Accordo sul trattamento dei dati di ClubBasket
Ultimo aggiornamento: 22 ottobre 2026.
1. Parti, ambito e prevalenza
Questo accordo (il "DPA") è parte dell'Ordine firmato tra il Club in esso identificato (il "Titolare") e PSG, Borut Grauf s.p., Pod gonjami 85, 2391 Prevalje, Slovenia, numero di iscrizione 8519471000, partita IVA SI54246679 (il "Responsabile").
Si applica ai dati personali trattati per conto del Club nella fornitura di ClubBasket, compreso un sito ospitato concordato. Non modifica i ruoli relativi ai trattamenti effettuati dal gestore per finalità proprie, descritti nell'Informativa sulla privacy.
I termini del GDPR hanno il significato previsto dal Regolamento (UE) 2016/679. Il DPA prevale su disposizioni commerciali contrastanti relative al trattamento dei dati personali. Prevale in ogni caso la normativa inderogabile.
2. Istruzioni documentate e responsabilità
Il Responsabile tratta i dati personali solo su istruzioni documentate del Titolare, inclusi questo DPA, l'Ordine e le impostazioni e azioni autorizzate nel Servizio. Ciò vale anche per trasferimenti internazionali. Se il diritto dell'UE o di uno Stato membro impone altri trattamenti, il Responsabile ne informa il Titolare prima di procedere, salvo divieto legale di informarlo.
Il Titolare determina finalità lecite e basi giuridiche, fornisce le informative necessarie, stabilisce le istruzioni di conservazione e controlla gli utenti autorizzati. Deve individuare le condizioni aggiuntive necessarie per categorie particolari di dati e non impartire istruzioni illecite.
Il Responsabile informa immediatamente il Titolare se ritiene che un'istruzione violi la normativa applicabile sulla protezione dei dati. Può sospendere il trattamento interessato mentre cerca chiarimenti o un'alternativa lecita, tutelando in modo proporzionato i dati e la continuità del servizio.
3. Riservatezza e sicurezza
Le persone autorizzate al trattamento devono essere vincolate alla riservatezza o a un adeguato obbligo legale. L'accesso è limitato a quanto richiesto dal loro ruolo.
Il Responsabile adotta misure tecniche e organizzative appropriate ai sensi dell'articolo 32, tenendo conto dei rischi, anche per minori e informazioni sanitarie. L'allegato B descrive le misure. Il Responsabile può migliorarle, ma non deve ridurre sostanzialmente il livello di protezione concordato durante il trattamento.
4. Sub-responsabili e trasferimenti
Il Titolare concede un'autorizzazione scritta generale ai fornitori dell' Elenco dei sub-responsabili, secondo le finalità e condizioni ivi descritte. Prima di nominare un sub-responsabile aggiuntivo o sostitutivo, il Responsabile dà almeno 14 giorni di preavviso scritto, indicando ruolo, ubicazione e data di inizio proposta.
Entro tale termine, il Titolare può opporsi per ragionevoli motivi di protezione dei dati. Le parti cercano un'alternativa o garanzie adeguate. Se l'obiezione resta irrisolta, il Titolare può porre fine al Servizio interessato prima dell'inizio del trattamento proposto e ottenere la restituzione degli importi prepagati non utilizzati per quel Servizio. Il Responsabile non può interpretare il silenzio prima della scadenza del preavviso come permesso di iniziare in anticipo.
Ogni sub-responsabile è vincolato da un accordo scritto che impone gli obblighi di protezione dei dati applicabili ai sensi dell'articolo 28. Il Responsabile resta responsabile dell'adempimento di tali obblighi da parte del sub-responsabile.
I trasferimenti internazionali soggetti a restrizioni richiedono un meccanismo lecito e garanzie supplementari appropriate ove necessarie. Il Responsabile mette a disposizione del Titolare le informazioni pertinenti sul meccanismo e sulle garanzie.
5. Richieste degli interessati
Tenendo conto della natura del trattamento, il Responsabile assiste il Titolare nelle richieste di esercizio dei diritti mediante misure tecniche e organizzative appropriate. Informa prontamente il Titolare delle richieste relative ai dati di cui questi è titolare, salvo istruzioni documentate del Titolare per una categoria concordata di richieste.
Il Titolare autorizza la ricezione e la verifica dell'identità attraverso il canale centrale della piattaforma. Tale canale non autorizza di per sé ogni comunicazione o cancellazione. Il Responsabile coordina l'ambito e le istruzioni lecite con il Titolare pertinente, non comunica dati di altri Club e non decide le basi giuridiche del Titolare per conservare i dati. Quando il gestore è esso stesso titolare o la legge impone direttamente un intervento, adempie ai propri obblighi.
Nessuna parte può usare procedure interne per ritardare una richiesta oltre i termini applicabili. Le parti concordano le azioni urgenti necessarie quando una richiesta riguarda più account, un minore, diritti altrui o obblighi di conservazione legale.
6. Incidenti e assistenza
Il Responsabile informa il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione dei dati personali interessati. Fornisce, man mano che sono disponibili, la natura della violazione, i dati e le persone coinvolti, le probabili conseguenze, il punto di contatto e le misure adottate o proposte. Le informazioni possono essere fornite per fasi senza ulteriori ritardi ingiustificati.
Il Responsabile adotta misure ragionevoli per contenere e rimediare alla violazione e assiste il Titolare nelle notifiche obbligatorie. Assiste inoltre negli obblighi di sicurezza, nelle valutazioni d'impatto sulla protezione dei dati e nella consultazione preventiva delle autorità, tenendo conto del trattamento e delle informazioni disponibili. La notifica non viene rinviata fino all'accertamento di ogni dettaglio.
7. Informazioni e verifiche
Il Responsabile mette a disposizione le informazioni necessarie a dimostrare il rispetto dell'articolo 28 e consente e contribuisce alle verifiche, comprese le ispezioni, del Titolare o del suo revisore incaricato. Le parti concordano preavviso ragionevole, riservatezza e garanzie per i dati degli altri clienti. Incidenti urgenti, richieste delle autorità o fondati indizi di non conformità possono richiedere accessi più rapidi.
Le prove esistenti o le relazioni indipendenti possono soddisfare un'esigenza di verifica ove appropriato, ma non eliminano i diritti legali di verifica del Titolare. Questo DPA non attesta che il Servizio disponga di una specifica certificazione.
8. Restituzione, cancellazione e durata
Il DPA si applica dall'inizio del trattamento ai sensi del contratto firmato e continua fino alla restituzione o cancellazione dei dati da parte del Responsabile come richiesto.
A scelta del Titolare, il Responsabile restituisce o cancella i dati personali dopo la fine dei servizi di trattamento e cancella le copie esistenti, salvo obblighi di conservazione previsti dal diritto dell'UE o di uno Stato membro. L'istruzione standard del Titolare prevede conservazione con accesso limitato per 90 giorni dalla cessazione, seguita dalla cancellazione, comprese le copie, come descritto nelle Condizioni, sezione 13. Il Titolare può disporre la cancellazione anticipata o richiedere la restituzione prima della cancellazione programmata. Non viene preparata un'esportazione automatica; la restituzione richiesta è organizzata in modo sicuro. Restano salvi i diritti inderogabili di restituzione e recupero dei dati e i dati necessari per una richiesta valida di restituzione in corso sono protetti fino al suo completamento.
Le copie di backup restano protette e isolate dal trattamento ordinario. Scadono entro 90 giorni dalla creazione e sono anche soggette al termine di cancellazione di fine servizio. Se usate per il ripristino, si riapplicano le istruzioni di cancellazione pertinenti. L'eventuale conservazione obbligatoria per legge è documentata, limitata a quella finalità e comunicata ove consentito. Il Responsabile conferma il completamento su ragionevole richiesta.
9. Contatti e legge applicabile
Il contatto del Titolare è il rappresentante indicato nell'Ordine o comunicato successivamente. Il contatto del Responsabile è support@clubbasket.app. Si applicano le disposizioni delle Condizioni su legge applicabile e controversie, senza limitare i diritti degli interessati o delle autorità previsti dalla legge applicabile.
Allegato A — Descrizione del trattamento
Oggetto e finalità: fornire i servizi concordati di gestione del club e del sito: amministrazione di membri e squadre, relazioni con i tutori, calendari, presenze, partite, valutazioni, comunicazioni, gestione delle quote di partecipazione, pubblicazione, richieste di adesione, assistenza, esportazioni, cancellazione e sicurezza effettuate per conto del Club.
Operazioni: raccolta, registrazione, organizzazione, conservazione, reperimento, accesso autorizzato, trasmissione, pubblicazione su istruzione, esportazione, rettifica, limitazione e cancellazione.
Persone: membri e aspiranti membri, giocatori inclusi i minori, tutori, allenatori, dipendenti, volontari, ufficiali di gara, visitatori del sito e persone che contattano il Club.
Dati: dati identificativi e di contatto; date di nascita; foto e file; dati di squadra, ruolo e adesione; legami con i tutori; presenze e partecipazioni; risultati; valutazioni e dati di sviluppo; comunicazioni; dati delle quote; domande; istruzioni di pubblicazione e dati tecnici necessari al trattamento.
Informazioni sensibili: una funzionalità abilitata e appropriata può trattare informazioni sanitarie limitate sulle assenze. Il Titolare deve stabilire la base giuridica e la condizione per le categorie particolari necessarie, limitare raccolta e accesso e impartire istruzioni. Note generali e file caricati non devono essere usati come cartelle cliniche senza restrizioni. Altre categorie sensibili richiedono una valutazione separata e un ambito espressamente concordato prima del trattamento.
Durata e frequenza: continuative durante l'uso delle funzionalità pertinenti, seguite dai periodi concordati di restituzione/cancellazione e backup. Il Club deve fornire istruzioni appropriate per i dati che cessano di essere necessari prima della fine dell'abbonamento.
Allegato B — Misure di sicurezza
- Separazione dei dati dei Club e accesso controllato secondo i ruoli autorizzati.
- Controlli di autenticazione, password protette e gestione appropriata di credenziali e token.
- Trasporto cifrato per l'accesso al servizio e accesso amministrativo limitato.
- Registrazione e monitoraggio adeguati alla sicurezza e all'analisi dei guasti, con minimizzazione dei dati.
- Backup protetti, cifratura prima del trasferimento fuori sede e ripristino controllato.
- Procedure per modifiche agli accessi, incidenti, richieste sui dati personali e cancellazione.
- Obblighi di riservatezza e accesso limitato a personale e fornitori autorizzati.
- Revisione e manutenzione delle misure adeguate ai rischi del trattamento.
Il Responsabile fornisce ulteriori dettagli pertinenti su ragionevole richiesta, con garanzie contro la divulgazione di informazioni sensibili per la sicurezza o di dati di altri clienti.
Allegato C — Fornitori
La versione dell'Elenco dei sub-responsabili fornita con l'Ordine è incorporata nel presente DPA. Le modifiche successive seguono la sezione 4.