Accordo sul trattamento dei dati personali

Le parti, e in che veste

Da una parte L’Antifurto S.r.l., Viale Monastir 112, 09122 Cagliari, P.IVA 01524490925, che mette a disposizione il planner (di seguito: il fornitore).

Dall’altra l’organizzazione che usa il planner, cioe’ l’impresa di installazione titolare dell’account (di seguito: l’installatore), nella persona di chi accetta questo accordo per suo conto.

L’installatore agisce, secondo il dato: come TITOLARE, per i dati della propria azienda e dei propri utenti; come RESPONSABILE designato dal proprio cliente finale, per i dati che riguardano gli impianti e i committenti di quest’ultimo. Il fornitore agisce rispettivamente come responsabile e come sub-responsabile. Gli obblighi che seguono sono gli stessi nei due casi: distinguere serve a sapere chi risponde verso l’interessato, non a cambiare che cosa fa il fornitore.

Accettando, l’installatore dichiara di avere titolo per caricare nel planner i dati dei propri clienti e, se sceglie di pubblicare l’informativa sul dominio del fornitore, di esserne stato incaricato dal titolare.

Oggetto, durata, natura dei dati

OGGETTO: la fornitura del planner, cioe’ la conservazione e l’elaborazione dei progetti che l’installatore vi carica, e la generazione dei documenti che ne derivano.

DURATA: quanto dura l’account. Il trattamento cessa con la chiusura dell’account, salvo il termine di restituzione previsto alla clausola g.

CATEGORIE DI INTERESSATI: gli utenti dell’installatore che accedono al planner; le persone fisiche indicate nei dati di progetto, in particolare il legale rappresentante del cliente finale.

TIPI DI DATI: dati identificativi e di contatto (ragione sociale, indirizzo, partita IVA o codice fiscale, PEC, nome del legale rappresentante), dati tecnici dell’impianto e contenuto dei documenti generati.

NON SONO OGGETTO DEL SERVIZIO le immagini riprese dagli impianti, l’accesso ai registratori e agli apparati, e le credenziali dei sistemi del cliente finale: non transitano dal planner e non devono esservi caricati.

CATEGORIE PARTICOLARI di dati (art. 9) non sono previste: il planner non le chiede e l’installatore si impegna a non inserirne.

a) Istruzioni documentate

Il fornitore tratta i dati soltanto su istruzione documentata dell’installatore. Questo accordo, insieme alle funzioni che il planner mette a disposizione e all’uso che se ne fa, COSTITUISCE l’istruzione.

Non c’e’ nessun trasferimento verso paesi terzi o organizzazioni internazionali. Se un obbligo di legge imponesse al fornitore un trattamento diverso, ne informera’ l’installatore prima di procedere, salvo che la legge lo vieti.

Il fornitore informa l’installatore se, a suo parere, un’istruzione ricevuta viola la normativa sulla protezione dei dati.

b) Riservatezza

Le persone autorizzate dal fornitore a trattare i dati sono designate per iscritto, istruite e tenute alla riservatezza; l’obbligo sopravvive alla fine del rapporto di lavoro o di collaborazione.

L’accesso e’ limitato a chi ne ha bisogno per erogare o assistere il servizio.

c) Misure di sicurezza (art. 32)

Il fornitore adotta misure tecniche e organizzative adeguate al rischio, e in particolare:

• accesso al planner con account nominale; i dati di un’organizzazione sono separati da quelli delle altre e il confine e’ imposto dal database, non dall’interfaccia;
• traffico cifrato in transito (HTTPS);
• copie di sicurezza periodiche del database, conservate nello Spazio economico europeo;
• registrazione degli eventi rilevanti sull’organizzazione (chi entra, chi viene invitato, chi viene rimosso);
• aggiornamento dei componenti software e riesame periodico delle misure.

d) Sub-responsabili

L’installatore autorizza in via generale il fornitore a servirsi di altri responsabili per l’esecuzione del servizio.

L’elenco aggiornato dei sub-responsabili e’ pubblicato alla pagina /privacy#sub-responsabili del planner. Il fornitore comunica ogni aggiunta o sostituzione con almeno 30 giorni di preavviso; entro quel termine l’installatore puo’ opporsi recedendo dal servizio, senza penali.

Al sub-responsabile sono imposti per contratto gli stessi obblighi previsti da questo accordo. Il fornitore risponde del loro operato come del proprio.

e) Diritti degli interessati

Il fornitore assiste l’installatore, con misure tecniche e organizzative adeguate, nel dare seguito alle richieste degli interessati (accesso, rettifica, cancellazione, limitazione, opposizione, portabilita’).

Se una richiesta arriva direttamente al fornitore, questo non vi da’ seguito di propria iniziativa: la trasmette senza ritardo all’installatore, che e’ chi deve rispondere.

f) Sicurezza, violazioni, valutazioni d’impatto

Il fornitore assiste l’installatore nel rispetto degli obblighi degli articoli da 32 a 36 del Regolamento, tenuto conto della natura del trattamento e delle informazioni di cui dispone.

VIOLAZIONI: il fornitore informa l’installatore senza ingiustificato ritardo e comunque entro 48 ore da quando viene a conoscenza di una violazione che riguarda i dati trattati per suo conto, descrivendo quanto sa: che cosa e’ successo, quali dati e quante persone sono coinvolti, che cosa e’ stato fatto. Il termine e’ piu’ breve delle 72 ore dell’art. 33 perche’ quelle 72 ore decorrono per l’installatore, non per il fornitore.

La notifica all’autorita’ di controllo e la comunicazione agli interessati restano di chi e’ titolare.

g) Fine del rapporto

Alla cessazione del servizio l’installatore sceglie fra la restituzione dei dati e la loro cancellazione. In mancanza di indicazione entro 30 giorni dalla chiusura dell’account, il fornitore cancella.

La cancellazione riguarda i progetti e tutto cio’ che vi e’ dentro: i dati dei clienti finali vivono nel progetto e non esistono altrove, quindi cancellare i progetti li cancella davvero. Le copie di sicurezza si esauriscono secondo la loro rotazione.

Restano i dati che il fornitore deve conservare per obbligo di legge, per i tempi che la legge impone, e limitatamente a quello scopo.

h) Dimostrazione e verifiche

Il fornitore mette a disposizione dell’installatore le informazioni necessarie a dimostrare il rispetto degli obblighi di questo accordo.

L’installatore puo’ chiedere una verifica, con preavviso ragionevole, non piu’ di una volta l’anno salvo che una violazione la renda necessaria, in modo da non compromettere la riservatezza degli altri clienti del fornitore.

La pubblicazione dell’informativa sul dominio del fornitore

Il planner puo’ pubblicare l’informativa di un impianto a un indirizzo del dominio del fornitore, quello richiamato dal QR stampato sul cartello. E’ una scelta dell’installatore, non un automatismo: se non pubblica, i documenti restano file che scarica lui.

La pubblicazione e’ subordinata all’accettazione di questo accordo: per un’organizzazione che non lo ha accettato la pagina non si accende.

Sulla pagina esce SOLTANTO cio’ che e’ destinato a essere pubblico: restano fuori la PEC, il codice fiscale, il nome del legale rappresentante e l’indirizzo dell’impianto. La pagina non e’ indicizzata dai motori di ricerca.

RITIRO: il fornitore ritira la pagina entro un giorno lavorativo dalla richiesta scritta a lantifurto@lantifurto.com, ricevuta dal titolare indicato sulla pagina oppure dall’installatore. Il fornitore puo’ ritirarla anche di propria iniziativa quando viene a sapere che manca il titolo per pubblicarla; in quel caso ne informa l’installatore.

Una pagina ritirata non viene cancellata: l’indirizzo resta e risponde che l’informativa non e’ piu’ disponibile, perche’ il QR e’ gia’ avvitato al muro di qualcun altro e un indirizzo muto sarebbe peggio di una risposta. Se il titolare cambia idea, lo stesso indirizzo torna valido.

Che cosa resta dell’installatore

La correttezza e l’aggiornamento dei dati caricati, e il titolo per caricarli.

Il contenuto dei documenti generati: il planner li compone sulla base di quanto dichiarato, e chi li firma se ne assume la responsabilita’. I modelli sono predisposti su indicazione del titolare, che ne resta l’unico responsabile.

La custodia delle credenziali di accesso e la gestione dei propri utenti.

Legge applicabile

L’accordo e’ regolato dalla legge italiana. Per quanto non previsto valgono il Regolamento (UE) 2016/679 e il D.lgs. 196/2003 come modificato.

Il foro competente e’ quello di Cagliari, salvo le competenze inderogabili di legge.