Accordo sul trattamento dei dati (DPA)

Ai sensi dell'art. 28 GDPR. Disciplina il trattamento, da parte di Zaenit ("Responsabile"), dei dati personali inseriti nel CRM dal Cliente ("Titolare"). Forma parte integrante dei Termini di servizio.

1. Parti e oggetto

Il presente accordo è tra il Cliente (Titolare del trattamento) e UmDigistore di Ulderico Marciano, P.IVA 05975950659, Via Firenze 14, 84091 Battipaglia (SA) (Responsabile). Riguarda i dati personali che il Cliente, o i suoi utenti, inseriscono e trattano tramite la piattaforma.

2. Durata, natura e finalità

• Durata: per tutta la fornitura del servizio e fino a cancellazione/restituzione dei dati.
• Natura e finalità: trattamento (raccolta, registrazione, organizzazione, consultazione, comunicazione, cancellazione) necessario a fornire le funzionalità del CRM scelte dal Cliente.
• Interessati: contatti, clienti, lead e referenti inseriti dal Cliente.
• Categorie di dati: dati anagrafici e di contatto, dati commerciali e note. Il Cliente si impegna a non inserire categorie particolari (art. 9) o dati di minori salvo accordo specifico e relative garanzie.

3. Obblighi del Responsabile (art. 28.3)

• (a) tratta i dati solo su istruzione documentata del Titolare (inclusa questa piattaforma e le sue impostazioni);
• (b) garantisce che le persone autorizzate al trattamento siano vincolate alla riservatezza;
• (c) adotta le misure di sicurezza ex art. 32 (vedi §4);
• (d) ricorre a sub-responsabili solo secondo §5;
• (e) assiste il Titolare a rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, portabilità): tali strumenti restano disponibili anche a prova scaduta;
• (f) assiste il Titolare negli obblighi ex artt. 32-36 (sicurezza, notifica violazioni, DPIA);
• (g) al termine, a scelta del Titolare, cancella o restituisce i dati e cancella le copie, salvo obblighi legali di conservazione;
• (h) mette a disposizione le informazioni per dimostrare la conformità e consente audit ragionevoli.

4. Misure di sicurezza (art. 32)

• Cifratura delle credenziali e delle chiavi sensibili a riposo; trasmissione cifrata (HTTPS/TLS).
• Isolamento logico dei dati tra clienti (architettura multi-tenant con filtro per organizzazione).
• Controllo degli accessi basato su ruoli; principio del privilegio minimo.
• Backup e procedure di ripristino; log di sicurezza.

5. Sub-responsabili

Il Titolare autorizza il ricorso ai seguenti sub-responsabili, vincolati a obblighi equivalenti:

Sub-responsabile	Servizio	Ubicazione
Aruba S.p.A. (Aruba Cloud)	Server dedicato e database	UE (Italia)
Stripe	Pagamenti	Extra-UE (SCC)
Aruba (SMTP)	Email transazionali	UE
Backblaze Inc.	Copie di sicurezza del database, cifrate da Zaenit prima dell'invio (AES-256)	Dati in UE (Paesi Bassi); fornitore extra-UE (SCC)
Meta Platforms Ireland Ltd (se WhatsApp è collegato direttamente)	Piattaforma WhatsApp Business (Cloud API): transito dei messaggi	UE (Irlanda); trasferimenti extra-UE con SCC / Data Privacy Framework
Meta Platforms Ireland Ltd (se il Titolare collega la Pagina Facebook e Instagram)	Pubblicazione dei post; ricezione e invio di messaggi privati (Messenger, Instagram) e commenti	UE (Irlanda); trasferimenti extra-UE con SCC / Data Privacy Framework
Zernio / getlate.dev (solo collegamenti tramite aggregatore)	Messaggistica WhatsApp Business (invio/ricezione messaggi)	Extra-UE (SCC)
OpenAI, L.L.C. e Google (Gemini API) (se il Titolare usa le grafiche AI della Gestione social)	Creazione delle grafiche dei post dalla foto scelta e dal logo caricati dal Titolare	Extra-UE con SCC / Data Privacy Framework; dati via API non usati per l'addestramento
Mistral AI (se l'AI è attiva)	Assistente AI (anche su messaggi e commenti social, se attivato) e trascrizione dei messaggi vocali	UE (Francia)
OpenAPI.it (se la fatturazione elettronica è attiva)	Trasmissione delle fatture allo SDI	UE (Italia)

Eventuali modifiche all'elenco saranno comunicate con ragionevole preavviso; il Titolare può opporsi per motivi legittimi.

Elenco aggiornato il 18 ottobre 2026.

6. Violazioni dei dati (data breach)

Il Responsabile informa il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione che riguardi i dati trattati per suo conto, fornendo le informazioni necessarie agli adempimenti ex artt. 33-34.

7. Cancellazione e restituzione

Alla scadenza della prova senza abbonamento i dati restano in sola lettura ed esportabili per circa 60 giorni, poi vengono cancellati. In ogni momento il Cliente può esportare o cancellare i dati dal pannello. La cancellazione si propaga ai backup secondo una procedura di cancellazione differita documentata. L'export e la cancellazione non sono mai subordinati al pagamento.

8. Responsabilità e legge applicabile

Ciascuna parte risponde degli obblighi a sé imputabili ai sensi del GDPR. Si applica la legge italiana.

9. Fatturazione elettronica (se attiva)

Se il Cliente utilizza la funzione di fatturazione elettronica, Zaenit predispone il file FatturaPA e lo trasmette allo SDI tramite il provider accreditato OpenAPI.it (sub-responsabile). I dati trattati per questa finalità comprendono i dati anagrafici e fiscali dell'emittente e del destinatario e gli identificativi di trasmissione. La base giuridica è l'esecuzione del contratto e l'adempimento di obblighi di legge. La conservazione a norma, ove attivata, segue i termini di legge (10 anni).