Accordo sul trattamento dei dati (DPA)

Versione 2026-10-16-bozza · in vigore dal 16/10/2026 · impronta SHA-256 ea81b52e92ee926f…

Accordo ai sensi dell'art. 28 GDPR, allegato ai Termini di servizio di UGO e accettato insieme a essi. Bozza da far validare a un legale.

1. Parti e ruoli

• Titolare del trattamento: il Locale che ha sottoscritto UGO ("Titolare").
• Responsabile del trattamento: Unlimited di Alessandro Cavallari, Via Garibaldi 15, Cafasse (TO), P.IVA 13214390018, PEC unlimited.amministrazione@pec.it ("Responsabile").

Il Titolare decide finalità e mezzi del trattamento dei dati dei propri clienti. Il Responsabile li tratta solo per fornire UGO.

2. Oggetto del trattamento

3. Istruzioni del Titolare

Il Responsabile tratta i dati solo su istruzione documentata del Titolare. Valgono come istruzioni questi Termini, il DPA e le impostazioni che il Titolare sceglie in UGO: campagne, automazioni, moduli e integrazioni. Se un'istruzione viola il GDPR, il Responsabile lo segnala subito al Titolare.

Il Titolare resta responsabile di avere una base giuridica per ogni trattamento, in particolare il consenso per le comunicazioni promozionali via email e WhatsApp, e di dare l'informativa ai propri clienti.

4. Obblighi del Responsabile

Il Responsabile:

• garantisce che chi tratta i dati sia autorizzato e vincolato alla riservatezza;
• adotta le misure di sicurezza dell'Allegato A (art. 32 GDPR);
• aiuta il Titolare a rispondere alle richieste degli interessati, ad esempio con l'esportazione e la cancellazione dei clienti dal pannello;
• aiuta il Titolare negli obblighi degli artt. 32-36 GDPR, compresa la valutazione d'impatto, se necessaria;
• non usa i dati per fini propri, salvo statistiche aggregate e anonime;
• accede ai dati di un Locale ("accesso di supporto") solo su richiesta o con autorizzazione del Titolare, per il tempo necessario e con registrazione dell'accesso;
• mette a disposizione le informazioni utili a dimostrare il rispetto dell'art. 28 e consente verifiche del Titolare, con preavviso di almeno 30 giorni e al massimo una volta l'anno, salvo violazioni.

5. Sub-responsabili

Il Titolare autorizza in via generale il Responsabile a usare i sub-responsabili dell'Allegato B. Il Responsabile impone a ciascuno obblighi di protezione dei dati equivalenti a quelli di questo DPA e risponde del loro operato.

Prima di aggiungere o sostituire un sub-responsabile, il Responsabile avvisa il Titolare via email almeno 15 giorni prima. Il Titolare può opporsi per motivi legati alla protezione dei dati. Se non si trova una soluzione, può recedere dal contratto con rimborso della parte di abbonamento non goduta.

6. Trasferimenti fuori dall'UE

I trasferimenti verso Paesi fuori dallo Spazio economico europeo avvengono solo con le garanzie del Capo V del GDPR: decisione di adeguatezza (compreso il Data Privacy Framework UE-USA) o Clausole contrattuali standard.

7. Violazioni dei dati

Il Responsabile informa il Titolare senza ingiustificato ritardo, e comunque entro 48 ore da quando ne viene a conoscenza, di ogni violazione dei dati personali che lo riguarda. La comunicazione descrive cosa è successo, quali dati e quanti interessati sono coinvolti, le conseguenze probabili e le misure prese. Il Titolare decide se notificare il Garante entro 72 ore.

8. Fine del contratto

Alla fine del contratto il Titolare può esportare i dati per [30] giorni. Poi il Responsabile li cancella, salvo obblighi di legge. Le copie nei backup si cancellano col ciclo di rotazione, entro [90] giorni. Su richiesta, il Responsabile conferma per iscritto l'avvenuta cancellazione.

9. Responsabilità

Ogni parte risponde dei danni causati dalla propria violazione del GDPR o di questo DPA, secondo l'art. 82 GDPR. Per il resto valgono i limiti dei Termini di servizio, nei limiti consentiti dalla legge.

Allegato A – Misure di sicurezza

• Separazione logica dei dati tra Locali: ogni richiesta è legata al Locale della sessione, mai a un dato inviato dal browser.
• Password cifrate con bcrypt, sessioni protette e token anti-CSRF.
• Connessioni cifrate HTTPS.
• Accesso al server e ai pannelli interni riservato e protetto da chiave.
• Backup del database ogni notte, conservati 14 giorni e copiati su AWS a Milano, con prova di ripristino settimanale.
• Gestione dei consensi con data, testo accettato e revoca; esclusione automatica di chi revoca, delle email che rimbalzano e dei clienti eliminati.
• Accessi di supporto ai dati di un Locale limitati nel tempo e registrati.
• [Da aggiungere prima del lancio: monitoraggio e avvisi, intestazioni di sicurezza HSTS e CSP.]

Allegato B – Sub-responsabili autorizzati

[Stripe tratta per conto del Locale solo se UGO incassa pagamenti dei clienti finali, ad esempio caparre. Altrimenti va tolto da questa tabella e resta solo nell'Informativa di Unlimited.]