Accordo sul trattamento dei dati

Ultimo aggiornamento: 22 ottobre 2026

Stampa o salva in PDF

Accordo per il trattamento dei dati personali ai sensi dell'art. 28 del Regolamento (UE) 2016/679 (GDPR). Fa parte integrante dei Termini di servizio di Quizhat e si applica automaticamente, senza bisogno di firma, a ogni account che usa Quizhat con i dati dei partecipanti. Per una copia firmata o per domande scrivi a festalaurea.info@gmail.com.

1. Parti e oggetto

• Titolare del trattamento (“Titolare”): il cliente titolare dell'account Quizhat, o l'organizzazione (ente di formazione, azienda, scuola, organizzatore di eventi) per conto della quale agisce, che organizza le sessioni.
• Responsabile del trattamento (“Responsabile”): FESTALAUREA SRLS, Via Luigi Mascherpa 18, 35131 Padova (PD), P.IVA 05743150285, PEC festalaurea@pec.it, che fornisce Quizhat.
• Oggetto: il trattamento, da parte del Responsabile e per conto del Titolare, dei dati personali dei partecipanti alle sessioni e degli iscritti, necessario a fornire il servizio Quizhat. I dati dell'account del Titolare sono invece trattati da FESTALAUREA SRLS come titolare autonomo, secondo l'Informativa privacy.

2. Descrizione del trattamento

• Natura e finalità: raccolta, registrazione, conservazione, consultazione, elaborazione, comunicazione al Titolare e cancellazione dei dati per svolgere quiz e verifiche dal vivo o a distanza, calcolare punteggi ed esiti, produrre report, verbali, attestati ed esportazioni, inviare per email i link ai test e i questionari di follow-up richiesti dal Titolare.
• Categorie di interessati: partecipanti alle sessioni (per esempio lavoratori in formazione, studenti, ospiti di un evento) e iscritti caricati dal Titolare.
• Tipi di dati: soprannome, avatar e squadra; nome e cognome; azienda e gli altri campi che il Titolare sceglie di chiedere; email degli iscritti, se il Titolare la inserisce; risposte, tempi, punteggi, esiti e tentativi; eventi della sessione (ingresso, uscita, consegna, uscite dalla pagina durante la verifica); dati degli attestati (nome, corso, data, esito, codice di verifica); risposte ai questionari di follow-up; dati tecnici di connessione necessari al funzionamento in tempo reale.
• Dati particolari e giudiziari: il servizio non è pensato per trattare categorie particolari di dati (art. 9 GDPR) né dati relativi a condanne e reati (art. 10). Il Titolare si impegna a non raccoglierli tramite i campi aggiuntivi o le domande.
• Durata: per la durata del contratto, salvo quanto previsto al punto 11.

3. Obblighi del Titolare

• Il Titolare determina finalità e mezzi del trattamento e garantisce di avere una base giuridica valida, di aver fornito agli interessati l'informativa (artt. 13 e 14 GDPR), anche sull'uso di Quizhat, sull'invio delle email e sui follow-up, e di raccogliere solo i dati necessari (minimizzazione).
• Per i partecipanti minorenni, il Titolare rispetta le regole applicabili alla scuola o all'ente e preferisce l'uso di soprannomi non identificativi.
• Il Titolare custodisce le credenziali del proprio account e gestisce con attenzione i report, i verbali e le esportazioni che scarica, di cui risponde una volta usciti dal servizio.

4. Istruzioni

Il Responsabile tratta i dati solo su istruzione documentata del Titolare (art. 28.3.a GDPR). Le istruzioni sono costituite da questo accordo, dai Termini di servizio e dalle impostazioni e azioni che il Titolare compie nel servizio (per esempio campi da chiedere, invio dei link, programmazione dei follow-up, eliminazione di una sessione o dell'account). Ulteriori istruzioni vanno date per iscritto, anche via email, e se comportano costi o attività non previste dal servizio possono essere concordate a parte. Il Responsabile informa senza ritardo il Titolare se ritiene che un'istruzione violi il GDPR o altre norme sulla protezione dei dati. Se il diritto dell'Unione o italiano impone un trattamento diverso, il Responsabile ne informa il Titolare prima del trattamento, salvo che la legge lo vieti.

5. Riservatezza

Il Responsabile autorizza al trattamento solo le persone che ne hanno bisogno per fornire, mantenere e assistere il servizio, le istruisce e garantisce che si siano impegnate alla riservatezza o abbiano un obbligo legale di riservatezza (art. 28.3.b). Il Responsabile non accede ai contenuti delle sessioni se non per fornire il servizio, per l'assistenza richiesta dal Titolare, per la sicurezza o per obblighi di legge.

6. Misure di sicurezza

Il Responsabile adotta misure tecniche e organizzative adeguate al rischio (art. 32 GDPR), tra cui:

• connessioni sempre cifrate (HTTPS/TLS), anche per il collegamento in tempo reale dei telefoni;
• controllo degli accessi: ogni account vede solo le proprie sessioni e i propri report; password conservate solo come hash Argon2; accesso con Google o Microsoft tramite OpenID Connect;
• server in un data center in Italia, con firewall, accesso amministrativo solo tramite chiave crittografica e protezione dai tentativi di accesso ripetuti;
• limiti ai tentativi di accesso e alle registrazioni, controlli sui file caricati;
• backup giornaliero del database e delle immagini, con verifica dell'integrità della copia, e procedura di ripristino;
• aggiornamento del software e test automatici sui controlli di accesso.

Il Responsabile può aggiornare le misure nel tempo, purché il livello di sicurezza complessivo non diminuisca.

7. Sub-responsabili

Il Titolare concede un'autorizzazione generale al ricorso ad altri responsabili (sub-responsabili, art. 28.2 e 28.4 GDPR). Il Responsabile impone a ciascuno, per contratto, obblighi di protezione dei dati sostanzialmente equivalenti a quelli di questo accordo e resta responsabile verso il Titolare del loro operato. I sub-responsabili attuali sono:

Il Responsabile comunica al Titolare via email, con almeno 15 giorni di anticipo, l'aggiunta o la sostituzione di un sub-responsabile e aggiorna questa pagina. Il Titolare può opporsi per motivi ragionevoli legati alla protezione dei dati entro lo stesso termine; se non si trova una soluzione, il Titolare può recedere dal contratto con il rimborso della parte di abbonamento non goduta.

Non sono sub-responsabili, perché agiscono come titolari autonomi e non ricevono dal Responsabile i dati dei partecipanti per suo conto: Stripe (pagamenti del Titolare), Google e Microsoft (accesso all'account del Titolare). Nei quiz con video YouTube inseriti dal Titolare, il dispositivo del partecipante carica il lettore direttamente da YouTube (Google), che riceve l'indirizzo IP come titolare autonomo: il Titolare ne tiene conto nella propria informativa o usa quiz senza video.

8. Trasferimenti fuori dall'UE

Database, immagini e backup sono conservati in Italia. Un trasferimento di dati verso paesi fuori dallo Spazio economico europeo, anche tramite un sub-responsabile, avviene solo se è assicurata una garanzia prevista dal capo V del GDPR: una decisione di adeguatezza (come l'EU-US Data Privacy Framework per i fornitori certificati) o le clausole contrattuali standard approvate dalla Commissione europea.

9. Assistenza al Titolare

• Diritti degli interessati (art. 28.3.e): il servizio permette al Titolare di consultare ed esportare i dati delle sessioni e di cancellarli eliminando la singola sessione dal suo report. Il Responsabile inoltra al Titolare, senza ritardo e di regola entro 5 giorni lavorativi, le richieste che riceve direttamente dagli interessati, senza rispondere nel merito salvo istruzione del Titolare, e lo aiuta a dare seguito alle richieste che il Titolare non può soddisfare da solo con le funzioni del servizio (per esempio cancellando su sua richiesta un singolo partecipante).
• Sicurezza, valutazioni d'impatto e consultazione preventiva (art. 28.3.f): il Responsabile fornisce al Titolare le informazioni ragionevolmente necessarie per gli obblighi degli articoli 32-36 GDPR, tenuto conto della natura del trattamento e delle informazioni a sua disposizione.

10. Violazioni dei dati

Il Responsabile informa il Titolare senza ingiustificato ritardo, e comunque entro 48 ore da quando ne è venuto a conoscenza, di ogni violazione dei dati personali che riguardi i dati trattati per suo conto (art. 33.2 GDPR). La comunicazione è inviata all'email dell'account e contiene, per quanto disponibili, la natura della violazione, le categorie e il numero approssimativo di interessati e di dati coinvolti, le probabili conseguenze, le misure adottate o proposte e un contatto; le informazioni non disponibili subito sono fornite appena possibile. Il Responsabile adotta senza ritardo le misure per contenere la violazione e aiuta il Titolare nelle notifiche al Garante e agli interessati.

11. Cancellazione e restituzione dei dati

• Durante il contratto il Titolare può scaricare in qualsiasi momento report, verbali, attestati e l'esportazione completa dei dati dell'account (formato JSON) dalla pagina Account.
• Il Titolare può eliminare in qualsiasi momento una singola sessione dal suo report («Elimina sessione»): il Responsabile cancella subito partecipanti, risposte, punteggi, uscite dalla pagina, iscritti e link personali, attestati (la loro pagina di verifica non li mostra più come validi) e follow-up della sessione. Le copie nei backup sono sovrascritte entro 14 giorni.
• Quando il Titolare elimina l'account, il Responsabile cancella subito i dati trattati per suo conto (art. 28.3.g). Le copie nei backup sono sovrascritte entro 14 giorni; fino ad allora non sono usate se non per il ripristino in caso di guasto.
• Se il contratto termina per altre ragioni, il Responsabile conserva i dati per 30 giorni per permettere al Titolare di scaricarli, poi li cancella, salvo che il diritto dell'Unione o italiano ne imponga la conservazione.
• Su richiesta del Titolare il Responsabile conferma per iscritto l'avvenuta cancellazione.

12. Informazioni e verifiche

Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto dell'art. 28 GDPR e consente e contribuisce alle attività di revisione, comprese le ispezioni, svolte dal Titolare o da un revisore da lui incaricato e vincolato alla riservatezza (art. 28.3.h). Salvo violazioni dei dati o richieste di un'autorità, le verifiche si svolgono di regola una volta all'anno, con preavviso scritto di almeno 30 giorni, in orario lavorativo, senza accesso ai dati di altri clienti e senza compromettere la sicurezza del servizio; si svolgono in primo luogo tramite la documentazione e le risposte scritte del Responsabile. I costi della verifica sono a carico del Titolare, salvo che emergano violazioni rilevanti del Responsabile.

13. Durata e disposizioni finali

• Questo accordo vale finché il Responsabile tratta dati per conto del Titolare e cessa con la cancellazione prevista al punto 11.
• Ciascuna parte risponde verso gli interessati e verso l'altra parte secondo l'art. 82 GDPR. Nei rapporti tra le parti si applicano i limiti di responsabilità dei Termini di servizio, nei limiti consentiti dalla legge.
• In caso di contrasto tra questo accordo e i Termini di servizio in materia di protezione dei dati, prevale questo accordo.
• Si applicano la legge italiana e il foro indicato nei Termini di servizio. Il Responsabile può aggiornare l'accordo con le modalità previste dai Termini di servizio, senza ridurre le garanzie per gli interessati.