Accordo sul trattamento dei dati personali

Art. 28 del Regolamento (UE) 2016/679 (GDPR) · Versione 2026-10-23

1. Oggetto, finalità e durata

1. Il Fornitore tratta i dati descritti nell'Allegato A solo per fornire FaiSquadra alla Società, secondo le Condizioni del servizio e le istruzioni documentate della Società.
2. Le istruzioni sono: questo accordo, le Condizioni e le impostazioni scelte dalla Società nell'app. Altre istruzioni si danno per iscritto, anche via email.
3. Salvo i trattamenti indicati all'art. 1-bis, il Fornitore non usa i dati per scopi propri. In ogni caso non li vende né li cede a terzi e non li usa per pubblicità o profilazione.
4. L'accordo dura quanto il rapporto con la Società, prova gratuita compresa, e finché il Fornitore conserva dati per suo conto.

1-bis. Trattamenti del Fornitore come titolare autonomo

1. Per i trattamenti necessari a erogare e gestire la piattaforma il Fornitore opera come titolare autonomo e non come responsabile della Società: gestione degli account e autenticazione degli utenti; sicurezza dell'applicazione e registri tecnici (log); assistenza agli utenti; manutenzione e gestione dell'infrastruttura cloud; prevenzione di utilizzi illeciti; gestione del contratto, dei pagamenti e della fatturazione con la Società; adempimento degli obblighi di legge propri del servizio.
2. Per questi trattamenti il Fornitore usa solo i dati strettamente necessari, ne determina finalità e mezzi, ne risponde direttamente e informa gli interessati con la propria informativa, disponibile nell'app e su app.faisquadra.com/privacy.html.
3. Le basi giuridiche sono l'esecuzione del contratto con la Società e del servizio richiesto dagli utenti, il legittimo interesse del Fornitore alla sicurezza e al corretto funzionamento del servizio e l'adempimento di obblighi di legge (art. 6, par. 1, lett. b, f e c GDPR).
4. Le parti si riconoscono reciprocamente come titolari autonomi per questi trattamenti; non si configura contitolarità ai sensi dell'art. 26 GDPR.

2. Obblighi della Società

1. Ha una base giuridica valida per i trattamenti affidati al Fornitore.
2. Informa gli interessati (artt. 13 e 14 GDPR), indicando sé stessa come titolare e il Fornitore come responsabile, e valuta come informare gli atleti minorenni e chi è inserito da altri.
3. Decide chi ha accesso come staff o amministratore e toglie l'accesso quando non serve più.
4. Inserisce solo i dati necessari: niente dati sanitari, documenti d'identità o fotografie degli atleti.
5. Gestisce le richieste degli interessati, con l'assistenza del Fornitore.

3. Obblighi del Fornitore

1. Istruzioni. Tratta i dati solo su istruzione documentata della Società e la avvisa se ritiene che un'istruzione violi la normativa.
2. Riservatezza. Chi tratta i dati per suo conto è vincolato alla riservatezza.
3. Sicurezza. Adotta le misure dell'Allegato B, adeguate al rischio e alla presenza di dati di minori (art. 32 GDPR).
4. Diritti degli interessati. Assiste la Società nelle richieste di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità. Le richieste ricevute direttamente vengono inoltrate alla Società entro 5 giorni lavorativi.
5. Violazioni dei dati. Informa la Società senza ingiustificato ritardo e comunque entro 48 ore da quando ne viene a conoscenza.
6. Assistenza. Fornisce le informazioni utili per un'eventuale valutazione d'impatto (artt. 35 e 36 GDPR).
7. Verifiche. Mette a disposizione le informazioni necessarie a dimostrare il rispetto di questo accordo e consente verifiche concordate con almeno 15 giorni di preavviso.

4. Sub-responsabili e trasferimenti

1. La Società autorizza i sub-responsabili dell'Allegato C.
2. Il Fornitore comunica con almeno 30 giorni di anticipo l'aggiunta o la sostituzione di un sub-responsabile; la Società può opporsi per motivi legati alla protezione dei dati e, se non si trova una soluzione, recedere senza penali.
3. Alcuni dati possono essere trattati da Google fuori dall'Unione Europea, con le garanzie degli artt. 44 e seguenti GDPR (clausole contrattuali standard e, ove applicabile, EU-US Data Privacy Framework).

5. Conservazione e fine del rapporto

1. Le richieste di cancellazione di un singolo account vengono eseguite entro 30 giorni.
2. Alla fine del rapporto la Società ha 30 giorni per chiedere una copia dei propri dati in un formato di uso comune. Quando la Società chiude il servizio, l'app la rende inaccessibile agli utenti e cancella automaticamente i dati di squadre, famiglie e atleti 60 giorni dopo la chiusura.
3. Trascorso quel termine il Fornitore cancella i dati della Società entro 30 giorni; le copie di sicurezza vengono eliminate secondo i tempi tecnici del servizio. Restano esclusi i dati che il Fornitore tratta come titolare autonomo (art. 1-bis), conservati per il tempo necessario o previsto dalla legge (per esempio i dati di fatturazione, di regola 10 anni).

6. Responsabilità e legge applicabile

Ciascuna parte risponde dei danni causati dalla propria violazione del GDPR o di questo accordo (art. 82 GDPR). In caso di contrasto con le Condizioni, per la protezione dei dati prevale questo accordo. Legge italiana.

Allegato A – Descrizione del trattamento

Allegato B – Misure di sicurezza

• Accesso alle squadre solo con link di invito e approvazione dello staff.
• Ruoli separati: ogni persona vede solo i dati del proprio ruolo; le famiglie non vedono email né nomi degli altri genitori.
• Separazione tra società e tra squadre garantita dalle regole di sicurezza del database.
• Accesso con Google o con email e password gestite da Firebase Authentication; le password non sono visibili al Fornitore.
• Connessioni cifrate (HTTPS) e dati cifrati a riposo dall'infrastruttura Google.
• Accesso amministrativo all'infrastruttura riservato al Fornitore, con verifica in due passaggi.
• Copie di sicurezza: backup giornalieri del database, conservati 7 giorni sui server di Google Cloud in Europa e poi cancellati automaticamente.

Allegato C – Sub-responsabili