Accordo sul trattamento dei dati

Ultimo aggiornamento: 4 settembre 2026 · Versione 1.0

Il presente Accordo sul trattamento dei dati ("DPA") costituisce parte integrante del Contratto per Maildroppa. Si applica ogniqualvolta Maildroppa tratti dati personali per conto di un Cliente.

Parti

Titolare del trattamento ("Cliente"): la persona fisica o giuridica identificata come Cliente nell’Ordine o nell’account Maildroppa, compresa un’Affiliata del Cliente efficacemente inclusa qualora tale Affiliata sia titolare dei Dati Personali del Cliente.

Responsabile del trattamento ("Maildroppa"):

Marcus Biel, operante con la denominazione commerciale "Maildroppa"
Dr.-Peter-Hecker-Str. 4b
82031 Grünwald
Germania
Contatto: modulo di contatto

Il Cliente e Maildroppa sono congiuntamente le "Parti".

1. Ambito, durata e prevalenza

1.1 Il presente DPA disciplina il trattamento, da parte di Maildroppa, dei dati personali per conto del Cliente in relazione al servizio ("Dati Personali del Cliente"). L’oggetto, la natura, la finalità, le categorie di interessati e i tipi di dati sono descritti nell’Allegato 1.

1.2 Il DPA entra in vigore quando il Cliente accetta i Termini, un Ordine che lo incorpora o una conferma elettronica separata. Rimane in vigore per la durata del Contratto e finché Maildroppa tratta Dati Personali del Cliente.

1.3 Per il trattamento svolto per conto del Cliente, il presente DPA prevale sul Contratto principale. Il diritto in materia di protezione dei dati di carattere obbligatorio prevale in ogni caso.

1.4 Per proprie finalità – inclusi contratto e fatturazione, sicurezza dell’account Maildroppa, protezione della piattaforma e dell’infrastruttura di invio, prevenzione degli abusi e obblighi di legge – Maildroppa può agire come titolare autonomo. Tale trattamento è disciplinato dall’Informativa sulla privacy, non dal presente DPA. Maildroppa non utilizzerà il ruolo di responsabile per impiegare i Dati Personali del Cliente a fini pubblicitari di Maildroppa.

2. Definizioni e legge applicabile

2.1 "Dati personali", "trattamento", "titolare", "responsabile", "interessato", "violazione di dati personali" e "autorità di controllo" hanno il significato loro attribuito dal GDPR.

2.2 "Normativa in materia di protezione dei dati" indica il GDPR, la Legge federale tedesca sulla protezione dei dati e ogni altra normativa applicabile al trattamento specifico.

2.3 Se il Cliente agisce esso stesso come responsabile per conto di un altro titolare, Maildroppa opera come ulteriore responsabile. Il Cliente garantisce di essere autorizzato a impartire istruzioni e a incaricare Maildroppa e renderà disponibili a Maildroppa le informazioni e i diritti del titolare, nella misura necessaria all’esecuzione del presente DPA.

3. Responsabilità e istruzioni del Cliente

3.1 Il Cliente è responsabile della liceità del trattamento, dei diritti degli interessati, dell’esattezza e della necessità dei dati e delle sue istruzioni. In particolare, il Cliente garantisce la base giuridica, le informative, il consenso ove richiesto, le decisioni su conservazione e cancellazione e la liceità dei destinatari.

3.2 Le istruzioni documentate comprendono il Contratto principale, il presente DPA, la configurazione e l’uso del servizio da parte del Cliente e istruzioni supplementari in forma testuale. Un’istruzione non deve modificare in modo sostanziale la natura, la finalità o l’ambito del servizio concordato. Istruzioni aggiuntive possono richiedere un accordo separato e un costo ragionevole.

3.3 Il Cliente non deve trattare, all’interno di Maildroppa, categorie particolari di cui all’articolo 9 GDPR, dati relativi a condanne penali o reati ai sensi dell’articolo 10 GDPR, dati completi di strumenti di pagamento, segreti ufficiali o altre informazioni particolarmente protette, salvo che Maildroppa approvi espressamente in anticipo, in forma testuale, lo scopo specifico e le misure di salvaguardia.

3.4 Il Cliente configura in modo appropriato al rischio le funzioni disponibili di ruoli, esportazione, cancellazione, consenso, tracciamento e integrazione e protegge account, domini, chiavi API e credenziali.

4. Trattamento esclusivamente su istruzioni documentate

4.1 Maildroppa tratta i Dati Personali del Cliente solo su istruzioni documentate del Cliente, compreso il trasferimento verso un paese terzo, salvo che il diritto dell’Unione o di uno Stato membro richieda il trattamento. In tal caso Maildroppa informa il Cliente del requisito legale prima del trattamento, a meno che la legge vieti tale informazione per motivi di interesse pubblico rilevante.

4.2 Maildroppa utilizza i Dati Personali del Cliente solo per fornire, proteggere, supportare e concludere il servizio concordato e per eseguire istruzioni lecite. Sono vietati la vendita, la pubblicità di terzi e la creazione di liste di destinatari di altri soggetti.

4.3 Qualora Maildroppa ritenga che un’istruzione violi la Normativa in materia di protezione dei dati, ne informa il Cliente senza ingiustificato ritardo e può sospendere l’istruzione interessata finché non venga confermata, modificata o chiarita dall’organo competente. Le Parti collaborano in buona fede per una soluzione lecita alternativa.

4.4 Solo il personale che necessita dell’accesso per le proprie mansioni può accedere ai Dati Personali del Cliente. Prima dell’accesso, tali persone sono vincolate da un obbligo di riservatezza o da un dovere legale adeguato e ricevono istruzioni in materia di privacy e sicurezza.

5. Misure tecniche e organizzative

5.1 Maildroppa attua le misure indicate nell’Allegato 2 ai sensi degli articoli 28(3)(c) e 32 GDPR. Le misure tengono conto dello stato dell’arte, dei costi di attuazione, della natura, dell’ambito, del contesto e delle finalità del trattamento nonché della probabilità e gravità del rischio.

5.2 Maildroppa può sviluppare o sostituire singole misure con controlli equivalenti o più efficaci. Il livello complessivo di protezione concordato non deve essere ridotto in modo sostanziale. Eventuali modifiche peggiorative sostanziali sono notificate in anticipo salvo che un intervento immediato sia necessario per fronteggiare un rischio acuto.

5.3 La sicurezza è una responsabilità condivisa. Maildroppa non risponde dei rischi causati esclusivamente da Contenuti illeciti del Cliente, da dispositivi del Cliente insicuri, credenziali condivise, integrazioni del Cliente mal configurate o istruzioni del Cliente. Restano impregiudicati gli obblighi di legge e contrattuali propri di Maildroppa.

6. Assistenza per i diritti degli interessati

6.1 Tenendo conto della natura del trattamento, Maildroppa assiste il Cliente con misure tecniche e organizzative adeguate nelle richieste ai sensi del Capo III GDPR, comprese accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e informazioni relative a decisioni automatizzate.

6.2 Laddove i dati richiesti siano disponibili tramite la funzionalità del prodotto, il Cliente gestisce autonomamente la richiesta. Per ulteriore supporto proporzionato, Maildroppa fornisce le informazioni disponibili o rettifica, esporta, limita o cancella i dati su istruzione documentata.

6.3 Se Maildroppa riceve una richiesta di un interessato evidentemente relativa ai Dati Personali del Cliente, ne informa il Cliente senza ingiustificato ritardo e non risponde nel merito salvo istruzione del Cliente o obbligo di legge. Maildroppa può comunicare all’interessato che la richiesta è stata inoltrata al titolare.

6.4 Il Cliente trasmette solo le informazioni necessarie per individuare ed evadere la richiesta in modo sicuro. Maildroppa può addebitare costi ragionevoli e preavvisati per assistenza manifestamente eccessiva, ripetitiva o non standard nella misura consentita dall’articolo 28 GDPR.

7. Conformità, valutazioni d’impatto e autorità

7.1 Tenendo conto della natura del trattamento e delle informazioni disponibili, Maildroppa assiste il Cliente con gli articoli 32-36 GDPR, inclusi sicurezza, notifica e comunicazione delle violazioni, valutazioni d’impatto sulla protezione dei dati e consultazione preventiva.

7.2 Su richiesta ragionevole, Maildroppa fornisce informazioni sul servizio, sui flussi di dati, sulle misure, sui sub-responsabili e sui rischi noti necessarie alla valutazione d’impatto del Cliente, qualora non già disponibili nella documentazione o nell’account.

7.3 Se Maildroppa riceve una richiesta vincolante di un’autorità o un ordine giudiziario relativo ai Dati Personali del Cliente, informa il Cliente prima della divulgazione, se legalmente consentito. Maildroppa valuta l’autorità e l’ambito della richiesta, divulga solo quanto legalmente richiesto e ne registra i dettagli.

8. Violazioni di dati personali

8.1 Maildroppa notifica il Cliente senza ingiustificato ritardo dopo essere venuta a conoscenza di una Violazione di dati personali riguardante i Dati Personali del Cliente. Le informazioni iniziali possono essere fornite per fasi e non saranno ritardate fino al termine dell’indagine.

8.2 Nella misura disponibile, la notifica include:

• la natura della violazione, comprese le categorie e il numero approssimativo di persone e di registrazioni interessate;
• le probabili conseguenze;
• le misure adottate o proposte per contenerla e porvi rimedio;
• il momento o il periodo e lo stato attuale dell’indagine;
• un punto di contatto per le domande.

8.3 Maildroppa adotta tempestivamente misure ragionevoli di contenimento, conservazione delle prove, individuazione della causa e rimedio, documenta la violazione e fornisce le informazioni disponibili per gli obblighi del Cliente ai sensi degli articoli 33 e 34 GDPR.

8.4 Il Cliente resta responsabile della valutazione e di ogni eventuale notifica all’autorità di controllo entro 72 ore dalla propria conoscenza e di qualsiasi comunicazione agli interessati. Una notifica di Maildroppa non costituisce ammissione di violazione di obblighi o di responsabilità.

8.5 Il Cliente informa tempestivamente Maildroppa di incidenti di sicurezza nel proprio ambiente che possano riguardare i Dati Personali del Cliente o il servizio e collabora alla mitigazione.

9. Sub-responsabili

9.1 Il Cliente conferisce autorizzazione scritta generale ai sub-responsabili indicati nell’Allegato 3. Maildroppa rimane responsabile nei confronti del Cliente per l’adempimento, da parte del sub-responsabile, degli obblighi di cui all’articolo 28(4) GDPR.

9.2 Maildroppa vincola contrattualmente ogni sub-responsabile a un livello di protezione dei dati sostanzialmente equivalente per il servizio pertinente, incluse istruzioni, riservatezza, sicurezza, assistenza, cancellazione e diritti di audit.

9.3 Maildroppa fornisce di norma un preavviso di almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile all’indirizzo e-mail aziendale registrato nell’account e pubblica la modifica datata nell’elenco dei sub-responsabili. Un periodo più breve può applicarsi per esigenze urgenti di sicurezza o disponibilità; Maildroppa spiega la ragione e fornisce l’avviso quanto prima.

9.4 Il Cliente può opporsi entro il periodo di preavviso per motivi specifici e motivati di protezione dei dati. Le Parti cercano una soluzione ragionevole, quale la modifica della configurazione. Se nessuna soluzione è possibile e l’obiezione è giustificata, il Cliente può risolvere il Contratto principale per giusta causa senza costi aggiuntivi prima che il nuovo sub-responsabile sia utilizzato. Obiezioni puramente commerciali o concorrenziali non sono sufficienti.

9.5 I servizi che non trattano Dati Personali del Cliente, nonché i destinatari o le integrazioni collegati dal Cliente su sua istruzione, non sono sub-responsabili di Maildroppa. Ciò include un servizio per il quale il Cliente si collega e contratta tramite il proprio account di terzi.

10. Trasferimenti internazionali

10.1 Maildroppa trasferisce i Dati Personali del Cliente al di fuori dello Spazio economico europeo solo su istruzioni documentate e in conformità con il Capo V GDPR.

10.2 In assenza di una decisione di adeguatezza applicabile, Maildroppa stipula le Clausole contrattuali tipo della Commissione europea allora vigenti con l’importatore. Di norma si applica il Modulo 2 quando il Cliente è titolare e il Modulo 3 quando il Cliente è responsabile. Il presente DPA e i suoi Allegati completano i relativi Allegati delle SCC.

10.3 Qualora un fornitore sia validamente certificato nell’ambito dell’EU-US Data Privacy Framework per i dati pertinenti, può essere utilizzata la decisione di adeguatezza. Maildroppa monitora la certificazione a intervalli ragionevoli e mantiene un meccanismo alternativo, se necessario, per continuare il trasferimento.

10.4 Maildroppa documenta una valutazione d’impatto sul trasferimento quando richiesto e utilizza misure tecniche, contrattuali o organizzative supplementari adeguate alla normativa applicabile, alla possibilità di accesso e al rischio dei dati. Il Cliente fornisce le informazioni necessarie per valutare le proprie istruzioni.

11. Restituzione e cancellazione

11.1 Durante il Contratto, il Cliente può utilizzare le funzioni disponibili di esportazione e cancellazione. Prima del termine contrattuale, il Cliente può richiedere la restituzione dei Dati Personali operativi del Cliente in un formato leggibile da macchina, disponibile e di uso comune.

11.2 Dopo la cessazione dei servizi, Maildroppa cancella tutti i Dati Personali del Cliente e le copie senza ingiustificato ritardo, salvo che il Cliente richieda precedentemente la restituzione o che il diritto dell’Unione o di uno Stato membro imponga la conservazione. La cancellazione inizia una volta completata la restituzione concordata. Su richiesta, Maildroppa conferma la cancellazione in forma testuale.

11.3 I dati presenti nei backup a accesso limitato non sono utilizzati per nuove finalità produttive e vengono sovrascritti secondo il ciclo di backup documentato. Fino ad allora, rimangono bloccati all’accesso ordinario. Se un backup viene utilizzato per il ripristino, Maildroppa riapplica prontamente i record di cancellazione, opposizione e limitazione in sospeso.

11.4 I dati conservati per obbligo di legge e le informazioni minime strettamente necessarie per la sicurezza, la prevenzione degli abusi o il rispetto permanente delle disiscrizioni sono isolati, a accesso limitato e utilizzati solo a tale scopo, quindi cancellati quando non più necessari. Maildroppa identifica al Cliente la categoria e la base giuridica quando non già documentate.

12. Informazioni e audit

12.1 Maildroppa fornisce le informazioni necessarie a dimostrare la conformità all’articolo 28 GDPR e al presente DPA. Ciò può includere TOM aggiornate, informazioni su sub-responsabili e trasferimenti, certificazioni appropriate, rapporti di audit, questionari e conferme di cancellazione.

12.2 Se tale materiale non risolve un rischio motivato, il Cliente o un revisore indipendente e competente vincolato alla riservatezza può effettuare un audit. Gli audit si svolgono normalmente non più di una volta ogni dodici mesi, con preavviso di almeno 30 giorni, durante l’orario lavorativo ordinario e senza arrecare indebite interruzioni ad altri clienti o alla sicurezza.

12.3 Un audit aggiuntivo o con preavviso più breve è consentito se giustificato da una Violazione di dati personali, da una preoccupazione materiale specifica o da un ordine dell’autorità di controllo. Maildroppa può mettere a disposizione materiale di sicurezza altamente sensibile tramite un rapporto di terza parte adeguato e limitare l’accesso a dati di altri clienti, codice sorgente, vulnerabilità o segreti commerciali, purché l’obiettivo dell’audit sia comunque raggiunto.

12.4 Ogni Parte sostiene i propri costi. Qualora un audit comporti un lavoro sostanziale oltre gli obblighi di legge o non riscontri inadempienze materiali di Maildroppa, Maildroppa può addebitare costi ragionevoli concordati in anticipo. Se l’audit identifica un’inadempienza materiale di Maildroppa, quest’ultima sostiene i costi ragionevoli dell’audit e rimedierà senza ingiustificato ritardo.

12.5 Maildroppa mantiene registri delle categorie di trattamento ai sensi dell’articolo 30(2) GDPR e collabora con l’autorità di controllo competente su richiesta.

13. Responsabilità

13.1 La responsabilità tra le Parti è disciplinata dall’articolo 82 GDPR, da altra Normativa di protezione dei dati di carattere obbligatorio e dalle disposizioni di responsabilità efficaci del Contratto principale. Nulla nel presente DPA limita i diritti degli interessati o i poteri delle autorità di controllo.

13.2 Tra le Parti, ciascuna è responsabile delle perdite e dei costi nella misura in cui siano causati da una propria violazione colpevole del presente DPA, di un obbligo legale o di una responsabilità lecita. Restano impregiudicati i diritti di regresso previsti dalla legge.

14. Risoluzione per violazione della protezione dei dati

14.1 Se Maildroppa viola in modo sostanziale il presente DPA, il Cliente può sospendere il trattamento interessato finché non venga rimediato. Se Maildroppa non rimediasse a una violazione sostanziale entro un periodo ragionevole, o fosse impossibile rimediare, il Cliente può risolvere il servizio interessato per giusta causa.

14.2 Maildroppa può sospendere un’istruzione illecita ai sensi della clausola 4.3. Se non si trova un’alternativa lecita e la continuazione violerebbe la Normativa in materia di protezione dei dati, Maildroppa può risolvere il trattamento interessato. Restano gli obblighi di restituzione, cancellazione e conservazione delle prove.

15. Disposizioni finali

15.1 Le modifiche sono concordate in forma testuale o incorporate mediante un processo elettronico dimostrabile. Gli Allegati possono essere aggiornati per riflettere il trattamento effettivo, purché la protezione complessiva non sia ridotta in modo sostanziale e siano rispettati gli avvisi e i diritti di opposizione del DPA.

15.2 Se una disposizione è invalida, le restanti disposizioni rimangono efficaci e le norme di legge la sostituiscono.

15.3 Si applicano il diritto tedesco e la clausola di foro competente del Contratto principale, nella misura in cui la Normativa di protezione dei dati obbligatoria non richieda diversamente.

15.4 La presente versione italiana è fornita per comodità. In caso di conflitto con la versione tedesca, prevale la versione tedesca, salvo che la legge obbligatoria disponga diversamente.

Allegato 1 – Descrizione del trattamento

1. Oggetto e finalità

Fornitura del servizio cloud Maildroppa per email marketing basato sul consenso, compresi gestione di contatti e liste, moduli e flussi di iscrizione, campagne, modelli, automazioni, invio, report di consegna e interazione, file, integrazioni, esportazioni, supporto, sicurezza, backup e cancellazione contrattuale.

2. Durata

La durata del Contratto principale più il periodo di restituzione, cancellazione e scadenza dei backup di cui alla clausola 11.

3. Natura del trattamento

Raccolta tramite moduli del Cliente, registrazione, organizzazione, strutturazione, conservazione, adattamento, segmentazione, abbinamento, recupero, visualizzazione, importazione, esportazione, trasmissione, invio, registrazione, analisi, limitazione, backup e cancellazione su istruzione del Cliente.

4. Categorie di interessati

• iscritti, potenziali clienti, lead, clienti e altri contatti commerciali del Cliente;
• visitatori e soggetti che compilano moduli e landing page del Cliente;
• destinatari di campagne, automazioni e messaggi transazionali del Cliente;
• altre persone i cui dati il Cliente trasmette lecitamente al servizio.

5. Categorie di dati personali

• dati identificativi e di contatto: nome, indirizzo e-mail e informazioni di contatto aziendali inseriti dal Cliente;
• campi profilo, tag, segmenti, liste e assegnazioni di pubblico definiti dal Cliente;
• dati di consenso, origine e prova: origine dell’iscrizione, modulo, testo del consenso, timestamp, conferma e stato di disiscrizione, nonché metadati IP/browser se abilitati e leciti;
• dati tecnici di modulo e abuso: dimensioni dello schermo, versione del browser e del sistema operativo, identificatore di dispositivo derivato, dati IP/richiesta e ora di ultima visualizzazione popup memorizzata nel browser se il Cliente incorpora il caricatore del modulo di conseguenza;
• contenuto di campagne, moduli, automazioni, modelli e messaggi;
• dati di consegna e interazione: stato di consegna, eventi di apertura e clic se abilitati e leciti, rimbalzi, reclami, disiscrizioni e soppressioni;
• dati tecnici: indirizzo IP, dispositivo, browser, richiesta, informazioni di sicurezza, log e errori;
• file, allegati e contenuti caricati dal Cliente;
• informazioni di integrazione, importazione, esportazione e supporto, compresi identificativi di terze parti trasmessi dal Cliente.

6. Dati particolari

Il trattamento di categorie particolari ai sensi dell’articolo 9 e di dati relativi a condanne penali ai sensi dell’articolo 10 GDPR non fa parte del servizio ed è vietato salvo accordo espresso anticipato in forma testuale per uno scopo specifico con ulteriori salvaguardie.

7. Frequenza e volume

Continuo, con il volume determinato dall’uso, dalla configurazione, dai destinatari, dal piano e dalle istruzioni del Cliente.

8. Diritti e obblighi del Cliente

I diritti e gli obblighi del Cliente derivano dal presente DPA, dal Contratto principale e dalla Normativa in materia di protezione dei dati. Il Cliente decide in particolare finalità, basi giuridiche, categorie di dati, destinatari, configurazione, conservazione e risposta ai diritti degli interessati.

Allegato 2 – Misure tecniche e organizzative

Maildroppa mantiene le seguenti misure per i Dati Personali del Cliente. L’implementazione può evolversi con lo stato dell’arte senza ridurre in modo sostanziale la protezione complessiva.

1. Organizzazione e governance

• responsabilità documentate per privacy, sicurezza e incidenti;
• obblighi di riservatezza per il personale autorizzato;
• istruzioni su privacy e sicurezza adeguate a ruoli e compiti;
• concessione, modifica e revoca controllate degli accessi interni;
• revisione documentata dei fornitori e contratti di trattamento richiesti;
• procedure per richieste degli interessati, istruzioni, cancellazione e richieste delle autorità.

2. Autenticazione e controllo accessi

• account autenticati tramite Auth0/Okta e interfacce di prodotto e amministrazione con ruoli limitati;
• accesso interno individuale basato sulla necessità e sul principio del minimo privilegio;
• protezione degli accessi privilegiati e dei segreti tecnici; nessuna memorizzazione di password in chiaro da parte di Maildroppa;
• registrazione degli eventi rilevanti per la sicurezza di account e amministrazione;
• revisione basata su eventi e rischi e revoca tempestiva degli accessi non più richiesti.

3. Sicurezza di trasmissione e comunicazione

• trasmissione cifrata tramite connessioni HTTPS/TLS aggiornate;
• API e webhook protetti tramite metodi di autenticazione o firma/segreto ove previsti;
• controlli di dominio e mittente e supporto dei comuni metodi di autenticazione e-mail;
• protezione da richieste abusive mediante proxy, rete, limitazione di frequenza e controlli di sicurezza.

4. Separazione di tenant e finalità

• allocazione logica dei dati e degli accessi agli account Cliente;
• autorizzazione lato server per le risorse di account;
• ruoli e finalità separati per operazioni, supporto, fatturazione e trattamento del Cliente;
• nessun utilizzo dei Dati Personali del Cliente per pubblicità di terzi o commercio di liste.

5. Disponibilità, resilienza e recupero

• funzionamento dell’applicazione principale su infrastruttura controllata in Germania e archiviazione primaria degli oggetti dati nell’UE;
• salvaguardie contro attacchi di rete e carico abusivo;
• monitoraggio del servizio, acquisizione errori e escalation controllata;
• backup a accesso limitato secondo un programma documentato;
• procedure di ripristino controllate;
• riapplicazione dei record di cancellazione e limitazione in sospeso dopo il ripristino.

6. Integrità e trattamento sicuro

• convalida tecnica di tipo, dimensione e accesso per i caricamenti supportati;
• distribuzione software controllata e gestione di dipendenze/vulnerabilità;
• logging di errori e sicurezza con minimizzazione dei dati;
• salvaguardie contro alterazioni non autorizzate tramite controllo accessi;
• gestione responsabile di rimbalzi, reclami, disiscrizioni e soppressioni.

7. Protezione dei dati by design

• campi obbligatori e trattamento limitato alla finalità; campi aggiuntivi configurabili dal Cliente;
• funzioni di esportazione, rettifica, cancellazione e soppressione a supporto dei processi degli interessati;
• flussi di consenso e iscrizione in grado di registrare testo, origine e timestamp rilevanti;
• misurazione di aperture e clic presentata come configurazione trasparente ove la funzione si applichi;
• dati diagnostici e analitici pseudonimizzati o minimizzati ove possibile.

8. Cancellazione e conservazione

• flussi operativi di cancellazione per contatti, campagne, automazioni, moduli, file e relativi dati del Cliente;
• separazione dei registri di fatturazione di legge dai dati operativi del Cliente;
• informazioni limitate di soppressione e sicurezza utilizzate solo per la loro finalità di protezione;
• cancellazione operativa senza ingiustificato ritardo dopo la fine del servizio e il completamento di eventuale restituzione concordata; scadenza dei backup secondo il ciclo documentato;
• restituzione o cancellazione documentate su richiesta.

9. Gestione degli incidenti e revisione

• processo documentato di rilevamento, classificazione, contenimento, indagine, rimedio e revisione;
• avviso al Cliente senza ingiustificato ritardo dopo la conoscenza di una violazione riguardante i Dati Personali del Cliente;
• registrazione di cronologia, sistemi e dati interessati, misure e impatto disponibile;
• conservazione delle prove con accesso limitato;
• revisione periodica dell’efficacia e adeguamento basato sul rischio delle misure.

Allegato 3 – Sub-responsabili autorizzati e trasferimenti

Il seguente elenco si applica alle funzioni pertinenti; non ogni fornitore tratta gli stessi dati per ogni Cliente. Maildroppa verifica l’entità giuridica, la regione e il meccanismo di trasferimento rispetto al contratto effettivo prima del primo utilizzo e dopo una modifica materiale.

Auth0/Okta è incluso in questo Allegato solo nella misura in cui tratti Dati Personali del Cliente come sub-responsabile in un determinato flusso di dati. Il trattamento da titolare di Maildroppa dei dati dell’utente-account per finalità contrattuali, di account e autenticazione è disciplinato dall’Informativa sulla privacy ed è fuori dal presente DPA.

Avvisi di modifica

Maildroppa informa i Clienti all’indirizzo e-mail aziendale registrato nell’account e pubblica una versione datata del presente elenco. L’avviso identifica il fornitore, la finalità, la sede, il meccanismo e la data di inizio prevista. Il processo di opposizione è disciplinato dalla clausola 9.

Integrazioni dirette dal Cliente

Zapier, Make e altri servizi collegati dal Cliente non diventano automaticamente sub-responsabili di Maildroppa. Quando Maildroppa trasmette dati a tale integrazione su istruzione del Cliente, il Cliente è responsabile della scelta del destinatario, dell’autorità, delle informative privacy, dei contratti e dei meccanismi di trasferimento internazionale.