Accordo sul trattamento dei dati (DPA)

Testo completo dell'accordo

Versione 1.0 · Aggiornato al: 27/09/2026

Art. 1 Parti e oggetto

Il presente accordo è concluso tra il Cliente in qualità di titolare del trattamento (art. 4, n. 7 GDPR) e Lisorect d. Locher Matthias, Steinackerstr. 37, IT-39040 Termeno s.s.d.V. (BZ), P. IVA 03221840212, in qualità di responsabile del trattamento (art. 4, n. 8 GDPR). Esso disciplina il trattamento dei dati personali che il responsabile effettua per conto del Cliente nell'ambito delle condizioni d'uso (di seguito „contratto principale“). L'accordo è concluso in forma elettronica con l'accettazione delle condizioni d'uso al momento della registrazione (art. 28, par. 9 GDPR).

Art. 2 Durata

Il presente accordo ha la stessa durata del contratto principale, incluso il periodo di prova gratuito, e cessa con esso. Gli obblighi di cui all'art. 9 (cancellazione) e di riservatezza restano in vigore anche successivamente.

Art. 3 Natura, finalità, tipologie di dati e interessati

(1) Natura e finalità: conservazione, hosting, backup e messa a disposizione tecnica dei dati inseriti dal Cliente nella propria istanza, esclusivamente per l'esecuzione del contratto principale; risoluzione di errori e assistenza su richiesta del Cliente.
(2) Tipologie di dati e interessati per prodotto:
• Tutti i prodotti: account utente dell'istanza (nome, e-mail, nome utente, hash della password, ruoli, orari di accesso, indirizzi IP) – interessati: utenti del Cliente.
• LisorectPrjVW: orari di lavoro, progetti, fasi di lavoro, assenze, trasferte e note spese – interessati: dipendenti del Cliente; nomi e contatti dei committenti.
• LisorectProdVW: dati di produzione e macchina riferiti agli operatori (nome, turno, orari) – interessati: dipendenti del Cliente.
• LisorectConVW: nomi, contatti, unità, quote millesimali, attività e pratiche – interessati: condomini, inquilini, fornitori e dipendenti.
• LisorectDogVW: nomi, contatti, appuntamenti, prestazioni e dati degli animali – interessati: clienti del Cliente.
(3) Il trattamento di categorie particolari di dati (artt. 9, 10 GDPR) non è previsto; il Cliente tratta tali dati solo se strettamente necessario per la finalità prevista e sotto la propria responsabilità.

Art. 4 Istruzioni

(1) Il responsabile tratta i dati soltanto su istruzione documentata del Cliente, salvo che lo richieda il diritto dell'Unione o italiano; in tal caso ne informa preventivamente il Cliente, salvo divieto di legge.
(2) Le istruzioni risultano dal contratto principale, dal presente accordo e dall'utilizzo delle funzioni del prodotto da parte del Cliente. Ulteriori istruzioni sono impartite per iscritto (e-mail a info@lisorect.it).
(3) Se ritiene che un'istruzione violi la normativa, il responsabile ne informa immediatamente il Cliente e può sospenderne l'esecuzione fino a conferma.
(4) Non ha luogo alcun trattamento per finalità proprie del responsabile, in particolare analisi, profilazione, addestramento di modelli, pubblicità o cessione a terzi.

Art. 5 Riservatezza

Il responsabile garantisce che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza. L'accesso ai dati del Cliente avviene solo se necessario per il funzionamento, la sicurezza o una richiesta di assistenza del Cliente.

Art. 6 Sicurezza del trattamento

Il responsabile adotta le misure tecniche e organizzative descritte nell'Allegato 1 (art. 32 GDPR). Può adeguarle allo stato dell'arte, purché il livello di protezione non venga ridotto. Le modifiche sostanziali sono documentate.

Art. 7 Sub-responsabili

(1) Il Cliente concede un'autorizzazione generale al ricorso a sub-responsabili. I sub-responsabili impiegati alla conclusione dell'accordo sono elencati nell'Allegato 2 e si intendono autorizzati.
(2) Il responsabile informa il Cliente via e-mail con almeno 30 giorni di anticipo dell'aggiunta o sostituzione di un sub-responsabile. Entro tale termine il Cliente può opporsi per giustificati motivi di protezione dei dati. In mancanza di accordo, il Cliente può recedere dal contratto principale con effetto dalla modifica.
(3) Il responsabile impone contrattualmente a ciascun sub-responsabile gli stessi obblighi in materia di protezione dei dati e risponde nei confronti del Cliente del loro adempimento.

Art. 8 Assistenza al Cliente

(1) Diritti degli interessati: il responsabile assiste il Cliente con misure adeguate nel dare seguito alle richieste degli interessati (artt. 15–22 GDPR). Se un interessato si rivolge direttamente al responsabile, questi inoltra senza indugio la richiesta al Cliente.
(2) Violazioni dei dati: il responsabile notifica al Cliente una violazione dei dati personali senza ingiustificato ritardo, possibilmente entro 24 ore e comunque entro 48 ore dalla scoperta, con le informazioni di cui all'art. 33, par. 3 GDPR, se disponibili. Adotta immediatamente misure di contenimento e assiste il Cliente negli obblighi di notifica e comunicazione (artt. 33, 34 GDPR).
(3) Il responsabile assiste il Cliente nelle valutazioni d'impatto e nelle consultazioni preventive (artt. 35, 36 GDPR) nei limiti delle informazioni a sua disposizione.
(4) Le prestazioni di assistenza eccedenti l'ordinario, non dovute a violazioni del responsabile, possono essere addebitate a consuntivo a tariffe ragionevoli.

Art. 9 Restituzione e cancellazione

(1) Alla cessazione del contratto principale il Cliente può salvare i propri dati entro 30 giorni tramite le funzioni di esportazione o richiedere un'esportazione in un formato comune e leggibile da dispositivo automatico.
(2) Successivamente il responsabile cancella l'istanza con tutti i dati personali, salvo obblighi di conservazione previsti dalla legge. I dati presenti nelle copie di backup vengono sovrascritti nel normale ciclo di backup, al più tardi dopo ulteriori 90 giorni. Su richiesta il responsabile conferma per iscritto l'avvenuta cancellazione.

Art. 10 Verifiche e ispezioni

(1) Il responsabile mette a disposizione del Cliente, su richiesta, tutte le informazioni necessarie a dimostrare il rispetto del presente accordo, prioritariamente tramite informazioni e documenti scritti, inclusi i certificati dei sub-responsabili.
(2) Qualora non siano sufficienti, il Cliente può effettuare, con preavviso di almeno 30 giorni, durante l'orario lavorativo e al massimo una volta all'anno, una verifica direttamente o tramite un revisore vincolato alla riservatezza, senza accesso ai dati di altri clienti e senza interrompere il servizio. Verifiche a seguito di una violazione dei dati sono sempre ammesse. I costi sono a carico del Cliente, salvo che venga accertata una violazione del responsabile.

Art. 11 Luogo del trattamento

Il trattamento avviene esclusivamente in Stati membri dell'Unione europea o del SEE. Un trasferimento verso paesi terzi avviene solo previa informazione ai sensi dell'art. 7, par. 2 e solo se sono soddisfatte le condizioni degli artt. 44 ss. GDPR (ad es. decisione di adeguatezza o clausole contrattuali tipo UE).

Art. 12 Obblighi del Cliente

Il Cliente è responsabile della liceità del trattamento, dell'informativa agli interessati (ad es. ai propri dipendenti ai sensi dell'art. 13 GDPR e della normativa giuslavoristica) e della tutela dei loro diritti. Informa senza indugio il responsabile qualora rilevi errori o irregolarità nel trattamento.

Art. 13 Responsabilità

La responsabilità nei confronti degli interessati è disciplinata dall'art. 82 GDPR. Nei rapporti tra le parti si applicano, nei limiti di legge, le regole di responsabilità del contratto principale (§ 15 delle condizioni d'uso).

Art. 14 Disposizioni finali

(1) In caso di contrasto, in materia di protezione dei dati il presente accordo prevale sul contratto principale.
(2) Le modifiche al presente accordo sono comunicate come le modifiche delle condizioni d'uso (§ 18); restano salvi gli adeguamenti imposti dalla legge.
(3) Si applica il diritto italiano; foro competente è Bolzano. In caso di dubbio prevale la versione tedesca.
(4) L'eventuale invalidità di una clausola non pregiudica la validità delle restanti.

Allegato 1 – Misure tecniche e organizzative (art. 32 GDPR)

• Controllo degli accessi fisici: server esclusivamente in data center di Hetzner Online GmbH nell'UE (certificati ISO/IEC 27001) con controllo accessi, videosorveglianza e personale di sicurezza 24/7.
• Controllo degli accessi ai sistemi: accesso amministrativo ai server solo da parte del responsabile tramite connessioni cifrate con autenticazione a chiave; firewall con le sole porte necessarie; password dell'applicazione solo come hash BCrypt; blocco automatico dopo ripetuti accessi falliti.
• Controllo degli accessi ai dati: sistema di ruoli e permessi nell'applicazione, gestito dal Cliente; accesso del responsabile ai dati del Cliente solo se necessario (art. 5).
• Separazione: ogni Cliente dispone di un'istanza propria con container, rete interna e database dedicati con credenziali proprie; nessuna conservazione comune dei dati di più clienti.
• Controllo della trasmissione: tutte le connessioni tra browser e piattaforma cifrate tramite TLS; database non raggiungibili da Internet.
• Controllo dell'inserimento: registrazione degli accessi e degli eventi rilevanti per la sicurezza.
• Disponibilità: backup regolari delle istanze; alimentazione e connettività ridondanti nel data center; monitoraggio dei servizi.
• Ripristino: ripristino da copie di backup; verifica periodica del ripristino.
• Organizzazione: installazione tempestiva degli aggiornamenti di sicurezza; procedura di notifica delle violazioni (art. 8); verifica periodica delle presenti misure.

Allegato 2 – Sub-responsabili autorizzati

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Germania – messa a disposizione di server e data center (hosting); luogo del trattamento: UE.
• Aruba S.p.A., Via San Clemente 53, 24036 Ponte San Pietro (BG), Italia – invio di e-mail dalla piattaforma (ad es. notifiche, link per password); luogo del trattamento: UE.

Il fornitore di pagamento Mollie B.V. non è un sub-responsabile: non riceve dati dall'istanza del Cliente, ma solo i dati di pagamento del Cliente stesso (vedi informativa sulla privacy).