Condizioni per il trattamento dei dati personali (DPA)

Allegato e parte integrante delle Condizioni d’uso del servizio MojaDružina

Ultimo aggiornamento: 29 settembre 2026

1. Scopo e validità del DPA

Le presenti Condizioni per il trattamento dei dati personali (di seguito: «DPA») sono un allegato e parte integrante delle Condizioni d’uso del servizio MojaDružina (di seguito: «Condizioni d’uso»). Disciplinano il trattamento dei dati personali quando l’utente stabilisce quali contenuti di famiglia privati inserire, per quali scopi personali o familiari utilizzarli e con quali membri invitati condividerli, mentre la società DATAFLOW tratta tecnicamente tali contenuti per conto dell’utente.

In caso di contrasto tra il DPA e le Condizioni d’uso riguardo al trattamento dei contenuti di famiglia, prevale il presente DPA. Accettando le Condizioni d’uso e il presente DPA, l’utente impartisce alla società DATAFLOW istruzioni documentate per il trattamento nella misura descritta nel presente DPA, nelle proprie azioni e impostazioni nell’applicazione e in eventuali ulteriori istruzioni scritte accettate da DATAFLOW.

2. Parti e ripartizione dei ruoli

Il fornitore è DATAFLOW, informacijske in podatkovne rešitve, d. o. o., Krpanova ulica 3, 6310 Izola – Isola, Slovenia, numero di registrazione: 7447035000, codice fiscale: 61888630. Contatto: info@mojadruzina.si.

DATAFLOW come titolare. DATAFLOW determina autonomamente le finalità e i mezzi essenziali del trattamento dei dati relativi agli account utente, all’accesso e all’autenticazione, alla sicurezza e alla prevenzione degli abusi, all’assistenza tecnica, alle comunicazioni necessarie, all’esecuzione del contratto, all’adempimento degli obblighi di legge e a eventuali futuri pagamenti e attività di marketing. Tale trattamento è descritto nell’Informativa sulla privacy e non è oggetto delle disposizioni del presente DPA sul trattamento su istruzione dell’utente.

DATAFLOW come responsabile del trattamento. DATAFLOW agisce come responsabile del trattamento quando, su istruzione dell’utente, conserva, visualizza, collega, converte, sottopone a backup, esporta, trasmette ai membri autorizzati o tratta in altro modo tecnicamente i contenuti di famiglia privati. L’utente agisce come titolare nella misura in cui a tale trattamento si applichino nei suoi confronti il GDPR o altra normativa sulla protezione dei dati personali.

Se l’utente tratta i contenuti di famiglia esclusivamente nell’ambito di attività a carattere personale o domestico e pertanto, ai sensi della normativa vigente, non agisce come titolare, le disposizioni del presente DPA si applicano comunque come obblighi contrattuali di DATAFLOW in materia di limitazione della finalità, riservatezza, sicurezza, sub-responsabili, assistenza all’utente e cancellazione o restituzione dei contenuti.

3. Oggetto e durata del trattamento

L’oggetto del trattamento è la fornitura tecnica del servizio MojaDružina: creazione e modifica di alberi genealogici, importazione ed esportazione GEDCOM, conservazione e visualizzazione di foto, storie, ricordi e commenti, collegamento di persone e contenuti, collaborazione dei membri invitati, ricerca, esportazione, backup, ripristino e altre funzioni richieste dall’utente utilizzando l’applicazione.

Il trattamento dura dal primo inserimento o importazione di contenuti di famiglia fino alla loro cancellazione ovvero alla cessazione della fornitura del servizio all’utente o alla famiglia. La riservatezza, la protezione delle copie di sicurezza e l’obbligo di cancellazione definitiva valgono fino alla cancellazione di tutte le copie rilevanti.

4. Natura e finalità del trattamento

Il trattamento può comprendere raccolta, registrazione, organizzazione, strutturazione, conservazione, adattamento, collegamento, estrazione, consultazione, uso, conversione tecnica, comunicazione agli utenti autorizzati, limitazione, backup, ripristino, esportazione e cancellazione. La finalità è esclusivamente la fornitura delle funzioni richieste e la tutela della disponibilità, integrità e riservatezza dei contenuti di famiglia.

DATAFLOW non utilizza i contenuti di famiglia per pubblicità, vendita di dati, profilazione o addestramento di modelli generali di intelligenza artificiale. Se desiderasse trattarli per finalità proprie, indipendenti da quelle dell’utente, dovrebbe disporre di una base giuridica separata e fornire un’adeguata informativa.

5. Tipi di dati personali

I contenuti di famiglia possono contenere nomi, cognomi, cognomi precedenti e soprannomi; date e luoghi di nascita, matrimonio, morte e altri eventi; sesso e stato di famiglia; legami di parentela e altri legami personali; indirizzi e luoghi di residenza; foto e metadati; storie, ricordi, note biografiche e commenti; dati GEDCOM; dati di contatto; dati su istruzione, professione e attività; dati su paternità e modifiche dei contenuti e altri dati inseriti volontariamente dall’utente.

Il contenuto può includere categorie particolari di dati personali di cui all’articolo 9 del GDPR o dati relativi a condanne penali, se inseriti dall’utente. L’utente non può inserire tali dati senza un’idonea base giuridica. DATAFLOW non incoraggia l’utente a inserirli e non li utilizza per proprie deduzioni o profilazioni.

6. Categorie di interessati

Il trattamento può riguardare l’utente, altri membri della famiglia registrati e invitati, parenti viventi e altre persone dell’albero, minori, persone presenti nelle foto o in storie e commenti, persone nei file GEDCOM e persone decedute, nella misura in cui i dati che le riguardano sono protetti o rivelano informazioni su persone viventi.

7. Istruzioni documentate

DATAFLOW tratta i contenuti di famiglia solo in conformità alle Condizioni d’uso e al presente DPA, alle funzioni e impostazioni scelte dall’utente nell’applicazione e alle altre istruzioni documentate dell’utente accettate.

Se il trattamento è richiesto dal diritto dell’Unione europea o di uno Stato membro, DATAFLOW informa l’utente di tale obbligo giuridico prima del trattamento, salvo che la legge vieti tale informazione per rilevanti motivi di interesse pubblico. Se DATAFLOW ritiene che un’istruzione dell’utente violi la normativa sulla protezione dei dati personali, ne informa immediatamente l’utente e può sospendere l’esecuzione dell’istruzione fino alla sua conferma, modifica o revoca.

8. Obblighi dell’utente

L’utente è responsabile della liceità delle istruzioni e dei contenuti, della determinazione della finalità e della base giuridica quando gli si applica il GDPR, dell’esattezza e proporzionalità dei dati, delle informative e autorizzazioni necessarie, della corretta assegnazione degli accessi ai membri invitati e di una particolare cautela riguardo ai dati dei minori, alle categorie particolari di dati e alle foto.

9. Riservatezza

DATAFLOW garantisce che i contenuti di famiglia siano trattati solo da persone debitamente autorizzate che ne hanno bisogno per i propri compiti, sono vincolate da un obbligo di riservatezza contrattuale o legale e sono informate degli obblighi in materia di protezione dei dati. La riservatezza vale anche dopo la cessazione del loro lavoro o della loro autorizzazione.

L’accesso del personale a un singolo contenuto è consentito solo quando è necessario per assistenza, correzione di un errore, incidente di sicurezza, obbligo di legge o altra finalità concordata, e deve essere limitato al minimo indispensabile.

10. Misure tecniche e organizzative

DATAFLOW, tenendo conto dello stato dell’arte, dei costi, della natura e della portata del trattamento nonché dei rischi, adotta misure adeguate al rischio. Queste comprendono, ove opportuno: connessione cifrata durante la trasmissione; protezione crittografica delle password; autenticazione e gestione degli accessi; limitazione dei diritti amministrativi; separazione delle famiglie e dei relativi accessi; registrazione degli eventi di sicurezza; protezione da accessi non autorizzati e attacchi informatici; aggiornamenti di sicurezza; copie di sicurezza e ripristino; procedure per gli incidenti; verifica dell’efficacia delle misure e cancellazione sicura.

DATAFLOW può adeguare le misure all’evoluzione tecnologica, purché non riduca il livello complessivo di protezione. Su richiesta fornisce all’utente una sintesi adeguata, potendo omettere i dettagli la cui divulgazione comprometterebbe la sicurezza.

11. Sub-responsabili

L’utente concede a DATAFLOW un’autorizzazione scritta generale a ricorrere ai sub-responsabili necessari per hosting, infrastruttura, sicurezza, copie di sicurezza, funzioni e-mail e assistenza. All’entrata in vigore del DPA sono rilevanti almeno HITROST.COM per hosting, database, infrastruttura e copie di sicurezza, Defiant, Inc. / Wordfence per la sicurezza del sito web, nella misura in cui ha accesso a dati personali, e Google Ireland Limited (Google Drive) per la conservazione delle copie di sicurezza in una sede separata.

DATAFLOW informa l’utente dell’aggiunta di un nuovo sub-responsabile o della sostituzione di uno esistente, di norma con almeno 15 giorni di anticipo. L’utente può opporsi alla modifica per fondati motivi di protezione dei dati. Se non è possibile una soluzione ragionevole, prima della modifica può cessare di utilizzare la funzione o il servizio interessato e chiedere l’esportazione o la cancellazione dei dati.

DATAFLOW impone al sub-responsabile obblighi essenziali di protezione dei dati almeno equivalenti a quelli previsti dal presente DPA e resta responsabile dell’adempimento dei suoi obblighi in conformità alla normativa vigente e al contratto.

12. Trasferimenti al di fuori del SEE

I contenuti di famiglia non possono essere trasferiti al di fuori dello Spazio economico europeo senza il rispetto delle condizioni di cui al capo V del GDPR. In assenza di una decisione di adeguatezza, DATAFLOW garantisce garanzie adeguate, come le clausole contrattuali tipo, e se necessario adotta misure supplementari. Su richiesta fornisce all’utente informazioni sul meccanismo utilizzato. Presso il sub-responsabile Google Ireland Limited (Google Drive) i dati delle copie di sicurezza possono essere trattati anche al di fuori del SEE; il trasferimento si basa sulla decisione di adeguatezza della Commissione europea (quadro UE–USA per la protezione dei dati) ovvero sulle clausole contrattuali tipo.

13. Assistenza per i diritti degli interessati

DATAFLOW, tenendo conto della natura del trattamento, assiste l’utente con misure adeguate nelle richieste di accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e negli altri diritti. Se riceve direttamente una richiesta relativa a contenuti di famiglia, la inoltra senza ingiustificato ritardo all’utente competente o lo informa. DATAFLOW non risponde per conto dell’utente, salvo su autorizzazione o se richiesto dalla legge.

14. Assistenza per la conformità

DATAFLOW, tenendo conto della natura del trattamento e delle informazioni disponibili, assiste l’utente in materia di sicurezza del trattamento, gestione delle violazioni, notifica all’autorità di controllo e agli interessati, valutazione d’impatto e consultazione preventiva dell’autorità di controllo. Un’ulteriore assistenza che richieda un ampio lavoro individuale e non derivi da una violazione di DATAFLOW può essere oggetto di un previo accordo su costi ragionevoli.

15. Violazioni dei dati personali

Quando DATAFLOW viene a conoscenza di una violazione della sicurezza che riguarda i contenuti di famiglia, ne informa l’utente senza ingiustificato ritardo. La comunicazione contiene la descrizione disponibile della natura della violazione, dei tipi di dati e di interessati coinvolti, del numero approssimativo di registrazioni o di interessati, delle probabili conseguenze, delle misure adottate o proposte e un punto di contatto. Le informazioni mancanti sono fornite progressivamente senza ulteriore ingiustificato ritardo.

DATAFLOW adotta misure ragionevoli per contenere la violazione, rimediarne le conseguenze, conservare le prove rilevanti e prevenirne il ripetersi.

16. Restituzione, esportazione e cancellazione

Durante il contratto DATAFLOW mette a disposizione le opzioni di esportazione disponibili, in particolare GEDCOM e l’esportazione di foto e note in un formato supportato. Alla cessazione del servizio o su richiesta adeguatamente documentata consente all’utente l’esportazione o la restituzione dei contenuti di famiglia e li cancella, salvo che la legge ne richieda l’ulteriore conservazione.

La cancellazione dell’account di un singolo membro non comporta automaticamente la cancellazione dei contenuti comuni della famiglia. Tale istruzione è valutata in base ai ruoli e ai diritti dei membri competenti e ai diritti degli interessati coinvolti.

I dati vengono cancellati dal sistema attivo al più tardi entro 30 giorni dalla conferma della relativa richiesta o dalla cessazione del trattamento. Le copie residue vengono cancellate o escluse dall’uso ordinario con la rotazione delle copie di sicurezza, di norma entro ulteriori 30 giorni. Fino alla cancellazione non sono utilizzate per altre finalità e restano protette.

17. Dimostrazione della conformità e audit

DATAFLOW fornisce all’utente le informazioni ragionevolmente necessarie per dimostrare il rispetto dell’articolo 28 del GDPR, di norma mediante la descrizione delle misure di sicurezza, l’elenco dei sub-responsabili, le politiche pertinenti, certificazioni, sintesi di verifiche o risposte a domande scritte.

Se ciò non è sufficiente, l’utente o un revisore indipendente incaricato può effettuare un audit al massimo una volta all’anno; più spesso in caso di violazione, di fondato sospetto di una rilevante non conformità o su richiesta dell’autorità di controllo. L’audit deve essere preannunciato con ragionevole anticipo, svolto durante l’orario di lavoro e non deve compromettere la sicurezza, la riservatezza degli altri utenti o i segreti commerciali. Il revisore deve essere vincolato alla riservatezza. L’utente sostiene i propri costi, salvo che venga accertata una violazione rilevante del DPA da parte di DATAFLOW.

18. Richieste delle autorità pubbliche

Se DATAFLOW riceve una richiesta giuridicamente vincolante di un’autorità, ne verifica la validità e comunica solo i dati nella misura richiesta. Ne informa l’utente in anticipo, se la legge lo consente, oppure successivamente, quando il divieto cessa e la comunicazione è consentita.

19. Responsabilità

Ciascuna parte risponde dei propri obblighi e comportamenti in conformità al GDPR, all’altra normativa vigente, alle Condizioni d’uso e al presente DPA. Nessuna disposizione limita i diritti degli interessati, i poteri delle autorità di controllo o la responsabilità che per legge non può essere limitata.

20. Modifiche del DPA

DATAFLOW può modificare il DPA a seguito di modifiche del servizio, dei sub-responsabili, delle misure di sicurezza o della normativa. Informa l’utente delle modifiche sostanziali con un congruo anticipo rispetto alla loro entrata in vigore. Se l’utente non accetta una modifica sostanziale, prima della sua entrata in vigore può cessare di utilizzare il servizio e chiedere l’esportazione e la cancellazione dei dati.

21. Disposizioni finali

Il DPA è valido per tutto il tempo in cui DATAFLOW tratta contenuti di famiglia per conto dell’utente. Per le questioni non disciplinate si applicano le Condizioni d’uso, l’Informativa sulla privacy, il GDPR e il diritto della Repubblica di Slovenia. Il presente testo è una traduzione della versione slovena; in caso di discrepanze prevale la versione slovena.

Contatto per domande sul trattamento dei dati personali: info@mojadruzina.si.