Accordo sul trattamento dei dati (DPA)
Versione del 28 agosto 2026 – appendice alle Condizioni Generali
1. Parti, portata e durata
Il cliente è “processing manager” per i dati contenuti nei suoi cataloghi, i recapiti raccolti, i link nominali e le misurazioni di lettura. Damien FLANDRIN EI è un “subappaltatore” per le operazioni effettuate con Foliade. Questo DPA entra in vigore con il contratto e rimane applicabile fino a quando il subappaltatore tratta questi dati.
L'account e i dati di fatturazione che Foliade elabora per i propri scopi fanno parte del privacy policy e non questo DPA.
2. Descrizione del trattamento
| Oggetto | Conversione, hosting, distribuzione e amministrazione di cataloghi interattivi |
|---|---|
| Durata | Durata del conto e restituzione, archiviazione e cancellazione dei periodi previsti nel contratto |
| Natura | Raccolta, conversione, strutturazione, conservazione, consultazione, misurazione, trasmissione, esportazione, accesso tramite API o MCP, archiviazione e cancellazione |
| Finalità | Fornire cataloghi e funzioni espressamente scelti dal cliente |
| Persone | Utenti, lettori, prospettive, contatti e destinatari dei link nominati |
| Dati | PDF e metadati, identità e contatti, possibile organizzazione, identificativo pseudonimo, pagine consultate, durata, origine, dispositivo, indirizzo di rete protetto e registri di sicurezza |
| Dati sensibili | Nessuna categoria particolare è prevista. Il cliente deve farlo solo se necessario, lecito ed espressamente regolamentato. |
3. Istruzioni del cliente
Le istruzioni documentate derivano dal contratto, dalle impostazioni di servizio e dalle richieste scritte del cliente. Il subappaltatore non utilizza i dati per i propri scopi e informa immediatamente il cliente se un'istruzione sembra contravvenire al GDPR o alla legge applicabile. Essa può sospendere l'istruzione interessata in attesa di chiarificazione lecita.
Le chiamate API o MCP autenticate costituiscono istruzioni client. Il plugin locale Foliade non trasmette al subappaltatore né la cronologia delle conversazioni né la memoria dell'assistente; all'API vengono inviati solo il PDF scelto esplicitamente e i parametri necessari per lo strumento richiamato.
Se il diritto dell'Unione o dello Stato membro richiede un trattamento non richiesto, il responsabile informa il cliente prima di effettuarlo, a meno che non sia vietato dalla legge.
4. Privacy e sicurezza
Le persone autorizzate a trattare i dati sono soggette ad un obbligo di riservatezza e l'accesso solo secondo le loro missioni. Il subappaltatore mantiene misure proporzionali al rischio, in particolare:
- la crittografia delle comunicazioni e la presa di password e segreti;
- separazione logica degli spazi, controllo dei ruoli e link temporanei firmati;
- limitazione dei tentativi, convalida dei file e protezione delle interfacce sensibili;
- registrazione delle azioni operative e segnalazione visibile dell'accesso al supporto;
- backup, restauro, gestione degli incidenti, procedure di restituzione e cancellazione adattate all'ambiente di produzione.
5. Sottoprocessori
Il cliente concede l'autorizzazione generale all'utilizzo dei fornitori di servizi sottostanti per le attività indicate:
| Fornitore | Attività | Posizione indicata |
|---|---|---|
| OVH SAS | Infrastrutture, storage e backup | 2 rue Kellermann, 59100 Roubaix, France |
| Hostinger International Limited | E-mail transazionali | Chypre |
Qualsiasi aggiunta o sostituzione è annunciata almeno quindici giorni prima dell'effetto, tranne in caso di emergenza di sicurezza. Il cliente può presentare un'obiezione motivata relativa alla protezione dei dati durante questo periodo. Le parti cercano una soluzione ragionevole; in mancanza di ciò, il cliente può interrompere la funzione assegnata. Il subappaltatore impone obblighi equivalenti al fornitore di servizi e rimane responsabile della loro esecuzione nei confronti del cliente.
Stripe è coinvolta nella fatturazione specifica del rapporto tra Foliade e il cliente. Nessun contenuto di catalogo è trasmesso ad esso; questo trattamento non rientra quindi nel subappalto descritto da questa appendice.
6. Trasferimenti internazionali
Un trasferimento al di fuori dello Spazio economico europeo è effettuato solo sulla base di una decisione di adeguatezza, clausole contrattuali standard accompagnate dalle misure aggiuntive necessarie o da un altro meccanismo riconosciuto. Su richiesta, il subappaltatore comunica informazioni utili relative al meccanismo applicabile.
7. Informazioni e diritti dei singoli
Il cliente scrive le informazioni fornite ai lettori e determina la risposta alle loro richieste. Tenendo conto della natura del trattamento, il processore fornisce le funzioni e le informazioni ragionevolmente necessarie per rispondere alle richieste di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità. Una richiesta ricevuta direttamente viene trasmessa al cliente senza una risposta sostanziale, a meno che non sia istruita o legalmente richiesta.
8. Supporto e violazioni
Il processore aiuta ragionevolmente il cliente con sicurezza, analisi di impatto, consultazioni di autorità e dimostrazione della conformità. Informa il cliente senza indebito ritardo dopo aver preso coscienza di una violazione che riguarda i propri dati e trasmette loro, come diventano disponibili, la natura dell'incidente, le categorie di dati e persone interessate, le probabili conseguenze e le misure adottate. Il cliente rimane responsabile delle notifiche in sospeso su di lui.
9. Ripristino e cancellazione
Durante il contratto, il cliente può esportare i suoi dati utilizzando le funzioni disponibili. Al termine del servizio o su istruzioni legali, i dati vengono restituiti o cancellati, comprese le copie, a meno che non vi sia un obbligo di conservazione legale. Le cancellazioni dai backup seguono il loro normale ciclo tecnico e i dati interessati rimangono isolati da qualsiasi uso corrente durante questo periodo.
10. Documentazione e audit
Il subappaltatore mette a disposizione le informazioni necessarie per dimostrare la conformità a questo DPA. Il cliente può richiedere un audit al massimo una volta all'anno, a meno che non vi sia un incidente o una richiesta da un'autorità, con ragionevole preavviso. L'audit deve rimanere proporzionale, confidenziale, condotto durante le ore di lavoro e non compromettere la sicurezza o i dati di altri clienti. I costi sono a carico del cliente, a meno che non vi sia una sostanziale non conformità attribuibile al subappaltatore.
11. Priorità e contatto
In caso di contraddizione per quanto riguarda la protezione dei dati trattati per il cliente, questo DPA prevale sul CGV e CGU. La sua versione francese costituisce la versione contrattuale di riferimento; le traduzioni sono fornite per facilitare la lettura. Richieste e notifiche sono indirizzate a [email protected].