Accordo di nomina a responsabile del trattamento

1. Parti contrattuali e ruoli privacy

Il presente accordo viene stipulato tra:

• • Il titolare del trattamento: l’associazione, rifugio o ente del terzo settore (ETS) richiedente l’adesione, come identificato nei dati anagrafici forniti e nella sottoscrizione del presente accordo;
• • Il responsabile del trattamento: Danny Perondi, gestore della piattaforma tecnologica adottaunmicio.it in qualità di persona fisica, con domicilio in Poggio Rusco (MN) (di seguito «il Gestore»), che fornisce l’infrastruttura software, il servizio di hosting, lo storage protetto e il sistema di instradamento notifiche per conto del titolare.

I dati identificativi completi del Gestore, compresi codice fiscale e domicilio per esteso, sono riportati nella copia dell’accordo consegnata al titolare al momento dell’accettazione: non compaiono in questo modello, che è pubblicato in area libera.

2. Oggetto e durata del trattamento

L’oggetto del trattamento affidato al responsabile consiste nella messa a disposizione della piattaforma gestionale e del sito pubblico per consentire all’associazione di:

• • Pubblicare le schede anagrafiche e sanitarie dei gatti in cerca di adozione;
• • Ricevere e gestire le richieste di affido e pre-affido inviate dagli utenti interessati;
• • Comunicare in modo riservato con i richiedenti attraverso lo spazio ticket dedicato e scambiare immagini e documentazione ambientale;
• • Ricevere candidature di volontari e disponibilità per stalli casalinghi.

La natura delle operazioni comprende raccolta, registrazione, organizzazione, conservazione, consultazione da parte degli autorizzati, comunicazioni di servizio, esportazione, limitazione e cancellazione. La finalità è permettere al titolare di pubblicare i gatti, valutare e gestire adozioni, candidature e stalli e comunicare con gli interessati.

La durata del trattamento coincide con il periodo di adesione dell’associazione al circuito adottaunmicio.it, fermi restando i termini di cancellazione e restituzione previsti all’Articolo 6.

3. Tipologia dei dati personali e categorie di interessati

I trattamenti riguardano unicamente dati personali comuni:

• • Richiedenti adozione: nome, email, telefono, tipo di richiesta, messaggi, immagini e documentazione ambientale fornita durante la pratica;
• • Candidati volontari o stalli: nome, cognome, email, telefono, località, disponibilità, esperienza, alloggio, presentazione, curriculum, fotografia e messaggi;
• • Interessati nei messaggi: contenuti e allegati che le persone inviano nell’area riservata della pratica.

Nominativi, contatti, ruoli, autorizzazioni e dati di sicurezza degli account degli operatori sono trattati dal Gestore per amministrare e proteggere il servizio, come titolare autonomo secondo l’informativa del portale: non fanno parte dei trattamenti affidati dall’associazione con questo accordo.

È fatto espresso divieto al titolare e ai suoi operatori di raccogliere o immettere nella piattaforma categorie particolari di dati personali ex Art. 9 GDPR (dati sanitari degli umani, convinzioni religiose, opinioni politiche, orientamento sessuale o vicende giudiziarie).

4. Obblighi del responsabile del trattamento (Art. 28.3 GDPR)

Il responsabile del trattamento si impegna a:

1. 1. Trattare i dati personali soltanto su istruzione documentata del titolare, incluse le direttive contenute nel presente accordo e quelle relative a eventuali trasferimenti verso Paesi terzi;
2. 2. Garantire che le persone autorizzate al trattamento dei dati personali siano vincolate a obbligo di riservatezza contrattuale o statutario;
3. 3. Adottare tutte le misure di sicurezza tecniche e organizzative adeguate ai sensi dell’Articolo 32 del GDPR (come dettagliato all’Articolo 5);
4. 4. Ricorrere a sub-responsabili soltanto alle condizioni dell’Allegato A, imponendo loro per iscritto obblighi equivalenti e restando pienamente responsabile verso il titolare del loro operato;
5. 5. Assistere il titolare con misure tecniche adeguate al fine di soddisfare l’obbligo del titolare di dare seguito alle richieste di esercizio dei diritti degli interessati (Artt. 15–22 GDPR);
6. 6. Informare il titolare di una violazione di dati personali senza ingiustificato ritardo e comunque entro 48 ore da quando ne viene a conoscenza. La prima comunicazione e’ dovuta entro quel termine anche se le circostanze non sono ancora completamente accertate, e indica quanto e’ noto in quel momento; natura della violazione, dati e interessati coinvolti, referente, probabili conseguenze e misure adottate o proposte sono integrati con aggiornamenti successivi via via che emergono. Il termine di 48 ore lascia al titolare il margine residuo entro le 72 ore di cui dispone verso l’autorità di controllo, che decorrono dalla sua conoscenza;
7. 7. Cancellare o restituire al titolare tutti i dati personali al termine della prestazione dei servizi di trattamento, cancellando le copie esistenti secondo le policy di retention stabilite;
8. 8. Mettere a disposizione del titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi previsti dal presente articolo e consentire gli audit disciplinati all’Articolo 7;
9. 9. Informare immediatamente il titolare se, a proprio parere, un’istruzione viola il GDPR o altre disposizioni europee o nazionali sulla protezione dei dati, sospendendone l’esecuzione per quanto necessario alla verifica, salvo che la legge vieti tale comunicazione;
10. 10. Assistere il titolare, tenendo conto della natura del trattamento e delle informazioni disponibili, negli adempimenti degli Artt. 32–36 GDPR, comprese valutazioni d’impatto e consultazioni preventive.

Obblighi e diritti del titolare

Il titolare si impegna a:

• • impartire istruzioni lecite e documentate e individuare una base giuridica per ciascun trattamento;
• • rendere agli interessati l’informativa dell’art. 13 GDPR e gestire le richieste sui loro diritti;
• • autorizzare e istruire i propri operatori, limitandone gli accessi a quanto necessario;
• • non inserire categorie particolari di dati o informazioni eccedenti rispetto alle finalità dichiarate.

Il titolare può ottenere informazioni e copie dei dati, svolgere le verifiche dell’Articolo 7, opporsi motivatamente ai nuovi sub-responsabili e, alla cessazione, chiedere restituzione e cancellazione nei termini dell’Articolo 6.

5. Misure tecniche e organizzative di sicurezza (Art. 32 GDPR)

La piattaforma adottaunmicio.it adotta le misure di sicurezza elencate di seguito. Sono descritte per finalità e non con il nome dei programmi e degli algoritmi impiegati: questo modulo è pubblicato in bianco e leggibile da chiunque, e l’elenco dei meccanismi in uso aiuterebbe chi cerca il punto debole senza dire nulla di più al titolare. Il dettaglio tecnico è disponibile al titolare su richiesta ai sensi dell’Articolo 7.

• • Traffico cifrato: in produzione il portale è raggiungibile soltanto su connessione cifrata, e i cookie di sessione viaggiano solo su quella; il browser riceve inoltre le istruzioni che gli impediscono di eseguire contenuti non previsti dal portale;
• • Separazione fra associazioni: ogni operatore vede soltanto i dati della propria associazione; il vincolo è imposto dal programma a ogni lettura, non lasciato alla disciplina di chi lo usa;
• • Allegati fuori dal web: allegati delle pratiche, documenti d’identità e immagini non sono raggiungibili da un indirizzo pubblico: vengono consegnati solo a chi ne ha titolo, dopo il controllo dell’autorizzazione;
• • Credenziali: le password non sono conservate né conservabili in chiaro, ma trasformate in modo irreversibile; l’identificativo di sessione viene rinnovato a ogni accesso;
• • Difese applicative: ogni operazione che modifica dati è accettata solo se proviene davvero dal portale; i dati inseriti non possono alterare le interrogazioni alla banca dati; i tentativi ripetuti di accesso vengono limitati;
• • Registro delle operazioni: le operazioni amministrative rilevanti vengono annotate in un registro che gli operatori non possono alterare tramite il portale e che viene cancellato dopo dodici mesi.
• • Accesso amministrativo del Gestore: l’isolamento fra associazioni vincola gli account delle associazioni, non il Gestore. Il Gestore mantiene un’utenza di amministrazione tecnica che può raggiungere i dati di ogni titolare, perché senza di essa non sarebbe possibile assistere le associazioni, correggere difetti, ripristinare backup e adempiere agli obblighi dell’Articolo 4. L’utenza è nominativa, protetta da password propria e vincolata a riservatezza; il suo uso è limitato a quanto necessario e ogni accesso ai dati di un titolare diverso dal proprio ambito, come ogni esportazione di dati personali, viene annotato nel registro delle operazioni con utente, data, ora e riferimento del dato. Le registrazioni relative a un titolare sono comprese nella copia dei dati che il titolare può scaricare in autonomia ai sensi dell’Articolo 6, così che l’accesso del responsabile sia verificabile dal titolare e non soltanto dichiarato.

6. Conservazione, cancellazione e localizzazione dei dati

I dati delle pratiche e i relativi backup sono destinati a infrastrutture configurate nello Spazio economico europeo (SEE). I provider cartografici pubblici non ricevono dati delle pratiche: Google Maps riceve dati di rete soltanto dopo il consenso espresso del visitatore; scegliendo i soli strumenti necessari o quando Google non è disponibile, le tile OpenStreetMap comunicano dati di rete alla relativa infrastruttura globale. Entrambi operano secondo i termini applicabili tra titolari autonomi.

Il titolare può ottenere in qualsiasi momento, in autonomia e senza preavviso, una copia completa dei propri dati dal pannello di gestione: un archivio compresso contenente un foglio di calcolo per ciascun insieme di dati e i file allegati che vi sono richiamati. In caso di cessazione o recesso dell’associazione dalla piattaforma, il responsabile provvede alla cancellazione definitiva dei dati entro 30 giorni dalla cessazione, salvo diversi obblighi di legge, e su richiesta del titolare produce la medesima copia prima di procedere. Per ragioni di sicurezza la copia non contiene password né codici segreti dei collegamenti inviati agli interessati: le password sono conservate soltanto in forma irreversibile e i codici sono chiavi di accesso non esportabili.

7. Informazioni, audit e gratuità

Il titolare può verificare in qualsiasi momento il rispetto del presente accordo richiedendo documentazione e informazioni pertinenti: descrizione delle misure tecniche e organizzative applicate, configurazioni rilevanti ed estratti dei registri di audit relativi ai propri dati. Il Gestore risponde entro 30 giorni. Questa è la modalità ordinaria di verifica, perché consente il controllo senza esporre i dati degli altri titolari ospitati sulla stessa infrastruttura. Quando la documentazione fornita non è sufficiente a dimostrare la conformità, oppure a seguito di una violazione di dati personali, il titolare può svolgere direttamente o tramite un revisore indipendente e vincolato a riservatezza un audit o un’ispezione sulle attività affidate, con preavviso di almeno 30 giorni e in misura proporzionata a quanto resta da accertare. Le verifiche devono rispettare la riservatezza e la sicurezza degli altri titolari e la continuità del servizio; il Gestore collabora e rimedia senza ritardo alle non conformità accertate.

Il servizio ordinario della piattaforma, inclusa l’assistenza prevista dall’Art. 28 GDPR e la produzione delle informazioni normalmente disponibili, è fornito gratuitamente. Eventuali attività straordinarie richieste dal titolare, estranee al servizio ordinario, richiedono un accordo scritto preventivo.

8. Sottoscrizione per accettazione

La presente nomina è approvata e sottoscritta dal legale rappresentante dell’ente o associazione titolare:

Allegato A — Sub-responsabili autorizzati

Il titolare concede autorizzazione generale al Gestore per ricorrere ai sub-responsabili elencati di seguito, ciascuno vincolato per iscritto a obblighi di protezione equivalenti:

• • Aruba S.p.A., Via San Clemente 53, 24036 Ponte San Pietro (BG), P.IVA 01573850516 — server, database e posta elettronica del portale. Il fornitore dichiara di conservare in archivi situati in paesi dell’Unione europea i dati trattati per conto del cliente. Contatto privacy: privacy@staff.aruba.it; responsabile della protezione dei dati: dpo@staff.aruba.it.

Il Gestore comunica per iscritto ogni aggiunta o sostituzione con almeno 30 giorni di preavviso. Il titolare può presentare entro 15 giorni un’opposizione motivata sulla protezione dei dati. Le parti cercano una soluzione ragionevole; se non è disponibile, ciascuna può cessare senza penalità la parte del servizio interessata dalla modifica. L’elenco aggiornato resta allegato alla versione accettata.

Allegato B — Provider cartografici autonomi

Google, soltanto quando il visitatore lo autorizza nel pannello privacy, e OpenStreetMap Foundation, quando opera il provider di riserva, ricevono dati tecnici di rete del visitatore. Non ricevono dati delle pratiche e non operano come sub-responsabili dei trattamenti affidati con questo accordo. I termini Google Maps qualificano le parti come titolari autonomi; gli eventuali trasferimenti ulteriori sono regolati dalle soluzioni di trasferimento previste nei termini del provider, incluso l’EU–U.S. Data Privacy Framework per le entità certificate e, ove applicabili, le clausole contrattuali standard.

Riferimenti dei provider: termini Google Maps, privacy Google e privacy OpenStreetMap Foundation.