GDPR per Sviluppatori Software e Provider SaaS
Chi sviluppa software o eroga servizi SaaS è responsabile del trattamento dei dati dei propri clienti, con obblighi di privacy by design, DPA e documentazione tecnica.
I provider di servizi SaaS e i team di sviluppo software occupano una posizione peculiare nel panorama GDPR: trattano dati personali degli utenti finali dei propri clienti, configurandosi come responsabili del trattamento. Allo stesso tempo, raccolgono dati propri (analytics, account) in qualità di titolari. Questa doppia veste richiede un approccio strutturato e documentato.
Obblighi e adempimenti
Privacy by design nel ciclo di sviluppoPrioritario
La protezione dei dati deve essere integrata nel ciclo di sviluppo (SDL – Secure Development Lifecycle): threat modeling, scelta di architetture che minimizzano la raccolta di dati, cifratura dei dati a riposo e in transito, gestione granulare delle autorizzazioni.
DPA standard per i clientiPrioritario
Ogni cliente che carica dati personali propri o dei propri utenti sulla piattaforma SaaS deve ricevere un DPA ex art. 28 GDPR. I provider strutturati offrono un DPA standard disponibile online, che i clienti accettano contestualmente ai ToS.
Trasparenza su sub-processoriPrioritario
Il DPA deve elencare i sub-processori (es. AWS, Stripe, SendGrid) utilizzati per erogare il servizio, con meccanismo di notifica delle modifiche e diritto del cliente di opporsi.
Gestione delle richieste degli interessati
Il provider SaaS deve definire procedure per supportare i clienti nel rispondere alle richieste degli interessati (cancellazione, accesso, portabilità) che coinvolgono dati archiviati sulla propria piattaforma.
Data breach: notifica al cliente-titolarePrioritario
In caso di data breach, il responsabile (provider SaaS) deve notificare il titolare (il cliente) senza ingiustificato ritardo e comunque in tempo utile perché il titolare rispetti le 72 ore verso il Garante.
Rischi specifici del settore
Assenza di DPA come ostacolo commerciale
Clienti enterprise e pubbliche amministrazioni richiedono sistematicamente il DPA prima di sottoscrivere. L'assenza di un DPA strutturato è un blocco commerciale prima ancora che un rischio normativo.
Domande frequenti
Chi è titolare e chi è responsabile in un SaaS B2B?
Il cliente che carica i dati dei propri utenti/dipendenti è titolare; il provider SaaS che li archivia ed elabora per conto del cliente è responsabile. Per i dati degli account (es. email del manager che si iscrive), il provider SaaS è titolare.