Data Processing Agreement

1. Ruoli delle parti

Il Cliente è Titolare autonomo del trattamento dei dati personali contenuti nei materiali trasmessi (planimetrie con nominativi, fotografie con persone identificabili, riprese aeree, ecc.). ADDING Studios agisce come Responsabile del trattamento ai sensi dell'art. 28 GDPR, esclusivamente per la durata e le finalità necessarie all'esecuzione dell'incarico.

2. Oggetto e durata del trattamento

• Oggetto: trattamento dei materiali forniti dal Cliente per la produzione dei deliverable concordati.
• Natura del trattamento: ricezione, archiviazione, elaborazione grafica/3D, condivisione con sub-responsabili tecnici, restituzione al Cliente.
• Finalità: esecuzione del contratto di servizi ai sensi dell'art. 6.1.b GDPR.
• Durata: dalla ricezione dei materiali fino a 12 mesi dopo la consegna dei deliverable, salvo diverso accordo scritto o richiesta di cancellazione anticipata.

3. Categorie di dati e interessati

• Dati personali: immagini identificative, nominativi presenti in planimetrie o documentazione tecnica, dati di contatto di soggetti coinvolti nel progetto.
• Categorie particolari (art. 9 GDPR): non richieste né trattate; il Cliente si impegna a non trasmettere dati sanitari, biometrici o di categorie particolari salvo diverso accordo scritto e adeguate misure supplementari.
• Interessati: proprietari, inquilini, dipendenti, ospiti, professionisti coinvolti nel progetto, persone eventualmente ritratte nelle fotografie di riferimento.

4. Obblighi del Responsabile

ADDING Studios si impegna a:

• trattare i dati esclusivamente sulla base delle istruzioni documentate del Titolare (art. 28.3 lett. a GDPR);
• garantire che le persone autorizzate al trattamento siano vincolate ad un obbligo di riservatezza;
• adottare misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR (HTTPS/TLS, accessi autenticati, backup, principio di minimizzazione);
• assistere il Titolare, per quanto possibile, nel dare seguito alle richieste degli interessati (artt. 15-22 GDPR);
• assistere il Titolare nell'adempiere agli obblighi di sicurezza, notifica di violazione, DPIA e consultazione preventiva (artt. 32-36 GDPR);
• notificare al Titolare, senza ingiustificato ritardo e comunque entro 48 ore, ogni violazione di dati personali di cui venga a conoscenza (art. 33.2 GDPR);
• su scelta del Titolare, cancellare o restituire i dati personali dopo il termine della prestazione, cancellando le copie esistenti salvo obblighi di conservazione previsti dal diritto UE o italiano.

5. Sub-responsabili autorizzati

Il Titolare autorizza in via generale il ricorso ai seguenti sub-responsabili, ai sensi dell'art. 28.2 GDPR:

ADDING Studios informa il Titolare di qualsiasi variazione dei sub-responsabili con preavviso ragionevole, consentendo al Titolare di opporsi per iscritto entro 30 giorni. L'opposizione dà facoltà al Titolare di recedere dal contratto senza penali per la parte non ancora eseguita.

6. Trasferimenti extra-SEE

I trasferimenti verso paesi extra-SEE avvengono sulla base del EU-U.S. Data Privacy Framework (decisione di adeguatezza 10 luglio 2023) per i fornitori certificati e/o delle Clausole Contrattuali Standard approvate dalla Commissione UE ai sensi dell'art. 46.2.c GDPR. Copia delle garanzie può essere richiesta a ciao@addingstudios.com.

7. Misure di sicurezza

• trasferimento dei materiali via canali cifrati (HTTPS/TLS, email S/MIME o link a storage con autenticazione);
• accessi limitati al personale necessario, autenticato con credenziali individuali e MFA ove disponibile;
• conservazione dei file di progetto in aree segregate e dedicate alla singola commessa;
• backup regolari e procedure di ripristino testate;
• principio di minimizzazione: il Cliente è invitato a trasmettere solo i materiali strettamente necessari all'esecuzione, anonimizzando ove possibile (es. oscuramento di nominativi, blur su volti nelle foto di riferimento).

8. Audit

Su richiesta scritta motivata, ADDING Studios mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all'art. 28 GDPR e consente audit — con preavviso di almeno 30 giorni, in orario lavorativo e con oneri a carico del Titolare richiedente — svolti dal Titolare o da un revisore indipendente vincolato a riservatezza.

9. Termine del trattamento

Al termine della prestazione — o su richiesta scritta del Titolare — ADDING Studios provvede, a scelta del Titolare, alla restituzione o alla cancellazione dei dati personali e delle copie esistenti presso i propri sistemi e presso i sub-responsabili, entro 30 giorni, salvo obblighi di conservazione previsti dalla legge (in particolare la documentazione fiscale conservata per 10 anni ex art. 2220 c.c.).

10. Modifiche

ADDING Studios si riserva di aggiornare il presente DPA per adeguarlo a modifiche normative o organizzative. Le modifiche sostanziali saranno comunicate ai Clienti attivi con preavviso di 30 giorni.

11. Contatti

Per richieste relative al presente DPA: ciao@addingstudios.com.