Nomina a Responsabile del trattamento ai sensi dell’art. 28 GDPR
Il presente Accordo sul Trattamento dei Dati ("DPA" o "Accordo") costituisce l'atto di nomina a Responsabile del trattamento ai sensi dell'art. 28 GDPR e forma parte integrante dei Termini e Condizioni di Servizio di Tutoro (i "Termini"). Si applica ogni volta che l'Utente tratta, tramite la Piattaforma, dati personali di studenti, genitori o altri terzi.
In caso di contrasto tra il presente DPA e i Termini, relativamente al trattamento dei dati personali degli interessati per conto dell'Utente prevale il presente DPA.
Ai sensi del GDPR:
privacy@tutoro.it — agisce in qualità di Responsabile del trattamento ("Responsabile"), trattando i dati esclusivamente per conto e su istruzione documentata del Titolare.L'accettazione dei Termini in fase di registrazione, unitamente alla casella di accettazione del presente DPA, costituisce conferimento della nomina a Responsabile del trattamento, senza necessità di ulteriore sottoscrizione cartacea.
Interessati: studenti del Titolare e, ove minorenni, i loro genitori o tutori legali; eventuali altri contatti inseriti dal Titolare.
Categorie di dati personali:
⚠️ Categorie particolari (art. 9 GDPR). La Piattaforma non è progettata per il trattamento di categorie particolari di dati (es. dati sulla salute). Il Titolare si impegna a non inserire tali dati salvo che disponga di una base giuridica idonea, assumendone in tal caso la piena responsabilità.
⚠️ Minori. Molti interessati sono minorenni. Il Titolare è responsabile della raccolta del consenso dei genitori/tutori e delle informative agli interessati prima di inserire i dati nella Piattaforma.
Non rientrano nel presente DPA, perché svolti da Tutoro come titolare autonomo per funzioni offerte direttamente a studenti e genitori (vedi l'Informativa sulla Privacy):
Il Titolare riceve i dati del primo contatto (nome, messaggi, materia) come titolare autonomo, per rispondere alla richiesta.
Il Responsabile si impegna a:
Il Responsabile adotta misure tecniche e organizzative adeguate, tra cui:
Il Titolare autorizza in via generale il Responsabile a ricorrere ai sub-responsabili elencati di seguito per l'erogazione del Servizio. Il Responsabile impone a ciascun sub-responsabile, mediante contratto, obblighi di protezione dei dati equivalenti a quelli del presente DPA e risponde nei confronti del Titolare del loro operato.
| Sub-responsabile | Servizio | Sede / Garanzie per i trasferimenti |
|---|---|---|
| Supabase, Inc. | Database, autenticazione e archiviazione file | Server UE (region EU) · USA — Clausole Contrattuali Standard (SCC) |
| Vercel, Inc. | Hosting e infrastruttura dell'applicazione, CDN | USA / UE — SCC |
| Paddle.com Market Ltd | Pagamenti e fatturazione dell'abbonamento a Tutoro (Merchant of Record) | Regno Unito — decisione di adeguatezza UE |
| Stripe Payments Europe Ltd | Pagamenti diretti studente/genitore → Titolare (opzionale, vedi art. 7-bis) | Irlanda (UE) / USA — SCC |
| OpenRouter, Inc. | Gateway di instradamento delle richieste AI verso i modelli e i relativi fornitori di inferenza | USA — SCC |
| Mistral AI SAS | Modelli di intelligenza artificiale (testi) | Francia (UE) |
| Amazon Web Services (modelli Nova, tramite OpenRouter) | Analisi AI delle immagini dei compiti | USA / UE — SCC |
| Fornitori di inferenza per Meta Llama (tramite OpenRouter) | Modello AI di riserva (testi) | USA — SCC |
| Google Ireland Ltd | Login OAuth, Google Calendar e Google Drive (opzionali), modelli AI Gemini | UE / USA — SCC |
| Resend, Inc. | Invio di email transazionali, incluse le comunicazioni agli studenti/genitori per conto del Titolare | USA — SCC |
| PostHog Inc. (dal 29 ottobre 2026) | Registrazione delle sessioni (solo se attivata dal Titolare) e gestione delle richieste di assistenza — vedi art. 7-ter | Dati ospitati in UE (Germania) · USA — SCC |
| Infomaniak Network SA (dal 29 ottobre 2026) | Casella email dell'assistenza (support@tutoro.it), per i messaggi che il Titolare vi invia — vedi art. 7-ter | Svizzera — decisione di adeguatezza UE |
🤖 I provider di intelligenza artificiale trattano i dati solo per generare la risposta richiesta e non li utilizzano per addestrare i propri modelli. I trasferimenti verso Paesi terzi avvengono in presenza di una decisione di adeguatezza o delle Clausole Contrattuali Standard della Commissione Europea.
Calendari collegati tramite link. Apple, Microsoft e gli altri servizi di calendario il cui link ICS è fornito dal Titolare non sono sub-responsabili: il Responsabile si limita a scaricare, in sola lettura, un file che il Titolare ha reso accessibile e non invia loro dati. Il link ICS è conservato cifrato e viene eliminato quando il Titolare scollega il calendario o cancella l'account.
Variazioni dell'elenco. In caso di aggiunta o sostituzione di un sub-responsabile, il Responsabile ne informa il Titolare con un preavviso di almeno 30 giorni, via email e/o mediante aggiornamento di questa pagina. Entro tale termine il Titolare può opporsi per giustificati motivi legati alla protezione dei dati; in caso di opposizione non risolvibile, il Titolare potrà recedere dal Servizio e ottenere la cancellazione o restituzione dei dati ai sensi dell'art. 9.
Se il Titolare attiva la funzione di pagamenti diretti (piano Studio), collega un proprio account Stripe, aperto e gestito autonomamente con le proprie credenziali: dati KYC, IBAN e fiscali vengono inseriti direttamente su Stripe e non transitano né vengono conservati dal Responsabile. Il denaro versato da studenti/genitori arriva direttamente sull'account Stripe del Titolare — il Responsabile non lo detiene né lo tratta in alcun momento (modello "Direct Charges" su Stripe Connect).
In questo schema, Stripe non tratta i dati di pagamento per conto del Responsabile nello stesso senso degli altri sub-responsabili elencati all'art. 7: è il Titolare stesso ad aver scelto e collegato Stripe come proprio fornitore di incasso. Il Responsabile, in qualità di piattaforma tecnica Stripe Connect, riceve unicamente eventi tecnici (conferma dell'avvenuto pagamento, stato di attivazione dell'account) necessari ad aggiornare i propri registri interni — mai i dati della carta di pagamento né l'accesso completo all'account Stripe del Titolare.
Conseguenza sulla cancellazione (vedi art. 9): alla cessazione del Servizio, il Responsabile cancella l'identificativo dell'account Stripe e il relativo stato dai propri sistemi, ma non ha la possibilità tecnica né il titolo per cancellare l'account Stripe del Titolare, che resta attivo finché il Titolare non lo chiude autonomamente dal proprio pannello Stripe.
Il paragrafo sulle richieste di assistenza si applica dal 29 settembre 2026, perché il trattamento avviene solo su istruzione del Titolare che sceglie di contattare l'assistenza. Il paragrafo sulla registrazione delle sessioni si applica dal 29 ottobre 2026: prima di tale data la funzione non è disponibile.
Richieste di assistenza. Quando il Titolare contatta l'assistenza (dall'app o via email) e vi include dati dei propri studenti, tali dati sono trattati tramite PostHog e Infomaniak su istruzione del Titolare e al solo fine di rispondere alla richiesta. Il Titolare si impegna a includervi solo i dati strettamente necessari.
Registrazione delle sessioni. È disattivata per impostazione predefinita e si attiva solo se il Titolare la abilita per il proprio account: tale scelta costituisce autorizzazione specifica al trattamento, tramite PostHog, dei dati degli studenti che compaiono sullo schermo del Titolare durante l'uso della Piattaforma. Prima dell'invio a PostHog, nomi e cognomi degli studenti, indirizzi, numeri di telefono e tutto ciò che viene digitato nei campi sono sostituiti da asterischi. Le registrazioni sono consultabili solo dal Responsabile e usate esclusivamente per l'assistenza al Titolare e per individuare e correggere malfunzionamenti o difficoltà d'uso della Piattaforma, mai per profilare gli studenti o per finalità pubblicitarie. Non vengono mai registrate le sessioni degli account studente e genitore. Il Titolare può revocare l'autorizzazione in qualsiasi momento dalle preferenze cookie; le registrazioni esistenti sono cancellate automaticamente alla scadenza del periodo di conservazione del servizio.
Il Responsabile assiste il Titolare, con misure tecniche e organizzative adeguate, nel dar seguito alle richieste degli interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione). La Piattaforma mette a disposizione funzioni self-service di esportazione dei dati (archivio ZIP completo, con la memoria IA in un file separato) e cancellazione. Le richieste di studenti e genitori vanno indirizzate in primo luogo al Titolare; il Responsabile fornisce supporto.
Alla cessazione del Servizio, per qualsiasi causa, il Responsabile, a scelta del Titolare:
Quando il Titolare elimina la scheda di un singolo studente, il Responsabile cancella i dati personali e comportamentali di quella scheda (compiti, voti, messaggi, memoria IA, piani di studio, verifiche generate, esercizi assegnati, allegati, accessi al portale, dati di fatturazione salvati) e anonimizza lezioni e pagamenti storici per preservare la contabilità del Titolare; l'eventuale account studente/genitore collegato non viene cancellato ma solo scollegato (art. 4-bis).
Salvo diversa istruzione del Titolare, alla cancellazione dell'account i dati vengono eliminati entro 30 giorni, fatti salvi gli obblighi di conservazione previsti dalla legge (es. dati fiscali e di fatturazione, conservati per il periodo di legge dal relativo titolare). I file della Libreria Materiali su Supabase seguono il periodo di grazia di 30 giorni descritto nei Termini (sez. 4-bis); i file su Google Drive restano nel Drive dell'Utente. I backup vengono sovrascritti secondo i normali cicli di rotazione. Per l'account Stripe del Titolare (pagamenti diretti), vale la precisazione dell'art. 7-bis: resta attivo su Stripe fino a chiusura autonoma da parte del Titolare.
In caso di violazione dei dati personali trattati per conto del Titolare, il Responsabile ne informa il Titolare senza ingiustificato ritardo e comunque entro 48 ore dal momento in cui ne è venuto a conoscenza, fornendo le informazioni di cui all'art. 33, par. 3 GDPR per quanto in suo possesso, tra cui:
Resta inteso che la valutazione e l'eventuale notifica all'Autorità di controllo (Garante) e la comunicazione agli interessati competono al Titolare, con l'assistenza del Responsabile.
Il Responsabile mette a disposizione del Titolare, su richiesta scritta e ragionevole, le informazioni necessarie a dimostrare la conformità agli obblighi del presente DPA. Eventuali audit possono essere svolti tramite la documentazione fornita dal Responsabile o, ove necessario, mediante ispezioni concordate con ragionevole preavviso, durante l'orario lavorativo e senza pregiudizio per la sicurezza e la riservatezza degli altri utenti.
Qualora il trattamento comporti il trasferimento di dati personali verso Paesi terzi, il Responsabile garantisce che tali trasferimenti avvengano in presenza di una decisione di adeguatezza della Commissione Europea o delle Clausole Contrattuali Standard (SCC), unitamente alle eventuali misure supplementari necessarie.
Alessandro Zanetti (Tutoro) — P. IVA 04820260984
Email: privacy@tutoro.it
Indirizzo: Via Isonzo 49, 25038 Rovato (BS)