Data Processing Agreement

1.Premesse

Il presente accordo (il "DPA") disciplina il trattamento dei dati personali svolto da Alterabit S.r.l. a socio unico (di seguito, "Alterabit" o il "Responsabile") per conto del Cliente (di seguito, il "Titolare") nell'ambito dell'erogazione della piattaforma SaaS QR-Entra.

Il DPA integra i Termini e Condizioni d'uso del Servizio e prevale su di essi in caso di contrasto limitatamente alla materia del trattamento dei dati personali.

Il DPA è concluso ai sensi dell'art. 28 del Regolamento (UE) 2016/679 (GDPR) e della normativa privacy italiana (D.Lgs. 196/2003 e successive modifiche, "Codice Privacy").

2.Definizioni

Ai fini del presente DPA, i termini non espressamente definiti assumono il significato di cui all'art. 4 GDPR. Inoltre:

• Servizio / PiattaformaLa piattaforma SaaS QR-Entra erogata da Alterabit, composta dai moduli "Gestione Presenze Ospiti" e "Gestione Eventi".
• Dati PersonaliI dati personali trattati da Alterabit per conto del Titolare nell'ambito del Servizio, come descritti nell'Allegato C.
• TitolareIl Cliente sottoscrittore del Servizio, che determina finalità e mezzi del trattamento.
• ResponsabileAlterabit, che tratta i Dati Personali per conto del Titolare secondo le sue istruzioni.
• Sub-responsabileOgni soggetto terzo nominato da Alterabit per trattare Dati Personali per conto del Titolare, come da Allegato B.
• InteressatoLe persone fisiche i cui dati sono trattati, in particolare Visitatori, Partecipanti, referenti aziendali e altri soggetti caricati dal Titolare.
• Istruzioni DocumentateI Termini, il presente DPA, le configurazioni impostate dal Titolare nella Piattaforma e le ulteriori istruzioni scritte eventualmente trasmesse.
• Autorità di ControlloL'autorità indipendente competente ex art. 51 GDPR; per l'Italia il Garante per la Protezione dei Dati Personali.

3.Oggetto, durata, natura e finalità del trattamento

• Oggetto: esecuzione dei servizi previsti dai Termini, incluse memorizzazione, organizzazione, consultazione e trasmissione dei Dati Personali.
• Natura e finalità: erogazione delle funzionalità della piattaforma QR-Entra per la gestione digitale di accessi, registri presenze ospiti ed eventi del Titolare.
• Durata: il DPA ha effetto per l'intera durata del contratto e si prolunga, limitatamente alle obbligazioni di cancellazione/restituzione e riservatezza, per il tempo necessario al loro adempimento.
• Tipologia di trattamenti: raccolta, registrazione, organizzazione, strutturazione, conservazione, adattamento, estrazione, consultazione, uso, comunicazione mediante trasmissione, cancellazione e distruzione, ai sensi dell'art. 4 n. 2 GDPR.

Il dettaglio operativo è contenuto nell'Allegato C.

4.Categorie di interessati e dati

4.1 Categorie di interessati

• Visitatori che accedono alle sedi del Titolare (Modulo Gestione Presenze Ospiti);
• Partecipanti a eventi organizzati dal Titolare (Modulo Gestione Eventi);
• Referenti aziendali indicati da Visitatori o Partecipanti;
• Dipendenti, collaboratori e Utenti Amministratori del Titolare autorizzati a usare la piattaforma;
• Eventuali ulteriori categorie configurate dal Titolare nei form.

4.2 Categorie di dati personali

• Dati identificativi: nome, cognome, email, telefono;
• Dati aziendali: azienda di provenienza, ruolo, referente;
• Dati di accesso: data e ora di check-in/check-out, sede, evento;
• Dati di consenso: accettazione informativa privacy, consensi opzionali;
• Dati tecnici: IP, user-agent, log applicativi, notifiche inviate;
• Dati opzionali: eventuali campi aggiuntivi configurati dal Titolare (foto documento, firma digitale, motivo visita).

5.Ruoli e istruzioni del Titolare

Il Titolare conferisce ad Alterabit istruzioni documentate ai sensi dell'art. 28.3.a GDPR. Tali istruzioni sono costituite, salvo ulteriori accordi scritti, da:

• i Termini e Condizioni;
• il presente DPA e i suoi Allegati;
• le configurazioni inserite dal Titolare sulla Piattaforma (es. campi dei form, periodi di retention, utenze);
• eventuali richieste scritte inviate tramite canali di supporto ufficiali.

Alterabit non tratta i Dati Personali per finalità diverse da quelle pattuite. Qualora un'istruzione risulti, a parere del Responsabile, in violazione del GDPR o di altra disposizione normativa applicabile, Alterabit informerà immediatamente il Titolare ai sensi dell'art. 28.3, ultimo periodo, GDPR.

Il Titolare garantisce di aver individuato una valida base giuridica ex art. 6 (e, se del caso, art. 9) GDPR per ogni trattamento che intende effettuare tramite la Piattaforma e di aver fornito agli interessati un'idonea informativa ex artt. 13-14 GDPR.

6.Obblighi del Responsabile

Ai sensi dell'art. 28.3 GDPR, Alterabit si impegna a:

• trattare i Dati Personali solo su istruzione documentata del Titolare;
• garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale;
• adottare tutte le misure richieste dall'art. 32 GDPR (Allegato A);
• rispettare le condizioni dell'art. 28.2 e 28.4 per il ricorso a Sub-responsabili;
• tenendo conto della natura del trattamento, assistere il Titolare con misure tecniche e organizzative adeguate per riscontrare le richieste degli interessati (artt. 12-22 GDPR);
• assistere il Titolare nel garantire il rispetto degli artt. 32-36 GDPR (sicurezza, data breach, DPIA, consultazione preventiva);
• su scelta del Titolare, cancellare o restituire tutti i Dati Personali al termine del contratto (art. 15 del presente DPA);
• mettere a disposizione del Titolare tutte le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all'art. 28 GDPR e consentire audit nei limiti dell'art. 14.

7.Riservatezza del personale

Alterabit garantisce che il proprio personale e i propri collaboratori autorizzati al trattamento siano:

• debitamente individuati come "persone autorizzate al trattamento" ai sensi dell'art. 29 GDPR e art. 2-quaterdecies del Codice Privacy;
• istruiti sulle misure tecniche, organizzative e di sicurezza applicabili;
• vincolati a obblighi di riservatezza contrattuali o legali, estesi anche oltre la cessazione del rapporto.

8.Sicurezza del trattamento (art. 32 GDPR)

Alterabit adotta, e mantiene aggiornate, misure tecniche e organizzative adeguate al rischio, descritte nell'Allegato A. Tali misure sono soggette a revisione periodica e possono essere modificate in senso equivalente o superiore per adeguarle all'evoluzione tecnologica, alla natura dei dati e al quadro normativo.

Il Titolare riconosce che le misure descritte sono ritenute, in combinato disposto con le configurazioni della Piattaforma, adeguate per le categorie di dati attese. Qualora il Titolare intenda trattare dati che richiedano misure specifiche aggiuntive, dovrà concordarle preventivamente con Alterabit.

9.Sub-responsabili del trattamento

Con la sottoscrizione del DPA, il Titolare conferisce ad Alterabit autorizzazione generale scritta ai sensi dell'art. 28.2 GDPR a ricorrere a Sub-responsabili per l'erogazione del Servizio, con l'elenco iniziale riportato nell'Allegato B.

Alterabit garantisce che:

• la selezione dei Sub-responsabili avvenga sulla base di garanzie sufficienti ex art. 28.1 GDPR;
• con ciascun Sub-responsabile sia stipulato un contratto che preveda obblighi di tutela dei dati equivalenti a quelli del presente DPA, in particolare in materia di sicurezza ex art. 32 GDPR;
• in caso di inadempimento del Sub-responsabile, Alterabit risponde dell'operato di quest'ultimo nei confronti del Titolare nei limiti di cui all'articolo 16.

Alterabit informerà il Titolare di qualsiasi modifica all'elenco dei Sub-responsabili (aggiunta o sostituzione) con preavviso di almeno 30 giorni tramite email, area riservata o aggiornamento dell'Allegato B sul sito. Il Titolare avrà facoltà di opporsi motivatamente entro 15 giorni dalla comunicazione.

In caso di opposizione motivata, le Parti ricercheranno in buona fede una soluzione tecnicamente equivalente. Qualora non sia possibile, ciascuna Parte potrà recedere dal contratto per l'impossibilità di prosecuzione del servizio con il Sub-responsabile in questione, senza oneri per il Titolare al di là dei corrispettivi maturati fino al recesso.

10.Assistenza nell'esercizio dei diritti degli interessati

Alterabit, tenendo conto della natura del trattamento, assiste il Titolare con misure tecniche e organizzative adeguate a riscontrare le richieste degli interessati di cui agli artt. 15-22 GDPR. In particolare:

• la Piattaforma consente al Titolare, tramite le funzionalità native, di esportare, rettificare e cancellare i dati in autonomia;
• qualora il Titolare necessiti di supporto specifico (es. estrazione massiva, ricerca su log), Alterabit fornirà assistenza in tempi ragionevoli coerenti con l'art. 12.3 GDPR;
• eventuali richieste di interessati ricevute direttamente da Alterabit saranno trasmesse al Titolare senza indebito ritardo, senza fornire autonoma risposta.

L'attività di supporto eccedente lo sforzo ragionevolmente atteso (es. indagini forensi, estrazioni molto ampie) potrà essere oggetto di corrispettivo specifico concordato preventivamente.

11.Violazioni di dati personali (data breach)

In caso di violazione di dati personali (data breach) che coinvolga Dati Personali trattati per conto del Titolare, Alterabit:

• notifica al Titolare senza ingiustificato ritardo e comunque, ove possibile, entro 48 ore dalla conoscenza dell'incidente;
• fornisce le informazioni di cui all'art. 33.3 GDPR: natura della violazione, categorie e numero approssimativo di interessati e dati coinvolti, probabili conseguenze, misure adottate o proposte per porre rimedio e attenuare gli effetti avversi;
• collabora con il Titolare per consentirgli di adempiere agli obblighi di notifica al Garante (art. 33) e, ove necessario, di comunicazione agli interessati (art. 34);
• documenta l'incidente in un apposito registro interno.

La valutazione e la decisione di procedere a notifica al Garante e agli interessati restano in capo al Titolare, salvi i casi di obbligo diretto del Responsabile.

12.DPIA e consultazione preventiva

Alterabit assiste il Titolare, nei limiti delle informazioni in proprio possesso, nella conduzione di valutazioni d'impatto sulla protezione dei dati (DPIA) ai sensi dell'art. 35 GDPR e, ove necessario, nella consultazione preventiva dell'Autorità di controllo ex art. 36 GDPR. A tal fine, fornirà documentazione tecnica e organizzativa rilevante relativa al Servizio, nei limiti della tutela di proprie informazioni riservate e di sicurezza.

13.Trasferimenti di dati extra-SEE

Alterabit ospita i Dati Personali su infrastrutture situate nello Spazio Economico Europeo. In casi eccezionali, o per servizi ancillari gestiti da Sub-responsabili, può verificarsi un trasferimento in Paesi terzi. In tale caso, Alterabit garantisce l'applicazione di adeguate garanzie ai sensi dell'art. 46 GDPR, quali:

• decisione di adeguatezza della Commissione Europea (art. 45 GDPR);
• Clausole Contrattuali Standard (SCC) approvate con decisione di esecuzione (UE) 2021/914, eventualmente accompagnate da misure supplementari tecniche e organizzative (es. cifratura, pseudonimizzazione);
• norme vincolanti d'impresa (BCR) approvate dall'Autorità competente;
• certificazioni o codici di condotta approvati ai sensi degli artt. 40-42 GDPR.

Il Titolare può richiedere ad Alterabit copia delle garanzie applicate scrivendo a privacy@qr-entra.com.

14.Audit e ispezioni

Alterabit mette a disposizione del Titolare tutte le informazioni ragionevolmente necessarie a dimostrare il rispetto degli obblighi di cui all'art. 28 GDPR.

Il Titolare ha diritto di effettuare audit, direttamente o tramite un revisore indipendente soggetto a obblighi di riservatezza, nei limiti seguenti:

• con preavviso scritto di almeno 30 giorni, salvo casi di data breach o richiesta di Autorità;
• nell'orario lavorativo standard, senza pregiudizio dell'operatività di Alterabit;
• non più di una volta l'anno solare, salvo incidenti accertati o richieste di Autorità;
• nel rispetto della riservatezza di informazioni non pertinenti al trattamento del Titolare e della sicurezza degli altri clienti di Alterabit;
• a spese del Titolare, salvo il caso in cui l'audit evidenzi un inadempimento rilevante di Alterabit.

In alternativa o in aggiunta, Alterabit può soddisfare l'obbligo di audit fornendo al Titolare report di valutazione indipendente, questionari compilati (es. Cloud Security Alliance CAIQ), certificazioni (ISO 27001, ISO 27701, SOC 2) e documentazione di test di sicurezza, ove disponibili.

15.Restituzione e cancellazione dei dati

Alla cessazione del contratto, a scelta del Titolare comunicata per iscritto:

• Alterabit mette a disposizione del Titolare una procedura di export dei Dati Personali in formato strutturato e di uso comune (es. CSV/XLSX);
• decorso il periodo transitorio di 30 giorni dalla cessazione, Alterabit procede alla cancellazione irreversibile dei Dati Personali dai propri sistemi di produzione, nei limiti tecnici consentiti;
• i backup contenenti Dati Personali vengono sovrascritti secondo il normale ciclo di rotazione (tipicamente entro 90 giorni), fermo restando che durante tale periodo i dati non sono oggetto di trattamento attivo.

Sono fatti salvi i casi in cui il diritto dell'Unione o di uno Stato membro richieda la conservazione di specifici dati; in tal caso Alterabit si limiterà alla conservazione passiva per la durata strettamente necessaria.

In mancanza di istruzioni diverse del Titolare entro i 30 giorni, Alterabit procederà alla cancellazione ai sensi del secondo punto.

16.Responsabilità e indennizzi

Ai sensi dell'art. 82 GDPR, ciascuna Parte risponde dei danni causati da un trattamento in violazione del GDPR nei limiti della propria condotta e del proprio ruolo. È fatto salvo il diritto di regresso ex art. 82.5 GDPR.

Le limitazioni di responsabilità previste nei Termini e Condizioni si applicano anche al presente DPA, salvi i casi in cui tali limitazioni siano inopponibili in virtù di norme inderogabili.

Il Titolare manleva Alterabit da qualsiasi pretesa, sanzione o danno derivante da:

• assenza o inadeguatezza della base giuridica del trattamento da lui determinato;
• mancata o incompleta informativa agli interessati;
• configurazione di form di raccolta dati eccedenti il principio di minimizzazione;
• istruzioni impartite in violazione di norme applicabili, ove tempestivamente segnalate da Alterabit.

17.Modifiche del DPA

Alterabit potrà aggiornare il presente DPA per adeguarlo all'evoluzione normativa, all'indirizzo delle Autorità di controllo, a decisioni giurisprudenziali rilevanti o a evoluzioni del Servizio e dei Sub-responsabili. Le modifiche sono comunicate al Titolare con almeno 30 giorni di preavviso tramite email, area riservata o pubblicazione sul sito www.qr-entra.com, salvo il caso di modifiche imposte da norme urgenti.

Il Titolare che non intenda accettare modifiche che comportino una riduzione significativa delle garanzie previste a favore degli interessati potrà recedere dal contratto senza oneri prima dell'entrata in vigore delle modifiche stesse.

18.Legge applicabile e foro competente

Il presente DPA è regolato dalla legge italiana. Per qualsiasi controversia è competente in via esclusiva il Foro di Milano, salvo competenza inderogabile di legge.

19.Clausole finali

In caso di conflitto tra il DPA e altri accordi fra le Parti in materia di trattamento dei dati personali, prevale il DPA. L'eventuale nullità o inefficacia di singole clausole non comporta la nullità dell'intero accordo.

Il presente DPA si intende sottoscritto dalle Parti al momento dell'accettazione dei Termini e Condizioni, contestualmente alla sottoscrizione del Servizio. Una copia aggiornata è sempre accessibile all'indirizzo www.qr-entra.com/dpa.html e può essere richiesta in formato firmato scrivendo a privacy@qr-entra.com.

A.Allegato A — Misure tecniche ed organizzative (art. 32 GDPR)

Alterabit adotta le misure indicate di seguito, aggiornate in modo equivalente o superiore nel corso del tempo.

A.1 Sicurezza fisica

• Data center certificati ISO 27001 situati nello Spazio Economico Europeo, con controllo accessi 24/7, videosorveglianza, rilevazione e spegnimento incendi, alimentazione ridondante, raffreddamento ridondato.

A.2 Controllo accessi logici

• Autenticazione nominativa di tutti gli utenti interni con credenziali personali;
• politiche di complessità password e rotazione periodica;
• autenticazione a più fattori (MFA) obbligatoria per gli accessi amministrativi;
• autorizzazioni basate sui ruoli (RBAC) e principio del minimo privilegio;
• revisione periodica degli accessi e disattivazione tempestiva alla cessazione del rapporto.

A.3 Cifratura

• Cifratura dei dati in transito mediante TLS 1.2 o superiore con cipher suite moderne;
• cifratura at-rest dei database e degli archivi di backup;
• gestione sicura delle chiavi con rotazione periodica;
• password utenti conservate con algoritmi di hashing one-way (es. bcrypt/Argon2) e salt.

A.4 Pseudonimizzazione e minimizzazione

• Pseudonimizzazione degli identificativi per usi di supporto e debug ove possibile;
• separazione degli ambienti di produzione, staging e sviluppo;
• dati di produzione non utilizzati in ambienti non produttivi se non previa anonimizzazione.

A.5 Segregazione logica

• Architettura multi-tenant con isolamento logico dei dati di ciascun cliente;
• controlli applicativi per prevenire accessi cross-tenant;
• identificativi univoci per ciascuna organizzazione cliente.

A.6 Disponibilità e resilienza

• Infrastruttura ridondata in alta affidabilità;
• backup periodici automatici con verifica integrità e conservazione separata;
• piani di Business Continuity e Disaster Recovery documentati e testati periodicamente;
• obiettivi RTO/RPO documentati, rivedibili per Clienti con esigenze specifiche.

A.7 Logging e monitoraggio

• Log applicativi e di sicurezza con marca temporale, conservati in area segregata;
• alerting automatico su anomalie di accesso, errori di sicurezza, utilizzi anomali;
• rilevamento tempestivo di intrusioni e attività sospette.

A.8 Gestione vulnerabilità e patching

• Aggiornamenti di sicurezza applicati secondo policy di priorità basata sulla criticità (CVSS);
• scansioni di vulnerabilità automatizzate su infrastruttura e applicativo;
• test di sicurezza periodici, incluso penetration test da soggetti indipendenti con cadenza almeno annuale per il perimetro applicativo.

A.9 Gestione del personale

• Clausole di riservatezza nei contratti di tutti i dipendenti e collaboratori;
• formazione periodica su privacy e sicurezza delle informazioni;
• procedure di on-boarding e off-boarding con attribuzione/revoca tempestiva degli accessi.

A.10 Gestione incidenti e data breach

• Procedura interna documentata di incident response;
• registro degli incidenti di sicurezza;
• canali dedicati per la comunicazione tempestiva ai clienti ai sensi dell'art. 11 del DPA.

A.11 Sviluppo sicuro

• Pratiche di secure coding e revisione del codice;
• analisi statica e dinamica del codice (SAST/DAST) integrata nella pipeline CI/CD;
• controllo delle dipendenze open source e dei rispettivi aggiornamenti di sicurezza.

B.Allegato B — Elenco dei Sub-responsabili autorizzati

Di seguito è riportato l'elenco dei Sub-responsabili attualmente impiegati da Alterabit per l'erogazione della Piattaforma. L'elenco è suscettibile di aggiornamento secondo la procedura di cui all'articolo 9. La versione sempre aggiornata è pubblicata a questa stessa URL.

C.Allegato C — Dettaglio del trattamento