Nomina a responsabile del trattamento (art. 28 GDPR)

Tra ___________________ (il Titolare) e D&J Corporate s.r.l.s., Via delle Sterlizie 62, 00048 Nettuno (RM), P.IVA 18242601005 (il Responsabile)

1. Oggetto e durata

Il Responsabile fornisce NexusVisite, software per la registrazione delle visite commerciali, e per questo tratta dati personali per conto del Titolare. La nomina dura quanto il contratto di servizio.

2. Cosa viene trattato

Natura: raccolta, registrazione, conservazione, consultazione, cancellazione, copia di sicurezza. Finalità: far funzionare il software. Nessun'altra. Categorie di interessati: dipendenti e collaboratori del Titolare; persone di riferimento presso i clienti del Titolare. Categorie di dati: identificativi e di contatto professionali; ruolo aziendale; contenuto dei rapportini di visita; dati di accesso e di attività nel software. ⚠️ Non sono previsti dati particolari (art. 9) né giudiziari (art. 10). Il campo «note» è testo libero: il Titolare istruisce le proprie persone a non inserirvi dati particolari. Il software non può impedirlo, e un dato particolare finito lì cambierebbe il regime giuridico dell'intero trattamento.

3. Obblighi del Responsabile

Il Responsabile: a) tratta i dati solo su istruzione documentata del Titolare; b) garantisce che chi accede sia vincolato alla riservatezza; c) adotta le misure dell'art. 32 descritte in privacy-misure-sicurezza.md; d) non ricorre ad altri responsabili senza autorizzazione (art. 4); e) assiste il Titolare nel rispondere agli interessati; f) assiste il Titolare per gli artt. 32-36; g) alla fine del rapporto cancella o restituisce i dati (art. 6); h) mette a disposizione quanto serve a dimostrare la conformità e consente le verifiche del Titolare.

⚠️ Il limite di cui il Responsabile dà atto

D&J non ha accesso ai dati commerciali attraverso l'interfaccia: il ruolo proprietario non può leggere clienti, visite né utenti. Ha però accesso tecnico al database per manutenzione e copie di sicurezza. Questo va detto per quello che è: una limitazione applicativa, non una barriera crittografica. Chi amministra il database può leggerne il contenuto. Le misure che lo circondano sono organizzative — accesso limitato alle persone di D&J che se ne occupano, riservatezza, registrazione degli interventi.

4. Sub-responsabili

Il Titolare autorizza:

Eventuale, solo se il Titolare accende l'assistente: il fornitore di IA che il Titolare stesso sceglie (Anthropic, OpenAI o Google), con contratto del Titolare. In questo caso il rapporto contrattuale col fornitore è del Titolare, non di D&J. Il Responsabile comunica ogni modifica con almeno 30 giorni di anticipo; il Titolare può opporsi e, in tal caso, recedere. I dati risiedono nei Paesi Bassi: nessun trasferimento dei dati a riposo fuori dallo SEE. ⚠️ Railway Corp. e' pero' una societa' statunitense. Se il suo personale di assistenza puo' accedere ai sistemi per manutenzione, quello e' un accesso dall'estero: il DPA di Railway, con le relative clausole contrattuali standard, va richiesto e allegato a questo atto. E' molto meno di ospitare i dati negli Stati Uniti, ma non e' nulla, e in una verifica viene chiesto.

5. Violazioni dei dati

Il Responsabile informa il Titolare senza ingiustificato ritardo e comunque entro 24 ore dalla scoperta, con quanto serve alla notifica al Garante (72 ore, art. 33). ⚠️ Oggi il software non ha un sistema di segnalazione degli errori: un guasto viene scoperto perché qualcuno lo racconta. È una lacuna nota ed è la prima cosa da colmare per rendere credibile questo articolo.

6. Fine del rapporto

Entro 30 giorni, a scelta del Titolare, il Responsabile restituisce i dati in formato leggibile o li cancella, comprese le copie di sicurezza. ⚠️ Le copie si cancellano da sole dopo 30 giorni: la cancellazione completa si perfeziona entro 60 giorni dalla richiesta.

7. Verifiche

Il Titolare può verificare, con preavviso di 15 giorni e non più di una volta l'anno, salvo incidenti.

Data _______________ Il Titolare _______________ Il Responsabile _______________