1. Oggetto e qualificazione delle parti
Il presente accordo disciplina il trattamento dei dati personali che il Creatore (il «Responsabile del trattamento») raccoglie dai suoi Rispondenti mediante i moduli che pubblica su Meliform, e che Kassim MONDOHA (il «Subappaltatore») tratta per suo conto.
Non si applica ai dati del conto del Creatore stesso, per i quali il Subappaltatore agisce in qualità di responsabile del trattamento: questi ultimi rientrano nella politica di riservatezza.
2. Descrizione del trattamento (art. 28 § 3 del RGPD)
| Elemento | Descrizione |
|---|---|
| Oggetto | Hosting e fornitura di un servizio di creazione, diffusione e analisi di moduli online |
| Natura delle operazioni | Raccolta, registrazione, organizzazione, strutturazione, conservazione, consultazione, messa a disposizione, cancellazione |
| Finalità | Consentire al Responsabile del trattamento di raccogliere e sfruttare le risposte ai suoi moduli |
| Durata | Durata del conto del Responsabile del trattamento, o fino alla cancellazione dei moduli e delle risposte interessati |
| Tipi di dati | Risposte alle domande poste, punteggi e avanzamento, timestamp, durata della partecipazione, identità e indirizzo e-mail del Rispondente quando il modulo li richiede o quando il Rispondente è connesso |
| Categorie di persone | Rispondenti ai moduli del Responsabile del trattamento (studenti, candidati, clienti, membri, visitatori…) |
Il Responsabile del trattamento determina da solo le domande poste e, di conseguenza, le categorie di dati realmente raccolte.
3. Le sue obblighi in qualità di responsabile del trattamento
Si impegna a:
- disporre di una base legale valida per ogni raccolta che realizza (consenso, contratto, obbligo legale, interesse legittimo…);
- informare i suoi Rispondenti, prima che rispondano, sull’identità del responsabile, sulle finalità, sui destinatari, sui tempi di conservazione e sui loro diritti — la descrizione o la pagina introduttiva del suo modulo è il posto appropriato;
- raccogliere solo i dati strettamente necessari alla sua finalità (principio di minimizzazione);
- non raccogliere dati sensibili (articolo 9 del RGPD) né infrazioni (articolo 10) senza rispettare le condizioni specifiche che vi sono associate;
- rispondere alle richieste di esercizio dei diritti dei suoi Rispondenti, nei tempi previsti dalla legge;
- documentare le sue istruzioni e utilizzare il Servizio solo in conformità con le condizioni d’utilizzo;
- tenere il suo registro delle attività di trattamento quando ne è obbligato;
- cancellare le risposte di cui non ha più bisogno.
4. I nostri obblighi in qualità di subappaltatore
Ci impegniamo a:
- trattare i dati solo sulle sue istruzioni documentate — l’uso che fa del Servizio e il presente accordo valgono come istruzioni — salvo obbligo legale, nel qual caso ve ne informeremo preventivamente, salvo divieto legale;
- mettervi in guardia se un’istruzione ci sembra costituire una violazione del RGPD;
- non utilizzare le risposte raccolte per nostri scopi: esse non sono né sfruttate commercialmente, né cedute, né utilizzate per addestrare modelli di intelligenza artificiale;
- assicurarsi che le persone autorizzate a trattare i dati siano soggette a un obbligo di riservatezza;
- attuare le misure di sicurezza descritte all’articolo 5;
- rispettare le condizioni applicabili al ricorso a un subappaltatore successivo (articolo 6);
- assistervi nel rispetto dei suoi obblighi (articolo 7);
- restituire o cancellare i dati alla fine del servizio (articolo 9);
- mettere a disposizione le informazioni necessarie per dimostrare il rispetto dell’articolo 28 (articolo 10).
5. Misure tecniche e organizzative (art. 32)
- crittografia delle comunicazioni in transito (HTTPS/TLS);
- separazione dei dati per account e per organizzazione, con controllo di accesso sistematico a ogni consultazione o modifica;
- autenticazione tramite password memorizzata sotto forma di hash unidirezionale, limitazione dei tentativi di connessione;
- gestione fine dei diritti all’interno di un’organizzazione (ruoli, permessi per risorsa);
- registrazione delle azioni sensibili;
- hosting in data center situati nell’Unione europea, backup regolari;
- mantenimento aggiornato dei componenti software e applicazione delle patch di sicurezza.
6. Subappaltatori successivi
Lei autorizza generalmente il ricorso ai seguenti subappaltatori successivi, la cui lista è mantenuta aggiornata su questa pagina:
| Fornitore | Ruolo | Localizzazione dei dati |
|---|---|---|
| OVH SAS | Hosting del sito e del database | Francia (Unione europea) |
| OVH SAS | Invio delle email del servizio | Francia (Unione europea) |
| Mistral AI SAS | Funzioni di assistenza tramite IA e correzione automatica delle risposte libere | Francia (Unione europea) |
| Umami | Misurazione anonima dell'audience, senza cookie | Francia (Unione europea) - auto-ospitato |
Se attivi la correzione automatica delle risposte libere su uno dei tuoi moduli, le risposte interessate vengono trasmesse al subresponsabile di intelligenza artificiale elencato sopra, al solo scopo di confrontarle con le risposte di riferimento che hai redatto. Vengono trasmessi: il testo della domanda, le tue risposte di riferimento e il testo inserito dal rispondente — con esclusione della sua identità, del suo indirizzo e-mail e di qualsiasi altro dato del suo account. Questa funzione è facoltativa e sotto il tuo controllo: finché non è attivata, nessuna risposta viene trasmessa.
In caso di aggiunta o sostituzione di un subappaltatore successivo, ve ne informeremo almeno trenta giorni in anticipo via e-mail o tramite una notifica nel Servizio. Lei disporrà di questo termine per presentare obiezioni motivate; in mancanza di soluzione, potrà rescindere eliminando i moduli interessati o il suo account. Ogni subappaltatore successivo è soggetto a obblighi di protezione dei dati equivalenti a quelli del presente accordo.
7. Assistenza, diritti delle persone e violazioni dei dati
- Diritti dei Rispondenti: il Servizio le dà accesso alle risposte e le consente di consultarle, esportarle e cancellarle, in modo che possa rispondere personalmente alle richieste di accesso, rettifica, cancellazione o portabilità. Se una richiesta ci è indirizzata direttamente, la trasmetteremo senza rispondervi al suo posto.
- Violazione dei dati: le notificheremo qualsiasi violazione di dati personali riguardante i suoi Rispondenti entro quarantotto ore dalla sua constatazione, comunicandole gli elementi in nostro possesso (natura, categorie e volume approssimativo dei dati interessati, conseguenze probabili, misure adottate). Spetta a Lei procedere, ove necessario, alla notifica all’autorità di controllo (articolo 33) e all’informazione delle persone interessate (articolo 34).
- Analisi d’impatto: le forniremo, su richiesta, le informazioni tecniche necessarie per la realizzazione di un’analisi d’impatto relativa alla protezione dei dati e per una eventuale consultazione preventiva dell’autorità di controllo.
8. Trasferimenti fuori dall’Unione europea
L’hosting e l’archiviazione delle risposte avvengono nell’Unione europea. Nessun trasferimento delle risposte fuori dall’Unione è effettuato, inclusi dai subappaltatori successivi elencati all’articolo 6.
9. Destino dei dati al termine del servizio
Alla cancellazione di un modulo, le risposte associate sono eliminate. Alla cancellazione del Suo account, l’insieme dei moduli e delle risposte di cui è responsabile è cancellato o reso anonimo. Lei è invitato a esportare i dati che desidera conservare prima di qualsiasi cancellazione: questa è definitiva e noi non conserviamo una copia, fatti salvi i backup tecnici temporanei, la cui durata di retention non supera i trenta giorni.
10. Documentazione e audit
Mettiamo a sua disposizione, su richiesta indirizzata a contact@meliform.com, le informazioni necessarie per dimostrare il rispetto degli obblighi del presente accordo. Lei può realizzare un audit, al massimo una volta all’anno e previa notifica di trenta giorni, in condizioni concordate tra le parti e che non compromettono la sicurezza degli altri utenti del Servizio. I costi dell’audit sono a suo carico, il Servizio essendo fornito a titolo gratuito.
11. Responsabilità
Ciascuna parte risponde dei danni causati da un trattamento che viola il RGPD, alle condizioni dell’articolo 82. Il Subappaltatore non è responsabile, in particolare, del carattere lecito della raccolta decisa dal Responsabile del trattamento, del contenuto delle domande poste, né delle informazioni fornite ai Rispondenti.