Accordo sul trattamento dei dati

Tra

l'organizzazione cliente indicata nella Scheda d'ordine o nell'attivazione della prova gratuita (di seguito «Titolare» o «Cliente»), che agisce in qualità di titolare del trattamento;

e

Sportello 5.0 S.r.l., con socio unico, sede legale in Via Lima n. 7, 00198 Roma (RM), C.F. e P.IVA 18579841000, REA RM-1793746, PEC sportello50@pec.sportello50.it, società soggetta a direzione e coordinamento di Gruppo Sicurform S.B. a r.l. (di seguito «Responsabile» o «Fornitore»), che fornisce la piattaforma Nexsus in modalità di servizio in rete (noleggio).

Premesse

A. Il Cliente utilizza Nexsus, piattaforma gestionale per enti di formazione e agenzie per il lavoro, per gestire commesse, collaboratori, contratti, tirocini, banca dati di aziende e lavoratori, protocollo, comunicazioni e formazione interna.

B. Nell'erogare il servizio il Fornitore tratta dati personali per conto del Cliente. Il presente Accordo disciplina tale trattamento ai sensi dell'art. 28 GDPR e prevale, per quanto riguarda la protezione dei dati, su ogni altra disposizione contrattuale.

C. Il Cliente resta l'unico titolare dei dati inseriti o importati in Nexsus e ne determina finalità e mezzi essenziali; il Fornitore non utilizza tali dati per finalità proprie.

Art. 1 – Oggetto e durata

1.1 Il Responsabile tratta i dati personali indicati nell'Allegato 1 esclusivamente per erogare il servizio Nexsus, prestare l'assistenza richiesta e adempiere agli obblighi di legge, secondo le istruzioni documentate del Titolare.

1.2 Costituiscono istruzioni documentate: le Condizioni di servizio, il presente Accordo, le impostazioni e le azioni compiute dal Cliente nella piattaforma (per esempio importazioni, abilitazioni, invii), le richieste scritte inviate tramite l'area Assistenza o via PEC.

1.3 L'Accordo vale per tutta la durata della prova gratuita e del contratto di noleggio e, oltre tale termine, fino alla restituzione e cancellazione dei dati secondo l'art. 9.

Art. 2 – Obblighi del Responsabile

2.1 Il Responsabile si impegna a:

• trattare i dati solo su istruzione documentata del Titolare, anche per eventuali trasferimenti verso Paesi terzi, informandolo senza ritardo se ritiene che un'istruzione violi la normativa;
• garantire che le persone autorizzate al trattamento siano vincolate alla riservatezza e abbiano ricevuto istruzioni adeguate;
• adottare le misure tecniche e organizzative dell'Allegato 2, adeguate al rischio ai sensi dell'art. 32 GDPR, aggiornandole senza ridurne il livello di protezione;
• non comunicare né diffondere i dati del Cliente, neppure ad altre società del proprio gruppo, salvo i sub-responsabili di cui all'art. 4 e gli obblighi di legge;
• tenere il registro delle attività di trattamento svolte per conto del Cliente (art. 30, par. 2, GDPR).

2.2 Il Fornitore non consulta i dati del Cliente nello svolgimento ordinario del servizio. La console del gestore della piattaforma mostra solo dati di sintesi (numero di società, sedi e utenti, stato dell'abbonamento) e le richieste di assistenza.

Art. 3 – Accesso di supporto

3.1 Il personale di assistenza del Fornitore può consultare i dati di un'organizzazione solo se un amministratore del Cliente lo autorizza dalla pagina Assistenza, indicando il motivo e una durata non superiore a 72 ore.

3.2 Durante l'accesso di supporto la piattaforma consente la sola consultazione: modifiche, esportazioni, download di file e invii sono bloccati tecnicamente. Ogni accesso e ogni consultazione sono registrati con data e ora e restano visibili all'amministratore del Cliente.

3.3 Il Cliente può revocare l'autorizzazione in ogni momento; alla scadenza l'accesso termina automaticamente.

Art. 4 – Sub-responsabili

4.1 Il Titolare autorizza in via generale il Responsabile ad avvalersi dei sub-responsabili elencati nell'Allegato 3. Il Responsabile impone loro, per contratto, obblighi di protezione dei dati non meno rigorosi di quelli del presente Accordo e risponde del loro operato.

4.2 Il Responsabile comunica al Titolare l'aggiunta o la sostituzione di un sub-responsabile con almeno 30 giorni di preavviso, tramite email all'amministratore e pubblicazione dell'elenco aggiornato. Entro tale termine il Titolare può opporsi per motivi legittimi di protezione dei dati; in mancanza di una soluzione, può recedere senza penali per i servizi interessati.

Art. 5 – Trasferimenti fuori dallo Spazio economico europeo

5.1 Nexsus è ospitato sull'infrastruttura della piattaforma Manus, fornita da Butterfly Effect Pte. Ltd. (Singapore), che si avvale di servizi cloud ubicati negli Stati Uniti (Allegato 3). I dati del Cliente sono quindi trattati anche fuori dallo Spazio economico europeo.

5.2 Tali trasferimenti avvengono sulla base delle Clausole contrattuali tipo adottate dalla Commissione europea (Decisione di esecuzione (UE) 2021/914), previste dall'accordo sul trattamento dei dati del fornitore dell'infrastruttura, e delle misure di sicurezza dell'Allegato 2.

5.3 Il Responsabile non effettua altri trasferimenti fuori dallo Spazio economico europeo, salvo verso Paesi con decisione di adeguatezza o con le garanzie dell'art. 46 GDPR, e comunque secondo la procedura dell'art. 4.2.

Art. 6 – Assistenza al Titolare

6.1 Tenendo conto della natura del trattamento, il Responsabile assiste il Titolare:

• nel dare seguito alle richieste degli interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione): la piattaforma consente al Cliente di consultare, correggere ed esportare i dati; le richieste ricevute direttamente dal Fornitore sono inoltrate al Cliente entro 5 giorni lavorativi, senza darvi seguito autonomamente;
• negli adempimenti degli artt. 32–36 GDPR (sicurezza, notifica delle violazioni, valutazione d'impatto e consultazione preventiva), fornendo le informazioni disponibili sul servizio.

Art. 7 – Violazioni dei dati personali

7.1 Il Responsabile informa il Titolare senza ingiustificato ritardo e comunque entro 48 ore da quando ne è venuto a conoscenza di ogni violazione dei dati personali che riguardi i dati del Cliente, indicando per quanto possibile natura della violazione, categorie e numero approssimativo di interessati e di registrazioni, probabili conseguenze, misure adottate o proposte e un referente.

7.2 La comunicazione avviene via PEC e via email all'amministratore dell'organizzazione. Il Responsabile documenta la violazione e collabora con il Titolare per le eventuali notifiche al Garante e agli interessati, che restano a cura del Titolare.

Art. 8 – Verifiche

8.1 Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto dell'art. 28 GDPR: descrizione aggiornata delle misure di sicurezza, elenco dei sub-responsabili, eventuali certificazioni o relazioni di verifica dei fornitori.

8.2 Il Titolare può svolgere, anche tramite un revisore vincolato alla riservatezza, verifiche documentali o in loco con preavviso scritto di almeno 15 giorni, non più di una volta l'anno salvo violazioni accertate o richieste dell'autorità, con costi a proprio carico e senza accesso ai dati di altri clienti.

Art. 9 – Fine del servizio: restituzione e cancellazione

9.1 Alla scadenza della prova non convertita o alla cessazione del contratto, il Titolare può chiedere dall'area Abbonamento l'esportazione completa dei propri dati in formati di uso comune (Excel/CSV e file originali dei documenti) entro 30 giorni.

9.2 Trascorso tale termine, o prima su richiesta di cancellazione del Titolare, il Responsabile cancella i dati del Cliente dalla piattaforma entro 30 giorni e ne dà conferma scritta. Le copie di sicurezza gestite dall'infrastruttura vengono eliminate secondo il relativo ciclo di conservazione; fino ad allora restano protette con le misure dell'Allegato 2 e non vengono utilizzate se non per il ripristino in caso di incidente.

9.3 Restano salvi gli obblighi di conservazione previsti dalla legge per i dati relativi al rapporto contrattuale con il Cliente (per esempio fatturazione), che il Fornitore tratta come autonomo titolare.

Art. 10 – Obblighi del Titolare

10.1 Il Titolare garantisce di disporre di una base giuridica per i dati inseriti o importati, di aver informato gli interessati e, per le comunicazioni promozionali (news via email, SMS o WhatsApp), di raccogliere e aggiornare i relativi consensi, che la piattaforma registra per ciascun contatto.

10.2 Nexsus è progettato per non trattare dati relativi alla salute né dati retributivi: le importazioni ignorano per costruzione visite mediche, idoneità, medico competente o curante, retribuzioni e livelli di inquadramento. Il Titolare si impegna a non inserire categorie particolari di dati (art. 9 GDPR) o dati relativi a condanne e reati (art. 10 GDPR) nei campi liberi o nei documenti, salvo quanto strettamente necessario per procedimenti previsti dalla legge (per esempio l'indicazione della categoria di destinatari richiesta dalla disciplina dei tirocini rivolti a persone con disabilità o in condizione di svantaggio), limitatamente ai dati indispensabili e sotto la propria responsabilità.

10.3 Il Titolare gestisce utenti, ruoli e abilitazioni della propria organizzazione e risponde dell'uso delle credenziali da parte del proprio personale.

Art. 11 – Disposizioni finali

11.1 Il presente Accordo è parte integrante delle Condizioni di servizio Nexsus; in caso di contrasto, per la protezione dei dati prevale il presente Accordo. La versione accettata è registrata con data, ora, utente e organizzazione.

11.2 Le modifiche richieste da norme o provvedimenti dell'autorità si applicano con comunicazione scritta; le altre modifiche richiedono una nuova accettazione.

11.3 Per le comunicazioni relative alla protezione dei dati il Responsabile è raggiungibile via PEC (sportello50@pec.sportello50.it) e via email (amministrazione@sportello50.it); comunica al Titolare l'eventuale designazione di un responsabile della protezione dei dati (DPO) e i relativi recapiti.

11.4 Per quanto non previsto si applicano il GDPR, il D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018 e i provvedimenti del Garante per la protezione dei dati personali.

Allegato 1 – Descrizione del trattamento

Allegato 2 – Misure tecniche e organizzative

Allegato 3 – Sub-responsabili autorizzati

Non sono sub-responsabili del Fornitore i servizi che il Cliente collega con un proprio account e sotto la propria responsabilità (per esempio Adobe Acrobat Sign per la firma elettronica, il proprio fornitore SMS o l'account WhatsApp Business): in questi casi Nexsus invia i dati al servizio scelto dal Cliente su sua istruzione.

Versione 1.0 del 7 novembre 2026. L'Accordo fa parte delle Condizioni di servizio; l'accettazione all'attivazione della prova e alla conferma della scheda d'ordine viene registrata con la versione in vigore.