Accordo sul Trattamento dei Dati (DPA)

Ai sensi dell'Art. 28 del Regolamento Generale sulla Protezione dei Dati (GDPR). In vigore dal 1° marzo 2026.

Il presente Accordo sul Trattamento dei Dati ('DPA') è stipulato tra NextGate Digital UG (haftungsbeschränkt) (operante come PassportLab), Im Winkel 8, 50189 Elsdorf, Germania, registrata presso l'Amtsgericht Köln, HRB 128572 ('Responsabile del Trattamento') e il cliente che ha accettato i Termini di Servizio di PassportLab ('Titolare del Trattamento'). Il presente DPA integra e fa parte dei Termini di Servizio.

1. Oggetto, Natura e Durata

Il Responsabile fornisce servizi per la creazione, pubblicazione e manutenzione di passaporti digitali di prodotto per conto del Titolare. Il trattamento avviene per la durata del contratto e, dopo la sua conclusione, solo nella misura concordata tra le parti o richiesta dalla legge (sezione 4(f)). Il Responsabile agisce esclusivamente su istruzione documentata del Titolare.

2. Categorie di Dati e Interessati

Il Responsabile del Trattamento può trattare le seguenti categorie di dati personali per conto del Titolare del Trattamento: (a) Dati dell'account — nomi, indirizzi email e dettagli aziendali degli utenti autorizzati del Titolare del Trattamento; (b) Dati del passaporto prodotto — nomi dei fornitori, indirizzi dei produttori e qualsiasi altro dato personale che il Titolare del Trattamento sceglie di includere nei campi del passaporto; (c) Dati di utilizzo e audit — indirizzi IP, identificatori di sessione e timestamp di accesso registrati nel log di audit. Gli interessati includono i dipendenti, gli amministratori del Titolare del Trattamento e qualsiasi persona fisica i cui dati appaiono nei campi del passaporto prodotto.

3. Obblighi del Titolare del Trattamento

Il Titolare garantisce che: (a) dispone di una base giuridica valida per tutti i dati personali inviati alla piattaforma; (b) ha fornito tutte le informative richieste agli interessati; (c) non invierà categorie particolari di dati (art. 9 GDPR) senza previo accordo scritto.

4. Obblighi del Responsabile del Trattamento

Il Responsabile si impegna a: (a) trattare i dati personali solo su istruzione documentata del Titolare, anche per i trasferimenti verso paesi terzi; (b) informare immediatamente il Titolare se, a suo avviso, un'istruzione viola il GDPR o altre disposizioni dell'Unione o degli Stati membri in materia di protezione dei dati (art. 28, par. 3 GDPR); (c) garantire che il personale autorizzato sia vincolato da adeguati obblighi di riservatezza; (d) attuare e mantenere le misure tecniche e organizzative descritte nella Sezione 6; (e) assistere il Titolare nell'adempimento dei diritti degli interessati (artt. 12–22 GDPR) e dei suoi obblighi ex artt. 32–36 GDPR (sicurezza, notifica delle violazioni, valutazioni d'impatto e consultazione preventiva); (f) cancellare o restituire tutti i dati personali al termine dei servizi, a scelta del Titolare, salvo che il diritto dell'Unione o degli Stati membri richieda l'ulteriore conservazione; (g) mettere a disposizione tutte le informazioni necessarie a dimostrare la conformità all'art. 28 GDPR.

5. Sub-Responsabili del Trattamento

Il Titolare concede l'autorizzazione generale a ricorrere ai seguenti sub-responsabili: (a) STRATO (Germania) — hosting server dell'applicazione e del database; (b) Hetzner Online GmbH (Germania) — object storage per backup e immagini di prodotto, ove abilitato; (c) Stripe Payments Europe Ltd. (Dublino, Irlanda) — elaborazione dei pagamenti; (d) server di analisi Matomo (Germania) — statistiche d'uso del sito, solo con il consenso dell'utente; (e) Anthropic (USA) — estrazione assistita dall'IA di dati di prodotto dai documenti che il Titolare sceglie di inviare a tale funzione, con trasferimenti soggetti a garanzie adeguate (art. 46 GDPR). Il Responsabile notificherà al Titolare ogni modifica prevista dei sub-responsabili con almeno 30 giorni di anticipo. Il Titolare può opporsi a un nuovo sub-responsabile entro 14 giorni; in assenza di soluzione, il Titolare può recedere dai servizi interessati. Tutti i sub-responsabili sono vincolati da obblighi di protezione dei dati almeno equivalenti a quelli del presente accordo.

6. Misure Tecniche e Organizzative (MTO)

Il Responsabile attua e mantiene le seguenti misure: (a) Cifratura — credenziali, chiavi di firma e altri segreti sono conservati cifrati (Fernet: AES-128-CBC con HMAC-SHA256); (b) Cifratura in transito — TLS 1.2+ imposto per tutto il traffico API e web; header HSTS applicati; (c) Controlli di accesso — accesso basato sui ruoli; autenticazione a più fattori (TOTP) disponibile; chiavi API conservate solo come hash SHA-256; (d) Registrazione di audit — registro di audit a catena di hash per tutte le modifiche ai dati dei passaporti, protetto da modifiche tramite trigger del database; (e) Minimizzazione dei dati — filtraggio dei campi basato sui ruoli; divulgazione selettiva SD-JWT per la condivisione di credenziali con terzi; (f) Ubicazione — applicazione, database e backup sono ospitati in Germania (STRATO; object storage Hetzner ove abilitato). Eccezione: i documenti inviati dal Titolare all'estrazione assistita dall'IA sono trattati da Anthropic negli USA (sezione 5(e)); (g) Risposta agli incidenti — procedura documentata di notifica delle violazioni; monitoraggio della disponibilità delle API.

7. Diritti degli Interessati

Alla ricezione di una richiesta verificata di un interessato inoltrata dal Titolare, il Responsabile fornirà assistenza mettendo a disposizione i dati pertinenti in formato strutturato e leggibile dalle macchine (JSON/CSV) entro 5 giorni lavorativi. Il Responsabile darà seguito alle richieste di cancellazione entro 30 giorni, fatti salvi gli obblighi di conservazione previsti dalle norme di prodotto applicabili e dal diritto commerciale e fiscale tedesco. La portabilità dei dati è supportata in qualsiasi momento tramite l'endpoint /org/export.

8. Notifica delle Violazioni dei Dati Personali

In caso di violazione dei dati personali che interessa i dati trattati ai sensi del presente DPA, il Responsabile del Trattamento notificherà al Titolare del Trattamento senza ingiustificato ritardo e non oltre 72 ore dalla conoscenza della violazione. La notifica includerà: (a) la natura della violazione; (b) le categorie e il numero approssimativo di interessati e di registrazioni interessate; (c) le probabili conseguenze della violazione; (d) le misure adottate o proposte per affrontare la violazione. Il Titolare del Trattamento rimane responsabile della notifica all'autorità di controllo competente (il Landesbeauftragte für Datenschutz, NRW) e agli interessati ove richiesto.

9. Audit e Ispezioni

Il Titolare del Trattamento può condurre audit delle attività di trattamento dei dati del Responsabile del Trattamento ai sensi del presente DPA non più di una volta per anno solare, con un preavviso scritto di almeno 14 giorni. Gli audit si svolgono durante il normale orario lavorativo, a spese del Titolare del Trattamento, e non perturbano irragionevolmente le operazioni. Il Responsabile del Trattamento può soddisfare le richieste di audit fornendo rapporti di audit o certificazioni di terze parti aggiornati (es. ISO 27001) ove disponibili.

10. Legge Applicabile

Il presente DPA è disciplinato dalle leggi della Repubblica Federale di Germania. Qualsiasi controversia derivante dal presente DPA sarà soggetta alla giurisdizione esclusiva dei tribunali di Colonia, Germania. In caso di conflitto tra il presente DPA e le Clausole Contrattuali Standard (SCC) emesse dalla Commissione Europea, le SCC prevarranno per i trasferimenti di dati transfrontalieri.