Accordo sul trattamento dei dati (DPA)
1. Parti e applicabilità
Il cliente che determina finalità e mezzi del trattamento è il Titolare; Naturalnzeb S.r.l. è il Responsabile. Il presente DPA si applica agli account business e PA quando un rappresentante autorizzato lo accetta. Non si applica automaticamente a un account personale.
2. Oggetto, natura, finalità e durata
Il trattamento comprende hosting, organizzazione, elaborazione, esportazione, assistenza e, solo se invocate, funzioni AI sui dati di progetto. Serve a erogare CostLife secondo le istruzioni del Titolare. Dura per il rapporto, la finestra read-only e la rotazione dei backup, salvo obblighi legali documentati.
3. Interessati e dati ammessi
Gli interessati possono essere personale, collaboratori, clienti, fornitori e contatti professionali pertinenti del Titolare. Sono ammessi dati identificativi e di contatto ordinari e dati tecnici associati, strettamente necessari. Senza accordo scritto sono vietati categorie particolari, dati penali, dati di minori, documenti d’identità, credenziali, segreti e dati non pertinenti.
4. Istruzioni
Naturalnzeb tratta i dati soltanto su istruzioni documentate del Titolare. Le azioni degli utenti autorizzati e le configurazioni del servizio costituiscono istruzioni nei limiti del contratto. Se un’istruzione appare contraria alla normativa applicabile, Naturalnzeb ne informa il Titolare e può sospenderla finché non sia chiarita.
5. Persone autorizzate
L’accesso è limitato alle persone che ne hanno necessità, sono vincolate alla riservatezza e ricevono istruzioni adeguate. I privilegi sono riesaminati e revocati quando non più necessari.
6. Sicurezza
Le misure comprendono TLS in transito; segregazione tenant mediante RLS e controlli applicativi; autenticazione e gestione delle credenziali; privilegi DB minimi; log che escludono body, credenziali e segreti non necessari; backup; patching e risposta agli incidenti. Le caratteristiche del provider attivo sono dichiarate solo dopo verifica e non si presume cifratura a riposo se non confermata.
7. Assistenza al Titolare
Tenendo conto della natura del trattamento e delle informazioni disponibili, Naturalnzeb assiste il Titolare nelle richieste degli interessati, nella sicurezza, nelle valutazioni d’impatto, nelle consultazioni preventive e negli adempimenti relativi alle violazioni.
8. Violazioni di dati personali
Naturalnzeb informa il Titolare senza ingiustificato ritardo e, ove ragionevolmente possibile, entro 24 ore da quando viene a conoscenza di una violazione riguardante i dati trattati per suo conto. Comunica natura, categorie e stima degli interessati/dati, conseguenze probabili, misure e contatto disponibile, anche con aggiornamenti progressivi.
9. Sub-responsabili
Il Titolare concede autorizzazione generale ai fornitori del Registro dei sub-responsabili v1.0. Naturalnzeb comunica aggiunte o sostituzioni materiali con almeno 30 giorni di preavviso. Il Titolare può opporsi per motivi documentati di protezione dati. Se non esiste soluzione ragionevole, può cessare il solo servizio interessato. Naturalnzeb impone al sub-responsabile obblighi sostanzialmente equivalenti.
10. Trasferimenti
I trasferimenti internazionali avvengono soltanto con una base valida e secondo localizzazione e garanzia indicate nel registro. Naturalnzeb fornisce le informazioni ragionevolmente necessarie alla valutazione del Titolare.
11. Restituzione e cancellazione
Il Titolare può esportare gli output e i documenti prodotti durante il rapporto e nei 90 giorni di sola lettura. Dopo tale periodo Naturalnzeb cancella i dati dai sistemi attivi, salvo istruzione valida o obbligo di legge. I backup ruotano entro 14 giorni e restano protetti e non riutilizzati nell’operatività ordinaria.
12. Informazioni e audit
Naturalnzeb mette a disposizione le informazioni necessarie a dimostrare il rispetto del DPA. Se la documentazione è insufficiente, si verifica una violazione o interviene un’autorità, il Titolare può richiedere controlli ulteriori con preavviso ragionevole, durante orari lavorativi e nel rispetto della sicurezza, della riservatezza e dei dati degli altri clienti.
13. Obblighi del Titolare
Il Titolare garantisce liceità, trasparenza, minimizzazione, accuratezza, gestione dei diritti e istruzioni conformi. Configura accessi e utenti e non carica dati esclusi senza accordo scritto.
14. Prevalenza e responsabilità
Il DPA prevale sui Termini per il trattamento svolto per conto del Titolare; i Termini regolano gli altri aspetti. Restano ferme le norme inderogabili e la responsabilità prevista dalla legge.
15. Allegati
Descrizione, categorie di dati/interessati e misure sono quelle delle sezioni precedenti. Lo snapshot dei sub-responsabili applicabile è il Registro v1.0 incluso nella stessa release legale, con efficacia dal 06/10/2026.