Il presente DPA si applica automaticamente a tutti i Clienti che sottoscrivono un piano Gestioforma e si intende accettato con la sottoscrizione dei Termini di Servizio.
1. Parti dell'accordo
TITOLARE DEL TRATTAMENTO ("Titolare", "Cliente"): l'ente, associazione o organizzazione che sottoscrive un piano Gestioforma e carica nella piattaforma dati personali di propri associati, allievi, volontari, dipendenti o terzi.
RESPONSABILE DEL TRATTAMENTO ("Responsabile", "Gestioforma"): GenerAzioni APS, di cui Gestioforma è un prodotto/servizio, con sede legale in Via Roma 57, Augusta (SR), C.F./P.IVA 02195460890, contattabile a generazioniaps@libero.it o via PEC gestioforma@pec.it.
2. Oggetto e durata
Il presente DPA disciplina il trattamento dei dati personali effettuato dal Responsabile per conto del Titolare nell'ambito dell'erogazione del servizio Gestioforma, ai sensi dell'art. 28 GDPR.
L'accordo entra in vigore al momento della sottoscrizione dei Termini di Servizio e rimane efficace per tutta la durata del contratto, oltre il quale alcune obbligazioni (es. cancellazione dati, conservazione log) sopravvivono per il tempo necessario.
3. Natura e finalità del trattamento
Il Responsabile tratta i dati personali esclusivamente per le finalità di erogazione del servizio Gestioforma, come descritto nei Termini e nelle istruzioni documentate del Titolare:
- memorizzazione e archiviazione dei dati caricati dal Titolare;
- elaborazione automatica per la generazione di documenti, report, libri sociali, registri;
- invio di comunicazioni via email e notifiche impostate dal Titolare verso i propri interessati;
- integrazione con servizi terzi (programmi di fatturazione, casella PEC, piattaforme video) configurati dal Titolare;
- elaborazione dei testi scritti dagli Utenti nell'assistente AI, quando lo usano;
- supporto tecnico e manutenzione.
Il Responsabile non utilizza i dati per finalità proprie, diverse da quelle istruite dal Titolare.
4. Categorie di dati e interessati
| Interessati | Categorie di dati |
|---|---|
| Associati / soci | Dati anagrafici, contatti, codice fiscale, ruolo associativo, quote versate. |
| Allievi e iscritti ai corsi | Dati anagrafici, contatti, codice fiscale, presenze, esiti esami, attestati, dati di pagamento. |
| Docenti e collaboratori | Dati anagrafici, qualifica, curriculum, contratti, ore lavorate. |
| Volontari | Dati anagrafici, polizza assicurativa, ore di volontariato. |
| Dipendenti | Dati anagrafici, contratto, qualifica, presenze (no buste paga). |
| Atleti, anche minorenni | Dati anagrafici, tesseramento, presenze, quote, foto tessera, scadenza del certificato medico-sportivo. |
| Genitori / tutori (di minori) | Dati anagrafici, contatti, consensi, firme con codice via email. |
Dati relativi alla salute e minori: il modulo Sport tratta certificati medico-sportivi, che sono dati relativi alla salute ai sensi dell'art. 9 GDPR, e può contenere dati di minori. Il Titolare individua la base giuridica, informa gli interessati, valuta se serve una valutazione d'impatto e inserisce solo i dati strettamente necessari. Il servizio non è progettato per altri trattamenti di categorie particolari di dati.
5. Obblighi del Responsabile
Ai sensi dell'art. 28 GDPR, il Responsabile si impegna a:
- trattare i dati personali esclusivamente sulla base di istruzioni documentate del Titolare, comprese quelle relative al trasferimento extra-UE;
- garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza;
- adottare le misure di sicurezza tecniche e organizzative ai sensi dell'art. 32 GDPR, dettagliate al paragrafo 7;
- rispettare le condizioni per il ricorso a sub-responsabili indicate al paragrafo 6;
- assistere il Titolare con misure tecniche e organizzative adeguate per dare seguito alle richieste degli interessati;
- assistere il Titolare nel garantire il rispetto degli obblighi di sicurezza, notifica delle violazioni, valutazione d'impatto e consultazione preventiva (artt. 32-36 GDPR);
- su richiesta del Titolare, cancellare o restituire tutti i dati personali al termine della fornitura dei servizi;
- mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare la conformità agli obblighi e per consentire revisioni e ispezioni.
6. Sub-responsabili (subprocessor)
Il Titolare autorizza il Responsabile a ricorrere ai sub-responsabili elencati in questo paragrafo, vincolati da accordi conformi all'art. 28 GDPR.
Il Responsabile informerà il Titolare di qualsiasi modifica all'elenco con almeno 30 giorni di preavviso. Il Titolare può opporsi a tali modifiche entro 15 giorni dalla notifica; in caso di opposizione non risolvibile, il Titolare ha diritto di recedere dal contratto senza penali.
I sub-responsabili attuali al momento della stipula sono:
| Sub-responsabile | Attività | Dove |
|---|---|---|
| Supabase | Database, autenticazione e file | UE (AWS Francoforte) |
| Vercel | Hosting ed esecuzione dell'applicazione | Elaborazione a Francoforte; società USA |
| Resend | Invio delle email (conferme, ricevute, promemoria) | USA |
| Anthropic | Assistente AI, solo quando l'Utente lo usa | USA |
Se il Titolare li attiva, i dati passano anche ai servizi che ha scelto (Fatture in Cloud, Fattura24, il proprio gestore PEC, la piattaforma video), con i quali il Titolare ha un rapporto diretto. Stripe tratta i dati di pagamento dell'abbonamento come titolare autonomo.
7. Misure di sicurezza tecniche e organizzative
Il Responsabile adotta, tra le altre, le seguenti misure ex art. 32 GDPR:
- Cifratura: connessione sempre cifrata (HTTPS); le credenziali più delicate, come le password della PEC, sono cifrate nel database.
- Segregazione: Row Level Security su PostgreSQL, che separa i dati tra i Clienti a livello di database.
- Controllo accessi: credenziali personali e permessi per ruolo all'interno del Cliente; accesso di Gestioforma ai dati limitato all'assistenza e alla manutenzione.
- Infrastruttura: misure di sicurezza e salvataggi dei fornitori di database e hosting, secondo i rispettivi piani di servizio.
Le misure vengono riesaminate nel tempo e possono essere aggiornate, senza ridurre il livello di protezione.
8. Notifica delle violazioni (data breach)
Il Responsabile, in caso di violazione dei dati personali ai sensi dell'art. 4, n. 12 GDPR, notifica al Titolare senza ingiustificato ritardo e comunque entro 48 ore dalla scoperta della violazione, fornendo:
- natura della violazione, categorie e numero approssimativo di interessati e di registrazioni coinvolte;
- dati del punto di contatto;
- conseguenze probabili della violazione;
- misure adottate o proposte per porre rimedio e mitigare i possibili effetti negativi.
Il Titolare resta responsabile delle eventuali notifiche al Garante Privacy ex art. 33 GDPR e agli interessati ex art. 34, salvo diverso accordo scritto.
9. Diritti degli interessati
Il Responsabile assiste il Titolare, con gli strumenti della piattaforma (modifica ed eliminazione delle schede, esportazioni) e su richiesta, perché l'interessato possa esercitare i diritti previsti dagli artt. 15-22 GDPR. In caso di richiesta inoltrata direttamente al Responsabile da un interessato, il Responsabile la trasmette tempestivamente al Titolare senza darvi seguito autonomo.
10. Audit e ispezioni
Il Titolare ha diritto di verificare l'adempimento degli obblighi del Responsabile mediante:
- documentazione delle misure tecniche e organizzative adottate, fornita su richiesta;
- questionari di sicurezza compilati dal Responsabile;
- ispezioni in sede previo preavviso scritto di almeno 30 giorni, non più frequenti di una volta l'anno, salvo casi di sospetta violazione. I costi sono a carico del Titolare.
11. Trasferimenti extra-UE
Il database si trova nello Spazio Economico Europeo. I trasferimenti verso i sub-responsabili con sede o conservazione negli Stati Uniti indicati al paragrafo 6 avvengono sulla base delle Clausole Contrattuali Standard (Decisione UE 2021/914) contenute nei loro accordi e, dove il fornitore aderisce, del Data Privacy Framework UE-USA.
12. Cancellazione e restituzione dati
Al termine della fornitura del servizio, e su richiesta del Titolare, il Responsabile mette a disposizione i dati personali in un formato di uso comune per 90 giorni e successivamente provvede alla cancellazione sicura, salvo obblighi di conservazione previsti dalla legge applicabile.
Su richiesta scritta del Titolare, il Responsabile fornisce attestazione formale dell'avvenuta cancellazione entro 30 giorni.
13. Responsabilità
Le Parti rispondono ciascuna per la propria sfera di competenza, secondo quanto previsto dall'art. 82 GDPR. Il Responsabile non risponde dei danni causati dal mancato rispetto degli obblighi del Titolare (es. carico di dati senza valido consenso degli interessati).
14. Modifiche al DPA
Il presente DPA può essere modificato per adeguarsi a evoluzioni normative o a nuove indicazioni del Garante e del European Data Protection Board. Le modifiche saranno notificate al Titolare con almeno 30 giorni di preavviso. Qualora il Titolare non accetti le modifiche, potrà recedere dal contratto entro tale termine senza penali.
Per richiedere una copia sottoscritta del presente DPA, contatta generazioniaps@libero.it.