Accordo sul trattamento dei dati personali per Clean Studio Control

1. Oggetto, durata e ruoli

Il Titolare determina finalità e mezzi essenziali del trattamento dei dati dei propri clienti, referenti e destinatari. Il Responsabile tratta tali dati per conto del Titolare esclusivamente per fornire, proteggere, mantenere e assistere il servizio Control.

Il trattamento inizia con l'accettazione del presente accordo e prosegue per la durata dell'accesso a Control, incluse le attività necessarie alla restituzione o cancellazione dei dati al termine del servizio.

2. Natura, finalità e istruzioni documentate

Le operazioni possono comprendere raccolta, registrazione, organizzazione, conservazione, consultazione, modifica, estrazione, trasmissione tecnica, messa a disposizione, cancellazione e distruzione dei dati, nella misura necessaria al funzionamento di Control.

Le funzionalità utilizzate dal Titolare, le configurazioni dell'account e le richieste inviate tramite i canali di assistenza costituiscono istruzioni documentate. Il Responsabile non utilizza i dati per finalità proprie incompatibili e informa il Titolare se ritiene che un'istruzione violi la normativa applicabile, salvo divieti di legge.

3. Interessati e categorie di dati

Gli interessati possono comprendere clienti, potenziali clienti, referenti, destinatari, fornitori e altre persone i cui dati vengono inseriti dal Titolare nel proprio workspace.

• dati identificativi e di contatto, come nome, email e telefono;
• indirizzi e informazioni necessarie alla consegna;
• informazioni relative a ordini, prodotti, richieste, pagamenti registrati manualmente, spedizioni e resi;
• note operative inserite dal Titolare e identificativi tecnici necessari al servizio.
• Control non è destinato a categorie particolari di dati ai sensi dell'articolo 9 GDPR, dati giudiziari, credenziali, documenti di identità o dati completi di carte di pagamento. Il Titolare si impegna a non inserirli.

4. Obblighi del Titolare

• trattare i dati su un'idonea base giuridica e fornire agli interessati le informazioni richieste dalla legge;
• raccogliere soltanto dati adeguati, pertinenti e necessari, mantenerli corretti e definire tempi di conservazione appropriati;
• usare Control nel rispetto della normativa e non impartire istruzioni illecite;
• proteggere credenziali e dispositivi, gestire correttamente gli accessi e informare tempestivamente Clean Studio di sospetti incidenti;
• gestire le richieste degli interessati e indicare al Responsabile le operazioni necessarie quando serve la sua assistenza.

5. Obblighi del Responsabile

• trattare i dati soltanto su istruzione documentata del Titolare o quando richiesto dalla legge;
• vincolare alla riservatezza le persone autorizzate al trattamento e limitare gli accessi a quanto necessario;
• adottare misure tecniche e organizzative adeguate al rischio e mantenere la separazione logica dei workspace;
• assistere ragionevolmente il Titolare nell'esercizio dei diritti degli interessati, nella gestione degli incidenti e negli altri obblighi previsti dagli articoli 32–36 GDPR;
• mettere a disposizione le informazioni necessarie a dimostrare il rispetto del presente accordo.

6. Sicurezza e violazioni dei dati

Le principali misure di sicurezza sono descritte nell'Allegato B. Il Responsabile può aggiornarle mantenendo un livello di protezione complessivamente non inferiore.

Il Responsabile informa il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione dei dati personali relativa al workspace Control e fornisce le informazioni ragionevolmente disponibili per consentire al Titolare di adempiere ai propri obblighi.

7. Sub-responsabili

Il Titolare autorizza in via generale il ricorso ai sub-responsabili indicati nell'Allegato A. Il Responsabile impone loro obblighi di protezione sostanzialmente equivalenti per le attività affidate.

Le modifiche sostanziali all'elenco dei sub-responsabili vengono comunicate tramite email, area riservata o aggiornamento chiaramente segnalato. Il Titolare può presentare un'obiezione motivata prima dell'avvio del nuovo trattamento; le parti collaborano in buona fede per individuare una soluzione ragionevole.

8. Trasferimenti internazionali

Quando un fornitore comporta un trasferimento di dati al di fuori dello Spazio economico europeo, il Responsabile si avvale dei meccanismi previsti dagli articoli 44 e seguenti GDPR, incluse decisioni di adeguatezza o clausole contrattuali standard, secondo le condizioni applicabili del fornitore.

9. Richieste degli interessati

Se il Responsabile riceve direttamente una richiesta riguardante dati presenti nel workspace, la inoltra al Titolare senza rispondere nel merito, salvo obblighi di legge. Su richiesta autenticata del Titolare, il Responsabile presta assistenza ragionevole per ricerca, accesso, rettifica, esportazione o cancellazione dei dati interessati.

10. Restituzione e cancellazione

Alla cessazione del servizio o su istruzione autenticata del Titolare, il Responsabile restituisce una copia dei dati in un formato strutturato ragionevolmente disponibile e cancella i dati del workspace, secondo la scelta e le istruzioni del Titolare, salvo obblighi legali di conservazione.

Le copie residue presenti nei sistemi di continuità e backup vengono isolate dall'uso ordinario e sovrascritte secondo i normali cicli tecnici dei fornitori, continuando nel frattempo a essere protette dal presente accordo.

11. Verifiche e audit

Il Responsabile fornisce, su richiesta ragionevole, le informazioni utili a verificare il rispetto dell'articolo 28 GDPR. Eventuali verifiche ulteriori devono essere concordate con congruo preavviso, rispettare la riservatezza e non compromettere la sicurezza o la continuità dei servizi e degli altri clienti.

12. Prevalenza, aggiornamenti e contatti

Per le materie disciplinate dal presente accordo, esso prevale su eventuali disposizioni incompatibili dei Termini generali. Le richieste privacy e le istruzioni operative devono essere inviate da un account verificato o a cleanstudio.lab@gmail.com.

Una modifica sostanziale che richieda nuove istruzioni o incida sugli obblighi delle parti comporta la pubblicazione di una nuova versione e una nuova accettazione. Gli aggiornamenti meramente formali o necessari per riflettere fornitori equivalenti vengono comunicati secondo quanto previsto dal presente accordo.

Allegato A — Sub-responsabili principali

• Google Cloud Platform / Firebase: autenticazione, database Firestore, conservazione e sicurezza dell'infrastruttura dati;
• Vercel: hosting dell'applicazione, esecuzione delle API, distribuzione e registri tecnici necessari a sicurezza e funzionamento.

Allegato B — Misure tecniche e organizzative principali

• autenticazione Firebase e verifica server dei token;
• autorizzazione e separazione dei workspace per UID, con controlli di proprietà lato server;
• accesso diretto ai documenti Control negato dalle regole Firestore e operazioni effettuate tramite API controllate;
• cifratura in transito e misure di cifratura a riposo offerte dai fornitori dell'infrastruttura;
• limitazione degli accessi amministrativi alle esigenze di assistenza, sicurezza e adempimento legale;
• aggiornamento delle dipendenze, controlli di validazione, procedure di gestione degli incidenti e continuità offerte dai fornitori cloud.