Accettazione mediante registrazione. Completando la registrazione e accedendo al servizio, l’istituto scolastico (nella persona del dirigente scolastico) accetta integralmente le presenti Condizioni del Servizio, che includono l’Accordo sul Trattamento dei Dati ex art. 28 GDPR (art. 7). Non è necessaria alcuna firma separata: la piattaforma registra, per ciascun documento, la versione accettata, la data, e il nome e la qualifica di chi accetta per conto dell’istituto.
1 Definizioni
2 Oggetto del contratto
Le presenti Condizioni regolano l’accesso e l’utilizzo della piattaforma SinergiaScuola da parte degli istituti scolastici italiani. Il servizio comprende:
- Generazione e ottimizzazione automatica dell’orario scolastico settimanale
- Gestione delle sostituzioni dei docenti assenti con selezione automatica del sostituto
- Notifiche al personale tramite Web Push e, su configurazione dell’istituto, email
- Reportistica su ore, permessi e disponibilità del personale docente
- Sincronizzazione dei dati con un foglio Google Sheets dedicato all’istituto
La prova gratuita è in uso privato. Durante i sei mesi di prova gratuita ogni scuola usa SinergiaScuola in uso privato: il dirigente e gli incaricati usano tutto il programma, ma il programma non manda nulla ai docenti (né email, né notifiche, né richieste di sostituzione) e i docenti non accedono; chi aveva già una sessione aperta ne viene fatto uscire. Le funzioni rivolte ai docenti restano visibili ma spente. Le email della scuola possono arrivare solo alla casella istituzionale, al dirigente e agli incaricati. Chi deve sapere di una sostituzione lo avvisa la scuola. L’uso privato lo toglie il gestore della piattaforma quando la scuola adotta il servizio. L’uso privato non cambia i ruoli: l’istituto resta titolare del trattamento e SinergiaScuola responsabile, e i dati trattati restano quelli descritti in questo documento.
SinergiaScuola si riserva di aggiungere, modificare o rimuovere funzionalità nel tempo, con preavviso adeguato agli utenti attivi.
3 Accesso al servizio e prova gratuita
L’accesso avviene tramite autenticazione Google OAuth 2.0. Ogni istituto accede con le credenziali Google del dirigente scolastico o dell’incaricato designato.
Periodo di prova gratuito: sei mesi. I nuovi istituti accedono gratuitamente a tutte le funzionalità per sei mesi dalla data di registrazione. Al termine del periodo di prova, SinergiaScuola comunicherà con almeno 30 giorni di anticipo le condizioni economiche per la prosecuzione del servizio. In assenza di accordo, l’accesso al servizio è sospeso e i dati restano conservati. Se per 12 mesi consecutivi non risulta alcuna attività dell’istituto, SinergiaScuola ne avvisa il dirigente all’indirizzo registrato e, trascorsi 30 giorni dall’avviso senza riscontro, cancella i dati dell’istituto dal proprio database; il Foglio Google resta nel Drive dell’istituto (v. art. 9).
L’istituto è responsabile di tutte le azioni compiute tramite le credenziali di accesso da esso controllate. Ogni accesso non autorizzato deve essere notificato tempestivamente a info@sinergiascuola.it.
4 Obblighi dell’istituto
L’istituto si impegna a:
- Utilizzare il servizio nel rispetto della normativa vigente, inclusi il GDPR e il D.Lgs. 196/2003
- Proteggere l’account Google utilizzato per il login con la verifica in due passaggi attivata
- Non condividere le credenziali di accesso con soggetti non autorizzati
- Informare i propri docenti del trattamento dei dati tramite la propria informativa privacy interna
- Assicurarsi che i dati inseriti nel sistema (orari, disponibilità, assenze) siano accurati e aggiornati
- Non utilizzare il servizio per finalità diverse dalla gestione ordinaria del personale scolastico
- Non tentare di accedere ai dati di altri istituti o di aggirare le misure di sicurezza della piattaforma
- Notificare prontamente SinergiaScuola di qualsiasi accesso non autorizzato ai propri sistemi che possa coinvolgere dati trattati tramite la piattaforma
- Comunicare la cessazione del servizio con almeno 30 giorni di anticipo per consentire la corretta eliminazione dei dati
Nota sulle notifiche email ai docenti. La funzionalità di invio email ai docenti (avvisi di sostituzione) richiede che l’istituto configuri la propria casella email nelle impostazioni della piattaforma. SinergiaScuola non usa la propria casella per scrivere ai docenti: il canale email usa esclusivamente la casella dell’istituto, con il suo mittente e le sue credenziali; la connessione a quella casella la apre il server di SinergiaScuola, che per questo conserva la password cifrata. Il canale push (notifiche sul telefono) non richiede configurazione da parte dell’istituto e arriva ai docenti che hanno fatto accesso al programma e hanno attivato le notifiche sul proprio dispositivo. In uso privato (art. 2) ai docenti non arrivano né email né notifiche.
Segnalazione di emergenza (canale facoltativo di cortesia). La piattaforma offre ai docenti un pulsante per pre-avvisare la scuola di un’assenza o permesso improvviso fuori orario, al solo scopo di organizzare per tempo la sostituzione. È uno strumento ufficioso, non un atto amministrativo: non sostituisce la domanda ufficiale, che va presentata e protocollata sui canali dedicati e autorizzata dal Dirigente. SinergiaScuola non chiede né trasmette la motivazione e non la conserva (né database, né log): se il docente vuole spiegarla, il programma gli apre la sua posta già indirizzata alla casella istituzionale della scuola, e il messaggio parte dal suo indirizzo. L’istituto è responsabile di designare con attenzione gli eventuali docenti delegati all’approvazione, che ricevono l’avviso della segnalazione e possono approvarla o rifiutarla. In uso privato (art. 2) il pulsante non è disponibile, perché i docenti non accedono.
5 Obblighi di SinergiaScuola
SinergiaScuola si impegna a:
- Erogare il servizio con ragionevole continuità, salvo interruzioni per manutenzione, aggiornamenti o cause di forza maggiore
- Adottare misure tecniche e organizzative adeguate a proteggere i dati trattati (v. art. 7)
- Non cedere, vendere o comunicare i dati a terzi non autorizzati
- Non utilizzare i dati per addestrare modelli di intelligenza artificiale di terzi o per finalità pubblicitarie
- Notificare l’istituto di eventuali violazioni dei dati entro 24 ore dalla rilevazione (v. art. 7.6)
- Rispondere alle richieste dell’istituto entro i termini indicati nella Privacy Policy
- Cancellare i dati dell’istituto entro 30 giorni dalla cessazione del servizio (v. art. 9)
Alcuni dati di tutte le scuole sono usati anche insieme, nei modi descritti all’art. 7.2.
SinergiaScuola non garantisce la disponibilità continua del servizio (uptime) né si impegna a specifici livelli di servizio (SLA) salvo accordo scritto separato.
6 Limitazione di responsabilità
Lettura consigliata. Questa sezione definisce i limiti della responsabilità di SinergiaScuola. È importante che il dirigente e il DPO la valutino attentamente prima di adottare il servizio.
6.1 Esclusione responsabilità per il Google Drive dell’istituto
Il Foglio Google creato da SinergiaScuola nel Drive del Dirigente rimane sotto il controllo esclusivo dell’istituto. SinergiaScuola non risponde di violazioni, perdita o accesso non autorizzato a dati contenuti nel Google Drive dell’istituto. La sicurezza del Drive è coperta dalla DPA che l’istituto ha con Google (Google Workspace for Education o account personale).
6.2 Esclusione responsabilità per comportamenti dell’istituto
SinergiaScuola non risponde di danni derivanti da:
- Condivisione delle credenziali Google con soggetti non autorizzati
- Mancata attivazione della verifica in due passaggi sull’account Google
- Accesso non autorizzato ai dispositivi dell’istituto
- Dati inseriti in modo errato o incompleto dall’istituto
- Mancata configurazione della casella email per le notifiche ai docenti
- Mancata informativa ai docenti da parte dell’istituto
6.3 Esclusione responsabilità per fornitori terzi
SinergiaScuola si avvale di infrastrutture di terzi (Google, Neon, Render, OVH — v. art. 7.4). Non risponde di interruzioni, violazioni o malfunzionamenti imputabili a tali fornitori, purché abbia adottato le misure contrattuali previste (DPA/SCC con ciascun fornitore).
6.4 Esclusione danni indiretti
In nessun caso SinergiaScuola è responsabile di danni indiretti, consequenziali, perdita di dati, perdita di opportunità o danni reputazionali derivanti dall’utilizzo o dall’indisponibilità del servizio.
6.5 Massimale di responsabilità
Nei limiti consentiti dalla legge, la responsabilità complessiva di SinergiaScuola verso l’istituto non può superare l’importo effettivamente corrisposto dall’istituto per il servizio nei 12 mesi precedenti al fatto generatore del danno. Durante il periodo di prova gratuito il massimale è pari a zero.
6.6 Correttezza degli orari generati
Gli orari e le sostituzioni generate dalla piattaforma hanno carattere di proposta algortimica. La verifica, approvazione e responsabilità dell’orario definitivo adottato dall’istituto restano in capo al Dirigente scolastico. SinergiaScuola non risponde di conseguenze derivanti dall’adozione di orari o sostituzioni senza la necessaria verifica da parte del personale competente.
7 Accordo sul trattamento dei dati DPA art. 28 GDPR
Valore contrattuale. Il presente articolo costituisce l’Accordo sul Trattamento dei Dati (Data Processing Agreement) ai sensi dell’art. 28 del Regolamento UE 2016/679 (GDPR). L’accettazione delle presenti Condizioni equivale alla sottoscrizione del DPA. Non è necessaria alcuna firma separata.
7.1 Ruoli e istruzioni
L’Istituto scolastico è il Titolare del trattamento ai sensi dell’art. 4 n. 7 GDPR. SinergiaScuola agisce come Responsabile del trattamento ai sensi dell’art. 4 n. 8 e dell’art. 28 GDPR, trattando i dati esclusivamente su istruzione documentata del Titolare e per le finalità definite nel presente contratto. SinergiaScuola non comunicherà i dati a terzi non autorizzati dal Titolare. Alcuni dati di tutte le scuole sono usati anche insieme, nei modi descritti all’art. 7.2. L’uso privato descritto all’art. 2 non cambia questi ruoli.
7.2 Oggetto, finalità e natura del trattamento
7.3 Obblighi del Responsabile (art. 28 par. 3 GDPR)
SinergiaScuola, in qualità di Responsabile, si impegna a:
- Trattare i dati solo su istruzione documentata del Titolare, salvo obblighi di legge;
- Garantire la riservatezza delle persone autorizzate al trattamento, che sono vincolate da obbligo di riservatezza;
- Adottare le misure di sicurezza ex art. 32 GDPR descritte all’art. 7.5;
- Rispettare le condizioni per il ricorso a sub-responsabili elencati all’art. 7.4; il Titolare autorizza fin d’ora il ricorso ai sub-responsabili ivi indicati;
- Assistere il Titolare, per quanto possibile e nella misura consentita dai dati di cui dispone, nell’evasione delle richieste degli interessati (artt. 15–22 GDPR);
- Assistere il Titolare nell’adempimento degli obblighi di sicurezza (art. 32), notifica di violazioni (artt. 33–34) e DPIA (art. 35–36), nella misura in cui tali obblighi riguardano il trattamento da parte del Responsabile;
- Cancellare o restituire tutti i dati personali al termine del contratto, secondo le istruzioni del Titolare, entro 30 giorni, salvo obblighi di conservazione previsti dalla legge e salvo quanto indicato all’art. 9;
- Mettere a disposizione del Titolare le informazioni necessarie per dimostrare il rispetto del presente accordo e consentire audit o ispezioni del Titolare o di suoi mandatari, con preavviso di almeno 15 giorni lavorativi e senza oneri aggiuntivi per audit da remoto.
7.4 Sub-responsabili autorizzati
Il Titolare autorizza il ricorso ai seguenti sub-responsabili. SinergiaScuola ne risponde come del proprio operato e garantisce che ciascuno sia vincolato da obblighi equivalenti tramite contratto (DPA/SCC).
SinergiaScuola notificherà al Titolare eventuali variazioni ai sub-responsabili con almeno 15 giorni di anticipo, consentendo al Titolare di recedere dal contratto in caso di motivata opposizione.
Lo stesso elenco, con il Paese del centro dati, la base del trasferimento, il link al DPA di ciascun fornitore e la data dell’ultima verifica, è disponibile su una pagina dedicata, pensata per essere allegata a un parere e conservata: Elenco dei sub-responsabili. In caso di difformità prevale il testo del presente paragrafo.
7.5 Misure di sicurezza (art. 32 GDPR)
- Cifratura a riposo AES-256-GCM per dati account dirigente e token OAuth
- Pseudonimizzazione HMAC-SHA256 (con chiave segreta, non conservata nel database) per le email dei docenti
- Cifratura in transito TLS 1.2+ su tutte le comunicazioni; HSTS attivo
- Autenticazione esclusivamente tramite Google OAuth 2.0; nessuna password raccolta
- Isolamento multi-tenant tramite
istituto_id, con l’eccezione delle elaborazioni che usano insieme i dati di più scuole descritte all’art. 7.2
- Audit log delle operazioni sensibili con timestamp (12 mesi) e registro degli accessi del Responsabile ai dati dell’istituto, consultabile dal Titolare (24 mesi)
- Filtro automatico di indirizzi email, token di accesso e numeri di cellulare italiani nei log e nei registri tecnici
- Accettazione delle Condizioni in vigore imposta anche dal server: senza, il dirigente non può modificare dati
- Copie di ripristino del database (Neon), che scadono alla fine della finestra di ripristino del fornitore
- Cancellazione entro 30 giorni dalla cessazione del servizio; immediata se il dirigente elimina l’istituto dal programma, con seconda conferma tramite il suo account Google; i dati che restano sono indicati all’art. 9
7.6 Procedura in caso di violazione dei dati
In caso di violazione rilevata nei sistemi di SinergiaScuola:
- Entro 24 ore: SinergiaScuola notifica il Titolare all’indirizzo email comunicato in fase di registrazione, con descrizione della violazione, dati coinvolti e misure adottate;
- Entro 72 ore dalla rilevazione: il Titolare valuta autonomamente se notificare il Garante Privacy (art. 33 GDPR). La notifica al Garante spetta al Titolare, non al Responsabile;
- Se il rischio è elevato: comunicazione agli interessati a cura del Titolare (art. 34 GDPR).
Rischio strutturalmente limitato. Nome ed email dei docenti non vengono scritti nel database di SinergiaScuola. Una violazione del database espone impronte HMAC-SHA256, non invertibili senza la chiave segreta (che non è conservata nel database), dati cifrati e dati organizzativi leggibili: orari e date di assenza (senza motivo) collegati alle impronte, e il testo ripulito delle domande all’assistente. La pseudonimizzazione riduce quindi in modo significativo il rischio per gli interessati. La valutazione di quel rischio e la decisione sulla notifica al Garante ai sensi degli artt. 33 e 34 GDPR restano in capo al Titolare, che il Responsabile assiste fornendo ogni informazione utile.
7.7 Diritti degli interessati
Poiché i dati personali identificativi dei docenti (nome, email) risiedono nel Foglio Google dell’istituto — gestito dal Titolare — le richieste di accesso, rettifica e cancellazione dei docenti vanno indirizzate al Titolare (l’istituto), non a SinergiaScuola. SinergiaScuola assiste il Titolare fornendo, su richiesta, le informazioni tecniche necessarie per evadere le richieste.
7.8 Base giuridica
La base giuridica del trattamento è stabilita dal Titolare. Per le scuole statali si applica tipicamente l’art. 6, par. 1, lett. e GDPR (compito di interesse pubblico — D.Lgs. 297/1994, CCNL Comparto Scuola). SinergiaScuola, in qualità di Responsabile, non è tenuta a identificare autonomamente la base giuridica verso i docenti.
8 Proprietà intellettuale
La piattaforma SinergiaScuola, il software, il codice, gli algoritmi, il design e i contenuti originali sono di proprietà esclusiva di SinergiaScuola e sono protetti dalla normativa sul diritto d’autore e dalla normativa sui segreti commerciali.
L’istituto ottiene una licenza d’uso limitata, non esclusiva, non trasferibile e revocabile della piattaforma, per la durata del contratto e per le finalità descritte nelle presenti Condizioni.
I dati inseriti dall’istituto (struttura plessi, classi, materie, orari, vincoli) rimangono di proprietà dell’istituto. SinergiaScuola non acquisisce alcun diritto su tali dati, salvo quanto strettamente necessario per l’erogazione del servizio.
9 Durata, recesso e cancellazione
Il contratto ha durata indeterminata, con decorrenza dalla data di registrazione.
Recesso dell’istituto: l’istituto può recedere in qualsiasi momento inviando comunicazione a info@sinergiascuola.it. Entro 30 giorni dalla comunicazione SinergiaScuola cancella dal proprio database i dati dell’istituto e notifica l’istituto dell’avvenuta cancellazione. Contestualmente il Foglio Google viene spostato nel cestino del Drive dell’istituto, che può recuperarlo entro 30 giorni; SinergiaScuola non lo elimina in modo definitivo e non ne conserva copia. Lo stesso avviene quando il dirigente elimina l’istituto dal pannello di amministrazione.
Cosa resta dopo la cancellazione: la cancellazione toglie dal database le righe collegate all’istituto. Restano: nel registro che impedisce di ripetere il periodo di prova gratuito, un’impronta del codice meccanografico con l’impronta dell’indirizzo del dirigente, l’identificativo interno dell’istituto e la data di fine della prova; se è il dirigente a eliminare l’istituto dal programma, un’impronta del suo indirizzo nell’elenco di chi non vuole ricevere le nostre comunicazioni; le bozze di risposta descritte all’art. 7.2, che non sono collegate a nessun istituto; le copie di ripristino del database indicate all’art. 7.5.
Recesso di SinergiaScuola: SinergiaScuola può recedere con preavviso di 60 giorni, salvo gravi violazioni delle presenti Condizioni da parte dell’istituto, nel qual caso il recesso è immediato.
Fine del periodo di prova: al termine dei sei mesi gratuiti, in assenza di accordo per la prosecuzione a pagamento, l’accesso al servizio viene sospeso e i dati restano conservati.
Istituto che smette di usare il servizio senza comunicarlo: se per 12 mesi consecutivi non risulta alcuna attività dell’istituto, SinergiaScuola ne avvisa il dirigente all’indirizzo registrato; trascorsi 30 giorni dall’avviso senza riscontro, i dati dell’istituto vengono cancellati dal database di SinergiaScuola. Se nel frattempo l’istituto riprende a usare il servizio, o chiede di rinviare, la cancellazione non avviene. Il Foglio Google resta nel Drive dell’istituto. Il termine non si applica agli istituti con abbonamento attivo.
Registrazione rimasta vuota: se, trascorsi tre giorni dalla registrazione, l’istituto non ha inserito né sedi, né classi, né docenti, né orario, SinergiaScuola avvisa il dirigente all’indirizzo registrato che la registrazione si chiuderà dopo 24 ore. Se nel frattempo non inserisce nulla e non chiede di rinviare, i dati dell’istituto vengono cancellati e il Foglio Google viene spostato nel cestino del Drive dell’istituto, senza essere eliminato definitivamente.
10 Sospensione del servizio
SinergiaScuola può sospendere l’accesso al servizio, con o senza preavviso a seconda dell’urgenza, nei seguenti casi:
- Manutenzione ordinaria o straordinaria della piattaforma o delle infrastrutture
- Violazione grave delle presenti Condizioni da parte dell’istituto
- Abuso del servizio o utilizzo per finalità illecite
- Cause di forza maggiore (attacchi informatici, interruzioni di servizi terzi, calamità)
- Obblighi di legge o ordini dell’autorità giudiziaria o amministrativa
SinergiaScuola non risponde di danni derivanti dalla sospensione del servizio per le cause sopra indicate.
11 Modifiche alle condizioni
SinergiaScuola può modificare le presenti Condizioni in qualsiasi momento. Le modifiche sono comunicate all’istituto tramite:
- Email all’indirizzo del dirigente registrato, con almeno 30 giorni di anticipo per modifiche sostanziali;
- Avviso nella piattaforma al successivo accesso.
Quando il testo delle Condizioni o dell’informativa cambia, al primo accesso successivo la piattaforma chiede al dirigente di leggere e accettare la nuova versione, e non consente di proseguire finché non è stata accettata; la versione accettata resta registrata con la data. In caso di disaccordo, l’istituto può recedere senza penali.
Le modifiche al DPA (art. 7) che riducano le garanzie per gli interessati richiedono il consenso esplicito del Titolare.
12 Disposizioni finali
12.1 Legge applicabile
Le presenti Condizioni sono disciplinate dalla legge italiana. Per quanto non espressamente previsto si applicano il Codice Civile italiano, il GDPR (Reg. UE 2016/679), il D.Lgs. 196/2003 e le disposizioni applicabili agli istituti scolastici.
12.2 Foro competente
Per ogni controversia relativa alle presenti Condizioni è competente in via esclusiva il Foro di Verona, salvo che l’istituto rivesta la qualifica di consumatore ai sensi del Codice del Consumo, nel qual caso si applica il foro del luogo di residenza o domicilio dell’interessato.
12.3 Nullità parziale
L’eventuale nullità o inefficacia di una singola clausola non pregiudica la validità delle restanti Condizioni.
12.4 Accordo integrale
Le presenti Condizioni, unitamente alla Privacy Policy e alla documentazione per il DPO (per-il-dpo), costituiscono l’accordo integrale tra le parti in materia di utilizzo del servizio e trattamento dei dati.
12.5 Contatti
Per qualsiasi comunicazione relativa alle presenti Condizioni: info@sinergiascuola.it
Le presenti Condizioni hanno valore contrattuale. Si consiglia al DPO dell’istituto di valutarle unitamente alla documentazione tecnica disponibile su
sinergiascuola.it/per-il-dpo prima dell’adozione del servizio. I campi tra parentesi quadre nei documenti allegati vanno completati con i dati dell’istituto.
