Come EduFlow supporta la conformità normativa
Ultimo aggiornamento: 13/09/2026 | Versione 2.1
EduFlow è progettato per supportare la piena conformità al Regolamento Generale sulla Protezione dei Dati (GDPR - Reg. UE 2016/679). La piattaforma implementa funzionalità che consentono alle scuole di rispettare gli obblighi normativi.
Protezione dati integrata fin dalla progettazione
Strumenti per gestire richieste Art. 15-22
Template DPA per nomina Art. 28 GDPR
Log completi di accessi e modifiche
Procedure per notifica violazioni
Gestione conservazione limitata nel tempo
In conformità al principio di limitazione della conservazione (Art. 5 GDPR), i tempi di conservazione dei dati scolastici li stabilisce la scuola, titolare del trattamento, nel proprio piano di conservazione. Hestia li tratta per conto della scuola solo per la durata dell'abbonamento.
Nota Importante: la conservazione di registri, valutazioni, scrutini e atti protocollati è un obbligo della scuola, non di Hestia. Ogni istituto la definisce con il proprio DPO o consulente, in base alla normativa sugli archivi scolastici; per le scuole statali lo scarto dei documenti richiede l'autorizzazione della Soprintendenza archivistica (D.Lgs. 42/2004).
| Categoria Dati | Chi decide la durata | In EduFlow | Alla cessazione dell'abbonamento |
|---|---|---|---|
| Protocollo e documenti amministrativi (registrazioni, allegati, PEC protocollate) |
La scuola, nel piano di conservazione (massimario di scarto) | Anni impostati per ogni voce del titolario; vuoto = conservazione illimitata. Le registrazioni si annullano, non si cancellano (DPR 445/2000) | Esportazione su richiesta della scuola; in assenza, cancellazione dopo 90 giorni (DPA) |
| Registro, presenze e giustificazioni (assenze, ritardi, motivazioni) |
La scuola | Restano finché la scuola non li cancella | Esportazione su richiesta della scuola; in assenza, cancellazione dopo 90 giorni (DPA) |
| Voti e scrutini (valutazioni, esiti, relazioni) |
La scuola: i piani di conservazione scolastici prevedono di norma la conservazione a lungo termine di registri ed esiti | Restano finché la scuola non li cancella | Esportazione su richiesta della scuola; in assenza, cancellazione dopo 90 giorni (DPA) |
| Comunicazioni con le famiglie (circolari, avvisi, colloqui) |
La scuola | Restano finché la scuola non li cancella | Esportazione su richiesta della scuola; in assenza, cancellazione dopo 90 giorni (DPA) |
| Account degli utenti (nome, email, credenziali) |
La scuola, che attiva e disattiva gli utenti | Per la durata dell'abbonamento | Esportazione su richiesta della scuola; in assenza, cancellazione dopo 90 giorni (DPA) |
| Log di accesso e audit (IP, data e ora, operazioni) |
Hestia, per la sicurezza della piattaforma | 12 mesi, poi cancellazione; alcuni eventi più a lungo (vedi Privacy) | Cancellazione con i log della piattaforma |
Disclaimer:
Questa pagina descrive come EduFlow supporta la conservazione, non sostituisce il piano di conservazione dell'istituto. Ogni istituto scolastico, in qualità di Titolare del trattamento, deve:
Il modulo Protocollo di EduFlow è progettato per supportare la conformità al DPR 445/2000 (Testo Unico Documentazione Amministrativa) e al CAD (Codice Amministrazione Digitale - D.Lgs. 82/2005).
Ogni protocollo riceve un numero univoco progressivo per anno solare (es: 0001/2025, 0002/2025...)
Mittente, destinatario, oggetto, data, tipologia documento, livello urgenza/riservatezza
Calcolo hash crittografico per garantire l'integrità tecnica dei documenti nel sistema. L'hash SHA-256 permette di verificare che un file non sia stato alterato, ma non costituisce valore legale di certificazione ai fini della conservazione a norma (CAD Art. 44).
Audit log completo di creazione, visualizzazione, download, modifiche
Gestione versioni multiple dello stesso documento con storico completo
Ricerca full-text su oggetto, mittente, destinatario, note con filtri per data e tipologia
Immodificabilità dei Protocolli:
Il sistema impedisce la modifica dei dati principali di un protocollo già registrato (numero, data, mittente/destinatario, oggetto). È possibile solo aggiungere note integrative tracciate nel log.
Gli allegati, una volta caricati e il cui hash è stato calcolato, non possono essere sostituiti. È possibile solo aggiungerne di nuovi (con nuovo hash) creando una nuova versione.
La sicurezza del sistema è perseguita attraverso un approccio multi-livello che coinvolge sia misure applicative (Hestia Properties Srl) sia misure infrastrutturali (Aruba S.p.A.).
I server sono ospitati presso Aruba S.p.A., che implementa le seguenti misure (fonte: Aruba Privacy Policy):
HESTIA PROPERTIES SRL (sviluppo e applicativo):
ARUBA S.p.A. (Responsabile del Trattamento Art. 28):
EduFlow include un modulo di gestione del Registro dei Trattamenti (Art. 30 GDPR) che consente alle scuole di documentare e aggiornare le attività di trattamento dati.
Al momento della prima registrazione, il sistema crea automaticamente 4 trattamenti base che coprono le attività più comuni. La scuola può poi personalizzarli e aggiungerne altri.
EduFlow include procedure per la gestione violazioni dati (Art. 33-34 GDPR):
Secondo quanto dichiarato nella Privacy Policy di Aruba, il provider infrastrutturale possiede le seguenti certificazioni:
Sistema di gestione della sicurezza delle informazioni
Controlli sicurezza per servizi cloud
Protezione dati personali nel cloud pubblico
Fonte: https://www.aruba.it/privacy.aspx | Per verifiche o dettagli tecnici, contattare direttamente Aruba S.p.A.
Nessun trasferimento extra-UE dei dati scolastici:
I server sono localizzati in Italia e i fornitori che trattano i dati delle scuole operano nell'Unione Europea: alunni, famiglie e personale non escono dal territorio UE.
Per domande sulla conformità e sicurezza:
Viale Certosa, 218 - 20156 Milano
P.IVA: 10649831210
Email: privacy@eduflow.cloud
Email: privacy@eduflow.cloud
Aruba S.p.A.
Via San Clemente, 53
24036 Ponte San Pietro (BG)