BOZZA NON PUBBLICABILE — Accordo sul trattamento dei dati, art. 28 GDPR

Parti, oggetto e durata
Titolare: azienda cliente identificata nell’ordine. Responsabile: [DA COMPLETARE: fornitore Clouvelio]. Il responsabile tratta dati per erogare le funzionalità concordate, per la durata contrattuale e il periodo di restituzione/cancellazione definito. Operazioni: conservazione, consultazione, aggiornamento, trasmissione autorizzata, esportazione e cancellazione secondo istruzioni documentate.

Categorie e finalità
Interessati: utenti/tecnici, referenti di clienti e fornitori e persone eventualmente rappresentate nei documenti autorizzati. Dati: identificativi professionali, contatti, dati di intervento e, soltanto nei moduli attivi, documenti/foto/firme. Non è previsto il trattamento intenzionale di categorie particolari o dati giudiziari; esigenze diverse richiedono valutazione preventiva e misure concordate. Dettagliare trattamenti effettivi e finalità aziendali nell’allegato: [DA COMPLETARE].

Istruzioni e riservatezza
Il responsabile agisce solo su istruzioni documentate del titolare, anche per trasferimenti, salvo obblighi di legge applicabili dei quali informa il titolare nei limiti consentiti. Segnala istruzioni che ritiene contrarie alla disciplina applicabile. Le persone autorizzate sono vincolate alla riservatezza e operano nei limiti dei compiti attribuiti.

Misure di sicurezza
Adottare misure adeguate al rischio ai sensi dell’art. 32 GDPR, documentate nell’allegato tecnico: [DA COMPLETARE con HTTPS, isolamento, autenticazione, autorizzazioni, gestione aggiornamenti, backup verificati, protezione dei supporti, logging, risposta agli incidenti e collaudi realmente eseguiti]. Non dichiarare certificazioni o cifratura dei dischi non verificate. Riesaminare le misure secondo evoluzione e rischi del servizio.

Subresponsabili e trasferimenti
Elenco iniziale di fornitori, attività, paesi e garanzie: [DA COMPLETARE, valutando Cloudflare e gli altri soggetti effettivi]. Scegliere e documentare autorizzazione specifica o generale scritta; in caso di autorizzazione generale stabilire modalità di informazione preventiva delle modifiche e possibilità di opposizione motivata. Imporre obblighi di protezione equivalenti ai subresponsabili e mantenere le responsabilità previste dall’art. 28. Verificare separatamente i requisiti del capo V GDPR per trasferimenti extra SEE.

Assistenza e incidenti
Assistere il titolare, tenuto conto della natura del trattamento e delle informazioni disponibili, per richieste degli interessati, sicurezza, valutazioni d’impatto e consultazioni preventive. Informare il titolare senza ingiustificato ritardo dopo aver avuto conoscenza di una violazione dei dati personali; fornire progressivamente le informazioni disponibili e cooperare nel contenimento e nella documentazione. Canali e referenti operativi: [DA COMPLETARE]. Il termine di notifica del titolare all’autorità non deve essere confuso con un periodo di attesa concesso al responsabile.

Verifiche e fine servizio
Mettere a disposizione informazioni per dimostrare l’adempimento e consentire/contribuire ad audit e ispezioni secondo modalità concordate che non svuotino il diritto di verifica. Alla cessazione, a scelta del titolare, restituire o cancellare i dati e le copie, salvo obblighi legali di conservazione. Formati, tempi, ciclo backup e attestazione: [DA COMPLETARE]. Conservare evidenza delle istruzioni e della loro esecuzione.

Allegati obbligatori prima dell’utilizzo
Identificazione parti e contatti; descrizione dettagliata dei trattamenti; misure tecniche/organizzative effettive; elenco e regime di autorizzazione subresponsabili; ubicazioni e garanzie trasferimenti; procedure di assistenza, incidenti, audit, restituzione e cancellazione. La sola casella di accettazione non sostituisce la corretta definizione ed esecuzione degli obblighi.

Allegato A — descrizione del trattamento
Titolare: Cliente individuato nell’ordine collegato alla release. Responsabile: [DENOMINAZIONE SOCIALE], [SEDE LEGALE], [P.IVA], referente [EMAIL PRIVACY]. Per trattamenti amministrativi propri il Fornitore opera autonomamente secondo informativa distinta. Trattamenti del responsabile: acquisizione su istruzione tramite utenti autorizzati; organizzazione anagrafiche clienti/referenti e attrezzature; memorizzazione rapporti, foto, firme e allegati; sincronizzazione con dispositivi; gestione calendario, depositi, ricambi e movimenti; consultazione, revisioni, export e supporto limitato. Durata: contratto e fase di restituzione/cancellazione concordata, con limitazione dei trattamenti successivi.
Interessati: personale e collaboratori del Cliente, referenti dei clienti del Cliente, firmatari e persone incidentalmente ritratte. Categorie: identificativi e contatti professionali, dati tecnici/documentali, ubicazioni e date intervento, immagini e firme, dati operativi associabili agli utenti. È vietato assumere che ogni contenuto caricato sia lecito: il titolare informa gli utenti e limita raccolta e accesso. Dati particolari o giudiziari non fanno parte della prestazione ordinaria; eventuale necessità richiede istruzioni e valutazione specifiche.

Allegato B — misure e istruzioni
La policy Sicurezza allegata identifica controlli applicativi e misure organizzative da confermare. Il responsabile assicura personale autorizzato e riservatezza, gestione degli accessi secondo necessità, procedure aggiornamenti, backup protetti e ripristino verificato, registrazione e gestione incidenti. Implementazione effettiva, referenti e verifiche periodiche [DA COMPLETARE]; non si dichiara certificazione né cifratura a riposo non accertata. Supporto sui dati solo su istruzioni tracciabili, salvo interventi necessari di sicurezza o obblighi legali comunicabili. La politica di accesso offline impone al titolare gestione delle copie/dispositivi: revoca server non elimina copie offline.

Allegato C — sub-responsabili e trasferimenti
Modello da completare per ciascun soggetto: denominazione legale, servizio, dati coinvolti, località, garanzie, contatto, data autorizzazione. Cloudflare Tunnel risulta documentato, non è automaticamente un elenco completo né prova delle condizioni contrattuali; [SUB-RESPONSABILI] e [PROVIDER] restano da compilare. Nessun altro provider è presunto. Prima dell’avvio le parti scelgono autorizzazione scritta specifica oppure generale; per la generale indicano [PERIODO DI PREAVVISO], canale e opposizione motivata, soluzione alternativa o cessazione del trattamento interessato senza discontinuità illecita. Il responsabile impone obblighi equivalenti e resta responsabile verso il titolare nei termini dell’art.28. Trasferimenti extra SEE solo su istruzioni e con valido presupposto del capo V, verificando garanzie e misure supplementari ove necessarie.

Allegato D — assistenza, incidenti e cessazione
Richieste interessati: inoltro tempestivo al titolare, nessuna risposta autonoma sui contenuti salvo autorizzazione/legge, ricerca/esportazione/correzione assistita proporzionata. DPIA e consultazione preventiva: collaborazione sulle informazioni e misure pertinenti. Data breach: referente [EMAIL PRIVACY], escalation [DA COMPLETARE]; comunicazione al titolare senza ingiustificato ritardo, con natura, categorie/volumi stimati, conseguenze, misure e contatti, anche per fasi; documentare tempi, contenimento e aggiornamenti. Nessuna attesa automatica di 72 ore concessa al responsabile.
Audit: rendere disponibili informazioni, consentire ispezioni del titolare o incaricato, proteggendo dati di altri clienti senza svuotare il diritto; modalità e costi eventuali trasparenti [DA COMPLETARE], accessi urgenti giustificati non preclusi.
Cessazione: a scelta del titolare restituzione o cancellazione e copie salvo obblighi legali; applicare policy Retention con istruzione scritta, inventario, verifica e attestazione. Backup isolati e non riutilizzati per altri fini; cancellazione secondo ciclo definito e riapplicazione delle cancellazioni dopo un restore. Termini, eccezioni e prova operativa [DA COMPLETARE]. Il DPA prevale sulle clausole confliggenti per i trattamenti per conto del Cliente. Versione LP-2026-09; [DATA ENTRATA IN VIGORE].