Il contensto
GDPR e integrazioni software
Il nostro cliente ha sviluppato una piattaforma gestionale multi-tenant dedicata alle società sportive. Gestione delle iscrizioni, incasso delle quote, monitoraggio scadenze, comunicazioni agli atleti e al personale, e tanto altro – tutte le attività quotidiane. Stava per lanciare una nuova integrazione: un tasto che, una volta premuto dalla società sportiva, avrebbe sincronizzato automaticamente i dati necessari al tesseramento dei propri atleti, inclusa la scadenza della visita medico-sportiva, verso un Ente di Promozione Sportiva (EPS). Tecnicamente, un flusso lineare. Dal punto di vista del GDPR, però, ogni passaggio di questa integrazione nascondeva un soggetto diverso, con un ruolo diverso.
-
01Chi è titolare, chi è responsabile e chi diventa titolare autonomo lungo la catena.
-
02Tasto di attivazione della sincronizzazione: consenso o istruzione di trattamento.
-
03Sincronizzazione della scadenza della visita medico-sportiva: richiede un consenso privacy specifico dell’atleta?
-
04Accesso e conservazione delle credenziali verso l’ente terzo, e relativa protezione.
-
05Modalità di isolamento di società diverse sulla stessa piattaforma multi-tenant.
Le sfide
Le domande che ci siamo posti
-
01Classificazione errata dei flussi di datiIl primo era il rischio di classificazione errata dei flussi di dati, etichettando come “consenso” un’istruzione impartita dal titolare al proprio responsabile, con conseguenze che potevano ricadere su chi ha meno strumenti per accorgersene.
-
02Minimizzazione apparenteIl secondo era il rischio di minimizzazione apparente: trattare come dato sensibile aggiuntivo un’informazione amministrativa — la scadenza della visita medica — già prevista dalle norme dell’ente tra i dati riportabili sulla tessera.
-
03Isolamento multi-tenantIl terzo era il rischio di isolamento multi-tenant: un back-end che si fidasse di un identificativo di società o atleta ricevuto dal browser, su una piattaforma che gestisce decine di società sportive diverse.
La soluzione
I punti su cui abbiamo lavorato
-
01Catena dei soggetti coinvoltiLa prima scelta è stata mappare la catena dei soggetti coinvolti. La società sportiva resta titolare del trattamento per l’intera durata del rapporto, essendo la sola a poter decidere se attivare l’integrazione. Il nostro cliente, che sincronizza tecnicamente i dati sulla base di quella decisione, opera come responsabile ex art. 28 GDPR. L’ente di promozione sportiva, una volta ricevuti i dati, diventa titolare autonomo del trattamento, perché da quel momento li tratta per finalità proprie.
-
02Tradurre la mappa in un’istruzione tracciabileLa seconda scelta è stata tradurre la mappa in un’istruzione tracciabile, non in un consenso. Quanto la società sportiva clicca il pulsante di sincronizzazione, viene avvisata: chi lo attiva conferma di essere autorizzato ad agire per conto della società e istruisce il responsabile (la piattaforma gestionale) a trasmettere i dati. Accanto a questo avviso, l’elenco dei dati oggetto di trasmissione è visibile prima della conferma, e ogni attivazione traccia utente, società, data, ora, IP.
-
03Security by DesignLa terza scelta è stata sottoporre l’integrazione a una checklist di Security by Design. Otto domande mirate al team tecnico del nostro cliente su credenziali, disattivazione e isolamento multi-tenant, nate per questa integrazione e diventate poi il metodo che il cliente riutilizza per ogni nuovo ente terzo.
Il rischio, in questi flussi, non è quasi mai la base giuridica sbagliata: è etichettare male ciò che sta succedendo, con conseguenze che ricadono su chi ha meno strumenti per accorgersene.
Il nostro intervento
Il nostro primo passo non è stato scrivere l’avviso da mostrare all’utente quando clicca il pulsante di sincronizzazione. È stato risalire a monte: la mappatura dei soggetti — chi decide, chi esegue, chi riceve — ha guidato ogni scelta successiva, dal testo al contratto.
-
01RUOLI & TITOLARITÀMappatura della catena dei soggettiAbbiamo verificato riga per riga i tre ruoli: società titolare per l’intera durata del rapporto, cliente responsabile ex art. 28 GDPR che esegue un’istruzione, ente titolare autonomo dal momento della ricezione. In parallelo abbiamo verificato il perimetro dei dati trasmessi: in questo caso, la scadenza della visita medica è un dato amministrativo funzionale al tesseramento, non un dato sensibile che richiede consenso specifico.
-
02GOVERNANCE DESIGNL’avviso come istruzione, non come consensoAbbiamo riscritto l’avviso accanto al pulsante di sincronizzazione perché dicesse esattamente questo: chi attiva la funzionalità conferma di essere autorizzato ad agire per la società e istruisce il responsabile a trasmettere i dati. Elenco dei dati visibile prima della conferma — la stessa logica di trasparenza dei flussi di social login — e tracciamento di utente, società, data, ora, IP e versione del testo accettato.
-
03AGGIORNAMENTO DOCUMENTALEUna roadmap di priorità, non una riscrittura totaleAccordo di nomina a responsabile aggiornato alla prima revisione utile per includere le integrazioni con enti terzi; condizioni generali rimandate a una revisione organica successiva; informativa resa generica sul destinatario, così da non doverla riscrivere a ogni nuova integrazione; registro dei trattamenti aggiornato con il nuovo flusso.
-
04SECURITY BY DESIGNOtto domande prima del “vai”Checklist tecnica su custodia delle credenziali (mai in chiaro, chiave di piattaforma mai nel database), disattivazione effettiva senza job residui in background, isolamento multi-tenant verificato lato server sull’identificativo estratto dal token, payload costruito dal server e mai dal client, connessioni cifrate con verifica del certificato, schema chiuso dei campi in uscita e log privi di credenziali.
-
05METODO REPLICABILEDa checklist ad hoc a protocollo permanenteLe otto domande di Security by Design, nate per questa integrazione specifica, sono diventate la checklist che il cliente riutilizza oggi per ogni nuovo collegamento con un ente terzo che si aggiunge alla piattaforma.
Le sfide
I deriverable
-
Deliveralbe 01Parere di conformità GDPR sui ruoli privacymappatura di titolare, responsabile e titolare autonomo lungo l’intero flusso a tre soggetti.
-
Deliveralbe 02Copy di attivazione dell’integrazionetesto di istruzione di trattamento, con elenco dati e tracciamento della versione accettata.
-
Deliveralbe 03Checklist di Security by Design (8 domande)per il team tecnico, riutilizzabile su ogni nuova integrazione con enti terzi.
-
Deliveralbe 04Roadmap di aggiornamento della documentazione privacypriorità su accordo di nomina a responsabile, informativa, condizioni generali e registro dei trattamenti.
Stai progettando una nuova integrazione?
Prima di collegare i sistemi, metti a fuoco ruoli, dati e responsabilità. Ti aiutiamo a tradurre i requisiti privacy in scelte concrete per la tua piattaforma: dai contratti ai flussi di attivazione, fino alle verifiche di sicurezza.