Accordo sul trattamento dei dati (DPA)

Ai sensi dell'art. 28 GDPR. Disciplina il trattamento, da parte di Zaenit ("Responsabile"), dei dati personali inseriti nel CRM dal Cliente ("Titolare"). Forma parte integrante dei Termini di servizio.

1. Parti e oggetto

Il presente accordo è tra il Cliente (Titolare del trattamento) e UmDigistore di Ulderico Marciano, P.IVA 05975950659, Via Firenze 14, 84091 Battipaglia (SA) (Responsabile). Riguarda i dati personali che il Cliente, o i suoi utenti, inseriscono e trattano tramite la piattaforma.

2. Durata, natura e finalità

• Durata: per tutta la fornitura del servizio e fino a cancellazione/restituzione dei dati.
• Natura e finalità: trattamento (raccolta, registrazione, organizzazione, consultazione, comunicazione, cancellazione) necessario a fornire le funzionalità del CRM scelte dal Cliente.
• Interessati: contatti, clienti, lead e referenti inseriti dal Cliente.
• Categorie di dati: dati anagrafici e di contatto, dati commerciali e note. Il Cliente si impegna a non inserire categorie particolari (art. 9) o dati di minori salvo accordo specifico e relative garanzie.

3. Obblighi del Responsabile (art. 28.3)

• (a) tratta i dati solo su istruzione documentata del Titolare (inclusa questa piattaforma e le sue impostazioni);
• (b) garantisce che le persone autorizzate al trattamento siano vincolate alla riservatezza;
• (c) adotta le misure di sicurezza ex art. 32 (vedi §4);
• (d) ricorre a sub-responsabili solo secondo §5;
• (e) assiste il Titolare a rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, portabilità): tali strumenti restano disponibili anche a prova scaduta;
• (f) assiste il Titolare negli obblighi ex artt. 32-36 (sicurezza, notifica violazioni, DPIA);
• (g) al termine, a scelta del Titolare, cancella o restituisce i dati e cancella le copie, salvo obblighi legali di conservazione;
• (h) mette a disposizione le informazioni per dimostrare la conformità e consente audit ragionevoli.

4. Misure di sicurezza (art. 32)

• Cifratura delle credenziali e delle chiavi sensibili a riposo; trasmissione cifrata (HTTPS/TLS).
• Isolamento logico dei dati tra clienti (architettura multi-tenant con filtro per organizzazione).
• Controllo degli accessi basato su ruoli; principio del privilegio minimo.
• Backup e procedure di ripristino; log di sicurezza.

5. Sub-responsabili

Il Titolare autorizza il ricorso ai seguenti sub-responsabili, vincolati a obblighi equivalenti:

Sub-responsabile	Servizio	Ubicazione
Aruba	Hosting / database	UE
Stripe	Pagamenti	Extra-UE (SCC)
Aruba (SMTP)	Email transazionali	UE
Zernio / getlate.dev (se WhatsApp è collegato)	Messaggistica WhatsApp Business (invio/ricezione messaggi)	Extra-UE (SCC)
Mistral AI (se l'AI è attiva)	Assistente AI	UE (Francia)
OpenAPI.it (se la fatturazione elettronica è attiva)	Trasmissione delle fatture allo SDI	UE (Italia)

Eventuali modifiche all'elenco saranno comunicate con ragionevole preavviso; il Titolare può opporsi per motivi legittimi.

6. Violazioni dei dati (data breach)

Il Responsabile informa il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione che riguardi i dati trattati per suo conto, fornendo le informazioni necessarie agli adempimenti ex artt. 33-34.

7. Cancellazione e restituzione

Alla scadenza della prova senza abbonamento i dati restano in sola lettura ed esportabili per circa 60 giorni, poi vengono cancellati. In ogni momento il Cliente può esportare o cancellare i dati dal pannello. La cancellazione si propaga ai backup secondo una procedura di cancellazione differita documentata. L'export e la cancellazione non sono mai subordinati al pagamento.

8. Responsabilità e legge applicabile

Ciascuna parte risponde degli obblighi a sé imputabili ai sensi del GDPR. Si applica la legge italiana.

9. Fatturazione elettronica (se attiva)

Se il Cliente utilizza la funzione di fatturazione elettronica, Zaenit predispone il file FatturaPA e lo trasmette allo SDI tramite il provider accreditato OpenAPI.it (sub-responsabile). I dati trattati per questa finalità comprendono i dati anagrafici e fiscali dell'emittente e del destinatario e gli identificativi di trasmissione. La base giuridica è l'esecuzione del contratto e l'adempimento di obblighi di legge. La conservazione a norma, ove attivata, segue i termini di legge (10 anni).