Scelta software
Subfornitori e sub responsabili del software condominio
Un gestionale condominiale raramente lavora da solo. Dietro la piattaforma ci sono spesso altri fornitori: chi ospita l'infrastruttura, chi invia le email, chi gestisce le notifiche, chi fornisce l'assistenza. Ognuno di questi soggetti può trattare dati personali del condominio e, nel linguaggio del GDPR, diventa un sub responsabile. Prima di scegliere il software conviene chiedere l'elenco di questi soggetti, perché la catena di fornitura è parte integrante della sicurezza dei dati. Un fornitore trasparente lo fornisce senza difficoltà. Questa guida spiega cosa chiedere e come leggere la risposta.
Cosa verificare sulla catena di fornitura
- Esiste un elenco aggiornato dei sub responsabili?
- Per ciascuno è indicata l'attività svolta e la localizzazione?
- Il fornitore comunica in anticipo l'ingresso di nuovi sub responsabili?
- I sub responsabili sono vincolati agli stessi obblighi del fornitore?
- Il titolare può opporsi a un nuovo sub responsabile?
Perché la catena di fornitura è importante
I dati del condominio non restano necessariamente presso un solo soggetto. L'infrastruttura può essere di un provider cloud, l'invio delle comunicazioni di un servizio di posta, l'assistenza di una società esterna. Ognuno di questi anelli è un punto in cui i dati vengono trattati e potenzialmente esposti. Conoscere la catena significa capire quanti soggetti effettivamente vedono le informazioni del condominio.
L'articolo 28 del GDPR stabilisce che il responsabile del trattamento non può ricorrere a un altro responsabile senza l'autorizzazione del titolare e deve imporgli, per contratto, gli stessi obblighi di protezione. In pratica il fornitore risponde della propria catena. L'amministratore ha quindi il diritto di sapere chi c'è dietro e su quali basi opera.
Cosa aspettarsi come risposta
Un fornitore maturo tiene un elenco dei sub responsabili aggiornato e consultabile, spesso pubblicato o allegato all'accordo sul trattamento. Per ogni soggetto indica l'attività svolta, ad esempio hosting o invio email, e la localizzazione. Questa trasparenza consente all'amministratore di ricostruire il percorso dei dati e di valutarne i rischi.
La risposta debole è quella di chi non sa dire chi tratta i dati oltre a sé stesso o considera l'informazione riservata. Se il fornitore non riesce a nominare i propri sub responsabili, difficilmente ha imposto loro obblighi contrattuali adeguati. È un segnale che la governance della sicurezza si ferma alla superficie.
- Elenco pubblico o allegato, con attività e Paese per ciascun sub responsabile.
- Impegno a comunicare in anticipo l'aggiunta o la sostituzione di un sub responsabile.
- Diritto del titolare di opporsi a un nuovo sub responsabile con motivazioni fondate.
- Vincolo contrattuale che estende ai sub responsabili gli stessi obblighi di protezione.
Le domande da porre in fase di scelta
Chiedi anzitutto l'elenco completo e aggiornato. Poi verifica come vengono gestiti i cambiamenti: un fornitore corretto avvisa il titolare prima di introdurre un nuovo sub responsabile, lasciando un margine per obiettare. Domanda anche se i sub responsabili si trovano in Unione europea o altrove, perché una localizzazione extra UE fa scattare ulteriori garanzie.
Infine, indaga sulla vigilanza. Il fornitore dovrebbe dichiarare come controlla i propri sub responsabili e come si assicura che rispettino le misure di sicurezza. Non serve un audit dettagliato di ogni soggetto, ma un fornitore che non esercita alcun controllo sulla propria catena scarica il rischio a valle, cioè sull'amministratore.
Tenere sotto controllo i cambiamenti nel tempo
La catena di fornitura non è statica. Nel tempo un fornitore può cambiare provider di infrastruttura o aggiungere nuovi servizi. Per questo è importante che l'elenco sia mantenuto aggiornato e che gli aggiornamenti vengano comunicati. Conserva la versione ricevuta insieme all'accordo sul trattamento, così da avere un riferimento in caso di verifica.
AmministraPro rende disponibile agli amministratori l'elenco dei sub responsabili con le relative attività e ne comunica gli aggiornamenti. Puoi approfondire l'impianto di gestione dei dati sulla pagina /funzioni e confrontare i piani su /prezzi prima di scegliere.
Domande frequenti
Cos'è un sub responsabile del trattamento?
È un fornitore a cui il responsabile del trattamento, cioè la società del software, affida una parte del trattamento dei dati. Esempi tipici sono il provider di infrastruttura cloud o il servizio di invio email. Secondo l'articolo 28 del GDPR il sub responsabile deve essere vincolato agli stessi obblighi di protezione.
Ho diritto di conoscere i sub responsabili del mio gestionale?
Sì. Poiché il condominio è titolare del trattamento, l'amministratore ha diritto di sapere chi tratta i dati lungo la catena di fornitura. Il fornitore dovrebbe mettere a disposizione un elenco aggiornato dei sub responsabili con l'indicazione dell'attività svolta e della localizzazione.
Posso oppormi all'ingresso di un nuovo sub responsabile?
Dipende da come è formulato l'accordo. Molti contratti prevedono che il fornitore comunichi in anticipo l'aggiunta di un sub responsabile e che il titolare possa opporsi con motivazioni fondate. Verifica questa clausola prima di firmare, perché tutela la tua capacità di controllo sui dati.
Perché conta dove si trovano i sub responsabili?
Perché se un sub responsabile ha sede fuori dallo Spazio economico europeo, il trasferimento dei dati richiede garanzie aggiuntive come le clausole contrattuali tipo. Conoscere la localizzazione consente all'amministratore di sapere quali obblighi ricadono sul condominio e di valutare i rischi.
Prova AmministraPro
Contabilità, ripartizioni millesimali, assemblee, comunicazioni e intelligenza artificiale in un unico software italiano, conforme a UNI 10801 e GDPR.