Elenco dei sub-responsabili del trattamento

Animiyo è una piattaforma SaaS multi-tenant per la gestione degli animali da compagnia: un'applicazione web Next.js ospitata su Google Cloud Run e un'applicazione iOS nativa condividono lo stesso backend Firebase, nel progetto Google Cloud petdiary-10327. Nessuna di queste componenti gira su macchine di proprietà di chi sviluppa il servizio, quindi ogni dato trattato dalla piattaforma passa da un fornitore terzo. Rendere pubblico l'elenco di quei fornitori è il modo più diretto per permettere a chiunque di verificare dove finiscono i propri dati.

Animiyo ha due ruoli distinti. È titolare del trattamento per gli account dei proprietari di animali, cioè per chi si registra e usa l'applicazione per sé. È invece responsabile del trattamento per i dati che i tenant, cliniche veterinarie e negozi, trattano sui propri clienti. Questo elenco vale in entrambi i casi, con una differenza di qualificazione giuridica: nel primo caso i fornitori sono responsabili del trattamento nominati da Animiyo, nel secondo sono sub-responsabili autorizzati ai sensi dell'articolo 28 paragrafi 2 e 4 del regolamento UE 2016/679.

Due tipi di lettori usano questa pagina. L'interessato, cioè la persona i cui dati sono trattati, la usa per verificare che l'informativa in /privacy dica la verità e per esercitare i diritti descritti in /diritti-privacy. Il tenant titolare la usa per adempiere all'obbligo di informazione previsto dall'accordo in /dpa, per aggiornare il proprio registro dei trattamenti e per decidere se accettare un fornitore o obiettare. La pubblicazione soddisfa quindi insieme l'obbligo di trasparenza verso gli interessati e l'obbligo di informazione verso i titolari tenant.

Le tabelle che seguono sono la parte sostanziale del documento: i paragrafi servono solo a spiegarle. Se una riga cambia, cambia anche la data di aggiornamento in testa alla pagina e compare una voce nello storico delle modifiche in fondo.

Un fornitore viene attivato solo dopo aver superato una serie di controlli fissi, applicati sempre nello stesso ordine. Non è una valutazione discrezionale: sono requisiti minimi, e chi non li soddisfa non entra nella piattaforma, per quanto il servizio sia comodo o economico.

• Garanzie sufficienti ai sensi dell'articolo 28 paragrafo 1: accordo sul trattamento dei dati sottoscritto, misure di sicurezza documentate, trasparenza sull'ubicazione dei dati.
• Divieto assoluto di clausole che consentano al fornitore di trattare i dati per finalità proprie, incluso l'addestramento di modelli di intelligenza artificiale, senza un consenso separato e revocabile.
• Notifica di violazione dei dati entro ventiquattro ore, accettabile fino a quarantotto.
• Obbligo di cancellazione dei dati entro trenta giorni dalla fine del rapporto, con attestazione dell'avvenuta cancellazione.
• Pubblicazione, da parte del fornitore, dell'elenco dei propri sub-responsabili ulteriori.
• Minimizzazione: a parità di funzione si sceglie il fornitore che riceve la minor quantità di dati necessaria.

Un solo termine non è negoziabile. Nessun fornitore può trattare i dati degli utenti per finalità proprie, e in particolare per addestrare modelli di intelligenza artificiale, in assenza di un consenso separato, informato e revocabile. Su tutti gli altri punti una clausola meno favorevole può essere compensata con misure tecniche o organizzative; su questo no, perché un dato entrato in un modello non è più recuperabile né cancellabile in modo verificabile. Se un fornitore introduce una clausola del genere nelle proprie condizioni, il servizio viene sostituito con la procedura descritta più avanti.

Questa è la tabella principale del documento. Per ogni fornitore sono indicati il servizio, le categorie di dati che riceve, il luogo in cui il trattamento avviene e il ruolo giuridico. Il ruolo dice responsabile perché il fornitore tratta i dati per conto di Animiyo e secondo le sue istruzioni; verso i tenant titolari lo stesso fornitore è un sub-responsabile autorizzato.

Il gruppo Google compare otto volte e non una sola. Non è una ripetizione inutile: ogni riga è un servizio distinto, con una propria configurazione, una propria ubicazione e una propria categoria di dati. Firebase Authentication conosce l'indirizzo email ma non il contenuto del libretto sanitario; Cloud Storage for Firebase conserva le fotografie ma non sa nulla degli appuntamenti; Google Analytics 4 vede solo il sito pubblico e non l'area riservata. Elencare i servizi separatamente permette di capire quali dati sarebbero coinvolti da un problema che riguardi uno solo di essi, e di sostituirne uno senza toccare gli altri.

La dicitura infrastruttura globale indica i servizi che non consentono di scegliere una regione di trattamento: il fornitore li eroga da una rete distribuita e i dati possono essere elaborati in più località. Vale per le notifiche push, per i controlli antifrode e per la misurazione del sito pubblico, cioè per servizi che trattano identificativi tecnici e non contenuti dell'account. Per questi casi la base del trasferimento è la stessa descritta nella sezione sull'ubicazione dei dati.

Stripe Payments Europe Limited compare in elenco pur non ricevendo alcun dato. L'integrazione esiste nel codice ma il gateway è spento da un interruttore di configurazione, quindi nessuna informazione di pagamento lascia la piattaforma. La riga resta in tabella per trasparenza: il giorno in cui l'interruttore verrà acceso non sarà una novità nascosta, e la sua attivazione seguirà comunque il preavviso previsto per i cambi di sub-responsabile.

Alcune funzioni della piattaforma leggono informazioni da banche dati pubbliche: la scheda di un farmaco, il valore nutrizionale di un alimento, la descrizione di una razza, un tasso di cambio, una piastrella cartografica. Sono chiamate di sola lettura, partono dal browser dell'utente e non trasportano l'identificativo dell'account né alcun contenuto del diario. Trasmettono però l'indirizzo IP del browser e le informazioni tecniche della richiesta, e per questo vanno dichiarate.

Questi servizi non sono responsabili del trattamento, perché non trattano dati per conto di Animiyo e non ricevono istruzioni da Animiyo sul modo in cui usare le informazioni che ottengono. Rispetto ai dati di connessione che raccolgono sono titolari autonomi: decidono da soli finalità e mezzi, applicano le proprie informative e rispondono direttamente delle proprie scelte. La differenza non è formale. Un responsabile tratta i dati solo come gli è stato detto e li cancella quando glielo si chiede; un titolare autonomo, invece, risponde in proprio, e le richieste che riguardano quei dati di connessione vanno indirizzate a lui.

Le risorse principali della piattaforma si trovano nella regione us-central1, negli Stati Uniti. Significa che i dati degli account, i contenuti caricati e i registri di sistema sono trattati fuori dallo Spazio economico europeo, e che il trasferimento deve poggiare su una base giuridica valida oltre che su misure tecniche adeguate.

Le garanzie che accompagnano il trasferimento verso gli Stati Uniti sono le seguenti.

• Google Ireland Limited come controparte contrattuale, con i Google Cloud Data Processing Terms.
• Clausole contrattuali tipo adottate dalla Commissione europea con decisione di esecuzione 2021/914.
• Certificazione di Google LLC al Data Privacy Framework UE Stati Uniti.
• Cifratura dei dati in transito con TLS e a riposo con AES a 256 bit.
• Valutazione del trasferimento documentata dal titolare.
• Politica di Google sulla gestione delle richieste provenienti dalle autorità pubbliche.

La migrazione delle risorse a una regione europea, nell'area europe-west, è in valutazione. Non è una decisione presa, perché comporta la ricostruzione di parte dell'infrastruttura e una finestra di indisponibilità del servizio. Se avverrà, sarà annunciata su questa pagina con lo stesso preavviso previsto per l'aggiunta o la sostituzione di un sub-responsabile, così che i tenant titolari possano aggiornare la propria documentazione prima che il cambiamento abbia effetto.

Verso i tenant titolari il ricorso ai fornitori elencati poggia su un'autorizzazione generale ai sensi dell'articolo 28 paragrafo 4 del regolamento UE 2016/679. L'autorizzazione generale non è una delega in bianco: chi la concede conserva il diritto di sapere in anticipo cosa cambia e di opporsi. La procedura che segue descrive come questo diritto viene esercitato in concreto.

1. 1

   Pubblicazione del preavviso

   Almeno trenta giorni prima di aggiungere o sostituire un sub-responsabile, la modifica viene pubblicata su questa pagina, con l'indicazione del fornitore, del servizio, dei dati coinvolti e della data prevista di attivazione.

2. 2

   Comunicazione al tenant

   Contestualmente alla pubblicazione, il preavviso viene inviato all'indirizzo email che il tenant ha indicato nel proprio profilo. È responsabilità del tenant tenere quell'indirizzo aggiornato e sorvegliato.

3. 3

   Obiezione motivata

   Il tenant può obiettare entro quindici giorni dal preavviso, indicando le ragioni dell'opposizione. L'obiezione si invia dalla pagina /contatti e deve essere motivata, cioè spiegare quale rischio o quale vincolo rende inaccettabile il fornitore proposto.

4. 4

   Ricerca di una misura alternativa

   Prima della data di attivazione si valuta se l'obiezione possa essere superata con misure alternative: una diversa configurazione, una diversa regione, una riduzione dei dati trasmessi oppure un fornitore differente per quella funzione.

5. 5

   Recesso senza penali

   Se l'obiezione non può essere superata, il tenant titolare può recedere senza penali dalla parte di servizio interessata dal cambiamento, con le modalità previste dall'accordo pubblicato in /dpa.

Esiste una sola eccezione al preavviso di trenta giorni. Se un fornitore va sostituito per motivi di sicurezza, per esempio a seguito di una vulnerabilità grave o della cessazione improvvisa di un servizio, la sostituzione può avvenire con preavviso ridotto. In quel caso la comunicazione ai tenant è immediata e il diritto di obiezione resta pieno, ma viene esercitato dopo il cambiamento anziché prima. Attendere trenta giorni davanti a un rischio in corso danneggerebbe proprio le persone che la procedura vuole tutelare.

Questo elenco copre i fornitori scelti da Animiyo per far funzionare la piattaforma. Non copre i fornitori scelti dal tenant. Quando una clinica veterinaria o un negozio collega propri strumenti, esporta dati dalla piattaforma o li trasmette a fornitori suoi, quei fornitori non compaiono qui e restano responsabilità del tenant, che deve nominarli come responsabili del trattamento e informarne i propri interessati.

La distinzione conta soprattutto per chi ha lasciato i propri dati a una clinica o a un negozio. Se una richiesta riguarda un fornitore che il tenant ha scelto per conto proprio, va rivolta al tenant, perché è lui il titolare di quel trattamento e solo lui sa quali strumenti ha collegato. Questa pagina resta comunque il punto di partenza per capire quali fornitori sono comuni a tutti e quali no.

Un elenco di sub-responsabili dice molto anche per quello che non contiene. Le categorie di fornitori che seguono sono assenti dalla piattaforma, e la loro assenza è una scelta di progetto, non una situazione temporanea in attesa di budget.

• Nessuna rete pubblicitaria, nessun broker di dati, nessun fornitore di profilazione commerciale.
• Nessun fornitore di modelli di intelligenza artificiale che riceva dati degli utenti.
• Nessun servizio di assistenza clienti di terza parte con accesso ai dati.
• Nessun sistema di posta elettronica di marketing alimentato con la base utenti.
• Nessuna vendita o cessione di dati a terzi.

Ognuna di queste voci corrisponde a un fornitore che non compare nella tabella principale e che non comparirà senza il preavviso descritto sopra. Se in futuro una di queste categorie diventasse necessaria, l'aggiunta seguirebbe la stessa procedura di preavviso e obiezione prevista per gli altri fornitori, e per le finalità che richiedono il consenso il consenso verrebbe raccolto in modo separato e revocabile.

Ogni modifica a questo elenco viene pubblicata su questa stessa pagina, che è la fonte autorevole. Ai tenant titolari la modifica viene inoltre comunicata all'indirizzo email indicato nel profilo, perché per loro il preavviso ha effetti contrattuali e non solo informativi.

Il modo più semplice per capire se qualcosa è cambiato è controllare la data di aggiornamento in testa alla pagina e confrontarla con lo storico in fondo. Per domande sull'elenco, per richiedere la documentazione contrattuale relativa a un fornitore o per presentare un'obiezione si usa la pagina /contatti, che è il canale unico per tutte le comunicazioni relative a questo documento.

Le revisioni successive vengono aggiunte a questa tabella e sono tracciate nel controllo di versione del codice, che conserva il testo esatto di ogni versione con la data della modifica. Chi ha bisogno di ricostruire quale elenco era in vigore in un dato momento può chiederlo dalla pagina /contatti.