Trattamento dei dati
ai sensi dell’art. 28 GDPR

Parti

Titolare del trattamento è il cliente che accetta un’offerta di Webfromtom che rinvia al presente accordo, con nome, indirizzo e codice fiscale o partita IVA come indicati nell’offerta (di seguito Titolare).

Responsabile

Webfromtom LLC

Indirizzo

30 N Gould St, Ste N, Sheridan, WY 82801, United States

Numero fiscale

EIN 38-4276205

E-mail

info@webfromtom.com

Telefono

+39 379 1007476

Di seguito Responsabile, insieme le Parti.

Premessa

Il Responsabile sviluppa, gestisce e mantiene per il Titolare i servizi descritti nell’offerta, ad esempio siti web, negozi online, dashboard, automazioni e il relativo hosting. In tale ambito tratta dati personali per conto e su istruzione del Titolare.

Il presente accordo specifica gli obblighi delle Parti in materia di protezione dei dati. Integra l’offerta accettata (di seguito contratto di servizi). In caso di contrasto, nelle questioni di protezione dei dati prevalgono le disposizioni del presente accordo. Se le Parti hanno concluso per un servizio un proprio accordo sul trattamento dei dati, questo prevale per tale servizio.

Art. 1 Oggetto e durata

(1) Oggetto dell’incarico sono lo sviluppo, la messa a disposizione, la manutenzione e la gestione dei servizi concordati nel contratto di servizi, nella misura in cui comportano il trattamento di dati personali del Titolare.

(2) Il Responsabile presta il servizio dall’Unione europea. I dati sono conservati presso i sub-responsabili indicati nell’Allegato 2. Un trattamento in paesi terzi avviene solo alle condizioni dell’art. 12.

(3) La durata del presente accordo corrisponde a quella del contratto di servizi. Termina automaticamente con la cessazione di quest’ultimo, fermi restando gli obblighi che perdurano ai sensi dell’art. 11.

Art. 2 Natura e finalità del trattamento, tipi di dati, interessati

(1) Finalità del trattamento: messa a disposizione e gestione dei siti web, negozi online, dashboard e automazioni concordati, compresi moduli di contatto, gestione degli ordini, account clienti, newsletter, prenotazioni e analisi interne, sempre nella misura concordata nel contratto di servizi.

(2) Natura del trattamento: raccolta, registrazione, organizzazione, strutturazione, conservazione, adattamento, estrazione, consultazione, uso, comunicazione agli utenti autorizzati del Titolare, raffronto, limitazione e cancellazione.

(3) Tipi di dati personali, a seconda del servizio concordato:

(4) Non sono espressamente oggetto del trattamento le categorie particolari di dati personali ai sensi dell’art. 9 GDPR e i dati ai sensi dell’art. 10 GDPR, salvo che il contratto di servizi li preveda espressamente. Il Titolare garantisce che tali dati non confluiscano nelle banche dati trasmesse al Responsabile. Se vengono comunque trasmessi, il Responsabile lo comunica senza ritardo e le Parti concordano come procedere.

(5) Categorie di interessati, a seconda del servizio concordato:

• Clienti, potenziali clienti e visitatori del sito web del Titolare
• Partner commerciali, fornitori e i loro referenti
• Iscritti alle newsletter e membri di programmi clienti
• Dipendenti del Titolare in qualità di utenti dei sistemi

(6) Salvo quanto diversamente previsto dall’offerta, i sistemi non adottano decisioni automatizzate ai sensi dell’art. 22 GDPR e non effettuano profilazione. Non contengono funzioni di valutazione della presenza, dell’orario di lavoro o delle prestazioni dei dipendenti.

Art. 3 Istruzioni del Titolare

(1) Il Responsabile tratta i dati personali soltanto su istruzione documentata del Titolare, anche in caso di trasferimento verso paesi terzi, salvo che lo richieda il diritto dell’Unione o di uno Stato membro. In tal caso informa il Titolare di tale obbligo giuridico prima del trattamento, a meno che il diritto vieti tale informazione per rilevanti motivi di interesse pubblico.

(2) Le istruzioni sono impartite di norma per iscritto, anche in forma elettronica, ad esempio via e-mail (di seguito per iscritto). Le istruzioni orali sono confermate senza ritardo dal Titolare per iscritto. L’offerta accettata vale come prima istruzione.

(3) Il Responsabile informa senza ritardo il Titolare se ritiene che un’istruzione violi norme in materia di protezione dei dati. Può sospenderne l’esecuzione finché il Titolare non la conferma o la modifica.

(4) Per il Titolare è autorizzata a impartire istruzioni la persona che ha accettato l’offerta, nonché i suoi rappresentanti legali. Per il Responsabile riceve le istruzioni Thomas Maier, proprietario, info@webfromtom.com. Le Parti si comunicano senza ritardo per iscritto eventuali modifiche.

Art. 4 Obblighi del Responsabile

Il Responsabile si impegna a:

• trattare i dati esclusivamente nell’ambito dell’incarico e delle istruzioni;
• garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza, e istruirle sulle norme applicabili in materia di protezione dei dati;
• adottare e mantenere le misure tecniche e organizzative ai sensi dell’art. 32 GDPR secondo l’art. 5 e l’Allegato 1;
• informare senza ritardo il Titolare delle violazioni dei dati personali di cui venga a conoscenza, secondo l’art. 8;
• assistere il Titolare nel dare seguito ai diritti degli interessati, secondo l’art. 7;
• assistere il Titolare nel garantire il rispetto degli obblighi di cui agli articoli da 32 a 36 GDPR, in particolare in un’eventuale valutazione d’impatto e nella consultazione preventiva dell’autorità di controllo, tenendo conto della natura del trattamento e delle informazioni a sua disposizione;
• restituire o cancellare i dati al termine dell’incarico secondo l’art. 11;
• mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui all’art. 28 GDPR e consentire e contribuire alle verifiche secondo l’art. 9;
• tenere un registro di tutte le categorie di attività di trattamento svolte per conto del Titolare ai sensi dell’art. 30, par. 2 GDPR e presentarlo su richiesta;
• cooperare su richiesta con l’autorità di controllo competente.

Art. 5 Misure tecniche e organizzative

(1) Il Responsabile adotta le misure tecniche e organizzative necessarie ai sensi dell’art. 32 GDPR, tenendo conto dello stato dell’arte, dei costi di attuazione, della natura, dell’oggetto, del contesto e delle finalità del trattamento, nonché del rischio di varia probabilità e gravità.

(2) Le misure sono descritte nell’Allegato 1, che costituisce parte integrante dell’accordo.

(3) Il Responsabile può adeguare e sviluppare le misure nel tempo, purché il livello di protezione concordato non venga ridotto. Documenta le modifiche sostanziali e le comunica al Titolare.

Art. 6 Sub-responsabili

(1) Il Titolare concede con il presente accordo un’autorizzazione generale al ricorso ad altri responsabili del trattamento secondo le disposizioni seguenti.

(2) I sub-responsabili elencati nell’Allegato 2 sono autorizzati, nella misura in cui sono impiegati per i servizi concordati nel contratto di servizi.

(3) Se il Responsabile intende ricorrere per un servizio in corso a un ulteriore sub-responsabile o sostituirne uno esistente, lo comunica al Titolare per iscritto almeno 30 giorni prima. Il Titolare può opporsi entro 14 giorni dal ricevimento della comunicazione per un motivo rilevante in materia di protezione dei dati.

(4) Se il Titolare si oppone legittimamente e il Responsabile non può ragionevolmente prestare il servizio senza il sub-responsabile in questione, entrambe le Parti possono recedere dal contratto di servizi con un preavviso di 30 giorni.

(5) Il Responsabile stipula con ogni sub-responsabile un contratto che impone sostanzialmente gli stessi obblighi in materia di protezione dei dati previsti dal presente accordo. Se il sub-responsabile non adempie ai propri obblighi, il Responsabile ne risponde nei confronti del Titolare.

(6) Non costituiscono sub-trattamento i servizi accessori di terzi che non comportano un accesso regolare ai dati personali del Titolare, ad esempio servizi di telecomunicazione. Né lo sono i servizi per i quali il Titolare ha un proprio rapporto contrattuale, ad esempio piattaforme di e-commerce come Shopify, fornitori di pagamento, servizi di analisi o il proprio account di posta elettronica.

Art. 7 Assistenza per i diritti degli interessati

(1) Il Responsabile assiste il Titolare con misure tecniche e organizzative adeguate nell’adempimento dell’obbligo di dare seguito alle richieste degli interessati ai sensi del capo III GDPR, in particolare ai diritti di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione.

(2) Se un interessato si rivolge direttamente al Responsabile, questi inoltra senza ritardo la richiesta al Titolare e non risponde direttamente, salvo istruzione del Titolare.

(3) Se l’assistenza comporta un impegno considerevole, il Responsabile può chiedere un compenso adeguato secondo le tariffe del contratto di servizi, avvisando prima il Titolare.

Art. 8 Violazioni dei dati personali

(1) Il Responsabile informa il Titolare senza ritardo, al più tardi entro 24 ore da quando è venuto a conoscenza di una violazione dei dati personali ai sensi dell’art. 4, n. 12 GDPR.

(2) La comunicazione contiene, se disponibili:

• una descrizione della natura della violazione, ove possibile con le categorie e il numero approssimativo di interessati e di registrazioni
• il nome e i dati di contatto di un punto di contatto
• una descrizione delle probabili conseguenze
• una descrizione delle misure adottate o proposte per porvi rimedio e attenuarne gli effetti

(3) Se non tutte le informazioni sono subito disponibili, la comunicazione avviene con quelle disponibili ed è integrata senza ritardo.

(4) Il Responsabile adotta senza ritardo le misure necessarie per mettere in sicurezza i dati e ridurre le possibili conseguenze negative, in accordo con il Titolare.

(5) Le notifiche all’autorità di controllo ai sensi dell’art. 33 GDPR e le comunicazioni agli interessati ai sensi dell’art. 34 GDPR spettano esclusivamente al Titolare.

Art. 9 Diritti di verifica del Titolare

(1) Il Titolare ha il diritto di verificare il rispetto del presente accordo e delle norme in materia di protezione dei dati. Il Responsabile vi collabora.

(2) Il Responsabile fornisce la prova in primo luogo mediante documentazione idonea, in particolare la documentazione delle misure tecniche e organizzative e le certificazioni o i rapporti di verifica dei sub-responsabili.

(3) Se tali prove non bastano, il Titolare può chiedere una verifica in loco o da remoto, con un preavviso di almeno quattro settimane, durante il normale orario lavorativo e senza pregiudicare in modo sproporzionato l’attività del Responsabile.

(4) Le verifiche ai sensi del comma 3 avvengono al massimo una volta all’anno. In presenza di motivi concreti, in particolare dopo una violazione dei dati o su ordine di un’autorità di controllo, è ammessa anche una verifica ulteriore.

(5) Il Titolare può far eseguire la verifica da un terzo vincolato alla riservatezza, purché non sia in concorrenza con il Responsabile.

Art. 10 Obblighi del Titolare

• Il Titolare è responsabile della liceità del trattamento e della tutela dei diritti degli interessati.
• Garantisce che esista una base giuridica per la trasmissione dei dati al Responsabile e per il trattamento affidato.
• Impartisce tutte le istruzioni in modo tempestivo, completo e nella forma concordata.
• Informa senza ritardo il Responsabile se rileva errori o irregolarità nel trattamento.
• Garantisce che i tipi di dati esclusi dall’art. 2, comma 4 non vengano trasmessi al Responsabile.

Art. 11 Cancellazione e restituzione al termine

(1) Al termine delle attività di trattamento il Responsabile, a scelta del Titolare, cancella tutti i dati personali oppure li restituisce e cancella le copie esistenti.

(2) Il Titolare comunica la propria scelta per iscritto entro 30 giorni dalla fine del contratto. In mancanza di comunicazione, il Responsabile cancella i dati dopo ulteriori 30 giorni.

(3) La restituzione avviene in un formato comune e leggibile da dispositivo automatico.

(4) Sono esclusi dall’obbligo di cancellazione i dati soggetti a un obbligo legale di conservazione. Tali dati sono limitati nel trattamento per la durata del periodo di conservazione e poi cancellati.

(5) Le copie di backup che per motivi tecnici non possono essere cancellate subito sono escluse da ogni ulteriore uso e sovrascritte nel normale ciclo di backup, al più tardi entro 90 giorni.

(6) Su richiesta il Responsabile conferma per iscritto l’avvenuta cancellazione completa.

Art. 12 Trasferimento verso paesi terzi

(1) Salvo diversa indicazione nell’Allegato 2, il trattamento avviene in data center all’interno dell’Unione europea. I nuovi progetti sono gestiti nella regione di Francoforte sul Meno.

(2) Alcuni sub-responsabili indicati nell’Allegato 2 hanno sede in un paese terzo, in particolare negli Stati Uniti d’America, o appartengono a un gruppo con sede in un paese terzo. Se l’Allegato 2 non indica per un fornitore un luogo di trattamento nell’Unione europea o nello Spazio economico europeo, il servizio ivi descritto comprende anche un trattamento in paesi terzi. Il Titolare autorizza tale trattamento con il presente accordo. Inoltre non si può escludere del tutto un accesso da un paese terzo nell’ambito di attività di assistenza e manutenzione.

(3) Per ogni trasferimento e accesso ai sensi del comma 2 esistono con le società interessate accordi sul trattamento dei dati comprensivi delle clausole contrattuali tipo della Commissione europea ai sensi dell’art. 46, par. 2, lett. c GDPR e, ove applicabile, la certificazione secondo l’EU-US Data Privacy Framework.

(4) Ulteriori trasferimenti verso un paese terzo avvengono solo su istruzione espressa del Titolare e solo in presenza delle condizioni di cui agli articoli da 44 a 49 GDPR.

(5) Il Responsabile è una società con sede negli Stati Uniti d’America. Presta il servizio tramite il suo proprietario dall’Unione europea e non conserva i dati su propri sistemi al di fuori dell’Unione europea. Il Titolare ne prende atto con il presente accordo.

Art. 13 Responsabilità

(1) Per la responsabilità delle Parti nei confronti degli interessati si applica l’art. 82 GDPR.

(2) Nei rapporti interni ciascuna Parte risponde dei danni derivanti da una violazione a essa imputabile. In caso di concorso di colpa, la ripartizione avviene in proporzione ai rispettivi contributi causali.

(3) Le disposizioni sulla responsabilità del contratto di servizi si applicano in via integrativa, nella misura in cui non contrastano con norme di legge imperative.

Art. 14 Conclusione, durata e recesso

(1) Il presente accordo si conclude con l’accettazione per iscritto, ad esempio via e-mail o con conferma elettronica, di un’offerta del Responsabile che vi rinvia. L’art. 28, par. 9 GDPR ammette espressamente il formato elettronico. Fa fede la versione pubblicata su questa pagina al momento dell’accettazione. Su richiesta il Titolare la riceve in PDF.

(2) È legato alla durata del contratto di servizi e non può essere disdetto separatamente.

(3) Il Titolare può recedere senza preavviso dal contratto di servizi se il Responsabile viola gravemente il presente accordo o le norme in materia di protezione dei dati e, pur sollecitato, non pone rimedio entro un termine adeguato.

(4) Una nuova versione del presente accordo si applica ai servizi in corso solo se il Responsabile la comunica per iscritto al Titolare e questi non si oppone entro 30 giorni. La comunicazione richiama tale conseguenza. Se il Titolare si oppone, per lui continua a valere la versione precedente. Le modifiche dei sub-responsabili nell’Allegato 2 sono disciplinate esclusivamente dall’art. 6.

Art. 15 Disposizioni finali

(1) Modifiche e integrazioni del presente accordo richiedono la forma scritta. Ciò vale anche per la rinuncia a tale requisito.

(2) L’eventuale invalidità di singole disposizioni non pregiudica la validità delle altre. Le Parti sostituiscono la disposizione invalida con una valida che si avvicini il più possibile allo scopo economico.

(3) Si applica il diritto dello Stato membro dell’Unione europea in cui il Titolare ha la propria sede, con esclusione delle norme di diritto internazionale privato. Resta ferma l’applicabilità delle norme imperative del GDPR.

(4) Per le controversie valgono i fori previsti dalla legge.

(5) Gli Allegati 1 e 2 costituiscono parte integrante del presente accordo.

(6) Il presente accordo è disponibile in lingua tedesca e italiana. Fa fede la versione nella lingua dell’offerta accettata.

Allegato 1: Misure tecniche e organizzative

Controllo dell’accesso fisico: il Responsabile non gestisce data center propri. La sicurezza fisica è garantita dai sub-responsabili indicati nell’Allegato 2, che gestiscono data center certificati secondo standard riconosciuti. I dispositivi di lavoro del Responsabile sono interamente cifrati, protetti da password e dati biometrici e dotati di blocco automatico dello schermo.

Controllo degli accessi ai sistemi e ai dati:

• Accessi personali, nessun account condiviso. Ove disponibile, accesso con passkey, single sign-on o autenticazione a più fattori
• Gli accessi del Responsabile alle interfacce di amministrazione dei sub-responsabili sono protetti da autenticazione a più fattori
• Concetto di autorizzazioni basato sui ruoli, verifica lato server, principio del privilegio minimo
• Le credenziali si trovano esclusivamente in un gestore di password, mai nel codice, in documenti o e-mail
• Credenziali separate per l’ambiente di sviluppo e quello di produzione

Controllo della separazione:

• Banca dati o installazione propria per ogni cliente, nessun uso condiviso con altri clienti
• Ambienti separati per sviluppo, anteprima e produzione. Se servono dati per i test, sono trattati su copie di test separate e non pubbliche e poi cancellati
• Le anteprime sono protette da controllo degli accessi o non contengono dati reali dei clienti

Controllo della trasmissione e dell’immissione:

• Trasmissione cifrata esclusivamente tramite TLS in versione aggiornata
• Cifratura dei dati inattivi, ove offerta dal sub-responsabile
• Nessun invio di dati personali tramite canali non cifrati
• Registrazione degli accessi e delle operazioni di modifica e cancellazione nei sistemi sviluppati dal Responsabile. Nessun dato personale di contenuto nei log applicativi

Disponibilità e resilienza:

• Backup automatici regolari con possibilità di ripristino
• Gestione su infrastrutture ridondate dei sub-responsabili
• Monitoraggio della disponibilità con notifica in caso di guasti

Verifica periodica e protezione dei dati fin dalla progettazione:

• Aggiornamento regolare di software, plugin e librerie e controllo delle vulnerabilità note
• Raccolta dei soli campi necessari per la rispettiva finalità
• Assegnazione restrittiva dei diritti per i nuovi utenti come impostazione predefinita
• Documentazione delle misure e aggiornamento in caso di modifiche sostanziali

Allegato 2: Sub-responsabili

Viene impiegato solo chi è necessario per il servizio concordato nel contratto di servizi.

Con tutti i fornitori indicati esistono accordi sul trattamento dei dati, con i fornitori con sede al di fuori dell’Unione europea comprensivi delle clausole contrattuali tipo. La versione di volta in volta vigente può essere richiesta al Responsabile.