Data Processing Agreement

Accordo sul trattamento dei dati personali ai sensi dell’articolo 28 del Regolamento (UE) 2016/679

Il presente Data Processing Agreement (“DPA”) disciplina il trattamento di dati personali effettuato da Netus (la “Società” o “Netus”), nell’ambito della fornitura della piattaforma e del servizio SaaS di c.d. “personal customer relationship management” denominato “Netus” (la “Piattaforma” o il “Servizio”).

Il presente DPA costituisce parte integrante dei termini e condizioni di utilizzo della Piattaforma che regolano l’erogazione dei servizi disponibili sulla Piattaforma da parte della Società all’utente (il “Contratto Principale” e, l’“Utente”).

Quando, in relazione ai Dati CRM (come definiti di seguito), l’Utente determina le finalità e i mezzi del trattamento ai sensi del GDPR e la Società tratta tali dati per conto dell’Utente:

(a)l’Utente opera quale titolare del trattamento (il “Titolare”); e

(b)la Società opera quale responsabile del trattamento (il “Responsabile”),

ai sensi, rispettivamente, dell’articolo 4, paragrafi 7 e 8, e dell’articolo 28 GDPR.

Il presente DPA costituisce, in tali casi, l’accordo sul trattamento dei dati personali richiesto dal Titolare al Responsabile nell’ambito dell’utilizzo della Piattaforma.

1. DEFINIZIONI

1.1Ai fini del presente DPA:

“Dati CRM” indica qualsiasi dato personale relativo a persone fisiche che l’Utente inserisce, importa, sincronizza, trasmette, registra o altrimenti rende disponibile attraverso il Servizio, nonché i dati personali generati attraverso l’utilizzo del Servizio per conto dell’Utente e relativi ai relativi contatti.

“Interessato” indica la persona fisica cui si riferiscono i Dati CRM.

“GDPR” indica il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016.

“Normativa Privacy Applicabile” indica il GDPR nonché le ulteriori disposizioni dell’Unione europea o nazionali applicabili al trattamento oggetto del presente DPA.

“Sub-responsabile” indica qualsiasi soggetto terzo incaricato dalla Società di effettuare, per conto di quest’ultima, specifiche attività di trattamento dei Dati CRM.

“Violazione dei Dati Personali” o “Data Breach” ha il significato attribuito a tale espressione dall’articolo 4(12) GDPR.

I termini “dato personale”, “trattamento”, “titolare del trattamento”, “responsabile del trattamento”, “destinatario”, “terzo” e “autorità di controllo” hanno il significato attribuito loro dal GDPR.

2. AMBITO DI APPLICAZIONE E RUOLI DELLE PARTI

2.1Il presente DPA si applica esclusivamente ai trattamenti di Dati CRM effettuati dalla Società per conto dell’Utente nell’ambito dell’erogazione del Servizio.

2.2In relazione a tali trattamenti, l’Utente determina, nei limiti delle funzionalità offerte dal Servizio:

(a)quali persone fisiche (contatti) inserire/registrare nella Piattaforma;

(b)quali dati personali registrare relativamente a ciascun contatto;

(c)le finalità per le quali tali dati vengono registrati, conservati, consultati, modificati o cancellati;

(d)le attività, promemoria, interazioni e informazioni da associare ai singoli contatti; e

(e)le eventuali operazioni di importazione, esportazione, sincronizzazione o comunicazione effettuate mediante le funzionalità messe a disposizione dalla Piattaforma.

2.3La Società tratta i Dati CRM esclusivamente per conto dell’Utente e secondo le sue istruzioni documentate, nei limiti necessari all’erogazione del Servizio.

2.4Uso personale o domestico. Qualora il trattamento effettuato dall’Utente ricada nell’esenzione prevista dall’articolo 2(2)(c) GDPR per attività esclusivamente personali o domestiche, il presente DPA non determina né comporta, di per sé, la qualificazione dell’Utente come titolare del trattamento ai sensi del GDPR.

In tale ipotesi, il presente DPA deve essere considerato quale disciplina contrattuale delle modalità con cui la Società tratta i Dati CRM e le disposizioni relative, in particolare, a riservatezza, sicurezza, Sub-responsabili, Data Breach e cancellazione dei dati continuano ad applicarsi, nei limiti compatibili con la qualificazione giuridica effettivamente applicabile alle Parti.

2.5Il presente DPA non disciplina i trattamenti per i quali la Società determina autonomamente finalità e mezzi del trattamento e opera pertanto quale autonomo titolare, ivi inclusi, ove applicabili, i trattamenti necessari alla gestione dell’account dell’Utente, del rapporto contrattuale, dei pagamenti e della fatturazione, all’adempimento di obblighi di legge o alle ulteriori finalità indicate nell’informativa privacy della Società (per una più ampia informativa in merito, si invita l’Utente a prendere visione dell’informativa privacy della Società disponibile al seguente indirizzo privacy@netus.app).

3. OGGETTO, NATURA, FINALITÀ E DURATA DEL TRATTAMENTO

3.1Le caratteristiche essenziali del trattamento effettuato dalla Società per conto dell’Utente sono indicate nell’Allegato 1 – Descrizione del trattamento, che costituisce parte integrante del presente DPA.

3.2In particolare, la Società tratta i Dati CRM esclusivamente nella misura necessaria a:

(a)ospitare, memorizzare, organizzare e rendere disponibili all’Utente i dati inseriti nella Piattaforma;

(b)fornire le funzionalità di gestione dei contatti previste dal Servizio;

(c)consentire all’Utente di creare, modificare, consultare, organizzare, esportare o cancellare i propri contatti e le informazioni associate;

(d)gestire promemoria, attività e c.d. to-do relativi ai contatti;

(e)fornire, ove abilitate dall’Utente, le funzionalità di sincronizzazione o interoperabilità relative a calendario, comunicazioni, chiamate o servizi basati su sistemi AI forniti da terze parti;

(f)effettuare attività tecniche di hosting, backup, manutenzione, troubleshooting, sicurezza e supporto strettamente necessarie all’erogazione del Servizio; e

(g)adempiere alle ulteriori istruzioni documentate e lecite dell’Utente compatibili con il Contratto Principale.

3.3La Società non utilizzerà i Dati CRM per proprie finalità autonome incompatibili con il ruolo di Responsabile.

In particolare, salvo diverso accordo scritto tra le Parti e previa corretta individuazione dei rispettivi ruoli ai sensi della Normativa Privacy Applicabile, la Società non utilizzerà il contenuto dei Dati CRM:

(a)per finalità pubblicitarie proprie;

(b)per effettuare marketing direttamente nei confronti dei contatti dell’Utente;

(c)per creare un proprio database autonomo dei contatti degli utenti;

(d)per effettuare profilazione autonoma dei contatti;

(e)per mettere in relazione o combinare i contatti appartenenti a differenti utenti per finalità proprie della Società; o

(f)per l’addestramento o il fine-tuning di modelli di intelligenza artificiale per finalità proprie della Società.

3.4Resta impregiudicato l’eventuale trattamento di informazioni rese effettivamente anonime in modo tale che l’Interessato non sia o non sia più identificabile, nei limiti consentiti dalla Normativa Privacy Applicabile.

4. ISTRUZIONI DOCUMENTATE

4.1La Società tratta i Dati CRM esclusivamente sulla base delle istruzioni documentate dell’Utente, salvo che il trattamento sia richiesto dal diritto dell’Unione europea o nazionale applicabile alla Società.

4.2Le istruzioni dell’Utente risultano e sono impartite direttamente dall’Utente, in particolare:

(a)dal Contratto Principale e dal presente DPA;

(b)dalle operazioni effettuate dall’Utente attraverso le funzionalità della Piattaforma;

(c)dalle configurazioni selezionate dall’Utente;

(d)dalle richieste di assistenza che comportino specifiche operazioni sui Dati CRM; e

(e)da eventuali ulteriori istruzioni concordate per iscritto tra le Parti.

4.3Qualora la Società sia obbligata dalla legge a trattare Dati CRM in modo diverso dalle istruzioni dell’Utente, ne informerà preventivamente l’Utente, salvo che il diritto applicabile vieti tale comunicazione per rilevanti motivi di interesse pubblico.

4.4Qualora la Società ritenga che un’istruzione dell’Utente violi il GDPR o altra disposizione applicabile in materia di protezione dei dati personali, ne informerà senza ingiustificato ritardo l’Utente.

4.5Resta ferma la facoltà della Società di sospendere l’esecuzione dell’istruzione interessata nella misura strettamente necessaria a evitare una violazione della Normativa Privacy Applicabile.

5. OBBLIGHI DELL’UTENTE

5.1Nella misura in cui operi quale Titolare, l’Utente è responsabile:

(a)della liceità della raccolta e del trattamento dei Dati CRM;

(b)della determinazione delle finalità del trattamento;

(c)dell’individuazione di un’idonea base giuridica ai sensi della Normativa Privacy Applicabile;

(d)dell’adempimento degli eventuali obblighi informativi nei confronti degli Interessati;

(e)della correttezza, pertinenza e proporzionalità dei Dati CRM inseriti nella Piattaforma;

(f)della gestione delle richieste degli Interessati e dell’esercizio dei relativi diritti, ferma restando l’assistenza dovuta dalla Società ai sensi del presente DPA;

(g)della liceità delle istruzioni impartite alla Società; e

(h)della configurazione e dell’utilizzo del Servizio in conformità alla Normativa Privacy Applicabile.

5.2L’Utente garantisce di disporre dei diritti e dei presupposti giuridici necessari per mettere i Dati CRM a disposizione della Società ai fini dell’erogazione del Servizio.

6. CATEGORIE PARTICOLARI DI DATI E DATI RELATIVI A CONDANNE PENALI E REATI

6.1Il Servizio è concepito principalmente per la gestione di normali informazioni di contatto e di relazione e non è progettato per il trattamento sistematico di categorie particolari di dati personali ai sensi dell’articolo 9 GDPR o di dati relativi a condanne penali e reati ai sensi dell’articolo 10 GDPR.

6.2Salvo che una specifica funzionalità del Servizio sia espressamente destinata a tale trattamento e la Società abbia concordato per iscritto le relative condizioni, l’Utente è tenuto a non inserire deliberatamente nella Piattaforma dati appartenenti alle categorie di cui agli articoli 9 e 10 GDPR.

6.3Qualora informazioni appartenenti a tali categorie siano occasionalmente inserite dall’Utente in campi di testo libero o note, ciò non comporterà una modifica delle finalità del trattamento determinate dalla Società né costituirà autorizzazione generale all’utilizzo di tali dati per finalità proprie della Società.

In tali circostanze, la Società si riserva il diritto di eliminare l’informazione e/o sospendere l’eventuale trattamento richiesto dall’Utente in relazione a tali categorie di dati trasmettendo apposita comunicazione scritta all’Utente.

6.4Rimangono ferme le responsabilità dell’Utente in ordine alla liceità dell’inserimento e del trattamento di tali informazioni.

7. PERSONALE AUTORIZZATO E RISERVATEZZA

7.1La Società garantisce che le persone autorizzate a trattare i Dati CRM:

(a)abbiano accesso ai dati esclusivamente nella misura necessaria allo svolgimento delle rispettive funzioni;

(b)siano vincolate da adeguati obblighi di riservatezza o siano soggette a un obbligo legale di riservatezza;

(c)ricevano istruzioni adeguate in relazione al trattamento dei dati personali; e

(d)trattino i Dati CRM esclusivamente nei limiti delle mansioni loro attribuite.

7.2L’accesso al contenuto dei Dati CRM da parte del personale della Società è limitato ai casi in cui tale accesso sia necessario per l’erogazione del Servizio, per esigenze di sicurezza, per la risoluzione di problemi tecnici o per fornire assistenza richiesta dall’Utente.

8. SICUREZZA DEL TRATTAMENTO

8.1Tenendo conto dello stato dell’arte, dei costi di attuazione, della natura, dell’oggetto, del contesto e delle finalità del trattamento, nonché dei rischi per i diritti e le libertà degli Interessati, la Società adotta misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio.

8.2Le misure tecniche e organizzative applicabili al Servizio sono descritte nell’Allegato 2 – Misure tecniche e organizzative di sicurezza.

8.3La Società riesamina periodicamente tali misure e potrà aggiornarle al fine di tenere conto dell’evoluzione tecnologica e dei rischi, purché tali modifiche non comportino una riduzione sostanziale del livello complessivo di protezione dei Dati CRM.

9. SUB-RESPONSABILI DEL TRATTAMENTO

9.1L’Utente conferisce alla Società un’autorizzazione generale scritta a ricorrere a Sub-responsabili per lo svolgimento di specifiche attività necessarie all’erogazione del Servizio.

9.2I Sub-responsabili utilizzati alla data di accettazione del presente DPA sono indicati nell’Allegato 3 – Elenco dei Sub-responsabili, ovvero nella lista aggiornata resa disponibile dalla Società all’indirizzo privacy@netus.app.

9.3La Società informerà l’Utente delle modifiche rilevanti relative all’aggiunta o alla sostituzione di Sub-responsabili con un preavviso ragionevole, consentendo all’Utente di formulare eventuali obiezioni motivate da ragioni relative alla protezione dei dati personali.

9.4In caso di obiezione, le Parti coopereranno in buona fede al fine di individuare una soluzione ragionevole. Qualora non sia possibile individuare una soluzione, troveranno applicazione le disposizioni del Contratto Principale relative alla cessazione delle funzionalità o del Servizio interessati.

9.5La Società imporrà contrattualmente a ciascun Sub-responsabile obblighi in materia di protezione dei dati personali sostanzialmente equivalenti a quelli applicabili alla Società ai sensi del presente DPA, nei limiti richiesti dal GDPR.

9.6In ogni caso, la Società rimane responsabile nei confronti dell’Utente dell’adempimento degli obblighi del Sub-responsabile nei termini previsti dal GDPR.

10. RICHIESTE DEGLI INTERESSATI

10.1Tenendo conto della natura del trattamento, la Società assisterà l’Utente, mediante misure tecniche e organizzative adeguate e nella misura in cui ciò sia possibile, nell’adempimento degli obblighi relativi all’esercizio dei diritti degli Interessati previsti ai sensi del GDPR.

10.2Qualora la Società riceva direttamente da un Interessato una richiesta relativa ai Dati CRM trattati per conto dell’Utente, la Società:

(a)informerà senza ingiustificato ritardo l’Utente; e

(b)non risponderà nel merito alla richiesta, salvo istruzione dell’Utente o obbligo derivante dalla legge applicabile.

10.3La Società potrà fornire all’Interessato una comunicazione meramente interlocutoria diretta a confermare la ricezione della richiesta e/o a indirizzarlo verso l’Utente quando ciò sia necessario per una corretta gestione della richiesta.

11. DATA BREACH

11.1Qualora venga a conoscenza di una Violazione dei Dati Personali che riguardi Dati CRM trattati per conto dell’Utente, la Società ne informerà l’Utente senza ingiustificato ritardo.

11.2Nei limiti delle informazioni ragionevolmente disponibili alla Società alla data di rilevazione della Violazione dei Dati Personali, la comunicazione comprenderà:

(a)una descrizione della natura della violazione;

(b)ove possibile, le categorie e il numero approssimativo degli Interessati coinvolti;

(c)ove possibile, le categorie e il numero approssimativo delle registrazioni di dati personali coinvolte;

(d)le probabili conseguenze della violazione;

(e)le misure adottate o proposte per porre rimedio alla violazione e, ove opportuno, attenuarne i possibili effetti negativi; e

(f)il punto di contatto presso il quale ottenere ulteriori informazioni.

11.3Qualora non sia possibile fornire tutte le informazioni contemporaneamente, la Società si riserva la facoltà di fornirle progressivamente senza ulteriore ingiustificato ritardo.

11.4La Società adotterà le misure ragionevolmente necessarie per contenere, investigare e porre rimedio alla Violazione dei Dati Personali e assisterà l’Utente, tenuto conto della natura del trattamento e delle informazioni disponibili, nell’adempimento degli eventuali obblighi previsti ai sensi del GDPR.

11.5Resta in ogni caso inteso tra le parti che la comunicazione di un Data Breach da parte della Società non costituisce ammissione di responsabilità o di violazione del GDPR o del presente DPA.

12. DPIA, CONSULTAZIONE PREVENTIVA E ULTERIORE ASSISTENZA

12.1Tenuto conto della natura del trattamento e delle informazioni a propria disposizione, la Società fornirà all’Utente ragionevole assistenza per garantire il rispetto degli obblighi in materia di valutazione dell’impatto dei trattamenti effettuati previsti ai sensi del GDPR.

12.2In particolare, ove applicabile e ragionevolmente necessario, la Società metterà a disposizione dell’Utente le informazioni relative alle proprie attività di trattamento e alle proprie misure di sicurezza necessarie affinché l’Utente possa:

(a)effettuare una valutazione d’impatto sulla protezione dei dati ai sensi dell’articolo 35 GDPR; e

(b)procedere, ove necessario, alla consultazione preventiva dell’autorità di controllo ai sensi dell’articolo 36 GDPR.

13. INTEGRAZIONI E SERVIZI DI TERZI

13.1Il Servizio può consentire all’Utente di collegare o utilizzare servizi, applicazioni o piattaforme di terzi, incluse, ove disponibili, funzionalità relative a calendario, comunicazioni, chiamate o servizi che si basano su sistemi AI.

13.2Un soggetto terzo costituisce Sub-responsabile della Società esclusivamente quando sia incaricato dalla Società di trattare Dati CRM per conto della Società nell’ambito dell’erogazione del Servizio.

13.3Qualora, invece, l’Utente scelga autonomamente di collegare il Servizio a un soggetto terzo e incarichi la Società esclusivamente di trasmettere Dati CRM verso tale soggetto sulla base delle proprie istruzioni, tale soggetto non sarà, per ciò solo, considerato Sub-responsabile della Società.

14. TRASFERIMENTI VERSO PAESI TERZI

14.1La Società non trasferirà Dati CRM verso un paese terzo o un’organizzazione internazionale se non:

(a)sulla base delle istruzioni documentate dell’Utente; oppure

(b)nella misura necessaria all’erogazione del Servizio mediante Sub-responsabili autorizzati ai sensi del presente DPA;

e in ogni caso, le predette attività di trasferimento, saranno realizzate nel rispetto e ai sensi delle applicabili previsioni del GDPR e/o Normativa Privacy Applicabile.

14.2Qualora i Dati CRM siano trasferiti verso un paese per il quale la Commissione europea abbia adottato una decisione di adeguatezza il trasferimento potrà essere effettuato sulla base di tale decisione.

14.3In mancanza di una decisione di adeguatezza, la Società garantirà l’applicazione di uno dei meccanismi di trasferimento ammessi ai sensi del GDPR, a titolo esemplificativo e non esaustivo, tramite l’applicazione di SCCs.

14.4Ove applicabili, potranno essere utilizzate le clausole contrattuali tipo adottate dalla Commissione europea, incluso il modulo applicabile ai trasferimenti da titolare a responsabile.

14.5La Società adotterà, ove necessario ai sensi della Normativa Privacy Applicabile, misure supplementari tecniche, contrattuali o organizzative idonee a garantire un livello di protezione sostanzialmente equivalente a quello richiesto dal GDPR dandone preventiva comunicazione all’Utente.

15. RESTITUZIONE E CANCELLAZIONE DEI DATI

15.1Per tutta la durata del Servizio, l’Utente potrà cancellare o, ove previsto dalle funzionalità della Piattaforma, esportare i propri Dati CRM.

15.2Alla cessazione del Servizio, la Società, secondo la scelta dell’Utente e nei limiti tecnicamente applicabili:

(a)restituirà o renderà disponibili per l’esportazione i Dati CRM; oppure

(b)cancellerà i Dati CRM e le relative copie;

salvo l’applicazione di diversa previsione di cui alla Normativa Privacy Applicabile in materia di conservazione di determinati dati.

15.3Le modalità e le tempistiche tecniche di cancellazione dai sistemi attivi e dai sistemi di backup saranno quelle indicate nell’Allegato 2.

15.4Qualora la Società sia tenuta per legge a conservare determinati Dati CRM dopo la cessazione del Servizio, tali dati:

(a)saranno conservati esclusivamente per il periodo necessario all’adempimento dell’obbligo previsto dalla Normativa Privacy Applicabile;

(b)resteranno soggetti a obblighi di riservatezza e sicurezza; e

(c)non saranno sottoposti ad ulteriori trattamenti incompatibili con tale obbligo.

16. INFORMAZIONI E AUDIT

16.1La Società metterà a disposizione dell’Utente tutte le informazioni ragionevolmente necessarie per dimostrare il rispetto degli obblighi cui quest’ultimo è soggetto ai sensi della Normativa Privacy Applicabile.

16.2Ove disponibili, la Società potrà dimostrare la propria conformità anche mediante:

(a)documentazione relativa alle proprie misure di sicurezza;

(b)report di audit indipendenti;

(c)certificazioni riconosciute;

(d)penetration test summaries o altra documentazione equivalente, nei limiti in cui la relativa divulgazione non comprometta la sicurezza del Servizio o obblighi di riservatezza verso terzi.

16.3Qualora tale documentazione non sia ragionevolmente sufficiente a verificare il rispetto del presente DPA, l’Utente potrà richiedere un audit alla Società trasmettendo anticipatamente apposita richiesta scritta volta a determinare le concrete modalità e tempistiche di svolgimento di tale audit, anche mediante un revisore indipendente adeguatamente qualificato e vincolato alla riservatezza.

16.4Salvo il caso di Data Breach, ragionevoli indicazioni di non conformità o richiesta di un’autorità di controllo, gli audit:

(a)potranno essere effettuati non più di una volta ogni dodici mesi;

(b)dovranno essere richiesti con ragionevole preavviso;

(c)dovranno essere svolti durante il normale orario lavorativo;

(d)non dovranno interferire irragionevolmente con le attività della Società o con la sicurezza e riservatezza dei dati relativi ad altri utenti; e

(e)dovranno essere limitati ai sistemi e alle informazioni pertinenti al trattamento dei Dati CRM.

16.5I costi dell’audit saranno sostenuti dall’Utente, salvo che l’audit accerti una violazione sostanziale del presente DPA imputabile alla Società, fatti salvi gli ulteriori diritti previsti dalla legge e dal Contratto Principale.

17. REGISTRI E DOCUMENTAZIONE

17.1La Società manterrà, nei casi richiesti dal GDPR, il registro delle categorie di attività di trattamento svolte per conto dei titolari e, tale registro sarà reso disponibile all’autorità di controllo competente su richiesta, nei termini previsti dalla Normativa Privacy Applicabile.

18. DURATA

18.1Il presente DPA sarà efficace dalla data di efficacia del Contratto Principale o dal momento in cui la Società inizia a trattare Dati CRM per conto dell’Utente, se successivo.

18.2Il DPA sarà efficace per tutto il periodo durante il quale la Società tratti Dati CRM per conto dell’Utente.

18.3Gli obblighi che, per loro natura, devono continuare dopo la cessazione del rapporto, inclusi gli obblighi relativi a riservatezza, cancellazione e protezione dei dati eventualmente conservati, resteranno efficaci sino al loro completo adempimento.

19. RAPPORTO CON IL CONTRATTO PRINCIPALE

19.1Il presente DPA costituisce parte integrante del Contratto Principale.

19.2In caso di conflitto tra il presente DPA e il Contratto Principale con riferimento alla protezione e al trattamento dei Dati CRM per conto dell’Utente, prevalgono le disposizioni del presente DPA.

19.3Qualora risultino applicabili clausole contrattuali standard della Commissione europea relative a trasferimenti internazionali, tali clausole prevalgono sulle disposizioni incompatibili del DPA e del Contratto Principale limitatamente al trasferimento disciplinato dalle stesse.

19.4Per tutto quanto non espressamente disciplinato dal presente DPA, restano ferme le previsioni del Contratto Principale.

20. LEGGE APPLICABILE E FORO

20.1Il presente DPA è regolato dalla medesima legge applicabile e dalle medesime disposizioni in materia di giurisdizione e foro previste dal Contratto Principale, fatto salvo quanto inderogabilmente previsto dal GDPR e dalla Normativa Privacy Applicabile.

ALLEGATO 1 – DESCRIZIONE DEL TRATTAMENTO

1. Premessa

I termini indicati con iniziale maiuscola nel presente allegato hanno il significato loro attribuito nel Contratto Principale e/o nell’Informativa Privacy e/o nel DPA e/o nella Normativa Privacy Applicabile.

2. Oggetto

Trattamento di dati personali effettuato dalla Società per conto dell’Utente nell’ambito della fornitura del Servizio.

3. Finalità

Fornire all’Utente le funzionalità del Servizio e, in particolare, consentire di:

(a)creare e mantenere una rubrica strutturata dei propri contatti;

(b)registrare informazioni relative ai contatti;

(c)organizzare e consultare tali informazioni;

(d)registrare interazioni e attività relative ai contatti;

(e)creare promemoria e attività future;

(f)utilizzare le funzionalità di calendario e comunicazione eventualmente disponibili;

(g)utilizzare le funzionalità o servizi di terze parti eventualmente collegati alla Piattaforma tramite API da parte dell’Utente;

(h)sincronizzare, importare ed esportare dati sulla base delle azioni dell’Utente;

(i)ricevere assistenza tecnica; e

(j)garantire funzionamento, disponibilità e sicurezza del Servizio.

4. Natura delle operazioni di trattamento

A seconda delle funzionalità utilizzate:

raccolta, ricezione, registrazione, organizzazione, strutturazione, conservazione, consultazione, recupero, modifica, sincronizzazione, trasmissione, messa a disposizione dell’Utente, limitazione, esportazione e cancellazione.

5. Durata

Per tutta la durata del Contratto Principale e, successivamente, per il periodo strettamente necessario alla restituzione e/o cancellazione dei Dati CRM ai sensi del presente DPA.

6. Categorie di Interessati

Persone fisiche inserite dall’Utente nella propria rete di contatti attraverso la Piattaforma, inclusi, a seconda dell’utilizzo effettuato dall’Utente:

(a)contatti personali;

(b)conoscenti;

(c)contatti professionali e di business;

(d)collaboratori, professionisti o altri soggetti appartenenti al network dell’Utente;

(e)persone associate a eventi di calendario o comunicazioni gestite tramite il Servizio.

7. Categorie di dati personali

A seconda dei dati effettivamente inseriti dall’Utente:

Dati identificativi

(a)nome;

(b)cognome;

(c)altri identificativi assegnati dall’Utente.

Dati di contatto

(a)indirizzo e-mail;

(b)numero di telefono;

(c)ulteriori recapiti eventualmente inseriti.

Informazioni professionali

(a)professione;

(b)ruolo;

(c)società/organizzazione di appartenenza;

(d)altre informazioni lavorative inserite dall’Utente.

Dati relativi alla relazione e alle interazioni

(a)data o periodo dell’ultimo incontro;

(b)cronologia delle interazioni registrate dall’Utente;

(c)descrizione di incontri, conversazioni o attività svolte;

(d)note relative al contatto;

(e)informazioni contestuali relative alla relazione con l’Utente.

Attività e promemoria

(a)to-do list;

(b)follow-up;

(c)promemoria;

(d)attività programmate relativamente al contatto.

Calendario e comunicazioni

(a)informazioni relative a eventi di calendario;

(b)partecipanti;

(c)data e ora;

(d)metadati relativi a comunicazioni o chiamate, nella misura in cui siano effettivamente trattati attraverso le funzionalità abilitate.

Campi di testo libero

Ulteriori informazioni volontariamente inserite dall’Utente nelle note o negli altri campi di testo libero messi a disposizione dalla Piattaforma.

8. Categorie particolari di dati

Il Servizio non è progettato per il trattamento sistematico e/o occasionale di dati personali di cui agli articoli 9 o 10 GDPR.

L’Utente è tenuto a non inserire deliberatamente tali informazioni nel rispetto anche di quanto indicato nella Piattaforma.

9. Frequenza

Trattamento continuativo per tutta la durata dell’utilizzo del Servizio da parte dell’Utente.

ALLEGATO 2 – MISURE TECNICHE E ORGANIZZATIVE

1. Premessa

I termini indicati con iniziale maiuscola nel presente allegato hanno il significato loro attribuito nel Contratto Principale e/o nell’Informativa Privacy e/o nel DPA e/o nella Normativa Privacy Applicabile.

2. Descrizione delle misure tecniche e organizzative adottate

La Società implementa misure tecniche e organizzative adeguate al rischio, che comprendono, ove applicabili all’architettura effettiva del Servizio:

(a)Controllo degli accessi

(i)sistemi di autenticazione degli utenti anche tramite sistema 2FA;

(ii)segregazione degli account e dei dati tra differenti utenti;

(iii)attribuzione degli accessi amministrativi secondo il principio del need-to-know e del minimo privilegio;

(iv)procedure di concessione, revisione e revoca degli accessi;

(v)autenticazione multifattore per gli accessi amministrativi.

(b)Crittografia e protezione delle comunicazioni

(i)utilizzo di protocolli sicuri per la trasmissione dei Dati CRM attraverso reti pubbliche;

(ii)crittografia dei Dati CRM in transito: protocollo TLS;

(iii)crittografia dei Dati CRM a riposo: AES-256;

(iv)gestione sicura delle credenziali e dei segreti applicativi.

(c)Logging e monitoraggio

(i)registrazione degli accessi amministrativi e delle operazioni rilevanti per la sicurezza;

(ii)sistemi di monitoraggio diretti a individuare accessi anomali, incidenti o vulnerabilità;

(iii)conservazione dei log di data di iscrizione e ultimo accesso.

(d)Sicurezza applicativa e infrastrutturale

(i)procedure di patching e vulnerability management;

(ii)test delle principali componenti applicative;

(iii)processo di sviluppo volto a ridurre vulnerabilità note.

(e)Backup, disponibilità e resilienza

(i)procedure di backup dei dati;

(ii)frequenza dei backup: giornaliero;

(iii)periodo di conservazione: 7 giorni;

(iv)procedure di disaster recovery e business continuity proporzionate alla criticità del Servizio.

(f)Gestione degli incidenti

(i)procedura interna per identificazione, gestione e documentazione degli incidenti di sicurezza;

(ii)procedure di escalation;

(iii)procedure per la valutazione degli incidenti che possano costituire una Violazione dei Dati Personali;

(iv)procedura per la comunicazione tempestiva agli utenti interessati ai sensi del presente DPA.

(g)Sicurezza organizzativa

(i)obblighi di riservatezza del personale;

(ii)limitazione degli accessi ai Dati CRM;

(iii)formazione in materia di sicurezza e protezione dei dati adeguata alle mansioni svolte;

(iv)procedure di onboarding e offboarding del personale;

(v)riesame periodico delle autorizzazioni.

(h)Fornitori

(i)valutazione dei fornitori che abbiano accesso ai Dati CRM;

(ii)conclusione di accordi conformi alla Normativa Privacy Applicabile con i Sub-responsabili;

(iii)verifica delle misure di sicurezza rilevanti dei Sub-responsabili sulla base del rischio.

(i)Cancellazione

(i)procedure per la cancellazione dei Dati CRM dai sistemi attivi;

(ii)gestione della cancellazione dai backup secondo il ciclo ordinario di sovrascrittura;

(iii)periodo previsto per la cancellazione definitiva dopo la cessazione dell’Account: 5 anni.

ALLEGATO 3 – SUB-RESPONSABILI AUTORIZZATI

Di seguito sono indicati i Sub-responsabili utilizzati al fine di erogare il Servizio all’Utente:

Contatto privacy della Società: privacy@netus.app

Contatto per incidenti di sicurezza: privacy@netus.app