Accordo sul trattamento dei dati
Ultimo aggiornamento:
Questa traduzione è fornita per comodità. In caso di differenze rispetto alla versione inglese, prevale la versione inglese.
Il presente Accordo sul trattamento dei dati (“DPA”) costituisce parte integrante dei Termini di servizio tra il cliente (“Titolare”) e Tomas Pesek, Dritec 214, 533 05 Repubblica Ceca, n. di identificazione (IČO) 74861280 (“Responsabile”) e si applica ogni volta che il Responsabile tratta dati personali per conto del Titolare tramite Frontmail.
1. Oggetto e durata
Il Responsabile tratta dati personali al fine di recapitare messaggi email, conservare la cronologia dei messaggi, gestire contatti e liste di soppressione e fornire statistiche, per tutto il tempo in cui il Titolare utilizza il Servizio.
2. Natura del trattamento
| Elemento | Descrizione |
|---|---|
| Interessati | destinatari e mittenti dei messaggi (ad es. visitatori di siti web che inviano moduli), contatti, membri del team |
| Categorie di dati | indirizzi email, nomi e qualsiasi altro dato che il Titolare inserisce nei parametri dei modelli o negli allegati; eventi di recapito (recapitato, rimbalzato, aperto, cliccato); indirizzo IP e user agent degli invii dei moduli |
| Categorie particolari | non previste; il Titolare non deve inviare categorie particolari di dati salvo che siano adeguatamente protette e concordate per iscritto |
| Operazioni di trattamento | ricezione, convalida, composizione, conservazione, trasmissione al provider email del Titolare, registrazione, cancellazione |
3. Obblighi del Responsabile
Il Responsabile si impegna a:
- trattare i dati personali soltanto su istruzione documentata del Titolare, inclusa la configurazione effettuata nella dashboard e tramite l’API;
- garantire che le persone autorizzate al trattamento dei dati siano vincolate alla riservatezza;
- adottare misure tecniche e organizzative adeguate (Allegato 1);
- assistere il Titolare in relazione alle richieste degli interessati, alla sicurezza, alla notifica delle violazioni e alle valutazioni d’impatto sulla protezione dei dati;
- notificare al Titolare una violazione dei dati personali senza ingiustificato ritardo e comunque entro [48] ore dal momento in cui ne è venuto a conoscenza;
- cancellare o restituire tutti i dati personali al termine del Servizio, salvo che la conservazione sia richiesta dalla legge;
- mettere a disposizione le informazioni necessarie a dimostrare il rispetto degli obblighi e consentire le attività di revisione [procedura di audit da definire].
4. Sub-responsabili
Il Titolare concede un’autorizzazione generale a ricorrere ai sub-responsabili elencati di seguito. Il Responsabile informerà il Titolare delle modifiche previste con almeno [30] giorni di anticipo; il Titolare può opporsi per motivi ragionevoli.
| Sub-responsabile | Finalità | Ubicazione |
|---|---|---|
| Amazon Web Services EMEA SARL | hosting, archiviazione, code, chiavi di cifratura | UE (Francoforte) |
| Cloudflare, Inc. | DNS, protezione dai bot (Turnstile) | globale, SCC |
| Google Cloud EMEA Ltd. | statistiche di utilizzo (BigQuery) | [REGIONE DA CONFERMARE] |
| Stripe Payments Europe, Ltd. | fatturazione (solo dati di fatturazione del Titolare) | UE / USA, SCC |
I provider email collegati dal Titolare (ad esempio Gmail, Mailgun o un server SMTP) sono scelti e contrattualizzati dal Titolare e non sono sub-responsabili del Responsabile.
5. Trasferimenti internazionali
I trasferimenti al di fuori dello SEE avvengono esclusivamente sulla base di una decisione di adeguatezza o di clausole contrattuali tipo (SCC), con misure supplementari ove necessarie.
Allegato 1 – Misure tecniche e organizzative
- Cifratura in transito (TLS 1.2+) e a riposo; credenziali dei provider cifrate con chiavi dati per singolo record (cifratura a busta con AWS KMS).
- Accesso secondo il principio del privilegio minimo, autenticazione a più fattori per il personale, registrazione delle azioni sensibili nel registro di audit.
- Ambienti di produzione e di sviluppo separati; backup con ripristino point-in-time in produzione.
- Limiti di conservazione in base al piano; cancellazione automatica dei contenuti dei messaggi scaduti.
- Limitazione della frequenza delle richieste, protezione dai bot e rilevamento delle anomalie per prevenire gli abusi.
[Blocco firme / meccanismo di accettazione click-through da definire.]