Data Processing Agreement (DPA)

Art. 1 — Definizioni

• Titolare: l'organizzazione cliente che utilizza Sorvea per gestire i propri dipendenti
• Responsabile: Sorvea — Unione Professionisti S.r.l., che eroga il servizio SaaS
• Interessati: i lavoratori e le risorse umane dell'organizzazione del Titolare
• Dati particolari (Art. 9): dati sanitari relativi alle visite mediche e all'idoneità lavorativa

Art. 2 — Oggetto e natura del trattamento

Il Responsabile tratta i dati personali per conto del Titolare ai fini di:

• Archiviazione e gestione dati anagrafici lavoratori
• Gestione visite mediche e sorveglianza sanitaria (Art. 9 GDPR)
• Gestione DPI, formazione e cantieri
• Generazione di report e documentazione di conformità
• Erogazione dell'accesso alla piattaforma web Sorvea

Art. 3 — Obblighi del Responsabile (Art. 28.3 GDPR)

Il Responsabile si impegna a:

1. Trattare i dati personali solo su istruzione documentata del Titolare, salvo obblighi di legge applicabili
2. Garantire che le persone autorizzate al trattamento abbiano assunto obblighi di riservatezza o siano soggette a obblighi legali di riservatezza
3. Adottare tutte le misure di sicurezza previste dall'art. 32 GDPR (cifratura, controllo accessi, backup, log)
4. Non avvalersi di ulteriori sub-responsabili senza previa autorizzazione scritta del Titolare, salvo per i fornitori infrastrutturali (hosting Aruba S.p.A.) già noti al momento della stipula
5. Assistere il Titolare nell'esercizio dei diritti degli interessati (Artt. 15-22 GDPR) nei tempi tecnici ragionevoli
6. Assistere il Titolare per garantire il rispetto degli obblighi di sicurezza, notifica violazioni (Art. 33), DPIA e consultazione preventiva (Artt. 35-36)
7. Su scelta del Titolare, cancellare o restituire tutti i dati personali al termine della prestazione dei servizi ed eliminare le copie esistenti, salvo conservazione imposta da normativa applicabile
8. Mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi e consentire attività di audit

Art. 4 — Sub-responsabili autorizzati

Art. 5 — Misure di sicurezza (Art. 32 GDPR)

Il Responsabile adotta le seguenti misure di sicurezza tecniche e organizzative:

• Trasmissione dati cifrata (HTTPS/TLS 1.2+)
• Password degli utenti hash bcrypt (nessuna memorizzazione in chiaro)
• Isolamento multi-tenant dei dati per cliente
• Accesso con credenziali personali e log degli accessi
• Backup giornalieri con conservazione sicura
• Audit log degli accessi ai dati sanitari (Art. 9)
• Aggiornamenti di sicurezza periodici del software
• Formazione del personale autorizzato al trattamento

Art. 6 — Notifica violazioni (Art. 33-34 GDPR)

In caso di violazione dei dati personali (data breach), il Responsabile notifica il Titolare senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla scoperta, fornendo le informazioni necessarie per consentire al Titolare di adempiere agli obblighi di notifica al Garante e, ove applicabile, agli interessati.

Art. 7 — Durata e cancellazione dati

Il presente DPA ha validità per tutta la durata del contratto di servizio. Alla cessazione del contratto, il Responsabile:

• Mantiene i dati disponibili per l'esportazione per 30 giorni dalla data di cessazione
• Procede alla cancellazione sicura di tutti i dati entro 60 giorni dalla cessazione, salvo obblighi di conservazione normativa
• Rilascia attestazione scritta dell'avvenuta cancellazione su richiesta del Titolare

Art. 8 — Firme