Data Processing Agreement (DPA) (IT)
Trattamento dei dati personali (GDPR)
1. Ruolo delle parti
Il Cliente agisce in qualità di Titolare del trattamento dei dati personali.
Il Fornitore agisce in qualità di Responsabile del trattamento ai sensi dell’art. 28 del Regolamento (UE) 2016/679 (GDPR), limitatamente ai dati trattati nell’ambito dell’erogazione del servizio.
1.1 Dati del responsabile
Forma Farm S.r.l. Indirizzo: via Savona 10 – 20144 Milano Nome, qualifica e dati di contatto del referente: Alberto Pastorelli, Amministratore Delegato Indirizzo mail amministrazione@formafarm.com
1.2 Conformità, codici di condotta e certificazioni (artt. 40 e 42 GDPR)
Forma Farm non aderisce attualmente a un codice di condotta ai sensi dell'art. 40 del GDPR né dispone di una certificazione ai sensi dell'art. 42.
La conformità al GDPR è garantita attraverso l'adozione di adeguate misure tecniche e organizzative, documentate nel presente DPA e nell’Information Security Management Framework / Infrastructure & Security Standards, nonché mediante procedure di gestione della sicurezza, valutazioni periodiche delle vulnerabilità (VAPT), controllo degli accessi e gestione degli incidenti.
2. Personale autorizzato al trattamento
Il Fornitore si avvale di personale interno e collaboratori esterni autorizzati al trattamento dei dati personali ai sensi dell’art. 29 del GDPR.
Tali soggetti:
- operano sotto la diretta autorità del Fornitore
- sono vincolati da obblighi di riservatezza contrattuali
- ricevono istruzioni documentate in materia di protezione dei dati personali
- accedono ai dati esclusivamente per finalità tecniche connesse all’erogazione, manutenzione e sviluppo del servizio
L’accesso ai dati è limitato ai soli soggetti autorizzati e avviene secondo il principio di minimizzazione.
L’elenco aggiornato dei soggetti autorizzati è mantenuto internamente dal Fornitore ed è reso disponibile al Titolare su richiesta.
3. Sub-responsabili del trattamento
Per l’erogazione dei servizi, il Fornitore può avvalersi di sub-responsabili del trattamento ai sensi dell’art. 28 GDPR.
Sub-responsabili principali
- Provider cloud: Amazon Web Services (AWS)
- Localizzazione: Unione Europea (data center primario: Dublino, Irlanda)
- Servizio: infrastruttura cloud e hosting applicativo
- Trattamento: conservazione e gestione dei dati su infrastruttura
Il Fornitore garantisce che i sub-responsabili:
- siano vincolati da accordi conformi all’art. 28 GDPR
- adottino misure tecniche e organizzative adeguate alla protezione dei dati personali
Il Fornitore si impegna a mantenere aggiornato l’elenco dei sub-responsabili e a comunicarne eventuali modifiche al Titolare su richiesta o tramite pubblicazione nella presente documentazione.
4. Misure tecniche e organizzative (Art. 32 GDPR)
Il Fornitore adotta un insieme di procedure e misure tecniche e organizzative per la gestione della sicurezza delle informazioni e della protezione dei dati personali.
Tali misure disciplinano ruoli e responsabilità, gestione degli accessi, sviluppo sicuro, gestione delle vulnerabilità, incident response, backup, business continuity e controllo dei fornitori.
Nel dettaglio, il Fornitore adotta misure adeguate per garantire un livello di sicurezza proporzionato al rischio, tra cui:
- Controllo accessi e autenticazione: Accesso ai sistemi consentito esclusivamente a personale autorizzato tramite credenziali individuali, con profilazione degli accessi e, per gli account amministrativi, autenticazione a più fattori.
- Tracciamento e logging: Sono implementati sistemi di logging e monitoraggio degli accessi e delle attività sui sistemi, con conservazione dei log per un periodo definito e protezione da accessi non autorizzati.
- Cifratura dei dati: I dati personali sono protetti mediante protocolli di cifratura durante la trasmissione (TLS) e, ove applicabile, tramite cifratura dei dati a riposo o dei sistemi di backup.
- Backup e disaster recovery: Sono effettuati backup periodici dei dati con procedure di verifica del ripristino, al fine di garantire la disponibilità e la resilienza dei sistemi.
- Gestione delle vulnerabilità e aggiornamenti: Sono adottate procedure per l’aggiornamento periodico dei sistemi e per la gestione delle vulnerabilità, al fine di garantire un livello di sicurezza adeguato.
- Protezione dell’infrastruttura mediante firewall e controlli di sicurezza • Segregazione degli ambienti (produzione, test, sviluppo ove applicabile)
Per maggiori dettagli sulle misure tecniche implementate si può fare riferimento al documento apposito: Infrastructure & Security Standards
5. Gestione degli incidenti e data breach
Il Fornitore adotta procedure interne per la gestione degli incidenti di sicurezza e delle violazioni dei dati personali.
In caso di violazione dei dati personali, il Fornitore:
- ne dà comunicazione al Titolare senza ingiustificato ritardo
- fornisce le informazioni necessarie per consentire al Titolare di adempiere agli obblighi previsti dagli artt. 33 e 34 del GDPR
6. Trasferimenti di dati
I dati personali sono trattati all’interno dello Spazio Economico Europeo.
Eventuali trasferimenti verso paesi terzi avvengono nel rispetto del Capo V del GDPR e mediante adeguate garanzie (es. clausole contrattuali standard), ove applicabili.
7. Durata del trattamento
Il trattamento dei dati personali è limitato alla durata del servizio erogato dal Fornitore.
Al termine del rapporto contrattuale, i dati saranno cancellati o restituiti al Titolare, salvo obblighi di legge.
8. Descrizione del trattamento dei dati personali
8.1 Tipologia di servizio
Il servizio consiste nell’erogazione di una piattaforma LMS (Learning Management System) in modalità SaaS, comprensiva di hosting, manutenzione applicativa e supporto tecnico.
8.2 Categorie di interessati
I dati personali trattati possono riguardare:
- utenti della piattaforma LMS (discenti)
- docenti / formatori
- amministratori della piattaforma lato Cliente
- referenti aziendali del Cliente
8.3 Categorie di dati personali
A seconda della configurazione del Cliente, possono essere trattati:
- dati anagrafici (nome, cognome)
- dati di contatto (email)
- credenziali di accesso (username, password cifrata)
- dati di utilizzo della piattaforma (log di accesso, attività svolte)
- dati relativi alla formazione (corsi frequentati, risultati, progressi)
8.4 Dati particolari (se presenti)
Il servizio non è progettato per il trattamento di categorie particolari di dati personali.
Tuttavia, il Cliente può caricare contenuti che includano dati particolari. In tal caso:
- il trattamento avviene sotto la responsabilità del Cliente
- il Fornitore applica misure tecniche adeguate alla protezione dei dati
8.5 Natura del trattamento
Il trattamento consiste in:
- raccolta e registrazione dei dati
- organizzazione e conservazione
- consultazione e utilizzo
- eventuale cancellazione o anonimizzazione
Il trattamento è effettuato esclusivamente per finalità tecniche e operative connesse all’erogazione del servizio.
8.6 Finalità del trattamento
I dati personali sono trattati per:
- erogazione e gestione della piattaforma LMS
- autenticazione e gestione degli utenti
- tracciamento delle attività formative
- assistenza tecnica e supporto
- sicurezza e monitoraggio dei sistemi
8.7 Conservazione e cancellazione dei dati
I dati sono trattati per tutta la durata del rapporto contrattuale con il Cliente.
Alla cessazione del servizio:
- i dati vengono cancellati o restituiti su richiesta
- possono essere conservati temporaneamente nei sistemi di backup secondo le politiche tecniche del Fornitore
8.8 Ambito del trattamento da parte dei sub-responsabili
I sub-responsabili del trattamento trattano i dati esclusivamente per:
- ospitare l’infrastruttura
- garantire disponibilità e sicurezza dei sistemi
Non effettuano trattamenti per finalità proprie.
9. Audit e verifiche
Il Fornitore mette a disposizione del Titolare le informazioni necessarie per dimostrare il rispetto degli obblighi previsti dal GDPR.
Il Titolare può richiedere verifiche o attività di audit, che saranno concordate preventivamente tra le parti e svolte secondo modalità tali da non compromettere la sicurezza dei sistemi e la riservatezza di altri clienti.
In particolare:
- gli audit devono essere notificati con un preavviso ragionevole
- devono essere limitati agli aspetti rilevanti per il trattamento dei dati personali
- possono essere effettuati direttamente dal Titolare o tramite soggetti terzi incaricati
- non devono comportare accesso diretto ai sistemi produttivi, salvo diverso accordo
Il Fornitore si impegna a collaborare in buona fede e a fornire evidenze documentali delle misure tecniche e organizzative adottate.