Nomina a responsabile del trattamento

Condizioni con cui la piattaforma tratta, per conto degli enti, i dati personali contenuti nei file caricati (art. 28 GDPR). L'ente le accetta alla registrazione o, per gli enti già attivi, al primo caricamento.

Versione 2026-10-27

1. Parti e oggetto

L'ente che usa la piattaforma, in qualità di titolare del trattamento, nomina il fornitore del servizio indicato sotto responsabile del trattamento ai sensi dell'art. 28 del Regolamento (UE) 2016/679 (GDPR), per i dati personali eventualmente contenuti nei file e nelle fonti dati che l'ente elabora con Convertitore Open Data.

2. Natura, finalità e durata del trattamento

• Trattamenti: conservazione, lettura, analisi della qualità, correzione, rilevamento dei dati personali, rimozione, mascheramento, pseudonimizzazione e generalizzazione delle colonne secondo le scelte dell'ente, generazione dei pacchetti di pubblicazione, cancellazione.
• Finalità: unicamente la preparazione dei dataset dell'ente per la pubblicazione come dati aperti.
• Tipi di dati e categorie di interessati: quelli presenti nei file caricati dall'ente, che li determina in autonomia. Possono comprendere dati comuni e, se l'ente li carica, categorie particolari (art. 9) o dati giudiziari (art. 10).
• Durata: per tutto il periodo di utilizzo del servizio da parte dell'ente. I file originali sono eliminati automaticamente secondo il periodo di conservazione impostato o prima, su richiesta dell'ente dall'area riservata.

3. Obblighi del responsabile

Il responsabile si impegna a:

1. trattare i dati solo su istruzione documentata dell'ente. Le istruzioni sono le operazioni scelte nella piattaforma e la presente nomina. Se un'istruzione viola la normativa, il responsabile ne informa subito l'ente;
2. garantire che le persone autorizzate al trattamento siano vincolate alla riservatezza;
3. adottare le misure di sicurezza dell'art. 32: connessioni cifrate, separazione dei dati tra enti, accesso riservato agli utenti autorizzati dell'ente, password conservate con funzione di hash, blocco dei tentativi di accesso ripetuti, chiave di pseudonimizzazione distinta per ogni conversione e mai esportata, eliminazione programmata dei file;
4. non usare i dati per finalità proprie e non comunicarli a terzi, salvo obbligo di legge;
5. assistere l'ente, con misure tecniche e organizzative adeguate, nel rispondere alle richieste degli interessati (artt. 15-22);
6. assistere l'ente negli obblighi degli artt. 32-36, comprese le valutazioni d'impatto;
7. informare l'ente senza ingiustificato ritardo, e comunque entro 48 ore dalla scoperta, di ogni violazione dei dati personali (data breach), fornendo le informazioni disponibili per la notifica al Garante;
8. al termine del servizio, cancellare i dati dell'ente o restituirli su richiesta, salvo obblighi di conservazione previsti dalla legge;
9. mettere a disposizione dell'ente le informazioni necessarie a dimostrare il rispetto di questi obblighi e consentire verifiche, anche tramite un incaricato, con preavviso ragionevole.

4. Sub-responsabili

L'ente autorizza in via generale il ricorso ai seguenti sub-responsabili, vincolati agli stessi obblighi di protezione dei dati:

• OVH SAS – hosting del server, data center nell'Unione europea
• Aruba S.p.A. – servizio di posta elettronica, Italia

Il responsabile comunica in anticipo, pubblicando una nuova versione di questa nomina, l'aggiunta o la sostituzione di un sub-responsabile. L'ente può opporsi prima che la modifica abbia effetto. I dati sono trattati nell'Unione europea.

5. Obblighi dell'ente

• Garantisce di avere una base giuridica per trattare e pubblicare i dati che carica.
• Carica solo i dati necessari (minimizzazione, art. 5) e verifica, nel passo «Privacy» di ogni conversione, che i dati personali siano rimossi o resi anonimi prima della pubblicazione.
• Resta responsabile della scelta delle azioni applicate a ciascuna colonna e della pubblicazione finale dei dati.