Accordo sul trattamento dei dati (DPA)

Versione 1.0 · In vigore dal 2026-10-23

Questa è una traduzione. Per i clienti professionisti prevale la versione in lingua inglese. Per i consumatori con residenza abituale in un Paese in cui l'italiano è lingua ufficiale, la presente versione fa fede quanto la versione in lingua inglese; se le due versioni divergono, si applica il significato più favorevole al consumatore. Per gli altri consumatori prevale la versione in lingua inglese, salvo che le norme imperative a tutela dei consumatori del loro Paese dispongano diversamente.

Il presente Accordo sul trattamento dei dati (il «DPA») costituisce parte integrante del contratto tra il Cliente e il Fornitore relativo al servizio Consentl utilizzato dal Cliente (il «Contratto»):

• per Consentl per Shopify (l'app Shopify): i Termini di servizio e l'Appendice 1;
• per Consentl per siti web (il pannello di controllo all'indirizzo app.consentl.com, l'API all'indirizzo api.consentl.com e le integrazioni per le piattaforme): i Termini di servizio per i siti web e l'Appendice 2.

Il DPA è concluso per via elettronica quando il Cliente lo accetta come descritto nell'Appendice applicabile. Il Fornitore conserva una registrazione dell'accettazione (documento, versione, data e ora, l'account o il negozio e la persona che ha accettato). Il Cliente che desidera una copia controfirmata può richiederla all'indirizzo [email protected].

Parti

• Cliente: l'impresa o la persona che utilizza un servizio Consentl per il proprio negozio online o sito web e accetta il presente DPA, identificata dal suo negozio Shopify (Appendice 1) o dal suo account Consentl (Appendice 2).
• Fornitore: STL EMBEDED CREATIONS SRL, Str. Kovari 75, 400217 Cluj-Napoca, Cluj, Romania; n. di iscrizione al Registro del commercio J2020001305120, codice fiscale (CUI) 42512332 (non registrata ai fini IVA; codice IVA intracomunitario RO46686340). Contatto per il presente DPA: [email protected].

1. Definizioni e ambito di applicazione

1.1 Per «Normativa sulla protezione dei dati» si intendono le leggi applicabili al trattamento ai sensi del presente DPA, in particolare il regolamento (UE) 2016/679 (il «GDPR»), la direttiva 2002/58/CE come recepita negli ordinamenti nazionali, lo UK GDPR e il Data Protection Act 2018, la legge federale svizzera sulla protezione dei dati (la «LPD», in inglese «FADP»), il California Consumer Privacy Act come modificato dal CPRA (il «CCPA») e le altre leggi statali USA sulla privacy, il PIPEDA canadese e la Loi sur la protection des renseignements personnels dans le secteur privé del Québec (la «Legge 25 del Québec»), nonché la LGPD brasiliana, ciascuna come modificata e nella misura in cui sia applicabile.

1.2 Termini come «titolare del trattamento», «responsabile del trattamento», «dati personali», «trattamento», «interessato», «violazione dei dati personali» e «autorità di controllo» hanno il significato loro attribuito dal GDPR. Per le altre leggi comprendono i termini equivalenti (ad esempio «business», «service provider», «consumer» e «personal information» ai sensi del CCPA; «operador» ai sensi della LGPD).

1.3 Per «Dati personali del Cliente» si intendono i dati personali che il Fornitore tratta per conto del Cliente nella fornitura del servizio, come descritti nell'Allegato I. Non comprendono i dati di cui il Fornitore è titolare del trattamento (ad esempio i dati dell'account e del personale del Cliente, i dati di fatturazione, la corrispondenza di assistenza e i log di sicurezza). Tali dati sono descritti nelle informative sulla privacy del Fornitore.

1.4 Per «Indirizzo per le comunicazioni» si intende l'indirizzo e-mail al quale il Fornitore invia le comunicazioni previste dal presente DPA (clausola 15.4), come indicato nell'Appendice 1, S1.6 (Shopify), o nell'Appendice 2, S2.5 (siti web).

1.5 Ordine di prevalenza: in caso di contrasto tra il presente DPA e il Contratto, prevale il presente DPA. In caso di contrasto con le clausole contrattuali tipo o con altre clausole sui trasferimenti incorporate ai sensi della sezione 9, prevalgono tali clausole. Un'Appendice prevale sul corpo del presente DPA per il servizio che essa disciplina.

2. Ruoli

2.1 Il Cliente è il titolare del trattamento dei Dati personali del Cliente, oppure un responsabile del trattamento che agisce per conto di un altro titolare. Il Fornitore è un responsabile del trattamento, oppure un sub-responsabile del trattamento.

2.2 Il Cliente decide se utilizzare ciascuna funzione (banner di consenso e registro dei consensi, modulo per le richieste sui dati personali, funzione di recesso, azioni facoltative sui dati dei clienti, scansione dei cookie) e come configurarla. La configurazione scelta dal Cliente costituisce un'istruzione (sezione 3).

2.3 Cliente che agisce come responsabile del trattamento. Se il Cliente tratta i dati per conto di un altro titolare del trattamento (ad esempio un'agenzia che gestisce siti web o negozi per i propri clienti), il Fornitore è il suo sub-responsabile del trattamento. Il Cliente garantisce che il proprio titolare ha autorizzato il ricorso al Fornitore e ai sub-responsabili del trattamento di cui all'Allegato III, trasmette le istruzioni del titolare e inoltra al proprio titolare le comunicazioni che riceve dal Fornitore. Il Fornitore può fare affidamento sulle istruzioni impartite dal Cliente come se provenissero dal titolare.

2.4 La piattaforma su cui il Cliente gestisce il proprio negozio o sito web (ad esempio Shopify, WordPress, Shopware, PrestaShop, Magento o un website builder) non è un sub-responsabile del trattamento del Fornitore. La piattaforma tratta i dati in base ai propri accordi con il Cliente.

3. Istruzioni (art. 28, par. 3, lett. a), GDPR)

3.1 Il Fornitore tratta i Dati personali del Cliente soltanto su istruzione documentata del Cliente, anche in caso di trasferimento verso paesi terzi, salvo che lo richieda il diritto dell'Unione o dello Stato membro cui è soggetto il Fornitore. In tal caso il Fornitore informa il Cliente circa tale obbligo giuridico prima del trattamento, a meno che il diritto vieti tale informazione per rilevanti motivi di interesse pubblico.

3.2 Le istruzioni documentate del Cliente sono: il presente DPA e il Contratto; le impostazioni e le azioni che il Cliente effettua nel servizio (ad esempio il piano e la conservazione che ne deriva, le esportazioni, le cancellazioni e le azioni sulla privacy con un clic); e altre istruzioni scritte concordate tra le parti.

3.3 Il Fornitore informa immediatamente il Cliente qualora, a suo parere, un'istruzione violi la Normativa sulla protezione dei dati. Il Fornitore non è tenuto a effettuare una verifica giuridica delle istruzioni.

3.4 Il Cliente è responsabile della liceità delle proprie istruzioni, dell'esistenza di una base giuridica per il trattamento, dell'informazione degli interessati (in particolare nella propria informativa sulla privacy e sui cookie) e della configurazione del servizio per il proprio negozio o sito web, i propri tracker e le leggi ad esso applicabili.

3.5 Richieste delle autorità pubbliche. Se un'autorità pubblica richiede Dati personali del Cliente, il Fornitore la rinvia al Cliente, informa il Cliente senza ritardo salvo che la legge lo vieti, contesta una richiesta che ritiene illecita ove abbia ragionevoli motivi per farlo e comunica solo ciò che è legalmente obbligato a comunicare.

4. Riservatezza (art. 28, par. 3, lett. b), GDPR)

4.1 Il Fornitore garantisce che le persone autorizzate al trattamento dei Dati personali del Cliente si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza. L'accesso è limitato alle persone nominativamente individuate che ne hanno bisogno per gestire, assistere o proteggere il servizio (Allegato II).

4.2 Il personale del Fornitore può utilizzare strumenti software, compresi assistenti di programmazione basati sull'IA, per sviluppare e mantenere il servizio. Tali strumenti operano su codice sorgente e dati di test. Non ricevono accesso ai Dati personali del Cliente, alle banche dati di produzione né ai log di produzione (Allegato II). Se il Fornitore dovesse mai decidere diversamente, il fornitore di tale strumento diventa un sub-responsabile del trattamento e si applica la sezione 6 prima del suo utilizzo.

5. Sicurezza (art. 28, par. 3, lett. c), e art. 32 GDPR)

5.1 Il Fornitore attua le misure tecniche e organizzative descritte nell'Allegato II. Esse possono essere aggiornate in funzione dell'evoluzione tecnologica, a condizione che il livello complessivo di protezione non venga ridotto.

5.2 Il Cliente è responsabile della sicurezza dei propri account (account Shopify, account Consentl e membri del team, amministrazione della piattaforma), degli accessi del proprio personale, del codice del proprio sito e delle impostazioni che sceglie.

6. Sub-responsabili del trattamento (art. 28, par. 2 e 4, e art. 28, par. 3, lett. d), GDPR)

6.1 Autorizzazione generale. Il Cliente concede al Fornitore un'autorizzazione scritta generale a ricorrere a sub-responsabili del trattamento. I sub-responsabili del trattamento alla data del presente DPA sono elencati nell'Allegato III e nell'elenco dei sub-responsabili del trattamento, che indica per ciascuno di essi il servizio per cui è utilizzato.

6.2 Comunicazione delle modifiche. Il Fornitore informa il Cliente di eventuali modifiche previste riguardanti l'aggiunta o la sostituzione di un sub-responsabile del trattamento, o una nuova finalità o un nuovo luogo di trattamento di un sub-responsabile esistente, almeno 30 giorni prima della modifica, via e-mail all'Indirizzo per le comunicazioni e con una voce nel registro delle modifiche dell'elenco dei sub-responsabili del trattamento.

6.3 Opposizione. Il Cliente può opporsi entro tale periodo per motivi ragionevoli relativi alla protezione dei dati, via e-mail a [email protected], indicandone i motivi. Il Fornitore risponde entro 14 giorni e offre un'alternativa ragionevole (ad esempio non utilizzare il sub-responsabile del trattamento per il Cliente) oppure spiega perché non può farlo. Se l'opposizione non è risolta entro 30 giorni dalla sua presentazione, il Cliente può recedere dal Contratto per il servizio interessato con effetto anteriore all'applicazione della modifica nei suoi confronti. Il Cliente dovrebbe esportare prima i propri dati (sezione 11).

6.4 Rimborso. In caso di recesso ai sensi della clausola 6.3, il Fornitore rimborsa i corrispettivi pagati per la parte non utilizzata del periodo di fatturazione in corso, come indicato nell'Appendice applicabile.

6.5 Sostituzione d'urgenza. Se un sub-responsabile del trattamento deve essere sostituito con urgenza (incidente di sicurezza, insolvenza, cessazione del rapporto o inadempimento da parte del sub-responsabile), il Fornitore può effettuare la modifica con un preavviso più breve. Ne informa il Cliente il prima possibile. Il Cliente può comunque opporsi ai sensi della clausola 6.3; se recede, il rimborso di cui alla clausola 6.4 è calcolato a partire dalla data della modifica.

6.6 Trasferimento degli obblighi e responsabilità. Il Fornitore impone a ciascun sub-responsabile del trattamento, mediante contratto, obblighi in materia di protezione dei dati sostanzialmente identici a quelli del presente DPA, in particolare garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate. Il Fornitore conserva nei confronti del Cliente l'intera responsabilità dell'adempimento degli obblighi dei propri sub-responsabili del trattamento, fatta salva la sezione 14.

7. Assistenza

7.1 Richieste degli interessati (art. 28, par. 3, lett. e), GDPR). Tenendo conto della natura del trattamento, il Fornitore assiste il Cliente con misure tecniche e organizzative adeguate nel dare seguito alle richieste per l'esercizio dei diritti dell'interessato di cui al capo III del GDPR e dei diritti equivalenti previsti da altre leggi. Il servizio fornisce:

• il modulo per le richieste sui dati personali con verifica dell'e-mail e un registro delle richieste con le scadenze;
• l'esportazione in formato CSV del registro dei consensi; (Appendice 1) esportazioni in formato CSV delle richieste sui dati personali e dei recessi; (Appendice 2) un'esportazione in formato JSON di tutti i dati dell'account del Cliente, comprese le richieste sui dati personali e i recessi di ogni sito;
• il registro dei recessi;
• (Appendice 1, facoltativo) l'esportazione e la cancellazione dei dati Shopify del cliente.

Le registrazioni del consenso sono pseudonimizzate: una registrazione può essere individuata tramite l'ID del consenso che l'interessato può leggere nel cookie consentl del proprio browser, utilizzando i filtri del registro dei consensi e l'esportazione in formato CSV. Su istruzione scritta del Cliente, il Fornitore cancella singole registrazioni del consenso o altre singole registrazioni entro 30 giorni, finché il servizio non offrirà tale possibilità come funzione. Se il Fornitore riceve una richiesta direttamente da un interessato, la inoltra al Cliente senza ingiustificato ritardo e non vi risponde direttamente, salvo istruzione del Cliente.

7.2 Altri obblighi (art. 28, par. 3, lett. f), GDPR). Tenendo conto della natura del trattamento e delle informazioni a sua disposizione, il Fornitore assiste il Cliente nel garantire il rispetto degli articoli da 32 a 36 del GDPR (sicurezza, notifica e comunicazione delle violazioni agli interessati, valutazioni d'impatto sulla protezione dei dati, consultazione preventiva) e degli obblighi equivalenti previsti da altre Normative sulla protezione dei dati (ad esempio le valutazioni dei fattori relativi alla vita privata previste dalla Legge 25 del Québec prima della comunicazione di dati al di fuori del Québec), in particolare fornendo le informazioni contenute negli Allegati I-III.

7.3 L'assistenza che va oltre le funzioni del servizio e un ragionevole supporto via e-mail può essere addebitata a un costo ragionevole se è sostanziale e non è causata da un inadempimento del Fornitore.

8. Violazioni dei dati personali (art. 33, par. 2, GDPR)

8.1 Il Fornitore notifica al Cliente senza ingiustificato ritardo, e ove possibile entro 48 ore, dopo esserne venuto a conoscenza, una violazione dei dati personali che riguarda Dati personali del Cliente, compresa una violazione presso un sub-responsabile del trattamento che quest'ultimo ha notificato al Fornitore. Il Fornitore inoltra le informazioni che riceve da un sub-responsabile del trattamento entro lo stesso termine. La notifica è inviata via e-mail all'Indirizzo per le comunicazioni.

8.2 La notifica comprende, per quanto disponibili (e, se necessario, in fasi successive): la natura della violazione, compresi le categorie e il numero approssimativo di interessati e di registrazioni in questione; il punto di contatto presso cui ottenere più informazioni; le probabili conseguenze; e le misure adottate o di cui si propone l'adozione, comprese le misure per attenuarne i possibili effetti negativi (art. 33, par. 3, GDPR).

8.3 Il Fornitore adotta misure ragionevoli per contenere la violazione e porvi rimedio, tiene un registro delle violazioni e collabora alla notifica del Cliente alle autorità di controllo e, ove richiesto, alla sua comunicazione agli interessati (art. 34 GDPR).

8.4 Per le informazioni personali soggette alla legge del Québec, il Fornitore notifica inoltre al Cliente senza ritardo qualsiasi tentativo di violazione della riservatezza di tali informazioni di cui venga a conoscenza.

8.5 La notifica non costituisce ammissione di colpa. Le comunicazioni che il Fornitore deve inviare a una piattaforma in base ai termini di quest'ultima (Appendice 1) non ritardano la notifica al Cliente.

9. Trasferimenti internazionali

9.1 Il Fornitore conserva i Dati personali del Cliente nell'Unione europea (DigitalOcean, Francoforte, Germania). Alcuni sub-responsabili del trattamento sono stabiliti al di fuori del SEE o possono accedere ai dati da lì (Allegato III).

9.2 Trasferimenti ai sub-responsabili del trattamento. I trasferimenti a sub-responsabili del trattamento al di fuori del SEE, della Svizzera e del Regno Unito non coperti da una decisione di adeguatezza (compreso il quadro UE-USA per la protezione dei dati personali per i destinatari certificati) sono effettuati in base alle clausole contrattuali tipo dell'UE (decisione di esecuzione (UE) 2021/914 della Commissione), modulo tre (trasferimento da responsabile del trattamento a responsabile del trattamento), concluse dal Fornitore con i propri sub-responsabili diretti e da ciascun sub-responsabile con i propri sub-responsabili.

9.3 Clienti in paesi terzi (modulo quattro). Nella misura in cui la comunicazione di Dati personali del Cliente da parte del Fornitore a un Cliente stabilito in un paese terzo privo di decisione di adeguatezza (ad esempio mediante un'esportazione, una notifica via e-mail o la visualizzazione dei dati nel pannello di controllo) costituisca un trasferimento ai sensi del capo V del GDPR, le parti incorporano mediante rinvio il modulo quattro (trasferimento da responsabile del trattamento a titolare del trattamento) delle clausole contrattuali tipo, con le seguenti opzioni: clausola 7 (clausola di adesione successiva) inclusa; formulazione facoltativa della clausola 11 non utilizzata; clausola 17: la legge della Romania; clausola 18: i tribunali di Cluj-Napoca, Romania. Gli Allegati I-III del presente DPA completano gli allegati delle clausole contrattuali tipo. Se il Cliente è un responsabile del trattamento (clausola 2.3), si applica invece il modulo tre, con le stesse opzioni. Se la Commissione europea adotta clausole contrattuali tipo per gli importatori il cui trattamento è soggetto al GDPR ai sensi del suo art. 3, par. 2, tali clausole si applicano invece a tali Clienti.

9.4 Regno Unito. Nella misura in cui un trasferimento da parte del Fornitore di dati personali soggetti allo UK GDPR costituisca un trasferimento soggetto a restrizioni non coperto da regolamenti di adeguatezza del Regno Unito, alle clausole incorporate ai sensi della clausola 9.3 si applica l'International Data Transfer Addendum to the EU Standard Contractual Clauses emanato dall'Information Commissioner del Regno Unito (versione B1.0) (l'«Addendum del Regno Unito»), con la tabella 1 compilata con i dati delle parti indicati sopra, la tabella 2 con il modulo e le opzioni scelti nella clausola 9.3, la tabella 3 con gli Allegati I-III e la tabella 4 che consente a ciascuna parte di porre fine all'Addendum come da esso previsto.

9.5 Svizzera. Per i trasferimenti soggetti alla LPD, le clausole contrattuali tipo si applicano con i seguenti adeguamenti: i riferimenti al GDPR si intendono come riferimenti alla LPD; l'Incaricato federale della protezione dei dati e della trasparenza è un'autorità di controllo competente; e il termine «Stato membro» comprende la Svizzera, in modo che gli interessati possano agire in giudizio nel luogo della loro residenza abituale.

9.6 Brasile. Se la LGPD si applica a un trasferimento di dati personali dal Cliente al Fornitore e nessuna decisione di adeguatezza dell'autorità brasiliana (ANPD) lo copre, sono incorporate le clausole contrattuali tipo approvate dalla Resolução CD/ANPD n. 19/2024, con il Cliente come esportatore (titolare del trattamento) e il Fornitore come importatore (operador).

9.7 Il Cliente può chiedere una copia delle garanzie su cui si basano i trasferimenti all'indirizzo [email protected].

10. Leggi statali USA sulla privacy (clausole per i fornitori di servizi ai sensi del CCPA/CPRA)

10.1 Per le informazioni personali soggette al CCPA, il Cliente è un'«impresa» («business») e il Fornitore è un «fornitore di servizi» («service provider») (Cal. Civ. Code §1798.140(ag)). Il Cliente comunica informazioni personali al Fornitore solo per le seguenti finalità aziendali («business purposes») limitate e specificate: registrare e provare le scelte di consenso e di opposizione dei consumatori (compresi i segnali di preferenza di opposizione come il Global Privacy Control); ricevere, verificare, monitorare e documentare le richieste dei consumatori sui dati personali e le richieste di recesso; inviare le relative e-mail transazionali; scansionare il negozio o il sito web del Cliente alla ricerca di cookie e tracker; e la sicurezza, l'integrità e il debug del servizio (§1798.140(e)(2), (e)(3) ed (e)(5)).

10.2 Il Fornitore non deve (§1798.100(d); 11 CCR §7051(a)):

• vendere o condividere («sell or share») le informazioni personali;
• conservarle, utilizzarle o comunicarle per qualsiasi finalità (compresa qualsiasi finalità commerciale) diversa dalle finalità aziendali specificate nella clausola 10.1, o altrimenti consentita dal CCPA e dai relativi regolamenti;
• conservarle, utilizzarle o comunicarle al di fuori del rapporto commerciale diretto con il Cliente;
• combinarle con informazioni personali ricevute da o per conto di un'altra persona, o raccolte nell'ambito dell'interazione diretta del Fornitore con il consumatore, salvo nei casi consentiti dai regolamenti del CCPA (11 CCR §7050).

10.3 Il Fornitore rispetta gli obblighi che gli si applicano ai sensi del CCPA e dei relativi regolamenti, fornisce lo stesso livello di protezione della privacy che il CCPA richiede alle imprese e attua procedure e prassi di sicurezza ragionevoli (Cal. Civ. Code §1798.81.5). Informa il Cliente senza ingiustificato ritardo, e in ogni caso entro cinque giorni lavorativi, se stabilisce di non essere più in grado di rispettare tali obblighi.

10.4 Il Cliente può adottare misure ragionevoli e appropriate per garantire che il Fornitore utilizzi le informazioni personali in modo coerente con gli obblighi del Cliente ai sensi del CCPA, compresi i diritti di informazione e di audit di cui alla sezione 12 (un audit in ciascun periodo di 12 mesi e ulteriori audit nei casi indicati alla clausola 12.2), e, previa comunicazione, per far cessare l'uso non autorizzato delle informazioni personali e porvi rimedio, anche chiedendo al Fornitore di confermarne la cancellazione.

10.5 Il Cliente informa il Fornitore di qualsiasi richiesta di un consumatore ai sensi del CCPA a cui il Fornitore deve dare seguito e gli fornisce le informazioni necessarie per farlo. Il Fornitore assiste il Cliente nel rispondere alle richieste verificabili dei consumatori (clausola 7.1).

10.6 Il Fornitore mette a disposizione del Cliente le informazioni di cui questi ha ragionevolmente bisogno per le valutazioni dei rischi e gli audit di cibersicurezza previsti dai regolamenti del CCPA e collabora a tali attività.

10.7 Il Fornitore incarica qualsiasi subappaltatore che tratti le informazioni personali in base a un contratto scritto contenente le stesse restrizioni (sezione 6) e certifica di comprendere le restrizioni della presente sezione 10 e che le rispetterà.

10.8 Per le altre leggi statali USA sulla privacy (ad esempio Virginia, Colorado, Connecticut, Utah, Texas, Oregon e gli altri Stati coperti dalle preimpostazioni per regione del servizio), il Fornitore è un «responsabile del trattamento» («processor»). Le sezioni da 3 a 8, 11 e 12 contengono le clausole per i responsabili del trattamento richieste da tali leggi: istruzioni, riservatezza, cancellazione o restituzione, informazioni, collaborazione alle valutazioni, audit (o, ove la legge lo consenta, una relazione di audit indipendente) e trasferimento degli obblighi ai subappaltatori con la possibilità di opporsi (sezione 6).

10.9 Il Fornitore non vende né condivide informazioni personali e non utilizza informazioni personali sensibili per alcuna finalità.

11. Cancellazione o restituzione (art. 28, par. 3, lett. g), GDPR)

11.1 Restituzione. Le funzioni di esportazione del servizio (le esportazioni in formato CSV elencate nelle Appendici) sono lo strumento con cui il Cliente ottiene i propri dati. Il Cliente sceglie la restituzione esportando i dati prima della loro cancellazione.

11.2 Conservazione durante il Contratto. I Dati personali del Cliente sono conservati e cancellati come indicato nell'Allegato I. La prova del consenso è conservata almeno per il tempo in cui il consenso che documenta viene utilizzato (durata del consenso + 30 giorni); un cambio di piano che riduce la conservazione mantiene il periodo precedente per 30 giorni. Le richieste sui dati personali e i recessi chiusi sono conservati per impostazione predefinita per 2 anni, affinché il Cliente possa rispettare gli obblighi di tenuta delle registrazioni (ad esempio 11 CCR §7101), e vengono cancellati automaticamente 3 anni dopo la loro chiusura. Il Cliente può impartire istruzioni per una cancellazione anticipata: nel servizio, ove esista una funzione di cancellazione, altrimenti mediante istruzione scritta, che il Fornitore esegue entro 30 giorni.

11.3 Dopo la cessazione del Contratto, il Fornitore cancella tutti i Dati personali del Cliente come indicato nell'Appendice applicabile. Le copie nei backup cifrati della banca dati vengono sovrascritte entro il periodo di conservazione dei backup della banca dati gestita (backup giornalieri e ripristino point-in-time, conservati per 7 giorni) e non vengono ripristinate se non per il disaster recovery; se un backup viene ripristinato, le cancellazioni effettuate dopo il backup vengono applicate di nuovo. Il Fornitore non conserva né esporta registri delle richieste: i log dell'applicazione esistono solo come output di runtime dell'applicazione in esecuzione presso DigitalOcean, che viene cancellato quando viene distribuita una nuova versione (non contengono indirizzi IP dei visitatori né il corpo delle richieste, Allegato II). I dati delle richieste nella rete edge del fornitore di hosting e i log delle e-mail transazionali di Brevo vengono cancellati entro i periodi di conservazione di tali sub-responsabili del trattamento e non sono utilizzati per alcun'altra finalità. Da confermare: DigitalOcean sta confermando il periodo di conservazione della sua rete edge.

11.4 La cancellazione non si applica se il diritto dell'Unione o degli Stati membri impone al Fornitore la conservazione dei dati; il Fornitore li protegge e li tratta solo per tale finalità.

11.5 Passaggio a un altro fornitore (regolamento (UE) 2023/2854, regolamento sui dati). Ove si applichi il regolamento sui dati, il Cliente può passare a un altro fornitore o ai propri sistemi come previsto dal Contratto: i dati esportabili sono il registro dei consensi, le richieste sui dati personali, i recessi, la dichiarazione dei cookie e le impostazioni del banner; il Cliente dispone di un periodo di recupero di almeno 30 giorni; il Fornitore non applica oneri per il passaggio e cancella i dati dopo il periodo di recupero.

11.6 Su richiesta, il Fornitore conferma per iscritto la cancellazione.

12. Informazioni e audit (art. 28, par. 3, lett. h), GDPR)

12.1 Il Fornitore mette a disposizione del Cliente tutte le informazioni necessarie per dimostrare il rispetto dell'art. 28 del GDPR, in particolare il presente DPA e i relativi Allegati e, su richiesta, le certificazioni o le relazioni di sicurezza dei suoi principali sub-responsabili del trattamento (ad esempio la relazione SOC 2 Type II e il certificato ISO/IEC 27001 di DigitalOcean), ove i loro termini ne consentano la condivisione.

12.2 Il Fornitore consente e contribuisce alle attività di revisione, comprese le ispezioni, realizzate dal Cliente o da un revisore da esso incaricato, alle seguenti condizioni:

• preavviso scritto di almeno 30 giorni;
• non più di un audit in ciascun periodo di 12 mesi, salvo che lo richieda un'autorità di controllo, dopo una violazione dei dati personali o se il Cliente dispone di ragionevoli indizi di inosservanza del presente DPA;
• in primo luogo un audit mediante questionario scritto e documenti; un'ispezione in loco o da remoto solo se le risposte non sono sufficienti;
• durante l'orario lavorativo, senza accesso ai dati di altri clienti o ai segreti commerciali del Fornitore oltre quanto necessario;
• il revisore è vincolato alla riservatezza e non è un concorrente del Fornitore;
• ciascuna parte sostiene i propri costi, salvo che l'audit riveli un inadempimento sostanziale del Fornitore.

13. Obblighi del Cliente

Il Cliente:

• utilizza il servizio in conformità alla Normativa sulla protezione dei dati e impartisce solo istruzioni lecite;
• informa gli interessati del trattamento, compreso l'utilizzo di Consentl, nella propria informativa sulla privacy e sui cookie, utilizzando le informazioni dell'Allegato I;
• configura correttamente il servizio (regioni, categorie, blocco dei tracker, testi) e verifica il risultato; il Fornitore non garantisce che una qualsiasi configurazione renda il negozio o il sito web conforme alla normativa (si veda il Contratto);
• non chiede agli interessati di trasmettere categorie particolari di dati (art. 9 GDPR) tramite i moduli;
• risponde alle richieste sui dati personali e di recesso entro i termini di legge;
• fornisce al Fornitore credenziali di accesso (Appendice 2: credenziali di autenticazione HTTP di base per le scansioni) solo per i siti che ha il diritto di far scansionare;
• mantiene aggiornato il proprio Indirizzo per le comunicazioni.

14. Responsabilità

14.1 La responsabilità complessiva di ciascuna parte derivante dal presente DPA o connessa ad esso è limitata all'importo maggiore tra (a) tre volte i corrispettivi pagati dal Cliente per il servizio interessato nei 12 mesi precedenti il primo evento che ha dato origine alla responsabilità e (b) EUR 5.000.

14.2 Il limite di cui alla clausola 14.1 non si applica: alla responsabilità per dolo o colpa grave; alla responsabilità nei confronti degli interessati ai sensi dell'art. 82 del GDPR e della clausola 12 delle clausole contrattuali tipo (che non può essere limitata); e alla responsabilità che non può essere limitata per legge. Se il Cliente è un consumatore, la clausola 14.1 si applica solo nella misura consentita dalla normativa imperativa a tutela dei consumatori ad esso applicabile.

14.3 Per le pretese ai sensi del presente DPA, il limite di cui alla clausola 14.1 sostituisce la limitazione di responsabilità del Contratto. Se entrambe le parti sono responsabili nei confronti di un interessato per lo stesso danno, ciascuna parte può reclamare dall'altra la parte del risarcimento corrispondente alla parte di responsabilità dell'altra (art. 82, par. 5, GDPR), nel limite di cui alla clausola 14.1.

14.4 Le sanzioni irrogate a una parte da un'autorità di controllo sono a carico di tale parte, salvo nella misura in cui derivino da una violazione del presente DPA da parte dell'altra parte, nel qual caso possono essere reclamate nel limite di cui alla clausola 14.1.

15. Durata, modifiche, comunicazioni e legge applicabile

15.1 Il presente DPA si applica finché il Fornitore tratta Dati personali del Cliente e cessa automaticamente in seguito. Le sezioni 8, 11, 14 e 15 restano in vigore dopo la cessazione.

15.2 Modifiche. Il Fornitore può aggiornare il presente DPA per tenere conto di modifiche della legge, del servizio o dei sub-responsabili del trattamento. Comunica con un preavviso di almeno 30 giorni, via e-mail all'Indirizzo per le comunicazioni, le modifiche che riducono la protezione del Cliente; il Cliente può allora opporsi e recedere come previsto nelle clausole 6.3 e 6.4. Le modifiche imposte dalla legge, o che migliorano esclusivamente la protezione del Cliente, possono applicarsi prima. Se una modifica riguarda una clausola che il Cliente ha accettato espressamente (clausola 15.6), il Fornitore chiede una nuova accettazione espressa; finché questa non è prestata, si applica la versione precedente di tale clausola. Le versioni precedenti del presente DPA restano disponibili su richiesta.

15.3 Prova. Le registrazioni elettroniche delle accettazioni, delle comunicazioni e delle istruzioni conservate dal Fornitore costituiscono prova tra le parti del loro contenuto e della loro data (Legge romena n. 214/2024 sull'utilizzo delle firme elettroniche).

15.4 Comunicazioni. Il Fornitore invia le comunicazioni previste dal presente DPA (modifiche dei sub-responsabili del trattamento, violazioni, modifiche del DPA) via e-mail all'Indirizzo per le comunicazioni definito nell'Appendice applicabile. Il Cliente lo mantiene aggiornato. Il Cliente invia le comunicazioni a [email protected].

15.5 Legge applicabile e foro competente. Il presente DPA è disciplinato dalla legge romena. I tribunali competenti di Cluj-Napoca, Romania, hanno competenza esclusiva, salvo che le clausole contrattuali tipo o norme imperative (comprese le norme a tutela dei consumatori) dispongano diversamente.

15.6 Accettazione espressa (art. 1203 del Codice civile romeno). Il Cliente accetta espressamente le seguenti clausole del presente DPA: 6.3-6.5 (meccanismi di opposizione, recesso e rimborso), 14 (limitazione di responsabilità), 15.2 (modifiche) e 15.5 (legge applicabile e competenza esclusiva). I clienti professionisti le accettano con una casella separata al momento dell'accettazione del Contratto.

Appendice 1 — Consentl per Shopify

S1.1 Servizio e Contratto. Il servizio è l'app Consentl per Shopify (l'«App»). Il Cliente è il commerciante che la installa sul proprio negozio Shopify. Il Contratto sono i Termini di servizio.

S1.2 Conclusione. Il DPA è accettato nella fase di accettazione dell'App (configurazione iniziale e, di nuovo, per una nuova versione che lo richieda), insieme ai Termini.

S1.3 Shopify. Shopify non è un sub-responsabile del trattamento del Fornitore. Su istruzione del Cliente, il Fornitore comunica dati a Shopify in quanto piattaforma propria del Cliente: l'indirizzo e-mail di un acquirente che si oppone alla vendita o alla condivisione, o che invia un segnale Global Privacy Control mentre ha effettuato l'accesso, affinché Shopify registri l'opposizione nel profilo del cliente (dataSaleOptOut); le richieste di cancellazione inoltrate tramite le azioni facoltative con un clic; e la configurazione pubblicata del banner, memorizzata come metafield del negozio.

S1.4 Webhook di conformità di Shopify. L'App tratta le notifiche obbligatorie di Shopify customers/data_request, customers/redact e shop/redact come descritto nell'Allegato I-A.

S1.5 Ambiti di accesso facoltativi. Gli ambiti di accesso (scope) read_customers, write_customers e read_orders sono richiesti solo quando il Cliente attiva le azioni sulla privacy con un clic o l'abbinamento dei recessi agli ordini, e sono concessi espressamente dal Cliente.

S1.6 Indirizzo per le comunicazioni. Il contatto per la privacy e la sicurezza che il Cliente designa nelle Impostazioni dell'App. Finché non ne è designato uno, l'indirizzo e-mail dell'account del titolare del negozio Shopify restituito da Shopify e, se Shopify non ne restituisce alcuno, l'indirizzo e-mail di contatto del negozio.

S1.7 Rimborsi. I rimborsi ai sensi della clausola 6.4 sono effettuati tramite Shopify, come rimborso o credito per l'app, a scelta del Fornitore.

S1.8 Cessazione del Contratto e cancellazione. Quando l'App viene disinstallata, il Fornitore cancella immediatamente il token di accesso e tutti gli altri Dati personali del Cliente quando Shopify invia la notifica shop/redact (48 ore dopo la disinstallazione), e in ogni caso entro 30 giorni dalla disinstallazione. Prima della disinstallazione, il Cliente può passare al piano Free e mantenere l'App installata per tutto il tempo necessario a esportare i propri dati (questo è anche il periodo di recupero per il passaggio a un altro fornitore ai sensi della clausola 11.5); le esportazioni sono disponibili con ogni piano. Il Fornitore invia al Cliente via e-mail un avviso con il numero di registrazioni quando l'App viene disinstallata.

S1.9 Comunicazioni alla piattaforma. Se i termini di Shopify impongono al Fornitore di informare Shopify di un incidente di sicurezza che riguarda dati dei commercianti o dei clienti, il Fornitore vi provvede in aggiunta a quanto previsto nella sezione 8.

S1.10 Allegati. L'Allegato I-A descrive il trattamento nell'App.

Appendice 2 — Consentl per siti web e integrazioni per le piattaforme

S2.1 Servizio e Contratto. Il servizio è Consentl per siti web: il pannello di controllo all'indirizzo app.consentl.com, l'API pubblica all'indirizzo api.consentl.com (loader, banner, beacon del consenso, moduli per le richieste sui dati personali e di recesso, dichiarazione dei cookie ospitata e pagine di accessibilità) e lo scanner dei cookie (il «Servizio»), utilizzati direttamente o tramite le integrazioni pubblicate dal Fornitore (snippet per siti web, template per Google Tag Manager, plugin per WordPress/WooCommerce, Shopware, PrestaShop e Magento, e guide per altri website builder). Il Contratto sono i Termini di servizio per i siti web.

S2.2 Conclusione. I clienti professionisti accettano il DPA con una casella al momento della creazione del loro account e, di nuovo, per una nuova versione che lo richieda; a un account che non ha accettato la versione corrente viene chiesto di farlo prima che possa continuare a utilizzare il pannello di controllo. Per i clienti che utilizzano il Servizio come consumatori, il DPA costituisce parte integrante dei Termini di servizio per i siti web che essi accettano al momento della creazione del loro account.

S2.3 Integrazioni. Le integrazioni funzionano sul server o sulla piattaforma propri del Cliente. Non vi conservano dati personali dei visitatori. Le loro chiamate lato server ad api.consentl.com (verifica della chiave del sito, recupero del loader per inserirlo nella pagina) contengono solo la chiave del sito, la lingua e il nome host del sito. Il Fornitore tratta Dati personali del Cliente solo quando i browser dei visitatori chiamano api.consentl.com. Il Fornitore non è responsabile del trattamento per la piattaforma o il sistema di e-commerce del Cliente.

S2.4 Flussi di dati. L'Allegato I-B elenca i dati: registrazioni del consenso (comprese le registrazioni inviate senza un'origine del browser verificabile, che sono accettate con limiti più rigorosi), contatori del banner, richieste sui dati personali e recessi inviati tramite i moduli, e-mail ai visitatori, scansioni dei cookie dei Siti del Cliente e, con il piano Enterprise, le credenziali di autenticazione HTTP di base che il Cliente fornisce per la scansione di siti protetti.

S2.5 Indirizzo per le comunicazioni. L'indirizzo per le comunicazioni che il Cliente imposta nella pagina Account, una volta confermato (tramite il link di conferma, oppure perché è l'indirizzo verificato di un membro dell'account). Finché non ne è confermato uno, gli indirizzi e-mail verificati dei proprietari e degli amministratori dell'account.

S2.6 Rimborsi. I rimborsi ai sensi della clausola 6.4 sono effettuati tramite Stripe sul metodo di pagamento originario, pro rata per la parte non utilizzata del periodo pagato.

S2.7 Cessazione del Contratto e cancellazione.

• Il Cliente può esportare, in qualsiasi momento e con ogni piano, il registro dei consensi di un sito in formato CSV e tutti i dati del proprio account («Scarica i miei dati (JSON)») in formato JSON, comprese le impostazioni, l'elenco dei cookie, le richieste sui dati personali, i recessi e il registro dei consensi di ogni sito.
• L'eliminazione di un sito cancella immediatamente i relativi dati (a cascata); il pannello di controllo chiede una conferma e raccomanda di effettuare prima un'esportazione. L'eliminazione di un sito costituisce l'istruzione del Cliente di cancellare i dati di tale sito.
• Quando un abbonamento a pagamento termina, il sito passa al piano Free e i suoi dati restano disponibili per l'esportazione (questo è anche il periodo di recupero per il passaggio a un altro fornitore ai sensi della clausola 11.5).
• Eliminazione dell'account: il proprietario dell'account elimina l'account nel pannello di controllo (dopo aver disdetto gli abbonamenti a pagamento) o lo richiede all'indirizzo [email protected]. L'account resta disponibile per 30 giorni (periodo di recupero: esportazione, o annullamento dell'eliminazione; i banner continuano a funzionare), poi l'account, i suoi siti e tutti i Dati personali del Cliente relativi a tali siti vengono cancellati.
• Backup e log dei sub-responsabili del trattamento: clausola 11.3.

S2.8 Cancellazione automatica. Il Servizio cancella automaticamente: le registrazioni del consenso dopo il periodo di conservazione del sito (Allegato I-B); le richieste sui dati personali il cui indirizzo e-mail non è mai stato confermato 30 giorni dopo l'invio; ogni altra richiesta sui dati personali e ogni recesso 3 anni dopo l'ultima modifica, qualunque sia il loro stato; i contatori giornalieri e A/B dopo 2 anni; i risultati delle scansioni diversi dall'ultima scansione di un sito 400 giorni dopo la scansione. Cancellazione anticipata su istruzione del Cliente: clausola 11.2.

S2.9 Allegati. L'Allegato I-B descrive il trattamento nel Servizio.

Allegato I — Descrizione del trattamento

A. Elenco delle parti

Autorità di controllo competente: l'autorità competente per il Cliente (esportatore dei dati) ai sensi della clausola 13 delle clausole contrattuali tipo; per il Fornitore: l'autorità rumena ANSPDCP (www.dataprotection.ro (sito esterno)).

Elementi comuni a entrambi i servizi

• Categorie di interessati: visitatori del negozio o del sito web del Cliente (registrazioni del consenso, visualizzazioni del banner); persone che inviano una richiesta sui dati personali o un recesso tramite il negozio o il sito web; (Shopify, facoltativo) clienti il cui profilo Shopify e i cui ordini vengono letti o cancellati tramite le azioni sulla privacy con un clic.
• Categorie particolari di dati: nessuna prevista. Il Cliente non deve richiederle. I campi di testo libero potrebbero contenerle se un richiedente le inserisce; sono protette come tutti gli altri dati.
• Natura del trattamento: raccolta tramite lo script e i moduli della vetrina o del sito web, conservazione, estrazione e visualizzazione per il Cliente, esportazione, trasmissione via e-mail, cancellazione automatizzata.
• Finalità: le finalità aziendali di cui alla clausola 10.1.
• Frequenza: continuativa, per la durata del Contratto.
• Sub-responsabili del trattamento: Allegato III.

B. Consentl per Shopify (Allegato I-A)

Categorie di dati personali

Conservazione

C. Consentl per siti web (Allegato I-B)

Categorie di dati personali

Conservazione

Allegato II — Misure tecniche e organizzative

Misure in atto alla data del presente DPA, per entrambi i servizi salvo che sia indicato un prodotto. Le voci descritte come previste non sono ancora in atto. Alcune misure fanno riferimento alla politica interna del Fornitore in materia di sicurezza e incidenti, al registro degli accessi di produzione e al registro delle attività di trattamento; si tratta di documenti interni, di cui il Cliente può ricevere una copia su richiesta ai sensi della clausola 12.1.

Pseudonimizzazione e minimizzazione

• Gli indirizzi IP vengono abbreviati al momento dell'acquisizione a IPv4 /24 o IPv6 /48 prima della conservazione; l'IP completo non viene mai scritto nella banca dati né nei log dell'applicazione (è conservato solo in memoria, Allegato I).
• Le registrazioni del consenso utilizzano un identificativo casuale generato nel browser e non sono collegate agli account dei clienti; gli URL delle pagine sono ridotti al percorso; gli user agent sono troncati a 400 caratteri.
• Le visualizzazioni del banner sono conservate solo come contatori giornalieri; il runtime non invia nulla prima di una decisione e una visualizzazione viene conteggiata insieme alla prima decisione del visitatore (nessuna richiesta di visualizzazione separata).
• Shopify: i profili dei clienti e gli ordini vengono letti da Shopify su richiesta e non vengono copiati, ad eccezione degli identificativi necessari per collegare una richiesta o un recesso al cliente o all'ordine. Gli ambiti di accesso facoltativi di Shopify per i dati dei clienti vengono richiesti solo quando il Cliente attiva le funzioni che li richiedono.

Cifratura

• Tutto il traffico è servito tramite HTTPS (TLS). I webhook e le chiamate API di Shopify e le chiamate API di Stripe e di Brevo utilizzano TLS.
• Le banche dati PostgreSQL gestite e i relativi backup sono cifrati a riposo da DigitalOcean.
• Le password delle vetrine Shopify e le credenziali per la scansione dei siti web sono cifrate con AES-256-GCM; le chiavi sono conservate solo nelle variabili d'ambiente cifrate della piattaforma di hosting.
• I token di verifica dell'e-mail e del pannello di controllo sono conservati solo come hash SHA-256; i token monouso vengono rimossi o contrassegnati come utilizzati dopo l'uso.

Riservatezza e controllo degli accessi

• Shopify: l'accesso amministrativo richiede un token di sessione Shopify verificato a ogni richiesta (App Bridge, token exchange); i dati sono sempre circoscritti al negozio autenticato. I webhook sono accettati solo con una firma HMAC valida.
• Siti web: password sottoposte a hash con scrypt; token di sessione conservati come hash SHA-256, durata di 30 giorni e scadenza dopo 7 giorni di inattività; protezione CSRF su ogni modulo del pannello di controllo; le azioni sensibili richiedono una recente conferma della password; pannello di controllo e API pubblica su host separati; ogni pagina di un sito verifica l'appartenenza dell'utente; la firma dei webhook di Stripe viene verificata.
• Gli endpoint pubblici accettano solo una chiave pubblica valida e un host o un dominio del negozio corrispondenti; i beacon del consenso sono convalidati rispetto a uno schema, limitati nelle dimensioni (4 KB) e soggetti a limiti di frequenza per indirizzo IP e per negozio o sito (i limiti valgono per singola istanza del server).
• I segreti (chiavi API, segreti delle app, chiavi per le e-mail e i pagamenti) sono conservati come variabili d'ambiente cifrate della piattaforma di hosting e nei segreti di GitHub Actions, mai nel codice sorgente.
• L'accesso alla produzione (DigitalOcean, banche dati, log) è limitato alle persone nominativamente individuate iscritte nel registro degli accessi di produzione del Fornitore, che indica anche se l'autenticazione a due fattori è attiva sugli account che danno accesso ai sistemi di produzione e alle caselle di posta (DigitalOcean, GitHub, Stripe, Brevo, Proton, che ospita le caselle [email protected] e [email protected], il registrar del dominio e, per l'app Shopify, la Shopify Partner/Dev Dashboard). Il registro è riesaminato almeno una volta all'anno e ogni volta che una persona entra o esce.
• Le banche dati di produzione accettano connessioni solo dalle applicazioni del Fornitore; i computer locali e la CI non possono connettersi.
• L'area di amministrazione interna del Fornitore (elenchi dei clienti, installazioni, statistiche di utilizzo) è in sola lettura, è disponibile solo per account di operatori nominativamente individuati con autenticazione a due fattori e una recente nuova autenticazione, non mostra il contenuto delle registrazioni del consenso né dati degli acquirenti o dei visitatori, legge la banca dati Shopify tramite un ruolo in sola lettura limitato alle colonne non relative ai visitatori e registra ogni accesso (chi, quando, che cosa) in un registro di audit in sola aggiunta.
• Gli assistenti di programmazione basati sull'IA e gli altri strumenti di sviluppo operano su codice sorgente, sistemi di staging e dati di test. Non accedono mai a banche dati di produzione, log di produzione o Dati personali del Cliente: non leggono i log di produzione, non eseguono query né job una tantum sulle banche dati di produzione e non copiano dati di produzione. Possono apportare modifiche all'infrastruttura (specifiche delle applicazioni, variabili d'ambiente, segreti scritti senza leggerli). Se questa regola dovesse mai cambiare, il fornitore dello strumento (ad esempio Anthropic PBC per Claude) verrà prima elencato nell'Allegato III (sezione 6).
• Nessun dato personale di produzione viene inserito nel repository del codice sorgente, nelle issue, nei log della CI, nei dati di test o negli screenshot.
• Dati dei clienti protetti di Shopify (protected customer data): le misure attestate nella Shopify Partner Dashboard sono quelle descritte nel presente Allegato; una copia dell'attestazione è conservata con la documentazione del DPA. Gli accessi tramite l'area di amministrazione vengono registrati; gli altri accessi del personale ai dati personali dei clienti (ad esempio un job sulla banca dati durante un incidente) non sono ancora registrati singolarmente (previsto).

Separazione

• Staging e produzione funzionano come applicazioni separate con banche dati separate; i dati di Shopify e dei siti web si trovano in banche dati separate.
• Il Servizio per i siti web utilizza utenti della banca dati dedicati senza diritti di amministratore (lo scanner ha un proprio utente, limitato alle tabelle delle scansioni). L'App Shopify si connette attualmente con l'utente amministratore del cluster di banche dati; è previsto un utente dedicato.
• Il worker dello scanner dei cookie è isolato dalle applicazioni web (container separato, un ambiente browser privo di credenziali della banca dati o di segreti, traffico in uscita limitato agli indirizzi pubblici sulle porte 80/443, un limite di tempo per scansione). Serve più ambienti e ne detiene le credenziali della banca dati; sulla banca dati del Servizio per i siti web utilizza il ruolo limitato dello scanner.

Integrità

• Nell'applicazione le registrazioni del consenso sono in sola aggiunta (nessuna funzione di modifica).
• Le migrazioni della banca dati sono versionate e applicate automaticamente prima di ogni distribuzione.
• Le modifiche sono sviluppate su branch e verificate a ogni push da controlli automatici dei tipi, linting, test e build nella CI. La produzione viene distribuita solo dal branch di produzione e un merge in tale branch richiede l'approvazione esplicita del titolare; la CI deve essere superata prima della distribuzione in produzione. Queste regole fanno parte della politica del Fornitore in materia di sicurezza e incidenti.

Disponibilità e resilienza

• Hosting gestito con controlli di integrità e riavvii automatici; banche dati gestite con backup giornalieri automatici e ripristino point-in-time, conservati per 7 giorni.
• È possibile ripristinare le distribuzioni precedenti.

Conservazione e cancellazione

• Job di eliminazione automatizzati secondo l'Allegato I (ogni 6 ore: registrazioni del consenso, statistiche, richieste sui dati personali, recessi, scansioni e, per i siti web, account il cui periodo di eliminazione è terminato). Shopify: webhook di conformità obbligatori.

E-mail

• Le e-mail transazionali sono inviate tramite l'API di Brevo dal dominio consentl.com (SPF, DKIM, DMARC). Il tracciamento di aperture e clic di Brevo è anonimizzato (nessun dato di interazione collegato al destinatario) e il Fornitore non utilizza dati di interazione.
• In produzione la chiave API per le e-mail è sempre configurata; in sua assenza (solo in sviluppo) le e-mail vengono scritte nel log dell'applicazione anziché essere inviate. È previsto un controllo nel codice che impedisca di registrare nei log il contenuto dei messaggi in produzione.

Log

• I log dell'applicazione contengono dati operativi (domini dei negozi o ID dei siti, risultati dei job, messaggi di errore) e nessun indirizzo IP dei visitatori né corpo delle richieste. Registri delle richieste: Allegato I. Il Fornitore non conserva né inoltra log: i log di runtime esistono presso DigitalOcean solo mentre l'applicazione è in esecuzione e vengono cancellati quando viene distribuita una nuova versione; i log di build e di distribuzione, che non contengono dati personali dei visitatori, sono conservati da DigitalOcean per 90 giorni. Dati delle richieste nella rete edge: clausola 11.3.

Ubicazione

• Server delle applicazioni e banche dati a Francoforte, Germania (regione DigitalOcean fra/fra1).

Misure organizzative

• Impegno di riservatezza di ogni persona con accesso (sezione 4); impegni di riservatezza scritti per qualsiasi dipendente o collaboratore.
• La risposta agli incidenti segue la politica scritta del Fornitore in materia di sicurezza e incidenti: rilevare, contenere, valutare entro 24 ore, notificare al Cliente secondo la sezione 8 (e, in qualità di titolare del trattamento, all'autorità di controllo entro 72 ore), ripristinare e registrare ogni violazione in un registro delle violazioni. Un responsabile della gestione degli incidenti (e, una volta designato, un contatto di riserva) è indicato nel registro degli accessi di produzione.
• È tenuto un registro delle attività di trattamento in qualità di responsabile del trattamento (art. 30, par. 2, GDPR), riesaminato almeno una volta all'anno.
• Protezione dei dati fin dalla progettazione: esame degli aspetti di privacy delle nuove funzionalità prima del rilascio.

Allegato III — Sub-responsabili del trattamento

I sub-responsabili del trattamento autorizzati alla data del presente DPA. Dettagli, ubicazioni, garanzie e registro delle modifiche si trovano nell'elenco dei sub-responsabili del trattamento.

Fonte: docs/legal/it/DPA.md nel repository Consentl.