Accordo sul trattamento dei dati

Il presente accordo è parte integrante delle Condizioni del servizio e concretizza gli obblighi delle parti nel trattamento dei dati personali.

Titolare del trattamento (Committente): il Cliente.

Responsabile del trattamento (Incaricato):

Zakomo FZCO
IFZA, Dubai Silicon Oasis
Dubai, Emirati Arabi Uniti

1. Oggetto e durata

1.1 Oggetto è il trattamento dei dati personali che il Titolare immette nell'ambito dell'utilizzo della Piattaforma Growmindr o fa raccogliere tramite essa.

1.2 La durata corrisponde alla durata del contratto principale. L'accordo cessa automaticamente con la cessazione di quest'ultimo; gli obblighi di cui alla sezione 10 permangono oltre tale cessazione.

2. Natura, finalità e portata del trattamento

2.1 Finalità: gestione e arricchimento dei dati di contatto, creazione e approvazione di contenuti, pianificazione e invio di messaggi di outreach inclusa l'elaborazione delle risposte e delle disiscrizioni, ricerca e monitoraggio dei collegamenti, gestione del team e dell'account nonché analisi delle operazioni menzionate per il Titolare.

2.2 Natura del trattamento: raccolta, registrazione, organizzazione, memorizzazione, adattamento, lettura, interrogazione, utilizzo, trasmissione, limitazione, cancellazione e distruzione.

2.3 Categorie di interessati: destinatari di messaggi di outreach, referenti presso le aziende target nonché dipendenti e incaricati del Titolare che utilizzano la Piattaforma.

2.4 Categorie di dati personali: dati di contatto (nome, indirizzo e-mail aziendale, numero di telefono, posizione, datore di lavoro, profili pubblicamente accessibili), contenuti della comunicazione, dati di recapito e di interazione (recapito, aperture, clic, risposte, disiscrizioni), informazioni di valutazione e di stato nonché dati dell'account e dei ruoli degli utenti.

2.5 Categorie particolari di dati personali ai sensi dell'art. 9 GDPR non sono oggetto dell'incarico. Il Titolare non immetterà tali dati nella Piattaforma.

3. Potere di istruzione

3.1 L'Incaricato tratta i dati personali esclusivamente su istruzione documentata del Titolare. L'utilizzo delle funzioni della Piattaforma da parte del Titolare vale come istruzione; eventuali istruzioni individuali ulteriori avvengono in forma testuale all'indirizzo [email protected].

3.2 Qualora l'Incaricato ritenga illecita un'istruzione, lo comunica senza indugio e può sospenderne l'esecuzione fino al chiarimento.

3.3 Un trattamento al di fuori delle istruzioni ha luogo solo nella misura in cui l' Incaricato vi sia obbligato in base al diritto dell'Unione o al diritto di uno Stato membro; in tal caso egli informa preventivamente il Titolare, salvo che il diritto lo vieti.

4. Riservatezza

L'Incaricato vincola per iscritto alla riservatezza le persone incaricate del trattamento, nella misura in cui non siano già soggette a un obbligo legale di segretezza. L'obbligo permane anche dopo la cessazione dell'attività.

5. Misure tecniche e organizzative

L'Incaricato adotta le misure descritte nell'Allegato 1 ai sensi dell' art. 32 GDPR. Egli può evolverle, purché non venga ridotto il livello di protezione.

6. Sub-responsabili del trattamento

6.1 Il Titolare concede un'autorizzazione generale all'incarico dei seguenti sub-responsabili del trattamento:

• Cloudflare — erogazione e messa in sicurezza del sito web. Sede USA;

trasmissione sulla base di Clausole contrattuali standard.

6.2 Paddle opera per l'elaborazione dei pagamenti in qualità di Merchant of Record ed è a tal riguardo titolare del trattamento autonomo, non sub-responsabile del trattamento.

6.3 Database, archivio oggetti, misurazione dell'audience e le funzioni di IA per la creazione di testi sono gestiti dall'Incaricato su infrastruttura propria a Dubai, Emirati Arabi Uniti. A tal riguardo non ha luogo alcun incarico di terzi; per la trasmissione verso gli Emirati Arabi Uniti si applica la sezione 12.

6.4 I servizi che il Titolare collega autonomamente depositando una propria chiave di accesso — in particolare Hunter.io e Apollo.io per l' arricchimento dei contatti nonché un proprio mail server per l'invio —, operano per conto e sotto la responsabilità del Titolare. Il Titolare stipula autonomamente con tali fornitori gli accordi necessari.

6.5 Qualora l'Incaricato intenda utilizzare un ulteriore sub-responsabile del trattamento o sostituirne uno esistente, informa il Titolare con almeno 30 giorni di anticipo in forma testuale. Il Titolare può opporsi entro 14 giorni per un importante motivo di protezione dei dati. Qualora l'obiezione non possa essere superata, ciascuna parte può recedere dal contratto principale al momento previsto per il cambio.

7. Obblighi di assistenza

7.1 L'Incaricato assiste il Titolare con misure adeguate nella risposta alle istanze degli interessati. La Piattaforma mette a disposizione a tal fine funzioni di esportazione e cancellazione nonché una lista di blocco permanente per gli indirizzi disiscritti.

7.2 Qualora un interessato si rivolga direttamente all'Incaricato, questi inoltra la richiesta senza indugio al Titolare e non vi risponde autonomamente.

7.3 L'Incaricato assiste il Titolare nell'osservanza degli artt. da 32 a 36 GDPR, in particolare in una valutazione d'impatto sulla protezione dei dati, nella misura in cui le indicazioni necessarie siano in possesso solo di lui.

8. Notifica delle violazioni della protezione dei dati personali

L'Incaricato notifica al Titolare una violazione della protezione dei dati personali senza indugio, al più tardi entro 48 ore dalla conoscenza, in forma testuale. La notifica contiene, per quanto noto, la natura dell'incidente, le categorie di dati interessate, il numero approssimativo degli interessati, le probabili conseguenze e le contromisure adottate. L'Incaricato non effettua la notifica all' autorità di controllo; tale obbligo incombe sul Titolare.

9. Prove e controlli

9.1 L'Incaricato comprova su richiesta in modo adeguato il rispetto del presente contratto, in particolare mediante informazioni e presentazione della documentazione relativa alle misure di cui all'Allegato 1.

9.2 Il Titolare ha il diritto di accertarsi del rispetto, previa comunicazione con termine adeguato, durante i consueti orari di lavoro. I controlli avvengono senza perturbazione evitabile dello svolgimento operativo e al massimo una volta per anno solare, salvo che un particolare motivo giustifichi un controllo aggiuntivo. Gli oneri che vadano oltre una semplice informazione, l'Incaricato può addebitarli in misura adeguata.

10. Cancellazione e restituzione

10.1 Dopo la cessazione del contratto principale l'Incaricato mette a disposizione del Titolare i dati per l'esportazione per 30 giorni e li cancella successivamente.

10.2 Le copie di backup vengono sovrascritte a rotazione e rimosse definitivamente al più tardi 14 giorni dopo la cancellazione nel sistema produttivo.

10.3 Sono esclusi dalla cancellazione i dati per i quali sussiste un obbligo legale di conservazione, nonché la lista di blocco degli indirizzi disiscritti, la cui conservazione è necessaria all'adempimento dell'obbligo di cui all'art. 21, par. 3, GDPR; tali dati vengono corrispondentemente limitati nel trattamento.

11. Responsabilità e disposizioni finali

11.1 Per la responsabilità si applica in via corrispondente la sezione 10 delle Condizioni del servizio; resta impregiudicato l'art. 82 GDPR.

11.2 In caso di contrasti tra il presente contratto e il contratto principale, il presente contratto prevale nelle questioni di protezione dei dati.

11.3 Si applica il diritto della Repubblica federale di Germania.

12. Trasferimento verso un paese terzo

12.1 L'Incaricato ha la propria sede e gestisce i propri sistemi negli Emirati Arabi Uniti. Per tale paese non sussiste alcuna decisione di adeguatezza della Commissione europea ai sensi dell'art. 45 GDPR.

12.2 Per i trasferimenti di dati personali dallo Spazio economico europeo all'Incaricato si applicano pertanto le Clausole contrattuali standard della Commissione europea di cui alla decisione di esecuzione (UE) 2021/914 del 4 giugno 2021, e precisamente il Modulo 2 (da titolare del trattamento a responsabile del trattamento). Esse vengono con il presente incluse in pieno ambito nel presente contratto e, in caso di contrasti, prevalgono su di esso.

12.3 Per la compilazione degli allegati delle Clausole contrattuali standard si applica quanto segue:

• Allegato I.A (Parti): l'esportatore di dati è il Titolare,

l'importatore di dati è l'Incaricato; le indicazioni risultano dal preambolo del presente contratto e dai dati anagrafici dell'account del Titolare.

• Allegato I.B (Descrizione del trasferimento): sezione 2 del presente contratto.
• Allegato I.C (Autorità di controllo competente): l'autorità di controllo dello

Stato membro in cui il Titolare è stabilito; se egli non è stabilito nell'Unione, l'autorità dello Stato membro in cui si trovano gli interessati.

• Allegato II (Misure tecniche e organizzative): Allegato 1 del presente

contratto.

• Allegato III (Elenco dei sub-responsabili del trattamento): sezione 6 del presente

contratto.

12.4 Per le opzioni delle clausole si applica quanto segue: la Clausola 7 (clausola di adesione) trova applicazione. Per la Clausola 9 si applica l'Opzione 2 (autorizzazione scritta generale) con il termine concordato nella sezione 6.5. La facoltativa Clausola 11, lett. a (organismo indipendente di risoluzione delle controversie) non trova applicazione. Per la Clausola 17 si applica il diritto dell'Irlanda, per la Clausola 18, lett. b, sono competenti i tribunali dell'Irlanda. La sezione 11.3 del presente contratto e la scelta della legge delle Condizioni del servizio restano impregiudicate e si applicano a tutte le restanti questioni.

12.5 L'Incaricato conferma di non essere a conoscenza di alcuna disposizione di legge che gli impedisca di adempiere le Clausole contrattuali standard. Qualora riceva un'ingiunzione dell'autorità alla consegna di dati trasmessi, ne informa il Titolare, nella misura in cui ciò sia giuridicamente ammissibile, e impugna l' ingiunzione, nella misura in cui sussistano sufficienti prospettive di successo. In via integrativa si applicano le misure dell'Allegato 1.

12.6 Su richiesta l'Incaricato mette a disposizione del Titolare una copia firmata delle Clausole contrattuali standard.

13. Diritto applicabile degli Emirati Arabi Uniti

Indipendentemente dal GDPR, l'Incaricato è soggetto alla Legge federale n. 45 del 2021 degli Emirati Arabi Uniti sulla protezione dei dati personali (PDPL). Nella misura in cui gli obblighi da essa derivanti si sovrappongano a quelli del presente contratto, l'Incaricato adempie di volta in volta l'obbligo più ampio.

Allegato 1 — Misure tecniche e organizzative ai sensi dell'art. 32 GDPR

Riservatezza — Controllo degli accessi fisici. I sistemi sono gestiti in un centro di calcolo a Dubai, Emirati Arabi Uniti. L'accesso fisico è limitato alle persone autorizzate e viene registrato.

Riservatezza — Controllo dell'accesso ai sistemi. Accesso tramite account individuali con password sottoposte ad hashing secondo lo stato dell'arte. Le sessioni scadono dopo 15 minuti di inattività. I cookie di sessione sono httpOnly, SameSite=Strict e vengono trasmessi esclusivamente tramite HTTPS. L'accesso amministrativo ai sistemi produttivi avviene esclusivamente tramite SSH con autenticazione a chiave.

Riservatezza — Controllo dell'accesso ai dati. Autorizzazioni basate sui ruoli (Titolare, Amministratore, Redattore, Revisore, Visualizzatore). La separazione dei tenant viene inoltre applicata a livello di database mediante Row-Level Security, che in caso di errore nega l'accesso anziché consentirlo. Gli accessi automatici tra i servizi avvengono solo tramite token di servizio di breve durata e firmati.

Riservatezza — Controllo della separazione. Ogni cliente opera in un proprio tenant; ogni servizio utilizza un proprio database senza accesso esterno. I record senza un valido riferimento al tenant non sono consultabili.

Integrità — Controllo della trasmissione. Cifratura del trasporto con TLS per tutte le connessioni da e verso la Piattaforma. I servizi interni sono raggiungibili esclusivamente tramite l'interfaccia locale e non esposti pubblicamente.

Integrità — Controllo dell'immissione. Le operazioni rilevanti per la sicurezza vengono registrate con momento e account operante in un registro delle attività.

Disponibilità e resilienza. Backup automatico giornaliero del database con un periodo di conservazione di 14 giorni. Monitoraggio dei servizi con riavvio automatico in caso di anomalia. Protezione dal sovraccarico mediante limitazione della frequenza.

Procedura di verifica e valutazione. Le dipendenze vengono regolarmente verificate e aggiornate rispetto a vulnerabilità note. Le credenziali di accesso si trovano al di fuori del controllo di versione. Le modifiche all'ambiente produttivo avvengono tramite un processo di rilascio tracciabile.

Controllo dell'incarico. I sub-responsabili del trattamento vengono utilizzati solo secondo la sezione 6 del presente contratto e vincolati contrattualmente a un corrispondente livello di protezione.