Accordo sul trattamento dei dati (DPA)

Ultimo aggiornamento: 13 novembre 2026

Questo accordo, concluso ai sensi dell'articolo 28 del Regolamento (UE) 2016/679 ("GDPR"), fa parte dei termini di servizio di EdiliziaMail e si applica a ogni azienda cliente.

1. Ruoli

• Titolare del trattamento: l'azienda cliente ("il Cliente"), che decide a chi scrivere, cosa inviare e su quale base giuridica.
• Responsabile del trattamento: [ragione sociale del gestore], [indirizzo della sede legale], partita IVA [partita IVA] ("il Gestore"), che tratta i dati per conto del Cliente e solo per fornire il servizio.

2. Oggetto, durata e natura del trattamento

• Oggetto: conservazione dei contatti del Cliente, invio delle sue comunicazioni via email, registrazione dei consensi e delle disiscrizioni, misurazione di consegne, aperture e clic.
• Durata: per tutta la durata del contratto, più il periodo di cancellazione indicato al punto 9.
• Categorie di interessati: clienti, potenziali clienti e contatti professionali del Cliente (imprese, rivenditori, progettisti, uffici tecnici).
• Tipi di dati: nome, cognome, email, azienda, ruolo, telefono, provincia e città, settore, marchi di interesse, note; fonte e data del consenso; storico di invii, aperture, clic, rimbalzi, disiscrizioni e richieste di preventivo. Il servizio non è pensato per categorie particolari di dati (art. 9 GDPR) e il Cliente si impegna a non caricarne.

3. Istruzioni del Titolare

Il Gestore tratta i dati solo secondo le istruzioni documentate del Cliente, che coincidono con l'uso delle funzioni del servizio e con questo accordo. Se ritiene che un'istruzione violi la normativa, lo segnala al Cliente.

4. Obblighi del Cliente

Il Cliente garantisce di avere una base giuridica valida per ogni contatto caricato, di aver informato gli interessati e di rispettare la politica anti-spam. Al caricamento di una lista dichiara la provenienza del consenso: la dichiarazione viene conservata.

5. Riservatezza

Il Gestore garantisce che le persone autorizzate a trattare i dati sono vincolate alla riservatezza e accedono ai dati del Cliente solo quando serve per l'assistenza, la sicurezza o la prevenzione di abusi. Gli accessi dell'amministrazione agli account vengono registrati.

6. Misure di sicurezza

Il Gestore adotta misure tecniche e organizzative adeguate al rischio, tra cui:

• separazione dei dati di ogni cliente a livello di applicazione e di base dati;
• cifratura delle connessioni (HTTPS) e password conservate in forma non reversibile;
• autenticazione a due fattori disponibile per gli utenti e per l'amministrazione;
• limiti ai tentativi di accesso e registro delle azioni;
• copie di sicurezza giornaliere;
• firma delle email con DKIM e verifica del dominio mittente.

7. Sub-responsabili

Il Cliente autorizza il Gestore ad avvalersi dei seguenti sub-responsabili, vincolati da obblighi equivalenti a quelli di questo accordo:

• Hosting dell'applicazione e della base dati: Railway, Europa (Amsterdam);
• Invio delle email: Amazon Web Services EMEA SARL (Amazon SES), regione Europa (Stoccolma);
• Pagamenti e fatturazione: Stripe Payments Europe Ltd (tratta i dati di chi paga, non i contatti del Cliente).

Il Gestore comunica con almeno 30 giorni di anticipo l'aggiunta o la sostituzione di un sub-responsabile. Il Cliente può opporsi per motivi fondati e, se non si trova una soluzione, recedere dal contratto.

8. Trasferimenti fuori dallo Spazio economico europeo

Se un sub-responsabile tratta i dati fuori dallo Spazio economico europeo, il trasferimento avviene sulla base di una decisione di adeguatezza della Commissione europea o delle clausole contrattuali tipo.

9. Assistenza al Titolare e diritti degli interessati

• Il servizio offre al Cliente gli strumenti per rispondere alle richieste degli interessati: esportazione dei dati di un contatto, cancellazione definitiva, disiscrizione e lista di soppressione.
• Se un interessato si rivolge direttamente al Gestore, questi inoltra la richiesta al Cliente senza ritardo.
• Il Gestore assiste il Cliente, per quanto di sua competenza, nelle valutazioni d'impatto e nei rapporti con l'autorità di controllo.

10. Violazioni dei dati

Il Gestore informa il Cliente senza ingiustificato ritardo, e comunque entro 48 ore da quando ne viene a conoscenza, di ogni violazione che riguardi i suoi dati, fornendo le informazioni disponibili su natura, conseguenze e misure adottate.

11. Cancellazione e restituzione

Il Cliente può esportare i propri dati in qualsiasi momento. Alla chiusura dell'account il Gestore cancella i dati del Cliente entro 30 giorni; le copie di sicurezza vengono sovrascritte entro i 90 giorni successivi. Restano i soli dati che la legge impone di conservare, come i documenti fiscali.

12. Verifiche

Il Gestore mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto di questo accordo. Verifiche ulteriori si concordano con un preavviso ragionevole, nel rispetto della riservatezza degli altri clienti, al massimo una volta l'anno salvo violazioni accertate.

13. Durata

Questo accordo dura quanto il contratto di servizio e prevale su di esso per tutto ciò che riguarda il trattamento dei dati personali.

14. Contatti

Per le questioni relative alla protezione dei dati: [email di contatto].