Atto di nomina a responsabile del trattamento (art. 28 GDPR)

1. Le parti e i ruoli

Tu, che sottoscrivi questo atto per la tua impresa o per il tuo ente, sei il TITOLARE del trattamento dei dati personali che inserisci nel Servizio: i dati dei tuoi clienti e fornitori, dei loro referenti, dei tuoi collaboratori. Sei tu a decidere quali dati raccogliere, per quali finalita' e per quanto tempo.

AFAI S.r.l., con sede in Via Selvetelle 3b, 81013 Caiazzo (CE), Italia, partita IVA e codice fiscale 04893270613, REA CE-364037, in persona di chi ne ha la rappresentanza legale, e' il RESPONSABILE del trattamento: tratta quei dati esclusivamente per tuo conto e secondo le tue istruzioni, e non li utilizza per finalita' proprie.

Recapito del Responsabile per le comunicazioni relative a questo atto: privacy@afai.it.

Questo atto integra le condizioni generali di servizio e prevale su di esse per tutto cio' che riguarda il trattamento dei dati personali. Costituisce sua parte integrante l'elenco dei sub-responsabili pubblicato su /sub-responsabili.

2. Oggetto, natura, finalita' e durata del trattamento

Il Responsabile tratta i dati personali per erogare il Servizio: conservarli, organizzarli, metterli a disposizione del Titolare e degli utenti che il Titolare abilita, elaborare i documenti e i prospetti che il Titolare richiede, recapitare per suo conto le comunicazioni che il Titolare decide di inviare.

Le operazioni sono: raccolta, registrazione, organizzazione, strutturazione, conservazione, estrazione, consultazione, elaborazione, comunicazione mediante trasmissione, limitazione e cancellazione. Il trattamento e' integralmente automatizzato quanto agli strumenti; l'intervento umano del personale del Responsabile e' limitato ai casi della sezione 5.

La finalita' e' una sola: erogare il Servizio al Titolare. Nessun dato trattato per conto del Titolare viene utilizzato dal Responsabile per finalita' proprie, comunicato a terzi per finalita' di questi, aggregato con i dati di altri clienti o impiegato per addestrare sistemi di intelligenza artificiale.

Il trattamento dura quanto il rapporto contrattuale, e per la sola conservazione quanto previsto dalla sezione 12.

3. Tipi di dati personali e categorie di interessati

Le categorie dipendono da cio' che il Titolare inserisce; quelle che il Servizio e' progettato per ricevere sono le seguenti.

• INTERESSATI: le persone fisiche clienti del Titolare e i referenti dei suoi clienti e fornitori; i collaboratori e gli utenti che il Titolare abilita al Servizio; i destinatari delle comunicazioni che il Titolare invia dal Servizio.
• DATI IDENTIFICATIVI E FISCALI: nome, cognome o denominazione, indirizzo, partita IVA, codice fiscale, codice destinatario e indirizzo di posta elettronica certificata, regime fiscale.
• DATI DI CONTATTO: indirizzo di posta elettronica, numero di telefono, referenti.
• DATI ECONOMICI E BANCARI: documenti emessi e ricevuti con i loro importi, condizioni di pagamento, scadenze, incassi e pagamenti, coordinate bancarie comprese le IBAN, che il Servizio conserva in forma cifrata.
• CONTENUTO DEI DOCUMENTI E DEGLI ALLEGATI caricati dal Titolare, con i dati personali che vi siano eventualmente contenuti.
• DATI DI TRACCIABILITA': le operazioni compiute nel Servizio dagli utenti del Titolare, con autore, data, indirizzo IP e programma di navigazione.
• Il Servizio NON e' progettato per trattare categorie particolari di dati ai sensi dell'articolo 9 del Regolamento ne' dati relativi a condanne penali. Il Titolare si impegna a non inserirne, nemmeno in campi a testo libero, e riconosce che il Responsabile non ha predisposto misure specifiche per tali categorie.

4. Istruzioni documentate del Titolare — art. 28, par. 3, lett. a)

Il Responsabile tratta i dati personali soltanto su istruzione documentata del Titolare. Costituiscono istruzione documentata: questo atto, le condizioni generali di servizio, la documentazione del Servizio, e le operazioni che il Titolare e i suoi utenti abilitati compiono attraverso le schermate e le interfacce di programmazione.

Se una norma dell'Unione o dello Stato membro imponesse al Responsabile un trattamento diverso da quello istruito, il Responsabile ne informa il Titolare prima di procedere, salvo che la norma vieti tale informazione per rilevanti motivi di interesse pubblico.

Il Responsabile informa immediatamente il Titolare se ritiene che un'istruzione ricevuta violi il Regolamento o un'altra norma sulla protezione dei dati.

5. Riservatezza e personale autorizzato — art. 28, par. 3, lett. b)

Il Responsabile garantisce che le persone autorizzate a trattare i dati per conto del Titolare siano vincolate alla riservatezza per contratto o per legge, e che accedano ai soli dati necessari al compito assegnato.

L'accesso del personale del Responsabile ai dati di un'azienda cliente avviene soltanto per erogare l'assistenza richiesta o per rimuovere un guasto, con la funzione di accesso assistito del Servizio, ed e' registrato nel registro degli eventi con l'indicazione di chi ha operato. Durante un accesso assistito le funzioni di governo della piattaforma sono chiuse: chi assiste vede cio' che vede il cliente.

Il Responsabile si impegna a informare e formare il personale autorizzato sui propri obblighi.

6. Misure di sicurezza — art. 28, par. 3, lett. c) e art. 32

Il Responsabile adotta misure tecniche e organizzative adeguate al rischio, tenendo conto dello stato dell'arte, dei costi e della natura dei dati trattati. Le misure in essere, e quelle NON in essere alla data di questa versione, sono elencate nella sezione 15: l'elenco e' integrale e si aggiorna con le versioni di questo atto.

Il Titolare dichiara di aver letto la sezione 15 e di ritenere le misure adeguate al rischio del proprio trattamento, o di aver adottato misure proprie a integrazione.

7. Sub-responsabili — art. 28, parr. 2 e 4

Il Titolare autorizza in via generale il Responsabile a ricorrere ad altri responsabili del trattamento per l'ospitalita' dell'infrastruttura e l'archiviazione dei file, per il recapito dei messaggi di posta elettronica e per l'incasso del corrispettivo del Servizio.

L'elenco nominativo e aggiornato e' pubblicato su /sub-responsabili e indica, per ciascun sub-responsabile, il servizio erogato, le categorie di dati trasmessi, il Paese di trattamento e se e' attivo oppure soltanto previsto.

Prima di aggiungere o sostituire un sub-responsabile il Responsabile ne informa il Titolare con un preavviso di almeno trenta giorni, aggiornando l'elenco pubblicato e avvisando nel Servizio. Entro quel termine il Titolare puo' opporsi per motivi relativi alla protezione dei dati, scrivendo al recapito della sezione 1; se l'opposizione e' fondata e non e' possibile erogare il Servizio senza quel fornitore, il Titolare puo' recedere senza oneri.

Il Responsabile impone a ciascun sub-responsabile, per contratto, obblighi di protezione dei dati non meno onerosi di quelli assunti con questo atto, e resta pienamente responsabile verso il Titolare del loro adempimento.

8. Trasferimenti verso Paesi terzi — Capo V

Alla data di questa versione nessun trattamento previsto da questo atto comporta il trasferimento di dati personali fuori dall'Unione Europea: l'infrastruttura di esercizio, l'archiviazione dei file e il recapito della posta sono configurati su infrastrutture dell'Unione.

Il Responsabile non trasferisce dati verso Paesi terzi senza averlo prima indicato nell'elenco dei sub-responsabili, con la base giuridica del trasferimento ai sensi degli articoli da 44 a 49 del Regolamento, e senza aver concesso al Titolare il termine di opposizione della sezione 7.

9. Assistenza per i diritti degli interessati — art. 28, par. 3, lett. e)

Il Responsabile assiste il Titolare nel dare seguito alle richieste degli interessati. Il Servizio consente al Titolare di esercitare da solo, senza chiedere nulla al Responsabile, l'accesso, la rettifica, l'estrazione in formato riutilizzabile e la cancellazione dei dati che tratta: e' il modo piu' rapido, perche' non passa da noi.

Se una richiesta di un interessato arriva al Responsabile, questi non vi da' seguito autonomamente — non e' lui a decidere — e la inoltra al Titolare senza ingiustificato ritardo, insieme a cio' che serve a identificarla.

Il Responsabile fornisce, su richiesta del Titolare e senza corrispettivo, le informazioni tecniche necessarie a rispondere a un interessato, comprese le informazioni sul registro degli eventi.

10. Violazione dei dati personali — art. 33, par. 2

Il Responsabile informa il Titolare di ogni violazione dei dati personali che lo riguardi SENZA INGIUSTIFICATO RITARDO dal momento in cui ne viene a conoscenza. Il termine di settantadue ore dell'articolo 33, paragrafo 1, grava sul Titolare e decorre da quando il Responsabile lo informa: e' il motivo per cui il Responsabile non attende di aver completato le proprie verifiche per avvisare.

La comunicazione indica, nella misura in cui sono noti: la natura della violazione, le categorie e il numero approssimativo di interessati e di dati coinvolti, le probabili conseguenze, le misure adottate o proposte per porvi rimedio e per attenuarne gli effetti, e il recapito presso cui ottenere ulteriori informazioni. Cio' che non e' ancora noto viene comunicato appena lo diventa.

Il Responsabile non notifica al Garante e non comunica agli interessati in luogo del Titolare: quelle decisioni sono del Titolare. Il Responsabile lo assiste, fornisce gli elementi tecnici e documenta la violazione.

La procedura interna del Responsabile e' documentata ed e' resa disponibile al Titolare su richiesta.

11. Assistenza per gli obblighi degli artt. da 32 a 36 — art. 28, par. 3, lett. f)

Il Responsabile assiste il Titolare nel garantire la sicurezza del trattamento, nella notificazione e comunicazione delle violazioni, nella valutazione d'impatto sulla protezione dei dati e nell'eventuale consultazione preventiva dell'autorita', mettendo a disposizione le informazioni tecniche di cui dispone.

L'assistenza e' resa senza corrispettivo quando la richiesta e' proporzionata. Il Responsabile indica preventivamente al Titolare, e per iscritto, i casi in cui una richiesta richieda un impegno straordinario e il relativo costo, e non puo' far valere un costo non concordato prima.

12. Cancellazione o restituzione dei dati a fine rapporto — art. 28, par. 3, lett. g)

Alla cessazione del rapporto, su scelta del Titolare, il Responsabile cancella i dati personali trattati per suo conto oppure gliene restituisce una copia. Il Titolare puo' esercitare la scelta in qualunque momento, anche prima della cessazione, e non deve motivarla.

La restituzione e' sempre disponibile senza chiederla: la funzione di esportazione integrata nel Servizio produce un archivio completo delle anagrafiche, dei documenti e degli allegati, in formati leggibili e riutilizzabili. Il Responsabile si impegna a non subordinarla al pagamento di alcun corrispettivo e a non limitarla in caso di sospensione del Servizio.

In assenza di una scelta del Titolare il Responsabile NON cancella i dati d'ufficio: alla data di questa versione nessun termine di conservazione successivo alla cessazione e' stato assunto e nessuna cancellazione automatica e' attiva nel Servizio. E' una dichiarazione di fatto, non una riserva: il Titolare deve sapere che la cancellazione avviene su sua richiesta, e che finche' non la formula i dati restano. Quando il Responsabile assumera' un termine, lo indichera' qui e la versione di questo atto sara' aggiornata.

Resta ferma la conservazione dei dati che una norma dell'Unione o dello Stato membro impone al Responsabile di mantenere. Restano altresi' ferme le voci del registro degli eventi, che per costruzione non sono modificabili ne' cancellabili: la cancellazione rimuove i dati dai sistemi di esercizio e lascia nel registro i soli riferimenti tecnici necessari a tenere integra la catena delle impronte.

13. Informazioni, verifiche e ispezioni — art. 28, par. 3, lett. h)

Il Responsabile mette a disposizione del Titolare, su richiesta, tutte le informazioni necessarie a dimostrare il rispetto degli obblighi di questo atto, comprese le misure di sicurezza in essere e quelle mancanti, l'elenco dei sub-responsabili e la documentazione delle violazioni eventualmente verificatesi.

Il Titolare puo' svolgere verifiche, anche tramite un soggetto da lui incaricato che non sia in concorrenza con il Responsabile, con un preavviso di almeno quindici giorni, durante l'orario di lavoro, non piu' di una volta l'anno salvo che una violazione o un'indicazione dell'autorita' ne rendano necessaria un'altra. La verifica non deve compromettere la sicurezza o la riservatezza dei dati degli altri clienti.

Il Responsabile dichiara di NON essere in possesso di certificazioni di sicurezza rilasciate da terzi e di non aver completato un audit indipendente: non puo' quindi sostituire una verifica con un attestato, ed e' la ragione per cui la sezione 15 e' scritta per intero.

14. Responsabilita', modifiche, legge applicabile

Ciascuna parte risponde dei danni causati dal proprio inadempimento, nei limiti dell'articolo 82 del Regolamento. La limitazione di responsabilita' prevista dalle condizioni generali di servizio non si applica alle conseguenze di una violazione del Regolamento imputabile al Responsabile.

Il Responsabile puo' modificare questo atto. Ogni versione ha un numero, una data e un'impronta del testo, e il Servizio registra quale versione il Titolare ha accettato e quando. Una versione nuova viene mostrata al Titolare e gli viene chiesta l'accettazione; finche' non accetta resta in vigore fra le parti la versione che ha accettato. Se il Titolare non intende accettare una modifica, puo' recedere senza oneri.

Questo atto e' regolato dalla legge italiana e si interpreta in conformita' al Regolamento UE 2016/679 e al decreto legislativo 30 giugno 2003, n. 196. Se una clausola risultasse nulla o inefficace, le altre restano valide e la clausola viene sostituita da quella conforme alla norma piu' prossima all'intento delle parti.

15.1. Allegato — misure tecniche e organizzative in essere

Le misure elencate sono verificate nel codice del Servizio alla data di questa versione.

• SEPARAZIONE DEI DATI PER AZIENDA: ogni interrogazione sui dati di dominio e' vincolata all'azienda dell'utente, e l'identificativo dell'azienda non arriva mai da cio' che il programma di navigazione invia. L'assenza del vincolo e' un errore che fa fallire i controlli automatici del Servizio.
• CONTROLLO DEGLI ACCESSI: autenticazione con password, verifica in due passaggi disponibile con codici di recupero, permessi per area assegnati dall'amministratore dell'azienda, ri-autenticazione per le operazioni sensibili.
• CIFRATURA DEI DATI SENSIBILI A RIPOSO: algoritmo AES a 256 bit in modalita' GCM per i segreti applicativi, le credenziali di posta dell'utente, le coordinate bancarie e i codici fiscali.
• PASSWORD NON RECUPERABILI: conservate con funzione di derivazione lenta, mai in chiaro, mai reversibili; nessuna procedura interna consente di leggerle.
• TRASPORTO CIFRATO: collegamento esclusivamente su canale cifrato; i collegamenti di scaricamento dei file sono firmati e a scadenza breve, e non esistono indirizzi pubblici verso i file dei clienti.
• OSCURAMENTO NEI REGISTRI TECNICI: password, token, coordinate bancarie e codici fiscali sono oscurati automaticamente prima della scrittura nei registri.
• REGISTRO DEGLI EVENTI NON MODIFICABILE: le voci sono concatenate con impronte crittografiche, non si aggiornano e non si cancellano; ogni voce porta autore, indirizzo IP e programma di navigazione.
• ACCESSO ASSISTITO TRACCIATO: l'accesso del personale del Responsabile ai dati di un cliente avviene con una funzione dedicata, e' registrato con il nome di chi opera e disattiva le funzioni di governo della piattaforma.
• CANCELLAZIONE IN DUE STADI: i dati cancellati dall'utente passano in un cestino con un termine di quindici giorni e solo dopo vengono rimossi, insieme ai file associati. Serve al Titolare per rimediare a una cancellazione sbagliata.
• ESPORTAZIONE INTEGRALE SU RICHIESTA DEL TITOLARE: una funzione del Servizio produce un archivio completo dei dati dell'azienda, con l'indicazione di cio' che contiene e di cio' che resta fuori.
• INFRASTRUTTURA NELL'UNIONE EUROPEA per l'esercizio, l'archiviazione dei file e il recapito della posta elettronica.
• SEPARAZIONE DEGLI AMBIENTI di sviluppo e di esercizio, con dati e credenziali distinti.

15.2. Allegato — misure a carico del Titolare

Alcune misure il Responsabile non puo' adottarle al posto del Titolare. Il Titolare si impegna a: custodire le credenziali dei propri utenti e revocarle quando un collaboratore cessa; assegnare i permessi secondo il principio del minimo necessario; attivare la verifica in due passaggi per gli utenti che amministrano l'azienda; non inserire nei campi a testo libero dati non necessari, in particolare categorie particolari di dati; verificare la correttezza dei dati inseriti; informare i propri interessati del trattamento, indicando il Responsabile fra i destinatari.

15.3. Allegato — misure NON in essere, dichiarazione di trasparenza

Ai fini di una valutazione onesta del rischio, il Responsabile da' atto che alla data di questa versione le misure seguenti NON risultano adottate o documentate. L'elenco e' il risultato di una verifica sul codice e sulla documentazione interna, non una formula di cautela.

• nessuna certificazione di sicurezza rilasciata da terzi, nessun audit indipendente completato, nessuna prova di intrusione commissionata;
• nessuna procedura automatica di cancellazione dei dati alla cessazione del rapporto: la cancellazione avviene su richiesta (sezione 12);
• politica di esecuzione e di conservazione delle copie di sicurezza non documentata in un atto disponibile al Titolare: frequenza, durata di conservazione, cifratura e prove di ripristino non sono dichiarate;
• nessun responsabile della protezione dei dati designato dal Responsabile; la valutazione dei criteri dell'articolo 37 e' documentata internamente;
• indirizzo di posta elettronica certificata del Responsabile non comunicato: le comunicazioni formali avvengono per posta elettronica ordinaria;
• nessun servizio di conservazione sostitutiva a norma: il Responsabile non e' conservatore e il Servizio non assolve a quell'obbligo del Titolare;
• nessuna valutazione d'impatto sulla protezione dei dati svolta dal Responsabile sul proprio trattamento complessivo; resta ferma la valutazione che compete al Titolare sul trattamento proprio.