Accordo sul trattamento dei dati personali (art. 28 GDPR)

1. Parti, rapporto e prevalenza

1.1. Il presente accordo, previsto dall'art. 28 del Regolamento (UE) 2016/679 (GDPR), è concluso tra [RAGIONE SOCIALE CLIENTE], con sede in [SEDE CLIENTE], partita IVA [PARTITA IVA CLIENTE], rappresentata da [RAPPRESENTANTE CLIENTE], recapito privacy [EMAIL PRIVACY CLIENTE], di seguito «Titolare» o «Cliente», e Marketing Specialistico S.r.l., che opera con il marchio Duepunte, con sede in Via Zanibelli 3, 72015 Fasano (BR), partita IVA e codice fiscale 02638580742, recapito elia@marketingspecialistico.com, di seguito «Responsabile» o «Fornitore».

1.2. L'accordo integra il contratto Puntualia, ordine [ID ORDINE], condizioni di servizio versione [VERSIONE]. Disciplina i dati personali che il Fornitore tratta per conto del Cliente. Per la protezione di questi dati prevale sulle clausole incompatibili delle condizioni di servizio. Restano salvi gli strumenti di trasferimento che impongono una prevalenza propria. L'accordo ha effetto dall'accettazione documentata.

1.3. Il Fornitore resta titolare dei dati di account, fatturazione, rapporto contrattuale e sicurezza, nei limiti dell'informativa privacy. Non usa i dati delle pratiche del Cliente per finalità proprie.

1.4. Il Cliente è il mittente dei solleciti. Il Fornitore non contatta i debitori, non negozia, non incassa e non agisce in nome o per conto del Cliente. Decide il Cliente che cosa parte, a chi e quando.

2. Oggetto, natura, finalità e durata

2.1. La tabella definisce il perimetro del trattamento autorizzato.

3. Istruzioni documentate e obblighi del Cliente

3.1. Il Responsabile tratta i dati solo su istruzioni documentate del Titolare, comprese quelle sui trasferimenti. Sono istruzioni: il presente accordo, l'ordine, le configurazioni e le azioni autorizzate nell'app, le richieste dei referenti abilitati trasmesse sui canali concordati. Il Responsabile conserva versione, data, autore e contenuto delle istruzioni rilevanti. Le modifiche sostanziali si concordano per iscritto.

3.2. Il Titolare determina liceità, finalità, base giuridica, destinatari, esattezza dei dati, tempi di conservazione delle proprie pratiche e informative agli interessati. Autorizza gli utenti e i collegamenti delle caselle, verifica incassi e contestazioni, limita le informazioni trasmesse. Approva i testi dei solleciti in attivazione e tiene aggiornata la lista «mai sollecitare». Un credito contestato o un pagamento segnalato richiede la verifica di una persona prima di ogni altro sollecito.

3.3. Se ritiene che un'istruzione violi il GDPR o un'altra norma applicabile, il Responsabile informa subito il Titolare e sospende l'operazione per il tempo necessario al chiarimento. Se il diritto dell'Unione o dello Stato membro impone un trattamento, informa prima il Titolare, salvo divieto di legge, e limita l'attività a quanto prescritto.

3.4. È escluso l'uso dei dati delle pratiche per marketing del Fornitore, vendita di dati, costruzione di banche dati di debitori o addestramento di modelli per finalità proprie. Una statistica anonima richiede una procedura documentata che escluda la ragionevole reidentificazione. La pseudonimizzazione da sola non rende i dati anonimi.

4. Cliente che usa Puntualia per crediti di propri assistiti

4.1. Il Cliente che usa Puntualia per i crediti di propri assistiti, come uno studio legale o un commercialista, dichiara di averne titolo e autorizzazione. Verso ciascun assistito il Cliente è titolare o responsabile del trattamento, secondo il rapporto che li lega.

4.2. Quando il Cliente agisce come responsabile di un assistito, nomina il Fornitore come sub-responsabile e gli trasmette le istruzioni dell'assistito. Il Cliente garantisce che l'assistito ha autorizzato il ricorso al Fornitore e ai sub-responsabili dell'allegato C.

4.3. In questi casi i riferimenti al Titolare contenuti nel presente accordo si leggono come riferiti al Cliente e, per quanto occorre, all'assistito. Il Fornitore risponde verso il Cliente. Il Cliente risponde verso i propri assistiti.

4.4. Anche per i crediti degli assistiti il mittente dei solleciti è il Cliente o il suo assistito, secondo la casella collegata. Mai il Fornitore.

5. Persone autorizzate e accessi tecnici

5.1. Il Responsabile limita l'accesso ai dati alle persone che ne hanno bisogno per il servizio. Queste persone sono vincolate alla riservatezza per contratto o per legge e sono istruite sulla protezione dei dati e sull'uso dell'AI. Il Responsabile assegna privilegi minimi e identità individuali e revoca gli accessi non più necessari.

5.2. L'assistenza accede ai contenuti delle pratiche solo per una richiesta documentata, per una manutenzione autorizzata o per un evento di sicurezza, con ambito e durata proporzionati. Ogni intervento viene registrato. L'amministratore tecnico esterno, il supporto remoto e i dispositivi di lavoro rientrano nella valutazione dei fornitori e dei trasferimenti. Le credenziali non vengono condivise in ticket o esportazioni non protette.

6. Sicurezza e continuità

6.1. Il Responsabile adotta e mantiene misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR, tenendo conto dello stato dell'arte, dei costi, della natura del trattamento e dei rischi per le persone. Le misure concordate sono nell'allegato A. Le variazioni equivalenti o migliorative vengono documentate. Una riduzione sostanziale della protezione richiede informazione preventiva e accordo.

6.2. Il Responsabile verifica periodicamente e documenta backup, ripristino, gestione delle vulnerabilità e degli incidenti. Le prove usano dati fittizi, salvo necessità autorizzata. La frequenza dei backup non costituisce un livello di servizio su disponibilità, tempo di ripristino o perdita massima di dati: eventuali livelli di servizio sono oggetto di accordo separato.

7. Sub-responsabili e cambio dell'infrastruttura

7.1. Il Titolare autorizza in via generale i sub-responsabili elencati nell'allegato C, nella versione accettata. Per ciascuno l'allegato riporta soggetto, servizio, dati, ruolo, paese e garanzia di trasferimento. I soggetti che trattano i dati come titolari autonomi sono indicati come tali.

7.2. Il Responsabile comunica al Titolare l'aggiunta o la sostituzione di un sub-responsabile con almeno 15 giorni di anticipo, con le informazioni utili alla valutazione. Il termine è coerente con il preavviso che il Responsabile riceve dai propri fornitori.

7.3. Entro lo stesso termine il Titolare può opporsi per motivi documentati di protezione dei dati. Le parti cercano una soluzione ragionevole: un'alternativa equivalente o l'esclusione della funzione interessata. Il nuovo soggetto non tratta i dati del Titolare prima della soluzione dell'opposizione. Se una soluzione non è possibile, il Titolare può cessare il servizio interessato senza penali, con restituzione del corrispettivo già pagato per la parte non erogata.

7.4. Una modifica urgente per motivi di sicurezza viene comunicata senza ritardo. Il Titolare conserva il diritto di opposizione dell'art. 7.3.

7.5. Prima dell'accesso ai dati, il Responsabile impone al sub-responsabile obblighi di protezione sostanzialmente equivalenti a quelli del presente accordo e verifica che offra garanzie sufficienti. Il Responsabile resta pienamente responsabile verso il Titolare dell'adempimento del sub-responsabile. Conserva prova degli accordi e rende disponibili le informazioni necessarie, proteggendo i dati degli altri clienti.

7.6. Il passaggio dell'infrastruttura agli account del Fornitore segue la procedura dei cambiamenti rilevanti. Prima del passaggio vengono documentati soggetti uscenti ed entranti, accessi, copie, trasferimenti, piano di ritorno, revoche e cancellazione delle copie residue. Se il passaggio introduce un nuovo sub-responsabile, si applica l'art. 7.2.

8. Trasferimenti fuori dallo SEE

8.1. Il Responsabile non trasferisce dati verso paesi fuori dallo Spazio economico europeo (SEE) o verso organizzazioni internazionali senza istruzioni documentate e senza rispettare il capo V del GDPR. L'allegato C indica, per ogni flusso, paese, destinatario, attività e strumento di trasferimento. Anche l'accesso remoto da un paese terzo è un trasferimento.

8.2. Gli strumenti ammessi sono: una decisione di adeguatezza applicabile al destinatario e al trattamento; per i destinatari negli Stati Uniti, il Data Privacy Framework se il soggetto ha la certificazione attiva; le clausole contrattuali standard della Commissione europea con i moduli corretti, gli allegati compilati e le misure supplementari necessarie. Il Responsabile verifica lo strumento prima dell'avvio del flusso e lo rivede quando cambia.

8.3. Se il Responsabile non può più assicurare le garanzie, informa il Titolare e sospende il flusso interessato fino a una soluzione lecita. Per le richieste di autorità estere informa il Titolare, dove consentito, ne valuta la legittimità, limita la comunicazione e documenta quanto fatto. Non concede accessi informali ai dati del Cliente.

9. Diritti degli interessati e assistenza al Titolare

9.1. Tenuto conto della natura del trattamento, il Responsabile assiste il Titolare con misure tecniche e organizzative adeguate per rispondere alle richieste degli interessati. Inoltra al Titolare le richieste ricevute entro 2 giorni lavorativi e non decide l'esito, salvo istruzione o obbligo di legge. Fornisce dati, esportazioni, rettifiche e limitazioni in tempo utile per i termini del GDPR, con verifica proporzionata dell'identità e canali sicuri.

9.2. Il Responsabile assiste il Titolare negli obblighi degli artt. 32-36 GDPR, comprese le valutazioni d'impatto e la consultazione preventiva dove dovute. Fornisce la descrizione dei flussi, dei rischi, delle misure, dei fornitori e degli incidenti di cui è a conoscenza. Tiene il registro previsto dall'art. 30.2 e coopera con l'autorità di controllo.

9.3. Le parti valutano e documentano separatamente la necessità di una valutazione d'impatto e di un DPO. L'uso dell'AI non determina da solo una qualificazione del rischio.

9.4. Chi riceve un sollecito e si rivolge al Fornitore viene indirizzato al Titolare, che è il mittente. Il Fornitore non decide se il credito è dovuto.

10. Violazioni di dati personali

10.1. Il Responsabile comunica al Titolare ogni violazione dei dati personali senza ingiustificato ritardo e comunque entro 48 ore da quando ne è venuto a conoscenza, anche se le informazioni sono ancora incomplete. Non attende una valutazione definitiva del rischio. I recapiti di emergenza sono nell'allegato B.

10.2. La comunicazione contiene, appena disponibili: natura dell'evento e cronologia; categorie e numero approssimativo di persone e registrazioni; sistemi, clienti e paesi coinvolti; referente; probabili conseguenze; misure adottate o proposte per contenere e mitigare. Le informazioni mancanti vengono integrate senza ulteriori ritardi. Il Responsabile conserva le evidenze, limita gli accessi e documenta cause e azioni correttive.

10.3. Il Titolare decide sulla notifica al Garante e sulla comunicazione agli interessati. Il termine di 72 ore dell'art. 33.1 GDPR riguarda la notifica del Titolare all'autorità: non è un tempo di attesa concesso al Responsabile. Il Responsabile collabora e non contatta gli interessati per conto del Titolare senza istruzioni, salvo obbligo di legge.

11. Informazioni, verifiche e audit

11.1. Il Responsabile mette a disposizione le informazioni necessarie a dimostrare il rispetto dell'art. 28 GDPR. Consente e contribuisce alle verifiche del Titolare o di un revisore da questo incaricato, comprese le ispezioni. Di regola si parte da documenti, evidenze tecniche e questionari. Un audit ordinario viene concordato con un preavviso di 15 giorni lavorativi. Dopo un incidente, in presenza di dubbi fondati o su richiesta dell'autorità, la verifica può essere immediata.

11.2. Gli audit rispettano riservatezza, sicurezza e dati degli altri clienti. Il revisore non può essere rifiutato senza un motivo. I costi straordinari si concordano in anticipo e non possono rendere inefficace il diritto di verifica. Il Responsabile rimedia alle non conformità di propria competenza con un piano di priorità e scadenze commisurate al rischio e fornisce evidenza della chiusura.

12. Restituzione, cancellazione e copie residue

12.1. Alla cessazione del contratto, a scelta del Titolare, il Responsabile restituisce i dati personali in un formato strutturato e di uso comune oppure li cancella, salvo obbligo di legge di conservarli. La scelta viene raccolta nel modulo di chiusura. Il Titolare ha 30 giorni per richiedere e scaricare l'esportazione. Il Responsabile cancella i dati dai sistemi attivi entro 60 giorni dalla cessazione, o prima su istruzione del Titolare compatibile con la restituzione richiesta. L'accesso in chiusura non riattiva invii né abbonamento.

12.2. Questi termini regolano la chiusura ordinaria. Le richieste degli interessati ancora pendenti e i termini inderogabili del GDPR e del Data Act, dove applicabili, prevalgono. In particolare, il periodo di recupero dei dati previsto dal Data Act può decorrere dopo il periodo di transizione verso un altro servizio. Il Responsabile non cancella i dati necessari a completare una richiesta valida per il solo decorso dei 30 o 60 giorni e documenta la diversa scadenza e gli accessi limitati.

12.3. La cancellazione dai sistemi attivi comprende copie di lavoro, allegati e copie di assistenza non più necessarie. I sub-responsabili ricevono istruzioni coerenti. Una controversia sul canone non autorizza il riuso dei dati dei debitori. Le prove essenziali del rapporto restano separate dalle pratiche e vengono conservate solo su una base giuridica propria del Fornitore.

12.4. Le copie di sicurezza seguono questa rotazione: le ultime 30 copie giornaliere, 1 copia per ciascuno degli ultimi 24 mesi e 36 copie ravvicinate prodotte ogni 20 minuti. Fino alla rotazione, i dati residui restano protetti, separati e utilizzabili solo per un ripristino necessario o per un obbligo di legge. Il Responsabile tiene un registro delle cancellazioni da riapplicare prima di rimettere in esercizio un ripristino.

12.5. Il Responsabile conferma per iscritto la cancellazione dai sistemi attivi, indicando copie residue, ragioni e scadenze. Alla scadenza dell'ultima copia documenta la chiusura. Gli obblighi di legge sopravvenuti vengono comunicati, dove consentito, e limitati ai dati e al tempo indispensabili.

13. Modifiche, responsabilità e accettazione

13.1. Le modifiche sostanziali al presente accordo vengono comunicate e concordate con un processo che conserva le versioni e la prova delle accettazioni. La pubblicazione di un nuovo testo non cambia le istruzioni con effetto retroattivo.

13.2. Nessuna clausola limita i diritti degli interessati, i poteri delle autorità o le responsabilità inderogabili previste dal GDPR, compreso l'art. 82. Gli aspetti economici e la cessazione seguono il contratto, senza impedire gli obblighi di protezione e restituzione.

13.3. Il Cliente accetta il presente accordo in uno di questi 2 modi: con l'accettazione elettronica al checkout, che registra versione dell'accordo, versione dell'allegato C, data, ora, utente e identificativo dell'evento; oppure con firma.

13.4. Accettazione. Cliente: [RAGIONE SOCIALE CLIENTE], rappresentato da [RAPPRESENTANTE CLIENTE]; data [DATA]; versione accordo 2.0; versione allegato C [VERSIONE]; identificativo dell'accettazione elettronica o firma [ID ACCETTAZIONE]. Fornitore: Marketing Specialistico S.r.l., rappresentata da Marco Militello, legale rappresentante; data [DATA]; firma o evento elettronico [ID ACCETTAZIONE].

14. Allegato A · Misure di sicurezza

14.1. Il Responsabile applica le misure della tabella e ne conserva evidenza nel fascicolo di sicurezza, accessibile al Cliente nei limiti necessari.

15. Allegato B · Contatti e recapiti di emergenza

16. Allegato C · Sub-responsabili e fornitori

16.1. Versione [VERSIONE] del [DATA]. L'elenco corrisponde al registro fornitori del Fornitore alla data di accettazione.