Accordo sul trattamento dei dati

Concluso ai sensi dell'art. 28, paragrafo 3, del regolamento (UE) 2016/679 (regolamento generale sulla protezione dei dati, «GDPR»).

1. Parti

1. Titolare del trattamento: l'organizzazione che utilizza Juryline per gestire programmi, come indicata nelle impostazioni della propria organizzazione in Juryline (l'«organizzatore»).
2. Responsabile del trattamento: Everlong s.r.o., Zámocká 8, 811 01 Bratislava, Slovacchia, codice identificativo dell'impresa 55 271 987, iscritta nel registro delle imprese del Tribunale municipale di Bratislava III, sezione Sro, inserto n. 167806/B, e-mail hello@juryline.com («noi»).
3. La persona che accetta il presente accordo per conto dell'organizzatore conferma di essere autorizzata ad agire per esso.

2. Oggetto e durata

1. Trattiamo dati personali per conto dell'organizzatore quando questi gestisce programmi in Juryline: raccolta e conservazione delle candidature, verifica dei requisiti, valutazione da parte dei membri della giuria, risultati, messaggi e finale dal vivo.
2. Finalità: gestione del bando e della procedura di selezione dell'organizzatore.
3. Natura del trattamento: raccolta tramite moduli, conservazione, visualizzazione alle persone autorizzate, assegnazione ai membri della giuria, calcolo delle classifiche, invio di e-mail, esportazioni, cancellazione e relative registrazioni di sicurezza.
4. Interessati: i candidati e le persone indicate nelle candidature (ad esempio i membri di un team), i membri della giuria, il personale dell'organizzatore e i membri del pubblico che votano durante una finale dal vivo.
5. Categorie di dati: dati di contatto; risposte ai campi definiti dall'organizzatore; file caricati (fino a 25 MB ciascuno); nomi dei membri del team; stato della candidatura, note, verifica dei requisiti e decisioni; nomi, indirizzi e-mail, enti di appartenenza, dichiarazioni di conflitto di interessi, punteggi e commenti dei membri della giuria; registri dei messaggi; per i voti del pubblico, hash con chiave di un identificativo del dispositivo e, facoltativamente, di un indirizzo e-mail.
6. Juryline non richiede categorie particolari di dati. Se l'organizzatore le richiede nel proprio modulo, risponde della sussistenza di una base giuridica.
7. Il presente accordo resta in vigore finché l'organizzatore utilizza Juryline.

3. Istruzioni

1. Trattiamo i dati personali soltanto su istruzione documentata dell'organizzatore, anche per quanto riguarda i trasferimenti verso paesi terzi, salvo che il diritto dell'UE o il diritto slovacco disponga diversamente.
2. Le istruzioni sono costituite dal presente accordo e dalle azioni dell'organizzatore in Juryline, come la pubblicazione di un bando, l'impostazione dei campi e della loro visibilità per i membri della giuria, l'invito dei membri della giuria, l'assegnazione delle candidature, l'invio di messaggi, l'esportazione, l'impostazione del periodo di conservazione e la cancellazione dei dati. Ulteriori istruzioni possono essere impartite via e-mail.
3. L'organizzatore ci dà istruzione di:
   • mostrare ai candidati il bando, l'informativa sulla privacy dell'organizzatore e il modulo,
   • inviare le conferme, i promemoria e le e-mail con i risultati che l'organizzatore attiva,
   • nascondere ai membri della giuria i campi che l'organizzatore contrassegna come nascosti,
   • cancellare un programma con tutte le sue candidature, i suoi file e i suoi punteggi trascorso il numero di mesi impostato (per impostazione predefinita 24) dalla pubblicazione dei risultati, oppure dalla chiusura del bando se i risultati non vengono mai pubblicati, dopo averne avvisato i proprietari un mese prima.
4. Informiamo l'organizzatore se riteniamo che un'istruzione violi la normativa sulla protezione dei dati.

4. I nostri obblighi

1. Tutte le persone di Everlong che hanno accesso ai dati personali sono vincolate da un obbligo di riservatezza. L'accesso è limitato alle persone che ne hanno bisogno per gestire Juryline e fornire assistenza. Il nostro servizio di assistenza apre un'organizzazione solo in una sessione di assistenza registrata, per 2 ore, in sola lettura, con un motivo che l'organizzatore può vedere nelle proprie impostazioni.
2. Adottiamo le misure di cui all'allegato 1 (art. 32 del GDPR) e le riesaminiamo regolarmente.
3. Ricorriamo a sub-responsabili del trattamento solo ai sensi dell'articolo 5 del presente accordo.
4. Assistiamo l'organizzatore nel rispondere alle richieste degli interessati e gli inoltriamo senza ingiustificato ritardo le richieste che pervengono a noi.
5. Assistiamo l'organizzatore nel garantire il rispetto degli obblighi di cui agli articoli da 32 a 36 del GDPR, tenendo conto della natura del trattamento.
6. Non utilizziamo i dati dell'organizzatore per scopi nostri, non li vendiamo e non inviamo candidature, punteggi o altri dati dei programmi a servizi di IA. Totali anonimi (come il numero di candidature) possono essere utilizzati per gestire e migliorare Juryline.
7. Teniamo un registro delle attività di trattamento svolte per conto degli organizzatori (art. 30, paragrafo 2, del GDPR).

5. Sub-responsabili del trattamento

1. L'organizzatore concede un'autorizzazione scritta generale a ricorrere ai sub-responsabili del trattamento elencati nell'allegato 2.
2. Comunichiamo le modifiche previste con almeno 30 giorni di anticipo via e-mail ai proprietari dell'organizzazione. L'organizzatore può opporsi; se non raggiungiamo un'intesa, può recedere dal presente accordo prima che la modifica abbia effetto.
3. Imponiamo a ciascun sub-responsabile del trattamento i medesimi obblighi in materia di protezione dei dati (art. 28, paragrafo 4, del GDPR).

6. Trasferimenti al di fuori dell'UE

1. Il database e i file sono conservati nell'UE (Francoforte, Germania) e l'applicazione è eseguita nell'UE.
2. Qualora un sub-responsabile del trattamento possa accedere ai dati dall'esterno dell'UE, il trasferimento si basa sul capo V del GDPR, in particolare sul quadro UE-USA per la protezione dei dati personali (EU-US Data Privacy Framework) o su clausole contrattuali tipo.

7. Violazioni dei dati personali

1. Notifichiamo all'organizzatore una violazione dei dati personali senza ingiustificato ritardo e comunque non oltre 48 ore dal momento in cui ne veniamo a conoscenza, via e-mail ai proprietari dell'organizzazione, con le informazioni di cui all'art. 33, paragrafo 3, del GDPR, nella misura in cui sono disponibili.
2. Assistiamo l'organizzatore nella notifica all'autorità di controllo e nella comunicazione agli interessati. L'organizzatore decide in merito alle notifiche.

8. Informazioni e audit

1. Su richiesta, forniamo le informazioni necessarie per dimostrare il rispetto dell'art. 28 del GDPR.
2. L'organizzatore, o un revisore vincolato da un obbligo di riservatezza, può effettuare un audit annunciato con almeno 30 giorni di anticipo, al massimo una volta all'anno e a spese dell'organizzatore, salvo dopo una violazione o quando lo richieda un'autorità di controllo.

9. Obblighi dell'organizzatore

1. L'organizzatore risponde della liceità del trattamento, della propria informativa sulla privacy destinata ai candidati e ai membri della giuria e del periodo di conservazione che stabilisce.
2. L'organizzatore concede l'accesso alla propria organizzazione solo alle persone che ne hanno bisogno e lo revoca quando non ne hanno più bisogno.
3. L'organizzatore risponde dei dati che esporta, scarica o invia al di fuori di Juryline.

10. Cessazione dell'accordo

1. L'accordo cessa quando l'organizzazione dell'organizzatore viene cancellata o quando il servizio cessa ai sensi delle condizioni d'uso.
2. Prima della cessazione l'organizzatore può esportare i propri dati. Entro 30 giorni dalla cessazione cancelliamo i dati personali dell'organizzatore, salvo che il diritto dell'UE o il diritto slovacco ci imponga di conservarli. I backup vengono sovrascritti nel loro ciclo ordinario.

11. Disposizioni finali

1. Il trattamento ai sensi del presente accordo fa parte del servizio Juryline e non prevede un corrispettivo separato.
2. Le parti rispondono ai sensi dell'art. 82 del GDPR e del diritto slovacco.
3. L'accordo è concluso in formato elettronico (art. 28, paragrafo 9, del GDPR) quando l'organizzatore pubblica un programma e conferma di accettare le condizioni d'uso e il presente accordo. Registriamo la versione, il momento della conferma e l'account che l'ha data.
4. Se l'organizzatore è un ente pubblico tenuto a pubblicare i contratti, provvede esso stesso a pubblicare il presente accordo.
5. In materia di protezione dei dati, il presente accordo prevale sulle condizioni d'uso. Gli allegati 1 e 2 ne costituiscono parte integrante.

Allegato 1. Misure tecniche e organizzative

• Ubicazione: database, file e applicazione nell'UE (Francoforte, Germania).
• Cifratura: in transito con TLS e HSTS; a riposo a cura dei nostri fornitori di hosting.
• Controllo degli accessi: la sicurezza a livello di riga (row level security) nel database determina ciò che ciascuna persona può leggere e modificare. Gli organizzatori vedono i propri programmi; i membri della giuria vedono solo le candidature loro assegnate e mai i campi nascosti; i candidati vedono solo le proprie candidature. Queste regole sono testate automaticamente per ogni ruolo.
• Accesso: nessuna password; codici monouso e link personali inviati via e-mail; le sessioni scadono dopo 30 giorni di inattività.
• File: archiviazione privata, download tramite link validi 5 minuti, generati dopo una verifica dei permessi, tipo di file verificato in base al contenuto, dimensione massima 25 MB.
• Integrità: punteggi, decisioni della verifica dei requisiti, dichiarazioni di conflitto di interessi e decisioni sui risultati non possono essere sovrascritti; le modifiche vengono aggiunte come nuovi record. I verbali sono sigillati con un hash SHA-256 e un codice di verifica.
• Accesso dell'assistenza: solo in sessioni di assistenza registrate, limitate nel tempo, in sola lettura e visibili all'organizzatore.
• Registro di controllo: esportazioni, download di verbali, modifiche dei ruoli, sessioni di assistenza ed eventi di fatturazione, conservati 24 mesi.
• Cancellazione: automatica, giornaliera, in base al periodo di conservazione di ciascun programma.
• Backup: backup giornalieri del database a cura del nostro fornitore di hosting, conservati per 7 giorni.
• Protezione dagli abusi: limiti alle richieste con chiavi pseudonime conservate al massimo 2 giorni.
• IA: i dati dei programmi non vengono mai inviati a servizi di IA.

Allegato 2. Sub-responsabili del trattamento

Versione del 27 ottobre 2026.