Accordo sul trattamento dei dati

Premesse e parti

Il presente accordo è concluso tra:

• il coro indicato nella richiesta di attivazione, in persona del referente che l'ha inviata dichiarando di essere autorizzato a rappresentarlo, in qualità di titolare del trattamento (di seguito il "Titolare");
• Guido Dell'Orto, residente in Milano (MI), email [email protected], che gestisce a titolo personale e gratuito la piattaforma inCoro, in qualità di responsabile del trattamento (di seguito il "Responsabile").

Il Titolare decide autonomamente quali dati dei coristi inserire nell'istanza, per quali finalità, con quali modalità e per quanto tempo conservarli. Il Responsabile mette a disposizione l'infrastruttura tecnica e tratta quei dati esclusivamente per conto e su istruzione del Titolare, nei limiti del presente accordo.

L'accordo si perfeziona con l'accettazione delle condizioni al momento dell'invio della richiesta di attivazione e integra i Termini e condizioni, di cui costituisce parte essenziale. Il Responsabile conserva la registrazione dell'accettazione, con data, ora e versione dei testi accettati. In caso di contrasto tra il presente accordo e i Termini e condizioni, per le materie relative alla protezione dei dati personali prevale il presente accordo.

1. Oggetto, durata e descrizione del trattamento

1. Oggetto, natura e finalità del trattamento, categorie di interessati e tipologie di dati personali sono descritti nell'Allegato A, che le parti possono aggiornare in caso di modifiche delle funzionalità del servizio.
2. Il trattamento ha inizio con l'attivazione dell'istanza e termina con la sua cessazione, per qualunque causa, secondo quanto previsto alla clausola 8.
3. Il Responsabile non tratta i dati per finalità proprie. Restano esclusi dal presente accordo, e sono trattati dal Responsabile in qualità di titolare autonomo, i trattamenti descritti nella sua informativa privacy: i dati di contatto del referente, la gestione della richiesta di attivazione, la sicurezza della piattaforma e le statistiche aggregate di utilizzo.

2. Istruzioni del Titolare

1. Il Responsabile tratta i dati soltanto su istruzione documentata del Titolare. Costituiscono istruzioni documentate: il presente accordo con i suoi allegati, i Termini e condizioni, le funzionalità messe a disposizione dall'applicazione e le richieste successive inviate per iscritto dal referente all'indirizzo email del Responsabile.
2. Le operazioni compiute autonomamente dal Titolare e dai suoi utenti attraverso l'interfaccia dell'applicazione si intendono impartite come istruzione del Titolare.
3. Il Responsabile informa immediatamente il Titolare se, a suo parere, un'istruzione ricevuta viola il GDPR o altre disposizioni sulla protezione dei dati, e può sospenderne l'esecuzione fino a chiarimento.
4. Se il diritto dell'Unione o dello Stato membro obbliga il Responsabile a un trattamento ulteriore, questi ne informa preventivamente il Titolare, salvo che la comunicazione sia vietata dalla legge.

3. Obblighi del Responsabile

Il Responsabile si impegna a:

1. trattare i dati con riservatezza e non divulgarli a terzi, salvo quanto previsto alla clausola 5 o richiesto dalla legge;
2. non avvalersi di personale o collaboratori per il trattamento; il trattamento è svolto direttamente e personalmente dal Responsabile. Qualora in futuro intervengano collaboratori, questi saranno autorizzati per iscritto, istruiti e vincolati alla riservatezza ai sensi dell'art. 29 del GDPR;
3. accedere ai dati dell'istanza soltanto quando necessario per l'erogazione, la manutenzione, la sicurezza, la correzione di malfunzionamenti o l'assistenza richiesta dal Titolare, limitando l'accesso a quanto strettamente indispensabile all'attività da svolgere;
4. adottare e mantenere le misure tecniche e organizzative descritte nell'Allegato C, valutandone periodicamente l'adeguatezza al rischio ai sensi dell'art. 32 del GDPR;
5. mettere a disposizione del Titolare, su richiesta, le informazioni necessarie a dimostrare il rispetto degli obblighi previsti dall'art. 28 del GDPR, e consentire e contribuire alle attività di audit, comprese le ispezioni, svolte dal Titolare o da un revisore da questo incaricato. Le verifiche documentali costituiscono la modalità ordinaria e il Responsabile risponde per iscritto ai quesiti del Titolare entro trenta giorni. Un'ispezione in loco può essere richiesta quando sia ragionevolmente necessaria e la verifica documentale non sia sufficiente; deve essere concordata con congruo preavviso, svolta in orari e con modalità tali da non compromettere la sicurezza del servizio, la riservatezza di terzi o la continuità operativa, e limitata ai trattamenti svolti per conto del Titolare;
6. tenere il registro delle categorie di trattamento svolte per conto del Titolare ai sensi dell'art. 30, par. 2, del GDPR; l'Allegato A ne costituisce il contenuto per il presente rapporto.

4. Obblighi del Titolare

Il Titolare dichiara e si impegna a:

1. disporre di una base giuridica idonea per ciascun dato inserito nell'istanza e per ciascuna finalità perseguita;
2. fornire ai coristi, prima o al momento dell'inserimento dei loro dati, l'informativa prevista dagli artt. 13 e 14 del GDPR, indicando anche che il trattamento avviene tramite la piattaforma inCoro e che il Responsabile è il soggetto indicato nel presente accordo;
3. inserire soltanto dati necessari, pertinenti e non eccedenti rispetto alle finalità organizzative del coro, e in particolare a non inserire dati relativi alla salute o ad altre categorie particolari di cui all'art. 9 del GDPR, né dati giudiziari, nei campi di testo libero (note delle prove, note dei concerti, avvisi, sondaggi, note dell'anagrafica);
4. se il coro comprende coristi minorenni, individuare la base giuridica corretta e coinvolgere chi esercita la responsabilità genitoriale secondo la normativa applicabile. Qualora il trattamento si fondi sul consenso nell'ambito dell'offerta diretta di servizi della società dell'informazione al minore, in Italia il minore può esprimere autonomamente un consenso valido solo dai quattordici anni compiuti; al di sotto di tale età il consenso deve essere prestato o autorizzato da chi esercita la responsabilità genitoriale. Il Titolare valuta inoltre con particolare attenzione quali dati dei minori inserire e a chi renderli visibili all'interno dell'istanza;
5. gestire con diligenza gli account e i permessi, revocando tempestivamente gli accessi non più necessari, e in particolare limitando il permesso "Gestione utenti" — che consente di vedere l'anagrafica completa, inclusi email e numeri di telefono — alle sole persone che ne hanno effettiva necessità;
6. mantenere aggiornati i dati e cancellare quelli non più necessari, anche eliminando gli account dei coristi che lasciano il coro;
7. rispondere direttamente alle richieste di esercizio dei diritti provenienti dai coristi, avvalendosi delle funzioni dell'applicazione e, se necessario, dell'assistenza del Responsabile;
8. conservare copie autonome e aggiornate dei dati e dei materiali caricati, in considerazione del carattere gratuito del servizio e dell'assenza di garanzie di continuità.

5. Sub-responsabili

1. Il Titolare autorizza il Responsabile ad avvalersi dei sub-responsabili elencati nell'Allegato B, necessari all'erogazione del servizio.
2. Il Responsabile stipula con ciascun sub-responsabile un accordo che impone obblighi di protezione dei dati non meno onerosi di quelli del presente accordo, e resta pienamente responsabile verso il Titolare dell'adempimento di tali obblighi.
3. Il Responsabile informa il Titolare, con almeno trenta giorni di preavviso via email, dell'intenzione di aggiungere o sostituire un sub-responsabile. Entro quel termine il Titolare può opporsi per motivi ragionevoli connessi alla protezione dei dati; in tal caso le parti cercano una soluzione alternativa e, se questa non è praticabile, il Titolare può recedere chiedendo la cessazione dell'istanza secondo la clausola 8, senza oneri.

6. Assistenza al Titolare

Tenendo conto della natura del trattamento e delle informazioni a sua disposizione, il Responsabile assiste il Titolare:

1. nel dare seguito alle richieste degli interessati relative agli artt. 15-22 del GDPR, mettendo a disposizione le funzioni dell'applicazione (modifica dei propri dati, eliminazione dell'account) e, ove queste non siano sufficienti, fornendo entro venti giorni le estrazioni o le cancellazioni richieste per iscritto dal Titolare;
2. nel garantire il rispetto degli obblighi di sicurezza di cui all'art. 32, fornendo la descrizione aggiornata delle misure adottate;
3. nell'adempimento degli obblighi di cui agli artt. 33-36, comprese l'eventuale valutazione d'impatto e la consultazione preventiva, nei limiti delle informazioni tecniche di cui dispone;
4. trasmettendo tempestivamente al Titolare, senza darvi seguito autonomamente, ogni richiesta di esercizio dei diritti che gli interessati indirizzino direttamente al Responsabile, salvo che riguardi funzioni che l'interessato può attivare da sé nell'applicazione.

7. Violazioni dei dati personali

1. Il Responsabile informa il Titolare di qualunque violazione dei dati personali che riguardi l'istanza senza ingiustificato ritardo e in ogni caso entro quarantotto ore dal momento in cui ne è venuto a conoscenza, scrivendo all'indirizzo email del referente.
2. La comunicazione descrive la natura della violazione, le categorie e il numero approssimativo di interessati e di record coinvolti, le probabili conseguenze, le misure adottate o proposte per porvi rimedio e attenuarne gli effetti, e i dati di contatto per ottenere ulteriori informazioni. Se le informazioni non sono disponibili nell'immediato, sono trasmesse in fasi successive senza ulteriore ritardo.
3. La notifica al Garante e la comunicazione agli interessati, ove dovute ai sensi degli artt. 33 e 34 del GDPR, restano di competenza del Titolare. Il Responsabile non effettua notifiche in nome del Titolare senza sua istruzione.
4. Il Responsabile documenta le violazioni riscontrate e mette la documentazione a disposizione del Titolare.

8. Cessazione del servizio e sorte dei dati

1. Il Titolare può chiedere in qualunque momento la cessazione dell'istanza tramite l'apposita funzione accessibile dall'account referente. Il Responsabile può cessare, sospendere o revocare l'istanza nei casi previsti dai Termini e condizioni.
2. In caso di cessazione, il Responsabile cancella i dati e i file dell'istanza dai sistemi di produzione. La cancellazione dai sistemi di produzione è immediata e non può essere annullata tramite le normali funzioni del servizio; possono tuttavia permanere copie residuali nei backup per il periodo indicato al punto successivo. Per questo la funzione di cessazione accessibile dall'account referente propone al Titolare, prima della conferma, di scaricare una copia dei dati e dei materiali dell'istanza in un formato strutturato di uso comune. Il Titolare può in alternativa richiederne copia al Responsabile prima di procedere. La scelta tra restituzione dei dati e sola cancellazione spetta al Titolare, come previsto dall'art. 28, par. 3, lett. g), del GDPR.
3. Le copie eventualmente presenti nei backup sono eliminate entro dieci giorni per effetto della rotazione, salvo obblighi di conservazione previsti dalla legge.
4. È considerata abbandonata l'istanza che non registri alcuna attività nei due mesi successivi all'attivazione, oppure che non registri alcun accesso per dodici mesi consecutivi. In entrambi i casi il Responsabile avvisa il referente e, in assenza di risposta entro sessanta giorni, procede alla cessazione secondo i punti che precedono. Questa previsione attua il principio di limitazione della conservazione ed è nell'interesse degli interessati.
5. Su richiesta, il Responsabile conferma per iscritto al Titolare l'avvenuta cancellazione.

9. Trasferimenti fuori dallo Spazio economico europeo

L'archiviazione dei dati dell'istanza e l'invio delle email avvengono all'interno dell'Unione europea. Il traffico fra i browser e il server transita attraverso la rete di Cloudflare, Inc., società con sede negli Stati Uniti; i servizi di notifica push comportano il transito di un identificativo del dispositivo e del contenuto della notifica attraverso infrastrutture situate negli Stati Uniti. In entrambi i casi il trasferimento avviene sulla base delle clausole contrattuali standard approvate dalla Commissione europea e, dove applicabile, dell'adesione dei fornitori al Data Privacy Framework UE-USA. Il Titolare può disattivare le notifiche push dalle impostazioni dell'istanza.

10. Responsabilità e limiti

1. Ciascuna parte risponde secondo quanto previsto dall'art. 82 del GDPR. Le limitazioni di responsabilità contenute nei Termini e condizioni non si applicano agli obblighi derivanti dalla normativa sulla protezione dei dati personali, che non possono essere esclusi né limitati per contratto.
2. Il carattere gratuito del servizio non riduce gli obblighi del Responsabile previsti dal presente accordo e dalla normativa applicabile.

11. Disposizioni finali

1. Il Responsabile può aggiornare il presente accordo per adeguarlo a modifiche del servizio o della normativa, dandone comunicazione al referente con almeno trenta giorni di preavviso. Se il Titolare non accetta la nuova versione, può chiedere la cessazione dell'istanza secondo la clausola 8 senza oneri.
2. Il presente accordo è regolato dalla legge italiana. Per le controversie è competente il foro di Milano, salvo che il Titolare agisca come consumatore, cioè per scopi estranei a un'attività imprenditoriale o professionale: in tal caso è competente in via esclusiva il foro del luogo in cui il consumatore ha la residenza o il domicilio eletto.

Allegato A – Descrizione del trattamento

Allegato B – Sub-responsabili autorizzati

Il servizio di statistica utilizzato dal Responsabile non ha accesso ai dati dell'istanza e non è pertanto un sub-responsabile ai fini del presente accordo: è descritto nell'informativa privacy del Responsabile.

Allegato C – Misure tecniche e organizzative

• Cifratura in transito: tutto il traffico avviene su HTTPS, con reindirizzamento forzato e HSTS; i cookie di sessione e di autenticazione persistente sono contrassegnati come Secure, HttpOnly e SameSite.
• Cifratura a riposo: i file di dati dell'istanza e gli allegati caricati sono cifrati con algoritmo autenticato (XChaCha20-Poly1305, con AES-256-GCM come alternativa), con chiave conservata fuori dalla cartella dell'applicazione.
• Credenziali: le password sono conservate esclusivamente come hash non reversibile con algoritmo adattivo e salt individuale; il Responsabile non ha accesso alle password in chiaro. Il recupero avviene tramite link monouso a scadenza, con cui l'interessato imposta autonomamente la nuova password.
• Controllo degli accessi: autenticazione obbligatoria; permessi differenziati per funzione, con accesso all'anagrafica completa riservato a chi detiene il permesso "Gestione utenti"; separazione logica dei dati di ciascuna istanza in aree distinte, non raggiungibili tra loro.
• Protezione da accessi illeciti: blocco temporaneo dopo un numero definito di tentativi di accesso falliti; token di autenticazione persistente con scadenza, revocabili; file di dati non raggiungibili direttamente via HTTP; consegna degli allegati mediata dal controllo di autenticazione.
• Minimizzazione: non vengono registrati gli indirizzi IP né gli user agent degli utenti dell'applicazione; la rilevazione delle presenze registra il solo dato presente/assente, senza motivazioni.
• Aggiornamenti e deploy: aggiornamento del codice tramite canale cifrato; librerie di terze parti copiate sul server del Responsabile e non caricate da reti di distribuzione pubbliche o da altri siti.
• Continuità: il servizio è gratuito e non prevede garanzie di disponibilità né di ripristino; il Titolare è tenuto a mantenere copie autonome dei dati.

Le misure sono riesaminate periodicamente e possono essere aggiornate; la versione in vigore è sempre quella pubblicata in questa pagina.