Bozza da far verificare a un legale prima della pubblicazione
Questo testo è un modello di lavoro. I campi tra parentesi quadre vanno completati e l'intero documento va rivisto da un professionista.
Accordo sul trattamento dei dati personali (DPA)
Bozza, versione di ottobre 2026
Il presente accordo ("DPA") integra le Condizioni generali di servizio ed è stipulato ai sensi dell'art. 28 del Regolamento (UE) 2016/679 ("GDPR") tra:
- il Cliente, in qualità di titolare del trattamento (il "Titolare");
- [Ragione sociale del fornitore], P.IVA [P.IVA], con sede in [Indirizzo sede legale], in qualità di responsabile del trattamento (il "Responsabile").
1. Oggetto e durata
Il Responsabile tratta dati personali per conto del Titolare al solo fine di erogare il servizio TARGA descritto nelle Condizioni. Il DPA ha la stessa durata del contratto e, dopo la cessazione, fino alla restituzione o cancellazione dei dati secondo l'articolo 11.
2. Natura e finalità del trattamento
Raccolta, registrazione, conservazione, consultazione, pubblicazione sulle pagine delle matricole, invio di comunicazioni di servizio, esportazione e cancellazione dei dati, con lo scopo di gestire la documentazione delle macchine del Titolare, le richieste di copia cartacea delle istruzioni e i relativi adempimenti.
3. Categorie di interessati e di dati
| Interessati | Dati |
|---|---|
| Utenti del Titolare (dipendenti, collaboratori, consulenti) | Nome, email, ruolo, dati di accesso, attività registrate nel registro di audit |
| Clienti del Titolare associati alle matricole | Nome o ragione sociale, email, dati della macchina acquistata |
| Persone che chiedono una copia cartacea delle istruzioni | Nome, azienda, indirizzo di spedizione, email, lingua richiesta, consenso privacy |
| Firmatari delle dichiarazioni di conformità | Nome, ruolo, eventuale firma inserita dal Titolare |
Il Servizio non è destinato al trattamento di categorie particolari di dati (art. 9 GDPR) né di dati relativi a condanne penali e reati. Il Titolare si impegna a non inserirli.
4. Obblighi del Titolare
Il Titolare garantisce di avere una base giuridica valida per i trattamenti affidati, di fornire agli interessati l'informativa prevista dagli artt. 13 e 14 GDPR (anche per il modulo di richiesta della copia cartacea) e di impartire istruzioni conformi alla normativa.
5. Obblighi del Responsabile
- trattare i dati solo su istruzione documentata del Titolare, che comprende le Condizioni, il presente DPA e le funzioni del Servizio usate dal Titolare;
- informare il Titolare se ritiene che un'istruzione violi la normativa sulla protezione dei dati;
- garantire che le persone autorizzate al trattamento siano vincolate alla riservatezza;
- adottare le misure di sicurezza dell'articolo 6 (art. 32 GDPR);
- assistere il Titolare nel rispondere alle richieste degli interessati, per quanto possibile con misure tecniche e organizzative adeguate;
- assistere il Titolare negli adempimenti relativi a sicurezza, notifica delle violazioni, valutazione d'impatto e consultazione preventiva (artt. 32-36 GDPR);
- mettere a disposizione le informazioni necessarie a dimostrare il rispetto del presente DPA e consentire le verifiche dell'articolo 9.
6. Misure di sicurezza
- cifratura delle comunicazioni (HTTPS/TLS) e conservazione delle password con funzione di hash;
- separazione logica dei dati di ciascun cliente e controllo degli accessi per ruolo;
- registro di audit solo in aggiunta e concatenato con impronte crittografiche;
- versioni pubblicate immutabili con impronta SHA-256;
- backup periodici in sede distinta e procedure di ripristino [indicare frequenza e tempi];
- limitazione dei tentativi di accesso e delle richieste ai moduli pubblici;
- server situati nell'Unione europea, presso fornitori con certificazioni di sicurezza riconosciute;
- aggiornamento periodico dei componenti software e gestione delle vulnerabilità.
7. Sub-responsabili
Il Titolare concede un'autorizzazione generale al ricorso ai sub-responsabili elencati di seguito. Il Responsabile impone a ciascun sub-responsabile obblighi di protezione dei dati equivalenti a quelli del presente DPA e resta responsabile del loro operato.
| Fornitore | Sede | Attività | Garanzie per il trasferimento |
|---|---|---|---|
| Hetzner Online GmbH | Germania (UE) | Hosting dell'applicazione, database, archiviazione dei documenti e backup | Nessun trasferimento extra UE |
| Anthropic, PBC | Stati Uniti | Traduzione automatica con intelligenza artificiale dei testi dei manuali | Trasferimento extra UE con Clausole contrattuali standard della Commissione europea |
| Stripe Payments Europe, Ltd. | Irlanda (UE), con possibili trasferimenti verso gli Stati Uniti | Gestione dei pagamenti e della fatturazione degli abbonamenti | Clausole contrattuali standard e, ove applicabile, EU-US Data Privacy Framework |
| Sendinblue SAS (Brevo) | Francia (UE) | Invio delle email di servizio (inviti, notifiche, ricevute delle richieste cartacee) | Nessun trasferimento extra UE di regola |
Stripe tratta i dati di fatturazione del Cliente stesso; per quel trattamento il Fornitore agisce come titolare e non come responsabile. Anthropic riceve i testi dei manuali da tradurre, che di norma non contengono dati personali.
Il Responsabile comunica via email al Titolare l'aggiunta o la sostituzione di un sub-responsabile con almeno [30] giorni di anticipo. Il Titolare può opporsi per motivi ragionevoli legati alla protezione dei dati; se non si trova una soluzione, il Titolare può recedere dal contratto senza penali per la parte di Servizio interessata.
8. Trasferimenti fuori dall'Unione europea
I dati sono conservati nell'Unione europea. I trasferimenti verso Paesi terzi avvengono solo con le garanzie del Capo V del GDPR. Per il servizio di traduzione automatica fornito da Anthropic, PBC (Stati Uniti) il trasferimento si basa sulle Clausole contrattuali standard adottate dalla Commissione europea con Decisione di esecuzione (UE) 2021/914, integrate da misure supplementari ove necessario. [Verificare i termini del fornitore sulla conservazione dei dati e sull'esclusione dal loro uso per l'addestramento dei modelli.]
9. Verifiche
Il Titolare può verificare il rispetto del presente DPA chiedendo documentazione e, con preavviso scritto di almeno [30] giorni e non più di una volta all'anno salvo violazioni, tramite un revisore vincolato alla riservatezza. I costi della verifica sono a carico del Titolare.
10. Violazioni dei dati personali
Il Responsabile informa il Titolare senza ingiustificato ritardo, e comunque entro [48] ore da quando ne è venuto a conoscenza, di ogni violazione dei dati personali che riguardi i dati del Titolare, fornendo le informazioni disponibili per consentire al Titolare la notifica all'autorità di controllo e, se necessario, la comunicazione agli interessati.
11. Restituzione e cancellazione
Alla cessazione del contratto il Titolare può esportare i propri dati per il periodo di tolleranza previsto dalle Condizioni. Decorso tale periodo, il Responsabile cancella i dati personali, compresi quelli nei backup entro il loro normale ciclo di rotazione [indicare la durata], salvo obblighi di conservazione previsti dalla legge.
12. Responsabilità e disposizioni finali
Per la responsabilità tra le parti si applicano le limitazioni delle Condizioni, nei limiti consentiti dall'art. 82 GDPR. In caso di contrasto tra il presente DPA e le Condizioni in materia di protezione dei dati prevale il DPA. Contatti per la protezione dei dati: info@mattiazucchini.com.