Modelli e registrazioni · ISO 27701 · Punto A.1 y A.2

Modello di contratto di responsabile del trattamento ISO 27701

Ogni fornitore che tratta dati per conto dell’azienda ha bisogno di un contratto con un contenuto minimo fissato per legge. Il sistema privacy verifica che esista e che venga rispettato.

In una frase

Il contratto di responsabile del trattamento fissa l’oggetto, la durata, la natura e la finalità del trattamento, i tipi di dati e di interessati e gli obblighi del responsabile —istruzioni documentate, riservatezza, sicurezza, sub-responsabili, assistenza su diritti e violazioni, restituzione o cancellazione finale e audit—, perché così richiede l’articolo 28.3 del GDPR; la ISO/IEC 27701 riprende questi accordi nelle tabelle A.1 e A.2, dal lato del titolare e da quello del responsabile.

Contenuto revisionato il 17 ottobre 2026

Dove lo richiede la norma: ISO 27701 · Punto A.1 y A.2 Si cita l’edizione 2025: i numeri da 4 a 10 sono capitoli; A.1, A.2 e A.3 sono le tabelle dell’Appendice A con i controlli del titolare, del responsabile e comuni a entrambi.
Tipo di informazione: Documento obbligatorio Documento da mantenere in vigore (art. 28.3 GDPR; tabelle A.1 e A.2)
Chi lo compila: Gli acquisti o l’area che stipula il contratto, con l’RPD Il responsabile del PIMS verifica che nessun responsabile tratti dati senza contratto
Quando: Prima che il fornitore riceva dati Si rivede al rinnovo, quando cambia il servizio o quando arriva l’avviso di nuovi sub-responsabili
Per quanto tempo si conserva: Per tutta la durata del servizio e oltre Lo stabilisce l’organizzazione in base ai termini di prescrizione di eventuali responsabilità

Che cosa richiede la norma

Che cosa impone la norma ISO 27701 e che cosa lascia alla sua discrezione

La norma chiede al titolare di scegliere responsabili che offrano garanzie sufficienti e di avere con loro un contratto che copra i controlli necessari. Al responsabile chiede di trattare i dati solo secondo le istruzioni del cliente, di informarlo se un’istruzione gli sembra illecita e di controllare i propri sub-responsabili.

L’articolo 28.3 elenca il contenuto minimo del contratto. Il 28.2 vieta di ricorrere a un altro responsabile senza autorizzazione scritta preventiva, specifica o generale; in quella generale, il responsabile deve informare delle modifiche perché il titolare possa opporsi.

Il contratto non si archivia per poi dimenticarlo: il titolare deve poter verificare che venga rispettato, e il contratto deve consentirgli attività di revisione o ispezioni (art. 28.3.h).

Lo legga nel contesto: Controlli per titolari e responsabili, nell’Academy ISO 27701

Struttura

Campi che il modello deve contenere

Oggetto, durata, natura e finalità del trattamento
Tipi di dati personali e categorie di interessati
Trattamento solo secondo istruzioni documentate
Riservatezza del personale del responsabile
Misure di sicurezza dell’art. 32 GDPR
Regime dei sub-responsabili e autorizzazione
Assistenza su diritti, violazioni e valutazioni d’impatto
Restituzione o cancellazione dei dati al termine
Informazioni e audit a disposizione del titolare
Trasferimenti internazionali, se presenti

Esempio

Esempio: consulente del lavoro di un’azienda fittizia

Azienda, persone e cifre inventate: l’esempio mostra soltanto come si presenta una registrazione compilata correttamente.

Campo	Contenuto
Contratto	EN-2026-03 · Officine Adige Nord S.r.l. (titolare) e Studio Monviso (responsabile), entrambi fittizi
Oggetto	Elaborazione delle buste paga e gestione di assunzioni e cessazioni presso l’INPS · Durata annuale rinnovabile
Dati e interessati	Dati identificativi, bancari e retributivi di 86 dipendenti
Sub-responsabili	Autorizzazione generale; preavviso di 30 giorni per opporsi · Attuale: fornitore del software paghe con server nell’UE
Violazioni	Avviso al titolare entro 24 ore da quando lo studio ne viene a conoscenza
Fine del contratto	Restituzione in formato standard e cancellazione certificata entro 30 giorni
Revisione	Questionario di sicurezza annuale · Ultimo: febbraio 2026, nessun rilievo

In audit

Errori che gli auditor rilevano più spesso

Fornitori con accesso ai dati senza contratto, perché «fanno solo assistenza».
Contratti generici che non descrivono né i dati né gli interessati.
Non si sa chi siano i sub-responsabili del fornitore cloud.
Il contratto prevede gli audit, ma il responsabile non viene mai verificato.

In Kimobox

Come si gestisce questa registrazione in Kimobox

1I responsabili del trattamento si gestiscono dal portale fornitori con il loro contratto e la sua scadenza.
2Il sistema avvisa prima che scada un contratto o una revisione.
3Il registro delle attività collega ogni destinatario al suo contratto.
4Le revisioni periodiche si documentano come valutazioni del fornitore.

Domande frequenti

Cosa ci chiedono prima di iniziare

Basta accettare le condizioni del fornitore?

Può bastare se includono tutto il contenuto dell’articolo 28.3 e sono in forma scritta. Vanno lette: molte omettono il regime dei sub-responsabili o la cancellazione finale.

Che cosa offre un responsabile certificato ISO 27701?

Fornisce l’evidenza che il suo sistema privacy è stato sottoposto ad audit, il che aiuta a dimostrare le garanzie sufficienti. Non sostituisce il contratto né la verifica del titolare.

Gestisca le registrazioni ISO 27701 senza modelli sparsi

Le mostriamo il modulo in funzione con dati simili ai suoi.

Richiedi una demo

Continua a esplorare

Pagine correlate

Fonti

Da dove arriva ogni dato

Riferimenti al testo ufficiale in vigore. Se una norma viene revisionata, questa pagina si aggiorna e la data di revisione lo indica.

Regolamento (UE) 2016/679, Regolamento generale sulla protezione dei dati (GDPR) EUR-Lex · 27 aprile 2016; applicabile dal 25 maggio 2018
ISO/IEC 27701:2025 — Sistemi di gestione delle informazioni sulla privacy. Requisiti e linee guida ISO/IEC · Seconda edizione, ottobre 2025