Accordo sul trattamento dei dati

1. Parti e oggetto

Il presente accordo è concluso tra il cliente in qualità di titolare del trattamento e EAS International, Klybeckstr. 141, 4057 Basel, Schweiz in qualità di responsabile del trattamento (il Fornitore). Rappresentante del Fornitore nell’Unione ai sensi dell’art. 27 GDPR: Urs Zimmermann, Eichacker 2, 79418 Schliengen, Germany.

Ha per oggetto il trattamento dei dati personali che il cliente inserisce in Batteriepass Online o raccoglie tramite esso. Natura, finalità, tipi di dati e categorie di interessati sono descritti nell’allegato 1. L’accordo si applica per la durata del contratto di servizio, compresa la fase di sola lettura di cui al punto 8 delle Condizioni.

2. Istruzioni

Il Fornitore tratta i dati esclusivamente nell’ambito del contratto di servizio e su istruzione documentata del cliente. Il cliente impartisce istruzioni utilizzando le funzioni del software (ad esempio pubblicare un passaporto, assegnare livelli di accesso, inviare una richiesta a un fornitore, esportare, cancellare) e in forma testuale a info@batteriepass-online.eu. Le istruzioni che eccedono l’ambito concordato sono trattate come richieste di modifica e possono essere fatturate separatamente.

Se il Fornitore ritiene che un’istruzione sia illecita, ne informa senza indugio il cliente e può sospenderne l’esecuzione fino alla conferma.

La messa a disposizione dei contenuti dei passaporti al pubblico, alle persone con un interesse legittimo e alle autorità avviene conformemente al regolamento (UE) 2023/1542 nella configurazione scelta dal cliente ed è considerata un’istruzione del cliente.

3. Obblighi del Fornitore

• Riservatezza: tutte le persone coinvolte nel trattamento sono vincolate alla riservatezza. Si accede ai dati del cliente solo se necessario per il funzionamento, l’assistenza o la risoluzione di guasti.
• Sicurezza: il Fornitore attua le misure tecniche e organizzative di cui all’allegato 3 e le adegua allo stato dell’arte senza ridurre il livello di protezione.
• Assistenza: il Fornitore assiste il cliente, con gli strumenti del software (esportazione, rettifica, cancellazione, registro degli accessi), nel dare seguito ai diritti degli interessati nonché nelle valutazioni d’impatto sulla protezione dei dati e nelle consultazioni dell’autorità di controllo, nella misura in cui le informazioni siano in possesso del Fornitore.
• Notifica: il Fornitore notifica al cliente le violazioni dei dati personali che riguardano dati del cliente senza ingiustificato ritardo, al più tardi entro 48 ore dal momento in cui ne è venuto a conoscenza, all’indirizzo e-mail memorizzato nell’account, con le informazioni disponibili ai sensi dell’art. 33, paragrafo 3, GDPR.
• Richieste degli interessati: se gli interessati si rivolgono direttamente al Fornitore, questi inoltra la richiesta al cliente senza fornire una propria risposta nel merito, nella misura in cui la richiesta riguardi dati del cliente.
• Prove: su richiesta, il Fornitore mette a disposizione le informazioni necessarie per dimostrare il rispetto del presente accordo, in particolare una descrizione delle misure di cui all’allegato 3 e relazioni sugli incidenti di sicurezza.
• Cancellazione: al termine del trattamento il Fornitore cancella i dati conformemente al punto 8 delle Condizioni, salvo che sussista un obbligo legale di conservazione. Per i passaporti della batteria pubblicati, l’obbligo legale di mantenerli disponibili ai sensi dell’art. 77, paragrafo 8, regolamento (UE) 2023/1542 è considerato un obbligo di conservazione.

4. Diritti di verifica del cliente

Il cliente può verificare il rispetto del presente accordo una volta all’anno e in presenza di un motivo concreto. La verifica avviene in primo luogo mediante l’esame di documentazione, relazioni e conferme dei sub-responsabili del trattamento. Un’ispezione in loco è possibile previo preavviso con un termine ragionevole (almeno 14 giorni) durante il normale orario di lavoro, purché non metta in pericolo i dati di altri clienti. Per le verifiche che superano una all’anno o che non sono motivate da un incidente, il Fornitore può addebitare l’impegno che ne deriva a una tariffa ragionevole.

5. Sub-responsabili del trattamento

Il cliente acconsente al ricorso ai sub-responsabili del trattamento elencati nell’allegato 2. Il Fornitore li vincola a obblighi in materia di protezione dei dati equivalenti a quelli qui convenuti.

Il Fornitore informa il cliente via e-mail delle modifiche previste (aggiunta o sostituzione) con almeno 30 giorni di anticipo. Entro tale termine il cliente può opporsi per importanti motivi di protezione dei dati. In caso di opposizione, ciascuna parte può recedere dal contratto di servizio con effetto dalla data della modifica; resta impregiudicato il punto 8 delle Condizioni.

6. Trattamento in paesi terzi

I dati sono memorizzati su server in Germania. Il Fornitore è stabilito in Svizzera, per la quale esiste una decisione di adeguatezza della Commissione europea; l’accesso dalla Svizzera è pertanto consentito. Il trattamento in altri paesi terzi avviene solo con il consenso del cliente e sulla base di garanzie adeguate ai sensi del capo V GDPR.

7. Obblighi del cliente

Il cliente è responsabile della liceità del trattamento, in particolare della base giuridica per la pubblicazione di informazioni su persone fisiche nei passaporti, dell’informazione degli interessati e della liceità del contatto con fornitori e richiedenti. Assegna i livelli di accesso e le autorizzazioni di accesso sotto la propria responsabilità e verifica che i dati resi accessibili tramite il software siano conformi alle disposizioni di legge.

Il cliente indica nell’account un indirizzo e-mail raggiungibile per le questioni di protezione dei dati e lo mantiene aggiornato.

8. Responsabilità, durata, disposizioni finali

Per la responsabilità si applica il punto 11 delle Condizioni; resta impregiudicato l’art. 82 GDPR. Il presente accordo cessa con il contratto di servizio, ma continua ad applicarsi finché il Fornitore mantiene disponibili dati del cliente ai sensi del punto 8 delle Condizioni. Per il resto si applicano le disposizioni finali delle Condizioni. In caso di contrasto tra il presente accordo e le Condizioni, per le questioni di protezione dei dati prevale il presente accordo.

Allegato 1 – Oggetto del trattamento

• Natura e finalità: hosting, memorizzazione, visualizzazione, esportazione e trasmissione di contenuti dei passaporti della batteria e dei relativi documenti; invio di e-mail per conto del cliente (richieste ai fornitori, decisioni sugli accessi); registrazione degli accessi a contenuti protetti; messa a disposizione dell’API e dei webhook.
• Tipi di dati: nomi, funzioni e recapiti dei referenti del cliente, dei suoi fornitori e dei richiedenti di autorizzazioni di accesso (indirizzo e-mail, organizzazione, ruolo, finalità, documenti giustificativi); contenuti dei campi dei passaporti e dei documenti nella misura in cui contengano informazioni su persone fisiche (ad esempio la persona responsabile dell’operatore economico, i firmatari delle dichiarazioni di conformità); registri degli accessi (indirizzo IP troncato e sottoposto a hash, user agent, ora, livello di accesso); dati trasmessi dal cliente all’API.
• Categorie di interessati: dipendenti e referenti del cliente, dei suoi fornitori e partner commerciali; persone che richiedono l’accesso a contenuti protetti dei passaporti (autorità, operatori di riparazione e riciclaggio, acquirenti); visitatori delle pagine pubbliche dei passaporti.
• Le categorie particolari di dati (art. 9 GDPR) non sono oggetto del trattamento; il cliente non inserisce tali dati nel software.

Allegato 2 – Sub-responsabili del trattamento

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Germania – servizi di centro dati (server, banca dati, archivio documenti, backup) a Falkenstein e Norimberga.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlin, Germania – invio di e-mail per conto del cliente.
• Stripe Payments Europe Ltd., Dublin, Irlanda, tratta i dati di pagamento del cliente in qualità di titolare autonomo del trattamento e non è un sub-responsabile per i dati del cliente ai sensi del presente accordo.

Allegato 3 – Misure tecniche e organizzative

• Accesso fisico e ai sistemi: server in centri dati Hetzner certificati ISO 27001; amministrazione solo tramite SSH con autenticazione a chiave e rete privata; la banca dati non è raggiungibile da internet.
• Accesso ai dati: autorizzazioni basate sui ruoli (proprietario, editor, lettore) per organizzazione; separazione dei clienti a livello di banca dati tramite l’ID dell’organizzazione in ogni interrogazione; i livelli di accesso ai contenuti dei passaporti (pubblico, interesse legittimo, autorità) sono applicati lato server in un’unica funzione di filtro.
• Autenticazione: password come hash scrypt; sessioni con token casuali nella banca dati, 30 giorni; verifica dell’e-mail prima dell’accesso in scrittura; limiti ai tentativi di accesso, registrazione e reimpostazione; chiavi API memorizzate solo come hash.
• Trasmissione: TLS per tutte le connessioni; Content Security Policy; webhook firmati (HMAC) con segreti memorizzati in forma cifrata.
• Integrità: ogni pubblicazione di un passaporto crea una versione con catena di hash (hash precedente); audit log di tutte le operazioni di scrittura; nulla viene cancellato fisicamente prima della scadenza dei termini contrattuali.
• Disponibilità: backup giornaliero della banca dati e dell’archivio documenti con conservazione di almeno 30 giorni in una seconda sede; test di ripristino regolari; monitoraggio della disponibilità.
• Separazione: dati di produzione separati dagli ambienti di sviluppo e di prova; i passaporti del piano Pilot sono contrassegnati come dati di prova.
• Organizzazione: minimizzazione dei dati integrata nel software (solo i campi richiesti per il passaporto); verifica di sicurezza a ogni modifica del servizio; documentazione degli incidenti; aggiornamenti regolari dei componenti di sistema.