Accordo sul trattamento dei dati — Business Edition

1. Oggetto e durata

1.1 Il Fornitore tratta dati personali per conto del Cliente unicamente per fornire Trusted Codes Business Edition: un servizio di verifica che emette e controlla codici di accesso formati da parole tra persone identificate, insieme alle funzioni di amministrazione dell’organizzazione, notifica e assistenza descritte nella documentazione di prodotto.

1.2 La durata del trattamento corrisponde alla durata dell’abbonamento del Cliente, prolungata dei termini di cancellazione previsti alla sezione 10.

2. Natura e finalità del trattamento

2.1 Il Fornitore tratta i dati personali soltanto per:

• creare e amministrare gli account utente e l’appartenenza alle organizzazioni;
• generare, distribuire e verificare i codici di accesso e il materiale crittografico collegato;
• consegnare notifiche per posta elettronica e messaggio push;
• fornire la console di amministrazione, la reportistica e l’assistenza;
• proteggere il servizio da frodi e abusi;
• adempiere ai propri obblighi di legge.

2.2 Il Fornitore non tratta i dati personali per finalità proprie. Il Fornitore non vende dati personali e non li utilizza per addestrare modelli di apprendimento automatico.

3. Tipi di dati personali

3.1 Possono essere trattate le seguenti categorie:

3.2 Contenuti cifrati end-to-end. I segreti dei codici e il materiale da essi derivato sono cifrati sul dispositivo dell’utente finale per un dispositivo destinatario determinato. Il Fornitore conserva tale materiale in forma cifrata e non è in grado di leggerlo. Il Fornitore non detiene alcuna chiave che consenta di decifrarlo.

4. Categorie di interessati

• i membri, i dipendenti e gli amministratori del Cliente;
• i contatti verificati del Cliente, ossia persone esterne che il Cliente verifica;
• le persone invitate dal Cliente che non hanno ancora accettato;
• le persone che verificano un codice emesso dal Cliente.

5. Istruzioni del titolare

5.1 Il Fornitore tratta i dati personali soltanto su istruzioni documentate del Cliente. Questo accordo, i Termini di servizio e l’uso che il Cliente fa delle funzioni del prodotto costituiscono tali istruzioni.

5.2 Il Fornitore informa il Cliente senza indugio se, a suo giudizio, un’istruzione viola la normativa sulla protezione dei dati. Il Fornitore può sospendere l’esecuzione di tale istruzione fino alla risoluzione della questione.

5.3 Qualora il diritto dell’Unione o di uno Stato membro obblighi il Fornitore a trattare dati personali oltre le istruzioni del Cliente, il Fornitore informa il Cliente di tale obbligo prima del trattamento, salvo che il diritto in questione vieti tale informazione per rilevanti motivi di interesse pubblico.

6. Riservatezza

6.1 Il Fornitore garantisce che ogni persona autorizzata a trattare i dati personali sia vincolata a un obbligo di riservatezza, contrattuale o di legge, e che tale obbligo permanga dopo la fine del rapporto.

6.2 L’accesso è limitato alle persone che ne hanno bisogno per fornire il servizio o per adempiere a un obbligo di legge.

7. Sicurezza del trattamento (articolo 32 del GDPR)

7.1 Il Fornitore applica le misure tecniche e organizzative descritte nell’allegato 1. Il Cliente ha esaminato tali misure e le ritiene adeguate al rischio.

7.2 Il Fornitore può modificare le misure, purché il livello di protezione non sia ridotto.

8. Sub-responsabili

8.1 Il Cliente rilascia autorizzazione generale al ricorso a sub-responsabili. L’elenco aggiornato costituisce l’allegato 2 ed è pubblicato anche in una pagina propria, così da poter essere datato e sostituito indipendentemente da questo accordo.

8.2 Il Fornitore informa il Cliente almeno 30 giorni prima che un nuovo sub-responsabile inizi il trattamento o che uno esistente venga sostituito. L’avviso è dato per posta elettronica al contatto amministrativo del Cliente e mediante aggiornamento dell’elenco pubblicato.

8.3 Entro tale termine il Cliente può opporsi per ragionevoli motivi di protezione dei dati. Se le parti non risolvono l’obiezione, il Cliente può recedere dall’abbonamento interessato, con rimborso del periodo prepagato non utilizzato.

8.4 Il Fornitore impone contrattualmente a ogni sub-responsabile obblighi di protezione dei dati non meno protettivi di quelli del presente accordo e resta pienamente responsabile verso il Cliente dell’operato di tale sub-responsabile.

9. Assistenza al titolare

9.1 Diritti degli interessati. Tenuto conto della natura del trattamento, il Fornitore assiste il Cliente con misure tecniche e organizzative adeguate nell’evasione delle richieste di cui al capo III del GDPR. Il prodotto offre funzioni di esportazione e cancellazione che consentono al Cliente di rispondere alla maggior parte delle richieste senza rivolgersi al Fornitore.

9.2 Il Fornitore trasmette al Cliente, senza ingiustificato ritardo, ogni richiesta ricevuta direttamente da un interessato relativa ai dati del Cliente, e non vi risponde autonomamente salvo obbligo di legge o istruzione.

9.3 Violazione dei dati personali. Il Fornitore informa il Cliente senza ingiustificato ritardo e comunque entro 48 ore da quando viene a conoscenza di una violazione dei dati personali che riguarda i dati del Cliente. L’informazione descrive la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni coinvolti, le probabili conseguenze e le misure adottate o proposte.

9.4 Il Fornitore assiste il Cliente nelle valutazioni d’impatto sulla protezione dei dati e nelle consultazioni preventive ai sensi degli articoli 35 e 36 del GDPR, nella misura in cui le informazioni siano a disposizione del Fornitore e non del Cliente.

10. Cancellazione e restituzione

10.1 Alla cessazione, il Cliente può esportare i propri dati mediante la funzione di esportazione del prodotto per 30 giorni.

10.2 Trascorso tale periodo, il Fornitore cancella i dati personali entro ulteriori 60 giorni, anche dalle copie di sicurezza secondo il ciclo di rotazione dei backup, salvo che il diritto dell’Unione o di uno Stato membro ne imponga la conservazione.

10.3 I documenti di fatturazione sono conservati per il periodo di conservazione previsto dal diritto commerciale e tributario tedesco.

11. Audit

11.1 Il Fornitore mette a disposizione del Cliente tutte le informazioni necessarie a dimostrare il rispetto dell’articolo 28 del GDPR.

11.2 Il Fornitore adempie agli obblighi di audit in primo luogo fornendo documentazione, compresi il presente accordo, l’allegato 1, l’elenco dei sub-responsabili e ogni certificazione o relazione di terzi di cui disponga.

11.3 Se tale documentazione non è sufficiente, il Cliente può svolgere un audit o incaricare un revisore indipendente che non sia concorrente del Fornitore, alle seguenti condizioni: preavviso ragionevole di almeno 30 giorni, non più di una volta per anno solare salvo dopo una violazione dei dati personali, svolgimento durante il normale orario di lavoro, assenza di interruzioni del servizio e impegno scritto di riservatezza. Il Cliente sostiene i propri costi.

12. Trasferimenti internazionali

12.1 Alcuni sub-responsabili sono stabiliti fuori dallo Spazio economico europeo, come indicato nell’allegato 2.

12.2 Per ciascuno di tali trasferimenti il Fornitore si avvale delle clausole contrattuali tipo adottate dalla Commissione europea (decisione 2021/914), unitamente alle misure supplementari descritte nell’allegato 1. Se il destinatario è coperto da una decisione di adeguatezza, il Fornitore può avvalersi di quest’ultima.

12.3 Il Fornitore sceglie una regione di distribuzione europea quando il sub-responsabile ne offre una.

13. Responsabilità e disposizioni finali

13.1 La responsabilità segue i Termini di servizio. L’articolo 82 del GDPR resta impregiudicato.

13.2 In caso di contrasto tra i Termini di servizio e il presente accordo sul trattamento dei dati personali, prevale il presente accordo.

13.3 Il Fornitore può modificare il presente accordo quando lo richieda la legge o una modifica del servizio. Le modifiche sostanziali sono comunicate con almeno 30 giorni di anticipo. Se il Cliente si oppone, può recedere dall’abbonamento interessato con rimborso del periodo prepagato non utilizzato.

13.4 Si applica il diritto tedesco. Il foro competente è Monaco di Baviera, nella misura in cui la legge consenta tale scelta.

13.5 Se una clausola è invalida, il resto resta in vigore.

Allegato 1 — Misure tecniche e organizzative

Allegato 2 — Sub-responsabili

Questo elenco è pubblicato anche in una pagina propria: trusted.codes/legal/subprocessors, dove porta una propria data ed è sostituito indipendentemente da questo accordo.

Aggiornata al 2026-07-30

Registrazione dell’accettazione

Il Fornitore registra, per ogni accettazione: l’utente che accetta, l’organizzazione, l’identificativo e la versione del documento, la data e l’ora, l’indirizzo di origine e l’identificazione del client.

Il Cliente può recuperare in qualsiasi momento la versione esatta che ha accettato, all’indirizzo con versione indicato in cima a questa pagina. L’identificativo di versione non dipende dalla lingua letta: tutte e sei le traduzioni di questo testo sono la versione 2026-07-30.

Qualora le parti concludano invece un accordo negoziato o firmato, la registrazione conserva un riferimento a quel documento e segna l’origine come offline.

Accordo negoziato o firmato

Un cliente il cui ufficio legale necessiti di un documento negoziato o controfirmato può richiederlo a privacy@trusted.codes. L’accettazione di questo accordo permanente non è una rinuncia a tale richiesta, e la richiesta non deve essere definita prima dell’acquisto di un abbonamento: nel frattempo vale questo accordo permanente, e un documento negoziato lo sostituisce dalla data in cui entrambe le parti lo firmano.