Accordo sul trattamento dei dati (DPA)

Il presente documento è il modello di Data Processing Agreement ai sensi dell'art. 28 del Regolamento (UE) 2016/679 offerto agli atenei e agli altri enti formativi che acquistano Aequan. Diventa vincolante con l'accettazione del contratto B2B o di un ordine che vi rinvia.

Il Responsabile è Christopher Uguzzoni, Pavullo nel Frignano (MO), Italia, Codice Fiscale GZZCRS01T12G393M, contattabile a digitaleducation@aequan.it.

L'Ente Cliente (l'Università o l'istituzione formativa) è il Titolare del trattamento (Data Controller). Determina finalità e mezzi del trattamento dei dati dei propri studenti e del proprio personale autorizzato a usare la piattaforma.

Aequan è il Responsabile del trattamento (Data Processor). Tratta i dati personali soltanto su istruzione documentata del Titolare, per erogare il servizio di simulazione didattica, e non li usa per finalità proprie.

Oggetto del trattamento è l'erogazione della simulazione clinica e medico-legale agli utenti indicati dal Titolare. Le categorie di dati sono identificativi e dati di utilizzo della piattaforma:

• nome e indirizzo email degli studenti e degli altri utenti autorizzati;
• metriche di performance formativa e report di simulazione;
• log di sessione necessari a erogare, proteggere e assistere il servizio.

Non vengono trattati dati sanitari reali (PHR, cartelle cliniche o dati di pazienti identificabili). I casi clinici della piattaforma sono simulazioni di persone inesistenti. È vietato inserire nella piattaforma dati di pazienti reali.

Gli interessati sono gli studenti e il personale dell'Ente autorizzati all'uso. La durata del trattamento coincide con il contratto e con il tempo necessario a restituire o cancellare i dati al termine, salvo obblighi di legge.

Aequan adotta misure tecniche e organizzative adeguate al rischio, in particolare:

• Cifratura in transito mediante TLS su tutti gli accessi alla piattaforma.
• Cifratura at rest dei dati conservati sull'infrastruttura di database e di hosting.
• Isolamento logico dei tenant: i dati di ciascuna università restano separati da quelli degli altri enti clienti.
• Accesso limitato al database: solo personale autorizzato, per finalità di esercizio, sicurezza e assistenza, secondo il principio del minimo privilegio.

Se Aequan viene a conoscenza di una violazione di dati personali che riguarda il trattamento svolto per il Titolare, ne dà comunicazione al Titolare entro un massimo di 48 ore dalla scoperta. La comunicazione descrive, per quanto già noto, la natura della violazione, le categorie di dati e di interessati coinvolti, le conseguenze probabili e le misure adottate o proposte.

La notifica all'autorità di controllo e agli interessati resta in capo al Titolare. Aequan collabora alle informazioni ragionevolmente necessarie per quell'adempimento.

Aequan può avvalersi di sub-responsabili per l'infrastruttura indispensabile al servizio. L'elenco vigente, con finalità, sede e garanzie di trasferimento, è pubblicato nella pagina Sub-responsabili del trattamento. L'aggiunta di un nuovo sub-responsabile è comunicata ai clienti B2B con almeno 30 giorni di preavviso, durante i quali il Titolare può opporsi.