Legale

Accordo sul trattamento dei dati

In vigore dal 2026-10-01 · Versione dpa-2026-10-v1

1. Ruoli e ambito di applicazione

Il presente Accordo sul trattamento dei dati ("DPA") si applica ogni volta che CAMF Solutions Inc. ("CAMF") tratta dati personali per conto del cliente indicato nell'ordine ("lei") nel fornire un servizio, compresi l'hosting di una landing page e dei dati raccolti dai suoi moduli, e l'attività di intervento, monitoraggio o backup su un sito Drupal. Lei è il titolare del trattamento e CAMF è il responsabile del trattamento, secondo il significato attribuito a tali termini dal Regolamento generale sulla protezione dei dati dell'UE e del Regno Unito ("GDPR"). Se lei è a sua volta responsabile del trattamento per conto di un terzo, CAMF è un suo sub-responsabile del trattamento e lei conferma che il suo titolare lo ha autorizzato. L'Allegato 1 descrive il trattamento.

2. Le sue istruzioni

CAMF tratta i dati personali soltanto su istruzione documentata da parte sua, costituita dai Termini di servizio, dalle condizioni del piano, dal presente DPA e dalle richieste che lei ci invia tramite i nostri canali di supporto, salvo che la legge disponga diversamente, nel qual caso, ove la legge lo consenta, la informiamo prima. Se riteniamo che un'istruzione violi la normativa sulla protezione dei dati, la informiamo e possiamo sospendere quell'attività. Lei è responsabile di disporre di una base giuridica per il trattamento e delle informative e dei consensi che esso richiede.

3. Riservatezza e sicurezza

Chiunque in CAMF abbia accesso ai dati personali è tenuto a mantenerli riservati. Applichiamo le misure tecniche e organizzative indicate nell'Allegato 2, che possiamo migliorare nel tempo ma non indebolire.

4. Sub-responsabili del trattamento

Lei autorizza CAMF a ricorrere ai sub-responsabili del trattamento elencati nell'Allegato 3. La informiamo via email almeno 30 giorni prima di aggiungerne o sostituirne uno. Se lei si oppone per ragionevoli motivi legati alla protezione dei dati, cercheremo un'alternativa; se non ci riusciamo, lei può disdire il servizio interessato e le rimborsiamo i corrispettivi pagati per il periodo successivo alla modifica. Ciascun sub-responsabile è vincolato da un contratto scritto che prevede obblighi in materia di protezione dei dati equivalenti a quelli del presente DPA, e CAMF resta responsabile nei suoi confronti dell'adempimento di tali obblighi da parte del sub-responsabile.

5. Assistenza nell'adempimento dei suoi obblighi

• Se una persona ci contatta per esercitare i propri diritti sui dati che trattiamo per lei, le trasmettiamo la richiesta e non vi rispondiamo direttamente, salvo che lei ce lo chieda.
• La assistiamo nel rispondere a tali richieste e nell'adempiere ai suoi obblighi in materia di sicurezza, notifica delle violazioni, valutazioni d'impatto sulla protezione dei dati e consultazione preventiva, tenendo conto della natura del trattamento e delle informazioni a nostra disposizione. L'assistenza che va oltre quanto previsto dal piano consuma ore di supporto o viene preventivata.

6. Violazioni dei dati personali

La informiamo senza ingiustificato ritardo, e in ogni caso entro 48 ore, dopo essere venuti a conoscenza di una violazione dei dati personali che riguardi dati che trattiamo per lei. Le comunichiamo quanto sappiamo sulla natura della violazione, sui dati e sulle persone interessate, sulle probabili conseguenze e sulle misure adottate o proposte, e la aggiorniamo man mano che ne sappiamo di più. La notifica di una violazione non costituisce ammissione di colpa.

7. Trasferimenti internazionali

CAMF ha sede negli Stati Uniti, e il nostro principale sub-responsabile conserva i dati negli Stati Uniti. Quando dati personali soggetti al GDPR dell'UE sono trasferiti verso un paese privo di una decisione di adeguatezza, a CAMF o successivamente da CAMF, si applicano le Clausole Contrattuali Standard adottate dalla Commissione europea con la decisione di esecuzione (UE) 2021/914, che sono incorporate nel presente DPA mediante rinvio: il Modulo 2 se lei è titolare del trattamento, il Modulo 3 se lei è responsabile del trattamento. Ai fini di tali clausole: si applica la clausola facoltativa di adesione successiva; ai sensi della Clausola 9, si applicano l'autorizzazione scritta generale e il preavviso di 30 giorni di cui alla sezione 4; la formulazione facoltativa della Clausola 11 non si applica; ai sensi della Clausola 13, l'autorità di controllo competente è quella determinata dal suo stabilimento o dal suo rappresentante nell'UE; le Clausole 17 e 18 designano la legge e i tribunali dell'Irlanda; e gli Allegati da 1 a 3 del presente DPA costituiscono gli allegati delle clausole. Per i dati soggetti al GDPR del Regno Unito si applica l'Addendum del Regno Unito sui trasferimenti internazionali di dati (UK International Data Transfer Addendum) a tali clausole e, per i dati svizzeri, le clausole si applicano con gli adattamenti richiesti dal diritto svizzero. In caso di conflitto tra le clausole e il presente DPA, prevalgono le clausole.

8. Restituzione e cancellazione

Al termine di un servizio, su richiesta le restituiamo i dati personali che conserviamo per quel servizio e li cancelliamo, copie comprese, entro 60 giorni, salvo che la legge ci imponga di conservarli. I backup vengono sovrascritti secondo il loro normale ciclo e non vengono ripristinati se non per recuperare i suoi dati su sua richiesta.

9. Audit

Mettiamo a sua disposizione le informazioni di cui ha ragionevolmente bisogno per dimostrare il rispetto del presente DPA, e rispondiamo alle sue domande scritte sulla nostra sicurezza. Se ciò non è sufficiente, può verificare il nostro rispetto del DPA mediante un audit una volta all'anno, direttamente o tramite un revisore indipendente vincolato alla riservatezza, con un preavviso scritto di almeno 30 giorni, durante l'orario lavorativo e senza interferire con i dati degli altri nostri clienti, a sue spese. Gli audit richiesti da un'autorità di controllo non sono soggetti a limiti di numero.

10. Leggi statunitensi e altre leggi sulla privacy

Quando si applica il California Consumer Privacy Act o un'analoga legge di uno Stato degli Stati Uniti, CAMF agisce come suo fornitore di servizi (service provider) o responsabile del trattamento (processor): non vendiamo né condividiamo i dati personali, non li conserviamo, utilizziamo o divulghiamo al di fuori del nostro rapporto commerciale diretto con lei né per scopi diversi dalla fornitura del servizio, non li combiniamo con dati provenienti da altre fonti salvo quanto consentito dalla legge, e la informiamo se non siamo più in grado di rispettare tali obblighi. Quando si applica la normativa sulla protezione dei dati di un altro paese (ad esempio la LGPD brasiliana), gli obblighi del presente DPA si applicano ai ruoli equivalenti previsti da tale normativa.

11. Responsabilità e prevalenza

La responsabilità di ciascuna parte ai sensi del presente DPA è soggetta alla limitazione di responsabilità prevista dai Termini di servizio, salvo che la normativa sulla protezione dei dati non consenta di limitarla, e nulla nel presente DPA limita i diritti delle persone i cui dati sono trattati. In materia di protezione dei dati, il presente DPA prevale sui Termini di servizio, e le Clausole Contrattuali Standard prevalgono su entrambi. Il presente DPA resta in vigore per tutto il tempo in cui CAMF tratta dati personali per lei.

Allegato 1: Descrizione del trattamento

• Parti: lei in qualità di esportatore dei dati (titolare o responsabile del trattamento) e CAMF Solutions Inc., 30 N Gould St Ste R, Sheridan, WY 82801, United States, in qualità di importatore dei dati (responsabile del trattamento), contatto info@camfsolutions.com.
• Interessati: visitatori, utenti, clienti, iscritti e contatti del suo sito web, e il suo personale che lo utilizza.
• Dati: qualsiasi dato contenuto o raccolto dal suo sito web, tipicamente nomi, dati di contatto, dati dell'account, invii dei moduli, dettagli degli ordini e dati tecnici come indirizzi IP e log. I servizi non sono progettati per categorie particolari di dati o per dati relativi a condanne penali; ci informi prima che il suo sito ne tratti, in modo da concordare le misure aggiuntive necessarie.
• Natura e finalità: hosting, archiviazione, backup, manutenzione, aggiornamenti, risoluzione dei problemi, monitoraggio e sviluppo del suo sito web, e le revisioni incluse nel suo piano.
• Frequenza e durata: continuativa, per tutta la durata del servizio, e successivamente fino alla cancellazione ai sensi della sezione 8.

Allegato 2: Misure di sicurezza

• Cifratura dei dati in transito (TLS) e, sulla nostra infrastruttura, a riposo.
• Accesso limitato alle persone che ne hanno bisogno per il suo servizio, con account individuali, autenticazione a più fattori ove il sistema la supporti, e revoca dell'accesso quando non è più necessario.
• Credenziali da lei fornite conservate in un gestore di password o di segreti cifrato, mai nella cronologia di email o chat.
• Applicazione degli aggiornamenti di sicurezza ai sistemi che gestiamo, monitoraggio e registrazione degli accessi amministrativi.
• Backup regolari dei sistemi che ospitiamo, con ripristini testati.
• Una procedura documentata di risposta agli incidenti, comprese le notifiche di cui alla sezione 6.
• Obblighi di riservatezza e indicazioni sulla protezione dei dati per chiunque lavori sui dati dei clienti.

Allegato 3: Sub-responsabili del trattamento

Il suo fornitore di hosting, quando lavoriamo su un sito che lei ospita altrove, è un suo responsabile del trattamento, non un nostro sub-responsabile.