1. Parti e ambito di applicazione

Il presente Accordo sul trattamento dei dati ("DPA") è stipulato tra il cliente ("Titolare del trattamento") e Armin Zaribaf, Libero professionista, P. IVA IT16634531004, Viale Giacomo Aicardi 8, 00177 Roma (RM), Italia ("Responsabile del trattamento"), e costituisce parte integrante dei Termini di servizio. Esso disciplina il trattamento dei dati personali effettuato dal Responsabile del trattamento per conto del Titolare del trattamento ai sensi dell'articolo 28 del Regolamento (UE) 2016/679 ("GDPR"). In caso di conflitto tra Titolare e Responsabile, il presente DPA prevale per quanto concerne i dati personali.

2. Oggetto, durata, natura e finalità

Il Responsabile del trattamento fornisce una piattaforma di gestione del consenso: distribuisce un banner di consenso sui siti web del Titolare del trattamento, registra le decisioni di consenso dei visitatori del sito web del Titolare e mette tali registrazioni a disposizione del Titolare come prova del consenso. Il trattamento dura per l'intero termine dell'abbonamento del Titolare e per il periodo di conservazione descritto alla clausola 8.

3. Categorie di interessati e dati personali

Gli interessati sono i visitatori dei siti web del Titolare del trattamento. Per ogni evento di consenso, il Responsabile del trattamento registra: un identificativo di consenso pseudonimo, la decisione di consenso per ciascuna finalità, il paese e la regione ricavati dall'indirizzo IP del visitatore, il dominio del sito web, un referrer oscurato, l'eventuale stringa IAB TCF e l'orario dell'evento.

I registri dei consensi non contengono gli indirizzi IP dei visitatori né le stringhe user-agent. Gli indirizzi IP vengono utilizzati per il rate limiting e la geolocalizzazione, incluso un fallback esterno elencato su /subprocessors. La diagnostica dell'infrastruttura e dei sub-responsabili del trattamento può trattare i metadati delle richieste secondo i rispettivi termini di conservazione applicabili. Lo schema del registro dei consensi non raccoglie categorie particolari di dati personali ai sensi dell'articolo 9 del GDPR.

4. Obblighi del Responsabile del trattamento

Trattare i dati personali solo su istruzioni documentate del Titolare del trattamento, anche per quanto riguarda i trasferimenti internazionali, salvo quanto diversamente previsto dal diritto dell'Unione o degli Stati membri.
Garantire che le persone autorizzate al trattamento dei dati siano vincolate alla riservatezza.
Attuare le misure tecniche e organizzative descritte nella clausola 6.
Tenendo conto della natura del trattamento e delle informazioni a sua disposizione, assistere il Titolare del trattamento con misure tecniche e organizzative adeguate per rispondere alle richieste degli interessati e per ottemperare ai propri obblighi ai sensi degli articoli da 32 a 36 del GDPR. Il Titolare può soddisfare autonomamente la maggior parte di tali richieste tramite gli strumenti di esportazione e cancellazione presenti nella dashboard; laddove l'assistenza richiesta ecceda tali strumenti, il Responsabile del trattamento potrà addebitare le proprie tariffe per i servizi professionali vigenti in quel momento.
Mettere a disposizione le informazioni necessarie per dimostrare la conformità e consentire le verifiche (audit) come descritto nella clausola 9.

5. Sub-responsabili del trattamento

Il Titolare del trattamento concede un'autorizzazione generale affinché il Responsabile del trattamento possa ricorrere a sub-responsabili. L'elenco attuale è pubblicato all'indirizzo /subprocessors. Il Responsabile del trattamento aggiornerà tale pagina almeno trenta (30) giorni prima che un nuovo sub-responsabile inizi il trattamento. Gli avvisi di modifica sono disponibili su richiesta tramite il contatto per la protezione dei dati indicato alla clausola 13; le iscrizioni alle notifiche automatiche sono pianificate ma non sono attualmente disponibili. Il Titolare del trattamento può opporsi entro tale termine per motivi ragionevoli e documentati relativi alla protezione dei dati. Qualora le parti non riescano a comporre l'opposizione, l'unico ed esclusivo rimedio per il Titolare consisterà nel recedere dal servizio interessato mediante comunicazione scritta, con un rimborso pro-rata dei corrispettivi prepagati per il periodo non goduto. La mancata opposizione entro il termine di preavviso si considera quale approvazione. Ciascun sub-responsabile è vincolato da obblighi in materia di protezione dei dati non meno restrittivi di quelli stabiliti nel presente DPA.

6. Misure di sicurezza

Il protocollo TLS protegge le connessioni ai servizi pubblici. La verifica dei certificati TLS interni del database, TLS autenticato per Redis e la configurazione provider at-rest sono pianificate; tali controlli non sono confermati dal presente accordo.
Controllo degli accessi basato sui ruoli, con autorizzazioni delimitate per team e per banner, e separazione a privilegi minimi tra i ruoli di supporto e di operatore.
Minimizzazione dei dati nei registri dei consensi: gli indirizzi IP dei visitatori e le stringhe user-agent non vengono memorizzati in tali registri; la diagnostica dell'infrastruttura e dei sub-responsabili è gestita separatamente.
Registrazione di audit (audit logging) per determinate azioni di team e di fatturazione in base a una politica di conservazione definita; è pianificato un logging completo per le attività di amministrazione della piattaforma.
Strumenti per il backup del database e la verifica del ripristino, oltre al monitoraggio delle segnalazioni di errore. Sono pianificati test trimestrali documentati di ripristino e la crittografia degli artefatti di backup; il corretto ripristino allo stato attuale non è attestato dal presente accordo.

7. Violazioni dei dati personali

Il Responsabile del trattamento notificherà al Titolare del trattamento, senza ingiustificato ritardo, l'avvenuta conoscenza di una violazione dei dati personali che riguardi i dati personali del Titolare, e fornirà le informazioni in quel momento ragionevolmente disponibili affinché il Titolare possa adempiere ai propri obblighi ai sensi degli articoli 33 e 34 del GDPR. Le informazioni potranno essere fornite gradualmente di pari passo con l'avanzamento delle indagini. La notifica non costituisce un'ammissione di colpa o di responsabilità.

8. Conservazione, restituzione e cancellazione

I registri dei consensi sono conservati per il periodo stabilito dal piano, fatto salvo un override amministrativo approvato e un periodo minimo attuale di dodici mesi, al fine di costituire prova del consenso ai sensi dell'articolo 7, paragrafo 1, del GDPR. Eventuali modifiche ai tempi di conservazione possono essere richieste tramite il contatto per la protezione dei dati ai fini di una valutazione di fattibilità e conformità legale; le impostazioni di conservazione self-service per i clienti sono pianificate ma non sono attualmente disponibili. I Titolari del trattamento possono esportare i propri registri dei consensi in qualsiasi momento dalla dashboard e sono responsabili di provvedere a tale operazione prima della risoluzione. Al momento della risoluzione, su richiesta scritta formulata dal Titolare entro trenta (30) giorni, il Responsabile del trattamento restituirà o cancellerà i dati personali e, in assenza di tale richiesta, potrà procedere alla loro cancellazione. Le copie conservate nei backup di routine sono gestite mediante il consueto ciclo di rotazione dei backup anziché tramite cancellazione immediata su richiesta, e rimangono soggette al presente DPA fino alla loro cancellazione. La crittografia degli artefatti di backup è pianificata e non è attualmente prevista dallo script di backup; la conservazione e la scadenza delle copie remote richiedono una verifica operativa. Il Responsabile del trattamento può conservare i dati laddove imposto dal diritto dell'Unione o degli Stati membri.

9. Audit

Il Responsabile del trattamento metterà a disposizione le informazioni necessarie per dimostrare la conformità al presente DPA. Il diritto di verifica del Titolare del trattamento è soddisfatto in prima battuta dalle risposte scritte fornite dal Responsabile a un questionario di sicurezza ragionevole e da eventuali relazioni o certificazioni di terze parti in suo possesso. Una verifica in loco o pratica potrà essere condotta unicamente qualora tali elementi risultino oggettivamente insufficienti o laddove richiesto da un'autorità di controllo, con un preavviso scritto di almeno trenta (30) giorni, non più di una volta in qualsiasi periodo di dodici mesi, durante il normale orario di lavoro, senza arrecare intralcio alle operazioni del Responsabile, a cura del Titolare o di un revisore indipendente che non sia un concorrente del Responsabile e che sia vincolato da obbligo di riservatezza. Il Titolare sostiene i propri costi e rimborsa al Responsabile i costi ragionevoli sostenuti per lo svolgimento di tale audit.

10. Trasferimenti internazionali

I dati personali sono ospitati all'interno dell'Unione Europea. Laddove un sub-responsabile indicato su /subprocessors tratti dati al di fuori dello SEE, il trasferimento viene eseguito conformemente alle Clausole contrattuali tipo della Commissione europea o ad altro valido meccanismo di trasferimento, unitamente all'adozione di ogni misura supplementare richiesta.

11. Responsabilità del Titolare del trattamento

Il Titolare del trattamento determina quali dati personali vengono raccolti tramite il Servizio e per quali finalità. Il Titolare garantisce di disporre di una valida base giuridica per tale trattamento, che le proprie istruzioni — incluse le configurazioni relative a banner, categorie e ambiti regionali — siano conformi alla normativa applicabile in materia di protezione dei dati, e di aver fornito tutte le informative e acquisito tutti i consensi richiesti per il proprio utilizzo.

Il Servizio è uno strumento atto a registrare e trasmettere il consenso. Esso non costituisce consulenza legale e il Responsabile del trattamento non garantisce che una specifica configurazione renda il Titolare conforme al GDPR, alla direttiva ePrivacy o a qualsivoglia altra normativa. Il Titolare è tenuto a verificare che la propria configurazione soddisfi i propri obblighi di legge.

Il Titolare del trattamento manleverà e terrà indenne il Responsabile del trattamento da qualsiasi reclamo, sanzione e costo derivante dalle istruzioni del Titolare, dalla sua configurazione del Servizio o dalla mancata acquisizione di una valida base giuridica.

12. Responsabilità

La responsabilità complessiva di ciascuna parte derivante dal presente DPA o ad esso relativa è soggetta alle esclusioni e al massimale aggregato di responsabilità previsto nei Termini di servizio; la responsabilità delle parti ai sensi del presente DPA e dei Termini di servizio concorre al raggiungimento di tale unico massimale anziché cumularsi separatamente. Nessuna disposizione della presente clausola limita le responsabilità che non possono essere limitate per legge, compresi i diritti spettanti all'interessato ai sensi dell'articolo 82 del GDPR.

Consulta i Termini di servizio per il massimale applicabile.

13. Contatti

Richieste relative alla protezione dei dati: [email protected] · Ufficio legale: [email protected]

Accordo sul trattamento dei dati (DPA)