PRIVACY & SECURITY
Protezione dei dati,
fin dalla progettazione.
Meno dati raccolti, accessi più controllati, cancellazioni programmate. ScuolaPass fornisce strumenti tecnici agli istituti senza sostituire le valutazioni del Titolare o del DPO/RPD.
IL NOSTRO APPROCCIO
Il dato più sicuro è quello che non serve raccogliere.
ScuolaPass è progettato secondo principi di privacy by design e privacy by default e fornisce agli istituti strumenti tecnici per supportare i propri adempimenti in materia di protezione dei dati.
- Finalità definite e configurabili per istituto.
- Interfacce diverse per ruolo e minimo privilegio.
- Informative versionate, accessibili prima della raccolta.
- Presa visione distinta da un eventuale consenso.
Verificare l’identità senza creare un archivio di copie.
Modalità consigliata — minimizzazione
L’operatore controlla fisicamente il documento e registra soltanto tipo, identificativo minimo, scadenza, data e operatore della verifica. La copia non viene conservata.
Conservazione della copia — opzione separata
Disponibile solo quando l’istituto la ritenga necessaria. Il documento resta cifrato in storage privato, accessibile tramite URL firmati brevi, con logging di ogni apertura e cancellazione programmata.
Attenzione: valuta se la conservazione della copia integrale del documento è realmente necessaria. ScuolaPass raccomanda la minimizzazione dei dati. Questa indicazione non costituisce consulenza legale definitiva.
Sicurezza a più livelli.
- TLS e cifratura at-rest.
- MFA per amministratori e sessioni sicure.
- Autorizzazione server-side per ogni operazione.
- Audit append-only privo di documenti, token e dati eccedenti.
- Upload in quarantena, verifica MIME e predisposizione malware scan.
- Backup cifrati con restore testabile.
Ogni istituto è un confine.
Il contesto dell’istituto deriva dalla sessione e non dall’URL fornito dall’utente. Query, policy database, cache e object storage applicano l’isolamento tenant. Un tentativo di accesso a un’altra scuola non rivela l’esistenza della risorsa.
Conservare solo finché serve.
I tempi non sono imposti come obblighi di legge: l’istituto li configura sulla base delle indicazioni del proprio DPO/RPD. Un job giornaliero applica cancellazione o anonimizzazione e registra ogni operazione.
Ruoli chiari, decisioni responsabili.
L’istituto è configurabile come Titolare del trattamento. Il fornitore ScuolaPass può operare come Responsabile nei limiti del contratto e delle istruzioni ricevute. Base giuridica, retention, DPIA e gestione degli incidenti richiedono la valutazione dell’istituto e del DPO/RPD.
LEGAL/DPO REVIEW REQUIRED: i template e le configurazioni del prodotto non costituiscono automaticamente una valutazione di conformità.