Accordo sul trattamento dei dati personali (DPA)

Parti

Responsabile del trattamento:Talveri S.r.l., con sede legale in Via Santa Maria Rossa 7, 20132 Milano (MI), P.IVA 14629560963 (di seguito «Talveri»).

Titolare del trattamento:l’ente che si registra e utilizza la piattaforma (di seguito «Ente»), come identificato dai dati dell’account. L’accettazione del presente accordo avviene in forma elettronica in fase di registrazione, con registrazione di data e versione.

1. Oggetto e ruoli

Per i dati personali che l’Ente inserisce nella piattaforma nell’ambito della propria attività (es. corsisti, docenti, tutor, referenti), l’Ente agisce come Titolare e Talveri tratta tali dati per conto e su istruzione documentata dell’Ente, in qualità di Responsabile ai sensi dell’art. 28 GDPR. Il presente accordo integra il contratto di servizio e ha durata pari ad esso.

2. Natura, finalità e istruzioni

Talveri tratta i dati esclusivamente per erogare le funzionalità della piattaforma (gestione corsi, iscrizioni, presenze, esami ed esiti, comunicazioni, documenti, riunioni online, fatturazione ove attivata) e soltanto sulla base delle istruzioni dell’Ente, incluse quelle impartite tramite l’uso e la configurazione della piattaforma. Talveri non tratta i dati per finalità proprie e informa l’Ente se un’istruzione appare in contrasto con la normativa applicabile.

3. Obblighi del Responsabile (art. 28, par. 3)

• trattare i dati solo su istruzione documentata dell’Ente;
• garantire la riservatezza delle persone autorizzate al trattamento;
• adottare misure tecniche e organizzative adeguate ai sensi dell’art. 32 GDPR;
• rispettare le condizioni per il ricorso a sub-responsabili (punto 4);
• assistere l’Ente nel dar seguito alle richieste degli interessati (artt. 12-23) e negli obblighi degli artt. 32-36;
• cancellare o restituire i dati al termine del rapporto, salvo obblighi di legge (punto 6);
• mettere a disposizione le informazioni necessarie a dimostrare la conformità e consentire audit ragionevoli.

4. Sub-responsabili

L’Ente autorizza in via generale il ricorso ai seguenti sub-responsabili; Talveri impone loro obblighi di protezione equivalenti e resta responsabile del loro operato:

• Stripe — pagamenti e gestione abbonamenti;
• Supabase — database e archiviazione dati (UE, Francoforte);
• Hostinger — hosting dell’applicazione e del backend (UE);
• Microsoft Teams, Google Meet, Zoom — riunioni/lezioni online, ove attivate;
• Fatture in Cloud — fatturazione, ove attivata.

Talveri informa l’Ente con congruo preavviso di eventuali modifiche (aggiunta o sostituzione di sub-responsabili), riconoscendo all’Ente il diritto di opporsi per motivi legittimi.

5. Trasferimenti extra-UE

Eventuali trasferimenti fuori dallo Spazio Economico Europeo (in particolare per Stripe e i provider delle riunioni online) avvengono solo in presenza di una decisione di adeguatezza o di adeguate garanzie ai sensi degli artt. 44 ss. GDPR (es. Clausole Contrattuali Standard).

6. Cessazione, restituzione e cancellazione

Alla cessazione del contratto l’Ente può esportare i dati dalle funzioni della piattaforma; decorso tale termine Talveri cancella o anonimizza i dati entro 90 giorni, salvo diverso obbligo di legge (es. dati contabili conservati per 10 anni ai sensi dell’art. 2220 c.c.).

7. Violazioni dei dati (data breach)

Talveri notifica all’Ente senza ingiustificato ritardo ogni violazione di dati personali di cui venga a conoscenza relativa ai dati trattati per suo conto, fornendo le informazioni utili agli adempimenti degli artt. 33-34 GDPR.

8. Responsabilità e legge applicabile

La responsabilità delle Parti è regolata dall’art. 82 GDPR e dal contratto di servizio. Il presente accordo è regolato dalla legge italiana; per ogni controversia è competente il foro di Milano, salvo diversa previsione inderogabile del contratto.