Accordo sul trattamento dei dati (DPA)
Oggetto e ruoli
Con l'uso del servizio, Centiva agisce come responsabile del trattamento dei dati delle aziende assistite, per conto dell'utente professionista che ne è titolare. Il presente accordo disciplina tale trattamento ai sensi dell'art. 28 GDPR e integra i Termini di servizio. Per i dati del proprio account (email, accessi, pagamenti) l'utente è invece interessato, e Centiva titolare: quel trattamento è descritto nell'Informativa privacy.
Natura, finalità e durata
Il trattamento consiste nella raccolta, conservazione, consultazione ed elaborazione dei dati caricati dall'utente, al solo fine di individuare e valutare i bandi pertinenti e di produrre i relativi report. Dura per l'intera durata del rapporto (prova gratuita compresa) e cessa alla chiusura dell'account o su richiesta del titolare.
Categorie di dati e di interessati
I dati riguardano le aziende assistite dal titolare: ragione sociale, forma giuridica, partita IVA, sede, settore, dati strutturali e dimensionali, informazioni su spese e investimenti previsti e altri elementi utili alla valutazione. Gli interessati sono le aziende assistite e i relativi referenti. Il servizio non è destinato a trattare categorie particolari di dati (art. 9 GDPR) né dati giudiziari: il titolare si astiene dal caricarli.
Istruzioni del titolare
Centiva tratta i dati solo su istruzione documentata del titolare, che è costituita dal presente accordo, dai Termini di servizio e dalle operazioni che il titolare compie nel prodotto. Centiva non usa i dati delle aziende assistite per finalità proprie, non li cede a terzi e non li impiega per addestrare modelli di intelligenza artificiale. Se un'istruzione del titolare appare in contrasto con la normativa applicabile, Centiva lo segnala.
Riservatezza del personale
Chiunque acceda ai dati per conto di Centiva è vincolato alla riservatezza per obbligo contrattuale o di legge ed è istruito sul trattamento. Gli accessi sono limitati a quanto necessario.
Misure di sicurezza
Centiva adotta misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR:
cifratura dei dati in transito (HTTPS), autenticazione con cookie httpOnly e
sessioni firmate, separazione dei dati per account, controllo degli accessi ai sistemi,
registrazione degli accessi per finalità di sicurezza, backup gestiti dai fornitori
infrastrutturali e conservazione presso fornitori conformi al GDPR.
Sub-responsabili
Il titolare autorizza il ricorso ai seguenti sub-responsabili, vincolati da obblighi non meno onerosi di quelli qui previsti:
- Supabase — autenticazione e banca dati;
- Railway — hosting dell'applicazione;
- Stripe — pagamenti (non riceve dati delle aziende assistite);
- Anthropic — elaborazione assistita dei testi dei bandi.
Centiva comunica preventivamente al titolare ogni aggiunta o sostituzione di sub-responsabile; il titolare può opporsi per motivi ragionevoli, e in tal caso può recedere senza penali. Quando un sub-responsabile tratta dati fuori dallo Spazio economico europeo, il trasferimento avviene sulla base delle clausole contrattuali standard della Commissione europea o di altra garanzia adeguata ai sensi del Capo V GDPR.
Assistenza al titolare
Centiva assiste il titolare, per quanto di sua competenza e tenuto conto della natura del trattamento:
- nel dare seguito alle richieste degli interessati (accesso, rettifica, cancellazione, portabilità, opposizione), anche mettendo a disposizione le funzioni di esportazione e cancellazione presenti nel prodotto;
- negli obblighi di sicurezza, notifica delle violazioni e valutazione d'impatto (artt. 32–36 GDPR).
Violazioni dei dati
Centiva informa il titolare senza ingiustificato ritardo, e comunque entro 48 ore da quando ne è venuta a conoscenza, di ogni violazione che riguardi i dati trattati per suo conto, fornendo le informazioni necessarie alla notifica di cui all'art. 33 GDPR. La notifica all'autorità di controllo e agli interessati resta del titolare.
Verifiche
Centiva mette a disposizione del titolare le informazioni necessarie a dimostrare il rispetto degli obblighi dell'art. 28 GDPR e consente verifiche, anche tramite un incaricato, con preavviso ragionevole, in orario di lavoro e senza pregiudizio per la sicurezza e la riservatezza degli altri clienti.
Obblighi alla cessazione
Alla cessazione del rapporto Centiva cancella i dati delle aziende assistite trattati per conto del titolare, salvo quanto la legge imponga di conservare. Su richiesta del titolare, formulata prima della cancellazione, i dati sono restituiti tramite la funzione di esportazione.