Accordo sul trattamento dei dati personali

Nomina a responsabile del trattamento — art. 28 Regolamento UE 2016/679

⚠️ Questo è il documento più importante del pacchetto. Senza, ogni fotografo che usa la piattaforma è in violazione insieme a te. Deve essere accettato in fase di registrazione, con data e ora conservate come prova.

Fra

[RAGIONE SOCIALE], con sede in [INDIRIZZO], P.IVA [NUMERO], nella persona del legale rappresentante pro tempore di seguito "Responsabile" o "StandUp Gallery"

e

Il titolare dell'account registrato sulla piattaforma, i cui dati identificativi risultano dal profilo utente di seguito "Titolare"

Premesse

a) Il Titolare esercita l'attività di fotografo e, nello svolgimento della stessa, tratta dati personali dei propri clienti e dei soggetti ritratti nelle fotografie.

b) Il Titolare intende avvalersi della piattaforma StandUp Gallery per archiviare, organizzare e consegnare tali fotografie ai propri clienti.

c) L'articolo 28 del GDPR impone che il trattamento da parte di un responsabile sia disciplinato da un contratto che vincoli il responsabile al titolare.

d) Le parti intendono con il presente atto adempiere a tale obbligo.

Art. 1 — Oggetto e durata

1.1 Il Titolare nomina StandUp Gallery responsabile del trattamento dei dati personali effettuato per suo conto attraverso la piattaforma.

1.2 La nomina decorre dalla creazione dell'account e si estingue con la cessazione del rapporto contrattuale.

1.3 Alla cessazione si applica quanto previsto all'art. 10.

Art. 2 — Natura e finalità del trattamento

2.1 StandUp Gallery tratta i dati esclusivamente per:

• archiviare le fotografie caricate dal Titolare
• generare anteprime ottimizzate e applicare la filigrana impostata
• rendere le gallerie accessibili ai destinatari indicati dal Titolare
• consentire il download secondo le impostazioni scelte dal Titolare
• raccogliere le selezioni dei preferiti espresse dai visitatori
• raccogliere i contatti, se il Titolare attiva la funzione
• produrre statistiche aggregate di visita
• conservare copie di sicurezza

2.2 Ogni altro trattamento è vietato salvo istruzione documentata del Titolare o obbligo di legge. In quest'ultimo caso StandUp Gallery ne informa il Titolare prima di procedere, salvo che la legge lo vieti.

Art. 3 — Categorie di dati e di interessati

3.1 Categorie di dati

• Immagini fotografiche raffiguranti persone identificabili
• Metadati tecnici delle immagini: data, ora, attrezzatura, parametri di scatto ed eventuali coordinate geografiche
• Dati di contatto dei visitatori, se il Titolare attiva la raccolta: nome, email, telefono
• Dati di navigazione in forma pseudonimizzata: indirizzo IP sottoposto ad hash, tipo di dispositivo

3.2 Categorie di interessati

• Clienti del Titolare
• Persone ritratte nelle fotografie
• Visitatori delle gallerie

3.3 Categorie particolari

La piattaforma non è destinata al trattamento delle categorie particolari di cui all'art. 9 GDPR.

Il Titolare si impegna a non caricare fotografie da cui emergano direttamente origine razziale o etnica, opinioni politiche, convinzioni religiose, appartenenza sindacale, dati genetici, dati biometrici destinati a identificare univocamente una persona, dati relativi alla salute, alla vita sessuale o all'orientamento sessuale.

Qualora il Titolare intenda trattare tali dati, deve informarne preventivamente StandUp Gallery e adottare in proprio le misure e le basi giuridiche richieste.

Art. 4 — Obblighi di StandUp Gallery

StandUp Gallery si impegna a:

a) trattare i dati soltanto su istruzione documentata del Titolare, comprese le istruzioni relative al trasferimento verso paesi terzi;

b) garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza o siano soggette a un adeguato obbligo legale di segretezza;

c) adottare le misure di sicurezza di cui all'art. 32 GDPR, descritte all'art. 6 del presente accordo;

d) rispettare le condizioni per il ricorso a sub-responsabili di cui all'art. 5;

e) assistere il Titolare, con misure tecniche e organizzative adeguate, nel dare seguito alle richieste degli interessati che esercitano i diritti di cui al Capo III del GDPR;

f) assistere il Titolare nel garantire il rispetto degli obblighi di cui agli artt. 32-36 GDPR, tenendo conto della natura del trattamento e delle informazioni a disposizione;

g) su scelta del Titolare, cancellare o restituire tutti i dati al termine del rapporto, secondo l'art. 10;

h) mettere a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi e consentire le verifiche di cui all'art. 9;

i) informare immediatamente il Titolare qualora ritenga che un'istruzione ricevuta violi il GDPR o altre disposizioni sulla protezione dei dati.

Art. 5 — Sub-responsabili

5.1 Il Titolare autorizza in via generale il ricorso ai sub-responsabili elencati nell'Allegato A.

5.2 StandUp Gallery informa il Titolare di ogni modifica riguardante l'aggiunta o la sostituzione di sub-responsabili con almeno 30 giorni di preavviso, tramite email all'indirizzo dell'account e avviso nell'area riservata.

5.3 Il Titolare può opporsi entro 15 giorni dalla comunicazione, con motivazione fondata su ragioni di protezione dei dati. In caso di opposizione, le parti ricercano in buona fede una soluzione; se non viene trovata entro 30 giorni, il Titolare può recedere dal contratto senza penali, con rimborso proporzionale di quanto già versato.

5.4 StandUp Gallery impone a ciascun sub-responsabile, mediante contratto, gli stessi obblighi previsti dal presente accordo, e risponde verso il Titolare del loro inadempimento.

Art. 6 — Misure di sicurezza

Ai sensi dell'art. 32 GDPR, StandUp Gallery adotta:

Misure tecniche

• Cifratura in transito mediante TLS su tutte le connessioni
• Password conservate con funzione di derivazione bcrypt a costo 12
• Autenticazione con sessioni firmate e scadenza automatica
• Controllo degli accessi basato sulla proprietà delle risorse
• Protezione contro CSRF, SQL injection tramite query parametrizzate, XSS
• Limitazione della frequenza delle richieste
• Backup quotidiani automatici, cifrati e conservati separatamente
• Pseudonimizzazione degli indirizzi IP mediante hash con salt a rotazione mensile
• Registro degli accessi amministrativi
• Aggiornamenti di sicurezza applicati con cadenza regolare

Misure organizzative

• Accesso ai dati limitato al personale autorizzato secondo il principio del minimo privilegio
• Impegno alla riservatezza sottoscritto dagli autorizzati
• Procedura documentata per la gestione delle violazioni
• Separazione fra ambiente di produzione e di sviluppo
• Verifica periodica delle misure adottate

Art. 7 — Violazioni dei dati personali

7.1 StandUp Gallery notifica al Titolare ogni violazione di dati personali senza ingiustificato ritardo e comunque entro 24 ore dalla conoscenza del fatto.

7.2 La notifica contiene, nella misura in cui l'informazione sia disponibile:

• descrizione della natura della violazione
• categorie e numero approssimativo di interessati e di registrazioni coinvolte
• probabili conseguenze
• misure adottate o proposte per porvi rimedio e attenuarne gli effetti
• recapito del punto di contatto

7.3 Il termine di 24 ore è più stringente delle 72 ore previste dall'art. 33 GDPR, per consentire al Titolare di adempiere tempestivamente ai propri obblighi verso l'autorità di controllo.

7.4 StandUp Gallery presta al Titolare ogni assistenza necessaria per la notifica all'autorità e l'eventuale comunicazione agli interessati.

Art. 8 — Diritti degli interessati

8.1 Qualora un interessato si rivolga direttamente a StandUp Gallery per esercitare i propri diritti, StandUp Gallery non dà seguito autonomamente ma trasmette la richiesta al Titolare entro 5 giorni lavorativi.

8.2 StandUp Gallery mette a disposizione del Titolare gli strumenti per dare seguito alle richieste: esportazione dei dati in formato strutturato, cancellazione, rettifica, limitazione.

Art. 9 — Verifiche

9.1 Il Titolare può verificare il rispetto del presente accordo con preavviso scritto di almeno 30 giorni e non più di una volta l'anno, salvo che una violazione o una richiesta dell'autorità di controllo rendano necessaria una verifica ulteriore.

9.2 Le verifiche si svolgono in orario lavorativo, senza interferire con l'operatività, e chi vi partecipa è tenuto alla riservatezza.

9.3 I costi sono a carico del Titolare, salvo che la verifica accerti un inadempimento sostanziale.

Art. 10 — Cessazione

10.1 Alla cessazione del rapporto il Titolare può, entro 30 giorni, richiedere l'esportazione integrale dei dati in formato strutturato.

10.2 Decorso tale termine, StandUp Gallery cancella tutti i dati, comprese le copie, entro ulteriori 30 giorni.

10.3 Fanno eccezione i dati la cui conservazione sia imposta dalla legge, che restano conservati per il tempo prescritto e trattati esclusivamente a tale fine.

10.4 Su richiesta scritta, StandUp Gallery attesta l'avvenuta cancellazione.

Art. 11 — Obblighi del Titolare

Il Titolare dichiara e garantisce di:

a) aver individuato una base giuridica valida per il trattamento dei dati che carica sulla piattaforma;

b) aver reso agli interessati un'informativa conforme agli artt. 13 e 14 GDPR;

c) aver raccolto, ove necessario, il consenso degli interessati o di chi esercita la responsabilità genitoriale per i minori, anche per la pubblicazione delle immagini;

d) rispettare il diritto all'immagine di cui agli artt. 96 e 97 della Legge 633/1941 sul diritto d'autore;

e) non caricare contenuti illeciti, lesivi di diritti altrui o rientranti nelle categorie particolari senza le tutele richieste;

f) impartire istruzioni conformi alla normativa;

g) manlevare StandUp Gallery da pretese di terzi derivanti dall'inadempimento dei presenti obblighi.

Art. 12 — Responsabilità

12.1 Ciascuna parte risponde secondo l'art. 82 GDPR.

12.2 StandUp Gallery risponde soltanto per l'inadempimento degli obblighi specificamente posti a carico del responsabile, o per aver agito in difformità o contrariamente alle istruzioni legittime del Titolare.

Art. 13 — Legge applicabile e foro

13.1 Il presente accordo è regolato dalla legge italiana.

13.2 Per ogni controversia è competente in via esclusiva il Foro di [CITTÀ], salve le competenze inderogabili di legge.

Art. 14 — Modifiche

14.1 Le modifiche sono comunicate con almeno 30 giorni di preavviso via email e avviso nell'area riservata.

14.2 In assenza di opposizione scritta entro il termine, le modifiche si intendono accettate.

14.3 In caso di opposizione, il Titolare può recedere senza penali con rimborso proporzionale.

ALLEGATO A — Sub-responsabili autorizzati

*Elenco aggiornato al [DATA]. La versione vigente è sempre consultabile all'indirizzo [URL].*

ALLEGATO B — Contatti

Per StandUp Gallery Email: [EMAIL PRIVACY] PEC: [PEC]

Per il Titolare I recapiti indicati nel profilo utente.

Accettazione

Il presente accordo si intende accettato mediante spunta della casella dedicata in fase di registrazione. StandUp Gallery conserva data, ora e indirizzo IP dell'accettazione, nonché la versione del testo accettato, come prova ai sensi dell'art. 7 GDPR.

Versione del documento: 1.0 — [DATA]