in vigore · versione 1.2
Accordo sul trattamento dei dati (art. 28 GDPR)
Come trattiamo i dati che le imprese clienti inseriscono, per loro conto: istruzioni, sub-responsabili, luoghi, garanzie.
documento 05 di 08
- versione
- 1.2
- in vigore dal
- sezioni
- 14
- sub-responsabili
- 4
- si applica a
- Imprese · Gestione
- titolare
- Atoolsystem di Alessandro MauroP.IVA IT04130890124
Questo accordo disciplina il trattamento dei dati personali che l’impresa cliente (il «Titolare») affida ad Atoolsystem Gestione. Il responsabile del trattamento è Atoolsystem di Alessandro Mauro, impresa individuale, P.IVA IT04130890124, Via Giuseppe Parini 5B, 21010 Besnate (VA), Italia (il «Responsabile»). L’accordo fa parte dei Termini e condizioni (sezione 13) e si conclude con la loro accettazione, in forma elettronica, come previsto dall’art. 28, paragrafo 9, GDPR. Chi preferisce un esemplare firmato può chiederlo a privacy@atoolsystem.com.
Il Responsabile tratta i dati personali contenuti nei Contenuti del Cliente al solo fine di erogare Atoolsystem Gestione: conservazione, organizzazione, consultazione, modifica, condivisione tramite i link creati dal Titolare, esportazione, copie di sicurezza, assistenza e cancellazione. Non li usa per finalità proprie, non li vende e non li usa per addestrare modelli di intelligenza artificiale.
| Interessati | Dati tipici |
|---|---|
| Utenti dell’organizzazione | Nome, email, ruolo, operazioni svolte (registro attività), richieste all’IA. |
| Dipendenti e collaboratori del Titolare | Nome, mansione, beni assegnati, interventi eseguiti, firme e foto inserite come evidenza; nell’app del tecnico, la posizione del telefono quando l’intervento avanza o si inviano le foto, se il tecnico la concede nel browser. |
| Clienti e fornitori del Titolare (e loro referenti) | Denominazione, recapiti, documenti, messaggi e ticket dei portali a link; nome e ruolo dichiarati da chi agisce dal link, firme elettroniche semplici, impronta cifrata (HMAC) di indirizzo IP e browser. |
| Chi segnala un guasto da QR | I dati che inserisce nella segnalazione. |
| Persone citate nei documenti caricati | I dati che i documenti contengono (verbali, certificati, DDT, fatture). |
Categorie particolari di dati e dati giudiziari (artt. 9 e 10 GDPR) sono esclusi, salvo accordo scritto che ne definisca base giuridica e misure.
L’accordo dura quanto il contratto e, dopo, per il tempo necessario alla restituzione e alla cancellazione dei dati (sezione 11).
Il Responsabile tratta i dati solo su istruzioni documentate del Titolare, anche per i trasferimenti fuori dall’Unione: sono istruzioni i Termini, questo accordo, le configurazioni scelte nel servizio (ruoli, link condivisi, integrazioni attivate) e le richieste scritte degli amministratori dell’organizzazione. Se un’istruzione gli sembra contraria alla legge, il Responsabile lo segnala subito al Titolare e può sospenderne l’esecuzione. Se la legge gli impone un trattamento, lo comunica prima, salvo divieto.
Accedono ai dati solo le persone autorizzate dal Responsabile che ne hanno bisogno per l’assistenza o la sicurezza, vincolate alla riservatezza. Ogni accesso di assistenza ai dati di un’organizzazione avviene su richiesta o con il consenso del Titolare, salvo urgenze di sicurezza.
- Separazione dei dati di ogni organizzazione applicata dal database (Row-Level Security), verificata con prove dedicate quando lo schema cambia.
- Accesso nominativo con password, accesso con Google o secondo fattore; ruoli e permessi assegnati dal Titolare.
- Connessioni cifrate (HTTPS); chiavi dei servizi solo sul server; token delle integrazioni conservati cifrati.
- Elaborazione nella stessa area dei dati: le funzioni dell’applicazione girano nell’Unione europea, accanto al database.
- Impronta sha256 dei documenti emessi o consegnati, per riconoscerne ogni alterazione.
- Registro delle operazioni rilevanti e registro delle richieste all’IA, consultabili dagli amministratori.
- Documenti e foto in archivi privati, accessibili con link firmati a scadenza.
- Copie di sicurezza gestite dal fornitore del database.
Il Responsabile aggiorna le misure senza ridurre il livello di protezione. Non dichiara certificazioni proprie che non possiede.
Il Titolare autorizza in via generale i sub-responsabili elencati qui sotto. Il Responsabile impone a ciascuno obblighi di protezione equivalenti a questo accordo e resta responsabile verso il Titolare del loro operato.
| Sub-responsabile | Attività | Dati | Luogo | Garanzie per i trasferimenti |
|---|---|---|---|---|
| Supabase, Inc. (si apre in una nuova scheda) | Database, autenticazione degli account e archivio dei file | Tutti i dati del servizio: account, organizzazioni, contenuti caricati, file, registri. | Unione europea. Assistenza tecnica del fornitore possibile da Stati Uniti e Singapore. | Clausole contrattuali standard (decisione (UE) 2021/914) incluse nell’accordo sul trattamento del fornitore. |
| Vercel Inc. (si apre in una nuova scheda) | Pubblicazione del sito ed esecuzione dell’applicazione | Le richieste al sito e all’app, compresi i dati che transitano nelle pagine; indirizzo IP e registri tecnici. | Unione europea: le funzioni dell’applicazione girano accanto al database. La rete del fornitore riceve le richieste dal punto più vicino a chi naviga e da lì serve i file statici; registri tecnici e assistenza del fornitore possono trovarsi negli Stati Uniti. | EU-U.S. Data Privacy Framework (Vercel Inc. è certificata) e clausole contrattuali standard. |
| Anthropic (modelli Claude) (si apre in una nuova scheda) | Funzioni di intelligenza artificiale, solo quando l’utente le usa | La richiesta, i file allegati e i dati dell’organizzazione che la funzione legge per rispondere, nei limiti del ruolo di chi chiede. | Stati Uniti. | Clausole contrattuali standard previste dalle condizioni commerciali del fornitore. Per contratto i dati inviati via API non sono usati per addestrare i modelli. |
| Resend (Plus Five Five, Inc.) (si apre in una nuova scheda) | Invio delle email di servizio: conferme, avvisi, inviti, report programmati, ricevute di recesso | Indirizzo email del destinatario e contenuto del messaggio. | Stati Uniti. | EU-U.S. Data Privacy Framework (Resend è certificata) e clausole contrattuali standard. |
Il Responsabile comunica via email all’amministratore dell’organizzazione ogni aggiunta o sostituzione almeno 30 giorni prima. Il Titolare può opporsi per motivi legati alla protezione dei dati entro lo stesso termine; se non si trova una soluzione, il Titolare può recedere senza costi, con il rimborso della parte di periodo non goduta.
Non sono sub-responsabili i servizi che il Titolare collega di sua scelta al proprio account (ad esempio un calendario Google o Microsoft): in quel caso i dati vanno al fornitore scelto dal Titolare, secondo il suo contratto con quel fornitore.
Database e file sono conservati nell’Unione europea, e le funzioni dell’applicazione che li elaborano girano nella stessa area. I trasferimenti verso paesi terzi avvengono solo verso i sub-responsabili elencati, per le attività indicate nella tabella della sezione 7, con le garanzie indicate (decisione di adeguatezza o clausole contrattuali standard). Il Responsabile non dà seguito a richieste di accesso di autorità di paesi terzi che non abbiano base nel diritto dell’Unione o di uno Stato membro, le contesta quando possibile e ne informa il Titolare, salvo divieto.
- Richieste degli interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione): il Responsabile le inoltra al Titolare entro 5 giorni lavorativi e non risponde nel merito; fornisce gli strumenti del servizio e, se servono, estrazioni dei dati.
- Valutazioni d’impatto, consultazioni del Garante e verifiche di sicurezza (artt. 32-36 GDPR): il Responsabile fornisce le informazioni di cui dispone sul servizio.
- Registro delle attività di trattamento del Responsabile (art. 30.2 GDPR): disponibile su richiesta del Garante.
Il Responsabile informa il Titolare di una violazione dei dati affidati senza ingiustificato ritardo e comunque entro 48 ore da quando ne viene a conoscenza, con le informazioni disponibili: natura della violazione, categorie e numero approssimativo di interessati e di dati, conseguenze probabili, misure adottate o proposte, un contatto. Le informazioni mancanti seguono appena disponibili. La notifica al Garante entro 72 ore e la comunicazione agli interessati (artt. 33 e 34 GDPR) spettano al Titolare, che il Responsabile assiste.
Alla fine del contratto il Titolare sceglie se ricevere i dati o farli cancellare. I dati restano esportabili per almeno 12 mesi in sola lettura (Termini, sezione 6.3); l’esportazione completa è consegnata entro 30 giorni dalla richiesta. Su richiesta di cancellazione, i dati sono eliminati dai sistemi attivi entro 30 giorni ed escono dalle copie di sicurezza con il loro ciclo di rotazione; nel frattempo non sono usati né ripristinati. Restano solo i dati che la legge obbliga a conservare. Il Responsabile conferma per iscritto l’avvenuta cancellazione.
Il Responsabile mette a disposizione le informazioni necessarie a dimostrare il rispetto di questo accordo e consente verifiche del Titolare o di un revisore da lui incaricato, con un preavviso ragionevole e in modo da non compromettere la sicurezza e i dati degli altri clienti. Per i sub-responsabili valgono i loro rapporti e certificazioni.
Il Titolare stabilisce finalità e basi giuridiche, informa gli interessati (dipendenti, clienti, fornitori), carica solo i dati necessari, gestisce i ruoli degli utenti e i link che condivide, e valuta se l’uso delle funzioni di IA sui dati delle persone richiede informazioni o valutazioni ulteriori.
Se usa strumenti da cui può derivare un controllo a distanza dei lavoratori, come la posizione registrata dall’app del tecnico, il Titolare rispetta l’art. 4 della L. 300/1970 e l’art. 114 del D.Lgs. 196/2003 e ne informa i lavoratori prima di usarli. Il tecnico può sempre negare la posizione dal browser: l’intervento si registra lo stesso.
Per questo accordo: privacy@atoolsystem.com. In caso di contrasto con i Termini, su ciò che riguarda i dati personali prevale questo accordo.