Accordo sul trattamento dei dati

Le parti

Questo accordo è concluso tra l'organizzazione che usa SCDD e accetta i Termini di servizio (il «Cliente»), titolare del trattamento, e CIRCULARWARE S.R.L., con sede in Via dell'Ospedale 16, 12062 Cherasco (CN), Italia, P. IVA, C.F. e n. di iscrizione al Registro delle imprese 04067220048, REA CN-333814, capitale sociale � 10.150,00 i.v., PEC circularwaresrl@pro-pec.it («CircularWare»), responsabile del trattamento.

Premesse

A. CircularWare fornisce SCDD, un servizio web di due diligence della filiera con cui ogni azienda prepara il proprio fascicolo (profilo, autovalutazione, documenti, piano di miglioramento, capacità produttiva), lo condivide con i clienti che sceglie e risponde alle checklist che i clienti gli chiedono, anche con l'aiuto di studi di consulenza delegati.

B. Per preparare il fascicolo il Cliente può caricare dati personali di altre persone, in particolare dei propri lavoratori. Per questi dati il Cliente è titolare del trattamento e CircularWare li tratta per suo conto.

C. Questo accordo stabilisce, come chiede l'art. 28 GDPR, le istruzioni, gli obblighi e le garanzie di questo trattamento. Fa parte dei Termini di servizio di SCDD; per la protezione dei dati prevale su di essi.

1. Definizioni

1.1 I termini definiti nel GDPR, come «dato personale», «trattamento», «titolare», «responsabile», «violazione dei dati personali» e «interessato», hanno il significato che il GDPR dà loro; quelli con l'iniziale maiuscola sono definiti in questo articolo.

1.2 Dati del Cliente: i dati personali che il Cliente, i suoi utenti o gli studi da lui delegati inseriscono o caricano nell'area del Cliente su SCDD, e che CircularWare tratta per conto del Cliente. Sono descritti nell'allegato A.

1.3 Utenti: le persone che lavorano su SCDD per il Cliente, come suoi membri o come membri di uno studio delegato.

1.4 Studio delegato: lo studio di consulenza a cui il Cliente ha dato una delega aperta su SCDD.

1.5 Cliente destinatario: l'organizzazione con cui il Cliente, come fornitore, ha condiviso il proprio fascicolo.

1.6 Sub-responsabile: un fornitore di CircularWare che tratta Dati del Cliente (allegato C).

2. Oggetto, ruoli e ambito

2.1 CircularWare tratta i Dati del Cliente come responsabile, solo per fornire SCDD al Cliente: conservarli, organizzarli, mostrarli agli Utenti autorizzati, comunicarli ai Clienti destinatari e agli Studi delegati scelti dal Cliente, produrre i report in PDF, cancellarli. Natura, finalità, durata, categorie di dati e di interessati sono nell'allegato A.

2.2 CircularWare è invece titolare autonomo dei dati che tratta per gestire il servizio e il contratto, descritti nell'Informativa privacy di SCDD: dati degli account degli Utenti, inviti, dati di fatturazione e pagamenti, registro degli accessi dei Clienti destinatari ai fascicoli condivisi, dati di sicurezza, statistiche del sito. Questo accordo non li riguarda. [[DA DECIDERE: ruolo per il registro degli accessi, punto 2]]

2.3 Il Cliente può essere a sua volta responsabile per conto di un altro titolare (per esempio uno studio che usa SCDD per i propri clienti). In quel caso il Cliente dichiara di avere l'autorizzazione scritta del titolare a ricorrere a CircularWare come ulteriore responsabile, alle condizioni di questo accordo, e CircularWare agisce come sub-responsabile del Cliente.

2.4 CircularWare non tratta i Dati del Cliente per scopi propri. Può usare dati aggregati sull'uso del servizio (per esempio quante organizzazioni, inviti o deleghe ci sono) che non contengono contenuti del fascicolo né dati che identificano interessati. [[DA DECIDERE: punto 13]]

3. Istruzioni del Cliente

3.1 CircularWare tratta i Dati del Cliente solo su istruzione documentata del Cliente, anche per i trasferimenti fuori dallo Spazio economico europeo, salvo che lo richieda il diritto dell'Unione o di uno Stato membro; in quel caso informa prima il Cliente, se la legge non lo vieta.

3.2 Sono istruzioni documentate del Cliente: i Termini di servizio e questo accordo; le scelte fatte dagli Utenti con le funzioni di SCDD, come caricare o eliminare un documento, scegliere «disponibile in audit», concedere o revocare una condivisione, mostrare o nascondere il carico delle linee produttive, invitare persone, dare, cambiare o revocare una delega, inviare la checklist che un cliente ha chiesto; le richieste scritte del Cliente a CircularWare, nei limiti delle funzioni del servizio.

3.3 CircularWare informa subito il Cliente se ritiene che un'istruzione violi il GDPR o altre norme sulla protezione dei dati.

4. Obblighi del Cliente

4.1 Il Cliente garantisce di avere una base giuridica per caricare i Dati del Cliente e, per le categorie particolari di dati (art. 9 GDPR), una delle condizioni dell'art. 9.2, come gli obblighi del diritto del lavoro e della sicurezza sul lavoro.

4.2 Il Cliente informa gli interessati del trattamento (artt. 13 e 14 GDPR), anche indicando CircularWare come responsabile e i Clienti destinatari a cui comunica il fascicolo.

4.3 Il Cliente carica solo i dati necessari. Per i tipi di documento con dati personali dei lavoratori SCDD propone «disponibile in audit» (il documento si dichiara e si mostra all'auditor, senza caricarlo); se il Cliente sceglie di caricarli, lo fa sotto la propria responsabilità. In particolare il Cliente non carica:

• cartelle sanitarie e di rischio o altra documentazione clinica dei lavoratori: delle visite mediche carica al più i giudizi di idoneità;
• dati relativi a condanne penali e reati (art. 10 GDPR);
• l'identità di chi ha fatto una segnalazione protetta dal D.Lgs. 24/2023 o altri dati che permettano di risalirvi: SCDD non è un canale di segnalazione;
• dati di persone non collegate alla due diligence della filiera.

4.4 SCDD tiene lontani dai Clienti destinatari solo i file dei tipi di documento che il catalogo segna come contenenti dati personali dei lavoratori (allegato A). Un documento caricato in un altro tipo può essere visto e scaricato dai Clienti destinatari: il Cliente non vi inserisce dati personali che non vuole comunicare, oppure li oscura prima di caricarli.

4.5 Il Cliente sceglie e gestisce i propri Utenti, i ruoli, le deleghe agli Studi e le condivisioni, e ne risponde.

4.6 Le istruzioni del Cliente rispettano il GDPR. Il Cliente risponde dei Dati del Cliente comunicati ai Clienti destinatari e agli Studi delegati per sua scelta.

5. Persone autorizzate e riservatezza

5.1 CircularWare permette di accedere ai Dati del Cliente solo alle persone che ne hanno bisogno per gestire, mantenere e assistere il servizio, autorizzate per iscritto e impegnate alla riservatezza o soggette a un obbligo legale di riservatezza.

5.2 Gli amministratori della piattaforma di SCDD, nelle funzioni dell'applicazione, non entrano nelle aree delle organizzazioni: vedono solo pagamenti, dati di fatturazione, regole del punteggio e statistiche aggregate. L'accesso diretto a server, database e archivio dei file è riservato alle persone che gestiscono l'infrastruttura [[DA COMPLETARE: elenco dei ruoli]].

5.3 CircularWare accede ai contenuti di un'organizzazione solo quando serve per assistenza richiesta dal Cliente, per la sicurezza del servizio o per obbligo di legge.

6. Sicurezza

6.1 CircularWare applica le misure tecniche e organizzative dell'allegato B, adeguate al rischio come chiede l'art. 32 GDPR.

6.2 CircularWare può cambiare le misure nel tempo senza abbassare il livello di sicurezza complessivo. L'allegato B dice anche quali misure mancano oggi: CircularWare le aggiorna e lo comunica al Cliente.

7. Sub-responsabili

7.1 Il Cliente dà a CircularWare un'autorizzazione generale a ricorrere ai Sub-responsabili dell'allegato C.

7.2 CircularWare comunica al Cliente l'aggiunta o la sostituzione di un Sub-responsabile almeno 30 giorni prima, per email agli amministratori del Cliente e aggiornando l'elenco sul sito. Un esempio: un servizio di intelligenza artificiale per riconoscere i documenti, se arriverà.

7.3 Entro quei 30 giorni il Cliente può opporsi per motivi ragionevoli legati alla protezione dei dati. Se non si trova una soluzione, il Cliente può recedere dal contratto prima che il cambio valga, con il rimborso della parte non goduta dei periodi pagati.

7.4 CircularWare impone a ogni Sub-responsabile, per contratto, obblighi di protezione dei dati non meno rigorosi di questo accordo, e risponde verso il Cliente dell'adempimento dei Sub-responsabili (art. 28.4 GDPR).

8. Trasferimenti fuori dallo Spazio economico europeo

8.1 CircularWare trasferisce Dati del Cliente fuori dallo SEE solo con una delle garanzie del capo V del GDPR (decisione di adeguatezza, clausole contrattuali tipo con le eventuali misure supplementari, o altra garanzia ammessa). I trasferimenti attuali sono nell'allegato C.

8.2 Quando il Cliente condivide il fascicolo con un Cliente destinatario o delega uno Studio con sede fuori dallo SEE, il trasferimento è deciso dal Cliente, che ne verifica le condizioni. [[DA DECIDERE: punto 4]]

9. Assistenza al Cliente

9.1 Diritti degli interessati. Tenendo conto della natura del trattamento, CircularWare aiuta il Cliente a rispondere alle richieste degli interessati (artt. 15-22 GDPR): con le funzioni del servizio (consultare, correggere, eliminare documenti, scaricare file) e, dove non bastano, con interventi su richiesta scritta entro 10 giorni lavorativi. CircularWare non risponde direttamente agli interessati sui Dati del Cliente: gira al Cliente, entro 5 giorni lavorativi, le richieste che riceve.

9.2 Sicurezza, valutazioni d'impatto, consultazioni. CircularWare aiuta il Cliente a rispettare gli artt. 32-36 GDPR, fornendo le informazioni di cui dispone sul servizio, anche per una valutazione d'impatto. [[DA COMPLETARE: una DPIA modello del servizio, punto 12]]

10. Violazioni dei dati personali

10.1 CircularWare notifica al Cliente ogni violazione dei dati personali che riguardi i Dati del Cliente senza ingiustificato ritardo e comunque entro 48 ore da quando ne viene a conoscenza, con la procedura dell'allegato D.

10.2 La notifica contiene, nella misura in cui sono note, le informazioni dell'art. 33.3 GDPR; quelle che mancano si danno appena disponibili.

10.3 CircularWare prende subito le misure ragionevoli per contenere la violazione e attenuarne gli effetti e collabora con il Cliente. Notificare all'autorità di controllo e comunicare agli interessati (artt. 33 e 34) spetta al Cliente; CircularWare non lo fa al suo posto, salvo accordo scritto o obbligo di legge.

10.4 CircularWare documenta ogni violazione che riguardi i Dati del Cliente: fatti, effetti, misure prese.

11. Informazioni e audit

11.1 CircularWare mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto dell'art. 28 GDPR: questo accordo, l'elenco dei Sub-responsabili, la descrizione delle misure e, su richiesta, le risposte a un questionario di sicurezza.

11.2 Se le informazioni non bastano, il Cliente può far svolgere un audit, anche in loco, da un revisore indipendente tenuto alla riservatezza: al massimo una volta l'anno, con preavviso scritto di almeno 30 giorni, in orario lavorativo, senza accedere ai dati di altre organizzazioni e a spese del Cliente. Il limite annuale e le spese non valgono dopo una violazione dei dati che riguardi il Cliente o se lo chiede un'autorità di controllo. [[DA DECIDERE: punto 9]]

12. Studi di consulenza e deleghe

12.1 Una delega è un'istruzione del Cliente a far lavorare nella sua area le persone dello Studio delegato, con il ruolo che il Cliente sceglie e fino alla scadenza o alla revoca. Le persone dello Studio vedono tutto quello che vede un membro del Cliente con lo stesso ruolo, compresi i file dei documenti con dati personali dei lavoratori.

12.2 Il rapporto tra Cliente e Studio, anche per la protezione dei dati (per esempio la nomina dello Studio a responsabile), è tra loro: CircularWare non ne fa parte e non risponde del trattamento dello Studio.

12.3 Quando uno Studio crea su SCDD l'azienda di un proprio cliente, lo Studio dichiara di avere dal cliente l'incarico di farlo e di accettare per suo conto i Termini di servizio e questo accordo. Il cliente diventa il Cliente di questo accordo e può in ogni momento entrare con le proprie persone, cambiare o revocare la delega. [[DA DECIDERE: punto 1 e punto 3]]

12.4 Il Cliente può revocare la delega in ogni momento: lo Studio perde l'accesso da subito.

13. Condivisione del fascicolo con i Clienti destinatari

13.1 Una condivisione è un'istruzione del Cliente a comunicare a un Cliente destinatario: stati e scadenze dei documenti, i file dei tipi senza dati personali dei lavoratori, il risultato dell'ultima autovalutazione inviata e, solo se il Cliente lo sceglie a parte, il carico settimanale delle linee produttive senza commesse, nomi di clienti o note. Note dei documenti, siti, piano di miglioramento e bozze non vengono comunicati. Delle checklist che il Cliente destinatario ha chiesto al Cliente, la condivisione comunica a quel solo Cliente destinatario il risultato dell'ultima autovalutazione inviata, con le note sulle risposte «no» e «in parte» e le risposte alle domande, tranne quelle alle domande della libreria comune segnate come contenenti dati personali; il nome di chi l'ha inviata non viene comunicato.

13.2 Dei documenti con dati personali dei lavoratori il Cliente destinatario vede solo esistenza, stato e date, mai i file.

13.3 Quello che il Cliente destinatario vede o scarica, compresi i report in PDF, lo tratta come titolare autonomo. CircularWare registra ogni apertura del fascicolo o del risultato di una checklist e ogni scaricamento di file o report da parte del Cliente destinatario, e il Cliente può consultare il registro.

13.4 La revoca della condivisione vale da subito per gli accessi successivi; non riguarda le copie già scaricate.

14. Durata, cancellazione e restituzione

14.1 Questo accordo dura quanto il contratto tra il Cliente e CircularWare per l'uso di SCDD e, dopo, finché CircularWare tratta Dati del Cliente.

14.2 Durante il contratto, i dati che il Cliente elimina con le funzioni del servizio si cancellano dal database e dall'archivio dei file subito, e dalle copie di sicurezza entro la loro rotazione.

14.3 Alla fine del contratto CircularWare, a scelta del Cliente, restituisce e poi cancella i Dati del Cliente, con la procedura dell'allegato E, salvo che il diritto dell'Unione o di uno Stato membro ne imponga la conservazione.

15. Responsabilità

15.1 Ciascuna parte risponde verso gli interessati come prevede l'art. 82 GDPR. Nei rapporti tra le parti vale quanto stabilito nei Termini di servizio. [[DA DECIDERE: punto 10]]

16. Disposizioni finali

16.1 Per la protezione dei dati questo accordo prevale sui Termini di servizio; per il resto valgono questi ultimi, compresi legge applicabile e foro.

16.2 CircularWare può aggiornare questo accordo e i suoi allegati per adeguarli alla legge, alle indicazioni delle autorità o al servizio, con le stesse regole delle modifiche dei Termini di servizio; l'elenco dei Sub-responsabili cambia con la procedura dell'articolo 7.

16.3 L'accordo è scritto in italiano e tradotto in inglese e francese: se le versioni non coincidono, vale quella italiana.

Allegato A. Descrizione del trattamento

A.1 Natura e finalità. Conservazione, organizzazione, consultazione e visualizzazione agli Utenti autorizzati; comunicazione ai Clienti destinatari e agli Studi delegati scelti dal Cliente; produzione su richiesta di report in PDF (che non si salvano); cancellazione. Il trattamento è automatizzato e continuativo per tutta la durata del contratto. Finalità: permettere al Cliente di preparare, tenere aggiornato e mostrare il proprio fascicolo di due diligence della filiera.

A.2 Categorie di interessati:

• lavoratori del Cliente, attuali e passati: dipendenti, lavoratori temporanei e somministrati, tirocinanti e apprendisti, anche dei siti produttivi;
• persone che hanno presentato reclami o segnalazioni attraverso il meccanismo di reclamo del Cliente;
• persone nominate nei documenti del fascicolo: per esempio responsabili della sicurezza, medico competente, auditor, consulenti, firmatari;
• referenti e persone di clienti, fornitori e terzisti nominate nelle commesse, nelle note, nei documenti o nelle risposte alle checklist;
• Utenti del Cliente, per i dati che il Cliente inserisce su di loro nella sua area (per esempio il responsabile di un'azione del piano di miglioramento o l'autore di una giustificazione). I dati dei loro account li tratta CircularWare come titolare.

A.3 Categorie di dati. Dipendono dai documenti che il Cliente sceglie di caricare. Il catalogo del framework segna come contenenti dati personali dei lavoratori questi 11 tipi di documento, i cui file non vengono mai comunicati ai Clienti destinatari e che di base sono «disponibile in audit»:

• HS-P-12, visite mediche e sorveglianza sanitaria: dati sulla salute (art. 9), giudizi di idoneità;
• SOC-P-07, buste paga degli ultimi 12 mesi e prova del pagamento: retribuzioni, coordinate bancarie; possibili dati sulla salute (malattia) e sull'iscrizione a un sindacato (trattenute) (art. 9);
• SOC-P-09, pagamenti tracciati degli stipendi negli ultimi sei mesi: retribuzioni, coordinate bancarie;
• SOC-P-10, dettaglio dei lavoratori temporanei: identità, agenzia, periodi di lavoro;
• SOC-P-11, elenco dei dipendenti per nazionalità, genere, età, anzianità, contratto e retribuzione: dati anagrafici e del rapporto di lavoro, nazionalità;
• SOC-O-02, registri del meccanismo di segnalazione dei reclami: identità e contenuto dei reclami;
• SOC-O-03, contratti di tirocinio e apprendistato: dati del rapporto di lavoro, età;
• SOC-O-06, documenti d'identità, permessi di lavoro e rinnovi: documenti d'identità con fotografia, permessi di soggiorno, nazionalità;
• SOC-O-07, registri di provvedimenti disciplinari e licenziamenti: dati disciplinari;
• SOC-O-08, contratti di lavoro: dati del rapporto di lavoro;
• SOC-O-09, registri di presenze e orari: presenze, orari, assenze.

Gli altri documenti, le note, le commesse e le risposte possono contenere dati identificativi e di contatto di persone (nome, ruolo, firma, indirizzo email o telefono). Non sono previsti dati relativi a condanne penali e reati (art. 10), né documenti clinici (articolo 4.3).

A.4 Durata. Per tutta la durata del contratto, poi secondo l'allegato E.

A.5 Luogo. Applicazione e database su un server di Aruba S.p.A., in un data center a [[DA CONFERMARE: sede del data center]]. Archivio dei file su Microsoft Azure, in un data center della regione [[DA CONFERMARE: regione di Azure, nello SEE]]. Email di servizio tramite Twilio SendGrid (Stati Uniti), allegato C.

Allegato B. Misure tecniche e organizzative

B.1 Misure applicate.

Separazione tra organizzazioni e controllo degli accessi:

• ogni dato di un'organizzazione porta l'organizzazione e riceve un filtro nel database: senza organizzazione corrente non si vede nulla;
• chi lavora in un'organizzazione e con quale ruolo (lettore, compilatore, amministratore) lo decide un solo controllo: membro attivo, oppure membro attivo di uno studio con una delega aperta e non scaduta, con il ruolo minore tra delega e studio. Ogni salvataggio rilegge ruoli e deleghe dal database prima di procedere; regole provate da test automatici;
• i dati di un'altra organizzazione si leggono solo con una condivisione aperta, verificata a ogni accesso; la revoca vale dalla richiesta successiva;
• ai Clienti destinatari non arrivano mai i file dei tipi con dati personali, le note dei documenti, i siti, il piano di miglioramento, le bozze e le risposte alle domande segnate come contenenti dati personali; delle checklist, un Cliente destinatario vede solo quelle che ha chiesto lui;
• registro di ogni apertura di fascicolo o di risultato di una checklist e di ogni scaricamento di file o PDF da parte dei Clienti destinatari, che non si modifica e che il fornitore consulta;
• gli amministratori della piattaforma sono un elenco chiuso in configurazione, con email confermata, riletto dal database a ogni richiesta; non entrano nelle organizzazioni.

Autenticazione e sessioni:

• password di almeno 10 caratteri conservata solo come impronta con sale; email confermata obbligatoria per entrare; blocco per 15 minuti dopo 5 tentativi sbagliati;
• cookie di sessione non leggibili da JavaScript, SameSite=Lax, inviati solo su HTTPS, con scadenza 8 ore dall'ultima attività; stato dell'utente ricontrollato ogni 30 minuti a sessione aperta; protezione dei moduli dagli invii falsi;
• limite di 10 invii al minuto per indirizzo IP sui moduli anonimi (accesso, registrazione, password, inviti, test gratuito), con lo stesso messaggio in ogni caso per non rivelare chi è registrato;
• codici di invito conservati solo come impronta SHA-256, validi 7 giorni e una volta sola; tetto agli inviti per organizzazione.

Trasmissione e applicazione:

• HTTPS con reindirizzamento e HSTS; intestazioni di sicurezza (X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy);
• chiavi di protezione dei cookie proprie dell'applicazione, separate da quelle di altre applicazioni sulla stessa macchina;
• segreti (database, email, pagamenti) fuori dal codice sorgente; l'applicazione non parte se mancano, e in sviluppo rifiuta le chiavi di pagamento reali.

File:

• ogni caricamento passa da un solo controllo: estensioni chiuse (pdf, jpg, png, docx, xlsx), contenuto coerente con l'estensione, documenti Office con macro rifiutati, 20 MB al massimo, impronta SHA-256;
• archivio su Microsoft Azure, separato dal server dell'applicazione: contenitore privato (l'applicazione non parte se è pubblico), raggiunto solo in HTTPS, con i file cifrati a riposo da Azure; percorsi generati dal sistema e mai dall'utente, nessuna sovrascrittura;
• scaricamento solo da indirizzi che verificano l'appartenenza o la condivisione, senza copie nella cache del browser; i report PDF si generano a richiesta, non si salvano, e solo per chi ha accesso;
• per i tipi di documento con dati personali dei lavoratori la scelta proposta è «disponibile in audit», senza caricamento.

Minimizzazione e servizi esterni:

• le email partono con il tracciamento di aperture e clic spento;
• i dati della carta non passano da SCDD: il pagamento avviene sulle pagine di Stripe. Gli avvisi di Stripe si accettano solo con la firma verificata e una volta sola;
• i registri dell'applicazione indicano utenti e organizzazioni con un identificativo numerico, non con l'email;
• il test gratuito del sito non salva le risposte; la misura delle visite non salva IP né identificativi e non usa cookie.

B.2 Misure che mancano oggi [[DA DECIDERE: quali servono prima del lancio, punto 11]]:

• cifratura dei file con chiavi proprie: oggi Azure cifra i file a riposo con chiavi gestite da Microsoft; proposta: chiavi gestite da CircularWare o una cifratura applicativa, da valutare per i tipi con dati personali;
• cifratura del database a riposo: oggi dipende dal server; proposta: cifratura del database o del disco;
• protezione delle chiavi dei cookie: oggi salvate in una cartella senza cifratura; proposta: cifrarle e limitare i permessi della cartella;
• copie di sicurezza: oggi nessuna procedura definita; proposta: copie cifrate del database, conservate 30 giorni a rotazione in un luogo separato dal server di produzione, eliminazione temporanea dei file su Azure per lo stesso periodo e una prova di ripristino periodica;
• cancellazione e restituzione: oggi nessuna funzione per chiudere un account o un'azienda né per esportarne tutti i dati; si scaricano i singoli file e i PDF. Fino ad allora vale la procedura manuale dell'allegato E;
• tempi di conservazione automatici: oggi inviti e registro degli accessi restano senza scadenza; proposta: cancellazioni periodiche secondo l'Informativa privacy;
• secondo fattore di autenticazione: oggi assente; proposta: almeno per gli amministratori della piattaforma e delle organizzazioni;
• controllo antivirus dei file caricati: oggi assente (si controllano tipo e contenuto); proposta: scansione al caricamento;
• registro degli scaricamenti dei file con dati personali da parte di membri e studi: oggi si registrano solo gli accessi dei Clienti destinatari;
• esclusione dei file con dati personali dalle deleghe: oggi uno studio delegato li vede con qualsiasi ruolo; proposta: permettere al Cliente di escluderli;
• avviso al caricamento che i file dei tipi senza dati personali arrivano ai Clienti destinatari;
• registro nominativo degli accessi del personale di CircularWare a server e database, e allarmi su accessi anomali o errori ripetuti;
• residenza dei dati delle email nell'Unione europea: oggi le email passano dalla regione USA di SendGrid;
• verifiche di sicurezza: analisi delle dipendenze e test di intrusione prima del lancio.

B.3 Misure organizzative da adottare:

• elenco delle persone autorizzate ad accedere all'infrastruttura, con impegno scritto di riservatezza e accessi revocati alla fine dell'incarico;
• procedura per le violazioni dei dati (allegato D) e registro delle violazioni;
• registro dei trattamenti come titolare e come responsabile (art. 30 GDPR);
• contratti ex art. 28 con i Sub-responsabili e verifica delle loro garanzie;
• nessun dato reale negli ambienti di sviluppo e di prova;
• revisione di questo allegato almeno una volta l'anno e a ogni cambio importante del servizio.

Allegato C. Sub-responsabili

• Aruba S.p.A.: server dell'applicazione e database [[DA COMPLETARE: e copie di sicurezza, se si fanno con Aruba]]; tratta tutti i Dati del Cliente; luogo: [[DA CONFERMARE: sede del data center]]; nessuna garanzia per i trasferimenti se il data center è nello SEE.
• Microsoft Ireland Operations Limited (Microsoft Azure) [[DA VERIFICARE: società contraente, DPA di Microsoft e garanzie per eventuali accessi dagli Stati Uniti]]: archivio dei file caricati nel fascicolo; tratta i file, che possono contenere dati personali; luogo: [[DA CONFERMARE: regione di Azure, nello SEE]]; garanzie: Data Protection Addendum di Microsoft.
• Twilio Inc. (SendGrid) [[DA VERIFICARE: la società contraente per i clienti UE]]: invio delle email di servizio; tratta indirizzi email e nomi di persone e aziende nel testo delle email (inviti); luogo: Stati Uniti; garanzie: Data Privacy Framework UE-USA e clausole contrattuali tipo [[DA VERIFICARE]].

Non sono sub-responsabili per i Dati del Cliente, perché non li trattano, e sono indicati qui per trasparenza:

• Stripe (Stripe Payments Europe, Limited, Irlanda, con trattamenti di Stripe, Inc. negli Stati Uniti): pagamenti e abbonamenti. Tratta i dati di fatturazione e di pagamento del Cliente, di cui CircularWare è titolare, in parte come titolare autonomo (prevenzione delle frodi, obblighi di legge);
• il commercialista di CircularWare [[DA COMPLETARE]]: riceve ogni mese l'elenco dei pagamenti con i dati di fatturazione per emettere le fatture elettroniche.

Allegato D. Violazioni dei dati: procedura

• Chi avvisare. Chiunque in CircularWare noti un possibile incidente lo segnala subito a [[DA COMPLETARE: referente per la sicurezza e recapito]].
• Prima valutazione, entro 24 ore dalla segnalazione: che cosa è successo, quali organizzazioni e quali dati sono coinvolti, se l'incidente è ancora in corso. Si prendono subito le misure per fermarlo (per esempio revocare credenziali, bloccare un account, isolare un server).
• Notifica al Cliente, entro 48 ore da quando CircularWare sa che c'è una violazione che riguarda i Dati del Cliente: email agli amministratori dell'organizzazione e all'eventuale contatto privacy indicato dal Cliente [[DA COMPLETARE: dove il Cliente lo indica]]. La notifica dice, per quanto noto, la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni coinvolti, un contatto di CircularWare per avere informazioni, le conseguenze probabili e le misure prese o proposte, anche per attenuare gli effetti.
• Aggiornamenti man mano che si sa di più, fino alla chiusura.
• Il Cliente decide se notificare l'autorità di controllo (entro 72 ore da quando ne è venuto a conoscenza, art. 33) e se comunicare agli interessati (art. 34). CircularWare gli dà le informazioni che servono.
• Registro e rapporto finale: ogni violazione si annota nel registro di CircularWare; entro 30 giorni dalla chiusura il Cliente coinvolto riceve un rapporto con le cause e le misure prese per evitare che si ripeta.
• Le violazioni dei dati di cui CircularWare è titolare (account, fatturazione) seguono la stessa procedura interna, ma la notifica all'autorità la fa CircularWare.

Oggi il servizio non ha monitoraggio né allarmi che aiutino a scoprire una violazione (allegato B.2): finché mancano, la scoperta dipende dai registri dell'applicazione e del server e dalle segnalazioni degli utenti.

Allegato E. Cancellazione e restituzione a fine contratto

• Quando finisce il contratto: quando il Cliente chiude la propria organizzazione, quando una delle parti recede secondo i Termini di servizio, o quando CircularWare chiude il servizio. La disdetta di un piano a pagamento non chiude il contratto: l'organizzazione continua con le funzioni gratuite. [[DA DECIDERE: organizzazioni gratuite inattive, punto 14]]
• Restituzione. Per 30 giorni dalla fine del contratto il Cliente può chiedere una copia completa dei Dati del Cliente: i file con tutte le versioni e i dati del fascicolo in un formato strutturato e di uso comune [[DA COMPLETARE: formato]], senza costi. Durante il contratto può farlo in ogni momento (Termini di servizio, sezione 19).
• Cancellazione. Trascorsi i 30 giorni, o prima se il Cliente lo chiede per iscritto, CircularWare cancella entro 30 giorni i Dati del Cliente dal database e dall'archivio dei file, e dalle copie di sicurezza entro la loro rotazione [[DA COMPLETARE: durata, proposta 30 giorni]]. Su richiesta conferma la cancellazione per iscritto.
• Che cosa resta. Restano i dati che CircularWare tratta come titolare e deve conservare per legge (per esempio i dati di fatturazione dei pagamenti, 10 anni) e, finché servono, i dati degli account degli Utenti che lavorano anche per altre organizzazioni. Restano fuori dal controllo di CircularWare le copie che i Clienti destinatari e gli Studi delegati hanno già scaricato.
• Aziende create da uno studio. Se un'azienda creata da uno Studio resta senza persone proprie e senza delega aperta, CircularWare avvisa lo Studio e i contatti noti dell'azienda e, se nessuno la riprende entro [[DA DECIDERE: numero di giorni]] giorni, procede come per la cancellazione.
• Durante il contratto. Un documento che il Cliente elimina si cancella subito con tutte le versioni e i file; dalle copie di sicurezza esce con la rotazione.
• Stato del servizio. Oggi chiusura, esportazione completa e cancellazione di un'organizzazione non esistono come funzioni (allegato B.2): fino a quando non ci saranno, CircularWare le esegue a mano su richiesta scritta, con una procedura interna documentata [[DA COMPLETARE]], negli stessi tempi.

Versione 2026-10-16.