GDPR · Come lo rispettiamo
Come Clybo’ rispetta il regolamento generale sulla protezione dei dati (GDPR), incluso il ruolo di Responsabile del trattamento che assumiamo nei confronti di ogni società sportiva.
Questa pagina riassume come Clybo’ rispetta il Regolamento (UE) 2016/679 (GDPR) e la legislazione maltese che lo integra (Data Protection Act, Chapter 586), e chiarisce i ruoli tra la società sportiva (Titolare) e Clybo’ (Responsabile del trattamento).
1. Ruoli nel GDPR
| Ruolo | Chi lo assume | Che cosa decide |
|---|---|---|
| Titolare del trattamento | La società sportiva | Le finalità del trattamento dei dati di atleti, tutori e staff. |
| Responsabile del trattamento | FlamaTech Consulting LTD (Clybo’) | Trattare i dati per conto della società seguendo le sue istruzioni, in base al DPA firmato. |
| Sub-responsabili | I fornitori elencati nell’informativa sulla privacy (hosting, autenticazione, pagamenti, email, analisi e fatturazione) | Servizi specifici con contratto di nomina ai sensi dell’articolo 28 GDPR. L’AEAT (l’Agenzia delle Entrate spagnola) non è un sub-responsabile: riceve i record fiscali per obbligo di legge. |
2. Accordo sul trattamento dei dati (DPA)
Prima di creare la società su Clybo’, il suo amministratore deve accettare elettronicamente i Termini e il DPA in vigore. Il sistema registra l’utente, la data, le versioni accettate e le prove tecniche dell’accettazione. Il DPA deve includere i requisiti dell’articolo 28 GDPR:
- Oggetto, durata, natura e finalità del trattamento.
- Tipo di dati personali e categorie di interessati.
- Obblighi del Responsabile: riservatezza, sicurezza, assistenza al Titolare, notifica delle violazioni.
- Regime dei sub-responsabili con autorizzazione generale preventiva.
- Restituzione o cancellazione dei dati alla fine del contratto.
Se hai bisogno di una copia del DPA prima di sottoscrivere il servizio, scrivi a dpo@clybo.app.
3. Misure tecniche e organizzative
- Cifratura: AES-256 a riposo, TLS 1.3 in transito.
- Controllo degli accessi: autenticazione tramite fornitore (Supabase Auth), controllo per ruoli, claim firmati.
- Separazione multi-tenant: isolamento per
club_id+ Row-Level Security in PostgreSQL. - Tracciabilità: registro delle attività per le operazioni sensibili.
- Backup: copie giornaliere cifrate con conservazione di 30 giorni.
- Revisione dei fornitori: valutazione preventiva e rivalutazione annuale di ogni sub-responsabile.
4. Notifica delle violazioni di sicurezza
In caso di violazione di sicurezza che riguardi dati personali, informeremo la società Titolare entro un massimo di 72 ore dal momento in cui ne veniamo a conoscenza, ai sensi dell’articolo 33.2 GDPR. La notifica includerà la natura, le categorie e il volume dei dati interessati, le misure adottate e la persona di contatto.
5. Diritti degli interessati
Quando un tutore, un atleta o un membro dello staff esercita uno dei diritti previsti dal GDPR (accesso, rettifica, cancellazione, opposizione, limitazione, portabilità), deve rivolgersi alla società Titolare. Clybo’ assisterà la società con gli strumenti tecnici necessari per rispondere all’interessato entro il termine di legge.
6. Trasferimenti internazionali
I dati sono conservati principalmente su infrastrutture situate nell’Unione europea. Alcuni sub-responsabili potrebbero trattare dati al di fuori del SEE; in questi casi applichiamo clausole contrattuali tipo approvate dalla Commissione europea o una decisione di adeguatezza, garantendo un livello di protezione equivalente a quello del GDPR.
7. Contatto e reclami
Responsabile della protezione dei dati (DPO): dpo@clybo.app.
L’autorità di controllo capofila di Clybo’ è l’Information and Data Protection Commissioner (IDPC) di Malta. Qualsiasi interessato può anche presentare reclamo all’autorità del proprio Stato membro (in Spagna, l’AEPD).