Accordo sul trattamento dei dati (DPA)

1. Ruoli

Per i dati degli Allievi inseriti dall'Allenatore, l'Allenatore è titolare ai sensi dell'art. 4, n. 7 GDPR e l'Operatore è responsabile ai sensi dell'art. 4, n. 8 GDPR.

Per i dati dell'account dell'Allenatore, titolare è l'Operatore: tale trattamento non è oggetto del DPA, bensì dell'Informativa sulla Privacy.

2. Oggetto, durata, natura e finalità

Oggetto: trattamento dei dati degli Allievi per la fornitura del Servizio secondo i Termini.

Natura: raccolta, registrazione, conservazione, organizzazione, modifica, visualizzazione, comunicazione al solo Allenatore, limitazione e cancellazione nell'ambiente IT dell'Operatore.

Durata: per la vigenza del Contratto, fatte salve le clausole su restituzione o cancellazione.

3. Categorie di dati e di interessati

Dati: identificativi e contatti degli Allievi, note, materiali, compiti, video, calendario e metadati tecnici.

Interessati: Allievi dell'Allenatore, eventuali rappresentanti legali e altre persone i cui dati siano inseriti dall'Allenatore.

4. Obblighi del responsabile

L'Operatore tratta i dati solo su istruzioni documentate dell'Allenatore, costituite dal contratto, dai Termini e dalla configurazione dell'account. Se norme dell'Unione o di uno Stato membro impongono il trattamento, l'Operatore informa l'Allenatore, salvo divieto.

Le persone autorizzate al trattamento sono tenute alla riservatezza per impegno contrattuale o per legge.

5. Sicurezza (art. 32 GDPR)

L'Operatore adotta misure tecniche e organizzative adeguate, tra cui cifratura in transito, controlli di accesso basati su ruoli, principio del minimo privilegio, monitoraggio della sicurezza, backup periodici, politiche delle password e test di sicurezza.

La descrizione delle misure è messa a disposizione dell'Allenatore su richiesta, nella misura necessaria a dimostrare la conformità.

6. Sub-responsabili

L'Allenatore concede autorizzazione generale all'utilizzo dei sub-responsabili, inclusi hosting, archiviazione, e-mail transazionale e processore di pagamento. Un elenco aggiornato dei sub-responsabili viene fornito su richiesta all'indirizzo mindmotion.tech@gmail.com.

L'Operatore comunica le modifiche con almeno 30 giorni di anticipo. L'Allenatore può opporsi per motivi giustificati; in mancanza di soluzione, il Contratto può essere risolto secondo i Termini.

L'Operatore stipula con ogni sub-responsabile un contratto con livello di tutela equivalente e risponde verso l'Allenatore delle azioni e omissioni di tali sub-responsabili.

7. Assistenza e notifica delle violazioni

L'Operatore assiste l'Allenatore, nei limiti ragionevoli, nel rispondere alle richieste degli interessati e adempiere agli obblighi degli artt. 32-36 GDPR.

Comunica all'Allenatore le violazioni dei dati personali senza ingiustificato ritardo e comunque entro 48 ore dalla conoscenza, fornendo le informazioni utili per la notifica.

8. Audit

L'Operatore mette a disposizione dell'Allenatore le informazioni necessarie a dimostrare la conformità al GDPR e consente audit, inclusi sopralluoghi, condotti dall'Allenatore o da un revisore da esso incaricato, secondo le condizioni concordate, nel rispetto dei segreti commerciali e dei dati di altri clienti.

Può dimostrare la conformità anche mediante report di audit in corso di validità (es. SOC 2, ISO 27001) o equivalenti.

9. Trasferimenti internazionali

L'Operatore trasferisce dati al di fuori del SEE solo con garanzie adeguate ai sensi del Capo V GDPR, in particolare le Clausole Contrattuali Standard. L'elenco dei sub-responsabili indica le ubicazioni.

10. Restituzione o cancellazione

Al termine del Servizio, a scelta dell'Allenatore manifestata prima della cessazione, l'Operatore cancella o restituisce tutti i dati personali e cancella le copie esistenti, salvo obbligo di conservazione previsto dalla legge.

L'Allenatore può esportare in qualsiasi momento i dati degli Allievi mediante la funzione di esportazione del Servizio.

11. Responsabilità

La responsabilità per inadempimenti del DPA è disciplinata dai Termini, fatto salvo l'art. 82 GDPR e le altre disposizioni inderogabili.