Data Processing Agreement

1.Premesse

Il presente accordo (il "DPA") disciplina il trattamento dei dati personali svolto da Alterabit S.r.l. a socio unico, con sede legale e operativa in Via Luigi Galvani 24, 20124 Milano (MI), C.F. e P.IVA 14071790969, REA MI - 2760074, PEC alterabit@legalmail.it (di seguito, "Alterabit" o il "Responsabile") per conto del Cliente, come identificato nell'Order Form o nel contratto sottoscritto (di seguito, il "Titolare"), nell'ambito dell'erogazione della piattaforma SaaS QR-Entra.

Alterabit non ha nominato un Responsabile della Protezione dei Dati (DPO), non ricorrendo i presupposti dell'art. 37 GDPR; il punto di contatto per ogni questione privacy è privacy@qr-entra.com.

Il DPA integra i Termini e Condizioni d'uso del Servizio e prevale su di essi in caso di contrasto limitatamente alla materia del trattamento dei dati personali.

Il DPA è concluso ai sensi dell'art. 28 del Regolamento (UE) 2016/679 (GDPR) e della normativa privacy italiana (D.Lgs. 196/2003 e successive modifiche, "Codice Privacy").

2.Definizioni

Ai fini del presente DPA, i termini non espressamente definiti assumono il significato di cui all'art. 4 GDPR. Inoltre:

• Servizio / PiattaformaLa piattaforma SaaS QR-Entra erogata da Alterabit, composta dai moduli "Gestione Presenze Ospiti" e "Gestione Eventi".
• Dati PersonaliI dati personali trattati da Alterabit per conto del Titolare nell'ambito del Servizio, come descritti nell'Allegato C.
• TitolareIl Cliente sottoscrittore del Servizio, che determina finalità e mezzi del trattamento.
• ResponsabileAlterabit, che tratta i Dati Personali per conto del Titolare secondo le sue istruzioni.
• Sub-responsabileOgni soggetto terzo nominato da Alterabit per trattare Dati Personali per conto del Titolare, come da Allegato B.
• InteressatoLe persone fisiche i cui dati sono trattati, in particolare Visitatori, Partecipanti, referenti aziendali e altri soggetti caricati dal Titolare.
• Istruzioni DocumentateI Termini, il presente DPA, le configurazioni impostate dal Titolare nella Piattaforma e le ulteriori istruzioni scritte eventualmente trasmesse.
• Autorità di ControlloL'autorità indipendente competente ex art. 51 GDPR; per l'Italia il Garante per la Protezione dei Dati Personali.

3.Oggetto, durata, natura e finalità del trattamento

• Oggetto: esecuzione dei servizi previsti dai Termini, incluse memorizzazione, organizzazione, consultazione e trasmissione dei Dati Personali.
• Natura e finalità: erogazione delle funzionalità della piattaforma QR-Entra per la gestione digitale di accessi, registri presenze ospiti ed eventi del Titolare.
• Durata: il DPA ha effetto per l'intera durata del contratto e si prolunga, limitatamente alle obbligazioni di cancellazione/restituzione e riservatezza, per il tempo necessario al loro adempimento.
• Tipologia di trattamenti: raccolta, registrazione, organizzazione, strutturazione, conservazione, adattamento, estrazione, consultazione, uso, comunicazione mediante trasmissione, cancellazione e distruzione, ai sensi dell'art. 4 n. 2 GDPR.

Il dettaglio operativo è contenuto nell'Allegato C.

4.Categorie di interessati e dati

4.1 Categorie di interessati

• Visitatori che accedono alle sedi del Titolare (Modulo Gestione Presenze Ospiti);
• Partecipanti a eventi organizzati dal Titolare (Modulo Gestione Eventi);
• Referenti aziendali indicati da Visitatori o Partecipanti;
• Dipendenti, collaboratori e Utenti Amministratori del Titolare autorizzati a usare la piattaforma;
• Eventuali ulteriori categorie configurate dal Titolare nei form.

4.2 Categorie di dati personali

• Dati identificativi: nome, cognome, email, telefono;
• Dati aziendali: azienda di provenienza, ruolo, referente;
• Dati di accesso: data e ora di check-in/check-out, sede, evento;
• Dati di consenso: accettazione informativa privacy, consensi opzionali;
• Dati tecnici: IP, user-agent, log applicativi, notifiche inviate;
• Dati opzionali: eventuali campi aggiuntivi configurati dal Titolare (foto documento, firma digitale, motivo visita).

5.Ruoli e istruzioni del Titolare

Il Titolare conferisce ad Alterabit istruzioni documentate ai sensi dell'art. 28.3.a GDPR. Tali istruzioni sono costituite, salvo ulteriori accordi scritti, da:

• i Termini e Condizioni;
• il presente DPA e i suoi Allegati;
• le configurazioni inserite dal Titolare sulla Piattaforma (es. campi dei form, periodi di retention, utenze);
• eventuali richieste scritte inviate tramite canali di supporto ufficiali.

Alterabit non tratta i Dati Personali per finalità diverse da quelle pattuite. Qualora un'istruzione risulti, a parere del Responsabile, in violazione del GDPR o di altra disposizione normativa applicabile, Alterabit informerà immediatamente il Titolare ai sensi dell'art. 28.3, ultimo periodo, GDPR.

Il Titolare garantisce di aver individuato una valida base giuridica ex art. 6 (e, se del caso, art. 9) GDPR per ogni trattamento che intende effettuare tramite la Piattaforma e di aver fornito agli interessati un'idonea informativa ex artt. 13-14 GDPR.

6.Obblighi del Responsabile

Ai sensi dell'art. 28.3 GDPR, Alterabit si impegna a:

• trattare i Dati Personali solo su istruzione documentata del Titolare, anche con riguardo ai trasferimenti verso Paesi terzi o organizzazioni internazionali, salvo che lo richieda il diritto dell'Unione o nazionale cui è soggetto il Responsabile: in tal caso, Alterabit informa il Titolare di tale obbligo giuridico prima del trattamento, a meno che il diritto vieti tale informazione per rilevanti motivi di interesse pubblico;
• garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale;
• adottare tutte le misure richieste dall'art. 32 GDPR (Allegato A);
• rispettare le condizioni dell'art. 28.2 e 28.4 per il ricorso a Sub-responsabili;
• tenendo conto della natura del trattamento, assistere il Titolare con misure tecniche e organizzative adeguate per riscontrare le richieste degli interessati (artt. 12-22 GDPR);
• assistere il Titolare nel garantire il rispetto degli artt. 32-36 GDPR (sicurezza, data breach, DPIA, consultazione preventiva);
• su scelta del Titolare, cancellare o restituire tutti i Dati Personali al termine del contratto (art. 15 del presente DPA);
• mettere a disposizione del Titolare tutte le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all'art. 28 GDPR e consentire audit nei limiti dell'art. 14.

7.Riservatezza del personale

Alterabit garantisce che il proprio personale e i propri collaboratori autorizzati al trattamento siano:

• debitamente individuati come "persone autorizzate al trattamento" ai sensi dell'art. 29 GDPR e art. 2-quaterdecies del Codice Privacy;
• istruiti sulle misure tecniche, organizzative e di sicurezza applicabili;
• vincolati a obblighi di riservatezza contrattuali o legali, estesi anche oltre la cessazione del rapporto.

8.Sicurezza del trattamento (art. 32 GDPR)

Alterabit adotta, e mantiene aggiornate, misure tecniche e organizzative adeguate al rischio, descritte nell'Allegato A. Tali misure sono soggette a revisione periodica e possono essere modificate in senso equivalente o superiore per adeguarle all'evoluzione tecnologica, alla natura dei dati e al quadro normativo.

Il Titolare riconosce che le misure descritte sono ritenute, in combinato disposto con le configurazioni della Piattaforma, adeguate per le categorie di dati attese. Qualora il Titolare intenda trattare dati che richiedano misure specifiche aggiuntive, dovrà concordarle preventivamente con Alterabit.

9.Sub-responsabili del trattamento

Con la sottoscrizione del DPA, il Titolare conferisce ad Alterabit autorizzazione generale scritta ai sensi dell'art. 28.2 GDPR a ricorrere a Sub-responsabili per l'erogazione del Servizio, con l'elenco iniziale riportato nell'Allegato B.

Alterabit garantisce che:

• la selezione dei Sub-responsabili avvenga sulla base di garanzie sufficienti ex art. 28.1 GDPR;
• con ciascun Sub-responsabile sia stipulato un contratto che preveda obblighi di tutela dei dati equivalenti a quelli del presente DPA, in particolare in materia di sicurezza ex art. 32 GDPR;
• qualora il Sub-responsabile ometta di adempiere ai propri obblighi in materia di protezione dei dati, Alterabit conserva nei confronti del Titolare l'intera responsabilità dell'adempimento degli obblighi del Sub-responsabile, ai sensi dell'art. 28.4 GDPR.

Alterabit informerà il Titolare di qualsiasi modifica all'elenco dei Sub-responsabili (aggiunta o sostituzione) con preavviso di almeno 30 giorni mediante comunicazione email all'indirizzo di contatto del Cliente, oltre all'aggiornamento dell'Allegato B sul sito. Il Titolare avrà facoltà di opporsi motivatamente entro 15 giorni dalla comunicazione.

In caso di opposizione motivata, le Parti ricercheranno in buona fede una soluzione tecnicamente equivalente. Qualora non sia possibile, ciascuna Parte potrà recedere dal contratto per l'impossibilità di prosecuzione del servizio con il Sub-responsabile in questione, senza oneri per il Titolare al di là dei corrispettivi maturati fino al recesso.

10.Assistenza nell'esercizio dei diritti degli interessati

Alterabit, tenendo conto della natura del trattamento, assiste il Titolare con misure tecniche e organizzative adeguate a riscontrare le richieste degli interessati di cui agli artt. 15-22 GDPR. In particolare:

• la Piattaforma consente al Titolare, tramite le funzionalità native, di esportare, rettificare e cancellare i dati in autonomia;
• qualora il Titolare necessiti di supporto specifico (es. estrazione massiva, ricerca su log), Alterabit fornirà assistenza in tempi ragionevoli coerenti con l'art. 12.3 GDPR;
• eventuali richieste di interessati ricevute direttamente da Alterabit saranno trasmesse al Titolare senza indebito ritardo, senza fornire autonoma risposta.

L'attività di supporto eccedente lo sforzo ragionevolmente atteso (es. indagini forensi, estrazioni molto ampie) potrà essere oggetto di corrispettivo specifico concordato preventivamente. Resta inteso che l'assistenza dovuta ai sensi dell'art. 28.3, lett. e) ed f), GDPR non può essere rifiutata né condizionata al pagamento di corrispettivi aggiuntivi.

11.Violazioni di dati personali (data breach)

In caso di violazione di dati personali (data breach) che coinvolga Dati Personali trattati per conto del Titolare, Alterabit:

• notifica al Titolare senza ingiustificato ritardo e comunque entro 48 ore dalla conoscenza dell'incidente, in modo da consentire al Titolare il rispetto del termine di 72 ore ex art. 33.1 GDPR;
• fornisce le informazioni di cui all'art. 33.3 GDPR: natura della violazione, categorie e numero approssimativo di interessati e dati coinvolti, probabili conseguenze, misure adottate o proposte per porre rimedio e attenuare gli effetti avversi; qualora non sia possibile fornire tutte le informazioni contestualmente, esse sono fornite per fasi successive senza ulteriore ingiustificato ritardo (art. 33.4 GDPR);
• collabora con il Titolare per consentirgli di adempiere agli obblighi di notifica al Garante (art. 33) e, ove necessario, di comunicazione agli interessati (art. 34);
• documenta l'incidente in un apposito registro interno.

La valutazione e la decisione di procedere a notifica al Garante e agli interessati restano in capo al Titolare, salvi i casi di obbligo diretto del Responsabile.

12.DPIA e consultazione preventiva

Alterabit assiste il Titolare, nei limiti delle informazioni in proprio possesso, nella conduzione di valutazioni d'impatto sulla protezione dei dati (DPIA) ai sensi dell'art. 35 GDPR e, ove necessario, nella consultazione preventiva dell'Autorità di controllo ex art. 36 GDPR. A tal fine, fornirà documentazione tecnica e organizzativa rilevante relativa al Servizio, nei limiti della tutela di proprie informazioni riservate e di sicurezza.

13.Trasferimenti di dati extra-SEE

Alterabit ospita i Dati Personali su infrastrutture Microsoft Azure situate in Italia (region "Italy North", Milano), nello Spazio Economico Europeo. Con la sottoscrizione del presente DPA, il Titolare autorizza — quale istruzione documentata ex art. 28.3.a GDPR — i soli trasferimenti verso Paesi terzi indicati di seguito e nell'Allegato B:

• Invio di email transazionali tramite Twilio SendGrid: trattamento di indirizzi email e contenuto dei messaggi su infrastrutture che possono essere situate negli Stati Uniti d'America. Si tratta di un trasferimento strutturale, connesso alla funzione di notifica della Piattaforma, assistito da Clausole Contrattuali Standard (SCC) ex Decisione di esecuzione (UE) 2021/914 con misure supplementari tecniche e organizzative e, ove applicabile, dalla certificazione del fornitore al EU-U.S. Data Privacy Framework (decisione di adeguatezza della Commissione del 10 luglio 2023);
• eventuali ulteriori trasferimenti connessi ai servizi Microsoft (es. tratte di trasmissione attraverso Point-of-Presence extra-SEE della rete edge), coperti dal Microsoft Products and Services DPA e dalle relative SCC.

Per ogni trasferimento, Alterabit effettua e mantiene aggiornata una valutazione d'impatto del trasferimento (Transfer Impact Assessment) secondo le Raccomandazioni EDPB 01/2020. Qualora Alterabit riceva da un'autorità pubblica di un Paese terzo una richiesta vincolante di accesso ai Dati Personali, ne informerà il Titolare prima di dar seguito, salvo divieto di legge, e ne limiterà la portata al minimo consentito.

Il Titolare può richiedere ad Alterabit copia delle garanzie applicate scrivendo a privacy@qr-entra.com.

14.Audit e ispezioni

Alterabit mette a disposizione del Titolare tutte le informazioni ragionevolmente necessarie a dimostrare il rispetto degli obblighi di cui all'art. 28 GDPR.

Il Titolare ha diritto di effettuare audit, direttamente o tramite un revisore indipendente soggetto a obblighi di riservatezza, nei limiti seguenti:

• con preavviso scritto di almeno 30 giorni, salvo casi di data breach o richiesta di Autorità;
• nell'orario lavorativo standard, senza pregiudizio dell'operatività di Alterabit;
• non più di una volta l'anno solare, salvo incidenti accertati o richieste di Autorità;
• nel rispetto della riservatezza di informazioni non pertinenti al trattamento del Titolare e della sicurezza degli altri clienti di Alterabit;
• a spese del Titolare, salvo il caso in cui l'audit evidenzi un inadempimento rilevante di Alterabit.

In alternativa o in aggiunta, Alterabit può soddisfare l'obbligo di audit fornendo al Titolare: la documentazione delle misure tecniche e organizzative di cui all'Allegato A, le certificazioni dell'infrastruttura cloud utilizzata (Microsoft Azure: ISO/IEC 27001, 27017, 27018, SOC 1/2/3), questionari di sicurezza compilati ed eventuali esiti di verifiche di sicurezza condotte sul perimetro applicativo.

Alterabit tiene il registro delle categorie di attività di trattamento svolte per conto del Titolare ai sensi dell'art. 30.2 GDPR e lo mette a disposizione dell'Autorità di controllo su richiesta.

15.Restituzione e cancellazione dei dati

Alla cessazione del contratto, a scelta del Titolare comunicata per iscritto:

• Alterabit mette a disposizione del Titolare una procedura di export dei Dati Personali in formato strutturato e di uso comune (es. CSV/XLSX);
• decorso il periodo transitorio di 30 giorni dalla cessazione, Alterabit procede alla cancellazione irreversibile dei Dati Personali dai propri sistemi di produzione, nei limiti tecnici consentiti;
• i backup contenenti Dati Personali vengono sovrascritti secondo il normale ciclo di rotazione dei backup automatici della piattaforma cloud (al massimo entro 35 giorni), fermo restando che durante tale periodo i dati non sono oggetto di trattamento attivo.

Sono fatti salvi i casi in cui il diritto dell'Unione o di uno Stato membro richieda la conservazione di specifici dati; in tal caso Alterabit si limiterà alla conservazione passiva per la durata strettamente necessaria.

In mancanza di istruzioni diverse del Titolare entro i 30 giorni, Alterabit procederà alla cancellazione ai sensi del secondo punto.

16.Responsabilità e indennizzi

Ai sensi dell'art. 82 GDPR, ciascuna Parte risponde dei danni causati da un trattamento in violazione del GDPR nei limiti della propria condotta e del proprio ruolo. È fatto salvo il diritto di regresso ex art. 82.5 GDPR.

Le limitazioni di responsabilità previste nei Termini e Condizioni si applicano anche al presente DPA, salvi i casi in cui tali limitazioni siano inopponibili in virtù di norme inderogabili e fermo restando quanto previsto dall'art. 9 in materia di responsabilità per l'operato dei Sub-responsabili (art. 28.4 GDPR) e il diritto al risarcimento degli interessati ex art. 82 GDPR.

Il Titolare manleva Alterabit da qualsiasi pretesa, sanzione o danno derivante da:

• assenza o inadeguatezza della base giuridica del trattamento da lui determinato;
• mancata o incompleta informativa agli interessati;
• configurazione di form di raccolta dati eccedenti il principio di minimizzazione;
• istruzioni impartite in violazione di norme applicabili, ove tempestivamente segnalate da Alterabit.

17.Modifiche del DPA

Alterabit potrà aggiornare il presente DPA per adeguarlo all'evoluzione normativa, all'indirizzo delle Autorità di controllo, a decisioni giurisprudenziali rilevanti o a evoluzioni del Servizio e dei Sub-responsabili. Le modifiche sono comunicate al Titolare con almeno 30 giorni di preavviso tramite email all'indirizzo di contatto del Cliente, oltre alla pubblicazione sul sito www.qr-entra.com, salvo il caso di modifiche imposte da norme urgenti.

Il Titolare che non intenda accettare modifiche che comportino una riduzione significativa delle garanzie previste a favore degli interessati potrà recedere dal contratto senza oneri prima dell'entrata in vigore delle modifiche stesse.

18.Legge applicabile e foro competente

Il presente DPA è regolato dalla legge italiana. Per qualsiasi controversia è competente in via esclusiva il Foro di Milano, salvo competenza inderogabile di legge.

19.Clausole finali

In caso di conflitto tra il DPA e altri accordi fra le Parti in materia di trattamento dei dati personali, prevale il DPA. L'eventuale nullità o inefficacia di singole clausole non comporta la nullità dell'intero accordo.

Il presente DPA si intende sottoscritto dalle Parti al momento dell'accettazione dei Termini e Condizioni, contestualmente alla sottoscrizione del Servizio. Una copia aggiornata è sempre accessibile all'indirizzo www.qr-entra.com/dpa.html e può essere richiesta in formato firmato scrivendo a privacy@qr-entra.com.

A.Allegato A — Misure tecniche ed organizzative (art. 32 GDPR)

Alterabit adotta le misure indicate di seguito, aggiornate in modo equivalente o superiore nel corso del tempo.

A.1 Sicurezza fisica

• Data center certificati ISO 27001 situati nello Spazio Economico Europeo, con controllo accessi 24/7, videosorveglianza, rilevazione e spegnimento incendi, alimentazione ridondante, raffreddamento ridondato.

A.2 Controllo accessi logici

• Autenticazione nominativa di tutti gli utenti interni con credenziali personali;
• politiche di complessità delle password;
• autenticazione a più fattori (MFA) per gli accessi amministrativi all'infrastruttura cloud (portale e risorse Azure); l'accesso applicativo degli utenti della Piattaforma avviene con credenziali nominative e token di sessione a scadenza;
• autorizzazioni basate sui ruoli (RBAC) con permessi granulari e principio del minimo privilegio, con segregazione dei ruoli amministrativi;
• revisione periodica degli accessi e disattivazione tempestiva alla cessazione del rapporto;
• limitazione automatica della frequenza delle richieste (rate limiting) sugli endpoint sensibili, incluso il login.

A.3 Cifratura

• Cifratura dei dati in transito mediante TLS 1.2 o superiore con cipher suite moderne;
• cifratura at-rest dei database e degli archivi di backup (cifratura nativa della piattaforma cloud);
• gestione centralizzata dei segreti applicativi tramite vault dedicato (Azure Key Vault) con accesso tramite identità gestite, senza credenziali statiche nel codice;
• password utenti conservate con algoritmo di hashing one-way bcrypt con salt.

A.4 Pseudonimizzazione e minimizzazione

• Pseudonimizzazione degli identificativi per usi di supporto e debug ove possibile;
• separazione degli ambienti di produzione, staging e sviluppo;
• dati di produzione non utilizzati in ambienti non produttivi se non previa anonimizzazione.

A.5 Segregazione logica

• Architettura multi-tenant con isolamento logico dei dati di ciascun cliente;
• controlli applicativi per prevenire accessi cross-tenant;
• identificativi univoci per ciascuna organizzazione cliente.

A.6 Disponibilità e resilienza

• Infrastruttura gestita su piattaforma cloud (Microsoft Azure) con meccanismi nativi di alta affidabilità;
• backup automatici del database gestiti dalla piattaforma cloud, con conservazione separata e cifratura;
• procedure di ripristino basate sui meccanismi di point-in-time restore della piattaforma cloud;
• obiettivi RTO/RPO concordabili per Clienti con esigenze specifiche mediante Order Form.

A.7 Logging e monitoraggio

• Registro di audit applicativo immutabile delle operazioni rilevanti (creazione, modifica, cancellazione, accessi, anonimizzazioni), con marca temporale, autore e motivo;
• politica di assenza di dati personali nei log applicativi (indirizzi email registrati nei log di notifica solo in forma di hash crittografico);
• registrazione di IP e user-agent ai soli accessi degli utenti gestionali, a fini di sicurezza.

A.8 Gestione vulnerabilità e patching

• Aggiornamenti di sicurezza di sistema gestiti dalla piattaforma cloud (servizi PaaS gestiti);
• aggiornamento delle dipendenze applicative con priorità basata sulla criticità delle vulnerabilità note;
• verifiche di sicurezza periodiche sul perimetro applicativo, con validazione rigorosa degli input (sanitizzazione, controlli sui file caricati, protezioni anti-injection ed anti-automazione).

A.9 Gestione del personale

• Clausole di riservatezza nei contratti di tutti i dipendenti e collaboratori;
• formazione periodica su privacy e sicurezza delle informazioni;
• procedure di on-boarding e off-boarding con attribuzione/revoca tempestiva degli accessi.

A.10 Gestione incidenti e data breach

• Procedura interna documentata di incident response;
• registro degli incidenti di sicurezza;
• canali dedicati per la comunicazione tempestiva ai clienti ai sensi dell'art. 11 del DPA.

A.11 Sviluppo sicuro

• Pratiche di secure coding e revisione del codice prima del rilascio;
• validazione automatica delle modifiche in pipeline CI/CD con processo di build e rilascio controllato;
• controllo delle dipendenze open source e dei rispettivi aggiornamenti di sicurezza;
• separazione tra ambienti e divieto di utilizzo di dati di produzione in ambienti non produttivi (cfr. A.4).

B.Allegato B — Elenco dei Sub-responsabili autorizzati

Di seguito è riportato l'elenco dei Sub-responsabili attualmente impiegati da Alterabit per l'erogazione della Piattaforma. L'elenco è suscettibile di aggiornamento secondo la procedura di cui all'articolo 9. La versione sempre aggiornata è pubblicata a questa stessa URL.
Ultimo aggiornamento dell'elenco: 10 giugno 2026 (rev. 2)

C.Allegato C — Dettaglio del trattamento