlearning.it;
• comunicare immediatamente al Titolare qualsiasi violazione dei dati personali rilevata o sospettata, per consentire la successiva notifica all'Autorità di controllo entro i termini di legge.

Ultima revisione: maggio 2026