Brod · ProfBlu

Incarico di trattamento

Incarico di trattamento dei dati

Il contratto dell'articolo 28 del GDPR tra la palestra, che decide quali dati dei suoi atleti si conservano, e noi, che li conserviamo per suo conto.

Ultima revisione:

Cos'è questo documento

È il contratto richiesto dall'articolo 28 del Regolamento generale sulla protezione dei dati quando qualcuno tratta dati personali per conto di un altro. Non è una dichiarazione d'intenti né un allegato decorativo: vincola entrambe le parti dal momento in cui la palestra lo accetta.

Dei dati dell'account con cui ogni persona entra — email, nome, password, sessioni, avvisi — rispondiamo noi come titolari, e questo non lo regola questo documento ma l'informativa sulla privacy. La divisione dei due ruoli è spiegata lì, nella sezione «Due ruoli diversi».

Questo incarico si legge insieme alle condizioni d'uso, di cui fa parte. Se qualcosa qui contrasta con esse, su dati personali prevale questo documento.

Chi è ciascuna parte

Titolare del trattamento: la palestra. Quella registrata in Brod, con il nome, l'email e i dati fiscali che il suo proprietario ha inserito nella registrazione e nella scheda di fatturazione del suo pannello. Agisce tramite la persona che ha creato la palestra o chi essa designa.

Responsabile del trattamento:

Non è stato nominato un responsabile della protezione dei dati: la legge non lo richiede per un'attività di queste dimensioni.

Dove e quando si accetta

Questo incarico si accetta al momento di creare la palestra, su my.brod.profblu.com/alta, nel passo «La tua palestra», spuntando la casella che accetta le condizioni, l'informativa sulla privacy e questo incarico. Senza spuntarla la palestra non viene creata.

Di quell'accettazione conserviamo tre cose, e solo tre: la data e l'ora, la versione di questo documento — che è la sua data di revisione, quella indicata sopra — e chi l'ha accettato, cioè l'account che ha creato la palestra. Quel registro si può consultare in seguito dal pannello della palestra stessa; è la prova che il contratto esiste e di quale testo è stato accettato.

Quando cambieremo questo documento lo avviseremo in anticipo, e la nuova versione si accetta allo stesso modo. La precedente non si cancella: il registro conserva quale versione era in vigore in ogni momento.

Oggetto, natura e durata

Quali dati, e di chi

Categorie di interessati:

Categorie di dati, così come li raccoglie l'applicazione:

I dati sul corpo sono categoria particolare dell'articolo 9 del GDPR. La palestra li tratta con il consenso esplicito dell'atleta, che raccoglie lei, e noi non li usiamo per nulla di diverso dal mostrarli a quella persona e al suo allenatore. Non c'è diagnosi, né consiglio medico, né calcolo sulla salute.

Non trattiamo per conto della palestra dati di pagamento con carta dei suoi atleti: la schermata «Quote» è un quaderno di incassi, annota se è stato pagato, e il denaro non passa da Brod.

Facciamo solo ciò che la palestra ci indica

Trattiamo quei dati unicamente seguendo le istruzioni documentate della palestra. Le sue istruzioni sono questo contratto, le condizioni d'uso e ogni cosa che le sue persone fanno nel pannello e nell'applicazione: registrare un atleta, modificare una scheda, pubblicare una settimana, disattivarlo, esportare i suoi dati o chiederci una cancellazione.

Pertanto:

Riservatezza

Chi ha accesso a questi dati è tenuto alla riservatezza, e quell'obbligo resta anche dopo la fine dell'incarico. Oggi l'accesso tecnico alla base di dati ce l'ha una sola persona, il titolare. Se domani saranno di più — una persona assunta, un fornitore che gestisce il server — firmerà un impegno di riservatezza prima di avere accesso, e accederà solo a ciò che il suo lavoro richiede.

Dentro la palestra, chi vede cosa lo decide la palestra stessa con i ruoli che distribuisce tra la sua gente. Noi facciamo rispettare quella distribuzione; non scegliamo al posto suo.

Misure di sicurezza

Quelle che ci sono davvero, non un elenco da catalogo:

E ciò che non facciamo, perché nessuno lo dia per scontato: non cifriamo campo per campo dentro la base di dati — la cifratura protegge il trasporto e le copie — e oggi non c'è una certificazione esterna di sicurezza.

Sub-responsabili

La palestra ci autorizza in via generale a servirci di altre aziende per fornire il servizio. Questo è l'elenco completo a oggi; non ce n'è nessun altro:

Con ciascuno di essi valgono gli stessi obblighi di protezione dei dati che questo contratto impone, e rispondiamo verso la palestra di ciò che fanno come se l'avessimo fatto noi.

Se cambieremo l'elenco — aggiungere un sub-responsabile o sostituirne uno — lo comunicheremo al proprietario della palestra via email e dentro il pannello con almeno trenta giorni di anticipo. Entro quel termine può opporsi per iscritto, spiegando il motivo. Se si oppone e non c'è un altro modo ragionevole di fornire il servizio, ciascuna delle due parti può risolvere questo incarico: la palestra esporta i suoi dati e chiude l'account, senza costi né penali per quella chiusura.

Aiuto con i diritti delle persone

I diritti dell'atleta — accesso, rettifica, cancellazione, portabilità, opposizione, limitazione e revoca del consenso — si esercitano verso la palestra, che è il titolare. Il nostro compito è che possa soddisfarli:

Se una richiesta di un atleta arriva a noi, non la rispondiamo per conto della palestra: gliela trasmettiamo senza ingiustificato ritardo e la aiutiamo in ciò che serve. Rispondiamo direttamente solo alla parte che riguarda i dati dell'account, di cui siamo titolari.

Aiutiamo anche la palestra, con le informazioni che abbiamo, se deve svolgere una valutazione d'impatto o consultare l'autorità di controllo (articoli da 32 a 36 del GDPR).

Se c'è una violazione di sicurezza

Se rileviamo una violazione di sicurezza che riguarda i dati della palestra, glielo diremo senza ingiustificato ritardo appena ne veniamo a conoscenza, all'email del proprietario. Le racconteremo quello che sappiamo: cosa è successo, quali dati e quante persone riguarda — per quanto possiamo saperlo —, quali conseguenze prevediamo e cosa stiamo facendo.

Le 72 ore per notificare all'autorità di controllo corrono per la palestra, che è il titolare; il nostro obbligo è avvisarla in tempo e darle ciò che le serve per rispettare quel termine e, se del caso, per avvisare i suoi atleti. Delle violazioni che riguardano i dati dell'account, di cui rispondiamo noi, notifichiamo noi.

Informazione e verifica

La palestra può chiederci per iscritto le informazioni necessarie per verificare che rispettiamo questo contratto, e gliele diamo entro un mese. Può inoltre chiedere una verifica; si concorda con ragionevole preavviso, non più di una volta l'anno salvo che ci sia stato un incidente, si svolge senza mettere a rischio i dati di altre palestre e le spese sono a carico di chi la chiede.

Cosa succede quando questo finisce

Qui è facile scrivere ciò che si vorrebbe che accadesse. Questo è ciò che accade davvero:

  1. La palestra si porta via i suoi dati da sola, esportandoli dal suo pannello. Può farlo per tutta la durata dell'incarico, e conviene farlo prima di chiudere l'account.
  2. Quando la palestra viene chiusa, l'accesso si chiude e il modulo si spegne: l'organizzazione resta contrassegnata come chiusa e i suoi posti a zero, e nessuno può entrare. I dati non si cancellano da soli: gli atleti, i piani e le sessioni restano conservati e inattivi, così come la scheda di fatturazione e le sue fatture. La cancellazione non è automatica, e non diremo che lo è.
  3. La cancellazione definitiva avviene su richiesta della palestra. Si chiede a privacidad@profblu.com dall'email del proprietario e viene fatta, salvo ciò che la legge obbliga a conservare: le fatture e le scritture contabili di quanto la palestra ci ha pagato, per il termine imposto dalla legge fiscale — in Italia, dieci anni —, e il registro dell'accettazione di questo incarico e delle condizioni, con la sua data e la sua versione, che è la prova che il contratto è esistito. Si conserva senza usarlo per altro.
  4. Le copie di sicurezza cifrate non si modificano una per una: ruotano, e la copia della palestra scompare con esse dopo 35 giorni.

Cosa spetta alla palestra

Come titolare, la palestra si impegna a:

Responsabilità

Ciascuna parte risponde del proprio: la palestra di ciò che decide di trattare e delle istruzioni che dà, e noi del rispetto di questo contratto e di ciò che fanno i nostri sub-responsabili. Nessuna delle due risponde di ciò che l'altra fa per conto proprio.

Modifiche a questo incarico

Se cambiamo questo documento, cambiamo la sua data di revisione e lo comunichiamo con sufficiente anticipo, nel pannello o via email, per poterlo leggere o chiudere l'account. La versione accettata e la data restano registrate, come detto sopra.

Legge applicabile

Si applica la legge italiana, che è quella del domicilio del titolare, con il GDPR al di sopra. Per le controversie tra la palestra e noi sono competenti i tribunali del domicilio del titolare; se la palestra è un consumatore — normalmente non lo sarà, ma può esserlo un allenatore che lavora in proprio —, conserva il foro del proprio domicilio e la protezione delle norme imperative del suo paese.