The Yellow Train s.r.l. (con sede in Milano, via Caravaggio, 3) e le Società che gestiscono le strutture aderenti al network Becoming, BD Bimbi s.r.l. (con sede legale in Milano, via Anfossi 36), Tyt Brianza s.r.l. (con sede in Milano, via Caravaggio, 3), Child Care s.r.l. (con sede legale in Milano, via Anfossi 36), – Peter Pan Bilingual school s.r.l. (con sede in Modena, via Anderlini 5), Boadicea s.r.l. (con sede in Fagnano Olona (VA), Via Ing. G.G. Tronconi n. 10)(di seguito congiuntamente le “Parti”) garantiscono reciprocamente di conoscere ed applicare, nell’ambito delle rispettive attività, tutte le norme attualmente vigenti in materia di protezione dei dati che siano rilevanti nell’ambito della corretta gestione delle proprie attività.
Articolo 1: PREMESSE ED ALLEGATI
[OMISSIS]
Articolo 2: AMBITI DI COMPETENZA
[OMISSIS]
ARTICOLO 3: OPERAZIONI DI TRATTAMENTO
3.1 L’attività di trattamento oggetto del presente Accordo di Co-Titolarità è finalizzata all’erogazione dei Servizi e alla gestione del progetto pedagogico il cui modello si ispira al Manifesto pedagogico “La scuola”.
3.2 La Co-Titolarità ha per oggetto il trattamento dei dati personali dei genitori e del minore che usufruisce dei Servizi, nonché delle persone delegate al ritiro del minore. Le Parti decidono di avvalersi dell’applicazione Kindertapp per le comunicazioni di carattere gestionale e amministrativo tra le singole strutture e la famiglia, nonché per l’eventuale condivisione di fotografie o video contenenti l’immagine, il nome e la voce del minore.
I dati personali dei genitori saranno trattati per le seguenti finalità:
- prima dell’instaurazione del rapporto, scambio di informazioni per uso finalizzato alla valutazione dell’offerta pedagogica e amministrativa di Becoming, nonché
- successivamente alla conclusione del contratto, gestione del rapporto instaurato;
- successivamente alla conclusione del contratto, conseguente adempimento degli obblighi previsti da leggi, regolamenti o dalla normativa comunitaria, in materia fiscale e di tenuta delle scritture contabili;
- promozione di future iniziative di Becoming comunicate ai Clienti tramite e-mail ovvero tramite notifiche push dell’applicazione Kindertapp.
Le basi giuridiche per i trattamenti di dati personali dei genitori sopra illustrati sono costituite rispettivamente:
- dall’art. 6, par. 1, lett. b), del GDPR, per le finalità a), b);
- dall’ art. 6, part. 1, lett. c) del GDPR per la finalità c);
- dall’art. 6, part. 1, lett. f) del GDPR per la finalità d).
I dati personali del minore saranno trattati per le seguenti finalità:
- prima dell’instaurazione del rapporto, finalità connesse allo scambio di informazioni finalizzate alla valutazione dell’offerta pedagogica e amministrativa di Becoming;
- successivamente alla conclusione del contratto, connesse alla gestione del rapporto instaurato;
- successivamente alla conclusione del contratto – finalità connesse al conseguente adempimento degli obblighi previsti da leggi, regolamenti o dalla normativa comunitaria;
- finalità connesse alla garanzia delle coperture assicurative obbligatorie;
- finalità formative, per quanto concerne l’utilizzo di fotografie e video contenenti l’immagine, il nome e la voce del minore, all’interno di attività educative e didattiche, eventualmente condivise mediante l’utilizzo di apposite applicazioni;
- finalità documentative e informative, nonché di comunicazione aziendale, per quanto concerne l’utilizzo di fotografie e video contenenti l’immagine, il nome e la voce del minore, all’interno di attività educative e didattiche, che comportano la pubblicazione sul sito web e sui canali social;
- finalità connesse alla gestione di eventuali patologie e alla gestione delle assenze per malattia;
- finalità connesse alla partecipazione alle attività inerenti al programma pedagogico e alla partecipazione ad uscite didattiche guidate.
Le basi giuridiche per i trattamenti di dati sopra illustrati sono costituite rispettivamente:
- dall’art. 6, par. 1, lett. b), del GDPR per le finalità a), b), c), e), h);
- dall’ art. 6, part. 1, lett. c) del GDPR per le finalità d);
- dall’art. 6, part. 1, lett. a) del GDPR per la finalità f);
- dall’art. 6, part. 1, lett. a) del GDPR per la finalità h).
I dati personali delle persone delegate al ritiro del minore saranno trattati per garantire che l’uscita del minore dai locali avvenga in condizioni di sicurezza e incolumità. La base giuridica per il trattamento è l’art. 6, part. 1, lett. f) del GDPR.
3.3 La Co-Titolarità ha altresì per oggetto il trattamento dei dati personali dei genitori e del minore che usufruiscono dei Servizi relativi alle attività extra didattiche e ai viaggi promossi da Becoming, rivolti anche ai non iscritti agli asili-nido e alle scuole materne, primaria e secondaria di primo grado e ai genitori accompagnatori.
I dati personali dei genitori saranno trattati per le seguenti finalità:
- iscrizione ai viaggi di istruzione organizzati da Becoming;
- adempimento degli obblighi previsti da leggi, regolamenti o dalla normativa comunitaria, in materia fiscale e di tenuta delle scritture contabili;
- rilevazione di allergie e intolleranze alimentari o situazioni di salute che richiedano assistenza speciale durante le attività proposte da Becoming.
Le basi giuridiche per i trattamenti di dati personali dei genitori sopra illustrati sono costituite rispettivamente:
- per le finalità a), è l’art. 6, par. 1, lett. b), del GDPR, è l’esecuzione di misure precontrattuali e/o di un contratto;
- per la finalità b), è l’art. 6, part. 1, lett. c) del GDPR, in quanto il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il Co-Titolare del trattamento;
- per la finalità c), è l’art. 9, par. 2, lett. a), del GDPR, in quanto è necessario il suo consenso espresso in calce al presente modulo.
I dati personali del minore saranno trattati per le seguenti finalità:
- iscrizione all’attività extra didattica o all’evento organizzato da Becoming;
- adempimento degli obblighi previsti da leggi, regolamenti o dalla normativa comunitaria, in materia fiscale e di tenuta delle scritture contabili;
- finalità documentative e informative, per quanto concerne l’utilizzo di fotografie e video contenenti l’immagine, il nome e la voce del minore, all’interno di attività extra didattiche, che comportano la pubblicazione sul sito web e sui canali social;
- rilevazione di allergie e intolleranze alimentari o situazioni di salute che richiedano assistenza speciale durante le attività proposte da Becoming.
Le basi giuridiche per i trattamenti di dati sopra illustrati sono costituite rispettivamente:
- per le finalità a), dall’art. 6, par. 1, lett. b), del GDPR, in quanto il trattamento si rende necessario per l’esecuzione di misure precontrattuali e/o di un contratto;
- per la finalità b), dall’art. 6, part. 1, lett. c) del GDPR, in quanto il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il Co-Titolare del trattamento;
- per le finalità c), dall’art. 6, par. 1, lett. f), del GDPR, in quanto il trattamento è necessario per il perseguimento del legittimo interesse dei Co-Titolari.
- per la finalità d), dall’art. 6, par. 1, lett. a), del GDPR, in quanto è necessario il consenso da entrambi gli esercenti la responsabilità genitoriale.
3.4 La Co-Titolarità ha altresì per oggetto il trattamento dei dati personali dei genitori che usufruiscono dei Servizi relativi alle attività didattiche ed extra didattiche per finalità di analisi finalizzate alla segmentazione della clientela, volta a individuare aree geografiche a maggiore concentrazione di potenziali clienti per poter espandere la propria rete di strutture, consolidare il brand e adattare l’offerta formativa in base alle esigenze delle famiglie. La base giuridica del trattamento è costituita dall’art. 6, par. 1, lett. f), del GDPR, in quanto il trattamento è necessario per il perseguimento del legittimo interesse dei Co-Titolari.
3.5 Le Parti rispondono congiuntamente della liceità e correttezza del trattamento effettuato.
3.6 Le Parti si riservano di individuare nel corso delle operazioni modalità e precauzioni aggiuntive affinché le operazioni inerenti il trattamento avvengano nel rispetto dei principi generali fissati dall’articolo 5 del GDPR e dal diritto interno dello Stato membro in cui si esplica il trattamento, con particolare riferimento ai principi di liceità, correttezza e trasparenza nei confronti degli interessati, nonché di limitazione delle finalità, minimizzazione dei dati ed esattezza del trattamento.
Articolo 4: OGGETTO
4.1 Ai fini del conseguimento delle predette finalità, le categorie di dati personali oggetto di trattamento sono quelle di seguito indicate.
4.2 Rispettivamente, per i genitori le operazioni di trattamento avranno ad oggetto i cd. dati comuni dei genitori, quali dati anagrafici, dati di contatto e dati bancari; per il minore, invece, sia dati comuni (dati anagrafici) sia dati cd. particolari.
4.3 Le operazioni di trattamento avranno ad oggetto anche i dati anagrafici delle persone delegate al ritiro del minore.
4.4 Con la stipula del presente Accordo di Co-Titolarità (art. 26 del GDPR) le Parti, con riguardo alle attività di trattamento descritte al precedente articolo 3, determinano quanto segue:
- [OMISSIS];
- Esercizio dei diritti dell’interessato ex artt. 15 ss. del GDPR (raccolta e gestione delle istanze degli interessati): The Yellow Train funge da punto di contatto per gli Interessati allo scopo di gestire le richieste provenienti da questi ultimi. In questi casi la stessa si impegna ad accertare preventivamente l’identità dell’Interessato per verificare la legittimità della richiesta e a fornire riscontro nei tempi richiesti dal GDPR.
In ogni caso, l’Interessato potrà esercitare i propri diritti nei confronti di ciascuna delle due Parti, le quali hanno l’obbligo di adempiere.
- [OMISSIS];
- Adozione di misure di sicurezza idonee ex articoli 32 del GDPR: ciascuna Parte si impegna a garantire un livello di sicurezza adeguato al rischio tenuto conto, in special modo, dei rischi che potrebbero derivare dallo specifico trattamento oggetto dell’Accordo quali, ad esempio, distruzione o perdita, anche accidentale, dei dati, nonché di accesso non autorizzato o di trattamento non consentito o difforme dalle finalità della raccolta dei dati medesimi.
- Notifica tempestiva di eventuali violazioni di dati personali all’Autorità di controllo e all’interessato nei casi in cui tali adempimenti siano dovuti, ai sensi degli artt. 33 e 34 del GDPR: fatta salva la reciproca collaborazione, ciascuna Parte provvede autonomamente.
Articolo 5: REVOCA
[OMISSIS];
Articolo 6: DECORRENZA E DURATA
[OMISSIS];
Articolo 7: MODIFICHE ALL’ACCORDO
[OMISSIS];
Articolo 8: SOTTOSCRIZIONE DELL’ACCORDO
[OMISSIS];
Milano, 07/2023