Accordo sul trattamento dei dati (DPA)

Il presente Accordo sul trattamento dei dati personali («DPA») integra i Termini di servizio tra Design Web Multimedia Agency, Italy, P.IVA 04018830135 (il «Responsabile») e il Cliente indicato nell'account (il «Titolare»), ai sensi dell'art. 28 del Regolamento (UE) 2016/679 («GDPR»). Si applica ai dati personali che il Titolare inserisce nel Servizio e che il Responsabile tratta per suo conto.

1. Oggetto, natura e finalità

Il Responsabile fornisce al Titolare un gestionale online. Per farlo conserva, organizza, elabora, mostra, esporta e cancella i dati inseriti dal Titolare e dai suoi utenti, e li trasmette ai servizi di terzi che il Titolare collega al proprio account (ad es. posta, firma elettronica, pagamenti, fatturazione elettronica). La finalità è esclusivamente l'erogazione del Servizio secondo i Termini e le istruzioni documentate del Titolare.

2. Durata

Il DPA dura quanto il contratto di servizio e continua a valere finché il Responsabile conserva dati del Titolare (articolo 9).

3. Categorie di dati e di interessati

• Interessati: clienti, potenziali clienti, fornitori, collaboratori e dipendenti del Titolare, utenti del portale clienti, persone di contatto, utenti dell'account.
• Dati: dati anagrafici e di contatto, codici fiscali e partite IVA, indirizzi, dati di documenti commerciali e contabili (preventivi, fatture, incassi, spese, contratti), messaggi e allegati, ore lavorate, dati di accesso degli utenti. Il Titolare non deve inserire categorie particolari di dati (art. 9 GDPR) o dati su condanne penali se non strettamente necessario, e se lo fa ne risponde.

4. Obblighi del Responsabile

1. Tratta i dati solo su istruzioni documentate del Titolare; i Termini, questo DPA e le impostazioni del Servizio sono le istruzioni complete. Se ritiene che un'istruzione violi la normativa, ne informa il Titolare.
2. Garantisce che le persone autorizzate al trattamento siano vincolate alla riservatezza.
3. Adotta le misure di sicurezza dell'Allegato A.
4. Rispetta le condizioni dell'articolo 5 per i sub-responsabili.
5. Assiste il Titolare, con misure tecniche e organizzative adeguate, nel rispondere alle richieste degli interessati: il Servizio consente di accedere, rettificare, esportare ed eliminare i dati; per quanto non sia possibile in autonomia il Responsabile collabora a richiesta.
6. Assiste il Titolare negli obblighi di sicurezza, di notifica delle violazioni, di valutazione d'impatto e di consultazione preventiva, tenuto conto della natura del trattamento e delle informazioni a sua disposizione.
7. Notifica al Titolare le violazioni di dati personali senza ingiustificato ritardo e comunque entro 48 ore dalla scoperta, con le informazioni disponibili.
8. Su richiesta mette a disposizione le informazioni necessarie per dimostrare il rispetto del DPA e consente audit ragionevoli, con preavviso di almeno 30 giorni, in orari lavorativi e senza compromettere la sicurezza o i dati di altri clienti; l'audit può svolgersi anche tramite documentazione o relazioni di terzi.

5. Sub-responsabili

Il Titolare autorizza in generale il ricorso a sub-responsabili. Quelli in uso sono nell'Allegato B. Il Responsabile informa il Titolare di aggiunte o sostituzioni con almeno 30 giorni di preavviso (email o avviso nell'account); il Titolare può opporsi per motivi ragionevoli legati alla protezione dei dati e, se non si trova una soluzione, può recedere dal contratto con rimborso della parte di periodo pagato e non goduto. Il Responsabile impone ai sub-responsabili obblighi equivalenti a questo DPA e risponde nei confronti del Titolare del loro operato.

I servizi che il Titolare sceglie e collega da sé (ad es. il proprio account Stripe, un servizio di firma elettronica, un software di fatturazione elettronica, un archivio cloud) non sono sub-responsabili del Responsabile: il Titolare li incarica direttamente e decide quali dati inviare loro.

6. Trasferimenti extra SEE

Il Responsabile non trasferisce i dati fuori dallo Spazio economico europeo se non sulla base di una decisione di adeguatezza o di clausole contrattuali standard, con eventuali misure supplementari. L'elenco dei trasferimenti è nell'Allegato B.

7. Obblighi del Titolare

Il Titolare garantisce di avere una base giuridica per i dati che inserisce, di aver informato gli interessati, di usare il Servizio nel rispetto della legge e di gestire in modo sicuro le credenziali degli utenti. Resta responsabile dell'esattezza dei dati e della scelta dei servizi di terzi che collega.

8. Esportazione e restituzione

Il Titolare può esportare in qualsiasi momento tutti i dati (tabelle, documenti emessi, allegati) dall'area Account e dati. Alla fine del contratto vale il periodo di sola esportazione previsto dai Termini.

9. Cancellazione

Dopo la chiusura dell'account e al termine del periodo di conservazione indicato nei Termini (10 giorni), il Responsabile cancella o anonimizza i dati del Titolare e le relative copie, salvo che il diritto dell'Unione o nazionale imponga la conservazione. Su richiesta conferma per iscritto la cancellazione.

10. Responsabilità

Ciascuna parte risponde secondo il GDPR. Per il rapporto tra le parti si applicano i limiti di responsabilità dei Termini, salvo le responsabilità che la legge non permette di limitare.

11. Legge e foro

Il DPA è regolato dalla legge italiana; si applica il foro previsto dai Termini.

Allegato A — Misure di sicurezza tecniche e organizzative

• Separazione dei dati: un database dedicato per ogni account; nessuna tabella condivisa fra clienti; gli accessi del Servizio si risolvono dal dominio e non da dati forniti dal client.
• Controllo degli accessi: ruoli e permessi per azione; password conservate con hash; verifica in due passaggi (app di autenticazione) e passkey; codici di recupero monouso; obbligo di verifica in due passaggi per gli amministratori secondo la politica dell'account; sessioni registrate, visibili e revocabili, con durata massima; limiti di frequenza sui tentativi di accesso.
• Cifratura: segreti dei servizi collegati (chiavi API, password SMTP, token) cifrati nel database con algoritmo autenticato (AES-256-GCM); collegamenti cifrati (HTTPS/TLS) con cookie di sessione protetto.
• Registrazione e monitoraggio: registro degli eventi di sicurezza dell'account (accessi, modifiche di sicurezza, esportazioni) con conservazione configurabile; registro delle operazioni sui documenti.
• Integrità dei documenti: i documenti fiscali emessi sono immutabili; le correzioni avvengono con note di credito tracciate.
• Applicazione: protezione dalle richieste ingannevoli (token CSRF), controllo del tipo di file sul contenuto reale, escape dell'output, controllo delle destinazioni dei collegamenti in uscita (webhook) contro l'accesso a reti interne.
• Esportazione e cancellazione: esportazione completa dei dati dal Servizio; chiusura in due tempi; cancellazione secondo l'articolo 9.
• Organizzazione: accesso del personale ai dati dei clienti limitato al necessario per assistenza e manutenzione, vincolo di riservatezza.

Allegato B — Sub-responsabili e trasferimenti

Sub-responsabile	Servizio	Luogo / garanzie
IONOS SE	Server e infrastruttura che ospitano il Servizio e i database
Google Ireland Limited	Invio delle email del Servizio	UE; eventuali trasferimenti secondo le garanzie di Google (clausole contrattuali standard / DPF)
Cloudflare, Inc.	Controllo anti-bot (Turnstile) sul modulo di iscrizione	Clausole contrattuali standard / DPF
Stripe Payments Europe Ltd.	Incasso dei corrispettivi del Servizio (dati del solo Titolare come cliente del Fornitore)	UE; trasferimenti secondo le garanzie di Stripe