Accordo sul trattamento dei dati (DPA)

Versione 1.0 — 8 luglio 2026 · ai sensi dell'art. 28 GDPR

Questo accordo disciplina il trattamento, da parte di Idento, delle immagini delle persone fotografate dallo Studio. Integra i Termini di servizio e l'Informativa sulla privacy. Si intende sottoscritto tra le Parti al momento dell'accettazione dei Termini in fase di attivazione della licenza.

1. Le Parti e i ruoli

• Titolare del trattamento: lo Studio fotografico che utilizza Idento e decide finalità e mezzi del trattamento delle foto dei propri clienti.
• Responsabile del trattamento: Gian Marco Elti di Rodeano — ditta individuale, P.IVA 07626701002, sede legale Loc. Piana Sant'Angelo, 66050 San Salvo (CH), Italia (di seguito "Idento"), che tratta le foto esclusivamente per conto dello Studio.

2. Oggetto, durata, natura e finalità

Oggetto	Miglioramento tramite AI delle immagini fornite dallo Studio e, se lo Studio usa la consegna via QR, archiviazione temporanea della foto per il solo download del cliente. Nota: l'inquadratura e le misure avvengono in locale sul PC dello Studio e non comportano trattamento da parte di Idento.
Durata	Per la durata della licenza; ogni immagine è trattata solo per il tempo tecnico necessario (vedi §7).
Natura	Operazioni automatizzate di elaborazione immagine per la sola durata della richiesta AI.
Finalità	Produrre la fototessera migliorata richiesta dallo Studio.
Tipi di dati	Immagini del volto (dati comuni, art. 6 GDPR — Idento effettua rilevamento del volto, non riconoscimento biometrico).
Categorie di interessati	Le persone fotografate dallo Studio, inclusi eventuali minori.

3. Istruzioni del Titolare

Idento tratta i dati solo su istruzioni documentate dello Studio. L'uso del software secondo la sua documentazione costituisce istruzione documentata. Idento informa lo Studio se, a suo parere, un'istruzione viola il GDPR o altre norme sulla protezione dei dati.

4. Riservatezza

Idento garantisce che le persone autorizzate al trattamento sono vincolate a un adeguato obbligo di riservatezza.

5. Sicurezza (art. 32 GDPR)

• Trasmissione delle immagini cifrata (TLS).
• Le immagini elaborate restano sul computer dello Studio; verso i server Idento transitano solo quando lo Studio usa una funzione AI (per la sola elaborazione) o la consegna via QR.
• L'elaborazione lato server gira su Cloudflare con restrizione giurisdizionale sull'Unione Europea; le immagini non sono conservate oltre il tempo tecnico necessario.
• Per la consegna via QR: la foto è caricata su Cloudflare R2 (UE) sotto un percorso dedicato, con link valido pochi minuti (sportello) o poche ore, e cancellata automaticamente (link scaduto + pulizia periodica). I loghi dello Studio restano fuori da questo percorso e non sono soggetti a cancellazione.
• Controlli di accesso.
• Le immagini non vengono mai usate per addestrare modelli di intelligenza artificiale.

6. Sub-responsabili

Lo Studio autorizza Idento ad avvalersi dei sub-responsabili elencati di seguito. Idento impone loro obblighi di protezione dati equivalenti a quelli del presente accordo e resta responsabile del loro operato. Idento comunica in anticipo eventuali modifiche, dando allo Studio la possibilità di opporsi.

Sub-responsabile	Attività	Sede
Cloudflare, Inc.	Hosting, rete, archiviazione temporanea immagini (R2, UE)	USA / UE
Fornitori di elaborazione immagini AI	Miglioramento immagine (solo se lo Studio usa una funzione AI)	UE / extra-UE

L'elenco nominativo aggiornato dei fornitori AI è disponibile su richiesta a info@idento.it.

7. Cancellazione e restituzione

Al termine del trattamento le immagini sono cancellate secondo le regole di §5. Idento non conserva copie delle immagini oltre il tempo tecnico necessario. Su richiesta, Idento conferma per iscritto l'avvenuta cancellazione.

8. Assistenza al Titolare

Tenuto conto della natura del trattamento, Idento assiste lo Studio, con misure adeguate, nell'adempimento degli obblighi di risposta alle richieste degli interessati (artt. 15–22 GDPR) e degli obblighi di sicurezza, notifica delle violazioni e valutazione d'impatto (artt. 32–36 GDPR). Poiché le immagini sono cancellate in tempi brevi, gran parte delle richieste va gestita dallo Studio, unico detentore stabile delle foto.

9. Violazioni dei dati

Idento informa lo Studio senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione dei dati personali che riguardi le immagini trattate per suo conto, fornendo le informazioni utili agli adempimenti dello Studio verso il Garante e gli interessati.

10. Trasferimenti extra-UE

Ove un sub-responsabile tratti dati fuori dallo Spazio Economico Europeo, il trasferimento avviene sulla base delle Clausole Contrattuali Standard della Commissione Europea o di altra garanzia adeguata (artt. 44 e ss. GDPR). Idento segnala che Cloudflare è società statunitense: pur con archiviazione in UE non è escludibile del tutto un accesso ai sensi del CLOUD Act; il rischio è mitigato dalla brevità del trattamento: la foto transita solo per l'elaborazione AI o per la consegna via QR e viene cancellata in tempi molto brevi.

11. Audit

Idento mette a disposizione dello Studio le informazioni necessarie a dimostrare il rispetto dell'art. 28 GDPR e consente, con ragionevole preavviso e nel rispetto della riservatezza, verifiche condotte dallo Studio o da un incaricato.

12. Minori

La raccolta del consenso del genitore o di chi esercita la responsabilità genitoriale, per le foto di minori, è a carico dello Studio in qualità di Titolare. Idento tratta tali immagini con le stesse cautele di §5.

13. Prevalenza e legge applicabile

In caso di conflitto tra il presente accordo e i Termini di servizio sul trattamento dei dati per conto dello Studio, prevale il presente accordo. Si applica la legge italiana; per le controversie B2B è competente il foro di Vasto (CH).

Il presente accordo è redatto in italiano; eventuali traduzioni sono fornite a titolo di cortesia: in caso di discrepanza prevale la versione italiana per gli Studi stabiliti nell'Unione Europea e la versione inglese per quelli stabiliti fuori dall'Unione Europea.