Accordo sul trattamento dei dati di altre persone

Se in B.I. Asset scrivi dati che riguardano qualcun altro — il nome di un inquilino, un contratto d'affitto — questa pagina dice chi risponde di che cosa. È l'accordo che il GDPR chiama “nomina a responsabile del trattamento” (art. 28), scritto in modo che si possa leggere.

Questo accordo fa parte dei Termini di servizio: accettando quelli, accetti anche questo. Non serve firmare nient'altro.

1. Le parti

Responsabile del trattamento: Tridente S.r.l., Via XX Settembre 25, 00062 Bracciano (RM), P.IVA e C.F. 17347351003, REA RM-1712394, PEC tridente_srl@pec.it, email info@businessintelligence.support.

Titolare del trattamento: tu, cioè la persona o l'organizzazione che ha aperto l'account e accettato i Termini.

2. Quando si applica

Si applica ai dati personali di altre persone che inserisci in B.I. Asset o ci affidi, e rispetto ai quali sei tu a decidere finalità e mezzi del trattamento: inquilini, controparti contrattuali e chiunque sia nominato nei documenti che carichi.

Non si applica ai dati che trattiamo come titolari autonomi: il tuo account, i pagamenti, la fatturazione, la sicurezza del servizio, l'assistenza e la prevenzione degli abusi. Per quelli vale la Privacy policy.

3. Cosa trattiamo, per quanto e perché

Operazioni: raccolta, registrazione, organizzazione, conservazione, consultazione, elaborazione e calcolo, esportazione, cancellazione.

Interessati: inquilini, controparti contrattuali e altre persone menzionate nei dati e nei documenti che carichi.

Tipi di dati: nome e cognome, durata, date di inizio, scadenza e registrazione del contratto, importi, note, e il contenuto dei documenti caricati.

Durata: dall'accettazione dei Termini fino alla cancellazione o restituzione dei dati, secondo il punto 8.

Finalità: fornirti le funzioni del servizio, e nient'altro. Non trattiamo questi dati per finalità nostre, non li vendiamo, non li usiamo per addestrare modelli di intelligenza artificiale.

Categorie escluse: il servizio non è destinato a dati particolari (art. 9 GDPR) né a dati su condanne e reati (art. 10). Non inserirli, e oscura le parti dei documenti che li contengono.

4. Le tue istruzioni

Trattiamo quei dati soltanto su tua istruzione documentata. Sono istruzioni documentate: i Termini, questo accordo, e le operazioni che compi dentro l'app — inserire, modificare, cancellare, esportare e condividere con destinatari e permessi da te selezionati. La scelta di un uso personale ai fini contrattuali non esclude questo accordo quando, nei fatti, agisci come titolare del trattamento. Istruzioni ulteriori vanno mandate per iscritto ai nostri recapiti.

Se riteniamo che un'istruzione violi la legge, te lo diciamo subito. Una tua conferma non rende lecita un'istruzione illecita.

Se dovessimo trattare quei dati per un obbligo di legge, te lo diciamo prima, salvo che la legge ce lo vieti.

5. Cosa ti impegni a fare tu

• Avere una base giuridica valida per inserire quei dati, e aver dato alle persone interessate l'informativa che la legge richiede.
• Inserire solo i dati pertinenti e necessari, e non tenerli più a lungo di quanto serve.
• Non inserire dati particolari o giudiziari, e oscurarli nei documenti.
• Proteggere le tue credenziali: chi entra con la tua password vede tutto quello che vedi tu.

Un inserimento non conforme non ci esonera dai nostri obblighi di sicurezza; ma della liceità di quell'inserimento rispondi tu.

6. Cosa ci impegniamo a fare noi

Persone autorizzate. Accedono a quei dati solo le persone che ne hanno necessità per erogare, assistere e proteggere il servizio, vincolate alla riservatezza e istruite (art. 29 GDPR e art. 2-quaterdecies del Codice privacy).

Sicurezza. Adottiamo le misure descritte nell'allegato in fondo a questa pagina, adeguate ai rischi del trattamento (art. 32 GDPR), e ne verifichiamo l'efficacia nel tempo. Possiamo aggiornarle, purché non riducano il livello di protezione. L'allegato descrive misure reali; non è una garanzia di invulnerabilità.

Assistenza. Ti aiutiamo, tenendo conto della natura del trattamento e di quello che sappiamo, a dare seguito alle richieste delle persone interessate (artt. 15-22 GDPR), a garantire la sicurezza, a valutare eventuali violazioni e, se ti servisse, a fare una valutazione d'impatto. Se una persona interessata scrive a noi per dati che riguardano il tuo account, giriamo la richiesta a te: non rispondiamo al posto tuo, salvo tua istruzione o obbligo di legge.

Violazioni dei dati. Se veniamo a conoscenza di una violazione che riguarda i dati che tratti tramite l'app, te lo comunichiamo senza ingiustificato ritardo, con quello che sappiamo: natura della violazione, categorie e numero indicativo di persone e di dati coinvolti, conseguenze probabili, misure adottate, un contatto a cui rivolgerti. Le informazioni possono arrivare in più fasi, man mano che si capisce. Collaboriamo a limitare i danni e a conservare le prove. La notifica al Garante e la comunicazione alle persone interessate, quando dovute, restano decisioni e obblighi tuoi: il termine di 72 ore dell'art. 33 riguarda te, non la nostra comunicazione a te.

Verifiche. Ti mettiamo a disposizione le informazioni necessarie a dimostrare il rispetto dell'art. 28 e collaboriamo alle verifiche che tu o un revisore da te incaricato vogliate fare, concordandone modalità e preavviso in modo da non compromettere la sicurezza degli altri clienti. Quando bastano le evidenze documentali, usiamo quelle. Nulla di tutto ciò limita i poteri delle autorità.

Registro. Teniamo il registro delle categorie di trattamento svolte per conto dei clienti, come prevede l'art. 30 par. 2.

7. Fornitori e trasferimenti

Ci autorizzi a servirci di questi fornitori (sub-responsabili):

Se aggiungiamo o sostituiamo un fornitore te lo comunichiamo con almeno 30 giorni di preavviso, via email e aggiornando questa pagina. Puoi opporti per motivi legittimi legati alla protezione dei dati entro il preavviso: cerchiamo una soluzione e, se non è possibile, puoi disdire senza penali, con il rimborso della parte di abbonamento non goduta e il tempo di recuperare i dati.

Imponiamo ai fornitori obblighi sostanzialmente equivalenti a questi e restiamo responsabili verso di te del loro operato.

I dati stanno nell'Unione Europea (Irlanda). I trasferimenti verso fornitori con sede negli Stati Uniti si basano sulle garanzie del Capo V del GDPR previste nei loro accordi: clausole contrattuali tipo della Commissione europea e, dove il fornitore vi aderisce, il Data Privacy Framework UE-USA. La collocazione europea del database non esclude da sola accessi tecnici dall'estero nell'ambito dell'assistenza: anche quelli sono coperti da quelle garanzie.

8. Cosa succede alla fine

Durante il rapporto e nel periodo di sola lettura, esporti i dati da solo dalle Impostazioni; i documenti si scaricano dalla sezione Documenti, e se te ne servono molti insieme ce li chiedi.

Alla fine del rapporto puoi scegliere fra restituzione e cancellazione. Se non scegli, valgono i tempi dei Termini: 12 mesi dalla scadenza, poi chiusura per inattività ed eliminazione dai sistemi in uso. Puoi chiedere la cancellazione anticipata in qualunque momento chiudendo l'account.

Le copie di sicurezza tecniche seguono il loro ciclo e non vengono usate per l'operatività ordinaria; se mai si rendesse necessario un ripristino, le cancellazioni già eseguite vengono riapplicate. Non promettiamo che ogni copia tecnica sparisca nello stesso istante. Su richiesta ti confermiamo per iscritto l'avvenuta cancellazione.

9. Responsabilità e prevalenza

Ciascuno risponde secondo l'art. 82 GDPR. Restano fermi il punto 12 dei Termini e i rimedi inderogabili del consumatore. Noi rispondiamo dei danni derivanti dall'inosservanza degli obblighi che il GDPR pone specificamente a carico del responsabile o dall'aver agito fuori dalle tue istruzioni. Nessuna clausola dei Termini limita i diritti delle persone interessate né i poteri delle autorità.

Su tutto ciò che riguarda la protezione dei dati, questo accordo prevale sui Termini. Le modifiche vengono comunicate prima di diventare efficaci e non hanno effetto retroattivo. Si applicano il GDPR e la legge italiana.

Allegato — Le misure di sicurezza

Sono le misure effettivamente in funzione alla data in alto.

• Separazione imposta dal database. Ogni tabella è protetta da regole a livello di riga: i dati di un account non sono leggibili né scrivibili da un altro, e la regola la applica il database, non l'applicazione. Alla scadenza dell'abbonamento è il database a rifiutare le scritture.
• Archivio dei documenti privato. I file non sono raggiungibili da un indirizzo pubblico; l'accesso avviene con link firmati che scadono dopo due minuti, con regole per cartella dell'utente. Limiti di dimensione, di tipo di file e di spazio complessivo sono applicati dal server.
• Cifratura in transito (HTTPS/TLS) fra browser, applicazione, database e fornitori; cifratura a riposo secondo le misure del fornitore di infrastruttura.
• Autenticazione: password conservate solo come hash, lunghezza minima di otto caratteri, conferma dell'indirizzo email obbligatoria prima dell'accesso.
• Segreti conservati fuori dal codice, nelle variabili protette delle funzioni server; il segreto dei pagamenti verificato a ogni richiesta.
• Cancellazioni automatiche programmate, che girano ogni notte: cestino a 90 giorni, registro delle modifiche a 12 mesi, impronta antiabuso a 24 mesi dalla chiusura, chiusura degli account inattivi da oltre 12 mesi con attesa di 48 ore e ricontrollo dei pagamenti.
• Infrastruttura in regione europea (Irlanda), con copie di sicurezza giornaliere del database conservate dal fornitore per una finestra di alcuni giorni. Le copie del database non comprendono i file caricati: per quelli, ti raccomandiamo di conservare anche una tua copia. Questa raccomandazione non sostituisce i nostri obblighi di sicurezza, disponibilità e ripristino previsti dalla legge e dal contratto.