Il presente Accordo («DPA»), ai sensi dell'art. 28 GDPR, integra i Termini di Servizio e regola il trattamento dei dati personali effettuato da [RAGIONE SOCIALE](«Responsabile») per conto del cliente («Titolare») tramite Pcs Mail.
1. Ruoli
Il Cliente è Titolare del trattamento dei dati personali presenti nelle proprie caselle, rubriche e comunicazioni. Il Fornitore agisce come Responsabilee tratta i dati solo su istruzione documentata del Titolare (i Termini e l'uso del Servizio costituiscono tali istruzioni).
2. Oggetto, durata, natura e finalità
- Oggetto: il trattamento dei dati personali necessario a fornire il Servizio.
- Durata: per tutta la vigenza del contratto.
- Natura e finalità: lettura/invio email on-demand, elaborazione AI su richiesta, gestione contatti e campagne, generazione e archiviazione di documenti.
3. Tipi di dati e categorie di interessati
- Tipi di dati: dati di contatto (email, nome), contenuto delle comunicazioni e relativi metadati, dati aziendali, eventuali categorie particolari se incluse dal Titolare nei propri contenuti.
- Categorie di interessati: clienti, fornitori, dipendenti, contatti e corrispondenti del Titolare.
4. Obblighi del Responsabile
- trattare i dati solo su istruzione del Titolare e per le finalità sopra indicate;
- garantire la riservatezza delle persone autorizzate al trattamento;
- adottare le misure di sicurezza di cui all'art. 32 GDPR (vedi Allegato A);
- assistere il Titolare nel rispondere alle richieste degli interessati e negli obblighi di cui agli artt. 32-36 GDPR;
- notificare al Titolare senza ingiustificato ritardo eventuali violazioni di dati (data breach);
- su scelta del Titolare, cancellare o restituire i dati al termine del contratto, salvo obblighi di conservazione di legge.
5. Sub-responsabili
Il Titolare autorizza il ricorso ai sub-responsabili elencati nel Registro dei sub-responsabili. Il Responsabile imporrà ai sub-responsabili obblighi di protezione dati equivalenti e informerà il Titolare di modifiche, consentendo opposizione per motivi legittimi.
6. Trasferimenti extra-UE
Eventuali trasferimenti verso paesi terzi (in particolare per le funzioni AI) avvengono con garanzie adeguate ai sensi del Capo V GDPR (EU-US Data Privacy Framework e/o Clausole Contrattuali Standard), come dettagliato nel Registro dei sub-responsabili.
7. Audit
Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto dell'art. 28 GDPR e consente audit ragionevoli, anche tramite documentazione o certificazioni.
Allegato A — Misure di sicurezza
- cifratura delle credenziali delle caselle (AES-256-GCM);
- cifratura dei dati in transito (TLS) e a riposo a livello di provider;
- minimizzazione: il contenuto delle email non è memorizzato (lettura on-demand);
- controllo degli accessi e autenticazione degli utenti;
- hosting di applicazione, database e file nell'Unione Europea;
- registrazione degli eventi rilevanti per la sicurezza.