Accordo sul trattamento dei dati (art. 28 GDPR)

Chi sono le parti, e quando questo accordo vale

Da una parte la società sportiva, che è il TITOLARE del trattamento: decide quali dati raccogliere sui propri atleti, per quali finalità e per quanto tempo. Dall’altra ► RAGIONE SOCIALE, ► SEDE LEGALE, partita IVA ► P.IVA, che è il RESPONSABILE: tratta quei dati per conto del titolare e sulle sue istruzioni.

Nel programma un club tratta dati relativi alla salute (art. 9 GDPR) e, nei settori giovanili, dati di persone minori di età. L’art. 28.3 GDPR vuole che un trattamento del genere sia disciplinato da un contratto: questo.

L’accordo si accetta prima di caricare qualunque dato, e si conserva chi ha accettato quale versione e quando. La versione pubblicata qui è la 1.0.

La versione firmata contiene anche i dati del club, che qui ovviamente non ci sono. Tutto il resto è quello che si legge in questa pagina.

1Oggetto, natura e finalità del trattamento

1.1 Il responsabile tratta i dati personali esclusivamente per fornire e mantenere il programma, e per nessun’altra finalità.

1.2 Le caratteristiche del trattamento sono descritte nell’Allegato A, che vale come istruzione documentata del titolare ai sensi dell’art. 28.3.a.

1.3 Il titolare dichiara di aver individuato una base giuridica idonea per ciascuna finalità e di aver dato agli interessati l’informativa dell’art. 13. Il responsabile non risponde della liceità dei trattamenti decisi dal titolare, ma è tenuto a segnalargli se un’istruzione ricevuta gli appare in violazione della normativa.

2Istruzioni del titolare, e che cosa non facciamo con i suoi dati

2.1 Il responsabile tratta i dati soltanto su istruzione documentata del titolare, comprese le istruzioni sui trasferimenti verso paesi terzi.

2.2 Valgono come istruzioni documentate: questo accordo e i suoi allegati, la documentazione del programma e le configurazioni che il titolare imposta dentro il programma — ruoli, permessi, metriche, soglie, elenco dei ruoli abilitati a vedere i dati sanitari.

2.3 Il responsabile non usa i dati del titolare per finalità proprie. In particolare si obbliga a non usarli per costruire archivi, valori di riferimento, statistiche o parametri di confronto fra società, nemmeno in forma aggregata; a non usarli per addestrare, mettere a punto o valutare sistemi di apprendimento automatico o modelli statistici; a non cederli o renderli accessibili a terzi diversi dai sub-responsabili autorizzati; e a non usarli per finalità commerciali o promozionali.

2.4 Il responsabile può trattare dati anonimi — privi di qualunque riferimento, diretto o indiretto, a una persona identificabile — per diagnostica tecnica e miglioramento del programma. Una serie di misurazioni giornaliere di un singolo atleta non è un dato anonimo ai fini di questa clausola, e non rientra in questa facoltà.

3Riservatezza

3.1 Il responsabile assicura che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di segretezza.

3.2 L’accesso ai dati del titolare è consentito al solo personale che ne abbia effettiva necessità, e limitatamente a quanto serve per l’assistenza richiesta o per la manutenzione.

3.3 Il responsabile non accede ai dati sanitari del titolare, salvo esplicita richiesta di assistenza di quest’ultimo, e in tal caso ne dà atto per iscritto.

4Misure di sicurezza

4.1 Il responsabile adotta le misure tecniche e organizzative descritte nell’Allegato B.

4.2 Le misure possono essere aggiornate, ma nessun aggiornamento può diminuirne il livello complessivo di sicurezza.

4.3 Il titolare riconosce che la sicurezza dipende anche da comportamenti suoi — custodia delle credenziali, assegnazione dei ruoli, scelta di chi può vedere i dati sanitari, gestione dei collegamenti pubblici per la raccolta del questionario — e se ne assume la responsabilità.

5Sub-responsabili

5.1 Il titolare autorizza in via generale il ricorso ai sub-responsabili elencati nell’Allegato C.

5.2 Il responsabile informa il titolare di ogni intenzione di aggiungere o sostituire un sub-responsabile con almeno 30 giorni di preavviso. Il titolare può opporsi entro quel termine per motivi ragionevoli e documentati; in tal caso le parti cercano in buona fede una soluzione, e in mancanza il titolare può recedere senza penali per la parte di servizio interessata.

5.3 Il responsabile impone a ogni sub-responsabile, per contratto, gli stessi obblighi di questo accordo, e risponde verso il titolare del loro inadempimento.

6Trasferimenti fuori dallo Spazio Economico Europeo

6.1 I dati sono conservati e trattati all’interno dell’Unione Europea. Il database sta in Irlanda; l’applicazione gira nella regione ► REGIONE DELL’APPLICAZIONE.

6.2 Il responsabile non trasferisce i dati fuori dallo Spazio Economico Europeo senza autorizzazione scritta del titolare. Se un trasferimento si rendesse necessario avverrebbe solo sulla base di una decisione di adeguatezza o delle clausole contrattuali tipo approvate dalla Commissione, accompagnate da una valutazione d’impatto sul trasferimento.

6.3 Il responsabile comunica al titolare se il supporto tecnico di un sub-responsabile può accedere ai dati da un paese terzo, indicando le garanzie applicabili.

7Assistenza al titolare

7.1 Il responsabile assiste il titolare nel dare seguito alle richieste degli interessati. Il programma mette a disposizione del club, in autonomia: l’esportazione completa dei dati di un singolo atleta in formato strutturato, la rettifica dalle schermate di gestione, e la cancellazione definitiva con anonimizzazione delle voci di registro che lo riguardano.

7.2 Se un atleta si rivolge direttamente al responsabile, questi non risponde nel merito e trasmette senza ritardo la richiesta al club.

7.3 Il responsabile notifica al titolare ogni violazione di dati personali senza ingiustificato ritardo e comunque entro 24 ore da quando ne ha avuto conoscenza, con le informazioni dell’art. 33.3 di cui dispone. Le 24 ore sono più strette di quanto il regolamento chieda a un responsabile, e servono a lasciare al club un margine utile dentro le sue 72.

7.4 Il responsabile assiste il titolare nella valutazione d’impatto e nell’eventuale consultazione preventiva dell’autorità, mettendo a disposizione le informazioni tecniche necessarie.

8Responsabilità

8.1 Ciascuna parte risponde del danno cagionato dal proprio inadempimento, nei limiti dell’art. 82 GDPR.

8.2 La responsabilità del responsabile per i danni derivanti da questo accordo è limitata a ► LIMITE DI RESPONSABILITÀ per anno contrattuale. La limitazione non opera in caso di dolo o colpa grave, né rispetto alle sanzioni amministrative irrogate a una parte per fatto imputabile all’altra.

8.3 Quanto alla copertura assicurativa per la responsabilità civile professionale e informatica, il responsabile dichiara ► COPERTURA ASSICURATIVA.

9Verifiche

9.1 Il responsabile mette a disposizione del titolare le informazioni necessarie a dimostrare il rispetto degli obblighi dell’art. 28.

9.2 Il titolare può svolgere una verifica all’anno, con almeno 30 giorni di preavviso, in orario lavorativo e senza pregiudizio per la continuità del servizio. Ulteriori verifiche sono ammesse dopo una violazione di dati o su richiesta motivata dell’autorità di controllo.

9.3 Il responsabile può assolvere l’obbligo del punto 9.1 fornendo la documentazione tecnica del programma, i rapporti di sicurezza dei propri sub-responsabili e le eventuali certificazioni possedute. I costi della verifica sono del titolare, salvo che accerti un inadempimento del responsabile.

10Registro dei trattamenti

10.1 Il responsabile tiene il registro previsto dall’art. 30.2 e lo rende disponibile al titolare e all’autorità di controllo che ne facciano richiesta.

11Durata, restituzione e cancellazione

11.1 L’accordo dura quanto il contratto di fornitura.

11.2 Alla cessazione, a scelta del titolare espressa entro 30 giorni, il responsabile restituisce i dati in formato strutturato e leggibile da una macchina, oppure li cancella.

11.3 In mancanza di scelta entro quel termine, il responsabile cancella i dati decorsi 90 giorni dalla cessazione, dandone comunicazione. Il termine serve a evitare che la disattenzione di un club produca la perdita irreversibile dei dati dei suoi atleti.

11.4 Il responsabile può conservare i dati oltre quel termine solo se e finché un obbligo di legge glielo imponga, informandone il titolare. 11.5 I backup seguono il proprio ciclo di rotazione e vengono cancellati al più tardi entro ► GIORNI DI ROTAZIONE DEI BACKUP giorni dalla cancellazione dei dati attivi; fino ad allora restano soggetti a tutte le misure di questo accordo.

12Legge applicabile e foro

12.1 L’accordo è regolato dalla legge italiana, integrata dal Codice Privacy (D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018).

12.2 Per ogni controversia è competente in via esclusiva il foro di ► FORO.

Allegato A — Descrizione del trattamento

Questo allegato è l’istruzione documentata del titolare: dice che cosa si tratta, di chi e perché. È la parte che un responsabile della protezione dei dati legge per prima.

Allegato B — Misure tecniche e organizzative

Sono le misure dell’art. 32. Dove una misura è applicata nel DATABASE e non solo nell’interfaccia lo diciamo, perché è la differenza fra un permesso che si disegna e un permesso che si può scavalcare.

Allegato C — Sub-responsabili autorizzati

Sono i fornitori che trattano dati per nostro conto. Un sub-responsabile non dichiarato è una violazione dell’art. 28.2, ed è anche la più facile da contestare: per questo l’elenco è qui e non su richiesta.

Nessun altro destinatario. Durante l’uso il programma non chiama servizi esterni: i caratteri tipografici sono serviti dal dominio del programma, e nessun indirizzo IP degli utenti viene comunicato a terzi.