Accordo sul trattamento dei dati personali
Spotivo — versione 1.0 · in vigore dal __________ · ai sensi dell'art. 28 GDPR
Bozza da far verificare — e qui più che altrove. Questo è il
documento che stabilisce chi risponde se i dati dei soci di una
struttura finiscono dove non dovevano. L'art. 28 del GDPR impone contenuti
minimi obbligatori: sono tutti presenti qui sotto, e i fatti tecnici
(fornitori, misure, tempi) sono ricavati dal codice e verificati. Ma la
formulazione giuridica va rivista da un avvocato prima che una struttura vera
lo firmi. Un DPA sbagliato è peggio di un DPA assente, perché dà l'impressione
che la questione sia stata affrontata.
1. Chi è chi
La struttura sportiva che usa Spotivo è
titolare del trattamento dei dati dei propri soci e clienti:
è lei che decide perché e come trattarli, e a lei quelle persone si rivolgono.
Noi siamo responsabile del trattamento:
trattiamo quei dati per conto della struttura, per fornirle il
servizio, e nei limiti di quello che ci dice di fare.
Questo accordo si applica automaticamente dal momento in cui la struttura lo
accetta, e resta in vigore per tutta la durata del servizio.
2. Cosa trattiamo per conto della struttura
| Voce | Contenuto |
|---|
| Categorie di interessati |
Soci e clienti della struttura; personale di banco e istruttori; persone
indicate come accompagnatori o partecipanti a una prenotazione |
| Categorie di dati |
Nome, cognome, email, telefono; prenotazioni e presenze; abbonamenti,
carnet e tessere associative; pagamenti e importi dovuti; note interne
scritte dalla struttura; identificativo Telegram se il socio collega il
bot; data di scadenza del certificato medico se la
struttura attiva quella funzione |
| Natura e finalità |
Conservazione, consultazione, modifica e cancellazione su istruzione
della struttura, al solo fine di erogare il servizio di gestione
prenotazioni, abbonamenti, incassi e comunicazioni |
| Durata |
Per tutto il tempo in cui la struttura usa il servizio |
Punto da valutare con il legale. La data di scadenza del
certificato medico non è un dato sanitario in senso stretto — non dice
nulla sullo stato di salute — ma è vicina alla categoria dell'art. 9. La
piattaforma conserva solo la data, mai il documento né alcuna diagnosi, e
questa distinzione va detta esplicitamente. Va deciso se trattarla comunque
con le cautele dell'art. 9.
3. I nostri obblighi
Ci impegniamo a:
- Trattare i dati solo su istruzione documentata della
struttura — le istruzioni sono quelle che la struttura impartisce usando le
funzioni della piattaforma — salvo obblighi di legge, nel qual caso la
informiamo prima, se la legge lo consente.
- Garantire che chi ha accesso ai dati sia vincolato alla
riservatezza.
- Adottare le misure di sicurezza dell'art. 32 elencate al
punto 5.
- Non ricorrere a altri responsabili senza autorizzazione:
quelli attuali sono elencati al punto 4, e ogni aggiunta viene comunicata
in anticipo, lasciando alla struttura il diritto di opporsi.
- Assistere la struttura quando un socio esercita i propri
diritti: la piattaforma esporta i dati di un cliente in un formato
leggibile e permette di correggerli e cancellarli, così la struttura può
rispondere da sola e nei tempi.
- Assistere la struttura negli adempimenti degli artt. 32-36
(sicurezza, notifica delle violazioni, valutazione d'impatto).
- Avvisare senza ingiustificato ritardo, e comunque entro
48 ore da quando ne veniamo a conoscenza, di ogni
violazione dei dati che riguardi la struttura, con quanto sappiamo:
cos'è successo, quali dati e quante persone, cosa stiamo facendo.
- Alla fine del rapporto, cancellare o restituire i dati
secondo la scelta della struttura (punto 6).
- Mettere a disposizione le informazioni necessarie a dimostrare il
rispetto di questi obblighi e consentire verifiche (punto 7).
4. Gli altri responsabili (sub-responsabili)
Accettando questo accordo la struttura ci autorizza a servirci dei fornitori
qui elencati. Sono gli stessi che la piattaforma usa davvero: l'elenco è
ricavato dal codice, non da una dichiarazione di intenti.
| Fornitore | Servizio | Dati che riceve | Quando |
|---|
| Stripe Payments Europe |
Incassi online e rimborsi |
Importo, causale, riferimenti della prenotazione o della quota. I dati
della carta non transitano dalla piattaforma |
Solo se la struttura attiva i pagamenti online |
| Telegram |
Avvisi ai soci sul telefono |
Testo del messaggio e identificativo della chat |
Solo per i soci che collegano il bot, di loro iniziativa |
| Fornitore di posta __________ |
Email ai soci e allo staff |
Indirizzo email e contenuto |
Sempre, salvo che la struttura configuri il proprio server di posta: in
quel caso il fornitore è suo e noi non lo scegliamo |
| Servizi di notifica dei browser (Google, Mozilla, Apple) |
Notifiche push nell'app |
Messaggio cifrato e indirizzo tecnico della sottoscrizione |
Solo per chi autorizza le notifiche |
| OpenStreetMap / Nominatim |
Coordinate dall'indirizzo della struttura |
Nessun dato personale dei soci: solo l'indirizzo della
struttura, una volta sola |
Al salvataggio della scheda |
| Fornitore dell'infrastruttura __________ |
Server e copie di sicurezza |
Tutti i dati, in quanto ospitati |
Sempre |
Da completare: nome e sede legale del fornitore di posta e di
quello dell'infrastruttura. Sono i due che mancano perché l'elenco sia
utilizzabile: gli altri quattro sono verificati.
5. Misure di sicurezza (art. 32)
Sono in essere. Non è un elenco di buone intenzioni: ciascuna corrisponde a
qualcosa che è implementato.
- Cifratura in transito: tutte le comunicazioni via HTTPS.
- Isolamento fra strutture imposto dal database: ogni
struttura vede solo i propri dati, e il vincolo è applicato dal database e
non soltanto dall'applicazione. È la differenza fra un programma che non
mostra i dati altrui e un sistema in cui non è possibile leggerli.
- Password non reversibili: conservate come impronta
crittografica, mai in chiaro, nemmeno per noi.
- Verifica in due passaggi disponibile per tutti gli
account e obbligatoria per gli amministratori di piattaforma.
- Accessi differenziati per ruolo: il personale di banco non
vede i dati fiscali della struttura, e le funzioni di amministrazione sono
riservate al titolare.
- Registro delle azioni: le operazioni sensibili lasciano
traccia di chi le ha fatte e quando.
- Credenziali di terzi cifrate a riposo.
- Copie di sicurezza giornaliere, conservate anche su una
macchina distinta, con prove di ripristino periodiche.
- Limitazione della frequenza delle richieste sugli accessi,
contro i tentativi di indovinare le password.
6. Alla fine del rapporto
Entro 30 giorni dalla cessazione, la struttura può chiedere
l'esportazione integrale dei propri dati in formato leggibile. Trascorso quel
termine, e salvo diversa richiesta, i dati vengono cancellati.
La cancellazione dalle copie di sicurezza non è immediata: le
copie ruotano e si sovrascrivono nell'arco di quattro settimane,
dopodiché il dato non esiste più nemmeno lì. Nel frattempo le copie restano
soggette a tutte le misure di sicurezza di questo accordo.
7. Verifiche
Su richiesta scritta e con ragionevole preavviso, forniamo alla struttura le
informazioni necessarie a dimostrare il rispetto di questo accordo. La
struttura può svolgere verifiche, direttamente o tramite un incaricato
vincolato alla riservatezza, in modo da non arrecare pregiudizio agli altri
clienti del servizio.
8. Trasferimenti fuori dall'Unione europea
Alcuni fornitori del punto 4 trattano dati fuori dallo Spazio economico
europeo. Per quei trasferimenti ci basiamo sulle
clausole contrattuali standard della Commissione europea o su
una decisione di adeguatezza, secondo il fornitore.
Da verificare con il legale: quali fornitori operano su quale
base, caso per caso. Telegram in particolare va valutato: se la base non regge,
l'alternativa è disattivare quel canale e tenere email e notifiche push.
9. Responsabilità
Da scrivere con il legale. Va stabilito come si ripartisce la
responsabilità fra titolare e responsabile, e se ci sono limiti di importo.
È il punto che conta davvero il giorno in cui succede qualcosa, ed è anche
quello su cui non posso proporti un testo: non è una questione tecnica.