Scelta software
DPA del software condominio: cosa deve contenere l'accordo
Affidando i dati del condominio a un software, l'amministratore instaura un rapporto disciplinato dall'articolo 28 del GDPR: chi fornisce e gestisce la piattaforma tratta dati personali per conto del titolare e diventa responsabile del trattamento. Questo rapporto va formalizzato con un accordo scritto, spesso chiamato DPA o accordo di nomina a responsabile. Prima di firmare un contratto conviene verificare che il fornitore lo metta a disposizione e che contenga tutti gli elementi richiesti. Un DPA assente o generico è un rischio concreto per l'amministratore, che resta responsabile verso i condomini.
Elementi che l'accordo deve prevedere
- Oggetto, durata, natura e finalità del trattamento
- Tipi di dati e categorie di interessati coinvolti
- Obbligo di trattare i dati solo su istruzione del titolare
- Impegno alla riservatezza di chi accede ai dati
- Misure di sicurezza tecniche e organizzative adottate
- Condizioni per il ricorso a sub responsabili
- Assistenza al titolare per richieste degli interessati e violazioni
- Cancellazione o restituzione dei dati alla fine del rapporto
- Disponibilità a fornire prove del rispetto degli obblighi
Chi è titolare e chi è responsabile
Nel condominio il titolare del trattamento è tipicamente il condominio stesso, mentre l'amministratore agisce nell'esercizio del mandato. Il fornitore del software, che ospita e gestisce i dati, è responsabile del trattamento perché opera per conto del titolare. Chiarire questi ruoli non è formalismo: definisce chi risponde di cosa e quali istruzioni il fornitore deve seguire.
L'articolo 28 richiede che il rapporto tra titolare e responsabile sia regolato da un contratto o da altro atto giuridico. Non è quindi facoltativo. Se un fornitore propone un abbonamento senza alcun documento sul trattamento dei dati, l'amministratore firma scoperto e si assume un rischio che avrebbe potuto evitare.
Le clausole irrinunciabili
Un accordo completo descrive con precisione cosa il fornitore può e non può fare con i dati. Deve vincolare il responsabile a trattare i dati solo su documentata istruzione del titolare, a garantire la riservatezza del personale autorizzato e ad adottare misure di sicurezza adeguate. Deve inoltre disciplinare i sub responsabili, ossia gli eventuali fornitori a cui la piattaforma si appoggia.
Altrettanto importante è l'assistenza al titolare. Il fornitore deve aiutare l'amministratore a rispondere alle richieste dei condomini, ad esempio accesso o cancellazione, e a gestire una eventuale violazione dei dati. Infine deve prevedere cosa accade ai dati alla cessazione: restituzione o cancellazione, secondo la scelta del titolare.
- Trattamento solo su istruzione del titolare, mai per finalità proprie del fornitore.
- Notifica tempestiva al titolare in caso di violazione dei dati.
- Restituzione o cancellazione dei dati alla fine del contratto, con conferma scritta.
- Diritto del titolare di ottenere informazioni e, ove previsto, verifiche sul rispetto degli obblighi.
Cosa aspettarsi come risposta dal fornitore
Un fornitore serio fornisce il DPA senza esitazioni, spesso già pronto in allegato al contratto, e accetta di discuterne i contenuti. La disponibilità immediata del documento è di per sé un buon segnale di maturità organizzativa. Al contrario, chi non sa cosa sia un accordo sul trattamento, o lo considera un cavillo, mostra una gestione della conformità approssimativa.
Leggi il testo con attenzione anche quando è preconfezionato. Verifica che l'elenco dei sub responsabili sia consultabile e aggiornato, che le misure di sicurezza siano descritte e non solo enunciate, e che i tempi di notifica delle violazioni siano definiti. Un accordo che rinvia tutto a documenti esterni non reperibili non offre garanzie effettive.
Dopo la firma: mantenere il presidio
Il DPA non è un adempimento da archiviare e dimenticare. L'elenco dei sub responsabili può cambiare, le misure di sicurezza evolvono e il fornitore dovrebbe comunicare gli aggiornamenti. Conserva l'accordo insieme al registro dei trattamenti del condominio, così da poterlo esibire in caso di controllo o di richiesta di un condomino.
AmministraPro mette a disposizione degli amministratori l'accordo di nomina a responsabile del trattamento e documenta le misure di sicurezza applicate. Puoi esaminare le funzioni dedicate alla privacy sulla pagina /funzioni e confrontare i piani su /prezzi.
Domande frequenti
Il DPA è davvero obbligatorio per un gestionale condominiale?
Sì. L'articolo 28 del GDPR impone che il rapporto tra titolare e responsabile del trattamento sia regolato da un contratto o altro atto giuridico. Poiché il fornitore del software tratta dati personali per conto del condominio, l'accordo è necessario. La sua assenza espone l'amministratore a responsabilità.
Chi è il titolare del trattamento nel condominio?
Di norma il titolare è il condominio, entità che raccoglie i dati per finalità di gestione, mentre l'amministratore agisce nell'esercizio del mandato ricevuto. Il fornitore del software è responsabile del trattamento. È utile che i ruoli siano chiariti anche nell'accordo con il fornitore.
Posso modificare le clausole proposte dal fornitore?
Molti fornitori usano un DPA standard, ma restano possibili integrazioni. È ragionevole chiedere chiarimenti sulle misure di sicurezza, sull'elenco dei sub responsabili e sui tempi di notifica delle violazioni. Un fornitore disponibile al confronto dà maggiori garanzie di uno che rifiuta ogni dialogo.
Cosa deve prevedere l'accordo per la fine del contratto?
Deve indicare che, al termine del rapporto, il fornitore restituisce o cancella i dati secondo la scelta del titolare, salvo obblighi di conservazione previsti dalla legge. È buona prassi ottenere una conferma scritta dell'avvenuta cancellazione e verificare che valga anche per le copie di backup.
Prova AmministraPro
Contabilità, ripartizioni millesimali, assemblee, comunicazioni e intelligenza artificiale in un unico software italiano, conforme a UNI 10801 e GDPR.