Accordo sul trattamento dei dati personali (art. 28 GDPR) — modello

Questo è l'accordo fra l'Host, che è il titolare del trattamento delle foto della sua festa, e Kachunk, che le tratta per suo conto come responsabile. L'Host decide chi invitare, quanto dura l'Evento, quando è il Reveal e se una fotografia resta, e chi decide finalità e mezzi è il titolare.

Serve a chiunque organizzi una festa, ma serve davvero a chi lo fa per mestiere: un fotografo, una wedding planner, una location, un'azienda che festeggia. Per loro l'Host non è una persona che raccoglie i ricordi dei propri invitati — è un'impresa che tratta dati di terzi, e questo foglio è ciò che la tiene in regola con i propri clienti.

Le parti

L'accordo si accetta con la casella della registrazione, e vale per tutti gli Eventi che l'Host crea da quel momento in poi.

1. Oggetto e durata

Kachunk tratta dati personali per conto dell'Host al solo fine di fornire il servizio: mettere una fotocamera nelle mani degli Ospiti, conservare quello che scattano, svilupparlo, aprire la galleria al Reveal, consegnarne le copie.

L'accordo dura quanto il rapporto fra le parti e, per ciascun Evento, finché ci sono fotografie di quell'Evento — che restano sei mesi dal Reveal, per l'istruzione del punto 3.1(b). Il punto 9 dice cosa succede alla fine.

2. Che cosa viene trattato

Quello che Kachunk tratta come titolare non sta in questo accordo: i Negativi, la prova del consenso degli Ospiti, la Persona, i dati dell'Host come cliente, le Segnalazioni. Li elenca il punto 10.

Non vengono trattati dati biometrici. Non c'è riconoscimento facciale né raggruppamento per volto, e introdurlo non sarebbe un aggiornamento di prodotto ma una modifica di questo accordo. Le fotografie possono comunque rivelare dati di categoria particolare — chi c'era, con chi, in che condizioni — e questo è il motivo per cui il punto 5 è scritto come è scritto.

3. Le istruzioni dell'Host

Kachunk tratta i dati soltanto su istruzione documentata dell'Host. Sono istruzioni: questo accordo, le impostazioni che l'Host sceglie creando e gestendo l'Evento, e le richieste che invia per iscritto.

Kachunk avvisa l'Host se ritiene che un'istruzione violi la normativa, e non la esegue finché la questione non è chiarita.

3.1 Le istruzioni permanenti

Sono date una volta, accettando questo accordo, e valgono per ogni Evento. Sono qui e non altrove perché sono il punto in cui il servizio agisce senza aspettare una risposta dell'Host, ed è esattamente il punto in cui un responsabile rischia di comportarsi da titolare.

(a) Rimozione: le richieste degli Ospiti si eseguono, e dopo tre giorni di silenzio la fa Kachunk. Chi è in una fotografia può chiederne la rimozione dal telefono, in galleria («Chiedi di toglierla»), per tre giorni dal Reveal; dopo, e in ogni momento, scrivendo all'indirizzo di contatto. La richiesta arriva all'Host, che la vede nella sua area e può togliere le foto richieste tutte insieme («Elimina tutte») o una per una. Ogni giorno in cui ce n'è di nuove, Kachunk gliele manda in un riepilogo per email, con un link da cui può confermarle. Non esiste un rifiuto: l'Host accetta, accettando questo accordo, che le richieste degli Ospiti vengano eseguite. Quando una richiesta non riceve risposta entro tre giorni, Kachunk rimuove la fotografia e il suo Negativo. L'Host la dà come istruzione qui, adesso: non è una decisione che Kachunk prende sul momento. Senza questa riga quella rimozione sarebbe un atto autonomo del responsabile, cioè la cosa che tutto questo accordo esiste per non fare.

I tetti. Fino a 20 richieste per telefono, e 200 per festa, vale quanto sopra. Oltre, la richiesta arriva lo stesso all'Host e non si rifiuta mai, ma Kachunk non la esegue da solo dopo tre giorni: decide l'Host, che resta tenuto a rispondere entro un mese (art. 12.3 GDPR). I tetti non tolgono il diritto di chiedere la cancellazione, che non ha un limite di numero: tolgono solo l'esecuzione automatica, perché l'art. 12.5 GDPR permette al titolare di trattare diversamente le richieste manifestamente eccessive, in particolare per il loro carattere ripetitivo. Il telefono si riconosce dall'impronta del suo cookie, la stessa del Dispositivo, che si conserva sulla richiesta finché la richiesta esiste.

L'Host accetta questa istruzione, e le altre di questo punto, con la casella della registrazione: le condizioni sono a /host/condizioni, e la versione accettata si registra sull'account.

(b) Conservazione per sei mesi, poi la cancellazione. L'Host istruisce Kachunk a conservare le Stampe di ogni Evento per sei mesi dal Reveal, e a cancellarle passati i sei mesi, insieme alle email del punto (c). La cancellazione parte solo se gli avvisi del punto (c) risultano spediti: se uno manca, si rimanda finché non lo è. Prima dei sei mesi una Stampa se ne va su richiesta, per il punto (a).

I Negativi seguono le loro Stampe. Li conserva Kachunk, come titolare, per lo stesso tempo e per rendere possibile il Risviluppo (punto 10), e li cancella con la Stampa a cui appartengono: quando la Stampa si toglie su richiesta, o passati i sei mesi.

L'istruzione vale per gli Eventi creati da quando è in questo accordo. Quelli nati prima restano con la durata che i loro Ospiti hanno letto prima di scattare.

(c) Gli avvisi, e il link della festa. L'Host istruisce Kachunk a raccogliere, al Reveal, l'email che un Ospite sceglie di lasciare, e a spedire tre avvisi — a due settimane, una settimana e tre giorni dalla cancellazione — a quegli indirizzi e all'Host. Ogni avviso a un Ospite porta un link personale per rientrare nella galleria; quello all'Host porta il link della festa, che l'Host può girare a chi c'era. Chi lo riceve vede tutte le Stampe senza essere passato dalla festa: a chi mandarlo lo decide l'Host, che ne resta responsabile e che, con le condizioni per l'Host, si impegna a non girarlo fuori dalla cerchia della festa.

Il Risviluppo si esegue solo su richiesta dell'Host, sull'Evento dell'Host, e le Stampe che ne nascono sono sue come le altre. Sui Negativi Kachunk non fa altro: non ci addestra modelli, non li usa per vetrine o portfolio, non li mostra a terzi. Oggi nessuna schermata del prodotto mostra un Negativo a nessuno, Host compreso: esistono per essere risviluppati, non per essere guardati.

Se un giorno le parti volessero un termine diverso dai sei mesi, va concordato per iscritto e vale solo per le feste nuove, perché toccherebbe anche ciò che gli Ospiti hanno letto prima di scattare.

3.2 Quello che Kachunk fa da sé: le Segnalazioni

Su una cosa Kachunk agisce senza un'istruzione dell'Host, e va detto qui prima che l'Host lo scopra. Chiunque può segnalarci che una Stampa è illecita, dalla pagina /segnala. Una persona di Kachunk guarda la foto segnalata, e solo quella, e se la ritiene illecita la toglie subito, con il suo Negativo: senza aspettare l'Host e senza i tre giorni del punto 3.1(a). All'Host lo dice nel riepilogo del giorno, con il numero della Segnalazione e la motivazione.

Non è un'istruzione dell'Host e non può esserlo, perché l'obbligo è nostro: il Digital Services Act chiede a chi ospita un contenuto illecito di toglierlo senza ritardo quando lo sa (artt. 6 e 16). Per questo le Segnalazioni non ricadono sotto questo accordo (punto 10). È anche l'unico caso in cui qualcuno di Kachunk vede una Stampa di una festa.

4. Riservatezza

Chi in Kachunk ha accesso ai dati è vincolato alla riservatezza, conosce le istruzioni di questo accordo, e ha accesso solo a quanto serve al proprio compito.

5. Sicurezza (art. 32)

Le misure in essere, dette per quello che sono e non con formule:

• Le fotografie non sono pubbliche e non hanno indirizzi indovinabili: escono solo dalle API di Kachunk, che verificano chi chiede prima di consegnare. Non esistono URL prefirmati verso lo storage.
• Prima del Reveal la galleria è chiusa a tutti, Ospiti compresi. Nella Finestra di Grazia la vede il solo Host.
• L'identità di un Ospite è un segreto emesso dal server, in un cookie che nessuno script legge, e nel database ne sta l'impronta e non il segreto: una copia rubata della tabella non apre nessun Rullino.
• L'accesso dell'Host passa da una password, da un link spedito alla sua casella o da Google, e da una sessione che scade dopo trenta giorni senza uso. Il database ha il proprio controllo d'accesso a riga come rete di sicurezza.
• Il database non si raggiunge da internet: non ha porte aperte, e ci si arriva solo dal server.
• Il traffico è cifrato in transito. Le copie del database sono cifrate prima di lasciare il server. Se il disco del server e lo spazio delle foto siano cifrati anche a riposo dipende dai fornitori del punto 6: [da #293].
• Il registro delle richieste al sito, con gli indirizzi IP, dura al massimo quattordici giorni, e la chiave della galleria non ci finisce. Gli altri registri del server si sovrascrivono a misura, e una durata a tempo non l'hanno ancora.
• Le credenziali dello storage vivono solo sul server e non entrano mai nel codice che arriva al browser.

6. Sub-responsabili

L'Host autorizza Kachunk a servirsi dei sub-responsabili qui elencati. Kachunk gira su un server suo, e i fornitori sono per categoria. I nomi non sono ancora scelti: dove una riga dice [da #293], la colonna «dove» non è un fatto ma il vincolo con cui il fornitore si sceglierà.

Stripe, che incassa i pagamenti dell'Host, e Google, per chi entra con Google, non sono in questo elenco: non toccano né le foto né i dati degli Ospiti. Trattano dati dell'Host come cliente, e li nomina l'informativa, a /privacy.

Kachunk avvisa l'Host almeno trenta giorni prima di aggiungere o sostituire un sub-responsabile. L'Host può opporsi entro quel termine; se si oppone e non si trova un'alternativa, può recedere senza penali per gli Eventi non ancora iniziati.

7. Trasferimenti fuori dallo SEE

Le fotografie, il database e il server stanno nello SEE: è la condizione con cui si sceglie ogni fornitore del punto 6.

Un fornitore che è una società stabilita fuori dallo SEE, o che fa capo a una che lo è, si sceglie solo se accanto al suo nome, nel punto 6, c'è lo strumento con cui il trasferimento è lecito: la decisione di adeguatezza del Data Privacy Framework, se la società vi aderisce, o le clausole contrattuali standard con la valutazione del trasferimento. La stessa cautela vale anche quando i suoi server sono in Europa, perché conta anche a quale legge risponde chi tiene i dati, non solo dove stanno.

Se un giorno si aggiungesse un trasferimento, Kachunk lo comunica prima con il preavviso del punto 6, e solo con uno di quegli strumenti.

8. Diritti degli interessati, e incidenti

Diritti. Le richieste che arrivano a Kachunk vengono girate all'Host, che è il titolare e a cui spetta decidere; Kachunk assiste l'Host a rispondere e mette a disposizione quello che serve. Per le rimozioni vale l'istruzione permanente del punto 3.1(a); per un contenuto illecito, il punto 3.2.

Violazioni di dati. Kachunk avvisa l'Host senza ingiustificato ritardo e comunque entro 24 ore da quando viene a conoscenza di una violazione, con quello che sa al momento, e assiste l'Host nella notifica all'autorità e agli interessati. Il termine di 72 ore verso il Garante è dell'Host: le 24 ore servono a lasciargliene 48.

Valutazioni d'impatto. Kachunk assiste l'Host che debba svolgere una valutazione d'impatto o una consultazione preventiva, per quanto riguarda il servizio.

9. Alla fine

Alla fine del rapporto, o su richiesta dell'Host, Kachunk cancella i dati di quell'Host, salvo quanto la legge imponga di conservare. Su richiesta scritta li restituisce prima, nel formato in cui il prodotto già li consegna: le Stampe.

I Negativi non rientrano nella restituzione, e vale la pena dire perché invece di lasciarlo dedurre: oggi nessuna funzione del prodotto li consegna a nessuno, e non è una dimenticanza — sono l'ingrediente del Risviluppo, non un file da scaricare. Se un giorno si volesse consegnarli, è una funzione da costruire e una riga da riscrivere qui, non una cosa che questo paragrafo può promettere adesso.

C'è una cosa da dire chiaramente, perché è il punto in cui questo paragrafo si scontra con il prodotto: le Stampe di un Evento sono anche l'album degli Ospiti che vi hanno partecipato, e il prodotto promette loro sei mesi, con gli avvisi del punto 3.1(c) prima della fine. Una cancellazione chiesta dall'Host prima dei sei mesi toglie a persone che non l'hanno chiesta l'album di una festa a cui c'erano, senza quegli avvisi.

10. Dove Kachunk è titolare, e non responsabile

Su alcuni dati i cappelli si invertono, e va detto qui invece che lasciarlo scoprire: Kachunk li tratta per conto proprio, come titolare, e non ricadono sotto questo accordo. Li descrive l'informativa, a /privacy.

• I dati dell'Host come cliente: l'account, i pagamenti, le fatture, l'assistenza. I pagamenti li incassa Stripe, che sui dati di pagamento è in parte titolare autonomo.
• I Negativi e il Risviluppo: Kachunk conserva i Negativi per sei mesi dal Reveal per poter offrire il Risviluppo, e li cancella con le loro Stampe (punto 3.1(b)).
• La prova del consenso degli Ospiti: il momento in cui hanno premuto e un'impronta del testo che avevano davanti.
• La Persona, se un Ospite la reclama: lega lo stesso Ospite a feste di Host diversi, e nessun Host la può decidere.
• Il conteggio delle feste per canale, che nasce dal cookie origine ed è solo un totale.
• Le Segnalazioni del punto 3.2: chi le fa, cosa dice, e la decisione.
• I registri del server con gli indirizzi IP, per la sicurezza del servizio.

Ci ricadono le foto della festa e i dati del punto 2.

11. Verifiche

Kachunk mette a disposizione dell'Host le informazioni necessarie a dimostrare il rispetto dell'art. 28 e consente verifiche, anche tramite un incaricato dell'Host, con ragionevole preavviso e senza interferire con il servizio.