Accordo sul trattamento dei dati (DPA)

Traduzione fornita a titolo informativo; fa fede solo la versione tedesca.

Versione 2026-10-16, aggiornato al 16 ottobre 2026; efficace per ogni cliente dalla conclusione ai sensi dell’articolo 2

Il presente accordo sul trattamento dei dati («DPA») integra le condizioni generali (il «contratto principale») tra Benjamin Wagner, operante con il nome Customermates, An den Kasernen 25, 68167 Mannheim, Germania (il «Fornitore» o «Responsabile del trattamento»), e il cliente (il «Cliente» o «Titolare del trattamento») e ne costituisce parte integrante. Disciplina il trattamento di dati personali che il Fornitore effettua per conto del Cliente nell’ambito dell’offerta software as a service, compresa la funzione facoltativa per gli account collegati (e-mail, messaggistica e operazioni sui social network nonché calendario) e l’assistente IA ospitato Mate, ai sensi dell’art. 28 GDPR.

La presente versione entra in vigore per un Cliente solo se viene conclusa ai sensi dell’articolo 2. La sola pubblicazione, visualizzazione o consultabilità di questo documento non conclude né modifica alcun DPA per un cliente già acquisito.

1. Oggetto, ruoli e durata

Oggetto del presente DPA è il trattamento di dati personali che il Fornitore effettua per conto e su istruzione documentata del Cliente nell’esecuzione del contratto principale.

Con riguardo ai dati personali coperti dal presente DPA, in particolare i record del CRM, le caselle di posta collegate, i messaggi, i contatti e i calendari del Cliente nonché i contenuti e i dati di interazione dei social network, i profili, le richieste di contatto, i dati di ricerca e di elenco di Sales Navigator e i contenuti di responsabilità del Cliente in una richiesta a Mate, il Cliente agisce come titolare del trattamento e il Fornitore come responsabile del trattamento ai sensi dell’art. 4 GDPR. Le piattaforme di comunicazione sottostanti che il Cliente collega (ad esempio Google, Microsoft, LinkedIn, Meta/WhatsApp, Meta/Instagram e Telegram) agiscono come titolari autonomi del trattamento per i propri servizi.

Tale attribuzione non pregiudica il ruolo del Fornitore come titolare autonomo del trattamento per i propri dati del sito web, dell’account, della fatturazione, della sicurezza e del supporto, descritti nell’informativa sulla privacy del Fornitore e non oggetto del presente DPA.

Il presente DPA entra in vigore insieme al contratto principale e rimane in vigore finché il Fornitore tratta dati personali per conto del Cliente, indipendentemente dalla cessazione del contratto principale, fino a quando tutti tali dati siano stati cancellati o restituiti ai sensi dell’articolo 11.

2. Perfezionamento e parti contrattuali

Parti contrattuali del presente DPA sono il Fornitore sopra indicato e il Cliente, individuato dai dati dell’account e dell’azienda registrati nell’account del Cliente.

Il presente DPA è concluso in forma elettronica ai sensi dell’art. 28, paragrafo 9, GDPR mediante l’accettazione, da parte di un amministratore di sistema autorizzato, del contratto principale e della presente versione del DPA, come indicata, durante l’onboarding per conto del cliente business. Una versione successiva, come indicata, modifica il presente DPA solo se un amministratore di sistema autorizzato la accetta per via elettronica, dopo la comunicazione descritta nell’articolo 10 del contratto principale, tramite il flusso dei documenti legali del servizio gestito. L’aggiornamento dell’elenco tenuto alla pagina Sub-responsabili del trattamento ai sensi dell’articolo 9 non costituisce una modifica del presente DPA e resta soggetto alla distinta procedura di comunicazione e di opposizione di tale articolo. Su richiesta, il Fornitore mette a disposizione del Cliente una copia del presente DPA in forma testuale.

Se il Cliente non determina da sé le finalità e i mezzi del trattamento, ma mette il servizio a disposizione dei propri clienti sulla base di un proprio contratto, ad esempio come rivenditore o partner, il Cliente agisce nei confronti di tali clienti come responsabile del trattamento e il Fornitore come sub-responsabile del trattamento. In tal caso ogni riferimento del presente DPA al Cliente come titolare del trattamento va inteso come riferimento al Cliente che agisce secondo le istruzioni documentate del proprio cliente. Il Cliente garantisce di essere autorizzato a concludere il presente DPA e a impartire le istruzioni da esso previste, e che il rispettivo titolare del trattamento ha approvato il ricorso al Fornitore come sub-responsabile del trattamento. Il Cliente rimane responsabile nei confronti del Fornitore di tutti gli obblighi derivanti dal presente DPA.

Il presente DPA riguarda esclusivamente il servizio gestito operato dal Fornitore. Il funzionamento del software su un’infrastruttura controllata in autonomia da un gestore self-hosted non nomina di per sé il Fornitore responsabile del trattamento; i dati personali dei clienti non vengono trasmessi al Fornitore per il solo fatto che il software venga installato o aggiornato. Il gestore indipendente determina la propria infrastruttura, i propri fornitori di servizi nonché le finalità e i mezzi del trattamento ed è responsabile dei propri accordi sul trattamento dei dati e delle proprie garanzie di trasferimento. Per il supporto, un esercizio gestito, prestazioni Enterprise o altre attività con le quali il Fornitore riceve effettivamente dati personali, è necessario il rispettivo accordo separato applicabile.

3. Natura e finalità del trattamento

Il Fornitore tratta i dati personali esclusivamente allo scopo di erogare le prestazioni contrattuali ai sensi del contratto principale. Il trattamento comprende:

il servizio CRM di base: la creazione, la memorizzazione, la visualizzazione, la ricerca, il collegamento, l’esportazione e la cancellazione dei record del CRM del Cliente, in particolare contatti, organizzazioni, trattative, servizi, attività, note e campi personalizzati; la gestione di utenti e autorizzazioni; la registrazione di attività e audit; le notifiche di prodotto; nonché la consegna di webhook agli endpoint configurati dal Cliente;
se attivata, la funzione per gli account collegati: il collegamento degli account e-mail, di messaggistica, di social network e di calendario propri del Cliente; il recupero, l’invio, la sincronizzazione e la visualizzazione di messaggi, contatti ed eventi di calendario; il recupero e la visualizzazione di post sui social network, commenti, reazioni nonché profili di persone e aziende; l’elenco, l’invio, l’accettazione, il ritiro o il rifiuto di richieste di contatto; l’esecuzione di ricerche di lead e aziende in Sales Navigator; la visualizzazione di elenchi di lead o di account esistenti e l’aggiunta di voci a tali elenchi; nonché la memorizzazione di una copia dei contenuti sincronizzati, nella misura descritta nell’informativa sulla privacy;
quando un utente richiama Mate in modo interattivo, compresi la configurazione dello spazio di lavoro guidata dall’IA e un’importazione di sito web nella knowledge base: la memorizzazione della conversazione con Mate, la composizione dell’input richiesto e della conversazione più recente, il recupero tramite strumenti del contesto autorizzato del CRM o degli account collegati, il recupero delle pagine pubbliche di un sito web indicato dall’utente e la lettura di una tabella caricata dall’utente, l’invio del contesto di richiesta necessario tramite il Vercel AI Gateway al modello selezionato o al fornitore di ricerca web indicati alla pagina Sub-responsabili del trattamento, la ricezione e la memorizzazione dei risultati generati, la visualizzazione delle azioni proposte, l’applicazione delle autorizzazioni esistenti, l’esecuzione di operazioni autorizzate del CRM o degli account collegati nella misura in cui la policy di prodotto lo richieda, l’attesa di una conferma separata nonché la registrazione di esecuzioni, cicli del modello, approvazioni, giustificativi e risultati degli strumenti e risultati dei comandi di interfaccia;
la ricerca nella knowledge base e nell’app, finché lo spazio di lavoro dispone di crediti IA utilizzabili: l’invio dei testi di pagine della knowledge base nuove e modificate, dei nomi di elenchi, campi e viste salvate e delle query di ricerca tramite il Vercel AI Gateway ai fornitori indicati alla pagina Sub-responsabili del trattamento, per generare riassunti delle pagine e vettori di ricerca e ordinare i risultati di ricerca, nonché la memorizzazione dei riassunti e dei vettori con la rispettiva pagina; e
nella misura in cui il servizio gestito offre routine o altre esecuzioni di Mate salvate o automatizzate: la memorizzazione dell’istruzione salvata, dell’utente assegnato, del trigger, dei limiti nonché dello stato di salvaguardia e di esecuzione; l’analisi facoltativa, tramite la catena dei fornitori di modelli, di un’istruzione salvata guidata da eventi per individuare possibili loop di trigger prima dell’esecuzione; l’avvio, manuale, secondo pianificazione o tramite un evento interno al prodotto configurato, di una normale conversazione con Mate, compreso un evento derivante da attività del CRM o dalla sincronizzazione di account collegati; l’inserimento del nome dell’evento e dell’identificativo del record associato nell’istruzione iniziale; il recupero tramite strumenti del contesto autorizzato; l’applicazione delle autorizzazioni attuali dell’utente assegnato e dei controlli di conferma applicabili; l’esecuzione di operazioni consentite, comprese azioni che possono avvenire senza una conferma separata nel singolo caso; nonché la registrazione della conversazione, dell’esecuzione, dei cicli del modello, delle attività degli strumenti, dei risultati e delle indicazioni di stato che ne derivano.

La funzione per gli account collegati è fornita dal prestatore di servizi di trasporto UNIPILE SAS, che, fatto salvo l’articolo 9, viene coinvolto come sub-responsabile del trattamento. L’autenticazione avviene in un flusso ospitato da Unipile, nel quale l’utente del Cliente inserisce le credenziali del fornitore dell’account in questione o completa il suo flusso OAuth. Tali credenziali o l’autorizzazione OAuth vengono trattate all’interno di questo flusso; il Fornitore non riceve né password dei fornitori degli account né token OAuth e conserva soltanto un identificativo opaco dell’account e metadati non segreti dell’account.

4. Categorie di interessati e di dati personali

Categorie di interessati. Il trattamento riguarda gli utenti propri del Cliente, tutte le persone fisiche i cui dati personali il Cliente memorizza nel CRM, ad esempio contatti, lead, potenziali clienti, clienti, fornitori, partner e i loro dipendenti, gli interlocutori con cui il Cliente comunica, nonché altre persone restituite o coinvolte dalle operazioni degli account collegati, tra cui autori di post e commenti, persone che reagiscono, persone i cui profili sono recuperati, parti di richieste di contatto, lead di Sales Navigator e rappresentanti di aziende.

Categorie di dati personali. A seconda di come il Cliente configura e utilizza il servizio, il trattamento può comprendere quanto segue:

dati dei record del CRM, compresi nomi, dati di contatto, azienda e funzione, dati di trattative e attività, note in testo libero nonché campi personalizzati definiti dal Cliente;
log di audit e di attività sulle azioni compiute nell’account del Cliente;
input e istruzioni salvate di Mate, testi della conversazione più recente, risultati generati, definizioni degli strumenti, input e risultati degli strumenti, stato delle approvazioni e delle conferme, risultati dei comandi di interfaccia, registrazioni dei cicli del modello, utenti assegnati e configurazioni dei trigger della routine, pianificazioni, nomi di eventi e identificativi di record associati, limiti, stato di salvaguardia e di esecuzione, riscontri sui rischi di loop, identificativi di modello e di fornitore, marche temporali nonché gli identificativi di azienda e di utente necessari per attribuire tali registrazioni al Cliente;
contenuti dell’account del Cliente che questi allega a una richiesta di supporto o di feedback o riporta in essa;
metadati degli account collegati (ad esempio identificativo, tipo e stato dell’account collegato);
contenuti e-mail, compresi oggetto, testo, indirizzi di mittente e destinatario nonché allegati;
contenuti di chat e di messaggi diretti sui canali social e di messaggistica collegati;
dati di profilo di contatti e partecipanti, compresi nome, avatar, titolo o attività su LinkedIn, URL del profilo nonché l’indirizzo e-mail, il numero di telefono o l’handle utilizzato come identificativo;
post sui social network e dati di interazione, compresi testo del post o del commento, autori, persone che reagiscono, marche temporali, tipi di reazione e conteggi;
profili di persone e aziende e dati relazionali, compresi identificativi del fornitore, nomi, URL e immagini del profilo, descrizioni, occupazione, sede, settore, distanza di rete, stato della connessione e testi delle richieste;
input, risultati e dati di elenco di Sales Navigator, compresi URL e filtri di ricerca, profili di lead e aziende, nomi e appartenenza degli elenchi nonché stato di salvataggio;
eventi di calendario, compresi gli indirizzi e-mail dei partecipanti e lo stato di accettazione o rifiuto;
metadati di messaggi e di account; e
i payload in entrata grezzi ricevuti dai fornitori sottostanti.

I dati binari degli allegati vengono trasmessi in streaming o inoltrati se necessario e non sono memorizzati dal Fornitore; vengono memorizzati solo i metadati degli allegati. Poiché i contenuti di messaggi, contatti, calendari, social, relazioni e ricerche sono determinati dal Cliente, dai suoi interlocutori e dalle piattaforme sottostanti, possono contenere ulteriori categorie di dati personali, comprese categorie particolari di dati personali ai sensi dell’art. 9 GDPR, nella misura in cui il Cliente determini tali contenuti. In quanto titolare del trattamento, il Cliente è responsabile della liceità dei contenuti e delle operazioni che avvia tramite il servizio.

Se il Cliente incarica Mate di trattare dati personali, deve limitare i dati e gli accessi a quanto necessario per l’attività richiesta e assicurare una base giuridica applicabile, la limitazione della finalità, la trasparenza, la minimizzazione dei dati e misure di salvaguardia commisurate al rischio. Prima di incaricare Mate di trattare categorie particolari di dati personali ai sensi dell’art. 9 GDPR, dati relativi a condanne penali e reati ai sensi dell’art. 10 GDPR, informazioni su conti finanziari o identificativi rilasciati da autorità pubbliche, il Cliente deve soddisfare tutti i requisiti di legge aggiuntivi applicabili a tali dati. Registrazioni separate relative ad autorizzazioni, rilevazione dei consumi, utilizzo, costi, crediti, fatturazione, sicurezza e diagnostica, che il Fornitore tratta come titolare autonomo del trattamento, non rientrano nel presente DPA ai sensi dell’articolo 1 e dell’informativa sulla privacy. Tali registrazioni separate contengono identificativi, numeri di modelli e di token, costi, crediti, stato del piano e della fatturazione, marche temporali nonché stato di sicurezza o diagnostico, ma non memorizzano di per sé alcun input, alcuna conversazione, alcun risultato generato, alcun input degli strumenti né alcun risultato degli strumenti.

5. Istruzioni del titolare del trattamento

Il Fornitore tratta i dati personali coperti dal presente DPA solo su istruzione documentata del Cliente, anche in relazione al trasferimento di dati personali verso un paese terzo o un’organizzazione internazionale, a meno che non sia tenuto a un trattamento diverso in forza del diritto dell’Unione o del diritto di uno Stato membro cui il Fornitore è soggetto; in tal caso il Fornitore comunica al Cliente tale requisito di legge prima del trattamento, a meno che il diritto in questione vieti tale comunicazione per rilevanti motivi di interesse pubblico.

Le istruzioni documentate del Cliente risultano dal presente DPA, dal contratto principale nonché dall’utilizzo e dalla configurazione del servizio da parte del Cliente (compresi gli account da lui collegati e le azioni avviate tramite il prodotto). Nella misura in cui sono offerte le routine, la configurazione e l’attivazione dell’istruzione salvata, compresi l’utente assegnato, il trigger, i limiti e le autorizzazioni collegate, valgono come istruzione permanente documentata per ogni esecuzione che ne deriva, fino a quando la routine non venga disattivata o modificata in modo sostanziale. Istruzioni aggiuntive o modificate richiedono la forma testuale.

Il Fornitore informa senza ritardo il Cliente se, a suo avviso, un’istruzione viola il GDPR o altre disposizioni applicabili in materia di protezione dei dati.

6. Obblighi e diritti del titolare del trattamento

Il Cliente è responsabile della liceità del trattamento e delle istruzioni da lui impartite. In particolare, il Cliente è responsabile dell’esistenza di una base giuridica per i dati personali che carica, importa o immette nel servizio, nonché della limitazione della finalità, della trasparenza, della minimizzazione dei dati, delle restrizioni di accesso e di misure di salvaguardia commisurate al rischio, dell’adempimento dei propri obblighi di informazione nei confronti degli interessati, dell’adempimento dei requisiti aggiuntivi per le categorie particolari di dati personali ai sensi dell’art. 9 GDPR e per i dati relativi a condanne penali e reati ai sensi dell’art. 10 GDPR, nonché dell’esattezza dei dati personali trattati tramite il servizio. Prima dell’attivazione o di una modifica sostanziale di una routine, il Cliente deve verificare l’istruzione, l’utente assegnato, il trigger, l’ambito dei dati, le autorizzazioni, i limiti, i possibili effetti collaterali e le misure di salvaguardia e monitorare il funzionamento e i risultati.

Il Cliente ha il diritto di impartire al Fornitore istruzioni per il trattamento di dati personali per suo conto, di chiedere informazioni su tale trattamento e di esercitare i diritti di controllo disciplinati nel presente DPA.

7. Riservatezza

Il Fornitore assicura che le persone autorizzate al trattamento dei dati personali si siano impegnate alla riservatezza o siano soggette a un adeguato obbligo legale di riservatezza e che trattino i dati personali solo su istruzione del Cliente.

Tenuto conto dello stato dell’arte, dei costi di attuazione, nonché della natura, dell’ambito, del contesto e delle finalità del trattamento, come anche del rischio per i diritti e le libertà delle persone fisiche, il Fornitore adotta misure tecniche e organizzative adeguate per garantire un livello di protezione commisurato al rischio, in conformità all’art. 32 GDPR. Tali misure comprendono in particolare: la cifratura dei dati personali in transito mediante TLS nonché la cifratura a riposo del database di produzione e dei suoi backup; il controllo degli accessi basato sui ruoli, account utente personalizzati e autenticazione per tutti gli accessi amministrativi; la separazione dei dati dei clienti per account aziendale a livello di dati; la registrazione e il monitoraggio degli accessi e degli eventi rilevanti per la sicurezza; misure per il rapido ripristino della disponibilità dei dati personali e dell’accesso a essi in caso di incidente fisico o tecnico; nonché una procedura per la verifica e la valutazione periodiche dell’efficacia di tali misure.

9. Sub-responsabili del trattamento

Il Cliente concede al Fornitore un’autorizzazione generale scritta a ricorrere a sub-responsabili del trattamento. Alla pagina Sub-responsabili del trattamento il Fornitore tiene un elenco aggiornato dei propri responsabili del trattamento, sub-responsabili del trattamento e altri destinatari. Solo le voci ivi espressamente indicate come incaricate di dati personali dei clienti per conto del Cliente diventano, con la loro identità, la loro finalità e la loro sede, sub-responsabili del trattamento e parte integrante del presente DPA per rinvio.

Prima che un sub-responsabile del trattamento tratti dati personali per conto del Cliente, il Fornitore conclude con lui un contratto scritto che, ai sensi dell’art. 28, paragrafi 2 e 4, GDPR, gli impone gli stessi obblighi di protezione dei dati previsti dal presente DPA. La comunicazione di una lacuna contrattuale non sostituisce tale contratto scritto né consente il trattamento. Se un sub-responsabile del trattamento non adempie ai propri obblighi di protezione dei dati, il Fornitore rimane pienamente responsabile nei confronti del Cliente dell’adempimento di tali obblighi.

Per la funzione per gli account collegati il Fornitore si avvale di UNIPILE SAS (RCS Roanne 885265595, 168 rue de la Rotonde, 42153 Riorges, Francia) come sub-responsabile del trattamento per dati e-mail, di messaggistica, di social network e di calendario nonché per le relative operazioni. Ciò comprende il recupero di post e interazioni, la consultazione di profili di persone e aziende, la gestione delle richieste di contatto nonché le ricerche in Sales Navigator e le operazioni sugli elenchi avviate dal Cliente. Il DPA fornitore sottoscritto indica il Fornitore come titolare del trattamento e Unipile come responsabile del trattamento; nel trattamento a valle disciplinato dal presente DPA il Cliente è titolare del trattamento, il Fornitore è responsabile del trattamento e Unipile assume il ruolo di fornitore qui descritto. L’allegato del DPA fornitore indica dati anagrafici personali, dati di contatto, dati professionali, informazioni divulgate o contenute in elenchi pubblici e indirizzi IP; l’ambito effettivo comprende inoltre le categorie indicate nell’articolo 4. Ulteriori dettagli sono riportati alla pagina Sub-responsabili del trattamento.

Per la memorizzazione dei dati personali trattati per conto del Cliente, il Fornitore si avvale di Databricks, Inc. (Neon) (https://neon.com) come sub-responsabile del trattamento contrattuale, che gestisce il database PostgreSQL gestito tramite Neon, LLC. Il Fornitore ha configurato il proprio database di produzione primario nella regione AWS di Francoforte (eu-central-1). Si tratta di un’impostazione di prodotto scelta e non di una residenza dei dati garantita contrattualmente; di un cambio di regione il Fornitore informa il Cliente secondo la procedura disciplinata in questo paragrafo. Il Neon Platform Services Product Specific Schedule aggiornato al 5 agosto 2026 integra con Grafana Labs, negli Stati Uniti, l’elenco completo e attuale dei sub-responsabili del trattamento di Databricks. L’elenco qualifica alcuni fornitori di cloud e di IA come scelti dal cliente; il Fornitore non ha selezionato alcun servizio Databricks basato sull’IA per il proprio database Neon. Databricks ha sede in un paese terzo; il meccanismo di trasferimento per i trasferimenti limitati a Databricks è indicato alla pagina Sub-responsabili del trattamento.

Forward Email, LLC ospita e memorizza la casella di posta di esercizio finale del Fornitore e non viene impiegata né per la funzione per gli account collegati né per il normale trattamento del CRM. Se il Cliente allega a una richiesta di supporto o di feedback dati personali dei clienti coperti dal presente DPA o li riporta in essa e la richiesta viene recapitata a tale casella, Forward Email memorizza e tratta tale porzione come sub-responsabile del trattamento. Nella normale corrispondenza di account e commerciale il servizio supporta un trattamento per il quale il Fornitore è titolare autonomo del trattamento e che non è soggetto al presente DPA. Il DPA standard di Forward Email viene accettato elettronicamente tramite le sue condizioni d’uso e incorpora, per i trasferimenti pertinenti, le clausole contrattuali tipo dell’UE; i dettagli sono indicati alla pagina Sub-responsabili del trattamento.

Per Mate il Fornitore utilizza il Vercel AI Gateway gestito da Vercel Inc. per inoltrare richieste di modelli, di ricerca web e di classificatori e le relative risposte ai fornitori a valle indicati alla pagina Sub-responsabili del trattamento. Il gateway e il fornitore a valle ricevono solo i contenuti di richiesta e i metadati necessari per la generazione richiesta; ciò può comprendere le categorie di responsabilità del Cliente indicate nell’articolo 4. Identità, finalità, condizioni dei fornitori, sedi, indicazioni sui trasferimenti, limiti di conservazione e limiti operativi attuali sono indicati alla pagina Sub-responsabili del trattamento. L’utilizzo interattivo di Mate da parte del Cliente, compresi la configurazione dello spazio di lavoro guidata dall’IA e le importazioni di siti web, il suo utilizzo della ricerca nella knowledge base o, nella misura in cui è offerta, la sua configurazione e attivazione di una routine, costituisce per ogni richiesta, aggiornamento dell’indice, analisi di sicurezza ed esecuzione che ne deriva un’istruzione di utilizzare questa catena di fornitori. Tale istruzione non sostituisce l’obbligo del Fornitore di assicurare, prima del rispettivo trattamento, che ogni accordo richiesto ai sensi dell’art. 28 GDPR e ogni garanzia di trasferimento richiesta ai sensi del capo V siano efficaci.

Se il Fornitore decide autonomamente di ricorrere a un sub-responsabile del trattamento o di sostituirlo, informa il Cliente prima che tale sub-responsabile tratti dati personali per conto del Cliente e concede al Cliente, prima dell’inizio del trattamento, una ragionevole possibilità di opposizione. Se un fornitore già impiegato annuncia l’intenzione di ricorrere a un nuovo soggetto o di sostituirne uno nella propria catena di fornitura, il Fornitore ne informa il Cliente senza ritardo dopo aver ricevuto tale comunicazione. Se la comunicazione del fornitore prevede un termine di opposizione, il Fornitore indica al Cliente nella propria comunicazione il termine residuo. Il Cliente può opporsi alla modifica senza ritardo, in forma testuale, per legittimi motivi di protezione dei dati. Se il Cliente si oppone e le parti non possono risolvere l’opposizione, il Cliente può disdire il servizio interessato secondo il contratto principale. Per le modifiche provenienti dalla catena di fornitura il Fornitore non promette alcun termine preventivo fisso che i propri contratti con i fornitori non garantiscano.

10. Assistenza al titolare del trattamento

Tenuto conto della natura del trattamento, il Fornitore assiste il Cliente, nella misura del possibile, con misure tecniche e organizzative adeguate nell’adempimento dell’obbligo del Cliente di dare seguito alle richieste degli interessati per l’esercizio dei loro diritti ai sensi degli artt. da 12 a 23 GDPR. Se un interessato rivolge una tale richiesta direttamente al Fornitore, il Fornitore la inoltra senza ritardo al Cliente e non vi risponde da sé, a meno che il Cliente non gli dia istruzione in tal senso.

Il Fornitore assiste inoltre il Cliente nel rispetto degli obblighi di cui agli artt. da 32 a 36 GDPR, tenuto conto della natura del trattamento e delle informazioni a disposizione del Fornitore. In particolare, il Fornitore informa senza ritardo il Cliente dopo essere venuto a conoscenza di una violazione dei dati personali che riguardi i dati personali trattati per conto del Cliente e fornisce le informazioni che il Cliente ragionevolmente necessita per adempiere ai propri obblighi di notifica e di comunicazione ai sensi degli artt. 33 e 34 GDPR.

11. Cancellazione o restituzione dei dati

Se il Cliente scollega un account collegato, il Fornitore cancella dai propri sistemi i thread, i messaggi, i partecipanti e i dati di calendario memorizzati per tale account e richiede a Unipile di rimuovere il relativo account. Non sussiste un diritto contrattuale del Fornitore nei confronti di Unipile alla cancellazione di un singolo account; il Fornitore può soltanto formulare tale richiesta. Se un account collegato viene invece rimosso automaticamente, in particolare in caso di pagamento non riuscito, di scadenza di un periodo di prova o dopo una lunga inattività, i dati memorizzati nei sistemi del Fornitore vengono attualmente solo disattivati e contrassegnati come cancellati; il Cliente può chiederne la cancellazione in qualsiasi momento. I dati in entrata grezzi che non è stato possibile attribuire a un account collegato non possono attualmente essere attribuiti a nessun cliente per l’esportazione o la cancellazione e vengono conservati senza termine fisso per l’analisi degli errori.

L’archiviazione di una conversazione con Mate non la cancella. Se un utente autorizzato cancella definitivamente una conversazione archiviata, il Fornitore cancella dal proprio database attivo tale conversazione e i suoi messaggi, le richieste di esecuzione, le registrazioni dei cicli del modello, le approvazioni, i giustificativi e i risultati degli strumenti nonché i risultati dei comandi di interfaccia. Le registrazioni separate di utilizzo e di fatturazione che il Fornitore tratta come titolare autonomo del trattamento non rientrano nel presente DPA e possono essere conservate per la rilevazione dei consumi, la contabilità, l’audit e la prevenzione degli abusi; i record del CRM creati o modificati da Mate rimangono normali record del cliente fino a quando non vengano cancellati secondo le regole applicabili a tali record. Le conversazioni attive con Mate non hanno, durante il contratto, alcuna cancellazione automatica in funzione dell’età. Un’escalation espressa al supporto può riportare testi della conversazione più recente nella corrispondenza di supporto del Fornitore.

Nella misura in cui sono offerte le routine, la cancellazione di una routine salvata non cancella automaticamente le conversazioni con Mate generate dalle sue esecuzioni. Tali conversazioni sono soggette al paragrafo precedente e devono essere cancellate separatamente tramite i normali controlli di cancellazione di Mate.

Il Fornitore conserva per 30 giorni, dopo la cessazione delle prestazioni connesse al trattamento, i dati personali disponibili nei propri sistemi e attribuibili al Cliente, affinché il Cliente possa scegliere in forma testuale tra cancellazione e restituzione. Se il Cliente sceglie la cancellazione o non comunica alcuna scelta entro tale termine, il Fornitore cancella i dati dai propri sistemi senza ritardo dopo la scelta o la scadenza del termine. Se entro tale termine il Cliente sceglie la restituzione, il Fornitore restituisce i dati secondo il contratto principale e cancella poi le copie rimanenti nei propri sistemi. Resta ferma l’ulteriore conservazione prescritta dal diritto dell’Unione o dal diritto di uno Stato membro. Le limitazioni per i dati presso sub-responsabili del trattamento e per i dati in entrata grezzi non attribuiti sono indicate nel presente articolo e alla pagina Sub-responsabili del trattamento.

Una cancellazione richiesta ai sensi del presente articolo è completata senza ritardo nei sistemi attivi del Fornitore e, nei suoi backup, al più tardi entro 90 giorni, secondo la scadenza degli stessi. Il Fornitore dà istruzione ai propri sub-responsabili del trattamento di cancellare i dati corrispondenti; la cancellazione a livello di sub-responsabile del trattamento è disciplinata dalle disposizioni del rispettivo contratto con tale sub-responsabile.

12. Controlli e prove

Il Fornitore mette a disposizione del Cliente tutte le informazioni ragionevolmente necessarie per dimostrare il rispetto degli obblighi stabiliti dall’art. 28 GDPR e dal presente DPA; consente e contribuisce alle attività di revisione, comprese le ispezioni, realizzate dal Cliente o da un altro revisore da questi incaricato.

Per soddisfare tali richieste il Fornitore può mettere a disposizione in primo luogo la documentazione pertinente, riepiloghi delle proprie misure tecniche e organizzative nonché i rapporti di audit o le certificazioni di terzi disponibili (compresi quelli dei propri sub-responsabili del trattamento). Le ispezioni in loco si svolgono con ragionevole preavviso, durante il normale orario di lavoro, senza disturbare l’attività del Fornitore e fatti salvi adeguati obblighi di riservatezza.

13. Trasferimenti internazionali di dati

Il Fornitore tratta i dati personali per conto del Cliente prevalentemente all’interno dell’Unione europea. Prima che un sub-responsabile del trattamento tratti tali dati in un paese terzo, il Fornitore assicura che esista un meccanismo di trasferimento applicabile ai sensi del capo V GDPR e lo indica alla pagina Sub-responsabili del trattamento. La cifratura, la minimizzazione dei dati e altre misure tecniche supplementari non sostituiscono un meccanismo di trasferimento richiesto ai sensi del capo V GDPR.

Per la funzione per gli account collegati, Unipile dichiara che i dati degli account collegati sono memorizzati nell’UE (Francia). L’accordo sul trattamento dei dati di Unipile consente tuttavia trasferimenti al di fuori dell’Unione europea, qualora sussistano garanzie ai sensi del capo V GDPR, e l’elenco dei sub-responsabili del trattamento di Unipile indica un prestatore di servizi di pagamento negli USA nonché cinque fornitori di proxy senza indicazione della sede. Il DPA fornitore non indica per questi fornitori alcun meccanismo di trasferimento concreto; per ogni trasferimento interessato vale pertanto il requisito del paragrafo precedente, secondo cui deve preventivamente sussistere un meccanismo applicabile ai sensi del capo V.

Per Mate, le richieste ai modelli sono inoltrate tramite il Vercel AI Gateway al fornitore di modelli a valle selezionato, indicato alla pagina Sub-responsabili del trattamento, e possono essere trattate negli Stati Uniti o in altri paesi utilizzati dal gateway, da tale fornitore e dai loro sub-responsabili del trattamento. L’addendum sul trattamento dei dati di Vercel incorpora, per i trasferimenti limitati coperti da tale addendum, le clausole contrattuali tipo dell’UE del 2021. Le attuali Notices and License Information di Vercel rendono applicabili al percorso le condizioni indicate per tale fornitore. Prima che dati personali di responsabilità del Cliente siano trattati tramite questo percorso, il Fornitore deve assicurare che si applichino le garanzie necessarie ai sensi dell’art. 28 e del capo V GDPR. L’attuale destinatario, le condizioni del fornitore, le indicazioni sui trasferimenti e i controlli di conservazione a livello di gateway sono indicati alla pagina Sub-responsabili del trattamento; tali controlli non modificano la memorizzazione a livello applicativo descritta nell’articolo 11 né sostituiscono le necessarie garanzie contrattuali e di trasferimento.

14. Responsabilità

Ciascuna parte risponde secondo le disposizioni di legge, in particolare ai sensi dell’art. 82 GDPR sulla ripartizione della responsabilità tra titolare del trattamento e responsabile del trattamento. Nei rapporti tra le parti, le regole sulla responsabilità del contratto principale si applicano al presente DPA. Resta ferma la responsabilità di legge imperativa, in particolare per dolo e colpa grave, per la lesione della vita, dell’integrità fisica o della salute nonché ogni altra responsabilità che non possa essere esclusa o limitata ai sensi del diritto applicabile.

15. Ordine di prevalenza

In caso di contrasto tra il presente DPA e il contratto principale in relazione al trattamento di dati personali per conto del Cliente, prevale il presente DPA. In caso di contrasto tra il presente DPA e il diritto imperativo in materia di protezione dei dati, prevale tale diritto imperativo.

Se le parti hanno concluso individualmente un accordo sul trattamento dei dati sottoscritto, questo prevale sul presente DPA per il Cliente interessato.

16. Disposizioni finali

Il presente DPA è soggetto al diritto della Repubblica federale di Germania, con esclusione della Convenzione delle Nazioni Unite sui contratti di vendita internazionale di merci (CISG). Il foro competente è la sede del Fornitore, nella misura consentita dalla legge. L’accettazione elettronica ai sensi dell’articolo 2 rispetta la forma testuale per la versione del DPA indicata; altre modifiche e integrazioni del presente DPA richiedono la forma testuale. Qualora una disposizione del presente DPA sia o diventi invalida, resta ferma la validità delle altre disposizioni.

Il presente DPA è disponibile in lingua tedesca e inglese. Fa fede la versione tedesca; la versione inglese è una traduzione a titolo informativo.

Benjamin Wagner
An den Kasernen 25
68167 Mannheim
mail@customermates.com

Ultimo aggiornamento: 01.09.2026