Accordo sul trattamento dei dati personali
Art. 28 del Regolamento (UE) 2016/679 (GDPR) · Versione 2026-09-27 · Cliente: l'organizzazione cliente
1. Le parti
Titolare del trattamento: il Cliente, l'organizzazione cliente.
Responsabile del trattamento: AG Eventi di Gili Alex (Pixel Air), Via Monfalcone 49, 13100 Vercelli (VC), Italia · P.IVA 02784630028 · PEC legalmail@pec.ag-eventi.it · info@pixelair.it.
Questo accordo fa parte delle Condizioni del servizio Centro operativo e ne segue la durata.
2. Oggetto, natura e finalità
Il Responsabile ospita e fa funzionare il Centro operativo per conto del Titolare: conserva i dati, li rende disponibili alle persone autorizzate dal Titolare, trasmette la diretta video, tiene il registro delle operazioni e produce il fascicolo su richiesta del Titolare. Non usa i dati per scopi propri.
3. Dati e interessati
| Categorie di interessati | Dati |
|---|---|
| Persone del Titolare con un account (piloti, osservatori, amministratori) | Nome, ruolo, impronta della parola d'ordine (mai la parola), data di creazione e modifica, accettazione di informativa e regole; accessi con indirizzo IP e ora; azioni nel registro con ora, aeromobile e posizione. |
| Persone che compaiono nelle riprese | Immagini e video trasmessi in diretta o caricati dal radiocomando, con posizione e ora di scatto. |
| Altri | Eventuali dati presenti in note, disegni, allegati e nomi di rotte inseriti dal Titolare. |
Non sono previsti dati particolari (art. 9 GDPR). Se il Titolare ne tratta, per esempio nelle riprese, ne resta responsabile e ne informa il Responsabile.
4. Obblighi del Responsabile
- Tratta i dati solo su istruzione documentata del Titolare: queste condizioni, le impostazioni del servizio e le richieste scritte dell'amministratore del Titolare.
- Garantisce che chi tratta i dati per suo conto sia vincolato alla riservatezza.
- Adotta le misure di sicurezza del punto 5.
- Assiste il Titolare nel rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione), per quanto possibile con gli strumenti del servizio (gestione degli account, esportazione del fascicolo).
- Assiste il Titolare negli obblighi degli articoli da 32 a 36 GDPR, tenuto conto delle informazioni disponibili.
- Notifica al Titolare senza ingiustificato ritardo, e comunque entro 48 ore dalla scoperta, ogni violazione dei dati personali, con le informazioni disponibili.
- Mette a disposizione le informazioni necessarie a dimostrare il rispetto di questo accordo e consente verifiche, anche tramite un revisore incaricato dal Titolare, con preavviso ragionevole.
5. Misure di sicurezza
- Server nell'Unione europea (regione EU West, Amsterdam, Paesi Bassi); connessioni cifrate (HTTPS/TLS).
- Un'installazione separata per ogni cliente: i dati di un cliente non stanno nel servizio di un altro.
- Account personali con ruoli (osservatore, pilota, amministratore); parole d'ordine conservate solo come impronta (scrypt) con sale personale; limite ai tentativi d'accesso; credenziali personali anche per il canale che parla con il radiocomando.
- Registro delle operazioni protetto da una catena di impronte SHA-256, firmato ogni giorno con chiave Ed25519 e con l'impronta depositata presso il Responsabile, fuori dall'installazione del cliente.
- Accesso amministrativo ai server riservato al Responsabile.
- Minimizzazione: non si registrano i singoli comandi degli stick; foto e video non entrano nel fascicolo, se ne consegna l'elenco.
6. Sub-responsabili
Il Titolare autorizza in via generale i seguenti sub-responsabili. Il Responsabile informa il Titolare di ogni aggiunta o sostituzione con almeno 15 giorni di anticipo; il Titolare può opporsi per motivi legati alla protezione dei dati e, se non si trova una soluzione, recedere.
| Sub-responsabile | Attività | Dove |
|---|---|---|
| Railway Corporation (Stati Uniti) | Ospitalità dei server del Centro e del servizio Pixel Air | Regione EU West, Amsterdam (Paesi Bassi) |
| Agora Lab, Inc., 2804 Mission College Blvd, Suite 110, Santa Clara, CA 95054 (Stati Uniti) | Trasmissione della diretta video dal drone agli schermi del Centro | Rete globale di Agora |
Il Responsabile impone ai sub-responsabili obblighi di protezione dei dati non inferiori a quelli di questo accordo.
7. Trasferimenti fuori dall'Unione europea
I server del Centro sono nell'Unione europea. I sub-responsabili hanno sede negli Stati Uniti. L'eventuale trasferimento si basa sulla decisione di adeguatezza della Commissione europea sul Data Privacy Framework UE-USA (decisione di esecuzione (UE) 2023/1795 del 10 luglio 2023), a cui i sub-responsabili dichiarano di aderire, o, dove necessario, su clausole contrattuali tipo.
8. Fine del trattamento
Alla cessazione del servizio il Titolare ha trenta giorni per esportare il fascicolo e i propri dati. Poi il Responsabile cancella i dati, salvo gli obblighi di conservazione previsti dalla legge, e ne dà conferma scritta su richiesta. Restano presso il Responsabile solo le impronte giornaliere del registro, che non contengono dati personali, come prova dell'integrità dei fascicoli già consegnati.
9. Richieste delle autorità
Se un'autorità chiede al Responsabile dati del Titolare, il Responsabile lo informa, salvo divieto di legge o dell'autorità, e consegna solo quanto richiesto e dovuto.
AG Eventi di Gili Alex · Pixel Air · P.IVA 02784630028 · info@pixelair.it