Allegato A — Accordo sul trattamento dei dati personali

Il presente accordo è concluso ai sensi dell’articolo 28, paragrafo 3, del Regolamento (UE) 2016/679 («GDPR») e disciplina il trattamento dei dati personali che il Fornitore esegue per conto del Cliente nell’utilizzo di Soreva Labs. Costituisce l’Allegato A ai termini di servizio, dei quali è parte integrante, ed è accettato unitamente a essi; i termini definiti nei termini di servizio hanno qui il medesimo significato.

A.1 Parti e ruoli

Titolare del trattamento: il Cliente, il quale determina finalità e mezzi del trattamento dei dati dei propri clienti finali, degli invitati agli eventi e degli altri interessati i cui dati inserisce nel servizio.

Responsabile del trattamento: Soreva Labs di Yuri Giglio, partita IVA 01625090707, con sede in Roma, che tratta tali dati esclusivamente per conto del Titolare e sulla base delle sue istruzioni documentate. Recapito per le comunicazioni relative al presente accordo: l'indirizzo di posta pubblicato su sorevalabs.com.

I dati personali riferiti al Cliente in quanto contraente sono trattati dal Fornitore in qualità di titolare autonomo: a tali trattamenti si applica l’informativa privacy e non il presente accordo.

A.2 Oggetto, natura, finalità e durata del trattamento

Oggetto e natura: conservazione, elaborazione, organizzazione e messa a disposizione dei contenuti e dei dati caricati dal Titolare o dagli interessati tramite le funzioni del servizio, mediante strumenti automatizzati — in particolare raccolta, registrazione, organizzazione, conservazione, consultazione, estrazione, indicizzazione, comunicazione mediante le funzioni della piattaforma e cancellazione.

Finalità: esecuzione delle prestazioni previste dai termini di servizio e delle sole funzioni attivate dal Titolare — conservazione dei contenuti, organizzazione degli eventi, gallerie e portali, inviti e adesioni, selezioni e annotazioni, caricamenti degli invitati, fotolibri, assistenza e, ove attivato, riconoscimento dei volti.

Durata: il trattamento ha durata pari a quella del contratto di servizio, fatti salvi i tempi di cancellazione e delle copie di sicurezza indicati all’articolo A.14.

A.3 Istruzioni documentate

Costituiscono istruzioni documentate del Titolare i termini di servizio, il presente accordo e le scelte che il Titolare compie mediante le funzioni del servizio, quali l’attivazione di una funzione su un evento, le impostazioni e le cancellazioni.

Il Responsabile tratta i dati personali soltanto su istruzione documentata del Titolare, salvo che il trattamento sia richiesto dal diritto dell’Unione o dello Stato membro cui è soggetto, nel qual caso ne informa il Titolare prima del trattamento, salvo divieto di legge. Informa senza ritardo il Titolare qualora, a suo parere, un’istruzione ricevuta violi il GDPR o altre disposizioni in materia di protezione dei dati.

A.4 Categorie di interessati e tipologie di dati personali

Sono altresì trattati i dati tecnici delle richieste rivolte agli spazi aperti ai clienti finali, quali indirizzo IP e identificativi tecnici, per la sicurezza del servizio, nonché i dati di altre persone che il Titolare inserisca nel servizio.

A.5 Categorie particolari di dati

Le fotografie possono rivelare informazioni appartenenti a categorie particolari di dati, che il Responsabile non ricerca né elabora come tali. I dati biometrici sono trattati soltanto ove il Titolare attivi il riconoscimento dei volti su un evento, secondo l’articolo 13 dei termini di servizio: l’analisi genera un modello per ciascun volto presente nelle fotografie dell’evento, conservato per sessanta giorni dall’indicizzazione e poi cancellato.

Spetta al Titolare individuare la condizione di liceità di cui all’articolo 9 del GDPR, informare gli interessati, raccogliere i consensi ove necessari, valutare la necessità di una valutazione d’impatto e documentare le proprie valutazioni.

A.6 Obblighi del Titolare

Il Titolare garantisce che:

• i dati siano raccolti lecitamente e su un’idonea base giuridica;
• agli interessati siano fornite le informazioni previste dalla normativa;
• siano rispettati i principi di minimizzazione e di limitazione della finalità;
• le richieste degli interessati siano gestite, con l’assistenza prevista dall’articolo A.12;
• sia effettuata la valutazione d’impatto ove richiesta, in particolare per il trattamento di dati biometrici;
• le istruzioni impartite al Responsabile siano lecite.

A.7 Obblighi del Responsabile (art. 28, par. 3, GDPR)

Il Responsabile si obbliga a:

• non utilizzare i dati per finalità proprie, non comunicarli a terzi al di fuori di quanto previsto agli articoli A.9 e A.13 e non impiegarli per l’addestramento di sistemi di intelligenza artificiale;
• garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza, siano istruite sulle responsabilità connesse e accedano ai dati esclusivamente ove necessario alla prestazione del servizio o al riscontro di una richiesta di assistenza del Titolare;
• mantenere una limitazione tecnica degli accessi amministrativi: il pannello di amministrazione del Responsabile opera mediante un’utenza di database a permessi ristretti, priva di accesso alle chiavi dei file, alle anagrafiche dei clienti finali e al contenuto delle comunicazioni. La configurazione è verificata a ogni rilascio;
• adottare le misure di sicurezza di cui all’articolo A.8 e assistere il Titolare secondo l’articolo A.12;
• cancellare i dati alla cessazione del trattamento secondo l’articolo A.14.

A.8 Misure tecniche e organizzative di sicurezza (art. 32 GDPR)

Tenuto conto dello stato dell’arte, dei costi di attuazione, della natura, dell’oggetto e delle finalità del trattamento, il Responsabile adotta in particolare le seguenti misure:

• cifratura dei dati in transito e a riposo;
• autenticazione a due fattori obbligatoria per tutti gli account del Titolare e dei suoi collaboratori;
• sistema di autorizzazioni per area funzionale e per ambito, che limita l’accesso di ciascun collaboratore a quanto assegnato dal Titolare, e separazione degli spazi e dei dati dei diversi clienti;
• accesso degli interessati agli spazi loro dedicati mediante collegamenti individuali, con password d’evento ove impostata dal Titolare;
• registrazione delle operazioni compiute nell’applicativo e registro distinto degli interventi eseguiti dal Responsabile, consultabile dal Titolare;
• controllo del tipo effettivo dei file conferiti e limitazione dei formati ammessi nei canali aperti a soggetti esterni;
• sorveglianza continua del servizio, con allarmi in caso di errori o anomalie, e procedure per la gestione degli incidenti di sicurezza;
• copie di sicurezza del database e dei file, conservate per non più di 14 giorni, che non sostituiscono le copie dei materiali poste a carico del Titolare ai sensi dell’articolo 15 dei termini di servizio.

Le misure possono essere aggiornate in funzione dell’evoluzione tecnologica e dei rischi, purché non ne risulti ridotto il livello di sicurezza complessivo.

A.9 Sub-responsabili del trattamento (art. 28, parr. 2 e 4, GDPR)

Il Titolare autorizza il Responsabile a ricorrere ai sub-responsabili di seguito elencati, ciascuno vincolato per contratto a obblighi di protezione dei dati equivalenti a quelli previsti dal presente accordo:

Il Responsabile comunica al Titolare ogni modifica o aggiunta relativa ai sub-responsabili con un preavviso di almeno 30 giorni. Entro tale termine il Titolare può opporsi per motivi documentati attinenti alla protezione dei dati personali; ove l’opposizione non possa essere risolta, il Titolare può recedere prima che la modifica produca effetto, secondo quanto previsto dall’articolo 7 dei termini di servizio.

I dati trattati per conto del Titolare sono conservati esclusivamente nell’Unione europea: le fotografie a Milano, il database a Francoforte, il riconoscimento dei volti in Irlanda e il recapito della posta elettronica in Italia. Un sub-responsabile, Supabase, Inc., è stabilito negli Stati Uniti: i dati restano su infrastruttura europea, ma non è escluso un accesso dall’estero ai soli fini di assistenza tecnica, regolato dalle clausole contrattuali standard della Commissione europea richiamate dal suo accordo sul trattamento dei dati.

A.10 Pagamenti

Stripe Payments Europe Ltd tratta i dati di fatturazione e di pagamento del Cliente in quanto contraente, per i quali il Fornitore è titolare autonomo secondo l’informativa privacy. Non tratta per conto del Titolare i dati degli eventi, dei clienti finali o degli invitati e non è pertanto sub-responsabile ai sensi del presente accordo. Il Titolare non inserisce nel servizio dati di carte di pagamento né altri dati finanziari non necessari al suo funzionamento.

A.11 Violazioni dei dati personali (artt. 33 e 34 GDPR)

Il Responsabile informa il Titolare di ogni violazione di dati personali di cui venga a conoscenza senza ingiustificato ritardo e comunque entro 48 ore dalla conoscenza, fornendo le informazioni disponibili in ordine alla natura della violazione, alle categorie e al numero approssimativo di interessati e di dati coinvolti, alle probabili conseguenze, alle misure adottate o proposte e al recapito presso cui ottenere ulteriori informazioni.

La notifica all’autorità di controllo ai sensi dell’articolo 33 del GDPR e l’eventuale comunicazione agli interessati ai sensi dell’articolo 34 restano di competenza del Titolare, che il Responsabile assiste con le informazioni in proprio possesso.

A.12 Assistenza al Titolare e verifiche

Il Responsabile assiste il Titolare, nei limiti di quanto ragionevolmente esigibile e tenuto conto della natura del trattamento, nel dare seguito alle richieste di esercizio dei diritti degli interessati di cui al Capo III del GDPR, nonché nell’adempimento degli obblighi previsti dagli articoli da 32 a 36 del GDPR, ivi compresa la valutazione d’impatto ove necessaria, come nel caso del trattamento di dati biometrici connesso alla funzione di riconoscimento dei volti. Le attività di assistenza che richiedano interventi straordinari, non riconducibili alle funzioni del servizio, possono essere soggette a condizioni economiche previamente concordate.

Il Responsabile mette a disposizione del Titolare, su richiesta, le informazioni necessarie a dimostrare il rispetto degli obblighi previsti dal presente accordo e consente le attività di revisione, comprese le ispezioni, con preavviso ragionevole, durante il normale orario lavorativo e in misura proporzionata, senza pregiudizio per la sicurezza del servizio e per la riservatezza degli altri clienti. A tal fine il Titolare può avvalersi anzitutto della documentazione e delle certificazioni del Responsabile e dei suoi sub-responsabili.

A.13 Richieste delle autorità

Il Responsabile informa il Titolare, ove consentito dalla legge, delle richieste ricevute da autorità pubbliche relative ai dati trattati per suo conto, e non comunica tali dati a terzi se non su istruzione del Titolare, per l’erogazione del servizio, in adempimento di un obbligo di legge o su richiesta legittima dell’autorità competente.

A.14 Cessazione del trattamento

Alla cessazione del contratto di servizio i dati personali trattati per conto del Titolare sono cancellati secondo quanto previsto dai termini di servizio: la cancellazione dell’account richiesta dal Titolare ha effetto immediato ed è irreversibile (articolo 7); in caso di mancato pagamento la cancellazione interviene decorsi 30 giorni di sospensione (articolo 8); alla scadenza del Pay-per-Event può intervenire dalla scadenza stessa (articolo 5). Fino a tale momento il Titolare può estrarre i contenuti di proprio interesse. Le copie di sicurezza del database e dei file sono eliminate automaticamente entro 14 giorni dalla cancellazione e non sono utilizzate per ripristinare un account cancellato.

Fanno eccezione i documenti fiscali, che il Fornitore è tenuto a conservare per 10 anni in forza di obblighi di legge, e che non contengono dati personali dei clienti finali del Titolare.

A.15 Durata, prevalenza, modifiche e legge applicabile

Il presente accordo ha efficacia per tutta la durata del contratto di servizio e, per gli obblighi di riservatezza, sicurezza e cancellazione, fino al completamento della cancellazione dei dati. Le responsabilità delle parti sono regolate dai termini di servizio, salvo quanto inderogabilmente previsto dalla normativa sulla protezione dei dati; in caso di contrasto con i termini, per le sole questioni relative al trattamento dei dati personali prevale il presente accordo.

Le modifiche sono comunicate al Titolare e hanno effetto secondo quanto previsto dall’articolo 16 dei termini di servizio, ferma la comunicazione con preavviso di almeno 30 giorni per i sub-responsabili prevista dall’articolo A.9. Al presente accordo si applicano la legge italiana e il foro indicato all’articolo 17 dei termini di servizio.

A.16 Riepilogo dei trattamenti