Accordo sul trattamento dei dati (art. 28 GDPR)

Tra il Noleggiatore che accetta questo accordo nel Sito (il "Titolare") e , sede , P.IVA ("NOLO" o il "Responsabile"). L'accordo integra le Condizioni per i noleggiatori; in caso di conflitto sui dati personali prevale questo accordo.

1. Oggetto e durata

1.1 Il Titolare nomina NOLO responsabile del trattamento dei dati personali che inserisce o genera nel gestionale NOLO.rent per gestire i propri clienti diretti e la propria attività. L'accordo dura quanto l'uso del gestionale e, dopo, per il tempo necessario alla restituzione e cancellazione dei dati (art. 9).

1.2 Non rientrano in questo accordo i dati che NOLO tratta come titolare autonomo: account degli utenti, dati delle imprese iscritte e delle richieste arrivate dal marketplace (vedi l'informativa privacy).

2. Descrizione del trattamento

3. Istruzioni del Titolare

3.1 NOLO tratta i dati solo secondo istruzioni documentate del Titolare, che sono: queste condizioni, le funzioni del gestionale usate dal Titolare e le sue richieste scritte. NOLO informa subito il Titolare se ritiene che un'istruzione violi la normativa.

3.2 NOLO non usa i dati per fini propri: in particolare non contatta i clienti del Titolare, non li propone ad altri noleggiatori e non li usa per il marketplace. Può elaborare statistiche aggregate e anonime sull'uso del servizio.

4. Riservatezza

Accedono ai dati solo persone autorizzate di NOLO, vincolate alla riservatezza, e solo quando serve (assistenza richiesta dal Titolare, sicurezza, manutenzione). Gli accessi del personale NOLO ai dati del Titolare sono registrati.

5. Sicurezza (art. 32)

NOLO adotta le misure tecniche e organizzative dell'Allegato A, adeguate al rischio, e le aggiorna nel tempo senza ridurne il livello. Il Titolare è responsabile della gestione dei propri utenti (inviti, permessi, disattivazione di chi lascia l'azienda) e della custodia delle credenziali.

6. Sub-responsabili

6.1 Il Titolare autorizza in via generale NOLO a usare i sub-responsabili dell'Allegato B. NOLO comunica per email o nel Sito, con almeno 15 giorni di anticipo, l'aggiunta o la sostituzione di un sub-responsabile; il Titolare può opporsi per motivi ragionevoli legati alla protezione dei dati e, se non si trova una soluzione, recedere senza costi.

6.2 NOLO impone ai sub-responsabili obblighi equivalenti a questo accordo e ne risponde verso il Titolare.

7. Trasferimenti extra UE

I trasferimenti fuori dallo Spazio economico europeo avvengono solo con le garanzie del Capo V del GDPR (decisione di adeguatezza, incluso il Data Privacy Framework UE-USA, o clausole contrattuali tipo), come indicato nell'Allegato B.

8. Assistenza al Titolare

8.1 Il gestionale permette al Titolare di consultare, correggere, esportare e cancellare i dati, per rispondere da solo alle richieste degli interessati. Se un interessato si rivolge a NOLO, NOLO lo indirizza al Titolare e lo avvisa senza ritardo.

8.2 NOLO notifica al Titolare le violazioni di dati personali senza ingiustificato ritardo e comunque entro 48 ore da quando ne viene a conoscenza, con le informazioni disponibili (natura, categorie e numero approssimativo di interessati e registrazioni, conseguenze probabili, misure adottate), per consentirgli la notifica al Garante entro 72 ore (art. 33).

8.3 NOLO fornisce le informazioni ragionevolmente necessarie per le valutazioni d'impatto e le consultazioni preventive (artt. 35-36).

9. Fine del trattamento

Alla cessazione il Titolare può esportare i dati per 30 giorni. Poi NOLO li cancella, comprese le copie, entro [90] giorni (le copie di sicurezza si sovrascrivono con il ciclo ordinario), salvo obblighi di conservazione di legge in capo a NOLO. Su richiesta NOLO conferma la cancellazione per iscritto.

10. Verifiche

NOLO mette a disposizione le informazioni necessarie a dimostrare il rispetto dell'art. 28, anche tramite documentazione e certificazioni dei fornitori. Il Titolare può svolgere un audit, anche tramite un revisore vincolato alla riservatezza, con preavviso di 30 giorni, non più di una volta l'anno salvo violazioni, a proprie spese e senza compromettere la sicurezza degli altri clienti.

11. Registro e responsabilità

NOLO tiene il registro delle attività svolte come responsabile (art. 30.2). Ciascuna parte risponde verso gli interessati secondo l'art. 82 GDPR; nei rapporti tra le parti valgono i limiti delle Condizioni per i noleggiatori, salvo dolo o colpa grave.

Allegato A — Misure di sicurezza

• Autenticazione con password robusta; permessi per ruolo nella squadra (titolare, ufficio, officina, sola lettura), controllati anche dal database.
• Isolamento dei dati per impresa con regole di accesso a livello di riga (Row Level Security) nel database.
• Connessioni cifrate (HTTPS/TLS); dati cifrati a riposo presso il fornitore del database.
• Copie di sicurezza giornaliere del fornitore del database [verificare il piano e la conservazione].
• Registro delle modifiche (chi, cosa, quando) e degli accessi del personale NOLO.
• Aggiornamento delle dipendenze, controlli di sicurezza periodici, principio del minimo privilegio per le chiavi di servizio.

Allegato B — Sub-responsabili

Non sono sub-responsabili: il prestatore di servizi di pagamento autorizzato (non ancora scelto) che, solo se in futuro saranno attivati i pagamenti online, tratterà i dati dei pagamenti e la verifica d'identità come titolare autonomo, e i servizi di notifica dei browser (Google, Apple, Mozilla), che ricevono solo l'identificativo dell'iscrizione e il messaggio cifrato degli utenti che attivano le notifiche.