Accordo sul trattamento dei dati personali (art. 28 GDPR)

L'accordo previsto dall'art. 28 GDPR per i dati di aziende e lavoratori che inserisci in Kosmira.

Allegato alle Condizioni generali di servizio Kosmira.

Tra

[NOME/RAGIONE SOCIALE DEL CLIENTE], P.IVA [ ], con sede in [ ] ("Cliente")

e

[NOME E COGNOME / RAGIONE SOCIALE DEL FORNITORE], P.IVA [ ], con sede in [ ] ("Fornitore" o "Responsabile")

1. Premesse e ruoli

1.1 Il Cliente usa Kosmira per svolgere attività di consulenza in materia di salute e sicurezza sul lavoro per conto di proprie aziende clienti ("Aziende").

1.2 Per i dati delle Aziende e dei loro lavoratori, il Cliente può agire:

• come titolare del trattamento, per i dati che tratta per finalità proprie; oppure
• come responsabile del trattamento per conto dell'Azienda, che ne è titolare (ad esempio quando il Cliente svolge il ruolo di RSPP esterno o gestisce per l'Azienda gli adempimenti del D.Lgs. 81/2008).

1.3 Di conseguenza il Fornitore agisce come responsabile del trattamento (nel primo caso) o come sub-responsabile (nel secondo). Quando il Cliente è responsabile, dichiara di essere stato autorizzato dall'Azienda a ricorrere a Kosmira, e il presente accordo vale anche come contratto ai sensi dell'art. 28, par. 4 GDPR, con obblighi non meno stringenti di quelli che il Cliente ha verso l'Azienda.

1.4 Il presente accordo prevale sulle Condizioni generali per tutto ciò che riguarda la protezione dei dati.

2. Oggetto, durata, natura e finalità

3. Tipi di dati e categorie di interessati

Interessati: lavoratori delle Aziende; referenti, datori di lavoro e figure aziendali delle Aziende (RSPP, RLS, addetti emergenze, preposti, medico competente, ecc.); professionisti esterni e docenti; partecipanti a eventi e corsi; utenti dell'area "azienda".

Dati comuni: nome e cognome, codice fiscale, sesso, data, luogo e provincia di nascita, mansione e ruolo, sede di lavoro, stato del rapporto (attivo/cessato), dati di contatto, incarichi e nomine, corsi frequentati con date ed esiti, attestati, documenti aziendali, messaggi e allegati scambiati tra Cliente e Azienda, presenze agli eventi.

Categorie particolari (art. 9 GDPR): dati relativi alla sorveglianza sanitaria: date delle visite mediche, tipo di visita e accertamenti previsti, scadenze, eventuali documenti allegati (ad esempio giudizi di idoneità). Il Cliente si impegna a inserire solo il minimo necessario per gestire le scadenze e a non caricare cartelle sanitarie, diagnosi o referti clinici, che restano di competenza del medico competente (art. 25 D.Lgs. 81/2008).

Dati giudiziari (art. 10 GDPR): non previsti. Il Cliente si impegna a non inserirne.

4. Obblighi del Cliente

Il Cliente:

a) garantisce che i dati sono trattati in modo lecito e che esiste una base giuridica valida (per i dati sanitari, in particolare l'art. 9, par. 2, lett. b e h GDPR in relazione al D.Lgs. 81/2008);
b) cura l'informativa agli interessati, direttamente o tramite le Aziende;
c) fornisce al Fornitore istruzioni documentate: il presente accordo e l'uso delle funzioni del software costituiscono le istruzioni complete;
d) gestisce gli accessi dei propri collaboratori e degli utenti dell'area "azienda", revocando quelli non più necessari.

5. Obblighi del Fornitore

Il Fornitore:

a) tratta i dati solo su istruzione documentata del Cliente, anche per i trasferimenti extra UE, salvo obblighi di legge (di cui informa il Cliente, se consentito);
b) informa subito il Cliente se ritiene che un'istruzione violi il GDPR;
c) garantisce che le persone autorizzate ad accedere ai dati siano vincolate alla riservatezza;
d) adotta le misure di sicurezza dell'Allegato A (art. 32 GDPR);
e) non usa i dati per finalità proprie, né per addestrare sistemi di intelligenza artificiale, né li vende o li cede;
f) assiste il Cliente nel rispondere alle richieste degli interessati (artt. 15-22), anche tramite le funzioni di consultazione, modifica, esportazione e cancellazione del software, e inoltra senza ritardo le richieste ricevute direttamente;
g) assiste il Cliente negli adempimenti degli artt. 32-36 (sicurezza, violazioni, valutazione d'impatto, consultazione preventiva), tenuto conto delle informazioni a sua disposizione;
h) tiene il registro dei trattamenti svolti per conto dei clienti (art. 30, par. 2).

6. Sub-responsabili

6.1 Il Cliente concede un'autorizzazione generale al ricorso ai sub-responsabili. Quelli in uso alla data dell'accordo sono:

6.2 Il Fornitore comunica via email ogni aggiunta o sostituzione con almeno [30] giorni di preavviso. Il Cliente può opporsi per motivi ragionevoli legati alla protezione dei dati; se non si trova una soluzione, il Cliente può recedere senza penali con rimborso della parte di abbonamento non goduta.

6.3 Il Fornitore impone ai sub-responsabili obblighi di protezione equivalenti a quelli del presente accordo e ne risponde verso il Cliente.

7. Trasferimenti fuori dallo Spazio economico europeo

I dati sono conservati [preferibilmente nello Spazio economico europeo — da confermare dopo la verifica delle regioni]. Eventuali trasferimenti o accessi da paesi terzi avvengono solo con le garanzie del Capo V GDPR (decisione di adeguatezza, incluso l'EU-US Data Privacy Framework, o Clausole contrattuali standard con valutazione d'impatto del trasferimento).

8. Violazioni dei dati (data breach)

8.1 Il Fornitore informa il Cliente senza ingiustificato ritardo e comunque entro 48 ore da quando ne viene a conoscenza, di ogni violazione che riguarda i dati del Cliente, così che il Cliente (e, se del caso, l'Azienda) possa notificarla al Garante entro 72 ore.

8.2 La comunicazione descrive, per quanto noto: natura della violazione, categorie e numero approssimativo di interessati e di dati, possibili conseguenze, misure adottate o proposte, un contatto per informazioni. Le informazioni non disponibili subito sono fornite in fasi successive.

9. Verifiche

Il Fornitore mette a disposizione le informazioni necessarie a dimostrare il rispetto di questo accordo (ad esempio descrizione delle misure, certificazioni dei sub-responsabili) e consente verifiche da parte del Cliente o di un revisore da lui incaricato e vincolato a riservatezza, con preavviso di almeno [30] giorni, non più di una volta l'anno salvo violazioni, a spese del Cliente.

10. Registro, valutazione d'impatto

Il Cliente valuta se il proprio trattamento di dati sanitari richieda una valutazione d'impatto (DPIA) ai sensi dell'art. 35 GDPR e dell'elenco del Garante (provvedimento n. 467 dell'11 ottobre 2018). Il Fornitore fornisce le informazioni tecniche necessarie.

11. Fine del trattamento

Alla cessazione del contratto il Cliente può esportare i propri dati per [30] giorni. Trascorso tale termine il Fornitore cancella tutti i dati del Cliente, compresi i file allegati, entro [60] giorni e, su richiesta, ne dà conferma scritta. Le copie di sicurezza sono cancellate secondo il loro ciclo di rotazione, entro [X] giorni, e nel frattempo restano protette e non usate. Restano salvi gli obblighi di conservazione previsti dalla legge.

12. Responsabilità

Ciascuna parte risponde secondo l'art. 82 GDPR. Per il resto si applicano le limitazioni delle Condizioni generali, salvo i casi in cui la legge non le consente. [Valutare con l'avvocato se mantenere il tetto di responsabilità anche per le violazioni di dati sanitari.]

13. Contatti

Per il Fornitore: [privacy@dominio]. Per il Cliente: [email indicata in fase di abbonamento].

Luogo e data: ____________

Il Cliente ____________ Il Fornitore ____________

Allegato A — Misure tecniche e organizzative di sicurezza

Stato al [DATA]. Le voci segnate [da attivare] sono previste ma non ancora operative: vanno completate o tolte prima della firma.

Controllo degli accessi

• Accesso al servizio solo su invito; nessuna registrazione pubblica.
• Ogni utente ha credenziali personali; le password sono conservate solo in forma cifrata dal servizio di autenticazione.
• Separazione dei dati tra clienti direttamente nel database (Row Level Security attiva su tutte le tabelle): ogni consulente può leggere e modificare solo i propri dati, anche in caso di errore nell'applicazione.
• Utenti dell'area "azienda" limitati ai dati della propria azienda, senza possibilità di cancellare.
• Chiavi amministrative conservate solo sul server, mai nel browser.
• Autenticazione a due fattori [da attivare].
• Limitazione dei tentativi di accesso [da rafforzare].

Riservatezza e integrità

• Comunicazioni cifrate con HTTPS/TLS.
• Dati cifrati a riposo dal fornitore del database [da confermare con la documentazione Supabase].
• Archivio file privato, con accesso limitato alla cartella del singolo consulente.
• Controllo dei dati inseriti nei moduli.
• Impronta (SHA-256) dei file caricati per verificarne l'integrità.
• Intestazioni di sicurezza del sito [da attivare].

Disponibilità e ripristino

• Cancellazioni "morbide" con possibilità di recupero.
• Copie di sicurezza giornaliere del database [frequenza, durata e prova di ripristino da verificare].
• Funzioni di esportazione dei dati a disposizione del Cliente.

Organizzazione

• Accesso ai dati di produzione da parte del Fornitore solo per assistenza o sicurezza, su richiesta o con informazione al Cliente.
• Procedura di gestione delle violazioni [da scrivere].
• Ambiente di prova separato dalla produzione e controlli automatici prima della pubblicazione [da attivare].
• Monitoraggio degli errori in produzione [da attivare].
• Riesame periodico delle misure almeno una volta l'anno.