Accordi di elaborazione dati per le tech degli eventi: cosa controllare prima di firmare

Uno strumento fotografico per la tua prossima conferenza sembra un acquisto piccolo. È un evento, poche centinaia di partecipanti, un QR su un lanyard. Poi il reparto legale chiede il DPA, e il piccolo acquisto diventa una questione di procurement: nel momento in cui lo strumento raccoglie una foto di una persona identificabile, sta trattando dati personali per tuo conto, e il contratto che regola quel trattamento è il DPA.

Che cos’è questo articolo e che cosa non è. È una guida generale per aiutarti a strutturare la valutazione di un fornitore, non un consiglio legale. Per la tua situazione specifica, consulta il tuo DPO o un avvocato. Prezzi e funzionalità cambiano; ricontrolla prima di basarti su di essi.

Perché la tecnologia per eventi ha bisogno di una DPA, en primer lugar?

Il DPA non è boilerplate. È lo strumento legale che il GDPR richiede ogni volta che un’organizzazione tratta dati personali per conto di un’altra, ed esiste per come il regolamento divide le responsabilità. Quando organizzi un evento corporate e decidi di raccogliere foto e video dei partecipanti, la tua organizzazione è il titolare — decidi perché e come vengono trattati i dati. La piattaforma foto che memorizza e mostra quelle immagini su tue istruzioni è il responsabile del trattamento. L’art. 28 dice che tale rapporto «è disciplinato da un contratto o altro atto giuridico» vincolante per il responsabile: un accordo scritto su oggetto e durata del trattamento, sua natura e finalità, tipo di dati personali e categorie di interessati, obblighi e diritti del titolare (art. 28(3) GDPR).

Se un fornitore di tecnologia per eventi tratta i dati personali dei tuoi partecipanti, il diritto UE ti impone di avere una DPA — non esiste l’esenzione del “è solo un evento”, e l’obbligo ricade su di te come titolare tanto quanto sul fornitore. Una DPA mancante o debole è quindi un blocker, non un optional: è il documento che rende l’intera struttura lecita.

Nota sull’ambito: quanto segue presuppone gallerie fotografiche e video tradizionali, cioè conservazione e visualizzazione delle immagini. Se uno strumento esegue il riconoscimento facciale per raggruppare o identificare i partecipanti, i dati e gli obblighi cambiano in modo rilevante (più avanti sotto i sottoprocessori); un template facciale progettato per identificare univocamente una persona è un dato biometrico e rientra in un regime molto più rigoroso (GDPR Art. 9(1); Considerando 51).

Cosa deve contenere un DPA dell’articolo 28 GDPR

Una DPA non è “buona” perché sia lunga o scritta su carta intestata. È buona quando contiene davvero ciò che richiede l’art. 28(3). Controlla ogni accordo del fornitore con questi elementi: una DPA che li omette è incompleta, per quanto curata sembri:

• La descrizione del trattamento — oggetto e durata, natura e finalità, tipo di dati personali e categorie degli interessati (Art. 28(3)). Per i media dell’evento deve essere chiaro che il responsabile del trattamento gestisce le foto, i video e eventuali messaggi vocali degli utenti partecipanti, per raccoglierli e mostrarli, per un periodo definito. La vaghezza qui è già un segnale di allarme.

• Elaborazione solo su istruzioni documentate (art. 28(3)(a): decidi tu cosa accade alle foto; il fornitore non può riutilizzarle.

• Un impegno di riservatezza vincolante per chiunque autorizzi il processore (art. 28(3)(b)).

• Sicurezza Articolo 32 — misure tecniche e organizzative appropriate rispetto al rischio (Art. 28(3)(c)).

• Condizioni per i sub-responsabili: nessun ulteriore processore senza autorizzazione, stesse obbligazioni lungo la catena (Art. 28(3)(d)). Questo regola chi altro tocca i tuoi dati; la sua sezione specifica è qui sotto.

• Supporto sui diritti degli interessati, compreso —critico per i media degli eventi— il diritto alla cancellazione (Art. 28(3)(e)).

• Supporto sugli obblighi degli art. 28–36: sicurezza, notifica di violazioni e valutazioni d’impatto dove applicabili (art. 28(3)(f)).

• Cancellazione o restituzione al termine dell’impegno, a scelta del Titolare, più cancellazione delle copie salvo obbligo legale di conservazione (Art. 28(3)(g)). È la clausola che chiude la vita dei dati — inseriscila nel contratto, non in una mail commerciale.

• Informazioni per e invio agli audit (Art. 28(3)(h)).

Questi nove elementi sono la spina dorsale di qualsiasi DPA conforme al GDPR. Non devi imparare tutte le sottoclausole, ma leggendo l’accordo di un vendor devi poter trovare ciascun concetto. Una mancanza qui non è una questione di formato, ma un obbligo legale assente.

La checklist pre-firma: cosa verificare prima di confermare

Le clausole sopra indicano cosa deve contenere una DPA. In questa sezione si tratta di ciò che devi verificare con un fornitore specifico prima di firmare: le domande pratiche che contano davvero in una revisione d’acquisto. Seguili in ordine; la prima è una porta di ingresso.

1. C’è davvero un DPA e puoi leggerlo prima dell’acquisto? È la domanda. Se un fornitore non riesce a presentare un accordo Art. 28 GDPR, un’azienda UE non può usarlo legalmente per un evento corporate: il contratto deve essere già in essere perché il trattamento sia lecito (art. 28(3)). Molti tool pensati per il consumer sono venduti come acquisto una tantum senza percorso enterprise: vanno bene per una festa privata, ma sono un blocco per un evento aziendale. Chiedi di vedere il DPA prima di impegnarti.

1. Contiene gli elementi dell’Art. 28(3) citati sopra? Controllala con la checklist dei nove punti. I punti più deboli negli accordi leggeri sono di solito le condizioni dei sub-processori, l’obbligo di cancellazione o restituzione e la previsione di audit.

1. Il vendor indicherà i sub-processor e dove sono? Un DPA che permette il sub-processing senza nominarli ti impedisce di completare un’analisi transfer/risk del fornitore — non puoi valutare ciò che non vedi. (Sezione sotto.)

1. Dove sono ospitati i dati e alcuni escono dall’UE? Se restano nell’UE eviti l’analisi dei trasferimenti; se escono, hai bisogno di un meccanismo lecito che gli allegati della DPA devono riflettere. «Non lo divulghiamo» è un errore. (Vedi sezione sotto.)

1. Il percorso di cancellazione ha una tempistica? Verifica che la DPA impegni il responsabile del trattamento ad agire sulla cancellazione — compresa una richiesta di cancellazione di una persona specifica — entro i termini previsti dalla legge (Art. 17(1); Art. 12(3)). (Sezione seguente.)

1. La DPA è inclusa, a pagamento o non disponibile nel tuo piano? È un controllo di conformità con impatti contrattuali. Con Gathmo, la DPA è disponibile su richiesta per le formule per evento e inclusa nei piani B2B Studio, Agency ed Enterprise — quindi esiste una strada contrattuale sia che acquistiate un singolo evento sia un abbonamento.

Se fallisci al punto 1, il resto non conta. Ma se passi il primo e inciampi al 3, 4 o 5, hai lacune specifiche e citabili da sollevare prima della firma — esattamente la posizione in cui vuoi trovarti durante una revisione d’acquisto.

Sub-processor: la parte del DPA che nasconde sorprese

Nella tech per eventi, la clausola sui sub-processor nasconde il dettaglio decisivo — perché una piattaforma di condivisione foto raramente fa tutto da sola. Usa storage cloud, un provider per elaborazione media, forse un servizio email/SMS, magari un motore di moderazione AI. Ognuno è un sub-processor che tratta i dati dei partecipanti, e l’art. 28 richiede che gli stessi obblighi siano trasferiti a valle (GDPR Art. 28(3)(d)). Due cose da verificare oltre al semplice «la clausola c’è»:

Chi sono e dove sono? Un elenco nominato di sub-processor rende possibile il resto della tua analisi. Un fornitore fuori dall’UE nella catena non è automaticamente squalificante — ma è proprio lì che scattano le regole di trasferimento, e devi saperlo. Chi pubblica i sub-processor ti fornisce la mappa; chi non lo fa ti chiede di firmare alla cieca.

La soluzione ti trascina in regimi più severi che non avevi richiesto? È la trappola del riconoscimento facciale. La foto di un volto non è automaticamente un dato di categoria speciale: il considerando 51 precisa che un’immagine diventa dato biometrico "solo quando è trattata mediante un mezzo tecnico specifico che consente l’identificazione o autenticazione univoca di una persona fisica."

Un motore di face-matching che crea template per raggruppare i partecipanti o permettere di "trovare tutte le mie foto" elabora dati biometrici con finalità di identificare una persona in modo univoco, ciò che l’art. 9(1) vieta salvo specifica eccezione (di norma consenso esplicito separato) (GDPR art. 9(1); Considerando 51). Molti strumenti nel mercato puntano sulla ricerca tramite riconoscimento facciale; in un evento aziendale con dipendenti, quel sub-processore trasforma la tua raccolta in trattamento ex art. 9 e in un obbligo di consenso esplicito che non avevi previsto di assumere.

Nell’elenco dei sub-processor puoi anche verificare se la categoria di dati aumenta in modo discreto.

Dove risiedono i dati: la questione di localizzazione su cui si fonda il DPA

Una DPA da sola non dice dove siano i tuoi dati. Disciplina i rapporti; la localizzazione dell’elaborazione è un elemento separato che devi verificare, e determina il grado di regime di trasferimento applicabile. I trasferimenti fuori UE sono leciti solo in base a una decisione di adeguatezza (art. 45) o a garanzie appropriate come le clausole contrattuali standard (art. 46), con diritti e rimedi esigibili (GDPR art. 45, art. 46(2)(c)). La decisione di adeguatezza EU-US Data Privacy Framework (adottata nel luglio 2023) resta in vigore a metà 2026, quindi i trasferimenti a organizzazioni USA certificate DPF sono possibili, ma non privi di rischio; SCC e valutazione d’impatto sul trasferimento restano la soluzione prudente (CGUE C-311/18 Schrems II; decisione della Commissione sulla DPF 2023).

La soluzione pulita è evitare completamente la domanda: tieni i dati nell’UE e non c’è valutazione di trasferimento da fare. Qui il mercato event-tech si divide nettamente — osservando solo le informazioni pubblicamente disponibili di ciascun provider, rilevate il 2026-06-08:

• Diversi strumenti popolari sono esplicitamente basati negli USA: GuestCam dichiara che i dati sono su cloud storage statunitense senza opzione UE; Kululu memorizza i contenuti principali su server Google Cloud (Firebase) negli Stati Uniti; Fotify è gestita da una società del Delaware, USA.
• Un numero minore è ospitato nell’UE e lo dichiara esplicitamente: EventPics (un’azienda austriaca, hosting in una regione UE) e JoinMyMoment (sub-processori UE/SEE in Germania, Francia e AWS Francoforte) indicano esplicitamente la residenza UE.
• Alcuni strumenti non indicano chiaramente dove risiedono i dati: è un segnale rosso, perché non puoi compilare l’allegato sui trasferimenti di una DPA con una casella vuota.

Gathmo è costruito proprio per questo: data residency UE, database primario a Francoforte, storage e compute in UE, e DPA con i propri processor. La residency è accompagnata da prova concreta: un data center nominato, non un badge di marketing. Sii preciso però: vari vendor sostengono “server europei”; ciò che un team procurement deve verificare sono prove verificabili più una DPA firmata, non la sola affermazione di essere europei.

La clausola di cancellazione: un diritto con scadenza

Tra tutti gli obblighi di un DPA, la cancellazione è quello più probabile da essere testato nel mondo reale: gli interessati hanno un diritto e c’è una scadenza. Secondo l’art. 17(1), il titolare può richiedere la cancellazione senza ingiustificato ritardo quando sussiste un motivo (dati non più necessari, o revoca del consenso senza altra base giuridica), e l’art. 12(3) fissa il termine: rispondere senza ritardo ingiustificato e comunque entro un mese dalla richiesta, prorogabile di altri due mesi solo per richieste complesse o numerose, con comunicazione della proroga nel primo mese (GDPR Art. 17(1); Art. 12(3)).

Per il DPA ci sono due controlli. Primo: il contratto impegna il processore ad assistere e ad attuare la cancellazione su richiesta, compresa una richiesta di cancellazione di una persona specifica, entro il termine previsto dalla legge? Questa è l’obbligazione concreta dell’art. 28(3)(e); chiedilo esplicitamente e richiedilo per iscritto. Secondo: il rapporto si conclude con la cancellazione o restituzione di tutti i dati (art. 28(3)(g))? In Gathmo, la cancellazione conforme al GDPR su richiesta fa parte del modello — eseguita nel termine legale in ogni tariffa — e poiché tutto finisce in una gallery gestita, una richiesta di cancellazione in un mese è un’unica azione, non una rincorsa tra telefoni e drive condivisi.

Una nota finale sull’alternativa predefinita: raccogliere le foto dell’evento tramite un gruppo WhatsApp, un drive condiviso o una catena di email personali. Questo approccio non ha una DPA forte; non ha una DPA e non c’è possibilità di averla: nessun processore con cui stipulare il contratto, nessun elenco di subfornitori, nessuna conservazione definita, nessun percorso di cancellazione, nessuna traccia di audit. (È anche impopolare tra le persone nella chat: News.com.au riporta su ansia da chat di gruppo e fatica da notifiche.com.au group-chat anxiety report](https://www.news.com.au/lifestyle/health/mental-health/why-your-group-chat-is-making-you-anxious/news-story/b9e9ce4805f6e48598646e665bac10da), 2024.) La raccolta “al volo” non può superare una revisione DPA, perché non c’è nulla da revisionare.