Accordo sul trattamento dei dati

Cos’è un accordo sul trattamento dei dati?

Un accordo sul trattamento dei dati (DPA) è un contratto legalmente vincolante tra un titolare del trattamento (controller) e un responsabile del trattamento (processor) che tratta i dati personali per conto del titolare. È direttamente richiesto dall’articolo 28 del GDPR e deve stabilire lo scopo del trattamento, la durata, i tipi di dati personali coinvolti e gli obblighi del responsabile in materia di sicurezza, sub-responsabili e assistenza nel soddisfare i diritti degli interessati. L’accordo in sé non costituisce una base giuridica per il trattamento — è comunque necessaria una base lecita (come il consenso) ai sensi dell’articolo 6.

Perché un accordo sul trattamento dei dati è importante?

In un negozio online, condividi continuamente i dati dei clienti — nomi, indirizzi, e-mail, cronologia degli ordini — con fornitori che li trattano per te. Senza un DPA in vigore, non disponi della prova che il trattamento avvenga in modo lecito e, in qualità di titolare, rimani responsabile se un fornitore subisce una violazione dei dati. L’accordo definisce le responsabilità, ti conferisce il diritto di sottoporre a audit il responsabile e lo obbliga a cancellare o restituire i dati al termine del rapporto.

Casi d’uso comuni

• Shopify come piattaforma. Shopify tratta i dati dei tuoi clienti ed è quindi un responsabile del trattamento per te in qualità di titolare.
• App di terze parti. Le app di e-mail marketing, recensioni, analisi e logistica (fulfillment) che accedono ai dati dei clienti richiedono ciascuna un DPA.
• Agenzie e freelance. Qualsiasi parte esterna che ottenga l’accesso ai dati personali del tuo negozio deve essere coperta da un accordo.
• Cambio di fornitore. L’accordo garantisce che i dati vengano cancellati o migrati correttamente in caso di risoluzione del contratto.

Prospettiva Shopify

Shopify incorpora la sua Appendice sul trattamento dei dati (Data Processing Addendum) direttamente nelle sue condizioni commerciali, pertanto sei coperto nel momento in cui le accetti — non è necessario firmare un accordo separato con Shopify stesso. Spetta tuttavia a te la responsabilità di garantire che sia attivo un DPA per ciascuna app installata dall’App Store. Mantieni un registro dei tuoi sub-responsabili ed esamina attentamente le app collegate al consenso ai cookie e al GDPR in particolare prima che abbiano accesso ai dati dei clienti.