Accordo sul trattamento dei dati
Il presente Accordo sul trattamento dei dati («DPA») è concluso tra il cliente e [ENTITY NAME], [ADDRESS] («Nabo»). Il cliente è la società di gestione immobiliare, l'amministratore di condominio certificato o il condominio che crea un edificio su Nabo, in qualità di titolare del trattamento. Nabo agisce in qualità di responsabile del trattamento. Il DPA si applica ai sensi dell'articolo 28 del GDPR (Regolamento UE 2016/679) e della legge albanese n. 124/2024 sulla protezione dei dati personali. Un amministratore lo accetta nell'app per conto del titolare del trattamento al momento della creazione di un edificio; la versione e il momento dell'accettazione vengono registrati.
1. Oggetto, durata e natura
Nabo tratta i dati personali dei residenti per fornire il servizio di community privato dell'edificio descritto nei termini di servizio: verifica dell'iscrizione, bacheca, avvisi, eventi, Presta & prendi, messaggi, moderazione e notifiche. Il trattamento dura per tutto il tempo in cui l'edificio usa Nabo, più il periodo di cancellazione di cui alla sezione 9. I dettagli sono riportati nell'Allegato 1.
2. Istruzioni
Nabo tratta i dati dell'edificio soltanto su istruzione documentata del titolare del trattamento. Tali istruzioni sono costituite dai termini di servizio, dal presente DPA e dall'uso che il titolare del trattamento fa delle impostazioni dell'app. Nabo non tratta dati per finalità proprie. Nabo informa il titolare del trattamento qualora ritenga che un'istruzione violi la normativa sulla protezione dei dati.
3. Riservatezza
Tutte le persone di Nabo che possono accedere ai dati dell'edificio sono vincolate alla riservatezza. Lo staff di Nabo può aprire un edificio solo tramite una funzione di assistenza sottoposta ad audit, che registra chi lo ha aperto e perché.
4. Sicurezza
Nabo mette in atto le misure tecniche e organizzative di cui all'Allegato 2 e le mantiene adeguate al rischio (art. 32 GDPR).
5. Assistenza
Nabo aiuta il titolare del trattamento a rispondere alle richieste dei residenti. I residenti possono esportare i propri dati ed eliminare il proprio account nell'app, e il titolare del trattamento può esportare l'elenco residenti, i registri di consegna, il log di audit e i contenuti dalla scheda Gestione. Nabo assiste inoltre, ove necessario, nelle valutazioni d'impatto sulla protezione dei dati e nelle consultazioni con l'autorità di controllo.
6. Violazioni dei dati personali
Nabo notifica al titolare del trattamento qualsiasi violazione dei dati personali che riguardi i dati dell'edificio senza ingiustificato ritardo e al più tardi entro 72 ore dalla scoperta. La notifica contiene le informazioni di cui all'art. 33, paragrafo 3, GDPR, nella misura in cui sono note, e Nabo trasmette le restanti non appena ne dispone.
7. Sub-responsabili
Il titolare del trattamento autorizza i sub-responsabili elencati nella pagina dei sub-responsabili. Nabo comunica l'aggiunta o la sostituzione di un sub-responsabile con almeno 30 giorni di anticipo, via email e nell'app. Il titolare del trattamento può opporsi per ragionevoli motivi legati alla protezione dei dati. Se non si trova una soluzione, il titolare del trattamento può recedere dal servizio, e i corrispettivi per il periodo residuo vengono rimborsati. Nabo impone a ciascun sub-responsabile gli stessi obblighi in materia di protezione dei dati e ne resta responsabile.
8. Trasferimenti internazionali
I dati dell'edificio sono conservati nell'Unione europea (Parigi, Francia). I trasferimenti al di fuori dell'UE/SEE avvengono solo come indicato nella pagina dei sub-responsabili, sulla base delle Clausole contrattuali standard della Commissione europea. I trasferimenti relativi a edifici albanesi si basano sull'elenco dei paesi adeguati del Commissario per il diritto all'informazione e la protezione dei dati personali o su clausole equivalenti, con una valutazione dei rischi documentata.
9. Cessazione del servizio
Quando un edificio lascia Nabo, il titolare del trattamento può esportarne i dati mentre l'edificio è in sola lettura. Nabo elimina i contenuti, le foto e le iscrizioni dell'edificio 90 giorni dopo l'archiviazione e, su richiesta, fornisce un certificato di cancellazione. I dati che Nabo deve conservare per legge sono conservati solo per il tempo necessario: fatture, log di audit e registrazioni dei consensi.
10. Verifiche
Nabo mette a disposizione le informazioni necessarie a dimostrare il rispetto del presente DPA, tra cui questo documento, l'Allegato 2 e le certificazioni dei suoi sub-responsabili. Nabo consente verifiche da parte del titolare del trattamento o di un revisore da esso incaricato, al massimo una volta l'anno con un preavviso di 30 giorni, salvo che una violazione o un'autorità di controllo richiedano diversamente.
11. Prevalenza
In caso di contrasto tra il presente DPA e i termini di servizio, per il trattamento dei dati personali prevale il presente DPA.
Allegato 1: Dettagli del trattamento
| Interessati | Residenti, proprietari, inquilini e membri del nucleo familiare dell'edificio; amministratori e moderatori dell'edificio; persone inserite nell'elenco residenti dal titolare del trattamento. |
|---|---|
| Dati personali | Nome, indirizzo email; numero di telefono, foto e biografia facoltativi; edificio, unità, nucleo familiare e ruolo; post, commenti, reazioni, eventi, risposte agli eventi, annunci, prestiti e valutazioni; messaggi privati; avvisi, registri di consegna e di conferma di lettura; consenso alle comunicazioni ufficiali; segnalazioni, decisioni di moderazione e ricorsi; token dei dispositivi e lingua; log di audit. |
| Categorie particolari di dati | Non è previsto il trattamento di categorie particolari di dati. I residenti potrebbero inserire tali dati in testo libero; le regole della community chiedono loro di non farlo. |
| Finalità | Fornire il servizio di community privato dell'edificio e i relativi strumenti di amministrazione. |
| Frequenza | Continuativa, finché l'edificio usa Nabo. |
| Conservazione | Come indicato nell'informativa sulla privacy, sezione 6. |
Allegato 2: Misure tecniche e organizzative
- Isolamento dei tenant: i dati di ogni edificio sono separati tramite sicurezza a livello di riga (row-level security) su ogni tabella. Test automatici dimostrano che un membro di un edificio non può leggere né scrivere i dati di un altro edificio.
- Cifratura: TLS 1.2 o versioni successive per i dati in transito; cifratura dei dati inattivi a cura del fornitore di hosting.
- Accesso: accesso tramite link via email, codice o password; token a breve scadenza (15 minuti) e revoca delle sessioni; token nel Keychain del dispositivo; ruoli con privilegi minimi (residente, moderatore, amministratore); accesso dello staff solo tramite una funzione sottoposta ad audit.
- Contenuti multimediali: archiviazione privata; le foto vengono fornite tramite link firmati che scadono e funzionano solo per i membri dell'edificio.
- Registrazione: un log di audit di sola aggiunta (append-only) delle azioni amministrative, delle decisioni di moderazione, delle esportazioni, delle eliminazioni definitive e degli accessi dello staff.
- Privacy per impostazione predefinita: i residenti vedono solo il nome e l'iniziale del cognome, salvo diversa scelta dell'interessato; gli indirizzi email non vengono mai mostrati ai residenti; nessuna pubblicità e nessun tracciamento tra app.
- Resilienza: database gestito presso il fornitore di hosting, con backup [FREQUENCY AND RETENTION, per the hosting plan]; una cache offline sul telefono che si riallinea con il server.
- Risposta agli incidenti: una procedura operativa scritta, con notifica ai titolari del trattamento entro 72 ore.
- Cancellazione: processi di conservazione programmati come indicato nell'informativa sulla privacy; i file di esportazione scadono dopo 7 giorni.