Accordo sul trattamento dei dati (art. 28 GDPR)

1. Oggetto, natura e durata

Il trattamento comprende raccolta, registrazione, organizzazione, consultazione, estrazione, elaborazione, comunicazione autorizzata, conservazione e cancellazione, per i moduli attivati: personale, turni, presenze, HACCP, scorte, produzione, documenti, vendite, eventi e comunicazioni. Dura per la prestazione e le operazioni di restituzione/cancellazione concordate.

2. Interessati e dati

Personale, collaboratori, amministratori, referenti di fornitori e clienti e persone presenti nei file. Dati identificativi, contatti, dati contrattuali e retributivi, identificativi previdenziali nei documenti, turni, presenze, assenze, foto e firme, posizione trasmessa nelle funzioni abilitate, comunicazioni, documenti e metadati tecnici. Documenti sanitari possono contenere dati dell’art. 9: il titolare deve limitarli, individuare una condizione valida e impartire istruzioni specifiche.

3. Istruzioni e liceità

Il responsabile tratta soltanto su istruzioni documentate del titolare, anche per trasferimenti internazionali, salvo obbligo di legge; in tal caso informa prima il titolare, se non vietato. Le istruzioni comprendono contratto, configurazioni e richieste autorizzate. Se ritiene un’istruzione contraria alla normativa, informa immediatamente il titolare e chiede chiarimento. I trattamenti propri del fornitore, come fatturazione, sono separati e descritti nella privacy.

4. Riservatezza e sicurezza

Il responsabile deve vincolare alla riservatezza le persone autorizzate e applicare misure proporzionate ai rischi ai sensi dell’art. 32: accessi limitati per organizzazione e sede, autenticazione, trasmissione protetta, gestione incidenti e continuità, verifica periodica delle misure. I dettagli infrastrutturali e i backup vanno descritti negli allegati applicabili, non presunti. Alcune immagini condivise possono essere raggiungibili via URL: il titolare deve limitare la pubblicazione di dati riservati.

5. Fornitori e autorizzazione

I servizi utilizzati sono elencati in /legal/privacy e /legal/mentions-legales: Supabase, Vercel, Google Firebase, Resend, Google Gemini, OpenAI, Google Maps Platform, Gurtam UAB (flespi) per il modulo Flotta; Stripe gestisce pagamenti e può avere funzioni proprie. Non tutti sono sub-responsabili per ogni trattamento. Il contratto deve identificare quelli applicabili e l’autorizzazione specifica o generale del titolare.

Prima di aggiunte o sostituzioni, il responsabile informa il titolare in tempo utile a un’obiezione motivata; le parti concordano soluzione, alternativa o cessazione del trattamento interessato. Il responsabile impone per iscritto obblighi equivalenti e resta responsabile verso il titolare degli obblighi del sub-responsabile. Non dichiariamo che ogni accordo sia già stato verificato.

6. Trasferimenti e IA

Trasferimenti soggetti al GDPR richiedono garanzie valide del capo V; paesi, meccanismi e misure devono essere documentati per i servizi effettivi. Il solo hosting europeo non esclude trasferimenti.

Le funzioni IA possono inviare testo, contesto autorizzato, contratti, immagini e audio a Google Gemini o OpenAI, anche in flussi automatici attivati. Il titolare deve valutarne necessità, categorie di dati e istruzioni; non si presume un’autorizzazione illimitata a inviare dati particolari. Le decisioni rilevanti richiedono controllo umano.

7. Diritti degli interessati

Tenendo conto della natura del trattamento, il responsabile assiste il titolare con misure tecniche e organizzative per le richieste degli artt. 15–22. Trasmette le richieste relative ai dati del cliente al titolare senza decidere autonomamente la base legale di conservazione. L’export personale disponibile non garantisce da solo che ogni allegato o dato correlato sia incluso.

8. Incidenti, valutazioni e consultazioni

Il responsabile notifica le violazioni di dati al titolare senza ingiustificato ritardo dopo esserne venuto a conoscenza, fornendo progressivamente natura, categorie, impatto, contatto e misure disponibili. Assiste negli obblighi degli artt. 32–36, incluse valutazioni d’impatto e consultazione preventiva, tenendo conto delle informazioni a disposizione. Il termine di 72 ore dell’art. 33 riguarda, ove applicabile, il titolare verso l’autorità e non autorizza un’attesa di 72 ore del responsabile.

9. Restituzione, cancellazione e conservazione

La richiesta non attiva un’eliminazione automatica di tutte le copie nei servizi IA o di notifica. I dati già trasmessi richiedono verifica dei termini, dei tempi e delle procedure del destinatario, e richieste ulteriori quando applicabili.

A scelta del titolare, al termine dei servizi restituisce o cancella i dati e cancella le copie, salvo obblighi legali di conservazione, documentando modalità, tempi e cicli dei backup. L’accesso ai dati residui è limitato. Anonimizzare un profilo non cancella automaticamente nomi in messaggi o allegati; verificare la reale irreversibilità ed eventuali residui. I termini del cliente devono rispettare le leggi applicabili.

10. Informazioni e verifiche

Il responsabile mette a disposizione le informazioni necessarie a dimostrare gli obblighi dell’art. 28 e consente e contribuisce ad audit e ispezioni del titolare o di un incaricato, con modalità proporzionate che proteggano gli altri clienti. I limiti organizzativi non possono svuotare i diritti di verifica richiesti dalla legge.

11. Contatti e completamento

Richieste e istruzioni documentate: admin@mtdigitalservices.net. Prima dell’uso, completare il rapporto con identità e referente del titolare, moduli, categorie particolari ammesse, durata, misure, sub-responsabili autorizzati e meccanismi di trasferimento. Il titolare resta responsabile di informazione, basi legali e obblighi sul lavoro; il responsabile conserva gli obblighi propri del GDPR.