Accordo sul trattamento dei dati personali (art. 28 GDPR)
Articolo 28 del Regolamento (UE) 2016/679 («GDPR») · versione 2.0 del 22 ottobre 2026
Le parti
Titolare del trattamento («Titolare»): l'ente (oratorio o parrocchia, società sportiva, associazione) che attiva Orenta, identificato dai dati inseriti al momento della registrazione e dell'attivazione del servizio.
Responsabile del trattamento («Responsabile»): ORENTA di Simone Delbosco, Via Pralormo 1, 10046 Poirino (TO), partita IVA 13521560014, info@orenta.it.
1. Premessa e rapporto con il contratto
1.1 Il Responsabile fornisce al Titolare la piattaforma Orenta (gestione di iscritti, quote, presenze, comunicazioni, contabilità e, se attivato, Diario degli educatori), secondo le condizioni di servizio. Per fornirla tratta dati personali per conto del Titolare: questo accordo regola quel trattamento ai sensi dell'art. 28 GDPR.
1.2 Il presente accordo è parte integrante delle condizioni di servizio. In caso di contrasto sul trattamento dei dati personali prevale questo accordo.
2. Oggetto, natura, finalità e durata
2.1 Oggetto e finalità: fornire al Titolare le funzioni della piattaforma che il Titolare sceglie di usare, e nessun'altra finalità. Il Responsabile non tratta i dati per scopi propri (non li vende, non li usa per pubblicità o profilazione, non li usa per addestrare sistemi automatici).
2.2 Natura del trattamento: raccolta, registrazione, organizzazione, conservazione, consultazione, comunicazione per trasmissione, cancellazione, nei limiti di quanto il Titolare e i suoi operatori fanno nella piattaforma.
2.3 Durata: quella del rapporto di servizio, più il periodo di restituzione e cancellazione dell'art. 13.
2.4 Categorie di dati e di interessati: Allegato A.
3. Obblighi e responsabilità del Titolare
3.1 Il Titolare resta titolare del trattamento: decide se e perché trattare i dati, sceglie la base giuridica, informa gli interessati (artt. 13–14), raccoglie i consensi quando servono, tiene il proprio registro dei trattamenti, effettua la valutazione d'impatto (art. 35) quando richiesta e nomina, se dovuto, il responsabile della protezione dei dati.
3.2 Il Titolare inserisce dati pertinenti, corretti e limitati a quanto necessario e non inserisce nei campi di testo libero dati che non servono, in particolare dati su salute, vita sessuale, origini, opinioni o condanne penali di minori o di terzi, se non nei casi e nei modi consentiti dalla legge.
3.3 Il Titolare configura la piattaforma in modo adeguato (ruoli e permessi, periodi di conservazione, verifica in due passaggi) e gestisce gli account dei propri operatori.
4. Istruzioni documentate
4.1 Il Responsabile tratta i dati solo su istruzione documentata del Titolare: il contratto, questo accordo, le impostazioni scelte dal Titolare nella piattaforma e le richieste scritte che il Titolare invia a info@orenta.it. Vale anche per i trasferimenti verso Paesi terzi, salvo obbligo di legge a cui il Responsabile è soggetto (in tal caso lo comunica al Titolare prima del trattamento, se la legge lo consente).
4.2 Il Responsabile informa subito il Titolare se ritiene che un'istruzione violi il GDPR o altre norme sulla protezione dei dati.
5. Riservatezza
5.1 Chi presso il Responsabile può accedere ai dati è autorizzato per iscritto o vincolato a un obbligo di riservatezza e riceve istruzioni sul trattamento.
5.2 Il Responsabile non legge i contenuti della piattaforma del Titolare, salvo per assistenza richiesta dal Titolare, per risolvere un malfunzionamento che non si risolve altrimenti o per obbligo di legge. Gli accessi dello staff agli enti dal pannello di assistenza sono registrati. Per il Diario degli educatori il pannello di assistenza non mostra note né nomi dei ragazzi.
6. Sicurezza (art. 32)
6.1 Il Responsabile adotta misure tecniche e organizzative adeguate al rischio, tenuto conto dello stato dell'arte, dei costi e della natura dei dati (compresi i dati di minori). Le misure sono descritte nell'Allegato B.
6.2 Il Responsabile le aggiorna nel tempo e non le riduce in modo da abbassare il livello di sicurezza complessivo. Le modifiche sostanziali sono riportate in una nuova versione dell'Allegato B.
7. Sub-responsabili
7.1 Il Titolare autorizza in via generale il ricorso ai sub-responsabili elencati nell'Allegato C.
7.2 Prima di aggiungere o sostituire un sub-responsabile il Responsabile ne dà notizia al Titolare con almeno 30 giorni di anticipo (email all'indirizzo di riferimento dell'ente e aggiornamento dell'Allegato C), così che il Titolare possa opporsi per motivi legati alla protezione dei dati. Se l'opposizione è fondata e non si trova un'alternativa ragionevole, il Titolare può recedere dal servizio senza penali per la parte interessata.
7.3 Il Responsabile impone ai sub-responsabili, con contratto, gli stessi obblighi di protezione di questo accordo e risponde nei confronti del Titolare dell'adempimento da parte loro.
8. Trasferimenti verso Paesi terzi
8.1 I dati del database e dei file del Titolare sono conservati su server nell'Unione europea (Irlanda); l'esecuzione del programma avviene in regione europea (Dublino).
8.2 Alcuni sub-responsabili appartengono a gruppi con sede fuori dallo Spazio economico europeo. Un eventuale trasferimento o accesso da Paesi terzi avviene solo se coperto da una decisione di adeguatezza della Commissione europea (compreso, per i soggetti aderenti, il quadro UE-USA per la protezione dei dati) o da clausole contrattuali standard e dalle altre garanzie richieste dal capo V del GDPR.
9. Diritti degli interessati
9.1 Il Responsabile assiste il Titolare, con misure tecniche e organizzative adeguate, nel dare seguito alle richieste di esercizio dei diritti (artt. 15–22). La piattaforma offre al Titolare le funzioni di esportazione, rettifica, cancellazione e limitazione dei dati.
9.2 Se un interessato scrive direttamente al Responsabile, questi non risponde nel merito e inoltra la richiesta al Titolare senza ritardo e comunque entro 5 giorni lavorativi.
10. Assistenza al Titolare (artt. 32–36)
10.1 Il Responsabile assiste il Titolare nel garantire il rispetto degli artt. 32–36 (sicurezza, notifica di violazioni, valutazione d'impatto, consultazione preventiva), fornendo le informazioni in suo possesso. Per il Diario degli educatori mette a disposizione una scheda tecnica per il responsabile della protezione dei dati.
11. Violazioni dei dati personali
11.1 Il Responsabile informa il Titolare senza ingiustificato ritardo e comunque entro 24 ore da quando ne ha conoscenza di una violazione di dati personali che lo riguarda (art. 33.2), all'indirizzo di riferimento dell'ente.
11.2 La comunicazione contiene, per quanto noto: natura della violazione, categorie e numero approssimativo di interessati e di registrazioni, probabili conseguenze, misure adottate o proposte, un recapito per ulteriori informazioni. Le informazioni mancanti sono fornite appena disponibili, per fasi. Il Responsabile documenta ogni violazione e collabora con il Titolare, che valuta se notificare al Garante entro 72 ore e se avvisare gli interessati.
12. Registro dei trattamenti
12.1 Il Responsabile tiene il registro delle categorie di attività di trattamento svolte per conto del Titolare (art. 30.2).
13. Cessazione: restituzione e cancellazione
13.1 Alla fine del rapporto il Titolare può chiedere l'esportazione dei propri dati in qualsiasi momento, gratuitamente e dal servizio stesso, e comunque per i 30 giorni di recupero che seguono la fine del rapporto. Scaduto questo termine, o prima se il Titolare lo chiede per iscritto dopo aver esportato, il Responsabile cancella i dati, salvo quelli che la legge obbliga a conservare (per esempio i documenti contabili di Orenta stessa).
13.2 Le copie di sicurezza del fornitore si cancellano secondo il suo ciclo di conservazione, comunque non oltre 90 giorni dalla cancellazione, e non vengono più usate per altro.
14. Verifiche (audit)
14.1 Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi di questo accordo e consente e contribuisce ad audit e ispezioni condotti dal Titolare o da un revisore da lui incaricato (art. 28.3.h). Le verifiche si svolgono con preavviso di almeno 15 giorni, una volta l'anno salvo violazioni o richieste dell'autorità, senza compromettere la sicurezza e la riservatezza degli altri clienti, e a spese del Titolare.
15. Responsabilità
15.1 Ciascuna parte risponde secondo l'art. 82 GDPR. Il Responsabile risponde del danno causato dal trattamento solo se non ha adempiuto agli obblighi del GDPR a lui diretti o ha agito in modo difforme o contrario alle legittime istruzioni del Titolare.
16. Accettazione, versione e legge applicabile
16.1 Il Titolare accetta questo accordo per via elettronica: con l'accettazione delle condizioni di servizio al momento della registrazione, e, per il Diario degli educatori, con una conferma esplicita registrata (chi, quando, versione) al momento dell'attivazione del modulo. La data e la versione accettate sono conservate dal Responsabile come prova.
16.2 Il Responsabile può aggiornare questo accordo per adeguarlo alla legge o ai provvedimenti del Garante; le modifiche sfavorevoli al Titolare sono comunicate con almeno 30 giorni di anticipo, con diritto di recesso. La versione accettata è sempre consultabile.
16.3 L'accordo è regolato dalla legge italiana e dal GDPR. Per la competenza giudiziaria valgono le condizioni di servizio.
Allegato A · Categorie di dati e di interessati
| Interessati | Dati trattati | Note |
|---|---|---|
| Iscritti e soci (adulti) | Anagrafica, contatti, quote, pagamenti, presenze, documenti inseriti dall'ente | Secondo le funzioni attivate dal Titolare |
| Minori e loro genitori o tutori | Anagrafica, contatti dei genitori, iscrizioni, presenze, eventuali consensi (immagini, uscite), eventuali note sanitarie o alimentari inserite dal Titolare per sicurezza (dati di salute: art. 9) | Dati di soggetti vulnerabili: misure rafforzate (Allegato B) |
| Ragazzi seguiti dagli educatori (Diario) | Nome, cognome, soprannome, data di nascita facoltativa, note su fatti, interventi, provvedimenti, colloqui, presenze, allegati caricati dall'ente | Il testo libero può contenere dati particolari (art. 9) e, per le note dei servizi sociali, informazioni sensibili: il Titolare decide cosa inserire. Modulo opzionale e spento di partenza. |
| Operatori, educatori, volontari, allenatori | Nome, email, ruolo, accessi e registro delle attività, eventuali compensi | — |
| Fornitori e donatori | Anagrafica, fatture, donazioni | — |
Allegato B · Misure di sicurezza tecniche e organizzative (versione 2.0)
- Controllo degli accessi: autenticazione con email e password; ruoli e permessi per ente e per pagina, applicati nel database (non solo nell'interfaccia); le tabelle con dati personali non sono leggibili direttamente dal browser, solo attraverso funzioni che controllano chi chiede.
- Verifica in due passaggi per il Diario degli educatori: per chi coordina il Diario (responsabile e coordinatori), con app di autenticazione (TOTP) o, in alternativa meno sicura, con un codice monouso per email a scadenza breve; richiesta a ogni nuova sessione e verificata dal database. Il Titolare può modificarla solo con il responsabile dell'ente, e la scelta è registrata.
- Verifica in due passaggi facoltativa per tutti gli account: ogni persona può attivarla dal proprio account (app di autenticazione o codice per email) e, se attiva, le viene chiesta a ogni nuovo accesso; è un controllo dell'applicazione, non sostituisce la protezione del database.
- Verifica in due passaggi e accessi dello staff: lo staff di Orenta accede ai pannelli di assistenza solo con verifica in due passaggi (TOTP); ogni accesso a un ente richiede un motivo ed è registrato in un registro che non si modifica, visibile all'ente nella pagina «Dati e documenti legali».
- Separazione dei dati fra enti: ogni riga appartiene a un ente e il database impedisce di leggere dati di un altro ente.
- Registro degli accessi: per il Diario, chi ha aperto la scheda di un ragazzo, quando e con quale azione, con avvisi per accessi insoliti; durata del registro scelta dal Titolare (non inferiore a quella delle note).
- Cifratura: in transito (HTTPS/TLS) e a riposo (cifratura del volume e dell'archivio file del fornitore). Non è prevista la cifratura per singola colonna.
- Archivio file privato con indirizzi firmati e a scadenza; controllo di dimensione e tipo dei file caricati.
- Conservazione limitata: periodi di conservazione scelti dal Titolare, preavviso prima della cancellazione, cancellazione automatica delle note e dei file collegati.
- Nessun dato di minori nel dispositivo: il Diario non salva note né nomi nel telefono o nel browser (nessun archivio locale, nessun uso offline); le pagine del Diario non sono messe in cache né indicizzate.
- Email di servizio: per il Diario contengono solo numeri o collegamenti, mai nomi di ragazzi né testi di note.
- Registri applicativi: senza nomi di ragazzi né testi di note.
- Copie di sicurezza del fornitore del database, con ripristino a un punto nel tempo secondo il piano del fornitore.
- Organizzazione: accesso al database di produzione limitato al titolare dell'impresa; accessi dello staff agli enti registrati; verifiche prima di ogni rilascio (collaudi automatici su controllo degli accessi, separazione fra enti e contenuto delle email).
- Gestione delle violazioni: procedura di rilevazione, valutazione e comunicazione al Titolare entro 24 ore (art. 11 dell'accordo).
Allegato C · Sub-responsabili autorizzati (versione 2.0)
| Sub-responsabile | Ruolo | Servizio | Dati | Posizione |
|---|---|---|---|---|
| Supabase Inc. | Sub-responsabile | Database, autenticazione degli account e archivio dei file della piattaforma | Tutti i dati della piattaforma: anagrafiche, iscrizioni, quote, presenze, documenti, email di accesso | Unione europea: progetto in regione West EU (Irlanda) |
| Vercel Inc. | Sub-responsabile | Esecuzione del programma e consegna delle pagine | Transitano nelle richieste e nelle risposte, senza restare; registri tecnici di rete | Unione europea: funzioni in regione dub1 (Dublino) |
| Stripe Payments Europe Ltd e società collegate | Sub-responsabile e, per alcune attività, titolare autonomo | Pagamenti con carta o addebito (OrentaPay) e abbonamento di Orenta, con pagina di pagamento ospitata da Stripe | Dati dell'operazione (importo, esito, email del pagante) e dati di pagamento, che non transitano dai server di Orenta | Secondo i termini del fornitore (Irlanda per i clienti europei). Per le verifiche dell'identità, l'antiriciclaggio e la prevenzione delle frodi Stripe agisce come titolare autonomo del trattamento; per l'esecuzione dei pagamenti per conto dell'ente agisce come responsabile. |
| Resend, Inc. | Sub-responsabile | Invio delle email di servizio e delle comunicazioni dell'ente | Indirizzo email, nome e testo del messaggio; per il Diario solo numeri e collegamenti; esiti di consegna | Come indicato dal fornitore |
| Openapi S.p.A. | Sub-responsabile | Invio e ricezione delle fatture elettroniche tramite il Sistema di Interscambio (SDI) e accesso al servizio di marca temporale | Fatture elettroniche (dati anagrafici di clienti e fornitori, partita IVA dell'ente); impronta o file dei documenti da marcare | Italia / Unione europea |
| InfoCert S.p.A. | Sub-responsabile | Marca temporale qualificata per registri e verbali (tramite Openapi) | Documento o impronta del documento da marcare (registro dei volontari, libro soci, verbali) | Italia / Unione europea |
| BunnyWay d.o.o. (Bunny.net) | Sub-responsabile | Riproduzione dei video del corso di Orenta | Indirizzo IP e browser di chi guarda il video, come in ogni richiesta web; nessun dato di iscritti | Unione europea |
| Google Ireland Limited (YouTube) | Titolare autonomo (solo se scegli di caricare il contenuto) | Riserva per i video del corso e per i video incorporati dagli enti, in modalità senza cookie; si carica solo dopo il clic di chi guarda | Indirizzo IP e browser di chi sceglie di caricare il video | Come indicato dal fornitore |
Ultimo aggiornamento dell'Allegato C: 22 ottobre 2026. L'elenco aggiornato è anche nella pagina sub-responsabili.