1. Parti e ruoli
Il soggetto che acquista o attiva Gerry e determina le finalità e i mezzi essenziali dei trattamenti effettuati sui dati inseriti nel gestionale è di seguito indicato come “Cliente” o “Titolare del trattamento”.
Responsabile del trattamento: Mirko Geremia, libero professionista
Via Alberto Fogagnolo 13, Villafranca di Verona (VR), Italia
P. IVA 05193230231
Email: adhocgraphicdesign@gmail.com
I ruoli privacy dipendono dalle attività effettivamente svolte. Il presente accordo riguarda esclusivamente i trattamenti nei quali Mirko Geremia opera per conto del Cliente. Per i trattamenti effettuati per finalità proprie, ad esempio gestione del rapporto contrattuale, fatturazione, sicurezza del servizio e adempimenti di legge, si applica la Privacy Policy di Gerry.
2. Oggetto e durata
Il Cliente affida al Responsabile le operazioni di trattamento tecnicamente necessarie a mettere a disposizione, mantenere, proteggere e supportare il servizio software Gerry.
Il trattamento ha durata corrispondente al rapporto contrattuale relativo a Gerry, fatto salvo il periodo successivamente necessario per restituzione, cancellazione, backup tecnici, obblighi di legge o tutela dei diritti delle parti.
3. Natura e finalità del trattamento
Le operazioni possono comprendere raccolta tramite inserimento da parte del Cliente, registrazione, organizzazione, strutturazione, conservazione, consultazione, visualizzazione, modifica, estrazione, trasmissione tecnica, backup, ripristino, cancellazione e altre operazioni necessarie all'erogazione delle funzionalità Gerry.
Le finalità sono esclusivamente quelle necessarie a consentire al Cliente di utilizzare Gerry per la propria gestione HSE, sicurezza sul lavoro, formazione e attività correlate, secondo le funzionalità attivate.
4. Categorie di interessati e dati
| Elemento | Categorie principali |
|---|---|
| Interessati | dipendenti, lavoratori, collaboratori, volontari, responsabili aziendali, istruttori, referenti, utenti del gestionale e altri soggetti inseriti dal Cliente nell'ambito delle proprie attività. |
| Dati identificativi | nome, cognome e altre informazioni anagrafiche inserite dal Cliente. |
| Dati professionali | azienda di appartenenza, ruolo, mansione, formazione, qualifiche, attestati, scadenze e informazioni connesse alla sicurezza sul lavoro. |
| Dati HSE | DPI, attrezzature, manutenzioni, DVR, valutazioni dei rischi, verifiche, infortuni, near miss e documentazione correlata. |
| Categorie particolari | ove inseriti dal Cliente e necessari: informazioni relative a visite mediche, scadenze sanitarie, giudizi o informazioni di idoneità e altri dati relativi alla salute consentiti dalla normativa applicabile. |
| Dati tecnici | account, ruoli, dati necessari all'autenticazione, informazioni tecniche e di sicurezza connesse all'utilizzo del servizio. |
5. Istruzioni del Cliente
Il Responsabile tratta i dati personali esclusivamente sulla base delle istruzioni documentate del Cliente, incluse quelle risultanti dall'utilizzo delle funzionalità del servizio, dal contratto, dal presente accordo e dalle richieste lecite trasmesse dal Cliente.
Il Responsabile informa il Cliente qualora ritenga che un'istruzione violi il GDPR o altre disposizioni applicabili in materia di protezione dei dati, salvo i limiti previsti dalla legge.
Il Cliente resta responsabile della liceità dei dati inseriti, delle finalità perseguite, delle basi giuridiche applicabili, delle informative agli interessati e della correttezza delle istruzioni.
6. Riservatezza
Il Responsabile assicura che le persone autorizzate a trattare dati personali nell'ambito del servizio siano vincolate alla riservatezza o soggette a un adeguato obbligo legale di riservatezza e accedano ai dati soltanto nella misura necessaria.
7. Sicurezza del trattamento
Tenendo conto dello stato dell'arte, dei costi di attuazione, della natura, dell'ambito, del contesto e delle finalità del trattamento, nonché dei rischi per gli interessati, il Responsabile adotta misure tecniche e organizzative adeguate al rischio.
Nell'assetto attuale di Gerry tali misure comprendono, tra l'altro:
- connessioni HTTPS per l'accesso al servizio;
- autenticazione degli utenti e controllo degli accessi per ruolo;
- separazione logica multi-tenant dei dati dei clienti;
- limitazione degli accessi applicativi ai dati del tenant autorizzato;
- protezione delle credenziali e delle password secondo i meccanismi dell'applicazione;
- backup e procedure di ripristino dell'infrastruttura;
- controlli e procedure finalizzati alla continuità e alla sicurezza del servizio;
- aggiornamento e manutenzione del software e delle dipendenze secondo necessità.
Le misure possono essere aggiornate nel tempo purché non venga ridotto in modo sostanziale il livello complessivo di protezione previsto per il servizio.
8. Sub-responsabili
Il Cliente autorizza in via generale il Responsabile a ricorrere a fornitori ulteriori quando necessari all'erogazione di Gerry, a condizione che siano imposti a tali soggetti obblighi di protezione dei dati coerenti con quelli applicabili al Responsabile.
Nell'assetto attuale, tra i fornitori tecnologici rilevanti può rientrare Railway per servizi di infrastruttura, hosting e database. Possono inoltre essere impiegati fornitori tecnici per email, backup e altri servizi necessari all'erogazione delle funzionalità attivate.
Il Responsabile mantiene disponibili informazioni aggiornate sui sub-responsabili rilevanti e informa il Cliente delle modifiche che richiedano l'esercizio del diritto di opposizione previsto dall'art. 28 GDPR.
9. Trasferimenti internazionali
Qualora il trattamento comporti un trasferimento di dati personali verso un Paese esterno allo Spazio Economico Europeo, il Responsabile assicura che il trasferimento avvenga nel rispetto delle istruzioni del Cliente e sulla base di uno degli strumenti previsti dal GDPR, ove necessario.
10. Assistenza al Cliente
Tenendo conto della natura del trattamento e delle informazioni disponibili, il Responsabile assiste ragionevolmente il Cliente:
- nella gestione delle richieste di esercizio dei diritti degli interessati;
- nell'adempimento degli obblighi di sicurezza applicabili;
- nella gestione di eventuali violazioni di dati personali;
- nelle valutazioni d'impatto sulla protezione dei dati, quando necessarie;
- nelle eventuali consultazioni preventive con l'autorità di controllo, quando applicabili.
11. Violazioni di dati personali
In caso di violazione di dati personali che riguardi dati trattati per conto del Cliente, il Responsabile informa il Cliente senza ingiustificato ritardo dopo esserne venuto a conoscenza, fornendo le informazioni ragionevolmente disponibili necessarie a consentire al Cliente di adempiere ai propri obblighi.
12. Restituzione e cancellazione
Alla cessazione del servizio, su scelta del Cliente e nei limiti tecnicamente e legalmente applicabili, i dati personali trattati per conto del Cliente vengono restituiti o cancellati, salvo che il diritto dell'Unione o nazionale ne richieda la conservazione.
Le copie presenti nei sistemi di backup possono permanere per il ciclo tecnico necessario alla rotazione o sovrascrittura, restando protette e non utilizzate per finalità ulteriori.
13. Informazioni, verifiche e audit
Il Responsabile mette a disposizione del Cliente le informazioni ragionevolmente necessarie a dimostrare il rispetto degli obblighi previsti dall'art. 28 GDPR e consente verifiche proporzionate, concordate preventivamente e svolte in modo da non compromettere sicurezza, riservatezza o continuità del servizio.
Le modalità operative, i tempi e gli eventuali costi di attività di audit straordinarie richieste dal Cliente possono essere concordati tra le parti, fatto salvo quanto inderogabilmente previsto dalla normativa.
14. Obblighi del Cliente
Il Cliente, quale titolare del trattamento, è responsabile in particolare:
- della liceità dei trattamenti effettuati attraverso Gerry;
- dell'individuazione delle corrette basi giuridiche;
- della corretta informazione degli interessati;
- della pertinenza e minimizzazione dei dati inseriti;
- della gestione delle autorizzazioni interne dei propri utenti;
- della determinazione dei tempi di conservazione applicabili ai propri dati;
- dell'adempimento degli obblighi specifici relativi ai dati sanitari e alle altre categorie particolari eventualmente trattate.
15. Responsabilità sui dati sanitari
Gerry è uno strumento gestionale e non determina autonomamente quali dati sanitari debbano essere raccolti dal Cliente. Il Cliente deve limitare l'inserimento alle informazioni effettivamente necessarie e consentite dalla disciplina applicabile in materia di salute e sicurezza sul lavoro e protezione dei dati personali.
Eventuali funzioni relative a visite mediche, idoneità o scadenze non sostituiscono gli obblighi e le responsabilità attribuiti dalla legge al datore di lavoro, al medico competente o agli altri soggetti coinvolti.
16. Prevalenza e aggiornamenti
Il presente accordo integra il contratto relativo a Gerry. In caso di contrasto tra disposizioni contrattuali generali e il presente accordo per quanto riguarda il trattamento di dati personali effettuato per conto del Cliente, prevalgono le disposizioni specifiche in materia di protezione dati, salvo diversa previsione inderogabile di legge.
Eventuali modifiche sostanziali del presente accordo devono essere comunicate ai Clienti secondo modalità idonee a garantire il rispetto dell'art. 28 GDPR e degli accordi in essere.
17. Contatti privacy
Per comunicazioni relative al presente accordo: adhocgraphicdesign@gmail.com .