Il presente Accordo sul trattamento dei dati (il “DPA”) costituisce parte integrante dell'Accordo tra ELXAO SASU (il “Responsabile”) e il cliente (il “Titolare”) e attua l'articolo 28 del Regolamento (UE) 2016/679 (il “GDPR”) e della legge francese sulla protezione dei dati (Loi n° 78-17 del 6 gennaio 1978 e successive modifiche). Si applica ogniqualvolta ELXAO tratti dati personali per conto del Titolare nel corso della fornitura dei Servizi.
Definizioni
I termini “dati personali”, “trattamento”, “titolare”, “responsabile”, “sub-responsabile”, “interessato”, “dati di categorie particolari” e “violazione dei dati personali” hanno il significato attribuito all’articolo 4 del GDPR. I termini del Contratto si applicano al presente DPA, salvo laddove il presente DPA li prevalga espressamente.
Oggetto, durata e natura del trattamento
| Prodotto | Descrizione |
|---|---|
| Oggetto | Fornitura di servizi di operazioni di marketing (siti web, SEO, media a pagamento, analisi, CRM/e-mail, branding, social media, localizzazione, PM/eventi) per conto del Titolare. |
| Durata | Durata dell'Incarico, più i periodi di conservazione indicati di seguito. |
| Natura e scopo | Archiviazione, organizzazione, analisi, trasferimento, hosting e cancellazione dei dati personali come richiesto per fornire i Servizi. |
| Categorie di interessati | Utenti finali, potenziali clienti, clienti, abbonati, dipendenti, fornitori e partecipanti agli eventi del titolare del trattamento. |
| Categorie di dati personali | Dati identificativi (nome, titolo), dati di contatto (email, telefono, indirizzo postale), dati professionali (azienda, ruolo), identificatori online (IP, cookie, ID dispositivi), dati comportamentali (clic, sessioni, conversioni), dati commerciali (ordini, fatturazione), dati di eventi (registrazioni, presenze, badge, registrazioni). |
| Dati di categorie speciali | Non elaborato per impostazione predefinita. Qualsiasi eccezione richiede istruzioni scritte e garanzie aggiuntive. |
Ruoli e istruzioni
Il Titolare determina le finalità e i mezzi del trattamento. ELXAO tratta i dati personali esclusivamente sulla base delle istruzioni documentate del Titolare, formalizzate dal Contratto, dagli ordini, dagli SLA, dalla Privacy Policy del Titolare e da eventuali specifiche istruzioni scritte successivamente inviate. ELXAO informerà il Titolare senza indebito ritardo se ritiene che un'istruzione violi la normativa sulla protezione dei dati.
Riservatezza del personale
ELXAO garantisce che ogni soggetto autorizzato al trattamento dei dati personali sia vincolato da un obbligo di riservatezza applicabile (contratto di lavoro, contratto di libera professione o NDA) e abbia ricevuto una formazione in materia di protezione dei dati personali adeguata al proprio ruolo.
Misure di sicurezza
ELXAO mette in atto misure tecniche e organizzative adeguate (articolo 32 GDPR), tra cui:
- Crittografia TLS 1.2+ in transito e crittografia AES-256 a riposo per archivi dati di produzione.
- Controllo degli accessi basato sui ruoli con il principio del privilegio minimo; autenticazione a più fattori obbligatoria per tutti gli amministratori.
- Infrastruttura rafforzata, ospitata nell'UE, con scansione e patch regolari delle vulnerabilità.
- Revisione del codice, gestione dei segreti, SDLC sicuro e separazione degli ambienti di produzione/staging.
- Registrazione centralizzata e protetta dall'integrità; avvisi su eventi sospetti di autenticazione ed esportazione di dati.
- Backup crittografati e geograficamente separati con test di ripristino documentati.
- Procedure di onboarding/offboarding del personale, gestore di password, laptop protetti con crittografia dell'intero disco.
- Continuità aziendale e piani di risposta agli incidenti rivisti almeno una volta all'anno.
Sottotrattamento
Il Titolare concede a ELXAO un’autorizzazione generale a coinvolgere sub-responsabili per lo svolgimento di specifiche attività di trattamento (hosting, recapito di posta elettronica, analisi, piattaforme pubblicitarie, strumenti di assistenza clienti, piattaforme di gestione degli eventi). ELXAO mantiene un elenco aggiornato dei sub-responsabili, disponibile su richiesta all’indirizzo [email protected], e darà un preavviso di almeno trenta (30) giorni prima di qualsiasi aggiunta o sostituzione prevista, durante il quale il Titolare potrà opporsi per ragionevoli motivi di protezione dei dati. ELXAO impone a ciascun sub-responsabile obblighi di protezione dei dati non meno rigorosi di quelli previsti dal presente DPA.
Trasferimenti internazionali
I dati personali vengono trattati principalmente all’interno dello Spazio Economico Europeo (SEE). Laddove il trattamento comporti un trasferimento al di fuori del SEE verso un paese senza una decisione di adeguatezza, ELXAO si basa su garanzie adeguate ai sensi dell'articolo 46 GDPR, principalmente le clausole contrattuali standard (SCC) della Commissione europea del 4 giugno 2021, integrate da eventuali misure aggiuntive richieste dalla valutazione dell'impatto del trasferimento.
Assistenza al Titolare
ELXAO assiste il Titolare, mediante adeguate misure tecniche e organizzative, nell'adempimento degli obblighi di risposta alle richieste dell'interessato (articoli 12–22 GDPR) e nel garantire il rispetto degli articoli 32–36 GDPR (sicurezza, notifica di violazione, DPIA, consultazione preventiva). L'assistenza standard è inclusa nei Servizi; il lavoro sostanziale superiore a un (1) giorno lavorativo per richiesta può essere fatturato alle tariffe professionali allora correnti di ELXAO previo preavviso scritto.
Violazione dei dati personali
ELXAO informa il Titolare senza ingiustificato ritardo e in ogni caso entro settantadue (72) ore dal momento in cui è venuto a conoscenza di una violazione dei dati personali che colpisce i dati del Titolare. La notifica include la natura della violazione, le categorie e i volumi approssimativi interessati, le probabili conseguenze e le misure adottate o proposte per affrontarla.
Audit
ELXAO mette a disposizione del Titolare, su richiesta ragionevole e non più di una volta all'anno (salvo a seguito di violazione), le informazioni necessarie a dimostrare la conformità al presente DPA, comprese le relazioni di tipo ISO 27001/SOC 2 dei sub-responsabili quando disponibili. Gli audit in loco possono essere condotti dal Titolare o da un revisore terzo reciprocamente approvato e vincolato dalla riservatezza, a spese del Titolare, con ragionevole preavviso e durante l'orario lavorativo, in modo da non interrompere irragionevolmente le operazioni di ELXAO.
Restituzione o cancellazione dei dati
Alla risoluzione del Contratto, ELXAO, su scelta espressa dal Titolare entro trenta (30) giorni, restituirà tutti i dati personali in un formato strutturato, di uso comune e leggibile da dispositivo automatico, oppure li cancellerà da tutti i sistemi produttivi e operativi. Le copie di backup vengono eliminate secondo il ciclo di rotazione standard (fino a novanta (90) giorni) e possono essere conservate oltre tale periodo solo ove richiesto dalla legge applicabile, nel qual caso rimangono soggette agli obblighi di sicurezza e riservatezza del presente DPA.
Responsabilità
Le disposizioni sulla responsabilità della MSA si applicano ai reclami derivanti dal presente DPA. Ciascuna parte resta responsabile nei confronti degli interessati e delle autorità di controllo ai sensi dell'articolo 82 GDPR.
Contatto
Per qualsiasi domanda, richiesta o comunicazione relativa alla protezione dei dati ai sensi del presente DPA, contattare ELXAO all’indirizzo [email protected].