L'allegato GDPR del suo contratto : lei è titolare del trattamento dei dati dei suoi cavalieri, noi ne siamo il responsabile – con impegni precisi.
Questo testo è una traduzione di cortesia. In caso di divergenza, prevale la versione francese.
Il presente accordo sul trattamento dei dati (« DPA ») costituisce l'allegato GDPR delle Condizioni generali di servizio e si applica di diritto a ogni Cliente del Servizio Equimondo. Esso attua gli obblighi previsti dall'articolo 28 del Regolamento (UE) 2016/679 (« GDPR »).
Per i dati personali inseriti o importati nel Servizio dal Cliente (cavalieri e loro rappresentanti legali, proprietari di equidi, membri del team, fornitori), il Cliente è titolare del trattamento e EQUIMONDO è responsabile del trattamento, e agisce unicamente su istruzione documentata del Cliente, essendo la prima istruzione il contratto stesso.
EQUIMONDO ospita, conserva, organizza, struttura, consulta a fini di assistenza, esegue backup, restituisce e cancella i dati per conto del Cliente, al solo fine di fornire le funzionalità del Servizio : gestione dei cavalli e delle cure, planning e prenotazioni, monitoraggio didattico, comunicazione con i cavalieri, fatturazione e incassi, sito internet del Cliente. La durata del trattamento è quella del contratto, aumentata dei termini di reversibilità previsti.
Il Servizio è concepito per la gestione di cavalieri minorenni da parte di strutture professionali. Il Cliente garantisce che la raccolta dei dati dei minori avviene presso i loro rappresentanti legali o con il loro accordo, e che fornisce loro l'informativa prevista dagli articoli da 12 a 14 del GDPR.
Il Servizio non è destinato alla conservazione dei dati cosiddetti particolari (articolo 9 del GDPR), in particolare dei dati sanitari delle persone. Il Cliente si impegna a non registrarvi tali dati, ad eccezione delle informazioni strettamente necessarie alla sicurezza delle attività (contatto d'emergenza, indicazione di una controindicazione comunicata dalla famiglia), che tratta sotto la propria esclusiva responsabilità e in ottica di minimizzazione. I dati relativi agli equidi (cure, registro di allevamento) non sono dati personali, salvo quando si riferiscono a una persona identificabile.
Il Cliente autorizza in via generale il ricorso ai sub-responsabili elencati nell' Informativa sulla privacy (in particolare OVH, Stancer, Brevo, Spot-Hit, Mistral AI, Yousign, e Google per la sola sincronizzazione facoltativa delle agende). EQUIMONDO informa il Cliente di ogni aggiunta o sostituzione prevista con almeno trenta (30) giorni di anticipo ; il Cliente può formulare obiezioni legittime e, in mancanza di accordo, recedere senza penali. EQUIMONDO conclude con ciascun sub-responsabile un contratto che impone obblighi equivalenti al presente DPA e resta pienamente responsabile verso il Cliente della loro esecuzione.
Misure tecniche e organizzative attuate : cifratura TLS di tutte le comunicazioni ; architettura multi-tenant con separazione rigorosa dei dati di ciascuna struttura ; autenticazione individuale degli utenti e gestione granulare delle abilitazioni da parte del Cliente ; interrogazioni al database preparate e parametrizzate ; accessi amministrativi limitati (SSH con chiave, filtraggio IP) ; registrazione degli eventi ; backup quotidiani cifrati su server dedicati in Francia ad accesso limitato ; procedura di gestione delle vulnerabilità e degli incidenti.
I Dati del Cliente sono ospitati e salvati esclusivamente nell'Unione europea (Francia). Nell'ambito del presente DPA non viene effettuato alcun trasferimento di dati personali fuori dall'UE, con due eccezioni : (i) la sincronizzazione con Google Calendar, se e solo se il Cliente o il suo utente la attiva, coperta dal Data Privacy Framework e dalle clausole contrattuali tipo ; (ii) i trattamenti di miglioramento effettuati esclusivamente su dati anonimizzati, che non costituiscono più dati personali.
Il Cliente può, al massimo una volta l'anno e con un preavviso di trenta (30) giorni, verificare il rispetto del presente DPA sulla base del fascicolo di conformità fornito da EQUIMONDO (descrizione delle misure, attestazioni, elenco dei sub-responsabili). Un audit in loco, condotto da un terzo indipendente non concorrente e vincolato alla riservatezza, è possibile in caso di comprovata insufficienza del fascicolo, a spese del Cliente e senza perturbare la sicurezza né il servizio dovuto agli altri clienti.
Al termine del contratto, il Cliente esporta autonomamente e gratuitamente tutti i suoi dati in formati standard, per sessanta (60) giorni. Trascorso tale termine, EQUIMONDO cancella i dati dai sistemi attivi ed elimina i backup per rotazione entro tre (3) mesi, salvo obbligo di conservazione di legge (documenti contabili : 10 anni). Su richiesta scritta viene rilasciata un'attestazione di cancellazione.
Ciascuna parte risponde dei danni causati da un trattamento contrario ai propri obblighi ai sensi del GDPR. I massimali di responsabilità delle condizioni generali di servizio si applicano al presente DPA, salvo disposizione imperativa contraria. In caso di contrasto tra il DPA e le condizioni generali di servizio su una questione di protezione dei dati, prevale il DPA.