Accordo sul Trattamento dei Dati (DPA - Art. 28 GDPR)
1. Ruoli e Finalità del Trattamento
Ai sensi del Regolamento (UE) 2016/679 (GDPR):
- Il Cliente agisce in qualità di Titolare del Trattamento (Data Controller) relativamente a tutti i dati personali dei propri visitatori, ospiti, fornitori e dipendenti inseriti o transitati attraverso l'applicazione Rivo.
- Rivo S.r.l. agisce in qualità di Responsabile del Trattamento (Data Processor), trattando i dati esclusivamente per conto e secondo le istruzioni documentate del Cliente.
2. Categorie di Dati e Soggetti Interessati
| Tipologia di Dati | Interessati | Finalità |
|---|---|---|
| Nome, Cognome, Azienda di provenienza, Email, Numero di telefono, Documento d'identità (se richiesto dal Cliente), Firma digitale, Orari ingresso/uscita | Visitatori, Ospiti, Consulenti, Fornitori esterni | Controllo accessi, sicurezza delle sedi, registro presenze ed emergenze D.Lgs 81/08 |
| Nome, Cognome, Email aziendale, Reparto, Numero di telefono interno | Dipendenti e Collaboratori del Cliente | Notifiche di arrivo ospite e rubrica referenti interni |
3. Misure Tecniche e Organizzative di Sicurezza (TOMs)
Rivo S.r.l. implementa misure di sicurezza all'avanguardia per garantire la riservatezza, l'integrità e la disponibilità dei dati:
- Crittografia: Dati cifrati a riposo (AES-256) e in transito con protocollo TLS 1.3 (HTTPS crittografato).
- Privacy by Design & by Default: Mascheramento automatico dei dati sul tablet dopo il check-in per impedire che i visitatori successivi leggano i nominativi precedenti (rispetto totale del divieto di registri cartacei aperti).
- Data Retention e Cancellazione Automatica: Possibilità per il Cliente di impostare policy di cancellazione o anonimizzazione automatica programmata (es. 30, 60, 90 giorni).
- Infrastruttura Cloud UE: Server e backup ospitati esclusivamente su datacenter situati all'interno dell'Unione Europea (Francoforte / Milano) con certificazioni ISO 27001, SOC 2 Type II e GDPR compliance.
4. Sub-Responsabili del Trattamento (Sub-processors)
Il Cliente autorizza in via generale Rivo S.r.l. ad avvalersi di sub-responsabili per l'erogazione dell'infrastruttura cloud (es. AWS/Google Cloud regione UE), l'invio di notifiche transazionali (SMS/WhatsApp/Email) e la gestione dei pagamenti crittografati. Eventuali modifiche o integrazioni all'elenco dei sub-responsabili saranno notificate con congruo anticipo.
5. Diritti degli Interessati e Notifica Data Breach
Rivo S.r.l. fornisce al Cliente gli strumenti software necessari per rispondere tempestivamente alle richieste di esercizio dei diritti degli interessati (accesso, rettifica, cancellazione, portabilità). In caso di violazione dei dati personali (Data Breach), Rivo S.r.l. informerà il Cliente senza indebito ritardo e comunque entro 48 ore dalla presa di conoscenza.
6. Restituzione e Cancellazione dei Dati
Alla cessazione del contratto, Rivo S.r.l. consentirà al Cliente di esportare tutti i registri storici in formato strutturato (CSV/Excel) e procederà alla cancellazione sicura e definitiva dei dati dai propri sistemi di produzione e backup entro 30 giorni.