SostiTU

🧮 Calcolatore preventivo

📋 GDPR e Privacy

📄 Scarica DPA (Word)

⚠️ Nota importante: questo è un modello basato sugli standard GDPR (art. 28 Reg. UE 2016/679), utile come base di partenza. Prima dell'uso con scuole reali fallo verificare da un legale o consulente privacy, soprattutto per il trattamento di dati in ambito scolastico (presenza di minori).

ACCORDO SUL TRATTAMENTO DEI DATI PERSONALI (DPA)

Nomina a Responsabile del trattamento ai sensi dell'art. 28 del Regolamento UE 2016/679 (GDPR)

TRA

L'Istituto Scolastico [NOME ISTITUTO], con sede in [INDIRIZZO], C.F. [CODICE FISCALE], codice meccanografico [CODICE MECCANOGRAFICO], in persona del Dirigente Scolastico pro tempore [NOME DIRIGENTE], di seguito "Titolare del trattamento" o "Scuola";

E

[DATI FORNITORE — nome/ragione sociale, P.IVA/C.F., sede], fornitore del servizio software "SostiTU" per la gestione delle sostituzioni e dei permessi del personale scolastico, di seguito "Responsabile del trattamento" o "Fornitore";

PREMESSO CHE

• la Scuola utilizza il servizio SostiTU per la gestione organizzativa delle sostituzioni del personale docente e delle richieste di permesso;
• tale attività comporta il trattamento di dati personali del personale scolastico per conto della Scuola;
• la Scuola, in qualità di Titolare, nomina il Fornitore quale Responsabile del trattamento ai sensi dell'art. 28 GDPR;

SI CONVIENE QUANTO SEGUE

Art. 1 — Oggetto e durata

Il presente accordo disciplina il trattamento dei dati personali effettuato dal Responsabile per conto del Titolare nell'ambito dell'erogazione del servizio SostiTU. L'accordo ha la stessa durata del contratto di licenza e cessa con la sua risoluzione.

Art. 2 — Tipologie di dati e categorie di interessati

Categorie di interessati: personale docente e ATA della Scuola.

Tipologie di dati trattati: dati anagrafici (nome, cognome), dati di contatto (email, telefono), dati relativi al rapporto di lavoro (plesso, qualifica, tipo di contratto, orario di servizio), dati relativi a presenze, assenze, permessi e sostituzioni.

Il servizio non è destinato al trattamento di categorie particolari di dati (art. 9 GDPR). Eventuali dati relativi alla salute contenuti nelle richieste di permesso (es. certificati) sono trattati esclusivamente su iniziativa e responsabilità del Titolare.

Art. 3 — Finalità del trattamento

I dati sono trattati al solo fine di erogare le funzionalità del servizio: organizzazione delle sostituzioni, gestione delle richieste di permesso, generazione della relativa modulistica e comunicazioni operative al personale. Il Responsabile non utilizza i dati per finalità proprie.

Art. 4 — Obblighi del Responsabile

Il Responsabile si impegna a:

• trattare i dati solo su istruzione documentata del Titolare;
• garantire la riservatezza dei dati e che le persone autorizzate al trattamento siano vincolate alla riservatezza;
• adottare misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR (cifratura in transito e a riposo, controllo degli accessi, autenticazione, backup);
• assistere il Titolare nel dare seguito alle richieste di esercizio dei diritti degli interessati;
• assistere il Titolare nel garantire il rispetto degli obblighi di sicurezza, notifica di violazioni e valutazione d'impatto;
• cancellare o restituire i dati al termine del servizio, secondo la scelta del Titolare;
• mettere a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi.

Art. 5 — Sub-responsabili

Il Titolare autorizza il Responsabile ad avvalersi dei seguenti sub-responsabili per l'erogazione del servizio:

• Supabase Inc. — servizi di database e hosting, con infrastruttura ubicata nell'Unione Europea (regione UE — Irlanda). Il Responsabile ha sottoscritto con Supabase un accordo sul trattamento dei dati (DPA).

Il Responsabile informerà il Titolare di eventuali modifiche relative ai sub-responsabili, dando al Titolare la possibilità di opporsi.

Art. 6 — Ubicazione dei dati e trasferimenti

I dati sono ospitati su server ubicati nell'Unione Europea (Irlanda). Non sono previsti trasferimenti di dati al di fuori dello Spazio Economico Europeo. Qualora tali trasferimenti dovessero rendersi necessari, saranno effettuati nel rispetto del Capo V del GDPR.

Art. 7 — Diritti degli interessati

Il Responsabile assiste il Titolare nel rispondere alle richieste degli interessati relative ai diritti di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione, entro 30 giorni dalla richiesta del Titolare.

Art. 8 — Violazioni dei dati (data breach)

Il Responsabile notifica al Titolare senza ingiustificato ritardo, e comunque entro 48 ore, ogni violazione dei dati personali di cui venga a conoscenza, fornendo le informazioni necessarie affinché il Titolare possa adempiere agli obblighi di notifica al Garante.

Art. 9 — Conservazione e cancellazione

I dati sono conservati per la durata del servizio. Al termine, su richiesta del Titolare, il Responsabile provvede alla cancellazione dei dati entro 30 giorni, salvo obblighi di conservazione previsti dalla legge. È attivo un sistema di backup con conservazione delle versioni precedenti.

Art. 10 — Legge applicabile e foro competente

Il presente accordo è regolato dalla legge italiana. Per ogni controversia è competente il Foro di [FORO COMPETENTE].

📖 Manuale Operativo Superadmin

SostiTU — uso interno

Indice 1. Architettura del sistema 2. Onboarding nuova scuola 3. Gestione licenze 4. Gestione utenti e accessi 5. App Permessi 6. Problemi comuni e soluzioni 7. Riferimenti tecnici

1. Architettura del sistema

1.1 Componenti principali

• Frontend — file HTML singoli (index.html, permessi.html, admin.html) deployati su Cloudflare Workers da GitHub (spezialiale/SostiTU). Ogni push su main aggiorna automaticamente il sito.
• Backend — Supabase (EU West, Ireland): database PostgreSQL, autenticazione, RPC, Realtime, Edge Functions.
• Email — EmailJS per invio notifiche sostituti. Le email permessi vengono aperte tramite link Gmail (non inviate da server).
• Dominio — sostitu.it su Aruba, nameserver Cloudflare (bruce + vida).

1.2 Tabelle Supabase principali

• istituti — anagrafica scuole clienti
• licenze — tipo, scadenza, max plessi, modulo permessi per istituto
• utenti — referenti e admin con ruolo, plesso, istituto_id, primo_accesso
• docenti_permessi — anagrafica docenti App Permessi (username=nome.cognome, password, primo_accesso)
• permessi — richieste permesso con stato, dati_extra JSONB
• permessi_assenze_sostitu — bridge: una riga per ogni giorno di assenza approvata → genera bozze in SostiTU
• sostituzioni — bozze e confermate per plesso
• rec / ore_d — saldi recuperi e ore D per docente
• backup_history — snapshot giornalieri automatici

1.3 Edge Functions deployate

• crea-referenti — crea account Supabase Auth per i referenti con password da Excel + primo_accesso=true
• ics-proxy — proxy per calendario iCal

2. Onboarding nuova scuola

2.1 Procedura completa

1. Scarica il template Excel (🏫 Nuova scuola → Scarica template).
2. Compila il foglio Istituto: nome, città, codice meccanografico, DS, email DS, codice licenza, tipo licenza, max plessi, scadenza, modulo permessi incluso (Sì/No), password docenti App Permessi, anno scolastico.
3. Compila il foglio Plessi e Referenti: una riga per plesso con nome plesso, cognome referente, nome referente, email referente, password provvisoria (es. NomeScuola2025!), ruolo (referente).
4. Carica il file compilato nel pannello 🏫 Nuova scuola → trascina o seleziona il file.
5. Verifica l'anteprima e premi ✓ Conferma creazione: il sistema crea automaticamente istituto, licenza e account Auth per ogni referente.
6. Comunica a ogni referente: email + password provvisoria. Al primo accesso saranno obbligati a cambiarla.

2.2 Cosa fa il referente al primo accesso

1. Apre sostitu.it e accede con email + password provvisoria.
2. Viene mostrato il modal Imposta la tua password: sceglie una password personale (min. 8 caratteri).
3. Accede all'app e segue la configurazione guidata (onboarding 6 passi): verifica plesso, imposta Gmail, carica orari Excel, carica rubrica docenti.

3. Gestione licenze

3.1 Tipi di licenza

• Standard — licenza a pagamento annuale (~150-200€/anno).
• Prova 30 giorni — accesso completo per 30 giorni, poi scade.
• Gratuita — per scuole pilota o accordi speciali.

3.2 Modificare una licenza

Nel tab 📄 Licenze ogni riga ha un tasto ✏️ Modifica. Puoi cambiare: tipo licenza, numero massimo plessi, data scadenza, modulo permessi incluso (Sì/No). Le modifiche sono immediate.

3.3 Licenza scaduta

Quando una licenza scade, l'utente vede un modal di upgrade e non può accedere alle funzioni. Per rinnovarla: ✏️ Modifica → cambia la data scadenza → Salva.

3.4 IC Bonfigli (scuola pilota)

Codice licenza: ICBONFIGLI. istituto_id: 8c08811b-f9d9-48c2-b500-d23ae9ae605b. Licenza gratuita a tempo indeterminato. Non modificare la scadenza.

4. Gestione utenti e accessi

4.1 Ruoli utenti SostiTU

• superadmin — accede ad admin.html. Solo speziali.ale@gmail.com.
• admin — vede tutti i plessi dell'istituto, ha tab Admin in Config.
• referente — vede solo il proprio plesso.

4.2 Reset password referente

Il referente usa il link Password dimenticata? nella schermata di login → riceve email Supabase con link reset. Se l'email non arriva: controlla spam, verifica che l'email sia corretta in Supabase → Authentication.

4.3 Forzare primo accesso

Per forzare il cambio password al prossimo login di un referente (es. se la password provvisoria è stata compromessa):

UPDATE utenti SET primo_accesso = true WHERE email = 'email@scuola.it';

4.4 Eliminare un utente

Da Supabase → Authentication: elimina l'utente da auth.users. Poi esegui:

DELETE FROM utenti WHERE email = 'email@scuola.it';

5. App Permessi

5.1 Come funziona

App separata su sostitu.it/permessi. I docenti accedono con nome.cognome (es. mario.rossi) e una password. La password condivisa dell'istituto è nella colonna password_docenti della tabella istituti (es. Bonfigli2027).

5.2 Reset password docente App Permessi

I docenti migrati a Supabase Auth (con user_id compilato) possono resettare la password autonomamente: nella schermata di login inseriscono il loro username e premono Password dimenticata? — ricevono un link via email.

Per i docenti non ancora migrati, reset manuale:

UPDATE docenti_permessi SET password = 'NuovaPassword', primo_accesso = true
WHERE username = 'nome.cognome';

5.2bis Aggiornamento annuale docenti

A settembre, dopo aver aggiornato la tabella docenti_permessi (nuovi docenti inseriti, usciti marcati attivo=false):

1. Vai in 👥 Utenti → 🔄 Sincronizza account docenti
2. Inserisci la password provvisoria annuale (es. Bonfigli2028)
3. Premi Sincronizza — la funzione crea gli account dei nuovi, blocca gli usciti e aggiorna le email cambiate. È sicura e ripetibile.

5.3 Docente non trova il suo nome

Il nome utente è nome.cognome in minuscolo senza spazi. Se il cognome ha apostrofo (es. MALA') l'username è monica.mala'. Verificare su Supabase → docenti_permessi il campo username esatto.

5.4 Permesso non genera bozze in SostiTU

Le bozze vengono create solo dopo l'approvazione da parte del referente. Verificare su Supabase → permessi_assenze_sostitu se esistono righe per quel permesso_id. Se mancano, il permesso non è stato approvato o l'approvazione ha avuto un errore.

6. Problemi comuni e soluzioni

Non riesco ad accedere / password errata

Verificare che l'email sia corretta. Se il problema persiste: Supabase → Authentication → trovare l'utente → Send password recovery. Per i docenti App Permessi usare la query SQL di reset (sezione 5.2).

I dati non si sincronizzano / spariti dopo refresh

Supabase è la fonte di verità — cloudLoad sovrascrive sempre il localStorage. Se i dati spariscono: verificare che il plesso attivo in Config corrisponda al plesso dell'utente. Controllare la tab ☁ Backup per ripristinare uno snapshot precedente.

Le ore REC ricompaiono dopo aver cancellato

Verificare su Supabase → tabella rec se esiste una riga con plesso = 'default'. Se sì, eliminarla:

DELETE FROM rec WHERE plesso = 'default';

Il PDF del permesso dà errore

Aprire la console del browser (F12) e cercare il messaggio di errore. Gli errori più comuni sono: variabile non inizializzata (aggiornare permessi.html), jsPDF non caricato (problema di connessione), dati_extra mancanti (il permesso non ha tutti i campi obbligatori compilati).

La licenza risulta scaduta ma è stata rinnovata

Il referente deve fare logout e login per ricaricare i dati della licenza. Se il problema persiste: verificare la data scadenza nella tabella licenze — deve essere in formato YYYY-MM-DD.

Il referente vede i dati di un altro plesso

Verificare nella tabella utenti che il campo plesso del referente sia corretto. Se è vuoto o errato:

UPDATE utenti SET plesso = 'NomePlesso' WHERE email = 'email@scuola.it';

Errore "primo accesso" anche dopo aver cambiato password

Per SostiTU: verificare primo_accesso nella tabella utenti. Per App Permessi: verificare primo_accesso nella tabella docenti_permessi. In entrambi i casi:

-- SostiTU
UPDATE utenti SET primo_accesso = false WHERE email = 'email@scuola.it';
-- App Permessi
UPDATE docenti_permessi SET primo_accesso = false WHERE username = 'nome.cognome';

Deploy non aggiorna il sito

Verificare su GitHub → spezialiale/SostiTU → Actions che il deploy sia completato (✅ verde). Se fallisce, controllare il log. Il sito si aggiorna entro 1-2 minuti dal push. Fare hard refresh (Cmd+Shift+R) per svuotare la cache del browser.

7. Riferimenti tecnici

GitHub repo	github.com/spezialiale/SostiTU (privato)
Upload file	github.com/spezialiale/SostiTU/upload/main
Supabase dashboard	supabase.com/dashboard/project/jwoqmnwvaufzfqladxwe
Supabase URL	jwoqmnwvaufzfqladxwe.supabase.co (eu-west-1, Ireland)
EmailJS service	service_j2svstk / template_08to874 / pubkey hPWjx1Ekr1VX5KTWl
IC Bonfigli istituto_id	8c08811b-f9d9-48c2-b500-d23ae9ae605b
IC Bonfigli codice licenza	ICBONFIGLI
Superadmin email	speziali.ale@gmail.com
Password docenti Bonfigli	Bonfigli2027
Brand colors	Blu #185FA5 · Blu scuro #123E6B · Verde #3B6D11 · Verde chiaro #8CC63F
Cloudflare nameserver	bruce.ns.cloudflare.com / vida.ns.cloudflare.com (Aruba)