Accordo sul trattamento dei dati (DPA)

1. Oggetto e durata

Il presente DPA copre il trattamento dei dati personali da parte del Responsabile del trattamento nell'ambito della fornitura del servizio di hosting Matrix gestito. La durata del trattamento corrisponde alla durata del contratto.

2. Natura e scopo del trattamento

Il Responsabile del trattamento tratta i seguenti dati per conto del Titolare:

• Archiviazione e inoltro di messaggi (crittografati)
• Gestione degli account utente e delle appartenenze alle stanze
• Archiviazione di file multimediali (crittografati nelle stanze E2EE)
• Elaborazione dei metadati di connessione per la consegna dei messaggi

3. Categorie di interessati

• Dipendenti e membri del Titolare
• Partner di comunicazione esterni (tramite federazione)

4. Categorie di dati personali

• Dati dell'account (nome, email, foto del profilo)
• Contenuti della comunicazione (nelle stanze E2EE: solo testo crittografato)
• Metadati (timestamp, appartenenza alle stanze, informazioni sul dispositivo)
• File multimediali (immagini, documenti — crittografati nelle stanze E2EE)

5. Misure tecniche e organizzative

• Crittografia end-to-end (Olm/Megolm) — contenuti illeggibili dal Responsabile
• Crittografia del database e dei media storage a riposo
• TLS 1.3 per tutte le connessioni (in transito)
• Backup crittografati giornalieri/orari (a seconda del piano)
• Controllo accessi: solo chiavi SSH, nessun login con password sui server
• Hosting esclusivamente in Germania (Norimberga/Falkenstein)
• Aggiornamenti di sicurezza e monitoraggio regolari

6. Sub-responsabili

Si utilizzano i seguenti sub-responsabili:

• Provider di hosting server (Germania)
• Revolut Payments UAB (elaborazione pagamenti, Lituania/UE)

7. Obblighi del Responsabile

• Trattamento solo su istruzioni documentate del Titolare
• Obblighi di riservatezza per tutti i dipendenti
• Supporto con i diritti degli interessati e le valutazioni d'impatto sulla protezione dei dati
• Cancellazione di tutti i dati dopo la risoluzione del contratto (entro 30 giorni)
• Notifica delle violazioni dei dati entro 24 ore