Accordo sul trattamento dei dati (art. 28 GDPR)

Titolare del trattamento: il Cliente, cioè l'organizzazione che sottoscrive il servizio.

Responsabile del trattamento: [RAGIONE SOCIALE], con sede in [indirizzo], P.IVA [numero], PEC [indirizzo] (di seguito "il Fornitore"), che eroga NIS2 Portal.

[Da definire con il legale: il caso in cui il servizio è acquistato da uno studio di consulenza che lo usa per conto del Cliente.]

Il Fornitore tratta i dati personali solo per erogare il servizio: conservarli, mostrarli agli utenti autorizzati dal Cliente, inviare promemoria e notifiche, produrre esportazioni e report, garantirne la sicurezza.

Il Fornitore non usa i dati del Cliente per finalità proprie, non li vende e non li usa per addestrare sistemi di intelligenza artificiale.

Interessati: utenti del portale, personale del Cliente indicato nei registri (responsabili, referenti, partecipanti alla formazione), referenti dei fornitori del Cliente.

Dati: nome, cognome, email, telefono, ruolo, mansione; registri di accesso e di modifica; contenuti e file caricati dal Cliente come evidenze.

Il servizio non è pensato per categorie particolari di dati (art. 9 GDPR) né per dati giudiziari (art. 10). Il Cliente si impegna a non caricarli.

Il trattamento dura quanto il contratto di servizio, più il tempo necessario alla restituzione e alla cancellazione dei dati descritte al punto 12.

Il Fornitore tratta i dati solo su istruzione documentata del Cliente. Il contratto, questo accordo e l'uso delle funzioni del portale da parte degli utenti del Cliente costituiscono le istruzioni.

Se ritiene che un'istruzione violi il GDPR o altre norme, il Fornitore lo comunica subito al Cliente.

Le persone autorizzate dal Fornitore a trattare i dati sono vincolate alla riservatezza, per contratto o per legge, e ricevono solo gli accessi necessari al loro compito.

Il Fornitore applica almeno le seguenti misure:

• dati ospitati nell'Unione Europea, a Stoccolma: database e applicazione;
• connessioni cifrate (HTTPS con HSTS) e cifratura dei dati a riposo fornita dall'infrastruttura;
• autenticazione a due fattori obbligatoria per tutti gli utenti, verificata dalle regole di accesso del database;
• separazione dei dati tra organizzazioni tramite regole di accesso Row Level Security del database;
• registro delle modifiche scritto dal database, in sola lettura per gli utenti;
• registrazione di ogni accesso di un consulente ai dati del Cliente, visibile agli amministratori del Cliente;
• archivio dei file privato, con limiti di dimensione e di formato;
• backup del database [frequenza e conservazione da confermare con il piano di hosting] e prova di ripristino almeno annuale.

Il personale del Fornitore non accede ai registri del Cliente tramite il portale. L'accesso tecnico all'infrastruttura è riservato a [nominativi o ruoli] e avviene solo per assistenza richiesta dal Cliente, per sicurezza o per obbligo di legge.

Il Cliente autorizza il Fornitore a ricorrere ai sub-responsabili indicati nell'elenco pubblicato su questo sito.

Il Fornitore comunica al Cliente l'aggiunta o la sostituzione di un sub-responsabile con almeno 30 giorni di preavviso. Entro questo termine il Cliente può opporsi per motivi legati alla protezione dei dati; se non si trova una soluzione, può recedere senza penali.

Il Fornitore impone a ogni sub-responsabile obblighi di protezione dei dati equivalenti a quelli di questo accordo e ne risponde verso il Cliente.

I dati sono ospitati nell'Unione Europea. Alcuni sub-responsabili hanno sede negli Stati Uniti: per eventuali accessi da paesi terzi il Fornitore si avvale delle clausole contrattuali standard approvate dalla Commissione Europea, previste dagli accordi con quei fornitori [verificare anche l'adesione al Data Privacy Framework UE-USA].

Il Fornitore assiste il Cliente nel rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione). Il portale consente già al Cliente di esportare tutti i dati e di cancellare i dati di una persona.

Il Fornitore assiste il Cliente, nei limiti delle informazioni di cui dispone, negli obblighi di sicurezza, di notifica delle violazioni, di valutazione d'impatto e di consultazione preventiva (artt. 32–36 GDPR).

Il Fornitore informa il Cliente di una violazione dei dati personali che lo riguarda senza ingiustificato ritardo e comunque entro [24] ore da quando ne è venuto a conoscenza, all'indirizzo indicato dal Cliente.

La comunicazione indica, appena disponibili: natura della violazione, categorie e numero approssimativo di interessati e di dati coinvolti, probabili conseguenze, misure adottate o proposte, un referente del Fornitore.

Fino alla chiusura dell'account il Cliente può esportare tutti i suoi dati in un unico file.

Dopo la chiusura il Fornitore cancella i dati del Cliente entro [30] giorni, salvo obblighi di legge. Le copie nei backup vengono eliminate alla loro scadenza naturale, entro [N] giorni, e nel frattempo non vengono usate.

Il Fornitore mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto di questo accordo e consente verifiche, anche tramite un revisore incaricato dal Cliente, con un preavviso di almeno [30] giorni e senza compromettere la riservatezza degli altri clienti.

Questo accordo è regolato dalla legge italiana. Per ogni controversia è competente il foro di [città].