Informazioni legali
Trattamento per conto del titolare
Traduzione a titolo informativo. Giuridicamente vincolante è la versione tedesca.
Per tutti i dati personali che un cliente e le persone da lui invitate trattano in Feldkontor, il cliente è titolare del trattamento. ALR Consulting UG (haftungsbeschränkt) è responsabile del trattamento. La base è il contratto seguente, che viene concluso insieme al contratto di utilizzo. Le indicazioni sul titolare del trattamento da compilare vengono integrate alla conclusione del contratto.
§ 1 Oggetto e durata
Il Responsabile del trattamento gestisce per il Titolare del trattamento l'applicazione web «Feldkontor» sulla base del contratto di utilizzo. Questo contratto vale per la durata del contratto di utilizzo e oltre, finché il Responsabile del trattamento tratta dati del Titolare del trattamento.
§ 2 Natura, finalità, dati e persone interessate
| Caratteristica | Contenuto |
|---|---|
| Natura del trattamento | Raccolta, conservazione, messa a disposizione, visualizzazione, valutazione, backup, ripristino e cancellazione di dati nell'applicazione; invio di e-mail di invito e di avviso |
| Finalità | Giornale dei lavori, avanzamento dei lavori, logistica, prestazioni in economia, difetti, numeri di serie, varianti in corso d'opera, protocolli di verifica, di misura e di messa a terra nonché controlling di cantiere per i progetti del Titolare del trattamento |
| Tipi di dati personali | Nome, indirizzo e-mail, azienda, ruolo e diritti nel progetto; orari di accesso, indirizzi IP e indicazioni sui dispositivi delle sessioni; dati sul personale nei rapporti giornalieri come numero, orari di lavoro e denominazioni delle squadre; nomi e firme su fogli di economia, protocolli ed elenchi di presenza; personale fisso segnalato dai subappaltatori; foto dal cantiere nelle quali possono essere riconoscibili persone |
| Categorie di persone interessate | Dipendenti del Titolare del trattamento, dipendenti dei suoi subappaltatori, rappresentanti del suo committente o della committenza, altri utenti invitati |
| Categorie particolari ai sensi dell'art. 9 GDPR | non vengono trattate; il Titolare del trattamento assicura che tali dati non vengano inseriti |
| Luogo del trattamento | esclusivamente all'interno dell'Unione europea |
§ 3 Istruzioni
Il Responsabile del trattamento tratta i dati soltanto su istruzione documentata del Titolare del trattamento, a meno che sia obbligato al trattamento dal diritto dell'Unione o dal diritto di uno Stato membro; in questo caso comunica il requisito giuridico prima del trattamento, se il diritto non lo vieta.
Le istruzioni vengono impartite in forma scritta. Le istruzioni orali vengono confermate dal Titolare del trattamento senza indugio in forma scritta. Se il Responsabile del trattamento ritiene un'istruzione illecita, lo comunica senza indugio e può sospenderne l'esecuzione fino al chiarimento.
§ 4 Obblighi del Responsabile del trattamento
Vincola alla riservatezza tutte le persone che hanno accesso ai dati.
Adotta le misure tecniche e organizzative ai sensi dell'art. 32 GDPR secondo l'allegato 1 e le adegua allo stato della tecnica, senza abbassare il livello di protezione.
Supporta il Titolare del trattamento con misure adeguate nell'adempimento dei diritti delle persone interessate ai sensi degli artt. da 12 a 23 GDPR. Se una persona interessata si rivolge direttamente al Responsabile del trattamento, questi inoltra la richiesta senza indugio al Titolare del trattamento e non risponde autonomamente.
Supporta il Titolare del trattamento negli obblighi ai sensi degli artt. da 32 a 36 GDPR, nella misura in cui le informazioni necessarie non gli sono altrimenti accessibili.
Segnala le violazioni della protezione dei dati personali senza indugio, di norma entro 48 ore dalla conoscenza, con le indicazioni di cui all'art. 33, par. 3 GDPR, per quanto note.
Tiene un registro delle attività di trattamento ai sensi dell'art. 30, par. 2 GDPR.
Le prestazioni di supporto che vanno oltre l'ambito di legge o che sono determinate da circostanze nella sfera di responsabilità del Titolare del trattamento vengono remunerate da quest'ultimo in base all'onere, alla tariffa oraria concordata ⟨Stundensatz⟩; il Responsabile del trattamento lo annuncia in anticipo.
§ 5 Sub-responsabili del trattamento
Il Titolare del trattamento rilascia un'autorizzazione generale al coinvolgimento di sub-responsabili del trattamento e autorizza i seguenti:
| Sub-responsabile del trattamento | Prestazione | Luogo |
|---|---|---|
| STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlin | Esercizio del server, archiviazione, backup dei dati | Deutschland |
| A.S. Burgos Assistenz Dienstleistungen, titolare Ana Silvia Burgos Gonzales, Am Mühlenbach 1, 49536 Lienen | Manutenzione, eliminazione degli errori e sviluppo dell'applicazione, configurazione dei progetti | Deutschland |
| Nessun servizio di invio separato, l'invio avviene tramite la casella di posta del gestore presso STRATO GmbH | Invio di e-mail di invito e di avviso | Deutschland |
Il Responsabile del trattamento informa il Titolare del trattamento delle modifiche previste almeno quattro settimane prima in forma scritta. Il Titolare del trattamento può opporsi per un motivo rilevante di protezione dei dati. Se si oppone, il Responsabile del trattamento può disdire il contratto per la prestazione interessata con un termine di un mese.
Il Responsabile del trattamento vincola contrattualmente i sub-responsabili del trattamento agli stessi obblighi di protezione dei dati e risponde verso il Titolare del trattamento del loro rispetto.
Non valgono come sub-trattamento le prestazioni di telecomunicazione, postali, di trasporto e di pulizia nonché altre prestazioni accessorie senza relazione con il trattamento dei dati.
Visualizzazione del meteo. Il server richiama le indicazioni meteo del rapporto giornaliero presso Open-Meteo e trasmette a questo scopo esclusivamente le coordinate del cantiere, nessun dato personale; il risultato viene memorizzato temporaneamente per un'ora. Nell'esercizio del server il browser dell'utente non richiama il servizio direttamente, il servizio non riceve quindi indirizzi IP degli utenti.
§ 6 Diritti di controllo
Il Titolare del trattamento può accertarsi del rispetto di questo contratto. Annuncia i controlli almeno due settimane prima e li esegue durante i consueti orari d'ufficio senza disturbare lo svolgimento dell'attività, di norma una volta per anno civile nonché in presenza di un motivo concreto.
Il Responsabile del trattamento mette a disposizione le informazioni e le attestazioni necessarie, in particolare sulle misure di cui all'allegato 1 nonché le attestazioni dei suoi sub-responsabili del trattamento, per quanto ne disponga.
Per l'onere di un controllo che va oltre un'informazione in forma scritta, il Responsabile del trattamento può richiedere un corrispettivo in base all'onere.
§ 7 Cancellazione e restituzione
Al termine delle prestazioni il Responsabile del trattamento consegna i dati, a scelta del Titolare del trattamento, come esportazione di dati oppure li cancella, al più tardi 30 giorni dopo la fine del contratto, se non sussiste un obbligo di conservazione di legge.
I backup dei dati vengono cancellati allo scadere del loro termine di conservazione di 120 giorni. Fino a quel momento sono bloccati contro il ripristino e vengono conservati soltanto per l'adempimento di questo obbligo di cancellazione.
Le voci cancellate nell'applicazione restano fino a 120 giorni nell'archivio e vengono poi cancellate definitivamente.
§ 8 Responsabilità e disposizioni finali
Per la responsabilità vale l'art. 82 GDPR. Nel rapporto interno ogni parte risponde della parte di danno che ha causato; l'art. 82, par. 5 GDPR resta impregiudicato.
Per il resto valgono le disposizioni del contratto di utilizzo, in particolare le sue disposizioni sulla responsabilità. In caso di contraddizioni questo contratto prevale sulle disposizioni sulla protezione dei dati del contratto di utilizzo.
Le modifiche richiedono la forma scritta. Si applica il diritto tedesco. Qualora una disposizione sia inefficace, l'efficacia delle restanti resta impregiudicata.
Allegato 1: misure tecniche e organizzative ai sensi dell'art. 32 GDPR
Le misure descrivono lo stato della versione 1.6.3 dell'applicazione del 21.10.2026. La versione dettagliata di questo allegato è disponibile come documento a sé stante; in caso di differenze vale il documento dettagliato.
| Obiettivo di protezione | Misura |
|---|---|
| Controllo dell'accesso fisico | Esercizio su un server virtuale di STRATO GmbH; i suoi centri dati a Berlino e Karlsruhe sono certificati secondo DIN ISO/IEC 27001, il trattamento avviene esclusivamente in Germania |
| Controllo dell'accesso al sistema | Accesso solo con account utente personale; password di almeno 10 caratteri tratti da 3 dei 4 tipi di carattere oppure di 16 caratteri; memorizzazione esclusivamente come valore di controllo bcrypt; primo accesso tramite un codice monouso generato casualmente con validità di 72 ore, memorizzato solo come valore di controllo SHA-256; blocco per 15 minuti dopo 8 tentativi errati per indirizzo IP oppure 10 per account; accesso al server esclusivamente tramite SSH per gli amministratori |
| Controllo dell'accesso ai dati | Ruoli e diritti singoli per ogni progetto; verifica dei diritti da parte del server a ogni accesso in lettura e in scrittura; separazione dei clienti, gli utenti vedono soltanto i progetti assegnati; i contenuti interni non vengono trasmessi ai ruoli committente e lettore |
| Controllo della trasmissione | Trasmissione esclusivamente cifrata tramite HTTPS con certificato valido; file di configurazione con dati di accesso leggibili soltanto dal servizio di sistema |
| Controllo dell'inserimento | Memorizzazione dell'autore e del momento per rapporti giornalieri, approvazioni e protocolli; registro di controllo non modificabile di tutte le modifiche a utenti, diritti e progetti; cronologia degli ultimi 20 accessi per ogni utente; checksum per ogni PDF generato |
| Controllo della disponibilità | backup completo giornaliero con conservazione di 120 giorni; backup aggiuntivo prima di aggiornamenti, ripristini e modifiche ai dati anagrafici del progetto; ripristino di singoli progetti o dell'intero insieme dei dati; archivio delle voci cancellate per 120 giorni; deposito di una copia di backup al di fuori del server |
| Controllo della separazione | clienti e aree di progetto separate nella banca dati; verifica dei diritti per ogni progetto; separazione di ambiente produttivo, dimostrativo e di sviluppo |
| Controllo dell'incarico | Trattamento soltanto su istruzione; vincolo alla riservatezza delle persone coinvolte; contratti di trattamento per conto del titolare con tutti i sub-responsabili del trattamento |
| Verifica | Verifica delle misure a ogni nuova versione dell'applicazione, almeno una volta all'anno; stato della verifica: versione 1.6.3 del 21.10.2026 |