Il presente Data Processing Agreement (“DPA”) disciplina, ai sensi dell’art. 28 del Regolamento (UE) 2016/679 (“GDPR”), i trattamenti di dati personali effettuati da Genesi OS per conto del cliente professionale, associazione, club, ente o altra organizzazione che utilizza la piattaforma GOSport (di seguito, il “Titolare” o “Tenant”).

Il presente DPA si applica ai casi in cui Genesi OS tratta dati personali per conto del Titolare nell’ambito dell’erogazione della piattaforma, dei servizi connessi e delle relative attività tecniche, organizzative e di supporto.

1. Parti del DPA

Il Titolare del trattamento è il soggetto cliente che determina finalità e mezzi dei trattamenti effettuati nel proprio contesto organizzativo, amministrativo, sportivo, fiscale o gestionale mediante utilizzo della piattaforma GOSport.

Il Responsabile del trattamento è Durante Vincenzo Marco, ditta individuale con denominazione Genesi OS, P.IVA 04585390240, C.F. DRNVCN91A07E970A, con domicilio fiscale in Via P. Alpino 38 int. 2, Marostica (VI).

Per richieste relative al presente DPA, ai trattamenti svolti da Genesi OS quale responsabile del trattamento e alla documentazione privacy/compliance: privacy@genesios.com.

Le richieste degli utenti finali relative ai trattamenti effettuati dal singolo Tenant devono essere rivolte direttamente al Tenant competente, quale titolare del trattamento per il relativo perimetro di dati.

2. Premesse e rapporto con il contratto principale

Il presente DPA integra e completa i termini contrattuali che regolano la fornitura della piattaforma GOSport e dei servizi erogati da Genesi OS al Titolare.

In caso di contrasto tra il presente DPA e altri accordi relativi al trattamento dei dati personali, prevalgono le disposizioni del presente DPA per quanto riguarda i trattamenti svolti da Genesi OS in qualità di responsabile del trattamento.

Il presente DPA costituisce, unitamente al contratto principale e alle istruzioni documentate del Titolare, la disciplina applicabile ai trattamenti delegati a Genesi OS.

3. Oggetto della nomina

Il Titolare nomina Genesi OS quale Responsabile del trattamento ai sensi dell’art. 28 GDPR con riferimento ai dati personali trattati per conto del Titolare attraverso la piattaforma GOSport e i relativi servizi tecnici connessi.

Genesi OS tratta tali dati esclusivamente per fornire, mantenere, proteggere e supportare il Servizio, nonché per eseguire le istruzioni documentate del Titolare, nei limiti del contratto e della normativa applicabile.

4. Durata del trattamento

Il presente DPA resta efficace per tutta la durata del rapporto contrattuale tra il Titolare e Genesi OS relativo all’utilizzo della piattaforma e dei servizi connessi.

Alla cessazione del rapporto, Genesi OS cesserà i trattamenti svolti per conto del Titolare, salvo quanto necessario per adempiere a obblighi di legge, per esigenze di sicurezza, backup, tutela dei diritti o per i tempi tecnici strettamente necessari alla chiusura del servizio.

5. Natura e finalità del trattamento

I trattamenti effettuati da Genesi OS per conto del Titolare hanno natura strumentale all’erogazione del servizio software e sono finalizzati, a titolo esemplificativo, a:

• ospitare, organizzare e rendere disponibili dati e funzionalità della piattaforma;
• consentire la gestione degli utenti, delle iscrizioni, dei profili e delle attività configurate dal Titolare;
• fornire autenticazione, identità digitale, sessione e accesso ai servizi del Tenant;
• eseguire assistenza tecnica, manutenzione correttiva, supporto applicativo e troubleshooting;
• assicurare logging tecnico, monitoraggio, protezione dell’infrastruttura, prevenzione di abusi e continuità operativa;
• eseguire backup, ripristino, attività di disaster recovery e misure tecniche necessarie alla resilienza del servizio;
• gestire integrazioni tecniche o moduli attivati dal Titolare, nei limiti del servizio acquistato e delle configurazioni adottate.

6. Categorie di dati personali trattati

In funzione delle configurazioni attivate dal Titolare e dell’uso concreto del Servizio, Genesi OS può trattare per conto del Titolare le seguenti categorie di dati personali:

• dati identificativi e anagrafici;
• dati di contatto, come email e recapiti telefonici;
• dati relativi ad account, login, autenticazione, sessioni e credenziali conservate in forma protetta;
• dati organizzativi, amministrativi, sportivi o gestionali caricati dal Titolare nella piattaforma;
• dati relativi a documenti, iscrizioni, profili utenti, scadenze, attività e registrazioni operative;
• dati fiscali, amministrativi o contabili eventualmente gestiti dal Titolare mediante il Servizio;
• dati tecnici, log, indirizzi IP, user-agent ed eventi di sicurezza;
• eventuali ulteriori dati caricati o gestiti dal Titolare attraverso moduli o funzionalità attivate nella piattaforma.

Il Titolare resta responsabile della liceità, correttezza e pertinenza dei dati immessi nel sistema e delle basi giuridiche relative ai trattamenti svolti nel proprio contesto.

7. Categorie di interessati

I dati trattati per conto del Titolare possono riferirsi, a seconda del caso, alle seguenti categorie di interessati:

• referenti, amministratori, dipendenti o collaboratori del Titolare;
• utenti finali registrati alla piattaforma e aderenti ai servizi del Titolare;
• tesserati, iscritti, membri, clienti, fornitori o altri soggetti coinvolti nelle attività del Titolare;
• ulteriori categorie di interessati i cui dati siano legittimamente trattati dal Titolare tramite la piattaforma.

8. Istruzioni del Titolare

Genesi OS tratta i dati personali esclusivamente sulla base di istruzioni documentate del Titolare, salvo che il trattamento sia richiesto dal diritto dell’Unione o dello Stato membro cui il Responsabile è soggetto.

Le istruzioni del Titolare sono contenute nel contratto principale, nel presente DPA, nelle configurazioni operate tramite piattaforma e nelle ulteriori richieste formalmente trasmesse e compatibili con il servizio erogato.

Qualora Genesi OS ritenga che un’istruzione violi il GDPR o altra normativa applicabile, informerà il Titolare, salvo divieto di legge.

9. Obblighi del Titolare

Restano integralmente a carico del Titolare, tra gli altri, i seguenti obblighi:

• determinare finalità e basi giuridiche dei trattamenti svolti nel proprio contesto;
• fornire agli interessati le informative di cui agli artt. 13 e 14 GDPR, ove dovute;
• garantire la liceità dei dati caricati e la legittimità del loro trattamento;
• verificare la pertinenza, l’esattezza e l’aggiornamento dei dati immessi in piattaforma;
• gestire le richieste degli interessati e i tempi di conservazione relativi ai trattamenti di propria competenza;
• configurare la piattaforma in modo conforme ai propri obblighi normativi e organizzativi.

10. Obblighi del Responsabile del trattamento

Genesi OS si impegna a:

• trattare i dati personali solo nei limiti delle istruzioni del Titolare e delle finalità di servizio sopra indicate;
• garantire che le persone autorizzate al trattamento siano vincolate da obblighi di riservatezza;
• adottare misure tecniche e organizzative adeguate ai sensi dell’art. 32 GDPR;
• assistere il Titolare, nei limiti del possibile e in relazione al servizio erogato, nell’adempimento degli obblighi previsti dal GDPR;
• tenere conto della natura del trattamento e delle informazioni a disposizione del Responsabile;
• mettere a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi previsti dall’art. 28 GDPR, nei limiti ragionevoli e proporzionati.

11. Misure tecniche e organizzative di sicurezza

Genesi OS adotta misure tecniche e organizzative adeguate al rischio, tenendo conto dello stato dell’arte, dei costi di attuazione, della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento.

Tali misure comprendono, a titolo esemplificativo:

• protezione delle credenziali e conservazione delle password in forma non reversibile;
• controlli di autenticazione, gestione della sessione e strumenti di hardening applicativo;
• logging tecnico, tracciabilità degli eventi rilevanti e misure di monitoraggio;
• limitazione degli accessi ai dati sulla base del principio di necessità;
• protezione dei segreti applicativi, delle chiavi e delle informazioni riservate;
• backup, ripristino e misure idonee a garantire resilienza e continuità operativa.

Una sintesi delle misure adottate può essere resa disponibile attraverso documentazione tecnica, pagina sicurezza o materiali contrattuali dedicati.

12. Persone autorizzate al trattamento

Genesi OS garantisce che i soggetti autorizzati a trattare dati personali per suo conto abbiano accesso ai dati solo nella misura necessaria allo svolgimento delle proprie mansioni e siano soggetti a obblighi di riservatezza adeguati.

Gli accessi ai dati sono organizzati secondo criteri di minimizzazione, separazione dei ruoli e necessità operativa.

13. Sub-responsabili del trattamento

Il Titolare autorizza Genesi OS a ricorrere a sub-responsabili del trattamento per l’esecuzione di specifiche attività connesse al Servizio, quali hosting, infrastruttura, gestione domini, invio email, sicurezza, pagamenti, fatturazione o altri servizi tecnici di supporto.

Genesi OS seleziona tali soggetti con criteri di affidabilità adeguati e impone loro, mediante contratto o altro atto giuridico conforme all’art. 28 GDPR, obblighi sostanzialmente equivalenti a quelli previsti dal presente DPA.

Genesi OS resta responsabile nei confronti del Titolare dell’adempimento degli obblighi dei sub-responsabili, nei limiti previsti dalla normativa applicabile.

L’elenco aggiornato dei principali sub-responsabili può essere reso disponibile tramite apposita pagina informativa o documentazione contrattuale dedicata.

14. Trasferimenti verso Paesi terzi

Qualora l’erogazione del Servizio comporti il trasferimento di dati personali al di fuori dello Spazio Economico Europeo, Genesi OS adotterà le garanzie appropriate previste dagli artt. 44 e ss. GDPR, quali decisioni di adeguatezza, clausole contrattuali standard o altri strumenti ammessi.

15. Assistenza nell’esercizio dei diritti degli interessati

Tenendo conto della natura del trattamento, Genesi OS assiste il Titolare con misure tecniche e organizzative adeguate, per quanto possibile, al fine di consentire l’adempimento dell’obbligo del Titolare di dare seguito alle richieste per l’esercizio dei diritti degli interessati.

Qualora Genesi OS riceva direttamente una richiesta riferibile a trattamenti svolti per conto del Titolare, la inoltrerà al Titolare, salvo che sia diversamente tenuto dalla legge.

16. Assistenza per sicurezza, DPIA e consultazione preventiva

Tenendo conto della natura del trattamento e delle informazioni a disposizione, Genesi OS assiste il Titolare, nei limiti ragionevoli e proporzionati, nell’adempimento degli obblighi relativi a:

• sicurezza del trattamento;
• notifica di violazioni dei dati personali;
• valutazioni d’impatto sulla protezione dei dati (DPIA), ove richieste;
• eventuale consultazione preventiva dell’autorità di controllo, ove applicabile.

17. Gestione dei data breach

In caso di violazione dei dati personali riguardante trattamenti svolti per conto del Titolare, Genesi OS informerà il Titolare senza ingiustificato ritardo, fornendo, nei limiti delle informazioni disponibili, gli elementi utili a comprendere la natura dell’evento, le categorie di dati coinvolti, i possibili impatti e le misure adottate o proposte.

Resta in capo al Titolare la valutazione circa eventuali obblighi di notifica all’autorità di controllo e/o di comunicazione agli interessati, salvo diversa previsione normativa o contrattuale.

18. Restituzione e cancellazione dei dati

Alla cessazione del rapporto contrattuale, e su scelta del Titolare ove tecnicamente possibile, Genesi OS provvede alla restituzione o cancellazione dei dati personali trattati per conto del Titolare, salvo che la conservazione sia richiesta dal diritto dell’Unione o dello Stato membro, oppure risulti necessaria per finalità di sicurezza, backup, prevenzione frodi, tutela dei diritti o gestione della cessazione del servizio.

I tempi tecnici di cancellazione possono dipendere dai cicli di backup, dalle procedure di dismissione e dalle misure di sicurezza adottate.

19. Audit e informazioni di compliance

Genesi OS mette a disposizione del Titolare le informazioni ragionevolmente necessarie a dimostrare il rispetto degli obblighi di cui all’art. 28 GDPR.

Eventuali richieste di audit devono essere proporzionate, motivate, compatibili con la sicurezza del Servizio, con la riservatezza verso altri clienti e con i limiti organizzativi del Responsabile.

Gli audit in loco o le verifiche invasive possono essere soggetti a previa pianificazione, accordi di riservatezza e rimborso dei costi ragionevoli sostenuti da Genesi OS.

20. Limiti del ruolo del Responsabile

Il presente DPA disciplina esclusivamente i trattamenti svolti da Genesi OS per conto del Titolare.

Restano esclusi dal perimetro del presente DPA i trattamenti svolti da Genesi OS in qualità di autonomo titolare, quali quelli relativi alla gestione dei propri rapporti contrattuali, alla fatturazione, alla sicurezza dell’infrastruttura, alla prevenzione degli abusi, alla gestione dei log tecnici, alla tutela dei propri diritti e agli adempimenti di legge.

21. Responsabilità

Ciascuna parte risponde nei limiti del proprio ruolo e delle proprie responsabilità come previsti dal GDPR, dalla normativa applicabile e dagli accordi contrattuali tra le parti.

Il Titolare garantisce di avere titolo per trattare i dati immessi nella piattaforma e di manlevare Genesi OS da pretese derivanti da trattamenti illeciti imputabili a istruzioni, configurazioni, basi giuridiche o informative di propria competenza, nei limiti consentiti dalla legge.

22. Modifiche al DPA

Genesi OS si riserva il diritto di aggiornare il presente DPA per adeguarlo a evoluzioni normative, tecniche, organizzative o dei servizi utilizzati.

In caso di modifiche rilevanti, il Titolare potrà esserne informato tramite piattaforma, email o altri canali idonei.

23. Legge applicabile e foro competente

Il presente DPA è regolato dalla legge italiana, salvo quanto direttamente previsto dal GDPR e dalla normativa dell’Unione Europea in materia di protezione dei dati personali.

Salvo diversa previsione inderogabile di legge o del contratto principale, ogni controversia relativa all’interpretazione, validità, efficacia o esecuzione del presente DPA sarà devoluta al foro competente individuato secondo la normativa applicabile.

24. Documenti correlati

Per approfondire gli aspetti privacy, sicurezza e organizzativi connessi al trattamento dei dati, è possibile consultare anche:

25. Contatti

Per richieste o comunicazioni relative al presente DPA, ai trattamenti svolti da Genesi OS quale responsabile del trattamento e alla documentazione compliance: privacy@genesios.com.

Le richieste provenienti dagli utenti finali relative ai trattamenti svolti dal singolo Tenant devono essere indirizzate al Tenant competente, quale titolare del trattamento per il relativo perimetro di dati.