Elenco dei sub-responsabili
Art. 28, par. 2 e 4 — Regolamento UE 2016/679 (GDPR)
✓ Verificato il 14 settembre 2026
Art. 28, par. 2 e 4 — Regolamento UE 2016/679 (GDPR)
SinergiaScuola tratta i dati del personale scolastico in qualità di Responsabile del trattamento, su istruzione dell’istituto, che ne è il Titolare. Per erogare il servizio ricorre ai sub-responsabili elencati in questa pagina, e ne risponde come del proprio operato: ciascuno è vincolato da obblighi equivalenti a quelli assunti verso il Titolare, tramite DPA e clausole contrattuali tipo.
Questa pagina esiste per essere allegata a un parere e conservata. Gli stessi fornitori sono elencati al paragrafo 7.4 delle Condizioni, che costituiscono l’accordo art. 28: in caso di difformità prevale il testo delle Condizioni. Le variazioni sono comunicate al Titolare con almeno 15 giorni di preavviso, con facoltà di recesso in caso di motivata opposizione.
| Fornitore | Servizio | Dati trattati | Paese / centro dati | Base del trasferimento | DPA |
|---|---|---|---|---|---|
| Google LLC Irlanda / USA |
Autenticazione OAuth 2.0; Google Sheets e Drive (il foglio dell’istituto) | Email del dirigente (OAuth: solo openid ed email). Il foglio con i dati dei docenti è proprietà del Titolare, nel suo Drive, sotto la DPA che l’istituto ha già con Google | UE e USA | DPA Google + clausole contrattuali tipo (decisione 2021/914) | DPA |
| Neon Inc. sede legale USA |
Database PostgreSQL | Dei docenti: hash HMAC-SHA256 (la chiave segreta non è conservata nel database) e dati organizzativi collegati a quegli hash (orari, assenze, permessi, sostituzioni). Nessun nome e nessuna email di docente: le relative colonne non esistono nel database. Dati dell’account del dirigente cifrati; testo delle domande all’assistente dopo la pulizia descritta nell’Informativa | UE — Francoforte (AWS eu-central-1) | Dati in UE; clausole contrattuali tipo (decisione 2021/914) come garanzia aggiuntiva per la sede legale extra-UE | DPA |
| Render Services Inc. sede legale USA |
Hosting dell’applicazione | Esecuzione del programma: elaborazione in memoria. Nomi ed email letti dal foglio restano nella memoria di lavoro del server e non vengono scritti nel database: la copia si rilegge dal foglio dopo 30 minuti (10 minuti per l’elenco dei docenti e per quello usato dalle sostituzioni), si toglie a ogni modifica dei docenti fatta dal programma e sparisce a ogni riavvio. Una copia scaduta può restare in memoria finché non viene sostituita, e se il foglio non risponde il programma continua a usare l’ultima copia letta. I log tecnici del server sono filtrati da indirizzi email e token di accesso | UE — Francoforte | Dati in UE; clausole contrattuali tipo (decisione 2021/914) come garanzia aggiuntiva per la sede legale extra-UE | Privacy / DPA |
| OVH SAS Francia |
Casella di posta info@sinergiascuola.it: comunicazioni di servizio e invii commerciali | Indirizzi istituzionali pubblici delle scuole e indirizzo del dirigente per le comunicazioni di servizio. Non riceve le email dei docenti | Francia (UE) | Nessun trasferimento extra-UE | DPA |
Le richieste di sostituzione non passano da un nostro fornitore di posta. Vengono inviate attraverso il server di posta configurato dall’istituto: il mittente è la scuola. Se l’istituto non lo configura, non viene inviata nessuna email — non esiste un canale di ripiego a nome di SinergiaScuola. Durante la prova gratuita, in uso privato, le richieste di sostituzione non vengono inviate affatto: il programma indica al dirigente chi avvisare a voce.
Nessun fornitore di intelligenza artificiale. Le funzioni di generazione dell’orario e di apprendimento sono codice di SinergiaScuola, eseguito sulla propria infrastruttura, e operano su identificativi pseudonimizzati e dati organizzativi. Nessun dato di docenti o di istituti viene inviato a modelli di terzi (OpenAI, Anthropic, Google Gemini o altri): nel codice e nelle dipendenze del prodotto non esiste alcun collegamento a tali servizi.
Le notifiche push viaggiano cifrate. Il contenuto è cifrato end-to-end secondo lo standard Web Push (RFC 8291): il servizio push del browser del docente o del dirigente (Google, Mozilla, Microsoft o Apple) trasporta il messaggio senza poterlo leggere, e tratta solo l’indirizzo tecnico del dispositivo. In uso privato le notifiche ai docenti non partono.
Le comunicazioni informative alle scuole non sono un trattamento per conto degli istituti. Le email inviate alle caselle istituzionali pubbliche (catalogo del Ministero) partono dalla casella info@ ospitata da OVH o da caselle Gmail del gestore: le tratta SinergiaScuola come Titolare, sono descritte nell’Informativa e non riguardano i dati dei docenti.