Accordo sul trattamento dei dati (art. 28 GDPR)

1. Parti e accettazione

Questo accordo è concluso tra l’utente dell’app SuitBadge che raccoglie contatti con un form (il titolare) e la società indicata sopra (il responsabile). È allegato alle condizioni d’uso dell’app e si accetta con esse nell’app.

2. Oggetto, durata, natura e finalità

Il responsabile conserva le risposte inviate con i form del titolare e le mette a sua disposizione nell’app, con note, esportazione e cancellazione. Il trattamento dura quanto l’account del titolare. L’unica finalità è fornire questa funzione.

3. Dati e interessati

Interessati: le persone che compilano un form sulla pagina del titolare. Dati: i campi scelti dal titolare (per esempio nome, email, telefono, azienda, messaggio, una scelta), il testo del consenso accettato e la data. Il titolare non raccoglie categorie particolari di dati (art. 9 GDPR) né dati di minori.

4. Istruzioni

Il responsabile tratta i dati solo su istruzione documentata del titolare: queste condizioni, le impostazioni dei form e le azioni nell’app. Se un’istruzione sembra violare la normativa sulla protezione dei dati, il responsabile lo segnala al titolare.

5. Riservatezza

Le persone autorizzate dal responsabile ad accedere ai dati sono vincolate alla riservatezza. L’accesso è limitato a quanto necessario per far funzionare e proteggere il servizio.

6. Sicurezza (art. 32 GDPR)

• risposte e note cifrate campo per campo con AES-256-GCM, con la chiave conservata separatamente in un archivio di segreti;
• pseudonimizzazione dell’account del titolare con ID interno casuale e impronta con chiave;
• cifratura a riposo di database e file e cifratura in transito (TLS);
• ogni richiesta autorizzata con il token di accesso del titolare; nessun accesso ai dati di altri utenti;
• accesso all’infrastruttura con privilegi minimi, nessuna conservazione degli indirizzi IP dei visitatori;
• dati conservati nell’Unione europea (AWS, Francoforte); backup del database per 7 giorni.

7. Sub-responsabili

Il titolare dà un’autorizzazione generale all’uso di sub-responsabili. Sub-responsabili attuali: Amazon Web Services EMEA SARL (hosting, database, file, distribuzione dei contenuti; Francoforte, con rete CloudFront). Google Ireland Ltd e Google LLC (Firebase Authentication) trattano solo i dati di accesso del titolare, non i contatti. Il responsabile informa il titolare nell’app almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile; il titolare può opporsi e, se non si trova una soluzione, eliminare l’account. I sub-responsabili sono vincolati agli stessi obblighi di protezione dei dati.

8. Assistenza

Il responsabile aiuta il titolare a rispondere alle richieste degli interessati (l’app permette di vedere, esportare e cancellare ogni contatto) e, per quanto necessario, per sicurezza, notifiche di violazione, valutazioni d’impatto e consultazioni preventive. Le richieste che gli interessati inviano al responsabile sono inoltrate al titolare senza ritardo.

9. Violazioni dei dati

Il responsabile informa il titolare senza ingiustificato ritardo e comunque entro 48 ore da quando viene a conoscenza di una violazione che riguarda i contatti, con le informazioni disponibili, e lo assiste nei suoi obblighi.

10. Fine del trattamento

Quando il titolare cancella un contatto o l’account, i dati sono cancellati subito dal database attivo; i backup sono sovrascritti entro 7 giorni. Prima della cancellazione il titolare può esportare i contatti in CSV o JSON.

11. Verifiche

Il responsabile mette a disposizione le informazioni necessarie a dimostrare il rispetto di questi obblighi e consente verifiche del titolare o di un revisore da lui incaricato, con ragionevole preavviso e senza compromettere la sicurezza e la riservatezza degli altri utenti. Possono essere usate come prova le certificazioni dei sub-responsabili.

12. Trasferimenti internazionali

I contatti sono conservati nell’UE. Se diventasse necessario un trasferimento fuori dallo SEE, avverrà solo con garanzie adeguate ai sensi del capo V del GDPR (decisione di adeguatezza o clausole contrattuali tipo).

13. Obblighi del titolare

Il titolare garantisce che la raccolta sia lecita: una finalità chiara, un testo di consenso corretto, l’uso dei contatti solo per quella finalità e il link all’informativa per i visitatori, che il responsabile mostra sotto ogni form.

Documenti collegati

Informativa privacy dell’app SuitBadge · Condizioni d’uso dell’app SuitBadge · Informativa per chi visita una pagina SuitBadge · Privacy e cookie