Source: https://wikitswellness.teamsystem.com/mediawiki/index.php/Documentazione_gdpr
Timestamp: 2019-09-22 21:01:59+00:00
Document Index: 56563104

Matched Legal Cases: ['art. 32', 'art. 32', 'art. 24', 'art. 21', 'art. 17', 'art. 17']

Documentazione gdpr - TSWiki
1 A chi si applica il nuovo Regolamento Europeo per la privacy?
2 Cosa cambia con l’introduzione del GDPR: le principali novità?
3 Sanzioni in caso di violazioni
4 GDPR: i punti base
5 Privacy by disign e by default
6 Gli "attori" in campo
7 Come TeamSystem lavora con te
8 Non è solo una questione di software
9 Gestione accurata account operatore
10 Sicurezza password operatori
11 Norme operatori
12 Campi criptati
13 Trattamento a fine di Marketing
14 Diritto all'oblio
15 Diritto ad avere i propri dati
16 Attenzione alle comunicazioni
17 Visibilità di un'anagrafica
18 Controllo minorenni
19 Criteri visibilità certificati di idoneità
20 Attenzione agli export
21 Log di sistema
22 Modulistica d'adesione ai trattamenti in fase d'iscrizione online
A chi si applica il nuovo Regolamento Europeo per la privacy?
Il GDPR si applica a qualsiasi azienda o organizzazione che, durante lo svolgimento della propria attività, tratti dati personali.
Non stiamo parlando esclusivamente di grandi aziende: il Regolamento si applica sia alle grandi società, sia alle piccole e medie imprese a prescindere dalle dimensioni.
È applicabile anche alle strutture sportive? Certamente.
Anche le strutture sportive sono aziende che raccolgono dati personali sui propri clienti.
Cosa cambia con l’introduzione del GDPR: le principali novità?
Il 24 maggio 2016 è entrato in vigore il Nuovo Regolamento Europeo (o General Data Protection Regulation, GDPR), applicato in tutti i Paesi UE dal 25 maggio 2018.
Le principali novità del GDPR sono:
il consenso e l’informativa sulla privacy
il Responsabile della Protezione dei Dati e il Registro dei Trattamenti
diritto di accesso ai dati, diritto all’oblio e diritto alla portabilità
l’accountability ovvero la "responsabilizzazione"
La mancata compliance ai requisiti del Regolamento può comportare sanzioni pecuniarie fino a 20 mln EUR o fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.
Link al sito del Garante per la protezione dei dati personali: http://www.garanteprivacy.it
GDPR: i punti base
Il GDPR si applica al trattamento di dati personali:
per trattamento si intende qualsiasi operazione o insieme di operazioni come ad esempio la raccolta, la registrazione, la conservazione, la modifica, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, la cancellazione, ecc.;
per dati personali si intende qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato”); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale.
Il dati personali devono essere:
conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati (tranne nel caso in cui siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici)
trattati in maniera da garantire un’adeguata sicurezza dei dati personali e da non precludere all’interessato di esercitare i propri diritti
Privacy by disign e by default
Il GDPR introduce i concetti di:
privacy by default: significa che la tutela della protezione del dato deve essere l’impostazione predefinita e che occorre forzare il sistema per trattare i dati in maniera difforme rispetto al GDPR
privacy by design: significa protezione dei dati fin dalla fase di progettazione; significa impostare misure tecniche, procedure ed organizzazioni tali che permettono di rispettare il GDPR
Gli "attori" in campo
interessato: è la persona fisica a cui il dato personale si riferisce (es. il cliente del centro)
titolare del trattamento: è la a persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali (es. il centro)
responsabile del trattamento: è la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento (es. il fornitore del software gestionale del centro)
Come TeamSystem lavora con te
in conformità del nuovo GDPR, tutti i processi di gestione degli operatori di TeamSystem sono stati aggiornati in modo da poterti garantire i massimi standard di sicurezza nel trattamento dei tuoi dati
tutte le soluzioni TeamSystem sono state aggiornate con le funzionalità necessarie per aiutarti ad ottemperare correttamente al nuovo regolamento
il servizio di assistenza opera con nuove procedure finalizzate alla sicurezza nel trattamento dei dati
l’invio o la comunicazione a TeamSystem di dati personali a scopo di debug o assistenza è da eseguire solo in casi strettamente necessari e su esplicita indicazione dei ns. operatori
alcune procedure potrebbero necessitare di un maggiore impegno al fine di garantire i massimi livelli di sicurezza, faremo del nostro meglio per fornirvi il migliore servizio con il minor disagio possibile e chiediamo la vostra collaborazione nel rispetto delle nuove procedure
Non è solo una questione di software
Il GDPR non riguarda solo il software, ma coinvolge tutti i processi aziendali e tutti i dipendenti.
Si tratta di un atteggiamento consapevole e responsabile di tutto lo staff e in ogni singola operazione.
In particolare alcuni comportamenti che hai adottato finora nella tua gestione sono da modificare o persino vietati.
Esempio di operazioni da gestire con più attenzione:
stampa cartacea di report di dati personali
acquisizione dei consensi o di contratti cartacei (consigliata Firma grafometrica su app staff)
esportazione dati su file (e relativo invio o copia)
fornitori terze parti con cui si trattano i dati (es. invio email o sms, sistemi di allenamento, ecc.)
Esempio di operazioni "vietate":
contattare per fini commerciali i clienti e gli ex clienti che non hanno prestato esplicito consenso
raccogliere i referral dai propri clienti e contattarli per promozioni
conservare i dati dei clienti scaduti che non hanno rilasciato esplicito consenso
Gestione accurata account operatore
Sulla base del contenuto dell’art. 32 del GDPR (“Sicurezza del trattamento”), l’accesso ai dati personali presenti nei sistemi deve essere consentito unicamente per il tramite di una procedura di autenticazione e credenziali che consentano l’identificazione univoca del soggetto e la puntuale attribuzione delle attività svolte.
Soluzione FlipTonic
Utilizzare account diversi per utenti diversi, sconsigliamo quindi l'uso di account tipo "amministrazione", "desk", "segreteria", "palestra".
Su FlipTonic gli account operatore dal 25 Maggio in poi potranno essere creati solo impostando come USERNAME una mail, e ti invitiamo a creare un operatore per ogni collaboratore che ha accesso al sistema.
Sicurezza password operatori
Al fine di assicurare la riservatezza e l’integrità dei sistemi e dei servizi di trattamento (art. 32, lett. b) GDPR), ciascun utente deve autenticarsi attraverso l’utilizzo di credenziali di accesso che rispettino adeguati parametri di sicurezza.
Nelle nuove impostazioni di sicurezza sarà possibile impostare un livello minimo di sicurezza della password consentito e una durata massima della password scaduta la quale la password dovrà essere cambiata.
Norme operatori
L’art. 24 del GDPR richiede che il titolare del trattamento metta in atto misure adeguate per garantire, ed essere in grado di dimostrare, che il trattamento dei dati è effettuato in maniera conforme al GDPR.
E’ fondamentale pertanto che tutto lo staff sia consapevole delle nuove regole riguardanti il trattamento dei dati personali e che di questo il titolare del trattamento ne conservi prova.
Nelle nuove impostazioni di sicurezza sarà possibile caricare un documento da mostrare e far accettare ai collaboratori al primo accesso alla piattaforma senza il quale non potranno operare.
E' il posto giusto dove inserire il regolamento aziendale e le norme sul trattamento dei dati.
Fliptonic utilizza banche dati che rispondono ai più alti standard di sicurezza. Per determinate tipologie di dato, come le password dei clienti o informazioni atte a identificare inclinazioni sessuali, politiche, di razza o religione e tutti gli altri generi di dati la cui diffusione indesiderata risulterebbe rischiosa, Fliptonic utilizza procedure di crittografia ulteriori rendendo questi campi assolutamente illeggibili da qualsiasi operatore che non abbia la reale necessità di accedervi.
Nemmeno gli amministratori dei nostri server potranno mai vedere questi dati.
Deciderete voi che campi creare con queste caratteristiche e chi tra i vostri operatori sarà autorizzato a vedere ognuno di questi campi.
Trattamento a fine di Marketing
L’art. 21 del GDPR precisa che qualora i dati personali siano trattati per finalità di marketing diretto, l’interessato ha il diritto di opporsi in qualsiasi momento al trattamento dei dati personali che lo riguardano effettuato per tali finalità.
Fliptonic mette a disposizione nella scheda utente una gestione completa del trattamento dati a scopo di marketing, con la data entro la quale si è autorizzati a comunicare con l'utente e un flag per gestire l'eventuale richiesta di non essere più contattato con questa finalità.
Tutte le operazioni a fine di marketing manuali o automatiche verificheranno che i destinatari delle comunicazioni rientrino tra quelli che vi hanno autorizzato a contattarli.
In base all’art. 17 del GDPR l’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali (cd. diritto all’oblio).
Fliptonic mette a disposizione nella scheda utente la possibilità di eliminare definitivamente un utente.
E' inoltre presente la possibilità di Anonimizzare l'interessato in modo da eliminare qualsiasi riferimento che possa identificare l'utente, ma che comunque l'anagrafica in questione sia utilizzabile nelle analisi a fini statistici in forma anonima.
Queste procedure di anonimizzazione sono anche possibili in forma massiva dall'analisi utenti.
Diritto ad avere i propri dati
In base all’art. 17 del GDPR l’interessato ha il diritto di ottenere dal titolare del trattamento tutti i propri dati in un formato standard.
Fliptonic mette a disposizione nella scheda utente la possibilità di estrarre tutti i dati del cliente.
Viene generata una cartella compressa con tutti i documenti dell'interessato e un file in formato JSON contenente tutte le informazioni anagrafiche e tutta la storia delle attività raccolte dal sistema durante l'erogazione del servizio al cliente.
Non è più possibile inviare comunicazioni agli utenti che non abbiano aderito consapevolmente.
FlipTonic consente oggi di indicare la finalità di ogni singola comunicazione dividendole in MARKETING, SERVIZIO, AMMINISTRATIVE.
Ognuna di queste comunicazioni potrà essere recapitata solo a quegli utenti che avranno aderito a quello specifico trattamento dei dati.
Questo coinvolge sia le comunicazioni dirette manuali che quelle automatiche.
Visibilità di un'anagrafica
Se non si ha alcuna adesione aggiornata di un cliente, non abbiamo diritti nel trattare i suoi dati e quelle informazioni devono essere cancellate dagli archivi.
Se un utente non ha alcuna adesione valida, FlipTonic avviserà l'operatore che sta entrando in una scheda senza gli opportuni permessi.
Sarà possibile quindi cancellare l'utente, anonimizzare la scheda levando ogni riferimento di riconoscimento ma mantenendo i dati a scopo statistico o entrare comunque magari per aggiornare l'adesione che l'utente ci ha firmato al desk.
Nella normativa una attenzione particolare viene posta ai minori.
In fase di iscrizione viene verificato che il soggetto non sia un minore.
In caso contrario sarà obbligatorio anche inserire i dati di un tutore adulto di cui verrà verificato il codice fiscale per garantirne per quanto possibile la veridicità dell'età.
Criteri visibilità certificati di idoneità
Gli operatori non devono aver accesso a documenti che non siano indispensabili al fine di offrire il loro servizio.
Oltre ai vari campi criptati la cui visibilità è impostabile operatore per operatore, viene aggiunto ai criteri anche la possibilità di vedere o meno i certificati di idoneità.
Attenzione agli export
La normativa impone una gestione accurata anche di tutti i documenti al di fuori del gestionale.
Su qualsiasi esportazione dalle analisi, oggi FlipTonic aggiunge le 4 colonne relative al consenso al trattamento dei soggetti inclusi nel file.
Si avrà quindi una immediata percezione se stiamo trattando indebitamente dati di soggetti che non ci hanno dato il consenso.
FlipTonic introduce un sistema di log che ci consentirà di risalire alle operazioni principali effettuate dagli operatori sui dati degli utenti.
Il Log risiede in una struttura protetta esterna e non accessibile al centro per garantirne completa terzietà e sicurezza.
Modulistica d'adesione ai trattamenti in fase d'iscrizione online
La normativa prevede che l'utente debba esplicitamente aderire ai diversi trattamenti avendone piena consapevolezza.
Per quei centri che utilizzano MyFliptonic e consentono l'iscrizione del cliente direttamente dal portale web, sarà oggi possibile inserire una successione di documenti diversi ognuno con lo scopo di ottenere una specifica adesione per uno specifico trattamento.
Ogni accettazione (che il cliente farà attraverso una casella di consenso sotto ogni documento), verrà tracciata e registrata nella scheda anagrafica dell'utente.
Questa procedura guidata è stata creata esclusivamente per offrire all’utente un supporto per la configurazione dei nuovi parametri del software come precisato in premessa.
Il contenuto qui riprodotto non rappresenta pertanto una trattazione esaustiva sull’argomento e non può altresì essere in alcun modo diffuso, riprodotto o citato.
E’ responsabilità esclusiva del Titolare del Trattamento assicurare che il trattamento sia condotto concretamente nel rispetto di quanto previsto dalla legislazione in materia di protezione dei dati personali.
Estratto da "https://wikitswellness.teamsystem.com/mediawiki/index.php?title=Documentazione_gdpr&oldid=16984"