Accordo sul trattamento dei dati

Perché un DPA esiste

La normativa sulla protezione dei dati non consente a un titolare di consegnare dati personali a un fornitore sulla fiducia. L’articolo 28 del UK GDPR stabilisce che il rapporto debba essere disciplinato da un contratto che vincoli il responsabile, ed elenca che cosa quel contratto debba contenere. L’obbligo vale in entrambe le direzioni: se raccogliete dati personali tramite un questionario e non c’è alcun DPA in essere, siete voi in violazione, non soltanto noi. È il motivo per cui gli uffici acquisti lo chiedono presto, e il motivo per cui preferiamo pubblicare questa pagina piuttosto che rispondere quaranta volte alla stessa email.

La pagina sul GDPR britannico illustra più nel dettaglio la distinzione fra titolare e responsabile, compresi i casi in cui il titolare siamo invece noi: dati degli account e corrispondenza di assistenza.

Quando serve e quando no

Vi serve un DPA se il vostro questionario raccoglie dati personali. È una soglia più bassa di quanto sembri. Un questionario senza campo per il nome può comunque raccogliere dati personali attraverso una casella di testo libero in cui qualcuno parla di sé, attraverso una domanda di indirizzo o email, attraverso un caricamento di file o attraverso un campo nascosto che veicola un numero di pratica proveniente dai vostri sistemi. Se ricorre uno di questi casi, trattate il questionario come un trattamento di dati personali e mettete in ordine i documenti.

Un questionario genuinamente anonimo — nessun identificatore, nessun campo nascosto, nessun caricamento, nessun testo libero che inviti a dettagli personali — non necessita di un DPA, perché non c’è alcun dato personale da trattare. Siate onesti con voi stessi su quale dei due stiate conducendo. La sezione sull’anonimato tratta le tre funzioni che più spesso lo compromettono per inavvertenza.

Che cosa copre il nostro DPA

L’accordo è breve e segue la struttura dell’articolo 28(3) invece di reinventarla. Ciascuno di questi punti compare nel documento:

L’allegato, in parole semplici

L’allegato è la parte che quasi tutti leggono davvero, perché dice dove vanno i dati. I contenuti dei questionari, le risposte, le risposte parziali salvate e i file caricati sono conservati da Supabase su infrastruttura AWS a Londra (eu-west-2). I controlli tecnici applicati — TLS in transito, AES-256 a riposo, sicurezza a livello di riga, isolamento delle organizzazioni risolto sul server anziché desunto dal browser e un bucket privato per i caricamenti leggibile solo tramite URL firmati che scadono dopo 300 secondi — sono descritti sulla pagina sulla sicurezza, e la stessa descrizione costituisce l’allegato ai sensi dell’articolo 32.

Ogni terza parte di cui ci avvaliamo, che cosa fa, che cosa vede e dove lo fa, è sulla pagina dei sub-responsabili. Il DPA conferisce l’autorizzazione scritta generale per quell’elenco e ci impegna a pubblicare un’aggiunta prima che il nuovo fornitore inizi a trattare i dati, con un vostro diritto di opposizione per ragionevoli motivi di protezione dei dati. Due righe di quella pagina sono contrassegnate come "da confermare" perché non abbiamo ancora verificato la regione con il fornitore; se vi serve una di quelle confermata prima di poter firmare, ditelo e la solleciteremo invece di tirare a indovinare.

Come richiedere una copia

Chiedetela dalla pagina dei contatti. Indicateci la denominazione legale dell’organizzazione contraente e chi firmerà, e se vi serve prima o dopo l’apertura di un account: va bene in entrambi i casi, e preferiamo che il vostro responsabile della protezione dei dati la legga in fase di valutazione anziché scoprire un problema al terzo mese.

Se la vostra organizzazione ha un proprio DPA obbligatorio, inviatecelo. Comuni, enti sanitari e università di solito ne hanno uno, ed esaminare il vostro è più rapido che discutere su quale carta prevalga. Lo leggiamo per intero e torniamo con osservazioni puntuali là dove una clausola non corrisponde al reale funzionamento della piattaforma: per esempio una clausola di audit che imponga l’ispezione in loco di un data centre che non possediamo, o un impegno di conservazione che presupponga una scadenza automatica di cui non disponiamo. Preferiamo segnalarlo piuttosto che firmare qualcosa che non possiamo mantenere.

Che cosa il DPA non fa

Non sceglie la vostra base giuridica, non scrive la vostra informativa sulla privacy e non compila la vostra valutazione d’impatto sulla protezione dei dati. Sono responsabilità del titolare, e nessun contratto con un fornitore le trasferisce. Compileremo le sezioni riservate al fornitore di una DPIA e risponderemo a un questionario di sicurezza — la pagina sul GDPR britannico indica che cosa copriamo — ma la valutazione resta vostra.

E non conferisce una certificazione che non possediamo. Non siamo certificati ISO 27001, non abbiamo completato alcun audit SOC 2 e non possediamo Cyber Essentials. Se il vostro processo considera una di queste un requisito vincolante, il DPA non ve lo farà superare, e dovreste saperlo prima di investire tempo in una valutazione.

Pagine correlate

Sicurezza descrive i controlli a cui il DPA ci impegna. GDPR del Regno Unito tratta ruoli, basi giuridiche, conservazione e diritti di chi risponde. Sub-responsabili è l’elenco dell’allegato in forma sempre aggiornata. La dichiarazione di accessibilità è l’altro documento che gli uffici acquisti chiedono di solito nella stessa email.

Questa pagina descrive l’accordo. Non costituisce consulenza legale e non sostituisce un vostro esame.