Contratto di responsabile del trattamento

01 Parti

TITOLARE DEL TRATTAMENTO: l’attività che attiva un account in Kommyt e che decide quali dati raccoglie dalle persone che gestisce e per quali finalità. Viene identificata con i dati forniti in fase di attivazione.

RESPONSABILE DEL TRATTAMENTO: Luis Coronado, NIF 79273745-J, con domicilio in Castellar del Vallès (Barcelona), España, che sviluppa e presta il servizio Kommyt con il nome commerciale Ads&Nexus.

Contatto del Responsabile in materia di protezione dei dati: info@adsandnexus.com.

Il Responsabile è una persona fisica. Non ha designato un responsabile della protezione dei dati (DPO) in quanto non ricorre nessuna delle ipotesi dell’articolo 37 del RGPD; se in futuro ricorresse, sarà comunicato al Titolare.

02 Oggetto

Il presente contratto disciplina il trattamento di dati personali che il Responsabile effettua PER CONTO del Titolare in conseguenza della prestazione del servizio Kommyt, ai sensi dell’articolo 28.3 del RGPD.

Non disciplina i dati di cui il Responsabile è titolare in proprio (i dati di contatto e di fatturazione del cliente stesso di Kommyt), che sono regolati dall’informativa sulla privacy.

Si perfeziona con l’accettazione espressa del Titolare nel modulo di attivazione. Tale accettazione viene registrata con la data, la versione del testo e un’impronta crittografica del contenuto esatto accettato, in modo che entrambe le parti possano dimostrare in seguito che cosa è stato sottoscritto.

03 Gratuità

Il presente contratto si applica negli stessi termini sia che il servizio sia prestato a fronte di un prezzo sia che sia prestato gratuitamente, in prova, dimostrazioni o versioni preliminari.

L’assenza di corrispettivo non riduce alcuno degli obblighi del Responsabile, perché il RGPD non li subordina al pagamento.

04 Natura, finalità e durata del trattamento

NATURA: raccolta, registrazione, strutturazione, conservazione, consultazione, modifica, estrazione, comunicazione mediante trasmissione e cancellazione di dati personali, mediante sistemi informatici.

FINALITÀ: esclusivamente fornire al Titolare le funzioni del CRM che questi ha sottoscritto e configurato: gestione delle persone che assiste, appuntamenti e prenotazioni, incassi e consumi, inventario, personale, documenti e le altre incluse nel suo piano e nel suo settore.

DURATA: per tutto il tempo in cui il Titolare mantiene un account attivo. Terminato il servizio, restano in vigore gli obblighi delle clausole 9 (riservatezza) e 17 (restituzione o cancellazione).

05 Categorie di dati personali

Il dettaglio è nell’Allegato I. In sintesi, il Titolare può inserire dati identificativi (nome e cognomi, numero del documento d’identità, data di nascita, indirizzo postale, telefono, e-mail), immagini (fotografia della persona e copie del documento d’identità fronte e retro), dati economici (consumi, quote, incassi, saldi del portafoglio prepagato), dati di attività (accessi al locale, partecipazione a corsi o eventi, appuntamenti) e dati lavorativi del proprio personale (orari di lavoro, timbrature, contratti, retribuzioni).

CATEGORIE PARTICOLARI (articolo 9 del RGPD): il servizio AMMETTE dati relativi alla salute quando il Titolare esercita un’attività sanitaria o di benessere. In particolare, lo storico dei servizi prestati a una persona può contenere annotazioni cliniche o estetiche — incluse le allergie — e la fatturazione a mutue o assicurazioni. Allo stesso modo, i fascicoli di uno studio professionale possono riflettere dati relativi a procedimenti giudiziari ai sensi dell’articolo 10 del RGPD.

Il trattamento di tali categorie da parte del Responsabile si fonda sull’articolo 9.3 del RGPD, in quanto viene effettuato sotto la responsabilità di un professionista soggetto al segreto o di chi sia tenuto a un dovere di riservatezza equivalente, e si sottopone alle misure rafforzate della clausola 10.

Il Responsabile non richiede, non consulta e non utilizza tali dati per alcuna finalità propria.

06 Categorie di interessati

Le persone che il Titolare gestisce tramite il servizio, con il nome che ricevono nel rispettivo settore: soci, clienti, pazienti, allievi o utenti.

Il personale del Titolare i cui dati questi inserisca nel servizio per gestire turni, timbrature, commissioni o buste paga.

Terzi collegati alla sua attività i cui dati il Titolare decida di registrare, come persone di contatto di fornitori o di assicurazioni.

07 Istruzioni documentate

Il Responsabile tratta i dati unicamente seguendo istruzioni documentate del Titolare, incluse quelle relative ai trasferimenti internazionali.

Hanno valore di istruzioni documentate: (a) il presente contratto; (b) la configurazione che il Titolare effettua nel servizio, inclusa l’attivazione di integrazioni facoltative; e (c) gli ordini che impartisca per iscritto all’indirizzo e-mail di contatto del Responsabile da un account con profilo di titolare o amministratore.

Il silenzio del Titolare non equivale a istruzione. Di fronte a una richiesta estranea al presente contratto, il Responsabile si asterrà fino a ricevere istruzioni scritte.

Se il Responsabile ritenesse che un’istruzione viola il RGPD o la normativa spagnola in materia di protezione dei dati, lo comunicherà al Titolare senza indugio e potrà sospenderne l’esecuzione fino alla sua conferma o rettifica.

Se il Responsabile dovesse trattare i dati per adempiere a un obbligo di legge, ne informerà preventivamente il Titolare, salvo che la stessa norma lo vieti per motivi di interesse pubblico.

08 Obblighi del Titolare

Determinare le finalità e i mezzi del trattamento, e disporre di una base giuridica valida per i dati che inserisce.

Informare gli interessati ai sensi degli articoli 13 e 14 del RGPD, compresa l’esistenza del presente incarico. Il Responsabile non ha alcun rapporto con tali persone e non può informarle in sua vece.

Effettuare, ove necessario, la valutazione d’impatto e le consultazioni preventive; il Responsabile lo assisterà ai sensi della clausola 15.

Inserire unicamente i dati necessari alla propria attività e mantenerli esatti e aggiornati.

Custodire le proprie credenziali e quelle del proprio personale, e revocare gli accessi a chi non ne abbia più bisogno.

Decidere se attivare le integrazioni facoltative dell’Allegato II, sapendo che alcune comportano trasferimenti internazionali.

09 Riservatezza

Il Responsabile manterrà il segreto professionale sui dati a cui accede, obbligo che sussiste a tempo indeterminato anche dopo la cessazione del contratto.

Il Responsabile garantisce che ogni persona che agisca sotto la sua autorità e acceda ai dati si sia impegnata per iscritto a rispettare la riservatezza prima di ottenere l’accesso, e abbia ricevuto informazione sui propri obblighi in materia di protezione dei dati.

Il Responsabile tiene un elenco aggiornato delle persone con accesso, che metterà a disposizione del Titolare se questi lo richiede.

Alla data di questa versione, il Responsabile non ha personale a suo carico: l’unico accesso amministrativo è quello del titolare stesso.

10 Misure di sicurezza e limitazioni dichiarate

Il Responsabile applica le misure tecniche e organizzative dell’articolo 32 del RGPD dettagliate nell’Allegato III, tra cui l’isolamento tra attività a livello di base di dati, la cifratura in transito, il controllo degli accessi tramite permessi, il registro di audit delle modifiche e il limite ai tentativi di accesso.

RAFFORZAMENTO PER LE CATEGORIE PARTICOLARI: i file che possono contenere dati sanitari o copie di documenti d’identità sono conservati fuori dalla base di dati, in un deposito privato, e vengono forniti solo tramite l’applicazione, previa verifica della sessione e del permesso. Non si generano mai link pubblici né indirizzi firmati di accesso diretto.

LIMITAZIONI NOTE. Il Responsabile informa espressamente, affinché il Titolare possa valutare il rischio prima di accettare, che alla data di questa versione: (a) il limite ai tentativi di accesso opera per istanza e in memoria, per cui, se il servizio girasse su più istanze, il limite sarebbe per istanza e non globale; e (b) il registro di audit è isolato tra attività dalla stessa base di dati, ma non è immutabile al suo interno: che vengano solo aggiunte registrazioni e non modificate né cancellate lo sostiene l’applicazione, perché nessun percorso del programma le altera. È una proprietà reale e verificabile, ma appartiene all’applicazione e non alla base di dati.

Due limitazioni che le versioni precedenti di questo contratto dichiaravano non esistono più, e il Responsabile lo dice qui invece di cancellarle in silenzio: la cifratura a riposo a livello applicativo è applicata (dall’8 settembre 2026, ai numeri di documento d’identità, ai dati bancari e alle copie del documento), e la purga dei dati cancellati non avviene più su richiesta ma in modo automatico e giornaliero (dal 18 settembre 2026).

COPIE DI SICUREZZA E RIPRISTINO. Il Responsabile effettua copie automatiche giornaliere della totalità delle basi di dati del servizio. Ogni copia viene CIFRATA con AES-256 prima di uscire dal server e depositata in un’archiviazione diversa da quella che ospita la base, in modo che la perdita del server o del fornitore di hosting non trascini con sé anche le copie. Si conservano quelle degli ultimi 30 giorni e quelle precedenti vengono eliminate automaticamente, sia sul server sia nel deposito esterno. Il fornitore di hosting della base mantiene inoltre il ripristino a un istante precedente entro la sua finestra di conservazione.

VERIFICA CHE LE COPIE FUNZIONINO. Una volta al mese viene eseguita una simulazione completa — scaricamento, decifratura e ripristino in un sistema isolato, con conteggio dei record — perché una copia che non si ripristina mai non è dimostrata. Inoltre, un processo giornaliero verifica che esista una copia recente di ciascuna base e avvisa se smette di esistere. L’esportazione integrata copre la totalità dei dati del Titolare, ricavandosi dallo stesso schema, in modo che nessuna tabella resti esclusa.

EFFETTO DELLE COPIE SULLA CANCELLAZIONE. Quando i dati vengono cancellati, cessano immediatamente di essere trattati dal servizio, ma possono sussistere in qualche copia di sicurezza fino alla sua scadenza, al massimo 30 giorni dopo. In quell’intervallo le copie non vengono utilizzate per alcuna finalità diversa dal ripristino del servizio.

La presente dichiarazione è informativa, non un’esenzione: il Responsabile resta obbligato dall’articolo 32 del RGPD e risponde del suo inadempimento.

Riguardo alle due limitazioni che restano, il Responsabile si impegna come segue, e lo fa con una condizione anziché con una data perché sono di natura diversa. La (a) sarà corretta PRIMA che il servizio inizi a funzionare su più di un’istanza, che è il momento in cui smette di essere teorica; impegnare una data per qualcosa che oggi non produce effetti inviterebbe a rinviarla al giorno del cambiamento, che è esattamente quando non deve essere fatto. La (b) NON è una correzione in sospeso ma una decisione di progettazione presa consapevolmente: l’immutabilità nella base richiederebbe di rinunciare alla purga automatica che rispetta i termini pubblicati nell’informativa sulla privacy, e tra le due protezioni si è scelta quella che ha effetto ogni giorno. Il Responsabile informerà il Titolare se tale decisione cambia.

Le versioni 1.1 e 1.2 di questo contratto si erano impegnate a correggere il pendente entro il 31 dicembre 2026. Tre delle quattro limitazioni sono state corrette prima di tale termine, e la presente versione lo attesta sopra. La promessa viene riscritta così perché delle due che restano una non sarà corretta, e mantenere una data che si sa non sarà rispettata è peggio che non darla.

Il Responsabile riesaminerà periodicamente l’efficacia di queste misure e potrà sostituirle con altre equivalenti o superiori, comunicandolo al Titolare con trenta giorni di anticipo se la sostituzione riduce il livello di protezione.

11 Sub-responsabili

Il Titolare autorizza in modo generale il Responsabile a ricorrere ai sub-responsabili indicati nell’Allegato II.

Il Responsabile comunicherà al Titolare qualsiasi inserimento o sostituzione di un sub-responsabile con almeno quindici giorni di calendario di anticipo. Entro tale termine il Titolare potrà opporsi per iscritto e in modo motivato; in tal caso il Responsabile non incaricherà quel sub-responsabile per i dati del Titolare o, se ciò impedisse di prestare il servizio, ciascuna parte potrà risolvere il contratto senza penali, applicandosi la clausola 17.

Il Responsabile imporrà a ogni sub-responsabile, mediante contratto, gli stessi obblighi di protezione dei dati che assume nel presente documento, e verificherà che offra garanzie sufficienti prima di incaricarlo.

Il Responsabile risponde pienamente nei confronti del Titolare dell’inadempimento dei propri sub-responsabili.

Diverse integrazioni dell’Allegato II sono DISATTIVATE per impostazione predefinita e si attivano solo se il Titolare le configura. Finché non lo fa, nessun dato esce verso di esse.

12 Trasferimenti internazionali

Alcuni sub-responsabili dell’Allegato II hanno sede al di fuori dello Spazio economico europeo, in particolare i fornitori di intelligenza artificiale e il fornitore di posta elettronica, con sede negli Stati Uniti.

Il Responsabile non effettuerà trasferimenti al di fuori dello Spazio economico europeo senza che ciascuno sia coperto da un meccanismo valido del capo V del RGPD: decisione di adeguatezza, clausole contrattuali tipo o qualsiasi altra garanzia adeguata. Il Responsabile assume questo obbligo e non lo trasferisce al Titolare.

L’assistente di intelligenza artificiale funziona con una chiave propria del Titolare: è questi a stipulare direttamente con il fornitore prescelto e ad accettarne le condizioni. La chiave viene conservata solo nel browser di chi la inserisce e non viene salvata nei sistemi del Responsabile. Ciononostante, la trasmissione avviene attraverso il servizio, per cui il Responsabile la include qui e applica la salvaguardia descritta nel paragrafo seguente.

Prima di inviare qualsiasi cosa a un fornitore di intelligenza artificiale, il servizio elimina dal testo i numeri di documento d’identità, gli indirizzi postali, i telefoni e le e-mail personali, le date di nascita e i dati bancari. Si trasmettono solo i dati operativi necessari per rispondere.

Con i dati sanitari la salvaguardia è diversa, e il Responsabile lo dichiara con chiarezza perché la versione precedente di questo contratto prometteva di eliminarli e ciò non è possibile: non esiste un modo affidabile per riconoscere automaticamente una patologia scritta in testo libero. Ciò che c’è, e su cui si fonda la protezione, è che gli strumenti dell’assistente non raggiungono quel dato: possono solo chiedere il nome, il numero e il saldo di una persona, il nome e il prezzo di un prodotto, un quadro di cifre dell’attività e la preparazione di un addebito — mai i campi delle note, dove quell’informazione potrebbe essere scritta. Inoltre, la schermata dell’assistente avverte che non devono essere scritti dati sanitari.

Il Titolare può decidere di non attivare questa funzione; se non la attiva, per questo motivo non si verifica alcun trasferimento internazionale.

I dati del servizio — base di dati e server applicativi — sono ospitati interamente nello Spazio economico europeo: Neon, Inc. a Francoforte (Germania) e Hetzner Online GmbH a Norimberga (Germania). Per questi due NON si verifica alcun trasferimento internazionale. Intervengono inoltre due fornitori statunitensi per funzioni accessorie: Cloudflare, Inc. e Resend (invio di posta transazionale). Con entrambi si applicano le clausole contrattuali tipo approvate dalla Commissione europea, incorporate nelle loro condizioni di trattamento dei dati. Il Titolare può richiederne copia scrivendo a info@adsandnexus.com. Riguardo a Cloudflare occorre precisare che cosa fa e che cosa non fa, perché la versione precedente di questo contratto la descriveva come rete di distribuzione e protezione del traffico, il che non è esatto: fornisce il deposito di file dell’Allegato II e ospita la zona dei nomi di dominio, ma il traffico del servizio NON passa dalla sua rete — arriva direttamente al server applicativo. I file che conserva sono dati del Titolare, incluse le copie del documento d’identità, e per questo figura nell’Allegato II con tale funzione e non con un’altra.

13 Assistenza nell’esercizio dei diritti degli interessati

Spetta al Titolare rispondere alle richieste di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione degli interessati. Il Responsabile non risponderà direttamente a tali persone.

Se un interessato si rivolgesse al Responsabile, questi lo indirizzerà al Titolare e lo comunicherà a quest’ultimo senza indugio e in ogni caso entro ventiquattro ore, con i dati necessari per assisterlo.

Il Responsabile assisterà il Titolare con misure tecniche e organizzative adeguate e gli fornirà ciò di cui abbia bisogno entro un termine massimo di cinque giorni lavorativi dalla richiesta scritta, in modo che il Titolare possa rispettare il termine di un mese dell’articolo 12.3 del RGPD.

Il servizio include funzioni di consultazione, rettifica, esportazione e cancellazione che consentono al Titolare di rispondere autonomamente alla maggior parte delle richieste.

14 Violazioni della sicurezza

Il Responsabile notificherà al Titolare qualsiasi violazione della sicurezza dei dati senza indebito ritardo e, in ogni caso, entro le ventiquattro ore successive a esserne venuto a conoscenza. Il termine è fissato in ventiquattro ore proprio perché al Titolare resti margine entro le settantadue ore che l’articolo 33 del RGPD gli concede nei confronti dell’autorità di controllo.

La notifica sarà inviata all’indirizzo e-mail di contatto che il Titolare ha indicato in fase di attivazione e descriverà la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni coinvolti, le probabili conseguenze e le misure adottate o proposte.

Se non fosse possibile fornire tutte queste informazioni insieme, saranno inviate in modo scaglionato senza ulteriore indugio.

Il Responsabile documenterà ogni violazione e presterà al Titolare la collaborazione necessaria per notificarla all’autorità di controllo e, se del caso, agli interessati.

La notifica all’Agenzia spagnola per la protezione dei dati e agli interessati spetta al Titolare, salvo istruzione scritta contraria.

15 Assistenza nelle valutazioni d’impatto

Il Responsabile assisterà il Titolare nell’esecuzione delle valutazioni d’impatto sulla protezione dei dati e nelle consultazioni preventive con l’autorità di controllo, ove previste dagli articoli 35 e 36 del RGPD.

A tal fine gli fornirà le informazioni sul trattamento in suo possesso entro un termine massimo di dieci giorni lavorativi dalla richiesta scritta.

Il Responsabile avverte che il trattamento di dati sanitari su larga scala e il monitoraggio sistematico della presenza fisica possono richiedere una valutazione d’impatto: la valutazione spetta al Titolare.

16 Audit e informazioni

Il Responsabile metterà a disposizione del Titolare tutte le informazioni necessarie a dimostrare il rispetto degli obblighi dell’articolo 28 del RGPD, entro un termine massimo di dieci giorni lavorativi dalla richiesta scritta.

Il Responsabile consentirà e contribuirà ad audit, comprese ispezioni, effettuati dal Titolare o da un revisore da questi incaricato. Saranno coordinati con un ragionevole preavviso, in orario di lavoro, senza compromettere la sicurezza né la riservatezza di altri clienti, e al massimo una volta all’anno, salvo violazione della sicurezza o richiesta dell’autorità di controllo.

Il costo dell’audit è a carico di chi lo richiede, salvo che riveli un inadempimento del Responsabile, nel qual caso lo sosterrà quest’ultimo.

Il Responsabile darà senza indugio seguito alle richieste dell’autorità di controllo competente.

17 Restituzione o cancellazione al termine

Terminata la prestazione del servizio, il Responsabile, A SCELTA DEL TITOLARE, restituirà i dati o li cancellerà, insieme alle copie esistenti, salvo che il diritto dell’Unione o quello spagnolo ne esiga la conservazione.

Il Titolare comunicherà la propria scelta per iscritto. In caso di silenzio, il Responsabile lo sollecitherà di nuovo e, in mancanza di risposta, procederà alla RESTITUZIONE e non alla cancellazione: distruggere dati per il silenzio dell’altra parte potrebbe causare un danno irreversibile al Titolare e agli interessati.

La restituzione sarà effettuata entro un termine massimo di trenta giorni di calendario dalla cessazione, in formato strutturato e di uso comune. Comprende la totalità dei dati del Titolare, inclusi quelli che le funzioni di esportazione integrate non coprono ancora, che il Responsabile estrarrà per quella consegna.

La cancellazione, qualora sia l’opzione scelta, riguarderà anche i dati cancellati in modo logico e i file conservati nel deposito di oggetti, e sarà attestata mediante certificazione scritta.

Durante il processo, il Responsabile conserverà i dati bloccati, senza trattarli per alcuna altra finalità.

UNICA ECCEZIONE ALLA REGOLA DEL SILENZIO: LA PROVA GRATUITA. Il servizio si avvia con un periodo di prova gratuito di 1 mese. Se il Titolare non lo converte in un abbonamento a pagamento prima che la prova termini, con la firma del presente contratto istruisce fin da ora la CANCELLAZIONE dei dati, e non la loro restituzione. Questa istruzione anticipata è la scelta che il primo paragrafo riserva al Titolare, esercitata in anticipo e solo per questo caso; non si applica a nessun’altra forma di cessazione.

La cancellazione non è immediata né silenziosa. Tra la fine della prova e la cancellazione intercorrono 15 giorni di calendario, e il Responsabile avvisa il Titolare via e-mail, all’indirizzo del titolare dell’account, in tre momenti: 7 giorni prima della fine della prova; il giorno stesso in cui termina, indicando la data esatta della cancellazione; e una volta eseguita, per attestarla.

Durante questi 15 giorni il Titolare conserva tre vie d’uscita, e ciascuna di esse blocca la cancellazione: convertire l’account in un abbonamento a pagamento, esportare i propri dati con le funzioni integrate, o chiedere per iscritto la restituzione conformemente al terzo paragrafo. La richiesta di restituzione PREVALE sulla cancellazione: se viene presentata entro i termini, non si cancella nulla finché non sia stata consegnata.

Terminata la prova, l’accesso al servizio resta sospeso mentre decorre il termine di tolleranza. La sospensione non equivale alla cancellazione: i dati continuano a esistere, bloccati e senza essere trattati per alcun’altra finalità, e tornano disponibili non appena il Titolare converta l’account.

18 Responsabilità

Ciascuna parte risponde dei danni che cagiona per l’inadempimento dei propri obblighi ai sensi dell’articolo 82 del RGPD.

Nessuna clausola del presente contratto limita né esclude la responsabilità del Responsabile nei confronti degli interessati né delle autorità di controllo, che è imperativa e non può essere pattuita al ribasso.

Il Responsabile non risponde dei danni derivanti da istruzioni del Titolare che violino la normativa, sempre che lo avesse avvisato ai sensi della clausola 7, né della mancanza di base giuridica o di informazione agli interessati, che spettano al Titolare.

Il Responsabile risponde dei danni causati dal trattamento quando non abbia adempiuto gli obblighi del RGPD rivolti specificamente ai responsabili o abbia agito al di fuori delle istruzioni lecite del Titolare.

19 Modifica del contratto

Il Responsabile potrà modificare il presente contratto per adattarlo a cambiamenti normativi, a decisioni dell’autorità di controllo o a modifiche del servizio.

Le modifiche saranno comunicate al Titolare con trenta giorni di calendario di anticipo. Se il Titolare non le accetta, potrà risolvere il contratto entro tale termine, applicandosi la clausola 17.

Ogni versione conserva il proprio numero e la propria impronta crittografica, in modo da poter sempre determinare quale testo fosse in vigore e quale sia stato accettato in ogni momento.

20 Legge applicabile e foro

Il presente contratto è regolato dal Regolamento (UE) 2016/679, dalla Legge organica 3/2018 sulla protezione dei dati personali e garanzia dei diritti digitali, e dalla restante legislazione spagnola applicabile.

Per qualsiasi controversia, le parti si sottopongono ai giudici e tribunali di Barcellona. Se il Titolare avesse la condizione di consumatore, sarà competente il foro che gli spetta per legge.

21 Allegato I. Dati e interessati

IDENTIFICATIVI: nome e cognomi, numero di socio o di cliente, numero del documento d’identità, data di nascita, indirizzo postale, telefono e e-mail.

IMMAGINI: fotografia della persona e copie del documento d’identità fronte e retro.

ECONOMICI: consumi, quote, incassi, rimborsi, saldi del portafoglio prepagato e preventivi.

DI ATTIVITÀ: ingressi e uscite dal locale, capienza, partecipazione a corsi, eventi e tornei, appuntamenti e prenotazioni.

LAVORATIVI, del personale del Titolare: contratto, orario, turni, timbrature, commissioni e voci della busta paga.

DI CATEGORIA PARTICOLARE, quando l’attività del Titolare lo comporti: annotazioni dello storico dei servizi che possano riflettere lo stato di salute o le allergie, e dati di fatturazione a mutue o assicurazioni.

RELATIVI A INFRAZIONI O PROCEDIMENTI, quando il Titolare sia uno studio professionale: oggetto del fascicolo, organo giudiziario e numero di fascicolo (autos).

TECNICI E DI TRACCIABILITÀ: indirizzo IP, identificativo del browser, data e ora di ogni accesso e registro di audit delle modifiche.

INTERESSATI: le persone gestite dal Titolare — soci, clienti, pazienti, allievi o utenti —, il suo personale e le persone di contatto dei suoi fornitori e assicuratori.

22 Allegato II. Sub-responsabili

HOSTING DELLA BASE DI DATI — PostgreSQL gestito da Neon, Inc. Conserva la totalità dei dati del servizio. Ubicazione: regione AWS Europe Central 1 (Francoforte, Germania), all’interno dello Spazio economico europeo. Stato: sempre attivo.

SERVER APPLICATIVO — Hetzner Online GmbH. Esegue il programma ed elabora le richieste; i dati restano nella base di dati e nel deposito di file. Ubicazione: Norimberga (Germania), all’interno dello Spazio economico europeo. Stato: sempre attivo.

DEPOSITO DI FILE — archiviazione di oggetti compatibile con S3, su Cloudflare R2. Conserva fotografie e documenti, incluse le copie del documento d’identità, e anche le copie di sicurezza cifrate della base. Ubicazione: regione europea. Stato: ATTIVO. Le versioni precedenti di questo contratto lo dichiaravano previsto e disattivato per impostazione predefinita, il che ha smesso di essere vero una volta configurato; qui si corregge perché da dove vivono le copie del documento d’identità dipende buona parte di ciò che il Titolare deve valutare.

POSTA ELETTRONICA — Resend, Stati Uniti. Invia comunicazioni alle persone gestite: destinatario, oggetto e contenuto del messaggio. Stato: DISATTIVATO per impostazione predefinita; si attiva solo se viene configurata la chiave del servizio.

INTELLIGENZA ARTIFICIALE — Anthropic, OpenAI, Google e Groq, Stati Uniti. Ricevono le richieste dell’assistente e i dati operativi necessari a rispondere, con la cancellazione preventiva descritta nella clausola 12. Funzionano con una chiave propria del Titolare, conservata solo nel suo browser. Stato: DISATTIVATO per impostazione predefinita; si attiva solo se il Titolare inserisce una chiave.

Il sistema di identificazione e sessioni viene eseguito all’interno dell’infrastruttura stessa del servizio e non invia dati a nessun terzo. Non si utilizzano strumenti di analisi, pubblicità né telemetria di terzi.

23 Allegato III. Misure di sicurezza

ISOLAMENTO TRA ATTIVITÀ: sicurezza a livello di riga nella base di dati, in modo che ogni query sia circoscritta all’attività della sessione. Nessun cliente può leggere né modificare i dati di un altro.

CONTROLLO DEGLI ACCESSI: identificazione con nome utente e password, e autorizzazione per ruoli e permessi per modulo. Le password sono conservate con una funzione di derivazione della chiave con sale (scrypt), mai in chiaro.

SESSIONI: cookie non accessibili dal browser, con scadenza a sette giorni. La sessione si prolunga con l’uso, al massimo una volta ogni quindici minuti. La revoca può impiegare fino a cinque minuti per propagarsi, a causa dell’uso della cache di sessione.

CIFRATURA IN TRANSITO: HTTPS obbligatorio, con politica di trasporto rigorosa di due anni e sottodomini inclusi.

INTESTAZIONI DI SICUREZZA: politica dei contenuti restrittiva, divieto di incorporamento in frame, blocco dell’individuazione del tipo di contenuto e politica dei permessi limitata.

PROTEZIONE CONTRO GLI ATTACCHI DI FORZA BRUTA: dodici tentativi di accesso ogni cinque minuti per indirizzo, e limiti aggiuntivi sulle altre rotte di autenticazione.

TRACCIABILITÀ: registro di audit con autore, azione, entità interessata, data, indirizzo IP e valori precedente e successivo.

FILE: deposito privato, senza link pubblici né indirizzi firmati; i byte vengono sempre forniti tramite l’applicazione, previa verifica della sessione e del permesso.

SEGRETI: le credenziali dei servizi vengono lette da variabili d’ambiente e non compaiono nel codice.

Le carenze note del presente allegato sono dichiarate nella clausola 10 e non devono intendersi colmate dall’elenco precedente.