Accordo sul trattamento dei dati — Business Edition

1. Oggetto e durata

1.1 Il Fornitore tratta dati personali per conto del Cliente unicamente per fornire Trusted Codes Business Edition: un servizio di verifica che emette e controlla codici di accesso formati da parole tra persone identificate, insieme alle funzioni di amministrazione dell’organizzazione, notifica e assistenza descritte nella documentazione di prodotto.

1.2 La durata del trattamento corrisponde alla durata dell’abbonamento del Cliente, prolungata dei termini di cancellazione previsti alla sezione 10.

2. Natura e finalità del trattamento

2.1 Il Fornitore tratta i dati personali soltanto per:

• creare e amministrare gli account utente e l’appartenenza alle organizzazioni;
• generare, distribuire e verificare i codici di accesso e il materiale crittografico collegato;
• consegnare notifiche per posta elettronica e messaggio push;
• fornire la console di amministrazione, la reportistica e l’assistenza;
• proteggere il servizio da frodi e abusi;
• adempiere ai propri obblighi di legge.

2.2 Il Fornitore non vende dati personali e non li utilizza per addestrare modelli di apprendimento automatico. Il Fornitore tratta i seguenti dati in qualità di titolare autonomo e non per conto del Cliente: i dati necessari a proteggere il servizio da frodi e abusi (compresa la valutazione del rischio all’accesso), i dati di fatturazione, i dati necessari ad adempiere obblighi di legge e le statistiche sull’uso del servizio. Quando un utente finale memorizza una propria chiave API per l’assistente, l’azienda che ha emesso tale chiave riceve i contenuti dell’assistente su istruzione dell’utente finale; tale azienda non è un sub-responsabile del Fornitore.

3. Tipi di dati personali

3.1 Possono essere trattate le seguenti categorie:

3.2 Segreti dei codici. Se l’applicazione dell’utente finale lo supporta, i segreti dei codici sono cifrati sul dispositivo dell’utente finale per specifici dispositivi destinatari (X25519, AES-GCM), e il Fornitore non è in grado di decifrare tale copia. I segreti dei codici sono inoltre trattati dal Fornitore nei casi seguenti, nei quali sono cifrati a riposo con AES-256-GCM con una chiave controllata dal Fornitore, custodita in un servizio di gestione delle chiavi nell’Unione europea separato dalla base di dati, e possono essere decifrati dai server del Fornitore: (a) codici di connessione e di organizzazione generati dal servizio; (b) generazione di codici per client automatici e per l’applicazione desktop; (c) consegna degli inviti finché il dispositivo del destinatario non ha ricevuto il segreto; (d) account che utilizzano il backup delle chiavi sul server; (e) account dimostrativi.

4. Categorie di interessati

• i membri, i dipendenti e gli amministratori del Cliente;
• i contatti verificati del Cliente, ossia persone esterne che il Cliente verifica;
• le persone invitate dal Cliente che non hanno ancora accettato;
• le persone che verificano un codice emesso dal Cliente.

5. Istruzioni del titolare

5.1 Il Fornitore tratta i dati personali soltanto su istruzioni documentate del Cliente. Questo accordo, i Termini di servizio e l’uso che il Cliente fa delle funzioni del prodotto costituiscono tali istruzioni.

5.2 Il Fornitore informa il Cliente senza indugio se, a suo giudizio, un’istruzione viola la normativa sulla protezione dei dati. Il Fornitore può sospendere l’esecuzione di tale istruzione fino alla risoluzione della questione.

5.3 Qualora il diritto dell’Unione o di uno Stato membro obblighi il Fornitore a trattare dati personali oltre le istruzioni del Cliente, il Fornitore informa il Cliente di tale obbligo prima del trattamento, salvo che il diritto in questione vieti tale informazione per rilevanti motivi di interesse pubblico.

5.4 Quando gli utenti del Cliente si collegano con utenti di server gestiti da altri operatori (federazione), il Fornitore trasmette a tali server, su istruzione del Cliente, i dati necessari per il collegamento. Gli altri operatori non sono sub-responsabili del Fornitore.

6. Riservatezza

6.1 Il Fornitore garantisce che ogni persona autorizzata a trattare i dati personali sia vincolata a un obbligo di riservatezza, contrattuale o di legge, e che tale obbligo permanga dopo la fine del rapporto.

6.2 L’accesso è limitato alle persone che ne hanno bisogno per fornire il servizio o per adempiere a un obbligo di legge.

7. Sicurezza del trattamento (articolo 32 del GDPR)

7.1 Il Fornitore applica le misure tecniche e organizzative descritte nell’allegato 1. Il Cliente ha esaminato tali misure e le ritiene adeguate al rischio.

7.2 Il Fornitore può modificare le misure, purché il livello di protezione non sia ridotto.

8. Sub-responsabili

8.1 Il Cliente rilascia autorizzazione generale al ricorso a sub-responsabili. L’elenco aggiornato costituisce l’allegato 2 ed è pubblicato anche in una pagina propria, così da poter essere datato e sostituito indipendentemente da questo accordo.

8.2 Il Fornitore informa il Cliente almeno 30 giorni prima che un nuovo sub-responsabile inizi il trattamento o che uno esistente venga sostituito. L’avviso è dato per posta elettronica al contatto amministrativo del Cliente e mediante aggiornamento dell’elenco pubblicato.

8.3 Entro tale termine il Cliente può opporsi per ragionevoli motivi di protezione dei dati. Se le parti non risolvono l’obiezione, il Cliente può recedere dall’abbonamento interessato, con rimborso del periodo prepagato non utilizzato.

8.4 Il Fornitore impone contrattualmente a ogni sub-responsabile obblighi di protezione dei dati non meno protettivi di quelli del presente accordo e resta pienamente responsabile verso il Cliente dell’operato di tale sub-responsabile.

9. Assistenza al titolare

9.1 Diritti degli interessati. Tenuto conto della natura del trattamento, il Fornitore assiste il Cliente con misure tecniche e organizzative adeguate nell’evasione delle richieste di cui al capo III del GDPR. Il prodotto offre funzioni di esportazione e cancellazione che consentono al Cliente di rispondere alla maggior parte delle richieste senza rivolgersi al Fornitore. Ogni utente finale può inoltre esportare nel prodotto i propri dati personali.

9.2 Il Fornitore trasmette al Cliente, senza ingiustificato ritardo, ogni richiesta ricevuta direttamente da un interessato relativa ai dati del Cliente, e non vi risponde autonomamente salvo obbligo di legge o istruzione.

9.3 Violazione dei dati personali. Il Fornitore informa il Cliente senza ingiustificato ritardo e comunque entro 48 ore da quando viene a conoscenza di una violazione dei dati personali che riguarda i dati del Cliente. L’informazione descrive la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni coinvolti, le probabili conseguenze e le misure adottate o proposte.

9.4 Il Fornitore assiste il Cliente nelle valutazioni d’impatto sulla protezione dei dati e nelle consultazioni preventive ai sensi degli articoli 35 e 36 del GDPR, nella misura in cui le informazioni siano a disposizione del Fornitore e non del Cliente.

10. Cancellazione e restituzione

10.1 Gli amministratori del Cliente possono esportare i dati dell’organizzazione con la funzione di esportazione del prodotto per tutta la durata dell’abbonamento e per 30 giorni dopo la cessazione. Ogni file di esportazione resta scaricabile per 7 giorni dalla sua creazione. Se dopo la cessazione la funzione di esportazione non è disponibile per il Cliente, il Fornitore fornisce l’esportazione su richiesta entro gli stessi 30 giorni.

10.2 Trascorso tale periodo, il Fornitore cancella i dati personali entro ulteriori 60 giorni, anche dalle copie di sicurezza secondo il ciclo di rotazione dei backup, salvo che il diritto dell’Unione o di uno Stato membro ne imponga la conservazione.

10.3 I documenti di fatturazione sono conservati per il periodo di conservazione previsto dal diritto commerciale e tributario tedesco.

11. Audit

11.1 Il Fornitore mette a disposizione del Cliente tutte le informazioni necessarie a dimostrare il rispetto dell’articolo 28 del GDPR.

11.2 Il Fornitore adempie agli obblighi di audit in primo luogo fornendo documentazione, compresi il presente accordo, l’allegato 1, l’elenco dei sub-responsabili e ogni certificazione o relazione di terzi di cui disponga.

11.3 Se tale documentazione non è sufficiente, il Cliente può svolgere un audit o incaricare un revisore indipendente che non sia concorrente del Fornitore, alle seguenti condizioni: preavviso ragionevole di almeno 30 giorni, non più di una volta per anno solare salvo dopo una violazione dei dati personali, svolgimento durante il normale orario di lavoro, assenza di interruzioni del servizio e impegno scritto di riservatezza. Il Cliente sostiene i propri costi.

12. Trasferimenti internazionali

12.1 Alcuni sub-responsabili sono stabiliti fuori dallo Spazio economico europeo, come indicato nell’allegato 2.

12.2 Per ciascuno di tali trasferimenti il Fornitore si avvale delle clausole contrattuali tipo adottate dalla Commissione europea (decisione 2021/914), unitamente alle misure supplementari descritte nell’allegato 1. Se il destinatario è coperto da una decisione di adeguatezza, il Fornitore può avvalersi di quest’ultima.

12.3 Il Fornitore sceglie una regione di distribuzione europea quando il sub-responsabile ne offre una.

13. Responsabilità e disposizioni finali

13.1 La responsabilità segue i Termini di servizio. L’articolo 82 del GDPR resta impregiudicato.

13.2 In caso di contrasto tra i Termini di servizio e il presente accordo sul trattamento dei dati personali, prevale il presente accordo.

13.3 Il Fornitore può modificare il presente accordo quando lo richieda la legge o una modifica del servizio. Le modifiche sostanziali sono comunicate con almeno 30 giorni di anticipo. Se il Cliente si oppone, può recedere dall’abbonamento interessato con rimborso del periodo prepagato non utilizzato.

13.4 Si applica il diritto tedesco. Il foro competente è Monaco di Baviera, nella misura in cui la legge consenta tale scelta.

13.5 Se una clausola è invalida, il resto resta in vigore.

Allegato 1 — Misure tecniche e organizzative

Allegato 2 — Sub-responsabili

Questo elenco è pubblicato anche in una pagina propria: trusted.codes/legal/subprocessors, dove porta una propria data ed è sostituito indipendentemente da questo accordo.

Aggiornata al 2026-10-01

Registrazione dell’accettazione

Il Fornitore registra, per ogni accettazione: l’utente che accetta, l’organizzazione, l’identificativo e la versione del documento, la data e l’ora, l’indirizzo di origine e l’identificazione del client.

Il Cliente può recuperare in qualsiasi momento la versione esatta che ha accettato, all’indirizzo con versione indicato in cima a questa pagina. L’identificativo di versione non dipende dalla lingua letta: tutte e sei le traduzioni di questo testo sono la versione 2026-10-04.

Qualora le parti concludano invece un accordo negoziato o firmato, la registrazione conserva un riferimento a quel documento e segna l’origine come offline.

Accordo negoziato o firmato

Un cliente il cui ufficio legale necessiti di un documento negoziato o controfirmato può richiederlo a privacy@trusted.codes. L’accettazione di questo accordo permanente non è una rinuncia a tale richiesta, e la richiesta non deve essere definita prima dell’acquisto di un abbonamento: nel frattempo vale questo accordo permanente, e un documento negoziato lo sostituisce dalla data in cui entrambe le parti lo firmano.