Atto di nomina a responsabile del trattamento
Questo è il documento che mette in regola te, non solo noi. Quando usi Sofia per lavorare sui dati dei tuoi clienti — le loro email, le loro fatture, i loro appuntamenti — quei dati restano tuoi: il titolare del trattamento sei tu, e noi siamo il tuo responsabile. Senza un atto come questo saresti tu a essere fuori norma, non noi. Stampalo, tienilo, dallo al tuo consulente.
1. Chi sono le parti
Titolare del trattamento: l'azienda o il professionista intestatario dell'account Sofia
(di seguito «il Cliente»).
Responsabile del trattamento: Golino Giovanni (Giogol Industries), P.IVA 05645300269, Via Trieste 2, 31050 Ponzano Veneto (TV), che fornisce il servizio Sofia
(di seguito «il Fornitore»). Contatti: giovanni@giogolindustries.com.
Questo atto si perfeziona quando il Cliente crea l'account e accetta le condizioni, e resta valido per tutta la durata del servizio.
2. Su cosa si applica
| Oggetto | Trattamento dei dati personali necessario a erogare il servizio Sofia |
|---|---|
| Durata | Quanto dura il contratto, più i tempi di cancellazione previsti al punto 8 |
| Natura e finalità | Raccolta, conservazione, consultazione, analisi automatica, comunicazione ai destinatari indicati dal Cliente, cancellazione |
| Tipi di dati | Dati identificativi e di contatto, contenuti di email e messaggi, documenti contabili e fiscali, trascrizioni delle telefonate, dati di appuntamenti e turni |
| Categorie di interessati | Clienti, fornitori, dipendenti e collaboratori del Cliente, e chiunque contatti il Cliente |
| Categorie particolari | Se il Cliente è uno studio medico o odontoiatrico, il trattamento può riguardare dati relativi alla salute (art. 9 GDPR). In tal caso si applicano le misure rafforzate del punto 6. |
3. Cosa si impegna a fare il Fornitore
- Trattare i dati solo su istruzione documentata del Cliente — istruzione che coincide con l'uso del servizio e con le impostazioni scelte nella dashboard — e mai per finalità proprie.
- Non usare i dati del Cliente per addestrare modelli di intelligenza artificiale, e non venderli o cederli a terzi.
- Garantire che chi ha accesso ai dati sia vincolato alla riservatezza.
- Assistere il Cliente, con misure adeguate, nel rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, portabilità, opposizione).
- Assistere il Cliente nella sicurezza, nella notifica delle violazioni e, se serve, nella valutazione d'impatto.
- Mettere a disposizione le informazioni necessarie a dimostrare il rispetto dell'articolo 28 e consentire verifiche, con un preavviso ragionevole.
- Avvisare il Cliente senza ingiustificato ritardo, e comunque entro 48 ore da quando ne viene a conoscenza, di ogni violazione dei dati personali, con quello che si sa al momento.
4. Cosa si impegna a fare il Cliente
- Trattare lecitamente i dati che immette in Sofia, e aver dato agli interessati l'informativa prevista dagli articoli 13 e 14.
- Non immettere categorie particolari di dati che non siano necessarie al proprio lavoro.
- Tenere in ordine gli accessi: dare il permesso di usare Sofia solo a chi deve averlo, e toglierlo a chi lascia l'azienda.
5. Sub-responsabili
Il Cliente autorizza in via generale il ricorso ai sub-responsabili elencati nell'informativa privacy, sezione 6. Ogni sub-responsabile è vincolato da obblighi non meno gravosi di quelli di questo atto. Se il Fornitore intende aggiungerne o sostituirne uno, lo comunica al Cliente con almeno 30 giorni di preavviso; entro quel termine il Cliente può opporsi, e in caso di opposizione può recedere senza penali.
Per i sub-responsabili fuori dallo Spazio economico europeo il trasferimento avviene sulla base delle clausole contrattuali standard della Commissione europea.
6. Misure di sicurezza
- Dati cifrati in transito (TLS) e password delle caselle, token di accesso e IBAN cifrati anche a riposo (AES-256-GCM).
- Separazione rigorosa fra un cliente e l'altro: ogni lettura e scrittura è vincolata all'account che la richiede.
- Accesso al servizio con password, secondo fattore disponibile, e sessione che si chiude alla chiusura del browser.
- Backup periodici del database e registro degli eventi di sicurezza.
- Se il trattamento riguarda dati sanitari: accesso limitato al minimo indispensabile e conservazione delle sole informazioni necessarie all'appuntamento.
7. Violazioni dei dati
Il Fornitore avvisa il Cliente entro 48 ore dalla conoscenza della violazione, descrivendo cosa è successo, quali categorie di dati e quante persone sono coinvolte, le probabili conseguenze e le misure prese. La notifica all'autorità di controllo, quando dovuta, resta in capo al Cliente in quanto titolare; il Fornitore lo assiste con quello che sa.
8. Alla fine del contratto
Alla cessazione del servizio il Cliente sceglie se farsi restituire i dati o farli cancellare. Senza una scelta diversa, il Fornitore cancella i dati entro 90 giorni dalla cessazione, salvo quanto debba essere conservato per obblighi di legge (per esempio i documenti fiscali). I dati si possono scaricare dalla dashboard in qualsiasi momento, anche ad abbonamento scaduto.
9. Se qualcosa va storto
Le responsabilità seguono l'articolo 82 del GDPR. Si applica la legge italiana; per le controversie è competente il foro del luogo in cui ha sede il Fornitore, salvo le norme inderogabili a tutela del Cliente consumatore.
Una nota onesta. Questo testo è scritto per essere chiaro e per coprire quello che l'articolo 28 richiede, ma non sostituisce il parere di un avvocato. Se il tuo consulente privacy vuole modifiche, scrivici a giovanni@giogolindustries.com: le guardiamo.