Premesse
Il presente Accordo integra le Condizioni generali di servizio e disciplina il trattamento dei dati personali che OutLine Digital Agency (il Responsabile) effettua per conto del cliente (il Titolare) nell’erogazione di Omega.
Vale come atto di nomina a responsabile del trattamento ai sensi dell’art. 28(3) del GDPR e dell’art. 2-quaterdecies del D.Lgs. 196/2003. Si perfeziona con l’accettazione in fase di apertura del primo ambiente e resta efficace per tutta la durata del rapporto.
- Responsabile del trattamento
- OutLine Digital Agency (libero professionista), Via Dalmazia 36, 76125 Trani (BT), Italia — P.IVA 08978680729
- Titolare del trattamento
- Il cliente, come identificato nell’account e nei dati dell’attività inseriti nel gestionale.
- Contatto per le questioni privacy
- amministrazione@outlinedigital.it
1. Trattamento su istruzione documentata
- Il Responsabile tratta i dati personali soltanto su istruzione documentata del Titolare. Costituiscono istruzioni documentate: il presente Accordo, le Condizioni generali, la documentazione del servizio e le configurazioni che il Titolare imposta dentro il gestionale (moduli attivi, permessi, periodi di conservazione, servizi esterni collegati).
- Il Responsabile non tratta i dati per finalità proprie, non li cede a terzi, non li usa per analisi commerciali né per l’addestramento di sistemi di intelligenza artificiale.
- Se un obbligo di legge impone al Responsabile un trattamento ulteriore, questi ne informa il Titolare prima di procedere, salvo che la legge lo vieti per rilevanti motivi di interesse pubblico.
- Il Responsabile informa immediatamente il Titolare qualora ritenga che un’istruzione ricevuta violi il GDPR o altre disposizioni in materia di protezione dei dati.
2. Riservatezza delle persone autorizzate
Il Responsabile garantisce che le persone autorizzate al trattamento — personale e collaboratori — siano designate per iscritto, istruite ai sensi dell’art. 29 GDPR, vincolate a un obbligo di riservatezza che sopravvive alla cessazione del rapporto, e ammesse ai soli dati necessari al loro compito.
L’accesso agli ambienti dei clienti da parte dell’assistenza avviene esclusivamente con la procedura di accesso temporaneo tracciato descritta all’art. 8.
3. Misure di sicurezza (art. 32)
Il Responsabile adotta le misure tecniche e organizzative descritte nell’Allegato B e nella pagina Misure di sicurezza, che costituiscono parte integrante del presente Accordo.
Le misure possono essere aggiornate nel tempo purché il livello di sicurezza non sia ridotto. Le modifiche rilevanti sono comunicate al Titolare con lo stesso preavviso previsto per i sub-responsabili.
4. Sub-responsabili (art. 28(2) e (4))
Il Titolare autorizza in via generale il Responsabile a ricorrere ad altri responsabili del trattamento, alle condizioni che seguono.
- L’elenco aggiornato è pubblicato alla pagina Sub-responsabili.
- Ogni sub-responsabile è vincolato per contratto agli stessi obblighi del presente Accordo; il Responsabile risponde del loro operato come del proprio.
- L’aggiunta o la sostituzione di un sub-responsabile è comunicata al Titolare con almeno 30 giorni di preavviso, via email e in evidenza nel gestionale.
- Entro tale termine il Titolare può opporsi per motivi ragionevoli e documentati attinenti alla protezione dei dati. In caso di opposizione le parti ricercano in buona fede una soluzione alternativa; se non è praticabile, il Titolare può recedere senza penali con effetto dalla data prevista per il cambio.
| Sub-responsabile | Attività | Paese |
|---|---|---|
| IONOS SE | Server e archiviazione: ospita l’applicazione, i database degli ambienti, i file caricati e le copie di sicurezza. | Germania |
| Aruba S.p.A. | Inoltro della posta in uscita del gestionale: inviti, recupero della password, riepiloghi delle notifiche e contratti. Nei messaggi compaiono nome e indirizzo email del destinatario e i titoli delle attività e dei progetti citati. | Italia |
| Stripe Payments Europe, Limited | Incasso dell’abbonamento e ricevute: tratta i soli dati di fatturazione di chi sottoscrive (ragione sociale, indirizzo, partita IVA, email dell’intestatario, dati della carta, che non transitano dai nostri server). Non accede ai dati inseriti nel gestionale. | Irlanda |
5. Assistenza sui diritti degli interessati (art. 28(3)(e))
Il gestionale mette a disposizione del Titolare gli strumenti per rispondere da solo e senza attendere nessuno alle richieste degli interessati: ricerca dell’anagrafica, esportazione del fascicolo completo di una persona in un file (artt. 15 e 20), rettifica, cancellazione, registro delle modifiche.
Se un interessato si rivolge direttamente al Responsabile, questi non dà seguito alla richiesta e la inoltra al Titolare senza ritardo, informando l’interessato di chi è il titolare del trattamento.
Ove gli strumenti del gestionale non bastassero, il Responsabile presta assistenza tecnica ragionevole, per quanto in suo potere e a spese proprie se la richiesta dipende da un malfunzionamento.
6. Violazioni dei dati personali (art. 33)
- Il Responsabile informa il Titolare senza ingiustificato ritardo e comunque entro 48 ore da quando viene a conoscenza di una violazione di dati personali che riguardi i dati trattati per suo conto.
- La comunicazione descrive la natura della violazione, le categorie e il numero approssimativo di interessati e di record coinvolti, le probabili conseguenze e le misure adottate o proposte, così da mettere il Titolare in condizione di valutare la notifica al Garante entro le 72 ore dell’art. 33(1).
- Il Responsabile documenta ogni violazione e presta al Titolare la cooperazione necessaria per gli adempimenti verso l’autorità e verso gli interessati.
- La notifica al Garante e la comunicazione agli interessati (art. 34) restano di competenza esclusiva del Titolare: il Responsabile non vi provvede in sua vece.
7. Valutazione d’impatto e consultazione preventiva (artt. 35 e 36)
Il Responsabile assiste il Titolare, tenuto conto della natura del trattamento e delle informazioni a sua disposizione, nello svolgimento della valutazione d’impatto e nell’eventuale consultazione preventiva, fornendo la documentazione tecnica sull’architettura, sulle misure di sicurezza e sui flussi di dati del servizio.
8. Accesso dell’assistenza all’ambiente
- Avviene solo su richiesta del Titolare o per un intervento tecnico necessario alla continuità del servizio.
- Utilizza un accesso temporaneo dedicato, creato dentro l’ambiente e con scadenza automatica a 15 minuti: non usa e non conosce le credenziali degli utenti del Titolare.
- È visibile: mentre è attivo, una fascia in cima allo schermo indica chi sta operando.
- È tracciato: apertura e chiusura finiscono nel registro degli eventi dell’ambiente, consultabile dal Titolare.
- Non consente di modificare credenziali, né di esportare dati fuori dall’ambiente.
9. Verifiche e dimostrazione della conformità (art. 28(3)(h))
Il Responsabile mette a disposizione del Titolare tutte le informazioni necessarie a dimostrare il rispetto degli obblighi dell’art. 28 e consente verifiche, comprese ispezioni, svolte dal Titolare o da un incaricato da lui designato.
- Le verifiche si svolgono previo preavviso di almeno 15 giorni, in orario lavorativo, senza pregiudizio per la continuità del servizio e per la riservatezza dei dati di altri clienti.
- È ammessa una verifica per anno solare, salvo verifiche ulteriori a seguito di una violazione di dati o di una richiesta motivata dell’autorità di controllo.
- L’incaricato del Titolare non deve essere un concorrente del Responsabile e sottoscrive un impegno di riservatezza.
- I costi delle verifiche ulteriori richieste dal Titolare sono a suo carico, salvo che la verifica accerti un inadempimento del Responsabile.
10. Trasferimenti fuori dallo Spazio economico europeo
Il Responsabile tratta i dati esclusivamente all’interno dello Spazio economico europeo: l’infrastruttura è presso IONOS SE, datacenter in Germania. Non effettua trasferimenti verso paesi terzi.
Qualora un trasferimento dovesse rendersi necessario, il Responsabile ne dà preavviso ai sensi dell’art. 4 e vi procede solo in presenza di una delle garanzie del Capo V del GDPR, dandone conto nell’elenco dei sub-responsabili.
Restano esclusi i trasferimenti generati dai servizi esterni collegati dal Titolare, che avvengono sotto la sua responsabilità.
11. Cosa succede alla fine (art. 28(3)(g))
- Il Titolare può esportare i dati in autonomia, in formati aperti, per tutta la durata del rapporto.
- Alla cessazione, l’ambiente resta accessibile in sola lettura per 30 giorni, per consentire l’esportazione.
- Decorso tale termine il Responsabile cancella i dati personali e le copie esistenti, comprese quelle nei backup secondo il ciclo di rotazione, salvo che la conservazione sia imposta dal diritto dell’Unione o dello Stato membro.
- Su richiesta, il Responsabile rilascia attestazione scritta dell’avvenuta cancellazione.
Allegato A — Dettagli del trattamento
- Oggetto
- Erogazione di un servizio software gestionale in cloud.
- Durata
- Per tutta la durata del contratto di servizio, più i 30 giorni di finestra di esportazione.
- Natura e finalità
- Raccolta, registrazione, organizzazione, strutturazione, conservazione, consultazione, elaborazione, comunicazione ai servizi esterni configurati dal Titolare, cancellazione. Il tutto al solo fine di far funzionare il gestionale come il Titolare lo ha configurato.
Categorie di interessati — variano secondo i moduli attivati dal Titolare:
- clienti, potenziali clienti e loro referenti;
- fornitori e loro referenti;
- dipendenti, collaboratori, candidati e tirocinanti del Titolare;
- persone che prenotano appuntamenti, ritirano ordini o usano le pagine pubbliche del Titolare;
- segnalanti e persone coinvolte in una segnalazione, dove sia attivo il canale di segnalazione degli illeciti.
Categorie di dati personali:
| Categoria | Esempi | Moduli tipici |
|---|---|---|
| Dati identificativi e di contatto | nome, indirizzo, telefono, email, codice fiscale, partita IVA | Clienti, Fornitori, Vendite, Prenotazioni |
| Dati economici e contabili | ordini, importi, pagamenti, insoluti, listini riservati | Vendite, Acquisti, Cassa, Fiscale |
| Contenuto delle comunicazioni | email, messaggi, note, allegati | Conversazioni, Campagne |
| Dati relativi al rapporto di lavoro | contratto, retribuzione, presenze, assenze, ferie, valutazioni, provvedimenti | Omega People |
| Immagini | foto di prodotti, di lavorazioni e di persone, ove caricate dal Titolare | Progetti, allegati, Catalogo, Siti web |
| Dati relativi alla salute — categoria particolare, art. 9 | solo se il Titolare li scrive in attività, commenti o allegati (Omega Work non li chiede mai); per Omega People, idoneità alla mansione e assenze per malattia | Attività e allegati, Omega People |
| Dati che possono rivelare reati o illeciti — art. 10 e art. 9 | contenuto di una segnalazione e identità del segnalante | Canale di segnalazione (D.Lgs. 24/2023) |
Allegato B — Misure di sicurezza
Le misure tecniche e organizzative adottate dal Responsabile sono descritte per esteso e per categorie nella pagina Misure di sicurezza, che forma parte integrante del presente Accordo. In sintesi: separazione fisica dei database per ambiente, cifratura del traffico in transito, cifratura a riposo delle credenziali dei servizi collegati, password conservate solo come hash, controllo degli accessi per ruolo e per modulo, accesso di assistenza temporaneo e tracciato, backup periodici con verifica di ripristino, registrazione degli eventi.