Data Processing Agreement (DPA)

1. Oggetto, ruoli e durata

1.1. Il Cliente, in qualità di titolare del trattamento dei dati personali di soci, tesserati, atleti (inclusi minorenni), dirigenti, tecnici, collaboratori e genitori/tutori inseriti in Pindaco (gli “Interessati”), nomina Altrama quale responsabile del trattamento ai sensi dell’art. 28 GDPR.

1.2. Il trattamento ha per oggetto le categorie di dati e di Interessati indicate all’Allegato 1, per le finalità strettamente necessarie all’erogazione dei Servizi previsti dal Contratto (gestione anagrafiche, tesseramenti, quote associative, contabilità, adempimenti, pagamenti online, comunicazioni previste dalla Piattaforma e funzionalità di assistenza, inclusa l’eventuale assistenza AI integrata, nei limiti di quanto configurato dal Cliente).

1.3. Il presente DPA ha efficacia per tutta la durata del Contratto e, per quanto riguarda gli obblighi di riservatezza e sicurezza, anche successivamente alla sua cessazione, limitatamente al periodo necessario alla restituzione o cancellazione dei dati secondo l’art. 6.

2. Istruzioni del Titolare e obblighi del Responsabile

2.1. Altrama tratta i dati personali unicamente su istruzione documentata del Cliente, anche impartita attraverso le funzionalità rese disponibili nella Piattaforma, salvo che sia diversamente previsto dal diritto dell’Unione o degli Stati membri cui Altrama è soggetta; in tal caso Altrama informa il Cliente circa tale obbligo giuridico prima del trattamento, salvo che il diritto vieti tale informazione.

2.2. Altrama garantisce che le persone autorizzate al trattamento dei dati si siano impegnate alla riservatezza o siano soggette a un adeguato obbligo di legge in materia.

2.3. Tenendo conto della natura del trattamento e delle informazioni a disposizione, Altrama assiste il Cliente con misure tecniche e organizzative adeguate per soddisfare gli obblighi del Cliente di dare seguito alle richieste di esercizio dei diritti degli Interessati (artt. 15-22 GDPR).

2.4. Altrama informa tempestivamente il Cliente qualora, a suo avviso, un’istruzione fornita dal Cliente violi il GDPR o altre disposizioni nazionali o dell’Unione relative alla protezione dei dati.

3. Misure di sicurezza

3.1. Altrama adotta misure tecniche e organizzative adeguate ai sensi dell’art. 32 GDPR, tenendo conto dello stato dell’arte, dei costi di attuazione, della natura, dell’oggetto, del contesto e delle finalità del trattamento, nonché del rischio per i diritti e le libertà degli Interessati.

3.2. Le misure includono, a titolo esemplificativo:

• autenticazione tramite credenziali individuali e gestione dei profili di autorizzazione;
• cifratura dei dati in transito e, ove applicabile, dei dati a riposo;
• segregazione logica dei dati dei diversi Clienti;
• backup periodici e procedure di ripristino;
• logging degli accessi e delle principali attività di sistema;
• procedure di gestione degli incidenti di sicurezza e dei data breach;
• misure fisiche e logiche adottate dal provider di infrastruttura cloud, secondo quanto indicato dalla relativa documentazione tecnica.

3.3. Considerata la possibile presenza di dati relativi alla salute (certificati medico-sportivi) e di dati di minori, Altrama si impegna a mantenere un livello di sicurezza adeguato al rischio elevato connesso a tali categorie particolari di dati, anche attraverso misure di minimizzazione dei dati trattati dalla Piattaforma e dall’eventuale assistente AI integrato.

4. Sub-responsabili

4.1. Il Cliente autorizza Altrama a ricorrere ai seguenti sub-responsabili del trattamento per l’erogazione dei Servizi:

• OVH (hosting e infrastruttura cloud);
• Google (servizi e-mail e strumenti di produttività);
• Stripe (elaborazione dei pagamenti).

L’elenco aggiornato dei sub-responsabili è disponibile su richiesta all’indirizzo info@pindaco.it.

4.2. Altrama si impegna a stipulare con ciascun sub-responsabile un contratto che imponga obblighi in materia di protezione dei dati personali sostanzialmente equivalenti a quelli del presente DPA.

4.3. Altrama informa il Cliente di eventuali modifiche riguardanti l’aggiunta o sostituzione di sub-responsabili, dando al Cliente la possibilità di opporsi per motivi legittimi entro un termine ragionevole; in caso di opposizione fondata, le parti cooperano per individuare una soluzione alternativa ragionevole.

5. Trasferimenti verso Paesi terzi

5.1. OVH tratta i dati su infrastruttura situata nell’Unione Europea.

5.2. Google e Stripe hanno sede negli Stati Uniti: il trasferimento dei relativi dati avviene nel rispetto del Capo V del GDPR, sulla base:

• dell’adesione di tali fornitori al Data Privacy Framework UE-USA, ove applicabile e vigente; e/o
• delle clausole contrattuali standard adottate dalla Commissione Europea, corredate, ove necessario, da misure supplementari di sicurezza organizzative e tecniche (ad es. cifratura, pseudonimizzazione, limitazione dei dati trasferiti).

5.3. Su richiesta del Cliente, Altrama fornisce informazioni aggiornate sulle basi giuridiche dei trasferimenti extra-UE relativi ai sub-responsabili utilizzati.

6. Violazioni dei dati personali (data breach)

6.1. Altrama notifica al Cliente, senza ingiustificato ritardo e comunque entro 48 ore dal momento in cui ne viene a conoscenza, qualsiasi violazione dei dati personali che riguardi i dati trattati per conto del Cliente, fornendo le informazioni di cui dispone necessarie a consentire al Cliente di adempiere ai propri obblighi di notifica all’autorità di controllo e, se del caso, agli Interessati (artt. 33-34 GDPR).

6.2. Altrama collabora con il Cliente per l’adozione delle misure correttive necessarie a contenere e porre rimedio alla violazione, nonché per la documentazione interna degli incidenti.

7. Audit e verifiche

7.1. Altrama mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto degli obblighi del presente DPA.

7.2. Previo ragionevole preavviso e senza pregiudicare la sicurezza o la riservatezza degli altri Clienti, Altrama consente verifiche o ispezioni da parte del Cliente o di un revisore da questi incaricato, nei limiti e secondo le modalità concordate tra le parti (ad es. audit documentali, questionari di sicurezza, eventuali audit on-site in casi motivati).

8. Cancellazione o restituzione dei dati a fine rapporto

8.1. Alla cessazione del Contratto, su scelta del Cliente, Altrama provvede, secondo quanto previsto all’art. 10.4 delle Condizioni Generali, alla restituzione dei dati (mediante funzionalità di esportazione dalla Piattaforma) e/o alla loro cancellazione, salvo che la conservazione sia richiesta dal diritto dell’Unione o degli Stati membri.

8.2. Altrama potrà conservare, in forma aggregata o anonimizzata, dati di log o statistiche di utilizzo non riconducibili a persone fisiche identificate o identificabili, per finalità di sicurezza, miglioramento del servizio e analisi interne.

9. Responsabilità

9.1. Ciascuna parte risponde dei danni causati da un trattamento che violi gli obblighi del GDPR specificamente rivolti a tale parte, o che sia effettuato al di fuori o in contrasto con le istruzioni legittime del Cliente.

9.2. Il Cliente riconosce che Altrama non può controllare la liceità della raccolta dei dati effettuata dal Cliente nei confronti degli Interessati (in particolare minori e soggetti i cui dati sanitari sono trattati) e resta pertanto responsabile per: (i) la correttezza delle informazioni rese agli Interessati; (ii) la validità delle basi giuridiche del trattamento; (iii) la proporzionalità dei dati caricati in Piattaforma rispetto alle finalità perseguite.

9.3. Resta ferma, tra le parti, l’applicazione delle limitazioni di responsabilità previste dalle Condizioni Generali, nella misura in cui siano compatibili con la disciplina inderogabile del GDPR.

Allegato 1 — Categorie di Interessati e di dati trattati