Accordo sul trattamento dei dati

Questo accordo è concluso tra:

• l’agenzia o il professionista che usa Casasubito nella propria attività e vi carica dati personali dei propri clienti o di altre persone (il Titolare);
• Casasubito, sede legale [SEDE LEGALE], P.IVA [P.IVA], che gestisce Casasubito (il Responsabile).

L’accordo fa parte dei Termini e condizioni e si intende concluso, in forma elettronica come consentito dall’art. 28, par. 9, del Regolamento (UE) 2016/679 (GDPR), quando il Titolare crea un account professionale o agenzia e accetta i Termini. Vale per tutta la durata dell’uso della piattaforma. In caso di contrasto con i Termini, per il trattamento dei dati personali prevale questo accordo.

Non si applica ai dati che un privato carica per sé né ai dati degli account degli utenti, per i quali Casasubito è titolare (vedi l’Informativa privacy).

Il Responsabile tratta i dati personali per conto del Titolare al solo fine di fornire il servizio Casasubito:

• conservare i dati e i documenti delle pratiche e renderli disponibili alle persone autorizzate dal Titolare;
• elaborarli con funzioni automatiche e di intelligenza artificiale: controllo del tipo di documento, estrazione dei dati catastali e tecnici, analisi della pratica, assistente sul report (dettaglio in Uso dell’intelligenza artificiale);
• gestire la condivisione con i collaboratori indicati dal Titolare e i messaggi tra i partecipanti;
• assicurare backup, sicurezza e assistenza tecnica.

Le operazioni comprendono raccolta tramite caricamento, registrazione, conservazione, consultazione, elaborazione automatizzata, messa a disposizione dei soggetti autorizzati e cancellazione.

Il servizio non è pensato per trattare categorie particolari di dati (art. 9 GDPR) o dati giudiziari (art. 10). Il Titolare si impegna a non caricarli se non strettamente necessari alla pratica.

• Avere una base giuridica per ogni dato caricato e fornire agli interessati l’informativa (artt. 13 e 14 GDPR), menzionando l’uso di piattaforme e di strumenti di intelligenza artificiale.
• Caricare solo i dati necessari alla pratica (minimizzazione).
• Decidere chi può accedere: membri della propria organizzazione e collaboratori esterni ai quali condivide la pratica, con il livello appropriato.
• Gestire le richieste degli interessati, con l’assistenza del Responsabile.

Il Responsabile tratta i dati solo su istruzione documentata del Titolare. Costituiscono istruzioni questo accordo, i Termini e le azioni che il Titolare compie sulla piattaforma (per esempio caricare un documento, avviare un’analisi, condividere una pratica, eliminare un dato). La condivisione con un collaboratore esterno è un’istruzione del Titolare a rendere i dati accessibili a quel collaboratore.

Se ritiene che un’istruzione violi la normativa, il Responsabile lo segnala subito al Titolare. Il Responsabile non usa i dati per finalità proprie, non li vende e non li usa per addestrare modelli di intelligenza artificiale.

Il Responsabile autorizza al trattamento solo le persone che ne hanno bisogno per fornire il servizio, le istruisce e le vincola alla riservatezza. Il personale del Responsabile non consulta i documenti delle pratiche, salvo per assistenza richiesta dal Titolare, per sicurezza o per obbligo di legge.

Il Responsabile adotta misure adeguate ai sensi dell’art. 32 GDPR, tra cui:

• Separazione per organizzazione nel database: politiche di accesso a livello di riga impediscono a un utente di leggere o modificare pratiche, documenti, analisi, messaggi e conversazioni di organizzazioni diverse dalla propria, salvo condivisione esplicita.
• Livelli di accesso: membri dell’organizzazione e collaboratori con «Accesso pieno» possono modificare; i collaboratori con livello «Documenti» non possono modificare i dati né rimuovere documenti (controllo ripetuto lato server).
• Archivio documenti privato: i file si aprono solo con link firmati che scadono dopo 60 secondi (5 minuti per le miniature), generati dopo aver verificato il diritto di accesso; tipi di file ammessi limitati a PDF e immagini, con dimensione massima.
• Cifratura in transito (HTTPS/TLS) tra browser, applicazione, servizio AI e fornitori; cifratura dei dati a riposo secondo le misure del fornitore del database.
• Servizio AI isolato: accessibile solo con un segreto condiviso, verificato con confronto a tempo costante; l’analisi parte solo su richiesta di chi ha accesso in modifica alla pratica; l’assistente rilegge la pratica filtrando anche per organizzazione, è in sola lettura e non ha strumenti che possano agire sui dati.
• Minimizzazione nell’AI: dal documento d’identità e dalla tessera sanitaria non vengono estratti né salvati dati; al modello si invia solo quanto serve alla singola funzione.
• Chiavi amministrative usate solo lato server; password gestite dal fornitore di autenticazione.

Il Titolare autorizza in via generale il Responsabile ad avvalersi dei sub-responsabili elencati qui sotto. Il Responsabile impone loro, per contratto, obblighi di protezione dei dati equivalenti a quelli di questo accordo e resta responsabile del loro operato.

Il Responsabile comunica l’aggiunta o la sostituzione di un sub-responsabile almeno [GIORNI PREAVVISO SUB-RESPONSABILI] giorni prima, nell’app o via email. Il Titolare può opporsi per motivi ragionevoli legati alla protezione dei dati; se non si trova una soluzione può recedere senza penali.

I dati delle pratiche sono conservati nell’Unione europea. Quando un sub-responsabile li tratta fuori dallo Spazio economico europeo, il trasferimento avviene solo sulla base di una decisione di adeguatezza (per esempio l’EU-U.S. Data Privacy Framework per le società certificate) o di clausole contrattuali tipo della Commissione europea, con le eventuali misure aggiuntive, come indicato nella tabella dei sub-responsabili.

• Diritti degli interessati: il Responsabile aiuta il Titolare a rispondere alle richieste di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione, anche fornendo copia dei dati di una pratica. Se riceve una richiesta direttamente, la inoltra al Titolare senza rispondere nel merito.
• Sicurezza, valutazioni d’impatto e consultazioni: fornisce le informazioni ragionevolmente necessarie per gli adempimenti degli artt. 32–36 GDPR.

Il Responsabile informa il Titolare senza ingiustificato ritardo, e comunque entro [ORE NOTIFICA VIOLAZIONE] ore da quando ne è venuto a conoscenza, di ogni violazione che riguardi i dati del Titolare. Comunica, appena disponibili, la natura della violazione, le categorie e il numero approssimativo di interessati e di dati, le probabili conseguenze e le misure adottate o proposte, così che il Titolare possa notificare il Garante entro 72 ore, quando richiesto (art. 33 GDPR).

Il Titolare può scaricare i documenti in qualsiasi momento. Alla chiusura dell’account o dell’organizzazione, o su richiesta, il Responsabile cancella i dati del Titolare entro [GIORNI CANCELLAZIONE] giorni, salvo che la legge ne imponga la conservazione. Le copie di sicurezza vengono sovrascritte secondo i cicli del fornitore del database. Su richiesta, il Responsabile conferma per iscritto l’avvenuta cancellazione.

Il Responsabile mette a disposizione le informazioni necessarie a dimostrare il rispetto di questo accordo (per esempio descrizione delle misure, elenco aggiornato dei sub-responsabili, certificazioni dei fornitori) e consente verifiche da parte del Titolare o di un revisore da lui incaricato, vincolato alla riservatezza, con preavviso ragionevole e senza compromettere la sicurezza degli altri clienti. Le verifiche si svolgono di norma tramite documentazione.

Ciascuna parte risponde secondo l’art. 82 GDPR. L’accordo dura quanto l’uso di Casasubito da parte del Titolare e gli obblighi di riservatezza e cancellazione proseguono oltre. Si applica la legge italiana; il foro è quello indicato nei Termini per gli utenti professionali.

Contatti per questo accordo: [EMAIL PRIVACY] · PEC [PEC].