Studium · documento legale · template
Data Processing Agreement (template V1)
Versione draft 0.1 · pubblicato 2026/05 · ancora non sottoscritto
Stato attuale
Studium V0 funziona su base volontaria. Lo studente firma direttamente la privacy notice come interessato, senza l'intermediazione di un Titolare istituzionale. Questo DPA è un template informativo: servirà alla V1, quando l'Università degli Studi di Salerno (o un altro ente educativo) assumerà formalmente il ruolo di Titolare del trattamento e Studium quello di Responsabile.
1 · Parti
Titolare del trattamento: l'Università degli Studi di Salerno, — quando il rapporto sarà contrattualizzato.
Responsabile del trattamento: Studium (Alessandro Devito), che fornisce la piattaforma e tratta dati personali per conto del Titolare secondo le istruzioni documentate del Titolare.
2 · Oggetto e durata
Il Responsabile tratta i dati personali degli studenti iscritti all'insegnamento autorizzato dal Titolare per finalità di apprendimento assistito da AI: gestione account, sessioni di studio multimodali, generazione di metafore validate dal docente, diagnostica aggregata anonima della classe.
Durata: la durata dell'insegnamento, prorogabile esplicitamente. Al termine, retention residua massima 90 giorni per gestire eventuali richieste di export. Poi cancellazione effettiva.
3 · Categorie di dati e di interessati
- identificativi: nome, cognome, email istituzionale, eventuale matricola;
- dati di sessione: timestamp, durata, modalità (testo/voce/disegno/foto);
- dati cognitivi: risposte a check di comprensione, livelli di confidence dichiarati;
- artefatti multimodali: testi, registrazioni voce, disegni, foto inviati dallo studente.
Categorie particolari (art. 9 GDPR): non trattate intenzionalmente. Lo schema dati separa identità e cognizione (ADR-0003) per impedirne la ricostruzione.
4 · Obblighi del Responsabile
- trattare i dati solo su istruzione documentata del Titolare;
- garantire la riservatezza del personale autorizzato (oggi: il solo founder);
- adottare misure di sicurezza adeguate ex art. 32 GDPR (HMAC sessione, HTTPS forced, sanitize SVG, schema separato);
- notificare al Titolare entro 24h ogni violazione di dati personali (art. 33);
- assistere il Titolare nel rispondere a richieste degli interessati;
- su richiesta del Titolare, cancellare o restituire i dati a fine rapporto.
5 · Sub-responsabili
Studium si avvale di:
- Railway (hosting + database, region EU) — sub-responsabile dichiarato;
- Anthropic (modelli Claude per generazione metafore e Learning Twin) — sub-responsabile dichiarato, con DPA proprio;
- Resend (email transazionali) — sub-responsabile dichiarato, vedi DPIA email;
- Sentry (error tracking, region EU) — sub-responsabile dichiarato;
- PostHog (analytics, region EU) — sub-responsabile dichiarato.
Ogni cambio di sub-responsabile verrà notificato al Titolare con almeno 30 giorni di preavviso e potrà essere contestato.
6 · Trasferimenti extra-UE
Per regola generale i dati restano in UE. Eventuali trasferimenti extra-UE (es. chiamate ai modelli Claude attualmente serviti da infrastruttura US) avvengono sotto Standard Contractual Clauses Commissione Europea 2021/914 e con minimizzazione del payload trasmesso (no PII nel prompt, solo concetti del Mastery Graph).
7 · Audit
Il Titolare ha diritto di audit con preavviso ragionevole. Studium fornirà l'output dell'audit GDPR automatico settimanale (script audit-gdpr.ts ↗), i log delle violazioni di soglia (se mai accadute), il registro versioni della privacy notice e ogni log di accesso amministrativo.
8 · Quando questo documento diventa vincolante
Oggi è un template informativo non vincolante. Diventerà vincolante quando UniSa (o altro ente Titolare) e Studium firmeranno il DPA in versione 1.0 conclusiva, allegata al protocollo d'intesa istituzionale che inquadrerà il programma V1 oltre il singolo insegnamento volontario.
Per discutere la sottoscrizione contattare alessandro.devito@gmail.com.