Accordo sul trattamento dei dati (DPA)

1. Oggetto e durata

Il responsabile del trattamento ospita e tratta i dati personali che l’organizzazione inserisce in Galla, per tutto il tempo in cui l’organizzazione utilizza il servizio e fino alla cancellazione dei suoi dati.

2. Ambito del trattamento

• Interessati: il team dell’organizzazione, gli ospiti e i gruppi con cui sono invitati, i referenti di fornitori e sponsor, gli acquirenti di biglietti e le persone in lista d’attesa.
• Dati: nomi, recapiti, risposte, scelte dei pasti, note su diete e allergie (che possono rivelare dati relativi alla salute o alla religione), posti, biglietti e pagamenti, foto, messaggi, file, richieste di assistenza e registro di audit.
• Finalità: pianificare e gestire gli eventi dell’organizzazione con Galla e fornire assistenza all’organizzazione su sua richiesta.

3. Obblighi del responsabile del trattamento

• Trattare i dati soltanto su istruzione documentata dell’organizzazione (il suo utilizzo di Galla e i presenti termini), anche per quanto riguarda i trasferimenti, salvo che lo richieda il diritto dell’Unione europea o di uno Stato membro, nel qual caso ne informa preventivamente l’organizzazione, a meno che tale diritto lo vieti; e informare l’organizzazione qualora un’istruzione sembri violare la normativa in materia di protezione dei dati.
• Garantire che chiunque abbia accesso ai dati sia vincolato alla riservatezza e che il personale di Galla acceda a un’organizzazione soltanto per fornirle assistenza, indicando un motivo che i titolari dell’organizzazione possono leggere nel registro degli accessi.
• Proteggere i dati con le misure tecniche e organizzative di cui alla sezione 6.
• Ricorrere esclusivamente ai sub-responsabili del trattamento elencati nella relativa pagina, che l’organizzazione autorizza in via generale. Comunicare ogni aggiunta o sostituzione ai titolari dell’organizzazione nella gestione e su tale pagina con 30 giorni di anticipo. L’organizzazione può opporsi per ragionevoli motivi attinenti alla protezione dei dati; in mancanza di una soluzione, può cessare il servizio prima che la modifica abbia effetto, dopo aver scaricato i propri dati. Imporre a ciascun sub-responsabile gli stessi obblighi e restarne responsabile.
• Assistere l’organizzazione nel dare seguito alle richieste degli interessati: esportazione e cancellazione dei dati di un ospite, moduli «I suoi dati» per ospiti, fornitori e sponsor, ed esportazione dell’organizzazione.
• Informare l’organizzazione senza ingiustificato ritardo, e comunque entro 48 ore, dopo essere venuto a conoscenza di una violazione che riguardi i suoi dati, comunicando quanto noto (natura, interessati e registrazioni coinvolti, probabili conseguenze, misure adottate, un punto di contatto), e integrare tali informazioni man mano che ne emergono di nuove.
• Assistere l’organizzazione nelle valutazioni d’impatto e nelle consultazioni preventive, ove necessario, e tenere un registro dei trattamenti effettuati per conto dell’organizzazione.
• Al termine, cancellare i dati (l’organizzazione può prima scaricarli): sono cancellati 14 giorni dopo la richiesta del titolare dell’organizzazione e scompaiono dai backup entro ulteriori 37 giorni. Viene conservato soltanto quanto richiesto dalla legge, come le fatture.
• Mettere a disposizione dell’organizzazione le informazioni necessarie a dimostrare la conformità e consentire ragionevoli attività di audit.

4. Obblighi dell’organizzazione

L’organizzazione, in qualità di titolare del trattamento, dispone di una base giuridica per i dati che raccoglie (e, per le note su diete e allergie, di una delle condizioni di cui all’articolo 9, come il consenso esplicito dell’interessato), informa gli interessati, stabilisce chi nel proprio team può consultare le note sensibili e dà seguito alle richieste degli interessati.

5. Trasferimenti

I dati sono ospitati nell’Unione europea. Un sub-responsabile del trattamento può trattarne una parte al di fuori dell’UE soltanto in presenza di una garanzia prevista dal Capo V del GDPR: una decisione di adeguatezza, come quella relativa all’EU-US Data Privacy Framework (quadro UE-USA per la protezione dei dati personali) per un fornitore certificato, oppure le clausole contrattuali tipo della Commissione europea. La pagina dei sub-responsabili del trattamento indica la garanzia applicabile a ciascuno.

6. Misure tecniche e organizzative

• Le righe di ciascuna organizzazione sono separate mediante la sicurezza a livello di riga del database; il ruolo di database dell’applicazione non può eluderla.
• Cifratura in transito (solo HTTPS) e a riposo; le note su diete e allergie e i segreti delle organizzazioni sono cifrati ulteriormente dall’applicazione.
• Il team accede con un secondo fattore; i ruoli limitano chi può vedere cosa; i link degli ospiti sono casuali, conservati solo sotto forma di hash e mai scritti nei log.
• Le modifiche a ospiti, risposte, posti e pagamenti sono annotate in un registro di audit; gli accessi dell’assistenza sono registrati e consultabili dai titolari dell’organizzazione.
• Backup giornalieri conservati in una seconda regione dell’UE, ripristino point-in-time e un test di ripristino ogni settimana.
• Monitoraggio e avvisi, e una procedura scritta di gestione degli incidenti.