Accordo sul trattamento dei dati personali (DPA)

Tra Bravo S.r.l., con sede legale in Viale Donizetti 94, 48122 Lido Adriano (RA), P.IVA 02759730399 (di seguito “Bravo!”), e la società indicata come Cliente nel Contratto (di seguito il “Cliente”), di seguito individualmente “Parte” e congiuntamente “Parti”.

Premesse

a) Il Cliente ha concluso con Bravo! il contratto di licenza d’uso della Piattaforma Bravo! (di seguito il “Contratto”), con il quale organizza un programma di volontariato aziendale per i propri dipendenti e collaboratori.

b) Nell’esecuzione del Contratto Bravo! tratta, per conto del Cliente, i dati personali descritti nell’Allegato 1.

c) Per tali dati il Cliente agisce in qualità di Titolare del trattamento e Bravo! in qualità di Responsabile del trattamento, ai sensi dell’art. 28 del Regolamento (UE) 2016/679 (di seguito il “GDPR”).

d) Per i trattamenti svolti per finalità proprie, indicati all’articolo 3.3, Bravo! agisce in qualità di Titolare autonomo del trattamento.

Tanto premesso, le Parti convengono quanto segue.

1. Oggetto e accettazione

1.1 Il presente accordo (di seguito l’“Accordo”) disciplina il trattamento dei dati personali che Bravo! svolge per conto del Cliente nella fornitura della Piattaforma e dei Servizi Organizzati.

1.2 L’Accordo è parte integrante del Contratto e si intende accettato con la conclusione dello stesso, senza necessità di una sottoscrizione separata:

con la firma del Contratto; oppure
se il Contratto è concluso online, con l’accettazione delle condizioni sulla Piattaforma da parte della persona che agisce in nome del Cliente.

1.3 Si applica la versione dell’Accordo indicata nel Contratto o, in mancanza, quella in vigore alla data di conclusione del Contratto. Ogni versione dell’Accordo è pubblicata con la propria data all’indirizzo www.bravoapp.it/legal/dpa, dove le versioni precedenti restano consultabili.

1.4 In caso di contrasto tra il Contratto e l’Accordo in materia di trattamento dei dati personali, prevale l’Accordo.

1.5 Le Parti possono concordare per iscritto condizioni diverse da quelle dell’Accordo, che prevalgono su di esso limitatamente ai punti espressamente modificati.

2. Definizioni

I termini “dati personali”, “trattamento”, “Titolare del trattamento”, “Responsabile del trattamento”, “interessato”, “violazione dei dati personali” e “autorità di controllo” hanno il significato previsto dall’art. 4 del GDPR. I termini definiti nel Contratto, tra cui “Piattaforma”, “Utente”, “Amministratore”, “Ente”, “Ente del Cliente”, “Rete Bravo!”, “Esperienza”, “Esperienza Pubblica”, “Attività Organizzata”, “Format” e “Referente”, hanno nell’Accordo il medesimo significato. Si intendono inoltre per:

“Dati del Programma”: i dati personali che Bravo! tratta per conto del Cliente per il funzionamento del programma di volontariato del Cliente sulla Piattaforma, descritti nell’Allegato 1.

“Normativa Privacy”: il GDPR, il D.Lgs. 196/2003, come modificato dal D.Lgs. 101/2018, e i provvedimenti del Garante per la protezione dei dati personali.

“Pagina dei Sub-responsabili”: la pagina www.bravoapp.it/legal/sub-responsabili, nella quale Bravo! pubblica l’elenco aggiornato dei Sub-responsabili.

“Servizi Organizzati”: le Attività Organizzate del piano Premium e i servizi forniti su preventivo ai sensi dell’articolo 5 del Contratto, tra cui gli eventi aziendali e le attività di gruppo.

“Sub-responsabile”: il fornitore al quale Bravo! affida lo svolgimento di specifiche attività di trattamento dei Dati del Programma.

“Trattamenti Propri”: i trattamenti che Bravo! svolge per finalità proprie, in qualità di Titolare autonomo del trattamento, indicati all’articolo 3.3.

3. Ruoli delle Parti

3.1 Per i Dati del Programma il Cliente è Titolare del trattamento e Bravo! è Responsabile del trattamento.

3.2 Il Cliente determina le finalità e i mezzi essenziali del trattamento mediante:

il Contratto e l’Accordo;
le scelte effettuate dai propri Amministratori sulla Piattaforma;
le istruzioni scritte inviate a Bravo!.

Bravo! sceglie, nei limiti dell’Accordo, gli strumenti tecnici e organizzativi con i quali fornisce il servizio.

3.3 Bravo! agisce in qualità di Titolare autonomo del trattamento per i seguenti trattamenti, descritti nella propria Informativa Privacy:

a) creazione e gestione degli account degli Utenti e degli Amministratori, verifica degli accessi e sicurezza della Piattaforma, compreso l’account che l’Utente sceglie di mantenere dopo l’uscita dal programma del Cliente (articolo 4.5);

b) gestione del rapporto contrattuale con il Cliente, compresi i dati dei suoi referenti e la fatturazione;

c) gestione della Rete Bravo! e dei rapporti con gli Enti che ne fanno parte, compresa la proposta agli Enti del Cliente di entrare nella Rete Bravo! (articolo 6.4);

d) organizzazione delle Esperienze Pubbliche, limitatamente all’organizzazione dell’Esperienza in sé (posti disponibili, rapporti con l’Ente) e alla partecipazione di persone che non fanno parte di un programma aziendale. I dati relativi alla partecipazione di un dipendente del Cliente a un’Esperienza Pubblica nell’ambito del programma del Cliente sono Dati del Programma;

e) pubblicazione delle recensioni scritte dagli Utenti sulle Esperienze;

f) elaborazione di statistiche sull’uso della Piattaforma a partire dai dati degli account e dai dati tecnici, e utilizzo delle statistiche e degli indicatori anonimi ottenuti dai Dati del Programma ai sensi dell’articolo 14;

g) invio di comunicazioni promozionali agli Utenti che vi hanno acconsentito;

h) adempimento di obblighi di legge e tutela dei propri diritti;

i) utilizzo, nella propria comunicazione, di fotografie caricate nella galleria del programma, previa autorizzazione scritta del Cliente e consenso delle persone riconoscibili;

j) gestione delle richieste di assistenza ricevute dagli Utenti e dagli Amministratori. Gli interventi sui Dati del Programma richiesti in assistenza sono svolti da Bravo! in qualità di Responsabile del trattamento.

3.4 Per i Trattamenti Propri ciascuna Parte risponde autonomamente dei propri obblighi. L’Accordo non si applica a tali trattamenti, salvo quanto previsto dall’articolo 14.

4. Istruzioni del Cliente

4.1 Bravo! tratta i Dati del Programma esclusivamente per fornire la Piattaforma e i Servizi Organizzati e su istruzione documentata del Cliente, anche per quanto riguarda il trasferimento di dati verso un paese terzo o un’organizzazione internazionale, consentito solo alle condizioni dell’articolo 10. Resta salvo il caso in cui il diritto dell’Unione Europea o il diritto italiano impongano a Bravo! un trattamento diverso: in tal caso Bravo! ne informa il Cliente prima del trattamento, salvo che la legge lo vieti.

4.2 Costituiscono istruzioni documentate del Cliente:

il Contratto e l’Accordo;
le impostazioni e le operazioni effettuate dagli Amministratori sulla Piattaforma;
le istruzioni scritte inviate dal Cliente all’indirizzo team@bravoapp.it.

4.3 Se il Contratto prevede Servizi Organizzati, il Cliente incarica Bravo! anche delle attività descritte nella sezione C dell’Allegato 1, che Bravo! svolge in qualità di Responsabile del trattamento.

4.4 Se ritiene che un’istruzione del Cliente violi la Normativa Privacy, Bravo! ne informa immediatamente il Cliente e può sospenderne l’esecuzione finché il Cliente non la conferma o la modifica.

4.5 L’Utente che esce dal programma del Cliente può mantenere il proprio account personale, come previsto dai Termini e condizioni. Il Cliente incarica Bravo! di mettere a disposizione dell’Utente che ne faccia richiesta lo storico delle proprie partecipazioni al programma, anche dopo la sua uscita dal programma. La copia dello storico conservata nell’account personale dell’Utente è trattata da Bravo! in qualità di Titolare autonomo del trattamento, ai sensi dell’articolo 3.3, lettera a).

5. Obblighi del Cliente

5.1 Il Cliente garantisce di disporre di una base giuridica idonea per i trattamenti affidati a Bravo! e di rispettare la Normativa Privacy e le norme in materia di rapporto di lavoro, comprese, ove applicabili, quelle sui controlli a distanza dei lavoratori (art. 4 della Legge 300/1970).

5.2 Il Cliente fornisce ai propri dipendenti l’informativa sul trattamento dei Dati del Programma prevista dagli artt. 13 e 14 del GDPR, indicando anche la comunicazione dei loro dati agli Enti nei limiti dell’articolo 6. Su richiesta, Bravo! fornisce al Cliente un modello di informativa che il Cliente può adattare.

5.3 Il Cliente comunica a Bravo! esclusivamente domini email di cui è intestatario, designa i propri Amministratori e risponde del loro operato.

5.4 Il Cliente non inserisce sulla Piattaforma, e chiede ai propri dipendenti di non inserire, dati appartenenti alle categorie particolari di cui all’art. 9 del GDPR, quali i dati relativi alla salute o alle opinioni politiche o religiose, né dati relativi a condanne penali e reati di cui all’art. 10 del GDPR. La Piattaforma non è progettata per il trattamento di tali dati.

5.5 Il Cliente garantisce di essere legittimato a comunicare a Bravo! i dati di contatto dei referenti degli Enti del Cliente che inserisce sulla Piattaforma.

6. Enti presso i quali si svolgono le Esperienze

6.1 Per lo svolgimento di ciascuna Esperienza, l’Ente presso il quale si svolge può visualizzare sulla Piattaforma il nome e il cognome dei partecipanti. L’Ente non riceve i loro recapiti né gli altri Dati del Programma.

6.2 Con il Contratto il Cliente chiede a Bravo! di rendere disponibili tali dati agli Enti. Ciascun Ente tratta i dati in qualità di Titolare autonomo del trattamento, secondo la propria informativa e sotto la propria responsabilità. Bravo! non risponde dei trattamenti svolti dagli Enti.

6.3 Nelle condizioni di collaborazione con gli Enti della Rete Bravo!, Bravo! richiede loro di rispettare la Normativa Privacy in qualità di Titolari autonomi del trattamento. Il rapporto con gli Enti del Cliente è gestito dal Cliente.

6.4 Il Cliente autorizza Bravo! a contattare gli Enti del Cliente per proporre loro l’ingresso nella Rete Bravo!. Dal primo contatto Bravo! tratta i dati dei loro referenti in qualità di Titolare autonomo del trattamento, ai sensi dell’articolo 3.3, lettera c), e fornisce loro l’informativa sul trattamento. I dati dei dipendenti del Cliente restano in ogni caso Dati del Programma.

6.5 Fino al suo ingresso nella Rete Bravo!, successivo alla verifica di Bravo!, le Esperienze di un Ente del Cliente sono visibili ai soli dipendenti del Cliente.

7. Riservatezza

Bravo! garantisce che le persone autorizzate al trattamento dei Dati del Programma:

siano vincolate da un obbligo di riservatezza;
abbiano ricevuto istruzioni adeguate sul trattamento;
accedano ai dati nei soli limiti necessari allo svolgimento dei propri compiti.

8. Sicurezza

8.1 Bravo! adotta le misure tecniche e organizzative descritte nell’Allegato 2, adeguate al rischio ai sensi dell’art. 32 del GDPR.

8.2 Bravo! può aggiornare tali misure nel tempo, a condizione che il livello complessivo di protezione dei dati non diminuisca.

9. Sub-responsabili

9.1 Il Cliente conferisce a Bravo! un’autorizzazione scritta generale ad avvalersi di Sub-responsabili. L’elenco dei Sub-responsabili è pubblicato nella Pagina dei Sub-responsabili e indica, per ciascuno, il servizio svolto, il luogo del trattamento e le garanzie adottate per i trasferimenti fuori dallo Spazio Economico Europeo. Con l’accettazione dell’Accordo il Cliente autorizza i Sub-responsabili indicati nell’elenco in vigore a tale data. In caso di modifica dell’elenco, la versione precedente resta consultabile nella stessa pagina.

9.2 Bravo! comunica al Cliente via email l’aggiunta o la sostituzione di un Sub-responsabile almeno trenta (30) giorni prima che questo inizi a trattare i Dati del Programma. Entro quindici (15) giorni dal ricevimento della comunicazione il Cliente può opporsi per motivi ragionevoli connessi alla protezione dei dati personali. In assenza di opposizione, la modifica si intende accettata.

In caso di opposizione, Bravo! non affida i Dati del Programma del Cliente al nuovo Sub-responsabile fino al raggiungimento di una soluzione condivisa tra le Parti. Se ciò non è tecnicamente possibile, Bravo! lo indica nella comunicazione e il Cliente può recedere dal Contratto senza penali, con effetto dal giorno precedente l’inizio del trattamento da parte del nuovo Sub-responsabile. In tal caso Bravo! rimborsa al Cliente la quota del corrispettivo già pagata relativa al periodo non goduto.

Bravo! comunica al Cliente via email, con lo stesso preavviso, anche la variazione del luogo in cui un Sub-responsabile tratta i Dati del Programma. Se il Sub-responsabile ne dà a Bravo! un preavviso inferiore, la comunicazione è effettuata non appena Bravo! ne ha notizia. Se la variazione comporta un trasferimento fuori dallo Spazio Economico Europeo, si applica l’articolo 10.

9.3 Bravo! impone contrattualmente a ciascun Sub-responsabile gli obblighi in materia di protezione dei dati previsti dall’art. 28, paragrafo 3, del GDPR, in particolare l’adozione di misure tecniche e organizzative adeguate. Bravo! resta pienamente responsabile nei confronti del Cliente dell’adempimento di tali obblighi da parte dei Sub-responsabili, ai sensi dell’art. 28, paragrafo 4, del GDPR.

9.4 Gli Enti presso i quali si svolgono le Esperienze non sono Sub-responsabili.

10. Trasferimenti fuori dallo Spazio Economico Europeo

10.1 Il database, l’archivio dei file e le copie di sicurezza della Piattaforma, che contengono i Dati del Programma, sono conservati su server situati nell’Unione Europea.

10.2 Alcuni Sub-responsabili trattano parte dei Dati del Programma fuori dallo Spazio Economico Europeo, in particolare per la conservazione delle email inviate dalla Piattaforma e per attività di assistenza tecnica. Bravo! consente tali trasferimenti solo se protetti da una delle seguenti garanzie previste dal GDPR:

a) una decisione di adeguatezza della Commissione europea, compreso il Data Privacy Framework UE-USA per le società statunitensi che vi aderiscono;

b) le Clausole Contrattuali Tipo approvate dalla Commissione europea o le altre garanzie previste dall’art. 46 del GDPR.

La Pagina dei Sub-responsabili indica la garanzia adottata per ciascun Sub-responsabile.

11. Diritti degli interessati

11.1 Se un interessato rivolge a Bravo! una richiesta di esercizio dei propri diritti relativa ai Dati del Programma, Bravo! la inoltra al Cliente senza ingiustificato ritardo e non risponde direttamente all’interessato, salvo diversa istruzione del Cliente.

11.2 Bravo! assiste il Cliente nel dare seguito a tali richieste, in primo luogo mediante le funzioni della Piattaforma che consentono di consultare ed esportare i dati e, ove non sufficienti, con interventi diretti in tempi ragionevoli.

12. Incidenti di sicurezza e violazioni dei dati personali

12.1 Bravo! comunica al Cliente ogni incidente di sicurezza che riguardi o possa riguardare i Dati del Programma, compresa ogni violazione dei dati personali, senza ingiustificato ritardo e comunque entro otto (8) ore dal momento in cui ne è venuta a conoscenza. Si considera momento della conoscenza quello in cui Bravo! ha un ragionevole grado di certezza che si sia verificato un incidente di sicurezza che riguarda o può riguardare i Dati del Programma. La comunicazione è inviata via email all’indirizzo indicato dal Cliente per le comunicazioni sulla sicurezza o, in mancanza, al Referente del Cliente.

12.2 La comunicazione contiene, nella misura in cui siano già note:

la descrizione dell’incidente;
le categorie e il numero approssimativo degli interessati e dei dati coinvolti;
le probabili conseguenze;
le misure adottate o proposte per porvi rimedio;
un contatto presso Bravo!.

Le informazioni non disponibili al momento della prima comunicazione sono fornite successivamente, senza ingiustificato ritardo.

12.3 Bravo! collabora con il Cliente ai fini degli adempimenti di notifica all’autorità di controllo e di comunicazione agli interessati previsti dagli artt. 33 e 34 del GDPR. La comunicazione di una violazione non costituisce ammissione di responsabilità da parte di Bravo!.

13. Assistenza, valutazioni d’impatto e verifiche

13.1 Bravo! fornisce al Cliente, per quanto riguarda la Piattaforma, le informazioni ragionevolmente necessarie per:

la valutazione d’impatto sulla protezione dei dati (art. 35 del GDPR);
l’eventuale consultazione preventiva dell’autorità di controllo (art. 36 del GDPR).

13.2 Bravo! mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all’art. 28 del GDPR, in primo luogo rispondendo ai questionari di sicurezza del Cliente e fornendo la documentazione disponibile.

13.3 Se tali informazioni non sono sufficienti, il Cliente può svolgere una verifica, direttamente o tramite un revisore vincolato alla riservatezza e non concorrente di Bravo!, alle seguenti condizioni:

non più di una volta all’anno;
con un preavviso di almeno trenta (30) giorni;
durante l’orario lavorativo e senza ostacolare la fornitura del servizio.

I costi della verifica sono a carico del Cliente, salvo che emergano violazioni rilevanti dell’Accordo imputabili a Bravo!.

Il limite di una verifica all’anno e il preavviso di trenta (30) giorni non si applicano alle verifiche richieste da un’autorità di controllo né a quelle svolte a seguito di una violazione dei dati personali che riguardi i Dati del Programma. In tali casi il preavviso è di cinque (5) giorni lavorativi.

13.4 L’assistenza prevista dall’articolo 11 e dal presente articolo è compresa nel corrispettivo del Contratto, nei limiti della ragionevolezza. Se una richiesta del Cliente comporta un impegno straordinario, quali questionari, incontri o verifiche ripetuti nello stesso anno, Bravo! lo comunica prima di procedere e può richiedere un corrispettivo da concordare con il Cliente.

14. Dati anonimi e indicatori di impatto

14.1 Il Cliente autorizza Bravo! a rendere anonimi i Dati del Programma, trasformandoli in modo che non sia più possibile identificare gli interessati. L’anonimizzazione è svolta da Bravo! in qualità di Responsabile del trattamento, su istruzione del Cliente data con il presente articolo. Bravo! utilizza i dati anonimi per produrre statistiche sull’uso della Piattaforma e indicatori di impatto complessivi, anche di confronto tra più clienti, e può utilizzarli per finalità proprie. Per tali finalità Bravo! utilizza esclusivamente il risultato anonimo.

14.2 Bravo! elabora gli indicatori in modo che non consentano di identificare singoli interessati. In particolare, Bravo! non pubblica e non mostra a soggetti diversi dal Cliente totali riferiti a meno di cinque (5) persone e non tenta di identificare gli interessati a partire dai dati anonimi.

14.3 Bravo! non indica il nome del Cliente negli indicatori mostrati ad altri clienti o a terzi senza il consenso scritto del Cliente, salvo quanto previsto dal Contratto per il case study.

15. Durata, restituzione e cancellazione dei dati

15.1 L’Accordo ha la stessa durata del Contratto e resta comunque in vigore finché Bravo! tratta Dati del Programma.

15.2 Durante il Contratto il Cliente stabilisce, mediante le funzioni della Piattaforma e le proprie istruzioni, il periodo di conservazione dei dati delle persone che escono dal programma.

15.3 Alla cessazione del Contratto:

per novanta (90) giorni Bravo! consente al Cliente di esportare i Dati del Programma in un formato di uso comune;
nei sessanta (60) giorni successivi Bravo! cancella i Dati del Programma o li rende anonimi in modo definitivo, salvo che la legge ne imponga la conservazione;
le copie di sicurezza sono eliminate con la normale rotazione dei backup, entro sette (7) giorni dalla cancellazione;
gli account dei dipendenti del Cliente sono chiusi entro novanta (90) giorni, ad eccezione degli account collegati ad altri clienti e di quelli che l’Utente ha scelto di mantenere ai sensi dell’articolo 4.5.

Su richiesta del Cliente, Bravo! conferma per iscritto l’avvenuta cancellazione.

15.4 Il presente articolo non si applica:

ai dati dei Trattamenti Propri, conservati da Bravo! secondo la propria Informativa Privacy;
ai dati resi anonimi ai sensi dell’articolo 14;
ai registri degli accessi e del funzionamento della Piattaforma, conservati per ventiquattro (24) mesi secondo l’Allegato 2 e poi cancellati.

16. Responsabilità

La responsabilità delle Parti in relazione all’Accordo è disciplinata dal Contratto, compresi i limiti di responsabilità che esso prevede. Resta fermo quanto previsto dall’art. 82 del GDPR nei confronti degli interessati.

17. Modifiche

17.1 Bravo! può aggiornare l’Accordo per adeguarlo a modifiche della Normativa Privacy, per conformarsi a indicazioni delle autorità o per tenere conto di cambiamenti della Piattaforma. Bravo! comunica ogni aggiornamento al Cliente con un preavviso di almeno trenta (30) giorni. Le modifiche che riducono la protezione dei dati richiedono il consenso scritto del Cliente.

Se il Cliente si oppone per iscritto entro il termine di preavviso, può scegliere di:

continuare ad applicare la versione precedente dell’Accordo fino alla scadenza del Contratto in corso; oppure
recedere dal Contratto senza penali, con rimborso della quota del corrispettivo già pagata relativa al periodo non goduto.

17.2 L’aggiornamento della Pagina dei Sub-responsabili non costituisce modifica dell’Accordo ed è disciplinato dall’articolo 9.

18. Legge applicabile e foro competente

L’Accordo è regolato dalla legge italiana. Per ogni controversia è competente il foro indicato nel Contratto.

Allegato 1. Descrizione del trattamento

A. Trattamento svolto per tutti i clienti (piani Essential e Premium)

Natura e finalità. Bravo! fornisce la Piattaforma con la quale il Cliente organizza, gestisce e rendiconta il proprio programma di volontariato aziendale. A tal fine Bravo! svolge per conto del Cliente le seguenti operazioni:

registrazione delle persone e collegamento al programma del Cliente;
pubblicazione delle Esperienze del Cliente, presso gli Enti della Rete Bravo! e gli Enti del Cliente;
gestione delle iscrizioni e delle cancellazioni, comprese quelle alle Esperienze Pubbliche conteggiate nel programma del Cliente;
invio delle comunicazioni relative alle date;
se concordate con il Cliente, invio di comunicazioni per promuovere la partecipazione al programma, come promemoria e proposte di Esperienze;
invio di avvisi al superiore diretto della persona iscritta, con un link che gli consente di non riceverne altri;
messa a disposizione dell’Ente presso il quale si svolge un’Esperienza dei dati dei partecipanti previsti dall’articolo 6;
registrazione delle presenze e delle ore svolte;
gestione della galleria fotografica del programma;
consultazione ed esportazione dei dati da parte degli Amministratori del Cliente.

Categorie di interessati.

Dipendenti, collaboratori, stagisti e consulenti del Cliente registrati sulla Piattaforma.
Amministratori designati dal Cliente.
Superiori diretti delle persone iscritte, il cui indirizzo email è indicato per l’avviso di assenza.
Referenti degli Enti del Cliente.
Persone ritratte nelle fotografie della galleria.

Categorie di dati.

Nome, cognome e indirizzo email aziendale.
Sede di lavoro e appartenenza al Cliente.
Preferenza di saluto e provincia.
Iscrizioni, cancellazioni, presenze, assenze, ore svolte e ore di volontariato a disposizione.
Indirizzo email del superiore diretto.
Fotografie e relative didascalie caricate nella galleria del programma.
Recapiti dei referenti degli Enti del Cliente.
Dati tecnici di utilizzo relativi a tali operazioni.

Nome, cognome, indirizzo email, preferenza di saluto e provincia sono trattati da Bravo! anche in qualità di Titolare autonomo del trattamento, per la gestione dell’account (articolo 3.3, lettera a).

Categorie particolari di dati. Nessuna (articolo 5.4).

Frequenza. Continuativa, per tutta la durata del Contratto.

Durata e conservazione. Per la durata del Contratto e secondo le istruzioni del Cliente. Alla cessazione del Contratto si applica l’articolo 15.

B. Scelte del Cliente sulla Piattaforma

Il Cliente, tramite i propri Amministratori, stabilisce in particolare:

quali persone entrano nel programma e quando ne escono, e con quali domini email possono registrarsi;
quali Esperienze pubblicare per i propri dipendenti;
quali Enti del Cliente inserire;
se e con quali criteri le Esperienze Pubbliche sono proposte ai propri dipendenti;
quante ore di volontariato ha a disposizione ciascuna persona;
se l’indirizzo email del superiore diretto è obbligatorio;
chi registra le presenze nelle date riservate ai propri dipendenti;
quali dati esportare.

C. Servizi Organizzati (piano Premium e servizi su preventivo)

Se il Contratto prevede Servizi Organizzati, il Cliente incarica Bravo! di:

individuare e proporre Enti e Format secondo i criteri concordati con il Cliente;
creare e gestire le Esperienze riservate ai dipendenti del Cliente, comprese cancellazioni, sostituzioni e imprevisti con gli Enti;
registrare le presenze per conto del Cliente;
inviare ai dipendenti del Cliente le comunicazioni sul programma concordate con il Cliente.

Allegato 2. Misure tecniche e organizzative

Ubicazione dei dati. Il database, il sistema di autenticazione, l’archivio dei file e le funzioni della Piattaforma sono ospitati su server situati nell’Unione Europea. Il fornitore che li ospita, gli altri Sub-responsabili e i luoghi in cui trattano i dati sono indicati nella Pagina dei Sub-responsabili. Bravo! si avvale di fornitori dell’infrastruttura in possesso di certificazioni di sicurezza indipendenti, quali SOC 2 Type II.

Cifratura.

Le comunicazioni tra il browser e la Piattaforma sono cifrate (HTTPS/TLS).
I dati conservati sono cifrati dal fornitore dell’infrastruttura.
Le password sono conservate in forma non leggibile e non reversibile (hash).

Controllo degli accessi.

Regole nel database (Row Level Security) che consentono a ciascun utente di accedere ai soli dati del proprio ruolo e della propria organizzazione (Cliente o Ente).
Funzioni di amministrazione riservate ai ruoli autorizzati.
Archivio privato per le fotografie della galleria, accessibile ai soli utenti autorizzati.
Regole di sicurezza del browser (Content Security Policy) che limitano i collegamenti dell’applicazione verso altri siti.
Accesso degli Enti ai soli dati previsti dall’articolo 6 e alle recensioni, relativi alle Esperienze che si svolgono presso di loro.

Account interni di Bravo!.

Il numero di persone di Bravo! con accesso a tutti i dati è limitato al minimo necessario.
L’autenticazione a due fattori è obbligatoria.
L’accesso diretto al database con i dati reali è riservato a interventi di manutenzione e assistenza.

Sviluppo.

L’ambiente di prova è separato da quello con i dati reali.
Le modifiche al database sono applicate con procedure tracciate e verificate prima del rilascio.

Continuità. Copie di sicurezza continue del database, con possibilità di ripristino a un momento qualsiasi degli ultimi sette (7) giorni, e copia giornaliera cifrata del database e dell’archivio dei file in una seconda sede nell’Unione Europea.

Registrazione degli eventi.

Registri degli accessi e del funzionamento della Piattaforma, conservati per ventiquattro (24) mesi in un archivio protetto da modifiche e cancellazioni.
Registrazione delle accettazioni dei documenti legali, con data e versione.

Personale. Il personale autorizzato è vincolato alla riservatezza e istruito sul trattamento dei dati.

Gestione delle violazioni. Una procedura interna disciplina la rilevazione, la valutazione, la documentazione e la comunicazione delle violazioni dei dati personali entro i termini dell’articolo 12.

Verifica delle misure. Le misure di sicurezza e le regole di accesso sono riesaminate almeno una volta all’anno e l’esito del riesame è documentato.

Minimizzazione dei dati.

La Piattaforma non prevede campi destinati a dati relativi alla salute o ad altre categorie particolari di dati.
L’applicazione web non utilizza strumenti di tracciamento o di pubblicità di terze parti.
Gli strumenti di intelligenza artificiale utilizzati da Bravo! per lo sviluppo e l’assistenza non accedono ai dati personali reali della Piattaforma.