Atto di nomina a responsabile del trattamento

1. Premessa e ruoli

Il presente atto disciplina il trattamento di dati personali svolto da Altovar S.r.l., con sede legale e operativa in Via G. B. D'Albertis 30, 16143 Genova (GE), P.IVA IT03086750993 (di seguito, il «Responsabile») per conto del cliente del servizio Openline (di seguito, il «Titolare») nell’ambito dell’erogazione del servizio. Recapito per le questioni privacy: [email protected]. Openline è una piattaforma di gestione condivisa delle conversazioni WhatsApp dello studio: il Titolare determina finalità e mezzi del trattamento; il Responsabile tratta i dati esclusivamente per conto del Titolare e sulla base delle sue istruzioni documentate.

WhatsApp (Meta Platforms, Inc. / WhatsApp LLC) non è un sub-responsabile di Altovar ai sensi dell’art. 28 GDPR. Il Titolare usa il proprio account WhatsApp; Openline vi si collega con un protocollo multi-dispositivo non ufficiale (implementazione tipo WAHA/GOWS). Il rapporto tra Titolare e WhatsApp resta autonomo. Openline archivia una copia delle conversazioni dopo quel transito.

2. Oggetto, durata, natura e finalità del trattamento

• Oggetto: archiviazione, organizzazione, consultazione e ricerca delle comunicazioni WhatsApp del Titolare, incluse le funzioni assistite (trascrizioni, riassunti, bozze di risposta), che fanno parte del servizio e non sono erogate «su richiesta».
• Durata: il servizio include una prova di 30 giorni dall’attivazione dello spazio di lavoro, poi il contratto di servizio. Restano il periodo tecnico di cancellazione o restituzione di cui all’art. 8 e, a prova scaduta o servizio sospeso, la consultazione e l’export dell’archivio.
• Natura: raccolta, registrazione, conservazione, consultazione, estrazione, comunicazione agli operatori autorizzati dal Titolare, cancellazione.
• Finalità: erogazione del servizio Openline come contrattualmente definito. Nessun trattamento per finalità proprie del Responsabile.

3. Categorie di dati e di interessati

• Dati di comunicazione WhatsApp: testi dei messaggi, note vocali e relative trascrizioni, metadati di conversazione (mittente, destinatario, orari, stato di lettura).
• Contatti: nominativi, numeri di telefono e identificativi dei contatti con cui il Titolare conversa.
• Allegati: immagini, documenti e altri media scambiati nelle conversazioni.
• Interessati: clienti e contatti del Titolare, operatori e collaboratori del Titolare che utilizzano il servizio.

Il contenuto delle conversazioni può includere categorie particolari di dati laddove gli interessati le comunichino spontaneamente. Il Titolare resta responsabile della base giuridica del relativo trattamento. Il servizio non richiede e non esegue una valutazione d’impatto (DPIA) come condizione dell’erogazione.

4. Obblighi del Responsabile

Il Responsabile:

• tratta i dati soltanto su istruzione documentata del Titolare;
• garantisce che le persone autorizzate al trattamento si siano impegnate alla riservatezza;
• assiste il Titolare, tenuto conto della natura del trattamento, con misure tecniche e organizzative adeguate;
• mette a disposizione del Titolare le informazioni necessarie per dimostrare il rispetto degli obblighi di cui all’art. 28 GDPR e consente e contribuisce alle attività di revisione.

5. Misure tecniche e organizzative (art. 32 GDPR)

• cifratura dei dati in transito (TLS) su ogni connessione verso il servizio;
• copie di backup off-site cifrate con age (cifratura a chiave pubblica) quando il destinatario di backup è configurato;
• filesystem del server e archivio degli allegati NON sono cifrati a riposo: il disco di produzione non è cifrato;
• non è offerta la cifratura GPG lato client della inbox in uso: la consultazione condivisa, la ricerca, le trascrizioni e le funzioni assistite richiedono i testi in chiaro sul server nell’Unione Europea; lo stesso testo è già visibile sul dispositivo WhatsApp collegato;
• hosting esclusivamente su infrastruttura localizzata nell’Unione Europea;
• autenticazione delegata al provider di identità di Altovar: il servizio non conserva le password degli operatori;
• controllo degli accessi basato sui ruoli: ogni operatore accede alle sole conversazioni e ai soli numeri per cui il Titolare lo ha autorizzato;
• periodo di conservazione configurabile dal Titolare per ogni spazio di lavoro, con cancellazione automatica dei dati eccedenti;
• registro delle attività (audit log) immodificabile delle azioni rilevanti compiute nello spazio di lavoro, consultabile dal Titolare;
• credenziali e segreti dell’infrastruttura conservati cifrati e accessibili al solo personale autorizzato.

6. Sub-responsabili

Il Titolare autorizza in via generale il ricorso a sub-responsabili per le componenti infrastrutturali e di elaborazione del servizio, incluso Cloudflare, Inc. (rete di distribuzione e terminazione TLS; nodi UE; società con sede negli Stati Uniti). L’elenco nominale aggiornato, con ruolo e sede di ciascun sub-responsabile, è pubblicato alla pagina Sub-responsabili del trattamento. Il Responsabile informa il Titolare di ogni modifica prevista riguardante l’aggiunta o la sostituzione di sub-responsabili, dando al Titolare l’opportunità di opporsi. Ai sub-responsabili sono imposti, per contratto, obblighi di protezione dei dati equivalenti a quelli del presente atto.

7. Assistenza al Titolare

Il Responsabile assiste il Titolare nel dare seguito alle richieste di esercizio dei diritti degli interessati (artt. 15–22 GDPR) e nella gestione delle violazioni di dati personali (artt. 33–34 GDPR, con notifica al Titolare senza ingiustificato ritardo dopo esserne venuto a conoscenza). Il servizio non richiede e non esegue una DPIA. Se il Titolare ne predispone una per proprio conto, il Responsabile fornisce le informazioni tecniche sul trattamento di cui è a conoscenza.

8. Cancellazione, restituzione, prova e sospensione

Al termine del rapporto, su scelta del Titolare, il Responsabile cancella o restituisce tutti i dati personali trattati per suo conto e ne cancella le copie esistenti, salvi gli obblighi di conservazione previsti dalla legge. La restituzione avviene tramite la funzione di export completo dello spazio di lavoro integrata nel servizio (conversazioni, contatti, allegati e registro delle attività in formato riutilizzabile), disponibile al Titolare in ogni momento.

La prova dura 30 giorni dall’attivazione dello spazio di lavoro. A prova scaduta o servizio sospeso, l’invio dei messaggi e le funzioni assistite che modificano i dati si fermano; la consultazione dell’archivio e l’export restano disponibili.

9. Disposizioni finali

Il presente atto è regolato dalla legge italiana. Foro competente: Foro di Genova (Tribunale di Genova). Integra il contratto di servizio. In caso di contrasto tra il presente atto e il contratto, per le materie di protezione dei dati prevale il presente atto.