Accordo sul trattamento dei dati

Il presente Accordo integra le Condizioni generali di servizio e disciplina il trattamento dei dati personali che OutLine Digital Agency (il Responsabile) effettua per conto del cliente (il Titolare) nell’erogazione di Omega.

Vale come atto di nomina a responsabile del trattamento ai sensi dell’art. 28(3) del GDPR e dell’art. 2-quaterdecies del D.Lgs. 196/2003. Si perfeziona con l’accettazione in fase di apertura del primo ambiente e resta efficace per tutta la durata del rapporto.

Responsabile del trattamento

OutLine Digital Agency (libero professionista), Via Dalmazia 36, 76125 Trani (BT), Italia — P.IVA 08978680729

Titolare del trattamento

Il cliente, come identificato nell’account e nei dati dell’attività inseriti nel gestionale.

Contatto per le questioni privacy

privacy@omegasuite.it

1. 1Il Responsabile tratta i dati personali soltanto su istruzione documentata del Titolare. Costituiscono istruzioni documentate: il presente Accordo, le Condizioni generali, la documentazione del servizio e le configurazioni che il Titolare imposta dentro il gestionale (moduli attivi, permessi, periodi di conservazione, servizi esterni collegati).
2. 2Il Responsabile non tratta i dati per finalità proprie, non li cede a terzi, non li usa per analisi commerciali né per l’addestramento di sistemi di intelligenza artificiale.
3. 3Se un obbligo di legge impone al Responsabile un trattamento ulteriore, questi ne informa il Titolare prima di procedere, salvo che la legge lo vieti per rilevanti motivi di interesse pubblico.
4. 4Il Responsabile informa immediatamente il Titolare qualora ritenga che un’istruzione ricevuta violi il GDPR o altre disposizioni in materia di protezione dei dati.

Il Responsabile garantisce che le persone autorizzate al trattamento — personale e collaboratori — siano designate per iscritto, istruite ai sensi dell’art. 29 GDPR, vincolate a un obbligo di riservatezza che sopravvive alla cessazione del rapporto, e ammesse ai soli dati necessari al loro compito.

L’accesso agli ambienti dei clienti da parte dell’assistenza avviene esclusivamente con la procedura di accesso temporaneo tracciato descritta all’art. 8.

Il Responsabile adotta le misure tecniche e organizzative descritte nell’Allegato B e nella pagina Misure di sicurezza, che costituiscono parte integrante del presente Accordo.

Le misure possono essere aggiornate nel tempo purché il livello di sicurezza non sia ridotto. Le modifiche rilevanti sono comunicate al Titolare con lo stesso preavviso previsto per i sub-responsabili.

Il Titolare autorizza in via generale il Responsabile a ricorrere ad altri responsabili del trattamento, alle condizioni che seguono.

1. 1L’elenco aggiornato è pubblicato alla pagina Sub-responsabili.
2. 2Ogni sub-responsabile è vincolato per contratto agli stessi obblighi del presente Accordo; il Responsabile risponde del loro operato come del proprio.
3. 3L’aggiunta o la sostituzione di un sub-responsabile è comunicata al Titolare con almeno 30 giorni di preavviso, via email e in evidenza nel gestionale.
4. 4Entro tale termine il Titolare può opporsi per motivi ragionevoli e documentati attinenti alla protezione dei dati. In caso di opposizione le parti ricercano in buona fede una soluzione alternativa; se non è praticabile, il Titolare può recedere senza penali con effetto dalla data prevista per il cambio.

Il gestionale mette a disposizione del Titolare gli strumenti per rispondere da solo e senza attendere nessuno alle richieste degli interessati: ricerca dell’anagrafica, esportazione del fascicolo completo di una persona in un file (artt. 15 e 20), rettifica, cancellazione, registro delle modifiche.

Se un interessato si rivolge direttamente al Responsabile, questi non dà seguito alla richiesta e la inoltra al Titolare senza ritardo, informando l’interessato di chi è il titolare del trattamento.

Ove gli strumenti del gestionale non bastassero, il Responsabile presta assistenza tecnica ragionevole, per quanto in suo potere e a spese proprie se la richiesta dipende da un malfunzionamento.

1. 1Il Responsabile informa il Titolare senza ingiustificato ritardo e comunque entro 48 ore da quando viene a conoscenza di una violazione di dati personali che riguardi i dati trattati per suo conto.
2. 2La comunicazione descrive la natura della violazione, le categorie e il numero approssimativo di interessati e di record coinvolti, le probabili conseguenze e le misure adottate o proposte, così da mettere il Titolare in condizione di valutare la notifica al Garante entro le 72 ore dell’art. 33(1).
3. 3Il Responsabile documenta ogni violazione e presta al Titolare la cooperazione necessaria per gli adempimenti verso l’autorità e verso gli interessati.
4. 4La notifica al Garante e la comunicazione agli interessati (art. 34) restano di competenza esclusiva del Titolare: il Responsabile non vi provvede in sua vece.

Il Responsabile assiste il Titolare, tenuto conto della natura del trattamento e delle informazioni a sua disposizione, nello svolgimento della valutazione d’impatto e nell’eventuale consultazione preventiva, fornendo la documentazione tecnica sull’architettura, sulle misure di sicurezza e sui flussi di dati del servizio.

• Avviene solo su richiesta del Titolare o per un intervento tecnico necessario alla continuità del servizio.
• Utilizza un accesso temporaneo dedicato, creato dentro l’ambiente e con scadenza automatica a 15 minuti: non usa e non conosce le credenziali degli utenti del Titolare.
• È visibile: mentre è attivo, una fascia in cima allo schermo indica chi sta operando.
• È tracciato: apertura e chiusura finiscono nel registro degli eventi dell’ambiente, consultabile dal Titolare.
• Non consente di modificare credenziali, né di esportare dati fuori dall’ambiente.

Il Responsabile mette a disposizione del Titolare tutte le informazioni necessarie a dimostrare il rispetto degli obblighi dell’art. 28 e consente verifiche, comprese ispezioni, svolte dal Titolare o da un incaricato da lui designato.

1. 1Le verifiche si svolgono previo preavviso di almeno 15 giorni, in orario lavorativo, senza pregiudizio per la continuità del servizio e per la riservatezza dei dati di altri clienti.
2. 2È ammessa una verifica per anno solare, salvo verifiche ulteriori a seguito di una violazione di dati o di una richiesta motivata dell’autorità di controllo.
3. 3L’incaricato del Titolare non deve essere un concorrente del Responsabile e sottoscrive un impegno di riservatezza.
4. 4I costi delle verifiche ulteriori richieste dal Titolare sono a suo carico, salvo che la verifica accerti un inadempimento del Responsabile.

Il Responsabile tratta i dati esclusivamente all’interno dello Spazio economico europeo: l’infrastruttura è presso IONOS SE, datacenter in Germania. Non effettua trasferimenti verso paesi terzi.

Qualora un trasferimento dovesse rendersi necessario, il Responsabile ne dà preavviso ai sensi dell’art. 4 e vi procede solo in presenza di una delle garanzie del Capo V del GDPR, dandone conto nell’elenco dei sub-responsabili.

Restano esclusi i trasferimenti generati dai servizi esterni collegati dal Titolare, che avvengono sotto la sua responsabilità.

1. 1Il Titolare può esportare i dati in autonomia, in formati aperti, per tutta la durata del rapporto.
2. 2Alla cessazione, l’ambiente resta accessibile in sola lettura per 30 giorni, per consentire l’esportazione.
3. 3Decorso tale termine il Responsabile cancella i dati personali e le copie esistenti, comprese quelle nei backup secondo il ciclo di rotazione, salvo che la conservazione sia imposta dal diritto dell’Unione o dello Stato membro.
4. 4Su richiesta, il Responsabile rilascia attestazione scritta dell’avvenuta cancellazione.

Oggetto

Erogazione di un servizio software gestionale in cloud.

Durata

Per tutta la durata del contratto di servizio, più i 30 giorni di finestra di esportazione.

Natura e finalità

Raccolta, registrazione, organizzazione, strutturazione, conservazione, consultazione, elaborazione, comunicazione ai servizi esterni configurati dal Titolare, cancellazione. Il tutto al solo fine di far funzionare il gestionale come il Titolare lo ha configurato.

Categorie di interessati — variano secondo i moduli attivati dal Titolare:

• clienti, potenziali clienti e loro referenti;
• fornitori e loro referenti;
• dipendenti, collaboratori, candidati e tirocinanti del Titolare;
• persone che prenotano appuntamenti, ritirano ordini o usano le pagine pubbliche del Titolare;
• segnalanti e persone coinvolte in una segnalazione, dove sia attivo il canale di segnalazione degli illeciti.

Categorie di dati personali:

Le misure tecniche e organizzative adottate dal Responsabile sono descritte per esteso e per categorie nella pagina Misure di sicurezza, che forma parte integrante del presente Accordo. In sintesi: separazione fisica dei database per ambiente, cifratura del traffico in transito, cifratura a riposo delle credenziali dei servizi collegati, password conservate solo come hash, controllo degli accessi per ruolo e per modulo, accesso di assistenza temporaneo e tracciato, backup periodici con verifica di ripristino, registrazione degli eventi.