Ultimo aggiornamento : 2026-05-20

title: "Accordo sul trattamento dei dati (DPA)" slug: "dpa" relatedTo: "conditions-generales (clause 12), politique-de-confidentialite (§2)" lastUpdated: "2026-05-20" language: "it"

Accordo relativo al trattamento dei dati personali (DPA)

Allegato «GDPR» alle Condizioni Generali di Utilizzo e di Vendita di SEOrestoApp

1. Oggetto e quadro di riferimento

Il presente accordo (il «DPA») disciplina i trattamenti di dati personali effettuati da SEOrestoApp («SEOrestoApp» o il «Responsabile del trattamento») per conto del cliente professionista che sottoscrive il servizio SEOrestoApp (il «Cliente» o il «Titolare del trattamento»).

Esso fa parte integrante delle Condizioni Generali di Utilizzo e di Vendita (il «Contratto») e prevale su di esse per qualsiasi questione relativa alla protezione dei dati personali.

2. Definizioni

I termini «dati personali», «trattamento», «titolare del trattamento», «responsabile del trattamento», «interessato», «violazione dei dati» e «sub-responsabile del trattamento» hanno il significato loro attribuito dal GDPR. Il «Contratto» designa le CGU/CGV; le «Istruzioni» designano le scelte di configurazione del Cliente nel Servizio e qualsiasi istruzione scritta documentata.

3. Ruoli delle parti

Il Cliente agisce in qualità di titolare del trattamento dei dati personali degli interessati (in particolare i clienti dei propri esercizi). SEOrestoApp agisce in qualità di responsabile del trattamento, trattando tali dati esclusivamente per fornire il Servizio e su Istruzione documentata del Cliente.

Il Cliente garantisce di disporre di una base giuridica appropriata e di aver adempiuto ai propri obblighi di informazione nei confronti degli interessati per i trattamenti affidati a SEOrestoApp.

4. Descrizione del trattamento

La natura, le finalità, la durata, le categorie di dati e di interessati sono descritte nell'Allegato 1.

5. Obblighi di SEOrestoApp (responsabile del trattamento)

Conformemente all'articolo 28.3 del GDPR, SEOrestoApp si impegna a:

a) Istruzioni. Trattare i dati esclusivamente su Istruzione documentata del Cliente, anche per i trasferimenti al di fuori dell'UE, salvo obbligo di legge; in tal caso, SEOrestoApp ne informa il Cliente prima del trattamento, salvo divieto di legge.

b) Riservatezza. Assicurarsi che le persone autorizzate a trattare i dati siano soggette a un obbligo di riservatezza.

c) Sicurezza. Attuare le misure tecniche e organizzative appropriate ai sensi dell'articolo 32 del GDPR, descritte nell'Allegato 2.

d) Sub-trattamento. Ricorrere a sub-responsabili del trattamento alle condizioni della clausola 7 e dell'Allegato 3.

e) Assistenza — diritti degli interessati. Assistere il Cliente, nella misura del possibile e tenuto conto della natura del trattamento, nel rispondere alle richieste di esercizio dei diritti degli interessati (articoli da 12 a 23 del GDPR). Quando una richiesta è indirizzata direttamente a SEOrestoApp, quest'ultima la trasmette al Cliente senza rispondervi essa stessa, salvo istruzione contraria.

f) Assistenza — sicurezza e conformità. Assistere il Cliente nel rispetto dei propri obblighi in materia di sicurezza, notifica di violazioni, valutazione d'impatto (DPIA) e consultazione preventiva (articoli da 32 a 36 del GDPR), tenuto conto delle informazioni di cui dispone SEOrestoApp.

g) Destino dei dati alla fine del contratto. Al termine del Contratto, a scelta del Cliente, restituire o cancellare tutti i dati personali trattati per suo conto. In mancanza di istruzione, SEOrestoApp procede alla cancellazione. I dati e le loro copie esistenti sono cancellati entro 30 giorni, salvo obbligo legale di conservazione; i backup sono eliminati secondo il normale ciclo di rotazione dei backup.

h) Documentazione e audit. Mettere a disposizione del Cliente le informazioni necessarie per dimostrare il rispetto degli obblighi dell'articolo 28, e consentire la realizzazione di audit alle condizioni della clausola 8.

6. Violazione dei dati personali

In caso di violazione dei dati che riguarda i dati trattati per conto del Cliente, SEOrestoApp ne informa il Cliente senza ingiustificato ritardo e al più tardi entro 48 ore dal momento in cui ne viene a conoscenza.

La notifica descrive, per quanto possibile: la natura della violazione, le categorie e il numero approssimativo di persone e registrazioni interessate, le probabili conseguenze, le misure adottate o proposte e un punto di contatto. SEOrestoApp collabora con il Cliente al fine di rimediare alla violazione. SEOrestoApp non notifica l'autorità di controllo né gli interessati per conto del Cliente, salvo istruzione scritta.

7. Sub-responsabili del trattamento

Il Cliente concede un'autorizzazione generale scritta al ricorso ai sub-responsabili del trattamento elencati nell'Allegato 3.

In caso di aggiunta o sostituzione di un sub-responsabile del trattamento, SEOrestoApp ne informa il Cliente con un preavviso di almeno 30 giorni, consentendo al Cliente di opporsi per motivi ragionevoli legati alla protezione dei dati. In caso di opposizione non risolta, il Cliente può disdire la parte del Servizio interessata, senza penale, in deroga alla clausola di durata del Contratto.

SEOrestoApp impone a ciascun sub-responsabile del trattamento, tramite contratto, obblighi di protezione dei dati equivalenti a quelli del presente DPA, e rimane pienamente responsabile dell'esecuzione dei loro obblighi.

8. Audit

SEOrestoApp mette a disposizione del Cliente la documentazione pertinente (politiche, certificazioni, report) che consente di verificare il rispetto del presente DPA. Il Cliente può, al massimo una volta all'anno (e senza limite in caso di violazione accertata o di richiesta di un'autorità), richiedere un audit complementare tramite un questionario e, se necessario, un audit in loco con un preavviso ragionevole di almeno 30 giorni, durante l'orario lavorativo, senza disturbare l'attività, e sotto riserva di riservatezza. I costi di un audit in loco richiesto dal Cliente sono a suo carico, salvo inadempimento accertato di SEOrestoApp.

9. Trasferimenti al di fuori dell'Unione europea

Alcuni sub-responsabili del trattamento sono situati al di fuori dell'UE (vedere Allegato 3). Questi trasferimenti sono disciplinati da garanzie appropriate ai sensi del Capitolo V del GDPR: clausole contrattuali standard della Commissione europea e/o adesione al Data Privacy Framework ove applicabile, integrate se necessario da misure supplementari.

10. Responsabilità

La responsabilità delle parti ai sensi del presente DPA rientra nei limiti e nei massimali previsti dal Contratto (vedere clausola 13 delle CGU/CGV), fatte salve le disposizioni imperative del GDPR.

11. Durata

Il presente DPA produce i suoi effetti per tutta la durata dei trattamenti effettuati per conto del Cliente e termina con l'adempimento degli obblighi della clausola 5.g.

12. Legge applicabile e giurisdizione

Il presente DPA è regolato dal diritto francese. Qualsiasi controversia è di competenza dei tribunali competenti del circondario di Parigi, fatte salve le norme imperative.

Allegato 1 — Descrizione del trattamento

• Natura e finalità: sincronizzazione e archiviazione delle recensioni dei clienti; generazione assistita dall'IA e pubblicazione di risposte alle recensioni; gestione delle informazioni di presenza dell'esercizio; programmazione e pubblicazione di Google Post; raccolta di feedback tramite QR code; analisi statistica e semantica della reputazione.
• Durata: durata del Contratto, poi cancellazione/restituzione secondo la clausola 5.g.
• Categorie di interessati: clienti e consumatori degli esercizi del Cliente (autori di recensioni, persone che lasciano un feedback tramite QR code); se del caso, utenti designati dal Cliente.
• Categorie di dati:
  • identità come visualizzata dalla piattaforma (nome o pseudonimo dell'autore della recensione);
  • contenuto, valutazione e data delle recensioni;
  • valutazione e commento libero dei feedback raccolti tramite QR code;
  • qualsiasi dato personale che una persona sceglie di includere in un testo libero.
• Categorie particolari (art. 9 GDPR): nessuna è richiesta o necessaria. Il Cliente si impegna a non utilizzare il Servizio per trattare tali dati; un testo libero potrebbe tuttavia contenerne in modo incidentale.

Allegato 2 — Misure tecniche e organizzative (art. 32 GDPR)

• Cifratura a riposo dei token di accesso Google (OAuth): cifratura AES-256-GCM con gestione delle chiavi a busta (KMS).
• Cifratura in transito: TLS/HTTPS per tutte le comunicazioni.
• Controllo degli accessi: autenticazione, gestione dei ruoli, principio del privilegio minimo.
• Segmentazione multi-tenant: ogni Cliente collega il proprio account Google; separazione logica dei dati tra i Clienti.
• Minimizzazione: solo i dati necessari vengono trasmessi ai servizi di IA per la generazione di contenuti.
• Registrazione degli accessi e delle azioni sensibili.
• Backup regolari e hosting sicuro.
• Gestione delle patch e degli aggiornamenti di sicurezza.
• Procedura di gestione degli incidenti e notifica delle violazioni.

Aggiornate questo allegato per riflettere le vostre misure effettive e qualsiasi certificazione ottenuta (es. ISO 27001, SOC 2 dei vostri fornitori).

Allegato 3 — Sub-responsabili del trattamento

Ultimo aggiornamento: 20 maggio 2026.