Accordo sul trattamento dei dati

Articolo 1. Le parti

1.1. Il Tecnico è la persona fisica o giuridica che usa PianoTunerNow come professionista, con un account «tecnico». Per i dati dei propri clienti caricati o gestiti nella piattaforma il Tecnico è titolare del trattamento (art. 4.7 GDPR).

1.2. PianoTunerNow è Luca Sciurti, ditta individuale, Via Aldo Moro 64, 20066 Melzo (MI), Italia, partita IVA 12286070961, support@pianotunernow.com («PTN»). Per i dati dell’articolo 2 PTN agisce come responsabile del trattamento (artt. 4.8 e 28 GDPR), salvo quanto previsto nella Parte III, in cui agisce come titolare autonomo.

Articolo 2. Oggetto: i dati che PTN tratta per conto del Tecnico

Durata: per tutta la durata dell’account del Tecnico; poi si applica l’articolo 12. Natura e finalità: fornire al Tecnico gli strumenti di agenda, rubrica e organizzazione del lavoro descritti nei Termini. PTN non usa questi dati per finalità proprie, salvo quanto previsto nella Parte III.

Categorie particolari: il servizio non è pensato per dati di salute, convinzioni o altre categorie particolari (art. 9 GDPR). Il Tecnico si impegna a non inserirle nelle note.

Articolo 3. Istruzioni

3.1. PTN tratta i dati soltanto su istruzione documentata del Tecnico. Le istruzioni sono: (a) questo accordo; (b) i Termini; (c) le scelte che il Tecnico fa usando la piattaforma (salvare, modificare, cancellare una scheda; collegare o scollegare un calendario; accendere o spegnere la lettura dei titoli; dare o togliere una delega; esportare la rubrica).

3.2. Se un’istruzione, a parere di PTN, viola il GDPR o un’altra norma dell’Unione o di uno Stato membro, PTN lo comunica subito al Tecnico (art. 28.3, ultimo comma) e può sospenderne l’esecuzione.

3.3. PTN tratta i dati fuori dalle istruzioni solo se lo impone una legge; in quel caso informa prima il Tecnico, salvo che la legge lo vieti.

Articolo 4. Riservatezza

4.1. Accedono ai dati soltanto le persone autorizzate da PTN che ne hanno bisogno per far funzionare il servizio e rispondere alle richieste di assistenza. Oggi è il solo titolare della ditta, Luca Sciurti. Ogni persona autorizzata in futuro sarà vincolata alla riservatezza per iscritto (art. 28.3.b).

4.2. La rubrica e i dati dell’agenda non sono visibili ad altri tecnici né ai clienti della piattaforma.

4.3. PTN guarda i dati di un Tecnico solo se il Tecnico lo chiede per risolvere un problema, o per indagare su una violazione di sicurezza o un abuso.

Articolo 5. Sicurezza (art. 32)

PTN adotta e mantiene almeno queste misure: controllo degli accessi nel database su ogni tabella, con regole che limitano la rubrica e l’agenda al Tecnico e alle persone da lui delegate, permessi per singola colonna sulle tabelle con dati misti e funzioni interne non raggiungibili dal browser; recapiti dati ai delegati un contatto alla volta, con un tetto giornaliero e un registro; cifratura in transito (HTTPS con HSTS) e cifratura a riposo dei dischi presso il fornitore del database; verifica in due passaggi obbligatoria per i delegati che modificano; registri degli ingressi nell’agenda e delle consultazioni dei recapiti (90 giorni); prove automatiche di sicurezza eseguite a ogni modifica, e revisioni periodiche; ambienti separati, con le prove fatte su un database di collaudo e mai su quello di produzione; ai servizi di mappe e percorsi vanno indirizzi o coordinate, mai nomi.

I permessi di accesso ai calendari collegati sono leggibili soltanto dal server, mai dal browser. Quando il Tecnico scollega un calendario Google o chiude l’account, PTN revoca il permesso anche presso Google; per Outlook cancella il permesso salvato, e il Tecnico può toglierlo anche dalla pagina dei permessi del proprio account Microsoft.

Articolo 6. Obblighi e dichiarazioni del Tecnico

6.1. Il Tecnico, come titolare, decide quali dati caricare, per quali finalità, e risponde della base giuridica del proprio trattamento (di regola il contratto con il cliente o il proprio legittimo interesse a gestire la clientela) e dell’informativa ai propri clienti (artt. 13 e 14).

6.2. Dichiarazione. Accettando questo accordo il Tecnico dichiara di avere titolo per caricare nella piattaforma i dati dei propri clienti e di trattarli per la propria attività, e si impegna a caricarne soltanto di questo tipo. La piattaforma gli chiede di confermarlo ogni volta che salva o importa dei contatti, e PTN registra ogni dichiarazione con data, versione e testo mostrato, e la conserva 5 anni.

6.3. Il Tecnico non carica dati di minori se non indispensabili (per esempio il nome del figlio che suona lo strumento) né categorie particolari di dati.

6.4. Il Tecnico istruisce e vigila sulle persone a cui dà accesso alla propria agenda (articolo 7).

Articolo 7. Chi gestisce l’agenda del Tecnico

7.1. Il Tecnico può dare a una persona di fiducia, con un account proprio, l’accesso alla propria agenda. Quella persona tratta i dati sotto l’autorità del Tecnico (art. 29 GDPR): è il Tecnico ad autorizzarla e a istruirla. Non è un sub-responsabile di PTN.

7.2. PTN, come misura di sicurezza e su istruzione del Tecnico che usa la funzione: mostra al delegato appuntamenti, nomi, indirizzi e strumenti della rubrica; gli mostra telefono, email e note solo un contatto alla volta, con un limite giornaliero, registrando ogni richiesta per 90 giorni; gli nasconde titoli, luoghi e note del calendario collegato; gli chiede la verifica in due passaggi per modificare; gli fa firmare un impegno di riservatezza, che conserva 5 anni; gli vieta, nei Termini, di portare i contatti altrove.

7.3. Il Tecnico può togliere la delega in ogni momento. Il registro degli ingressi e delle consultazioni resta visibile al Tecnico per 90 giorni.

Articolo 8. Sub-responsabili

8.1. Il Tecnico dà a PTN un’autorizzazione scritta generale a ricorrere ai sub-responsabili elencati nell’Allegato A (art. 28.2).

8.2. PTN informa il Tecnico di ogni aggiunta o sostituzione di un sub-responsabile con almeno 15 giorni di preavviso, per email e con un avviso nella piattaforma. Il Tecnico può opporsi per motivi ragionevoli legati alla protezione dei dati scrivendo a support@pianotunernow.com entro quel termine. Se l’obiezione non si risolve, il Tecnico può recedere senza costi e scaricare i propri dati.

8.3. PTN impone ai sub-responsabili obblighi di protezione dei dati sostanzialmente equivalenti a questi (art. 28.4), di regola tramite i loro accordi standard sul trattamento dei dati, e risponde verso il Tecnico del loro operato nei limiti dell’art. 82 GDPR.

8.4. I servizi che trattano dati per proprio conto (titolari autonomi), come Google e Microsoft quando il Tecnico collega il proprio account di calendario, non sono sub-responsabili: il Tecnico li sceglie e li usa in base a un proprio contratto con loro. Sono elencati nell’Allegato A per trasparenza.

Articolo 9. Violazioni dei dati

9.1. PTN informa il Tecnico senza ingiustificato ritardo e comunque entro 48 ore da quando viene a conoscenza di una violazione dei dati dell’articolo 2 (art. 33.2), per email all’indirizzo dell’account.

9.2. L’avviso contiene, per quanto disponibile: natura della violazione, categorie e numero approssimativo di interessati e di registrazioni, probabili conseguenze, misure adottate o proposte, un contatto. Le informazioni che mancano si danno appena disponibili.

9.3. PTN aiuta il Tecnico a valutare il rischio, a notificare all’autorità di controllo e a comunicare ai propri clienti, se necessario (artt. 33 e 34), fornendo per esempio l’elenco delle schede coinvolte e una bozza di comunicazione.

Articolo 10. Assistenza al Tecnico

10.1. Diritti degli interessati (art. 28.3.e). La piattaforma permette al Tecnico di consultare, correggere, esportare e cancellare ogni scheda. Se un cliente del Tecnico scrive direttamente a PTN, PTN gira la richiesta al Tecnico entro 7 giorni e non risponde nel merito se non su sua istruzione, salvo il caso in cui il Tecnico non sia più raggiungibile o l’account sia chiuso: allora PTN può cancellare i dati di quella persona e informarne il Tecnico.

10.2. Valutazioni d’impatto e consultazioni (art. 28.3.f): PTN mette a disposizione del Tecnico le informazioni sulle proprie misure, compresa su richiesta una sintesi della propria valutazione d’impatto.

Articolo 11. Verifiche

11.1. PTN mette a disposizione del Tecnico tutte le informazioni necessarie a dimostrare il rispetto di questo accordo (art. 28.3.h): su richiesta scritta, entro 30 giorni, una descrizione aggiornata delle misure di sicurezza e l’elenco dei sub-responsabili, e le sintesi delle revisioni di sicurezza indipendenti, quando ci saranno.

11.2. Se queste informazioni non bastano, il Tecnico può chiedere una verifica documentale o un’ispezione, da concordare con almeno 30 giorni di preavviso, in orario lavorativo, a sue spese, da parte di un revisore vincolato alla riservatezza, senza accesso ai dati di altri tecnici, non più di una volta all’anno salvo dopo una violazione o su richiesta di un’autorità.

Articolo 12. Fine del rapporto: restituzione e cancellazione

12.1. Prima di chiudere l’account il Tecnico può esportare la rubrica e gli appuntamenti (Impostazioni, esportazione dei dati, in un formato leggibile da una macchina; la rubrica anche come file di contatti).

12.2. Alla chiusura dell’account, PTN cancella i dati dell’articolo 2: la rubrica, gli appuntamenti con clienti non iscritti, i calendari collegati e il loro storico, le deleghe. Per gli appuntamenti con clienti iscritti vale l’Informativa privacy (quei dati sono anche del cliente iscritto, e PTN ne è titolare).

12.3. Restano, per i tempi indicati nell’Informativa privacy, soltanto: la dichiarazione dell’articolo 6.2 (5 anni, senza dati dei clienti), le decisioni di moderazione (5 anni), l’impegno firmato dal delegato (5 anni), i documenti fiscali dei pagamenti del Tecnico a PTN (10 anni). I dati possono restare nelle copie di sicurezza del fornitore del database fino a quando si sovrascrivono da sole, al massimo 30 giorni.

12.4. Su richiesta, PTN conferma per iscritto l’avvenuta cancellazione.

Articolo 13. Il confronto dei recapiti per la fee e l’antifrode

13.1. Quando un cliente iscritto si collega al Tecnico di persona (codice QR), la piattaforma confronta la scheda della rubrica indicata dal Tecnico con l’email e il telefono dell’account del cliente, e controlla da quando quei recapiti stanno nella scheda e se esiste un lavoro già svolto registrato prima della prima traccia fra i due sulla piattaforma. Se le condizioni ci sono, la fee per il nuovo cliente non è dovuta; altrimenti sì. Un’esenzione rifiutata o revocata vale anche per un nuovo account dello stesso cliente, riconosciuto per email o telefono.

13.2. Questo trattamento non serve al Tecnico ma a PTN: decide se è dovuta la fee e previene l’elusione delle regole economiche della piattaforma. Per questa finalità PTN è titolare autonomo, distinto dal Tecnico, e non agisce su sue istruzioni.

13.3. Base giuridica: il legittimo interesse di PTN a riscuotere la fee pattuita con il Tecnico e a prevenire frodi (art. 6.1.f GDPR), bilanciato in un documento scritto disponibile su richiesta. Per il Tecnico, la base è anche l’esecuzione del contratto con PTN (art. 6.1.b).

13.4. Si usano soltanto i dati della scheda indicata (email, telefono, date in cui sono stati inseriti), le date degli appuntamenti legati a quella scheda, l’email e il telefono dell’account del cliente. Non si confrontano rubriche di tecnici diversi; l’esito è solo sì o no e si conserva nel registro delle esenzioni.

13.5. Il trattamento è descritto nell’Informativa privacy di PTN, che il cliente iscritto ha già ricevuto. Chiunque può opporsi scrivendo a support@pianotunernow.com (art. 21 GDPR). Per questa parte non si applicano gli articoli 3, 8 e 12: PTN risponde in proprio.

Articolo 14. Altri trattamenti di PTN come titolare

PTN è titolare anche per i dati dell’account del Tecnico, per i pagamenti, la fatturazione, la moderazione, la sicurezza (registri) e le statistiche aggregate del servizio. Sono descritti nell’Informativa privacy e non rientrano in questo accordo.

Articolo 15. Responsabilità

Ciascuna parte risponde verso gli interessati e verso l’altra parte secondo l’art. 82 GDPR.

Articolo 16. Durata, prevalenza, modifiche

16.1. Questo accordo dura quanto l’account del Tecnico e, per l’articolo 12, fino alla cancellazione dei dati.

16.2. In caso di contrasto fra questo accordo e i Termini sui temi della protezione dei dati, prevale questo accordo.

16.3. Le modifiche seguono la sezione 11 dei Termini (preavviso di almeno 15 giorni, nuova accettazione).

16.4. Legge applicabile e foro sono quelli dei Termini (sezione 12).