Data Processing Agreement

1. Parti e Ruoli

• Titolare del Trattamento: il Cliente (Azienda (OSA)) che accede a Gestione HACCP.
• Responsabile del Trattamento: la società che gestisce il servizio, i cui dati saranno indicati prima dell'attivazione degli abbonamenti, ai sensi dell'art. 28 GDPR. Contatto: info@gestionehaccp.com.

Il presente DPA disciplina le modalità con cui il Responsabile tratta i dati personali per conto del Titolare nell'ambito dell'erogazione del servizio Gestione HACCP.

Obblighi del Titolare. Il Titolare decide quali dati inserire e risponde della base giuridica del trattamento, delle informative ai propri dipendenti, fornitori e clienti, dell'esattezza dei dati inseriti, della legittimità delle istruzioni impartite e della gestione di account, permessi e credenziali dei propri Utenti. Il Responsabile non verifica il contenuto dei dati inseriti dal Titolare.

2. Oggetto del Trattamento

Il Responsabile tratta i dati personali esclusivamente per le finalità connesse all'erogazione della Piattaforma Gestione HACCP, in conformità alle istruzioni documentate del Titolare e ai presenti Termini.

3. Tipologie di Dati Trattati

• Dati identificativi degli utenti (nome, email, ruolo).
• Dati operativi HACCP: temperature, checklist pulizie, non conformità, verbali ispezione, pest control, attestati.
• Dati di tracciabilità: lotti produzione, ricevimenti DDT, fornitori e loro documenti.
• Dati dei moduli attivati: prezzi d'acquisto, giacenze, clienti e ordini.
• Dati sulla salute (ove trattati dal Cliente): allergie e intolleranze alimentari – art. 9 GDPR.
• Log di sistema: IP, timestamp di accesso, operazioni effettuate.

4. Obblighi del Responsabile (art. 28 GDPR)

Il Responsabile si impegna a:

• Trattare i dati esclusivamente su istruzione documentata del Titolare.
• Garantire che le persone autorizzate al trattamento abbiano assunto impegni di riservatezza.
• Adottare tutte le misure tecniche e organizzative di sicurezza richieste dall'art. 32 GDPR.
• Rispettare le condizioni di cui agli artt. 28.2 e 28.4 GDPR per il ricorso ai sub-responsabili.
• Assistere il Titolare nel rispondere alle richieste degli interessati (artt. 15-22 GDPR).
• Cancellare o restituire i dati al termine della prestazione del servizio.
• Mettere a disposizione del Titolare le informazioni necessarie per dimostrare il rispetto degli obblighi di cui all'art. 28 GDPR.

5. Sub-responsabili del Trattamento

Il Titolare autorizza il ricorso ai seguenti sub-responsabili, tutti vincolati da accordi conformi all'art. 28 GDPR:

SCC = Clausole Contrattuali Standard approvate dalla Commissione Europea (Decisione 2021/914/UE).

6. Misure di Sicurezza

• Connessioni cifrate (HTTPS) per i dati in transito.
• Password conservate con hashing bcrypt.
• Backup gestiti dal fornitore di hosting.
• Accesso amministrativo al server tramite SSH con chiavi crittografiche.
• Accessi differenziati per ruolo e registro delle operazioni sensibili.
• Aggiornamenti di sicurezza applicati con la massima tempestività possibile.

7. Notifica Violazioni dei Dati

In caso di violazione dei dati personali (data breach) che comporti un rischio per i diritti e le libertà delle persone fisiche, il Responsabile notificherà il Titolare entro 72 ore dalla presa di conoscenza dell'evento, fornendo tutte le informazioni necessarie ai sensi dell'art. 33 GDPR.

8. Durata e Cancellazione dei Dati

Il presente DPA ha durata pari all'utilizzo del servizio, in prova o in abbonamento. Alla cessazione del servizio, il Responsabile procederà alla cancellazione sicura di tutti i dati del Titolare entro 90 giorni, salvo diversi obblighi di legge. Il Titolare può richiedere in qualsiasi momento l'esportazione dei propri dati in formato leggibile.