Accettazione mediante registrazione. Completando la registrazione e accedendo al servizio, l’istituto scolastico (nella persona del dirigente scolastico) accetta integralmente le presenti Condizioni del Servizio, che includono l’Accordo sul Trattamento dei Dati ex art. 28 GDPR (art. 7). Non è necessaria alcuna firma separata.
1 Definizioni
2 Oggetto del contratto
Le presenti Condizioni regolano l’accesso e l’utilizzo della piattaforma SinergiaScuola da parte degli istituti scolastici italiani. Il servizio comprende:
- Generazione e ottimizzazione automatica dell’orario scolastico settimanale
- Gestione delle sostituzioni dei docenti assenti con selezione automatica del sostituto
- Notifiche al personale tramite Web Push e, su configurazione dell’istituto, email
- Reportistica su ore, permessi e disponibilità del personale docente
- Sincronizzazione dei dati con un foglio Google Sheets dedicato all’istituto
SinergiaScuola si riserva di aggiungere, modificare o rimuovere funzionalità nel tempo, con preavviso adeguato agli utenti attivi.
3 Accesso al servizio e prova gratuita
L’accesso avviene tramite autenticazione Google OAuth 2.0. Ogni istituto accede con le credenziali Google del dirigente scolastico o dell’incaricato designato.
Periodo di prova gratuito: sei mesi. I nuovi istituti accedono gratuitamente a tutte le funzionalità per sei mesi dalla data di registrazione. Al termine del periodo di prova, SinergiaScuola comunicherà con almeno 30 giorni di anticipo le condizioni economiche per la prosecuzione del servizio. In assenza di accordo scritto, il servizio è sospeso senza cancellazione dei dati per ulteriori 30 giorni, poi i dati sono eliminati.
L’istituto è responsabile di tutte le azioni compiute tramite le credenziali di accesso da esso controllate. Ogni accesso non autorizzato deve essere notificato tempestivamente a info@sinergiascuola.it.
4 Obblighi dell’istituto
L’istituto si impegna a:
- Utilizzare il servizio nel rispetto della normativa vigente, inclusi il GDPR e il D.Lgs. 196/2003
- Proteggere l’account Google utilizzato per il login con la verifica in due passaggi attivata
- Non condividere le credenziali di accesso con soggetti non autorizzati
- Informare i propri docenti del trattamento dei dati tramite la propria informativa privacy interna
- Assicurarsi che i dati inseriti nel sistema (orari, disponibilità, assenze) siano accurati e aggiornati
- Non utilizzare il servizio per finalità diverse dalla gestione ordinaria del personale scolastico
- Non tentare di accedere ai dati di altri istituti o di aggirare le misure di sicurezza della piattaforma
- Notificare prontamente SinergiaScuola di qualsiasi accesso non autorizzato ai propri sistemi che possa coinvolgere dati trattati tramite la piattaforma
- Comunicare la cessazione del servizio con almeno 30 giorni di anticipo per consentire la corretta eliminazione dei dati
Nota sulle notifiche email ai docenti. La funzionalità di invio email ai docenti (avvisi di sostituzione) richiede che l’istituto configuri la propria casella email nelle impostazioni della piattaforma. SinergiaScuola non invia email ai docenti dalla propria infrastruttura: il canale email usa esclusivamente la casella dell’istituto. Il canale push (notifiche sul telefono) è sempre attivo e non richiede configurazione aggiuntiva.
Segnalazione di emergenza (canale facoltativo di cortesia). La piattaforma offre ai docenti un pulsante per pre-avvisare la scuola di un’assenza o permesso improvviso fuori orario, al solo scopo di organizzare per tempo la sostituzione. È uno strumento ufficioso, non un atto amministrativo: non sostituisce la domanda ufficiale, che va presentata e protocollata sui canali dedicati e autorizzata dal Dirigente. L’eventuale motivazione indicata dal docente viene inviata solo via email al docente e alla scuola e non è conservata da SinergiaScuola (né database, né log). L’istituto è responsabile di designare con attenzione gli eventuali docenti delegati all’approvazione, che possono visualizzare tale motivazione.
5 Obblighi di SinergiaScuola
SinergiaScuola si impegna a:
- Erogare il servizio con ragionevole continuità, salvo interruzioni per manutenzione, aggiornamenti o cause di forza maggiore
- Adottare misure tecniche e organizzative adeguate a proteggere i dati trattati (v. art. 7)
- Non trattare i dati dell’istituto per finalità proprie diverse dall’erogazione del servizio
- Non cedere, vendere o comunicare i dati a terzi non autorizzati
- Non utilizzare i dati per addestrare modelli di intelligenza artificiale di terzi o per finalità pubblicitarie
- Notificare l’istituto di eventuali violazioni dei dati entro 24 ore dalla rilevazione (v. art. 7.6)
- Rispondere alle richieste dell’istituto entro i termini indicati nella Privacy Policy
- Cancellare i dati dell’istituto entro 30 giorni dalla cessazione del servizio
SinergiaScuola non garantisce la disponibilità continua del servizio (uptime) né si impegna a specifici livelli di servizio (SLA) salvo accordo scritto separato.
6 Limitazione di responsabilità
Lettura consigliata. Questa sezione definisce i limiti della responsabilità di SinergiaScuola. È importante che il dirigente e il DPO la valutino attentamente prima di adottare il servizio.
6.1 Esclusione responsabilità per il Google Drive dell’istituto
Il Foglio Google creato da SinergiaScuola nel Drive del Dirigente rimane sotto il controllo esclusivo dell’istituto. SinergiaScuola non risponde di violazioni, perdita o accesso non autorizzato a dati contenuti nel Google Drive dell’istituto. La sicurezza del Drive è coperta dalla DPA che l’istituto ha con Google (Google Workspace for Education o account personale).
6.2 Esclusione responsabilità per comportamenti dell’istituto
SinergiaScuola non risponde di danni derivanti da:
- Condivisione delle credenziali Google con soggetti non autorizzati
- Mancata attivazione della verifica in due passaggi sull’account Google
- Accesso non autorizzato ai dispositivi dell’istituto
- Dati inseriti in modo errato o incompleto dall’istituto
- Mancata configurazione della casella email per le notifiche ai docenti
- Mancata informativa ai docenti da parte dell’istituto
6.3 Esclusione responsabilità per fornitori terzi
SinergiaScuola si avvale di infrastrutture di terzi (Google, Neon, Render, Brevo — v. art. 7.4). Non risponde di interruzioni, violazioni o malfunzionamenti imputabili a tali fornitori, purché abbia adottato le misure contrattuali previste (DPA/SCC con ciascun fornitore).
6.4 Esclusione danni indiretti
In nessun caso SinergiaScuola è responsabile di danni indiretti, consequenziali, perdita di dati, perdita di opportunità o danni reputazionali derivanti dall’utilizzo o dall’indisponibilità del servizio.
6.5 Massimale di responsabilità
Nei limiti consentiti dalla legge, la responsabilità complessiva di SinergiaScuola verso l’istituto non può superare l’importo effettivamente corrisposto dall’istituto per il servizio nei 12 mesi precedenti al fatto generatore del danno. Durante il periodo di prova gratuito il massimale è pari a zero.
6.6 Correttezza degli orari generati
Gli orari e le sostituzioni generate dalla piattaforma hanno carattere di proposta algortimica. La verifica, approvazione e responsabilità dell’orario definitivo adottato dall’istituto restano in capo al Dirigente scolastico. SinergiaScuola non risponde di conseguenze derivanti dall’adozione di orari o sostituzioni senza la necessaria verifica da parte del personale competente.
7 Accordo sul trattamento dei dati DPA art. 28 GDPR
Valore contrattuale. Il presente articolo costituisce l’Accordo sul Trattamento dei Dati (Data Processing Agreement) ai sensi dell’art. 28 del Regolamento UE 2016/679 (GDPR). L’accettazione delle presenti Condizioni equivale alla sottoscrizione del DPA. Non è necessaria alcuna firma separata.
7.1 Ruoli e istruzioni
L’Istituto scolastico è il Titolare del trattamento ai sensi dell’art. 4 n. 7 GDPR. SinergiaScuola agisce come Responsabile del trattamento ai sensi dell’art. 4 n. 8 e dell’art. 28 GDPR, trattando i dati esclusivamente su istruzione documentata del Titolare e per le finalità definite nel presente contratto. SinergiaScuola non tratterà i dati per scopi propri né li comunicherà a terzi non autorizzati dal Titolare.
7.2 Oggetto, finalità e natura del trattamento
7.3 Obblighi del Responsabile (art. 28 par. 3 GDPR)
SinergiaScuola, in qualità di Responsabile, si impegna a:
- Trattare i dati solo su istruzione documentata del Titolare, salvo obblighi di legge;
- Garantire la riservatezza delle persone autorizzate al trattamento, che sono vincolate da obbligo di riservatezza;
- Adottare le misure di sicurezza ex art. 32 GDPR descritte all’art. 7.5;
- Rispettare le condizioni per il ricorso a sub-responsabili elencati all’art. 7.4; il Titolare autorizza fin d’ora il ricorso ai sub-responsabili ivi indicati;
- Assistere il Titolare, per quanto possibile e nella misura consentita dai dati di cui dispone, nell’evasione delle richieste degli interessati (artt. 15–22 GDPR);
- Assistere il Titolare nell’adempimento degli obblighi di sicurezza (art. 32), notifica di violazioni (artt. 33–34) e DPIA (art. 35–36), nella misura in cui tali obblighi riguardano il trattamento da parte del Responsabile;
- Cancellare o restituire tutti i dati personali al termine del contratto, secondo le istruzioni del Titolare, entro 30 giorni, salvo obblighi di conservazione previsti dalla legge;
- Mettere a disposizione del Titolare le informazioni necessarie per dimostrare il rispetto del presente accordo e consentire audit o ispezioni del Titolare o di suoi mandatari, con preavviso di almeno 15 giorni lavorativi e senza oneri aggiuntivi per audit da remoto.
7.4 Sub-responsabili autorizzati
Il Titolare autorizza il ricorso ai seguenti sub-responsabili. SinergiaScuola ne risponde come del proprio operato e garantisce che ciascuno sia vincolato da obblighi equivalenti tramite contratto (DPA/SCC).
SinergiaScuola notificherà al Titolare eventuali variazioni ai sub-responsabili con almeno 15 giorni di anticipo, consentendo al Titolare di recedere dal contratto in caso di motivata opposizione.
7.5 Misure di sicurezza (art. 32 GDPR)
- Cifratura a riposo AES-256-GCM per dati account dirigente e token OAuth
- Pseudonimizzazione SHA-256 per le email dei docenti nel database
- Cifratura in transito TLS 1.2+ su tutte le comunicazioni; HSTS attivo
- Autenticazione esclusivamente tramite Google OAuth 2.0; nessuna password raccolta
- Isolamento multi-tenant: ogni query filtrata per
istituto_id
- Audit log delle operazioni sensibili con timestamp
- Backup continui con point-in-time recovery (Neon, retention 7 giorni)
- Cancellazione entro 30 giorni dalla cessazione del servizio
7.6 Procedura in caso di violazione dei dati
In caso di violazione rilevata nei sistemi di SinergiaScuola:
- Entro 24 ore: SinergiaScuola notifica il Titolare all’indirizzo email comunicato in fase di registrazione, con descrizione della violazione, dati coinvolti e misure adottate;
- Entro 72 ore dalla rilevazione: il Titolare valuta autonomamente se notificare il Garante Privacy (art. 33 GDPR). La notifica al Garante spetta al Titolare, non al Responsabile;
- Se il rischio è elevato: comunicazione agli interessati a cura del Titolare (art. 34 GDPR).
Rischio strutturalmente limitato. I dati personali identificativi dei docenti non sono mai nel database di SinergiaScuola. Una violazione del database espone solo hash HMAC-SHA256, non invertibili senza la chiave segreta (che non è conservata nel database): il rischio per gli interessati è pertanto molto contenuto e, nella maggior parte degli scenari, non raggiunge la soglia che obbliga alla notifica al Garante.
7.7 Diritti degli interessati
Poiché i dati personali identificativi dei docenti (nome, email) risiedono nel Foglio Google dell’istituto — gestito dal Titolare — le richieste di accesso, rettifica e cancellazione dei docenti vanno indirizzate al Titolare (l’istituto), non a SinergiaScuola. SinergiaScuola assiste il Titolare fornendo, su richiesta, le informazioni tecniche necessarie per evadere le richieste.
7.8 Base giuridica
La base giuridica del trattamento è stabilita dal Titolare. Per le scuole statali si applica tipicamente l’art. 6, par. 1, lett. e GDPR (compito di interesse pubblico — D.Lgs. 297/1994, CCNL Comparto Scuola). SinergiaScuola, in qualità di Responsabile, non è tenuta a identificare autonomamente la base giuridica verso i docenti.
8 Proprietà intellettuale
La piattaforma SinergiaScuola, il software, il codice, gli algoritmi, il design e i contenuti originali sono di proprietà esclusiva di SinergiaScuola e sono protetti dalla normativa sul diritto d’autore e dalla normativa sui segreti commerciali.
L’istituto ottiene una licenza d’uso limitata, non esclusiva, non trasferibile e revocabile della piattaforma, per la durata del contratto e per le finalità descritte nelle presenti Condizioni.
I dati inseriti dall’istituto (struttura plessi, classi, materie, orari, vincoli) rimangono di proprietà dell’istituto. SinergiaScuola non acquisisce alcun diritto su tali dati, salvo quanto strettamente necessario per l’erogazione del servizio.
9 Durata, recesso e cancellazione
Il contratto ha durata indeterminata, con decorrenza dalla data di registrazione.
Recesso dell’istituto: l’istituto può recedere in qualsiasi momento inviando comunicazione a info@sinergiascuola.it. Entro 30 giorni dalla comunicazione SinergiaScuola cancella tutti i dati dell’istituto dal proprio database e notifica l’istituto dell’avvenuta cancellazione. Il Foglio Google nel Drive dell’istituto rimane e può essere eliminato autonomamente dal dirigente.
Recesso di SinergiaScuola: SinergiaScuola può recedere con preavviso di 60 giorni, salvo gravi violazioni delle presenti Condizioni da parte dell’istituto, nel qual caso il recesso è immediato.
Fine del periodo di prova: al termine dei sei mesi gratuiti, in assenza di accordo per la prosecuzione a pagamento, il servizio viene sospeso (dati preservati per 30 giorni) e poi i dati eliminati.
10 Sospensione del servizio
SinergiaScuola può sospendere l’accesso al servizio, con o senza preavviso a seconda dell’urgenza, nei seguenti casi:
- Manutenzione ordinaria o straordinaria della piattaforma o delle infrastrutture
- Violazione grave delle presenti Condizioni da parte dell’istituto
- Abuso del servizio o utilizzo per finalità illecite
- Cause di forza maggiore (attacchi informatici, interruzioni di servizi terzi, calamità)
- Obblighi di legge o ordini dell’autorità giudiziaria o amministrativa
SinergiaScuola non risponde di danni derivanti dalla sospensione del servizio per le cause sopra indicate.
11 Modifiche alle condizioni
SinergiaScuola può modificare le presenti Condizioni in qualsiasi momento. Le modifiche sono comunicate all’istituto tramite:
- Email all’indirizzo del dirigente registrato, con almeno 30 giorni di anticipo per modifiche sostanziali;
- Avviso nella piattaforma al successivo accesso.
L’utilizzo continuato del servizio dopo la data di entrata in vigore delle modifiche costituisce accettazione delle nuove Condizioni. In caso di disaccordo, l’istituto può recedere senza penali entro il termine di preavviso.
Le modifiche al DPA (art. 7) che riducano le garanzie per gli interessati richiedono il consenso esplicito del Titolare.
12 Disposizioni finali
12.1 Legge applicabile
Le presenti Condizioni sono disciplinate dalla legge italiana. Per quanto non espressamente previsto si applicano il Codice Civile italiano, il GDPR (Reg. UE 2016/679), il D.Lgs. 196/2003 e le disposizioni applicabili agli istituti scolastici.
12.2 Foro competente
Per ogni controversia relativa alle presenti Condizioni è competente in via esclusiva il Foro di Verona, salvo che l’istituto rivesta la qualifica di consumatore ai sensi del Codice del Consumo, nel qual caso si applica il foro del luogo di residenza o domicilio dell’interessato.
12.3 Nullità parziale
L’eventuale nullità o inefficacia di una singola clausola non pregiudica la validità delle restanti Condizioni.
12.4 Accordo integrale
Le presenti Condizioni, unitamente alla Privacy Policy e alla documentazione per il DPO (per-il-dpo), costituiscono l’accordo integrale tra le parti in materia di utilizzo del servizio e trattamento dei dati.
12.5 Contatti
Per qualsiasi comunicazione relativa alle presenti Condizioni: info@sinergiascuola.it
Le presenti Condizioni hanno valore contrattuale. Si consiglia al DPO dell’istituto di valutarle unitamente alla documentazione tecnica disponibile su
sinergiascuola.it/per-il-dpo prima dell’adozione del servizio. I campi tra parentesi quadre nei documenti allegati vanno completati con i dati dell’istituto.
