Accordo sul trattamento dei dati

Questo documento regola il trattamento dei dati personali che Animiyo svolge per conto di un tenant. Tenant significa una clinica veterinaria, un negozio o servizio per animali oppure un allevatore che opera in uno spazio di lavoro separato della piattaforma, con propri operatori e propri clienti. In quel perimetro il tenant decide le finalità e i mezzi del trattamento ed è titolare; Animiyo mette a disposizione l'infrastruttura, esegue le istruzioni ricevute ed è responsabile ai sensi dell'articolo 4 numero 8 del regolamento UE 2016/679.

L'accordo si conclude senza una firma separata. Diventa vincolante nel momento in cui lo spazio di lavoro del tenant viene abilitato e i termini pubblicati in /termini vengono accettati: da quel momento questo testo, nella versione in vigore alla data indicata in testa alla pagina, è l'atto giuridico richiesto dall'articolo 28 paragrafo 3. Il tenant che abbia bisogno di una copia sottoscritta da allegare alla propria documentazione può chiederla dalla pagina /contatti, e riceve il medesimo testo in un documento datato e firmato.

L'accordo non copre i trattamenti in cui Animiyo decide da sé finalità e mezzi, cioè gli account dei proprietari di animali che usano la piattaforma per finalità personali: per quelli Animiyo è titolare e il documento applicabile è l'informativa in /privacy. Non copre nemmeno i fornitori che il tenant sceglie per conto proprio, che restano a suo carico secondo quanto descritto in /sub-responsabili. La distinzione è rilevante perché determina a chi un interessato deve rivolgere una richiesta e chi risponde davanti all'autorità di controllo.

Animiyo è una piattaforma multi-tenant e per questo il suo ruolo cambia a seconda del dato considerato, non a seconda del momento. Sullo stesso animale possono convivere due trattamenti distinti: la scheda che il proprietario compila per sé, su cui Animiyo è titolare, e la documentazione clinica che una clinica redige nel proprio spazio, su cui titolare è la clinica. La tabella indica dove passa il confine, funzione per funzione, e va letta insieme alla tabella corrispondente dell'informativa in /privacy, con cui coincide.

I due ruoli non si sovrappongono e non si scambiano a comodo. Quando Animiyo agisce come responsabile non decide quali dati raccogliere né per quanto tempo conservarli: esegue le istruzioni documentate del tenant e, se le eccede, per quel trattamento è considerato titolare ai sensi dell'articolo 28 paragrafo 10, con tutte le conseguenze che ne derivano. Quando agisce come titolare, invece, risponde direttamente delle proprie scelte e non può invocare l'istruzione di nessuno.

A valle di Animiyo la catena prosegue. I fornitori elencati in /sub-responsabili trattano dati per conto di Animiyo e, nel rapporto con il tenant, sono sub-responsabili autorizzati ai sensi dell'articolo 28 paragrafi 2 e 4. La catena è quindi lineare e verificabile: il tenant è titolare, Animiyo è responsabile, Google Ireland Limited con Google LLC è sub-responsabile per i servizi di infrastruttura. Nessun altro anello è presente alla data di questo accordo.

L'articolo 28 paragrafo 3 chiede che l'atto giuridico indichi con precisione alcuni elementi, che nella prassi vengono spesso relegati in un allegato generico. Qui sono scritti nel corpo del documento e riferiti alle funzioni realmente presenti nella piattaforma, perché un elenco astratto non permette al titolare di verificare nulla.

Le finalità non sono generiche. Ognuna corrisponde a una parte del prodotto che il tenant attiva o non attiva, e nessuna comporta un uso dei dati diverso da quello richiesto dal titolare. In particolare nessun dato trattato per conto di un tenant viene usato per finalità proprie di Animiyo, per statistiche commerciali, per profilazione o per addestrare modelli di intelligenza artificiale.

• Gestione dell'anagrafica dei clienti e degli animali assistiti, comprese le condivisioni autorizzate dal proprietario.
• Redazione e conservazione della documentazione clinica: note SOAP, referti di laboratorio, condizioni croniche, ricoveri.
• Registrazione di vaccinazioni, terapie farmacologiche, sverminazioni e rilevazioni del peso.
• Agenda degli appuntamenti, tipi di appuntamento configurati dal tenant e promemoria collegati.
• Moduli di consenso, raccolta della firma e conservazione dei consensi firmati.
• Preventivi, fatture, ordini, abbonamenti e programmi fedeltà del tenant.
• Conversazioni fra il personale del tenant e i clienti all'interno della piattaforma.
• Sicurezza della piattaforma, registro di audit e prevenzione degli abusi automatizzati.
• Esportazione dei dati su richiesta del titolare o di un interessato che si rivolga al titolare.

Sulla durata vale una precisazione che evita malintesi frequenti. Il trattamento non termina il giorno in cui il tenant smette di usare la piattaforma, ma il giorno in cui si chiude la procedura di restituzione o cancellazione descritta più avanti. Nel periodo intermedio Animiyo continua a conservare i dati, limitando il trattamento alla sola conservazione e alle operazioni necessarie a consegnarli o eliminarli. Il periodo intermedio non è indefinito: ha i termini indicati nella sezione sulla fine del rapporto.

La tabella elenca le categorie di dati che Animiyo tratta per conto di un tenant, con esempi concreti e con l'indicazione delle collezioni Firestore in cui risiedono. Indicare le collezioni non è un dettaglio tecnico superfluo: permette al titolare di verificare la corrispondenza fra quanto è dichiarato qui e quanto esiste davvero nel sistema, e gli consente di descrivere il trattamento nel proprio registro con la stessa precisione.

Le categorie di interessati coinvolte sono quattro e conviene tenerle distinte, perché hanno aspettative e diritti diversi e perché il titolare deve informarle tutte, non soltanto i propri clienti paganti.

• I clienti del tenant, cioè i proprietari degli animali assistiti dalla clinica, dal negozio o dall'allevatore.
• Le persone indicate come contatto di un animale: familiari, conviventi, delegati, veterinario di riferimento.
• I membri del personale del tenant che accedono alla piattaforma con un proprio account e le cui azioni finiscono nel registro di audit.
• I terzi occasionalmente menzionati nel testo libero di una nota, di un referto, di un preventivo o di una conversazione.

L'ultima categoria è quella che genera più problemi ed è anche la meno controllabile dal responsabile. Un campo di testo libero accetta qualunque cosa vi si scriva, compresi dati di persone che non hanno alcun rapporto con la piattaforma. Animiyo non filtra il contenuto delle note professionali, perché filtrarlo significherebbe leggerlo e valutarlo, cioè eccedere le istruzioni ricevute. Spetta al titolare istruire il proprio personale a scrivere nei campi liberi solo ciò che è necessario e pertinente, secondo il principio di minimizzazione dell'articolo 5 paragrafo 1 lettera c.

I dati contenuti nel libretto sanitario di un animale non sono dati relativi alla salute ai sensi dell'articolo 9 del regolamento. La ragione è semplice e non ammette scorciatoie: l'articolo 9 protegge categorie particolari di dati personali riferiti a un interessato, e un interessato è per definizione una persona fisica. Un animale non lo è, quindi la sua cartella clinica non fa scattare il divieto dell'articolo 9 paragrafo 1 né la ricerca di una deroga fra quelle del paragrafo 2.

Questo non rende quei dati anonimi, ed è l'errore opposto, altrettanto comune. Una vaccinazione, una terapia, un ricovero o un referto sono riferibili al proprietario identificato dall'account a cui l'animale è collegato: descrivono le sue spese, le sue abitudini, i suoi spostamenti verso una struttura e, in molti casi, la sua situazione familiare. Restano quindi dati personali comuni del proprietario e come tali vanno trattati, con base giuridica, informativa, termini di conservazione e diritti pienamente applicabili.

La distinzione ha conseguenze pratiche in due direzioni. Verso il basso, evita che il titolare cerchi un consenso esplicito dove basta il contratto, appesantendo inutilmente la raccolta dei dati e rendendo revocabile un trattamento che revocabile non è. Verso l'alto, impedisce di considerare irrilevante una cartella clinica animale: se il tenant tratta un numero elevato di clienti, il volume e la delicatezza percepita di quelle informazioni pesano nella valutazione dei rischi anche in assenza dell'articolo 9.

Sul piano tecnico Animiyo applica a queste informazioni le stesse cautele previste per le categorie particolari, indipendentemente dalla loro qualificazione giuridica, perché il danno potenziale in caso di accesso non autorizzato è comparabile.

• Accesso limitato al proprietario e ai soggetti che ha esplicitamente autorizzato tramite una condivisione.
• Regole di sicurezza Firestore e Cloud Storage che verificano la titolarità del documento a ogni lettura e a ogni scrittura.
• Separazione fra tenant, in modo che una clinica veda soltanto gli animali che le sono stati condivisi.
• Registrazione nel registro di audit applicativo delle operazioni rilevanti sulla documentazione clinica.
• Cifratura in transito con TLS e a riposo con AES a 256 bit.
• Assenza di qualunque uso secondario: nessuna statistica commerciale, nessuna profilazione, nessun addestramento di modelli.

Resta un punto che il titolare deve presidiare da solo. I campi liberi della documentazione clinica possono raccogliere dati sulla salute di persone fisiche, e in quel caso l'articolo 9 si applica pienamente. Animiyo non può accorgersene, perché non legge il contenuto delle note. Il titolare deve quindi istruire il personale a non inserire informazioni sulla salute del proprietario o di terzi quando non sono necessarie alla cura dell'animale, e a raccogliere il consenso esplicito quando invece lo sono.

Animiyo tratta i dati del tenant soltanto su istruzione documentata del titolare, secondo l'articolo 28 paragrafo 3 lettera a. Documentata non significa necessariamente scritta su carta: significa ricostruibile, riferibile a chi l'ha impartita e verificabile a distanza di tempo. Su una piattaforma software la maggior parte delle istruzioni viene impartita usando il prodotto, e questo accordo lo riconosce in modo esplicito invece di fingere che tutto passi da uno scambio di lettere.

L'articolo 28 paragrafo 3 chiude con un obbligo che vale in senso inverso rispetto a tutti gli altri: il responsabile deve informare immediatamente il titolare qualora ritenga che un'istruzione violi il regolamento o altre disposizioni dell'Unione o degli Stati membri relative alla protezione dei dati. Non è una facoltà di cortesia ed è l'unico caso in cui il responsabile è tenuto a contraddire il titolare. Animiyo lo fa per iscritto, dalla pagina /contatti verso l'indirizzo email dell'amministratore del tenant, entro cinque giorni lavorativi dalla ricezione dell'istruzione, e sospende l'esecuzione della sola parte contestata fino alla risposta.

Le istruzioni che seguono, a titolo di esempio non esaustivo, sarebbero segnalate e non eseguite. Sono esempi realistici, ricavati da funzioni che esistono davvero nella piattaforma, e non ipotesi di scuola.

• Disattivare il registro di audit del proprio tenant o alterare le registrazioni già scritte.
• Conservare la documentazione clinica di un cliente oltre il termine indicato dal titolare stesso, in assenza di una base giuridica ulteriore.
• Comunicare i dati di un cliente a un soggetto terzo che non risulti autorizzato dal titolare o dalla legge.
• Accedere ai dati di un tenant diverso da quello che impartisce l'istruzione, anche a titolo di confronto o di verifica.
• Usare i recapiti dei clienti del tenant per invii commerciali di massa in assenza di un consenso valido.
• Ricostruire dati cancellati su richiesta di un interessato attingendo alle copie di backup.
• Trasferire dati a un fornitore scelto dal tenant che non offra le garanzie previste dall'articolo 28 paragrafo 1.
• Rimuovere la separazione fra tenant per consentire una ricerca trasversale sugli animali di altri professionisti.

Se dopo la segnalazione il titolare conferma l'istruzione per iscritto e la conferma non elimina l'illegittimità rilevata, Animiyo non la esegue e può recedere dal rapporto con il preavviso previsto dai termini in /termini. La segnalazione, la conferma e l'esito restano conservati e sono messi a disposizione del titolare su richiesta, perché costituiscono la prova di come ciascuna parte si è comportata.

L'articolo 28 paragrafo 3 lettera b chiede che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza. Su Animiyo il numero di persone con accesso ai dati di produzione è molto ridotto e coincide con chi svolge manutenzione tecnica sulla piattaforma. Dichiararlo è più utile che descrivere un organigramma che non esiste: la misura di sicurezza principale, in un servizio di queste dimensioni, è proprio che gli accessi possibili siano pochi e tutti tracciati.

• Impegno di riservatezza scritto per chiunque acceda ai dati di produzione, efficace anche dopo la fine del rapporto.
• Accesso amministrativo concesso secondo il principio del minimo privilegio e revocato quando la ragione che lo giustificava viene meno.
• Accesso ai dati di produzione consentito soltanto per manutenzione, correzione di un difetto, gestione di un incidente di sicurezza o richiesta scritta del titolare.
• Autenticazione a più fattori obbligatoria sugli account della console Google Cloud del progetto petdiary-10327.
• Registrazione delle operazioni amministrative rilevanti nel registro di audit applicativo e nei registri del fornitore di infrastruttura.
• Nessun servizio di assistenza clienti di terza parte con accesso ai dati, come già dichiarato in /sub-responsabili.
• Nessun uso di dati di produzione negli ambienti di prova: i test usano dati sintetici o l'emulatore locale.

Il titolare può chiedere in qualunque momento, dalla pagina /contatti, l'elenco aggiornato dei ruoli amministrativi attivi sul progetto e la conferma che gli impegni di riservatezza siano sottoscritti. Non riceve i nomi delle persone, che sono a loro volta dati personali di terzi, ma riceve il numero di accessi attivi, il tipo di privilegio associato a ciascuno e la data dell'ultima revisione. È l'informazione che serve per valutare la misura senza creare un trattamento nuovo.

Le misure elencate qui sono quelle effettivamente implementate nella piattaforma. La terza colonna è la parte che rende utile la tabella: indica come il titolare può verificare la misura per conto proprio, senza doversi fidare della dichiarazione. Una misura di sicurezza che non si può controllare è un'affermazione, non una garanzia.

L'articolo 32 paragrafo 1 elenca quattro categorie di misure. La corrispondenza con quanto sopra è la seguente, ed è scritta per intero perché il titolare possa riportarla nel proprio registro senza doverla ricostruire.

• Pseudonimizzazione e cifratura, lettera a: cifratura in transito con TLS e a riposo con AES a 256 bit; identificativi tecnici pseudonimi nei registri di sicurezza e nella misurazione del sito pubblico.
• Riservatezza, integrità, disponibilità e resilienza, lettera b: regole di sicurezza per collezione, separazione fra tenant, controllo per ruolo, App Check, servizi gestiti con ridondanza del fornitore di infrastruttura.
• Ripristino tempestivo, lettera c: backup e repliche gestiti da Google Cloud per Cloud Firestore e Cloud Storage, con procedura di ripristino documentata dal fornitore.
• Verifica periodica dell'efficacia, lettera d: revisione delle misure a ogni rilascio che tocchi l'autenticazione, le regole di accesso o la struttura dei dati, con prove automatiche sulle regole di sicurezza.

Due cose non vengono dichiarate, e la loro assenza fa parte dell'informazione. Animiyo non possiede certificazioni proprie: i rapporti di conformità disponibili sono quelli che Google pubblica per i servizi Google Cloud e Firebase, e riguardano l'infrastruttura, non l'applicazione. E nessuna misura promette una sicurezza assoluta, che nessun sistema connesso alla rete può offrire. Il titolare deve tenerne conto nella propria valutazione dei rischi, invece di considerare il punto risolto perché il responsabile lo ha elencato.

Con questo accordo il titolare concede a Animiyo un'autorizzazione generale al ricorso a sub-responsabili, ai sensi dell'articolo 28 paragrafo 4 del regolamento UE 2016/679. L'autorizzazione generale è l'unica praticabile in un servizio SaaS, perché l'infrastruttura è comune a tutti i tenant e un'autorizzazione specifica per ciascuno renderebbe impossibile qualunque manutenzione. Non è però una delega in bianco: il titolare conserva il diritto di sapere in anticipo cosa cambia, di obiettare e di recedere.

L'elenco autorevole e sempre aggiornato dei sub-responsabili è pubblicato in /sub-responsabili, che riporta per ciascun fornitore il servizio, le categorie di dati, la sede del trattamento e la base del trasferimento. Alla data di entrata in vigore di questo accordo la catena è composta come segue.

• Google Ireland Limited, con Google LLC come sub-responsabile ulteriore, per Firebase Authentication, Cloud Firestore, Cloud Storage for Firebase, Cloud Functions, Cloud Run, Firebase Cloud Messaging, Firebase App Check con reCAPTCHA Enterprise e Google Analytics 4.
• Stripe Payments Europe Limited per l'elaborazione dei pagamenti: l'integrazione esiste nel codice ma il gateway è disattivato da un interruttore di configurazione, quindi alla data di questo accordo non riceve alcun dato.

Non sono sub-responsabili le fonti dati esterne che il browser dell'utente interroga direttamente: openFDA, Open Pet Food Facts, dog.ceo, Wikipedia, iNaturalist, frankfurter.app e tile.openstreetmap.org. Quelle chiamate sono di sola lettura, non trasportano identificativi dell'account né contenuti del diario e non avvengono su istruzione di Animiyo riguardo all'uso dei dati raccolti. Rispetto ai dati di connessione che ricevono, in particolare l'indirizzo IP del browser, quei servizi sono titolari autonomi. Il titolare deve tenerne conto nella propria informativa se abilita le funzioni che li utilizzano.

1. 1

   Pubblicazione del preavviso

   Almeno trenta giorni prima di aggiungere o sostituire un sub-responsabile, la modifica viene pubblicata in /sub-responsabili con l'indicazione del fornitore, del servizio, dei dati coinvolti e della data prevista di attivazione.

2. 2

   Comunicazione al titolare

   Contestualmente alla pubblicazione il preavviso viene inviato all'indirizzo email indicato dal tenant nel proprio profilo. Tenere quell'indirizzo aggiornato e sorvegliato è un onere del titolare, perché è lì che il preavviso produce i suoi effetti.

3. 3

   Obiezione motivata

   Il titolare può obiettare entro quindici giorni dal preavviso, scrivendo dalla pagina /contatti. L'obiezione deve essere motivata, cioè indicare quale rischio concreto o quale vincolo normativo rende inaccettabile il fornitore proposto.

4. 4

   Ricerca di una misura alternativa

   Prima della data di attivazione le parti verificano se l'obiezione possa essere superata con una diversa configurazione, una diversa regione di trattamento, una riduzione dei dati trasmessi oppure un fornitore differente per quella funzione.

5. 5

   Recesso senza penali

   Se l'obiezione non è superabile, il titolare può recedere senza penali dalla parte di servizio interessata dal cambiamento, con diritto alla restituzione dei dati secondo la procedura descritta nella sezione sulla fine del rapporto.

A ciascun sub-responsabile Animiyo impone per contratto obblighi di protezione dei dati non meno gravosi di quelli assunti con questo accordo, come richiede l'articolo 28 paragrafo 4. La stessa disposizione stabilisce che, se il sub-responsabile non adempie, il responsabile conserva nei confronti del titolare l'intera responsabilità dell'adempimento. Significa che il titolare non deve inseguire Google Ireland Limited per un inadempimento dell'infrastruttura: si rivolge a Animiyo, che risponde e poi si rivale a valle. I criteri con cui un fornitore viene ammesso o escluso sono descritti in /sub-responsabili e comprendono il divieto assoluto di clausole che consentano l'uso dei dati per finalità proprie del fornitore.

Il responsabile deve assistere il titolare in una serie di adempimenti che restano di competenza del titolare ma che, sul piano pratico, richiedono informazioni o strumenti che solo il responsabile possiede. La tabella indica ogni obbligo, la disposizione che lo prevede, il modo concreto in cui viene adempiuto e il termine entro cui il titolare riceve risposta.

Sui diritti degli interessati la regola è netta: Animiyo non risponde nel merito per conto del titolare. Se un cliente di una clinica chiede l'accesso o la cancellazione dei propri dati clinici scrivendo a Animiyo, la richiesta viene inoltrata al titolare competente entro cinque giorni lavorativi e l'interessato viene informato dell'inoltro, con l'indicazione del soggetto a cui rivolgersi. La procedura completa, con i tempi di riscontro, le verifiche di identità e gli strumenti disponibili direttamente in applicazione, è descritta in /diritti-privacy. Il titolare resta libero di gestire la richiesta con i propri strumenti; Animiyo fornisce le estrazioni tecniche che gli servono.

Sulla valutazione d'impatto la ripartizione è altrettanto chiara. Valutare se una DPIA sia necessaria e condurla è un obbligo del titolare, che conosce il contesto, il volume dei propri clienti e le finalità effettive. Animiyo fornisce la materia prima tecnica e segnala le funzioni che, per esperienza, meritano attenzione nella valutazione. L'elenco che segue non sostituisce l'analisi del titolare, ma indica dove il rischio si concentra.

• Dati di localizzazione delle passeggiate, percorsi condivisi e passeggiate di gruppo, che possono rivelare abitudini e luoghi frequentati.
• Pagina pubblica del tag di smarrimento, accessibile da chiunque abbia il collegamento anche senza account.
• Condivisione di un animale fra proprietario e tenant, che apre l'accesso alle sottocollezioni sanitarie selezionate.
• Triage dei sintomi, che produce un suggerimento orientativo e non una diagnosi, descritto in /privacy nella sezione sulle decisioni automatizzate.
• Trattamento della documentazione clinica su larga scala, quando il tenant assiste un numero elevato di clienti.
• Trasferimento dei dati verso la regione us-central1, descritto nella sezione sui trasferimenti.
• Trattamento di dati riferiti a minori, quando un cliente del tenant è un minore o quando compaiono dati di minori nei campi liberi.

Se all'esito della valutazione il titolare deve consultare preventivamente l'autorità di controllo ai sensi dell'articolo 36, Animiyo fornisce la documentazione tecnica necessaria e risponde ai quesiti che l'autorità dovesse rivolgere tramite il titolare. L'assistenza è prestata senza costi aggiuntivi nei limiti indicati in tabella; le richieste che eccedono in modo manifesto quei limiti, per frequenza o per estensione, sono soggette al rimborso dei costi documentati, comunicato in anticipo e accettato per iscritto prima dell'esecuzione.

Per violazione dei dati personali si intende quanto definito dall'articolo 4 numero 12 del regolamento: una violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trattati. Rientrano quindi anche i casi in cui nessuno ha sottratto nulla, per esempio la perdita di dati per un errore tecnico o l'indisponibilità prolungata di un servizio. Il responsabile non valuta se la violazione vada notificata all'autorità: quella valutazione spetta al titolare, e serve che gli arrivi in fretta tutto ciò che gli occorre per compierla.

1. 1

   Rilevazione e qualificazione

   Ogni segnalazione interna, ogni anomalia rilevata nel registro di audit e ogni comunicazione ricevuta dal fornitore di infrastruttura viene qualificata subito: si stabilisce se si tratta di una violazione ai sensi dell'articolo 4 numero 12 e quali tenant risultano coinvolti.

2. 2

   Primo avviso entro ventiquattro ore

   Entro ventiquattro ore dal momento in cui Animiyo viene a conoscenza della violazione, il titolare coinvolto riceve un primo avviso all'indirizzo email indicato nel profilo, con quanto è già noto e con l'indicazione esplicita di ciò che è ancora in corso di accertamento.

3. 3

   Aggiornamento entro settantadue ore

   Entro settantadue ore il titolare riceve la comunicazione con il contenuto minimo indicato nella tabella che segue, cioè gli elementi che gli servono per decidere se notificare all'autorità di controllo e se comunicare la violazione agli interessati.

4. 4

   Relazione finale entro quindici giorni

   Entro quindici giorni dalla presa di conoscenza il titolare riceve la relazione conclusiva: ricostruzione dell'accaduto, cause, dati effettivamente coinvolti, misure correttive adottate e misure preventive introdotte per evitare che il fatto si ripeta.

5. 5

   Supporto alla notifica e alla comunicazione

   Su richiesta del titolare, Animiyo fornisce gli elementi tecnici da allegare alla notifica all'autorità ai sensi dell'articolo 33 e alla comunicazione agli interessati ai sensi dell'articolo 34, e risponde ai quesiti successivi dell'autorità tramite il titolare.

La notifica all'autorità di controllo entro settantadue ore prevista dall'articolo 33 è un obbligo del titolare e Animiyo non la effettua al suo posto, salvo un mandato scritto e specifico per il singolo evento. La ragione non è formale: notificare al posto del titolare significherebbe qualificare il rischio con informazioni che solo il titolare possiede, come il numero reale dei propri clienti, la loro vulnerabilità e il contesto in cui i dati sono stati raccolti. Il termine di ventiquattro ore per il primo avviso è calibrato proprio per lasciare al titolare il tempo utile a decidere entro le sue settantadue ore.

Quando la violazione riguarda dati per i quali Animiyo è titolare, per esempio gli account dei proprietari o il registro di audit della piattaforma, la notifica all'autorità e la comunicazione agli interessati sono a carico di Animiyo secondo quanto descritto in /privacy. Un incidente che tocchi l'infrastruttura comune produce di regola entrambi gli effetti: Animiyo notifica per la parte di cui è titolare e informa i tenant per la parte di cui è responsabile, tenendo le due comunicazioni distinte per evitare confusione sui ruoli.

Alla fine del rapporto il titolare sceglie fra restituzione e cancellazione dei dati, secondo l'articolo 28 paragrafo 3 lettera g. La scelta è sua e non del responsabile, e va comunicata per iscritto dalla pagina /contatti. In mancanza di una scelta espressa entro i termini indicati sotto, i dati vengono cancellati: è l'esito predefinito perché conservare dati senza istruzione e senza base giuridica sarebbe l'ipotesi più rischiosa per gli interessati.

1. 1

   Cessazione del rapporto

   Il rapporto cessa per recesso di una delle parti, per scadenza o revoca della licenza professionale, per chiusura dello spazio di lavoro oppure per esercizio del diritto di recesso a seguito di un'obiezione su un sub-responsabile.

2. 2

   Finestra di esportazione di trenta giorni

   Dalla cessazione decorrono trenta giorni in cui lo spazio di lavoro resta accessibile in sola lettura e tutti gli strumenti di esportazione restano attivi. In questa finestra il titolare può scaricare quanto gli serve senza chiedere nulla a nessuno.

3. 3

   Scelta fra restituzione e cancellazione

   Entro la stessa finestra di trenta giorni il titolare comunica se intende ricevere una consegna assistita dei dati oppure se la cancellazione può procedere. La consegna assistita copre anche i contenuti che gli strumenti in applicazione non esportano.

4. 4

   Cancellazione dai sistemi attivi

   Alla scadenza della finestra, o prima se il titolare lo chiede, i dati vengono cancellati dai sistemi attivi entro trenta giorni. La cancellazione riguarda Cloud Firestore e Cloud Storage e comprende fotografie, documenti caricati e firme dei consensi.

5. 5

   Attestazione scritta

   Completata la cancellazione, il titolare riceve un'attestazione scritta con la data dell'operazione, l'elenco delle collezioni interessate e l'indicazione degli eventuali dati conservati per obbligo di legge, con la relativa base normativa.

Sulle copie di backup serve una precisazione che molti accordi omettono. Le copie di backup e le repliche gestite da Google Cloud non consentono la cancellazione selettiva di un singolo documento: restano finché il ciclo di rotazione configurato sul progetto non le supera, e non vengono mai usate per ripristinare dati cancellati su richiesta. La finestra di rotazione attualmente configurata viene comunicata al titolare su richiesta dalla pagina /contatti, insieme alla data prevista di superamento delle copie che contengono i suoi dati. Dichiarare una cancellazione istantanea anche dai backup sarebbe più rassicurante e meno vero.

Restano esclusi dalla cancellazione i dati che il responsabile è tenuto a conservare per obbligo dell'Unione o di uno Stato membro, ipotesi espressamente fatta salva dall'articolo 28 paragrafo 3 lettera g. Alla data di questo accordo l'ipotesi principale riguarda i documenti fiscali, che diventeranno rilevanti quando i pagamenti saranno attivi e che la normativa civilistica e tributaria impone di conservare per dieci anni. In quei casi il trattamento è limitato alla sola conservazione, senza consultazione né uso ulteriore, e l'attestazione di cancellazione lo indica in modo esplicito.

L'articolo 28 paragrafo 3 lettera h riconosce al titolare il diritto di contribuire alle attività di revisione, comprese le ispezioni. La clausola nasce pensando a un responsabile con una sala macchine da visitare, e su un servizio SaaS multi-tenant quella immagine non funziona: Animiyo non possiede centri dati, l'infrastruttura è condivisa fra tutti i tenant e ogni accesso concesso a un titolare rischierebbe di esporre i dati degli altri. Il diritto di audit resta pieno, ma si esercita con strumenti diversi da una visita in loco, elencati qui in modo che il titolare sappia in anticipo cosa può ottenere.

Ci sono cose che il titolare non può ottenere, e vale la pena scriverle prima che vengano chieste in un momento di tensione. Non sono limiti opposti per comodità del responsabile: ciascuno protegge un interesse che il titolare stesso ha, dal momento che gli altri tenant hanno verso i propri dati le stesse aspettative che lui ha verso i propri.

• Accesso ai dati, ai documenti o ai registri di un tenant diverso dal proprio, neppure in forma parziale o aggregata.
• Accesso diretto alla console di amministrazione del progetto Google Cloud petdiary-10327.
• Copia integrale del codice sorgente o del testo completo delle regole di sicurezza, che descrivono anche gli altri tenant.
• Test distruttivi, prove di carico o attacchi di negazione del servizio, che degraderebbero il servizio per tutti.
• Ispezioni fisiche presso i centri dati, che appartengono al fornitore di infrastruttura e non al responsabile.
• Estrazione massiva di dati di produzione a fini di verifica, che aumenterebbe il rischio invece di ridurlo.
• Accesso ai registri di sicurezza nella parte che riguarda operatori o clienti di altri tenant.

Se il titolare ritiene che gli strumenti sopra elencati non siano sufficienti per un caso concreto, può proporre una modalità alternativa dalla pagina /contatti, indicando quale specifico aspetto intende verificare. Le parti cercano una soluzione che raggiunga lo scopo senza esporre dati di terzi, per esempio una dimostrazione guidata su ambiente di prova o una dichiarazione tecnica su un punto circoscritto. La richiesta non viene respinta perché inconsueta, ma soltanto se non esiste alcun modo di soddisfarla senza incidere sui diritti degli altri interessati.

Le risorse principali della piattaforma si trovano nella regione us-central1, negli Stati Uniti. I dati che il tenant tratta sui propri clienti sono quindi trattati fuori dallo Spazio economico europeo, e il titolare deve saperlo prima di sottoscrivere l'accordo e non dopo. Il trasferimento poggia su una base giuridica valida e su misure tecniche adeguate, descritte qui e in modo più esteso in /sub-responsabili.

Le clausole contrattuali tipo applicabili sono quelle adottate dalla Commissione europea con decisione di esecuzione UE 2021/914. Nel rapporto fra Animiyo e Google Ireland Limited si applica il modulo tre, da responsabile a sub-responsabile, che è il modulo corretto quando l'esportatore agisce a sua volta per conto di un titolare. Il titolare tenant resta il titolare originario della catena e conserva i diritti che le clausole riconoscono alla parte per conto della quale il trasferimento avviene, compreso il diritto di ottenere copia delle clausole applicabili.

• Google Ireland Limited come controparte contrattuale, con i Google Cloud Data Processing Terms.
• Clausole contrattuali tipo adottate con decisione di esecuzione UE 2021/914, modulo tre.
• Certificazione di Google LLC al Data Privacy Framework UE Stati Uniti.
• Cifratura dei dati in transito con TLS e a riposo con AES a 256 bit.
• Valutazione d'impatto del trasferimento documentata dal titolare del progetto e messa a disposizione del tenant su richiesta.
• Politica di Google sulla gestione delle richieste provenienti dalle autorità pubbliche, con i relativi rapporti di trasparenza.
• Impegno a informare il titolare di qualunque richiesta di accesso ricevuta da un'autorità di un paese terzo, salvo divieto di legge, e a impugnarla quando manifestamente illegittima.

La valutazione d'impatto del trasferimento considera la natura dei dati coinvolti, che nella grande maggioranza dei casi non sono categorie particolari riferite a persone fisiche, l'efficacia della cifratura in transito e a riposo, la prassi documentata del fornitore nella gestione delle richieste delle autorità pubbliche, i rimedi disponibili per gli interessati e la probabilità concreta che dati veterinari di clienti europei siano oggetto di una richiesta di accesso. Il titolare può ottenerne copia dalla pagina /contatti e deve integrarla con la valutazione del proprio contesto, che solo lui conosce.

La migrazione delle risorse a una regione europea, nell'area europe-west, è in valutazione ma non è una decisione presa, perché comporta la ricostruzione di parte dell'infrastruttura e una finestra di indisponibilità del servizio. Se avverrà, sarà annunciata in /sub-responsabili con lo stesso preavviso di trenta giorni previsto per i cambi di sub-responsabile, così che i titolari possano aggiornare la propria documentazione prima che il cambiamento abbia effetto.

L'articolo 82 del regolamento stabilisce che il responsabile risponde del danno causato dal trattamento soltanto se non ha adempiuto agli obblighi specificamente diretti ai responsabili oppure se ha agito in modo difforme o contrario rispetto alle legittime istruzioni del titolare. Fuori da queste due ipotesi la responsabilità resta del titolare, che ha deciso finalità e mezzi. La tabella traduce il principio nelle situazioni che si presentano davvero su questa piattaforma.

Le limitazioni di responsabilità previste dai termini pubblicati in /termini si applicano anche a questo accordo, con due eccezioni che non possono essere derogate: i danni causati da dolo o colpa grave e la responsabilità verso l'interessato prevista dall'articolo 82, che il regolamento non consente di limitare per contratto. Se una parte risarcisce integralmente il danno subito da un interessato, ha diritto di rivalersi sull'altra per la quota corrispondente alla sua responsabilità, secondo l'articolo 82 paragrafo 5.

In caso di contrasto fra i documenti che regolano il rapporto vale l'ordine di prevalenza indicato in /termini, qui richiamato per la parte che interessa il trattamento dei dati.

1. Le condizioni particolari eventualmente concordate per iscritto con un tenant, che prevalgono nel solo rapporto con quel tenant.
2. Questo accordo e l'elenco dei sub-responsabili in /sub-responsabili, per tutto ciò che riguarda il trattamento svolto per conto del titolare.
3. I termini pubblicati in /termini, che regolano l'uso della piattaforma da parte di ogni utente.
4. L'informativa in /privacy e l'informativa sui cookie in /cookie, che descrivono i trattamenti in cui Animiyo è titolare e prevalgono su quel punto.

L'accordo è regolato dalla legge italiana e dal regolamento UE 2016/679, integrati dal decreto legislativo 196/2003 come modificato dal decreto legislativo 101/2018. Poiché il tenant agisce nell'esercizio della propria attività professionale, per le controversie relative a questo accordo è competente in via esclusiva il foro della sede del fornitore indicata nella pagina /contatti, in coerenza con quanto previsto in /termini per gli utenti professionali. Resta impregiudicato il diritto dell'interessato di agire davanti al giudice del proprio luogo di residenza abituale ai sensi dell'articolo 79 del regolamento e di proporre reclamo all'autorità di controllo. La versione italiana e quella inglese hanno lo stesso contenuto; in caso di divergenza interpretativa fa fede il testo italiano.

Questo accordo può cambiare, perché cambiano le funzioni della piattaforma, i fornitori e il quadro normativo. Le modifiche sostanziali non entrano in vigore di sorpresa: seguono lo stesso meccanismo di preavviso, obiezione e recesso previsto per i sub-responsabili, perché una modifica dell'accordo incide sul rapporto quanto e più del cambio di un fornitore.

Davanti a una modifica sostanziale il titolare può obiettare entro quindici giorni dal preavviso, scrivendo dalla pagina /contatti. Se l'obiezione non è superabile con misure alternative, può recedere senza penali con diritto alla restituzione dei dati secondo la procedura descritta sopra. Il silenzio protratto oltre i quindici giorni vale come accettazione, e questo effetto è dichiarato qui in modo esplicito perché il titolare ne sia consapevole prima che il termine decorra.

Le revisioni successive vengono aggiunte a questa tabella e sono tracciate nel controllo di versione del codice, che conserva il testo esatto di ogni versione con la data della modifica. Il titolare che debba ricostruire quale accordo era in vigore in un determinato momento, per esempio in risposta a una richiesta dell'autorità di controllo, può ottenere quella versione dalla pagina /contatti.