Accordo sul trattamento dei dati personali (DPA)

1. Premessa, parti e ruoli

Il presente Accordo sul trattamento dei dati personali (il «DPA») costituisce l’«Allegato 1» richiamato dai Moduli d’Ordine e dai Termini e Condizioni Generali di Servizio di Equa Group Srl e ne forma parte integrante. È stipulato ai sensi dell’art. 28 del Regolamento (UE) 2016/679 («GDPR») tra:

• il Cliente, come identificato nel Modulo d’Ordine, in qualità di titolare del trattamento (il «Titolare»);
• Equa Group Srl, Via Monsignor Giovanni Tommaso Perrone, 15, 88046 Lamezia Terme CZ, P.IVA in corso di attribuzione (società in fase di costituzione), email info@equagroup.it, PEC equa@pec.equagroup.it, in qualità di responsabile del trattamento («Equa» o il «Responsabile»).

Il DPA si applica a tutti i trattamenti di dati personali che Equa effettua per conto del Cliente nell’esecuzione del contratto; non si applica ai trattamenti che Equa effettua come titolare autonomo (es. dati di fatturazione e dei referenti contrattuali del Cliente), descritti nell’Informativa privacy. In caso di contrasto tra il DPA e il resto del contratto, prevale il DPA per quanto attiene alla protezione dei dati.

2. Oggetto, durata, natura e finalità del trattamento

Oggetto. Trattamento dei dati personali necessari all’erogazione dei servizi Equa: gestione degli accessi alle piattaforme Equa Control ed Equa Campus, erogazione della formazione e generazione degli attestati, somministrazione di questionari, gestione delle chat di segnalazione e dei relativi allegati, conservazione della documentazione amministrativa e contrattuale, invio di notifiche email di servizio.

Durata. Il DPA ha la stessa durata del contratto e resta efficace fino alla completa restituzione o cancellazione dei dati ai sensi della sezione 9.

Natura del trattamento. Raccolta, registrazione, organizzazione, conservazione, consultazione, uso, comunicazione ai soggetti autorizzati, limitazione, cancellazione — con strumenti elettronici, nell’ambito delle piattaforme e dei sistemi descritti nel DPA.

Finalità. Esclusivamente l’esecuzione dei servizi contrattuali. Equa non tratta i dati per finalità proprie, non li usa per addestrare modelli, non li vende né li comunica a terzi al di fuori dei sub-responsabili autorizzati.

3. Categorie di interessati e di dati personali

Categorie di interessati:

• dipendenti e collaboratori del Cliente (utenti delle piattaforme, partecipanti alla formazione, destinatari dei questionari);
• referenti e utenti aziendali del Cliente (es. il Responsabile AI);
• eventuali altri soggetti i cui dati siano contenuti nei documenti o negli allegati caricati dal Cliente.

Categorie di dati personali:

• dati identificativi e di contatto (nome, cognome, email aziendale, reparto/ruolo);
• dati di account e di sicurezza (credenziali in forma di hash, impostazioni 2FA, log di accesso);
• dati di utilizzo della formazione (progressi, completamenti, esiti dei quiz, attestati);
• contenuti delle chat di segnalazione e relativi allegati;
• documenti amministrativi e contrattuali caricati in piattaforma.

I questionari somministrati ai dipendenti sono anonimi per progettazione: il datore di lavoro accede esclusivamente a risultati aggregati per reparto. Le risposte individuali ai quiz formativi non sono rese visibili al datore di lavoro.

Il trattamento non ha ad oggetto, di regola, categorie particolari di dati ex art. 9 GDPR né dati ex art. 10 GDPR: il Titolare si impegna a non caricarli sulle piattaforme e a istruire in tal senso i propri utenti. L’eventuale caricamento spontaneo in campi liberi o allegati avviene sotto la responsabilità del Titolare.

4. Istruzioni documentate del Titolare

Equa si impegna a:

• trattare i dati soltanto su istruzione documentata del Titolare, costituita dal contratto, dal presente DPA e dalle eventuali ulteriori istruzioni scritte impartite tramite i canali di contatto ufficiali, salvo che il trattamento sia richiesto dal diritto dell’UE o italiano (nel qual caso Equa informa il Titolare prima del trattamento, ove non vietato);
• informare immediatamente il Titolare qualora, a suo parere, un’istruzione violi il GDPR o altre disposizioni in materia di protezione dei dati;
• garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza, e ricevano istruzioni e formazione adeguate;
• non trasferire i dati al di fuori dell’UE/SEE se non alle condizioni della sezione 6;
• tenere il registro delle attività di trattamento svolte per conto del Titolare ex art. 30, par. 2, GDPR e cooperare, su richiesta, con l’autorità di controllo.

5. Sub-responsabili autorizzati

Il Titolare autorizza in via generale (art. 28, par. 2, GDPR) il ricorso ai seguenti sub-responsabili, già in uso alla data del presente DPA:

Equa impone a ciascun sub-responsabile, mediante contratto, obblighi di protezione dei dati equivalenti a quelli del presente DPA e risponde verso il Titolare dell’operato dei sub-responsabili.

Trattamenti come titolare autonomo. La fatturazione elettronica (Fatture in Cloud, TeamSystem S.p.A.) e i pagamenti (Stripe) riguardano dati di cui Equa è titolare autonomo e sono descritti nell’Informativa privacy; non rientrano in questo elenco.

Progetti di software su misura. Per i progetti regolati da contratto dedicato l’elenco dei sub-responsabili, compreso l’eventuale fornitore del modello di intelligenza artificiale scelto dal Titolare (in cloud) oppure l’assenza di fornitori esterni (modello in sede), è definito nell’accordo sul trattamento dei dati allegato a quel contratto.

Modifiche all’elenco. Equa comunica al Titolare, per iscritto e con almeno 15 giorni di anticipo, ogni aggiunta o sostituzione di sub-responsabili. Il Titolare può opporsi per motivi legittimi e documentati entro tale termine; in caso di opposizione, le parti ricercano in buona fede una soluzione alternativa e, se questa non è ragionevolmente praticabile, il Titolare può recedere dal contratto limitatamente ai servizi che richiedono il nuovo sub-responsabile.

6. Trasferimenti extra-UE

Il database principale risiede nell’UE (Neon, AWS eu-central-1 — Francoforte). Ove un sub-responsabile comporti trasferimenti verso Paesi terzi (in particolare Stati Uniti), il trasferimento avviene esclusivamente sulla base di una decisione di adeguatezza della Commissione Europea (incluso l’EU-U.S. Data Privacy Framework per i fornitori certificati) ovvero delle Clausole Contrattuali Standard di cui alla Decisione (UE) 2021/914, integrate ove necessario da misure supplementari. Su richiesta, Equa fornisce al Titolare evidenza delle garanzie applicate.

7. Misure di sicurezza (art. 32 GDPR)

Tenuto conto dello stato dell’arte, dei costi, della natura e delle finalità del trattamento, Equa adotta misure tecniche e organizzative adeguate, tra cui:

• cifratura in transito: tutte le comunicazioni avvengono su HTTPS/TLS; connessioni cifrate anche verso il database;
• protezione delle credenziali: password conservate esclusivamente in forma di hash non reversibile; nessuna password in chiaro;
• autenticazione a due fattori (2FA) per gli accessi alle piattaforme (codice via app authenticator o email), con gestione dei dispositivi fidati;
• controllo degli accessi per tenant: ogni richiesta è autenticata e i dati sono segregati per azienda; gli utenti di un’azienda non possono accedere ai dati di altre;
• sessioni sicure: cookie di sessione firmati, httpOnly, Secure, con scadenza breve (8 ore);
• minimizzazione: questionari anonimi per progettazione; risultati visibili al datore di lavoro solo in forma aggregata; risposte ai quiz non esposte al datore di lavoro;
• backup del database gestiti dal fornitore di infrastruttura (point-in-time recovery), con possibilità di ripristino;
• aggiornamento e hardening: aggiornamento delle dipendenze software, header di sicurezza HTTP, principio del minimo privilegio per gli accessi interni;
• protezione perimetrale: firewall applicativo e mitigazione automatica degli attacchi DDoS a livello di piattaforma di hosting (Vercel Firewall);
• verifiche indipendenti: penetration test e retest periodici affidati a uno specialista esterno, eseguiti su un ambiente di prova separato dalla produzione e popolato esclusivamente con dati sintetici; i rilievi vengono corretti secondo gravità prima della messa in produzione;
• registro delle operazioni: tracciamento delle attività rilevanti svolte sulle piattaforme (chi ha fatto cosa, e quando);
• personale autorizzato: accesso ai dati limitato al personale Equa autorizzato ex art. 29 GDPR, vincolato alla riservatezza.

Equa rivede periodicamente le misure e le adegua all’evoluzione dei rischi. Un dettaglio aggiornato può essere richiesto a info@equagroup.it.

8. Violazioni dei dati personali (data breach)

Equa notifica al Titolare, senza ingiustificato ritardo e comunque entro 72 ore da quando ne ha avuto conoscenza, ogni violazione dei dati personali trattati per conto del Titolare, fornendo — anche per fasi successive — le informazioni di cui all’art. 33, par. 3, GDPR: natura della violazione, categorie e numero approssimativo di interessati e di registrazioni coinvolte, probabili conseguenze, misure adottate o proposte, punto di contatto.

Equa collabora con il Titolare nella gestione della violazione e nelle eventuali notifiche all’autorità di controllo e comunicazioni agli interessati (artt. 33-34 GDPR), che restano di competenza del Titolare, e documenta la violazione nel proprio registro interno.

9. Assistenza al Titolare e diritti degli interessati

Tenuto conto della natura del trattamento, Equa assiste il Titolare con misure tecniche e organizzative adeguate al fine di:

• dare seguito alle richieste di esercizio dei diritti degli interessati (artt. 15-22 GDPR): se una richiesta perviene direttamente a Equa, questa la inoltra al Titolare senza ingiustificato ritardo e non vi risponde autonomamente, salvo istruzione del Titolare;
• adempiere agli obblighi di cui agli artt. 32-36 GDPR (sicurezza, notifica delle violazioni, valutazioni d’impatto e consultazione preventiva), fornendo le informazioni disponibili sul trattamento svolto.

L’assistenza che ecceda un impegno ragionevole e ordinario può essere fatturata al Titolare a condizioni da concordare in buona fede.

10. Restituzione e cancellazione dei dati a fine rapporto

Alla cessazione del contratto, a scelta del Titolare, Equa restituisce i dati personali trattati per suo conto in un formato strutturato e di uso comune, ovvero li cancella — insieme alle copie esistenti — entro 90 giorni dalla cessazione, salvo che la conservazione sia richiesta dal diritto dell’UE o italiano (nel qual caso i dati restano conservati, bloccati, per il solo tempo e per le sole finalità previste dalla legge). Su richiesta, Equa attesta per iscritto l’avvenuta cancellazione. Le copie di backup vengono sovrascritte secondo i cicli tecnici del fornitore di infrastruttura e non sono utilizzate per alcun trattamento attivo.

11. Audit e verifiche

Equa mette a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi dell’art. 28 GDPR e consente e contribuisce alle attività di revisione, comprese le ispezioni, svolte dal Titolare o da altro soggetto da questi incaricato, alle seguenti condizioni: (a) preavviso scritto di almeno 15 giorni lavorativi; (b) svolgimento in orario lavorativo, senza interferire in modo sproporzionato con l’operatività di Equa e nel rispetto della riservatezza degli altri clienti; (c) al massimo un audit per anno contrattuale, salvo violazioni accertate o richieste dell’autorità di controllo; (d) costi a carico del Titolare, salvo che l’audit riveli violazioni imputabili a Equa.

In prima istanza, le esigenze di verifica sono soddisfatte mediante documentazione, questionari e attestazioni dei fornitori di infrastruttura (che il Titolare accetta quale evidenza per i livelli infrastrutturali).

12. Responsabilità e disposizioni finali

Ciascuna parte risponde dei danni causati dal trattamento secondo l’art. 82 GDPR. Verso il Titolare, la responsabilità di Equa derivante dal presente DPA è soggetta alle limitazioni di cui all’Art. 14 dei T&C, nei limiti in cui ciò sia consentito dalla normativa applicabile; nessuna limitazione si applica a quanto Equa sia tenuta a corrispondere agli interessati o all’autorità per fatto proprio.

Per quanto non previsto dal presente DPA si applicano il GDPR, il Codice privacy e il contratto. Il DPA è regolato dalla legge italiana; foro esclusivo Milano, come previsto dall’Art. 18 dei T&C.