Informazioni legali
Accordo sul trattamento dei dati
Comprenda il trattamento dei dati dei clienti coperto da un DPA Configurix. Richieda l’accordo e gli allegati relativi alla sua implementazione.
Aggiornato:
Questa pagina presenta gli aspetti del trattamento da affrontare con Configurix. L’accordo vincolante identifica il cliente e il fornitore effettivi, le istruzioni concordate e gli allegati dell’implementazione. Concordi l’accordo scritto applicabile prima del trattamento di dati personali per conto della sua azienda.
Accordo e responsabilità
Quando un cliente determina perché e come utilizzare i propri dati personali, agisce come titolare del trattamento. Quando Configurix li tratta per suo conto, gli obblighi di responsabile sono definiti dall’accordo applicabile e dalla legge. I ruoli dipendono dal trattamento effettivo.
Il DPA concordato stabilisce i diritti e gli obblighi del titolare e i doveri del responsabile. Va letto insieme al contratto di servizio e agli allegati sul trattamento.
Ambito e durata del servizio
Configurix è specializzata in prodotti complessi e sviluppa configuratori e software aziendali su misura. Un’implementazione può collegare selezione prodotti e prezzi con preventivi, CRM e qualificazione delle richieste, calendari e appuntamenti, materiali/BOM, lavorazioni, ordini, fatturazione o integrazioni concordate.
Documenti le funzioni e i trattamenti effettivamente inclusi, le finalità, il periodo del trattamento e le istruzioni del cliente. Prepari l’allegato utilizzando i dettagli seguenti.
| Aspetto da concordare | Cosa documentare |
|---|---|
| Servizio e finalità | Funzioni del software, operazioni di trattamento e finalità aziendali coperte. |
| Durata | Periodi del servizio e del trattamento, e disposizioni alla cessazione. |
| Persone e dati | Persone interessate e campi di dati personali effettivamente utilizzati. |
| Sistemi e ubicazioni | Hosting, conservazione, paesi di accesso, sub-responsabili e sistemi collegati. |
| Sicurezza e conservazione | Misure tecniche e organizzative applicabili, conservazione e cancellazione. |
| Istruzioni e contatti | Istruzioni autorizzate, contatti responsabili e gestione di incidenti e richieste. |
Persone e dati personali
L’ambito può comprendere dipendenti del cliente che usano il software, clienti finali, contatti aziendali e partecipanti ai progetti. Identifichi nell’accordo i gruppi e i campi applicabili.
I dati di prodotto e commerciali rientrano nell’ambito personale quando identificano una persona o riguardano una persona identificabile. Limiti i dati a quanto necessario per il servizio concordato.
- Dati di contatto e account, come nome, e-mail aziendale, telefono e indirizzo del progetto
- Dati di configurazione, preventivo, appuntamento, ordine o fattura collegati a una persona
- Messaggi, documenti e informazioni di assistenza contenenti dati personali
- Registrazioni tecniche come indirizzi IP, attività degli account e log pertinenti
Istruzioni e riservatezza
Il trattamento per conto del cliente segue le sue istruzioni documentate, anche sui trasferimenti, salvo obblighi di legge contrari. Indichi chi può impartire istruzioni e come gestire quelle incompatibili con la normativa sulla protezione dei dati.
L’accordo deve disciplinare riservatezza delle persone autorizzate, accessi necessari al lavoro e possibilità del titolare di esercitare i diritti contrattuali.
Misure tecniche e organizzative
Concordi misure adeguate a dati, rischi e architettura ai sensi dell’articolo 32 GDPR, ove applicabile. Definisca controlli e responsabilità dell’implementazione effettiva, senza presumere impostazioni identiche per ogni progetto.
L’allegato di sicurezza dovrebbe coprire, secondo necessità, controllo degli accessi, cifratura, backup e ripristino, disponibilità, monitoraggio, gestione degli incidenti e verifiche. Richieda le misure e le evidenze applicabili al servizio previsto.
Sub-responsabili del trattamento
Documenti i fornitori che trattano dati dei clienti, i loro compiti e la procedura di autorizzazione. L’articolo 28 GDPR richiede un’autorizzazione scritta preventiva specifica o generale; quella generale comporta preavviso e possibilità di opporsi alle modifiche proposte.
L’accordo deve prevedere obblighi equivalenti di protezione dei dati per i sub-responsabili e la responsabilità del responsabile per il loro operato. Richieda l’elenco dei fornitori e la procedura di modifica relativi alla sua implementazione.
Hosting e trasferimenti internazionali
Identifichi le ubicazioni di conservazione e i paesi da cui è possibile accedere ai dati. Dipendono da hosting, assistenza e servizi collegati concordati; richieda le destinazioni dell’implementazione effettiva.
Quando si applicano le regole GDPR sui trasferimenti internazionali, documenti il meccanismo e le garanzie pertinenti, come una decisione di adeguatezza applicabile o garanzie contrattuali. Devono corrispondere al trasferimento reale; il nome del fornitore non dimostra da solo tali condizioni.
Richieste, incidenti e assistenza
Il DPA deve coprire l’assistenza per i diritti degli interessati, gli obblighi di sicurezza, le notifiche delle violazioni e le valutazioni d’impatto ove applicabili, tenendo conto del trattamento e delle informazioni disponibili.
In caso di violazione dei dati personali nel trattamento per conto del cliente, il responsabile deve informare il titolare senza ingiustificato ritardo. Documenti contatti, escalation, scambio di informazioni e responsabilità nell’accordo.
Restituzione, cancellazione e conservazione
Alla fine del servizio, le disposizioni concordate devono prevedere restituzione o cancellazione a scelta del titolare, comprese le copie esistenti, salvo obblighi legali di conservazione. Definisca formato, tempi e responsabilità.
Documenti gli obblighi di conservazione e la gestione dei backup. Richieda le disposizioni per i suoi dati clienti, senza presumere che la conservazione delle richieste del sito si applichi al suo software.
Informazioni e diritti di audit
Il DPA deve prevedere le informazioni necessarie a dimostrare gli obblighi di trattamento pertinenti e gli audit, incluse ispezioni, del titolare o di un revisore autorizzato. Concordi una procedura pratica per richieste e accessi.
Richieda la documentazione sul trattamento e sulla sicurezza pertinente al suo servizio e registri la procedura di verifica concordata.
Richiedere l’accordo
Utilizzi il contatto regionale o per la protezione dei dati per richiedere un DPA firmato, discutere clausole o ottenere gli allegati sul trattamento del suo servizio.
- Identifichi la sua azienda e il servizio Configurix o il progetto previsto
- Descriva dati, utenti, requisiti di hosting e sistemi da collegare
- Richieda ambito del trattamento, misure di sicurezza, fornitori e dettagli dei trasferimenti
Visitatori e richieste del sito
Il trattamento per il sito web, le richieste commerciali e l’amministrazione di Configurix è descritto nell’informativa privacy del sito. Le scelte sulle analisi facoltative sono distinte dalle istruzioni di un DPA cliente.