Nomina a responsabile del trattamento

Reso ai sensi dell’articolo 28, paragrafo 3, del Regolamento (UE) 2016/679.

Questo atto è parte dei termini di servizio e si accetta insieme a quelli. Vale finché dura il rapporto.

Chi è chi

Titolare del trattamento è l’impresa cliente. I dati che inserisce nel servizio sono suoi, e le decisioni su cosa farne sono sue.

Responsabile del trattamento è Echo S.r.l., società a socio unico, con sede in Via Fratelli Lelio e Fausto Socini 32/B, 42122 Reggio Emilia (RE), partita IVA 03135740359.

La distinzione non è formale. Dei dati che l’impresa inserisce noi non decidiamo nulla: li conserviamo, li confrontiamo con i limiti di legge e li componiamo in documenti, seguendo istruzioni che arrivano dall’impresa attraverso l’uso stesso del servizio.

Dei dati di chi visita il sito, di chi si registra e del rapporto contrattuale siamo invece titolari noi, e quel trattamento è descritto nell'informativa. Sono due cose diverse e conviene tenerle separate.

Che cosa trattiamo, e perché

Oggetto. L’erogazione di Conformità Imballaggi: censimento degli imballaggi, confronto con i limiti dell’articolo 5 del Regolamento (UE) 2025/40, raccolta dei dati dai fornitori, generazione e conservazione della documentazione tecnica e delle dichiarazioni di conformità.

Durata. Quanto il rapporto contrattuale, più i trenta giorni concessi per l’esportazione.

Natura e finalità. Raccolta, registrazione, organizzazione, conservazione, consultazione, estrazione. Solo per erogare il servizio: nessuna finalità nostra si aggiunge a quelle dell’impresa.

Tipi di dati. Dati identificativi e di contatto delle persone fisiche che l’impresa inserisce o che compilano una richiesta: nome, ruolo, indirizzo di posta elettronica, ragione sociale di appartenenza. Più i dati tecnici e commerciali degli imballaggi, che dati personali di regola non sono.

Categorie di interessati. Le persone dell’impresa cliente che usano il servizio, e le persone dei suoi fornitori che rispondono a una richiesta di dati.

Nessuna categoria particolare. Il servizio non è progettato per dati dell’articolo 9 né per dati giudiziari, e non vanno inseriti.

Che cosa ci impegniamo a fare

Sono gli obblighi della lettera per lettera dell’articolo 28, paragrafo 3.

a) Trattiamo solo su istruzione. Le istruzioni sono l’uso del servizio e i termini che lo regolano. Se un’istruzione ci sembra violare la normativa, lo diciamo subito invece di eseguirla.

b) Chi tocca i dati è vincolato alla riservatezza. Vale per le persone di Echo e per chiunque operi sotto la nostra autorità.

c) Adottiamo le misure dell’articolo 32. Sono elencate più sotto, perché una misura descritta si può verificare e una misura richiamata no.

d) I sub-responsabili li elenchiamo, e le variazioni le comunichiamo. Vedi il paragrafo dedicato.

e) Assistiamo l’impresa nel rispondere agli interessati. Il servizio consente da solo di leggere, correggere ed esportare; per il resto rispondiamo alle richieste dell’impresa senza spese aggiuntive.

f) Assistiamo l’impresa sugli obblighi degli articoli da 32 a 36: sicurezza, notifica delle violazioni, valutazione d’impatto.

g) Alla fine del rapporto restituiamo o cancelliamo. L’impresa esporta il proprio fascicolo quando vuole e per trenta giorni dopo la cessazione; poi cancelliamo, salvo quanto la legge ci impone di conservare.

h) Mettiamo a disposizione le informazioni necessarie a dimostrare il rispetto di questi obblighi, e consentiamo verifiche, con preavviso ragionevole e senza interferire con i dati di altri clienti.

Le misure di sicurezza

Non un elenco di buone intenzioni: sono le misure che il servizio applica oggi.

Separazione fra imprese imposta dal database, non dall’applicazione. Ogni riga porta l’impresa a cui appartiene, e le regole che filtrano stanno nel motore. Un errore nel codice dell’applicazione non basta a far vedere a un’impresa i dati di un’altra.

Permessi di scrittura concessi colonna per colonna, mai per tabella intera, così una colonna aggiunta domani non nasce scrivibile.

Le funzioni che scavalcano le regole controllano l’appartenenza a mano, e a un identificativo altrui rispondono come a uno inesistente: nemmeno l’esistenza di un dato altrui è un’informazione.

Cifratura in transito su ogni connessione, con verifica del certificato.

Il link al fornitore non si recupera. Nel database ne resta solo l’impronta: chi legge la tabella non può usarlo. Ha una scadenza e vede soltanto gli imballaggi per cui è stato emesso.

Le chiavi di servizio non raggiungono mai il browser, e la costruzione si interrompe se un modulo che le contiene finisce per sbaglio nel codice inviato al cliente.

Un documento emesso non si modifica e non si cancella. Una variazione apre una revisione e la precedente resta.

Copie di sicurezza gestite dal fornitore dell’infrastruttura, con possibilità di ripristino a un momento precedente.

Chi altro tratta i dati per nostro conto

L’impresa autorizza in via generale il ricorso a questi sub-responsabili:

Con ciascuno abbiamo sottoscritto un accordo che impone obblighi non meno gravosi di questi.

Se ne aggiungiamo o sostituiamo uno lo comunichiamo con trenta giorni di preavviso. L’impresa può opporsi per motivi ragionevoli: in quel caso può recedere senza penali, e le rimborsiamo la parte di abbonamento non goduta.

Se i dati escono dall’Unione

I dati sono ospitati in Germania. Supabase Inc., Vercel Inc. e Stripe sono però società statunitensi, e non si può escludere un accesso dagli Stati Uniti per esigenze di assistenza tecnica.

Quei trasferimenti avvengono sulla base delle garanzie del Capo V del Regolamento, contenute negli accordi sottoscritti con ciascun fornitore.

Se qualcosa va storto

Se veniamo a conoscenza di una violazione di dati personali lo comunichiamo all’impresa senza ingiustificato ritardo, e comunque entro quarantotto ore, con quello che sappiamo: che cosa è successo, quali dati sono coinvolti, quali conseguenze prevediamo, che cosa stiamo facendo.

Il termine è più stretto delle settantadue ore dell’articolo 33 perché quelle settantadue ore sono dell’impresa, non nostre: se le consumassimo noi, non le resterebbe tempo per notificare.

La notifica al Garante e agli interessati resta dell’impresa, che è titolare. Noi la assistiamo.

Modifiche

Le modifiche a questo atto seguono le stesse regole dei termini di servizio: comunicazione con trenta giorni di preavviso, e facoltà di recedere prima che abbiano effetto.