Accordo di nomina a responsabile del trattamento (art. 28 GDPR)
La società che si iscrive (titolare) nomina [da completare] (responsabile), fornitore di Concole X-ERP.IT, per i trattamenti necessari a erogare il servizio.
1. Oggetto e durata
Trattamenti svolti con la piattaforma per tutta la durata dell'abbonamento, prova inclusa: archiviazione, consultazione, invio di comunicazioni su richiesta della società, generazione di documenti.
2. Interessati e dati
- Tifosi e titolari di card: dati anagrafici e di contatto, utilizzi della card, consensi ai canali.
- Sponsor e negozi convenzionati: dati dei referenti, contratti, pagamenti.
- Atleti, anche minori, e genitori o tutori: dati anagrafici, immagini e video, liberatorie.
- Staff della società: dati di accesso e registro delle attività.
3. Istruzioni
Il responsabile tratta i dati solo secondo le istruzioni documentate del titolare, date con le funzioni della piattaforma o per iscritto, e lo informa se un'istruzione gli sembra violare la normativa.
4. Riservatezza e sicurezza
Accesso consentito solo a persone autorizzate e vincolate alla riservatezza. Misure adottate: separazione dei dati per società, connessioni cifrate, password con hash scrypt, chiavi e token cifrati (AES-256-GCM), archivio media non pubblico, registro delle attività, backup.
5. Sub-responsabili
Il titolare autorizza i seguenti sub-responsabili, usati solo per le funzioni attivate: fornitore del server e dell'hosting; fornitore della posta in uscita; smsbot (WhatsApp e SMS); Infobip (SMS); Meta Platforms (Facebook, Instagram, WhatsApp Cloud API); Telegram. Le modifiche all'elenco sono comunicate in anticipo; il titolare può opporsi recedendo.
6. Assistenza, violazioni, verifiche
Il responsabile assiste il titolare nelle richieste degli interessati e nelle valutazioni d'impatto, gli notifica senza ingiustificato ritardo, e comunque entro 48 ore dalla scoperta, ogni violazione dei dati e mette a disposizione le informazioni per dimostrare il rispetto dell'art. 28, anche con verifiche concordate.
7. Fine del servizio
Alla chiusura il titolare può esportare i dati; entro 90 giorni il responsabile li cancella, compresi i backup alla loro scadenza, salvo obblighi di conservazione di legge.