Preheader: Il prezzo del software è importante. Ma sai cosa succede ai dati dei clienti?
Quando uno Studio sceglie un nuovo gestionale le domande sono quasi sempre queste:
Quanto costa? Fa le paghe? Gestisce la contabilità? Si integra con gli altri software? È veloce? L’assistenza risponde?
Tutte domande corrette. Ma ne manca spesso una: come verranno trattati i dati personali caricati nel sistema?
Dentro quel software non ci sono semplicemente “file”
Ci sono clienti. Dipendenti. Familiari. Redditi. Coordinate bancarie. Informazioni fiscali. In alcuni casi dati appartenenti a categorie particolari.
Quando il fornitore tratta queste informazioni per conto dello Studio, il rapporto deve essere disciplinato secondo quanto previsto dall’articolo 28 del GDPR.
Cinque cose da cercare nel contratto
1. Oggetto e durata del trattamento – Cosa farà concretamente il fornitore con i dati?
2. Sicurezza – Quali misure dichiara di adottare?
3. Subfornitori – Il servizio viene erogato interamente dal fornitore o intervengono altre aziende?
4. Data breach – Come e quando verrai informato di una violazione?
5. Fine del rapporto – Cosa succede ai dati quando decidi di cambiare software? Sono previsti restituzione, esportazione o cancellazione?
La catena può essere più lunga di quanto immagini
L’EDPB ha chiarito che il titolare deve disporre delle informazioni necessarie sulla propria catena di responsabili e sub-responsabili per poter adempiere agli obblighi previsti dal GDPR.
Questo rende insufficiente fermarsi a: “Il gestionale è molto conosciuto, quindi sarà sicuramente a posto.”
Il punto non è diffidare del fornitore. Il punto è conoscere il servizio che stai utilizzando.
Il test del contratto
Prendi il contratto del software più importante dello Studio. Cerca la parola: “sub-responsabile” oppure “subprocessor”.
Sai chi sono? Se non riesci a trovare l’informazione, hai appena individuato una domanda da fare al tuo fornitore.
Vuoi verificare gratuitamente i principali contratti privacy?
Nel nostro check gratuito dello Studio possiamo analizzare anche il rapporto con gestionali, cloud e fornitori IT per capire quali aspetti meritano un approfondimento.
Fonti e approfondimenti
Regolamento (UE) 2016/679 – art. 28: https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=it
Garante Privacy – Responsabile del trattamento: https://www.garanteprivacy.it/responsabile-del-trattamento
EDPB – Opinion 22/2024 su responsabili e sub-responsabili: https://www.edpb.europa.eu/system/files/2024-10/edpb_opinion_202422_relianceonprocessors-sub-processors_en.pdf