Accordo di nomina a responsabile (DPA)

Questi modelli seguono il GDPR in generale. Non pretendono di soddisfare il diritto nazionale di ogni Paese. In Italia l’autorità è il Garante per la protezione dei dati personali. La competenza resta quella dello stabilimento principale del titolare (articolo 56 GDPR).

Tra il cliente del servizio, in qualità di titolare (il Titolare),

e Atelier Exemple, 10 rue de l'Exemple, 75002 Paris, France, contact@exemple-saas.example (il Responsabile).

Questo accordo si applica quando il Responsabile tratta dati personali per conto del Titolare per il servizio su https://exemple-saas.example. Non copre i trattamenti di cui il fornitore è esso stesso titolare.

1. Oggetto, natura, durata

Il Responsabile ospita, conserva e mostra i dati necessari a fornire il servizio, e genera i file che il prodotto genera. Durata: il contratto, poi cancellazione o restituzione come all’articolo 8, salvo che una norma applicabile al Responsabile imponga un archivio più lungo.

2. Istruzioni documentate

Il Responsabile agisce solo su istruzioni documentate del Titolare, compreso questo accordo, salvo che il diritto dell’Unione o di uno Stato membro imponga diversamente. In quel caso il Responsabile informa il Titolare prima del trattamento, salvo che la legge vieti l’informazione.

3. Riservatezza

Le persone autorizzate a trattare i dati sono vincolate a un obbligo di riservatezza.

4. Sicurezza

Il fornitore adotta misure tecniche e organizzative adeguate ai sensi dell’articolo 32 GDPR (controllo degli accessi, HTTPS, minimizzazione, fornitori professionali), senza promettere l’assenza di rischio residuo. ISO 27001 e SOC 2 non sono stati selezionati: nessuna di queste certificazioni è affermata.

5. Sub-responsabili

Il Titolare autorizza i sub-responsabili dell’allegato 3. Il Responsabile informa il Titolare prima di aggiungerne o sostituirne uno. Il Titolare può opporsi entro 30 giorni. Se l’opposizione non si risolve, il Titolare può interrompere il trattamento interessato.

6. Assistenza

Il Responsabile assiste il Titolare, per quanto possibile, per le richieste degli interessati, la sicurezza, le notifiche di violazione e le valutazioni d’impatto, tenuto conto della natura del trattamento.

7. Violazione

Il Responsabile notifica al Titolare una violazione dei dati personali senza ritardo ingiustificato dopo esserne venuto a conoscenza. Il modello non inventa un numero fisso di ore.

8. Cancellazione e restituzione

Alla fine del servizio il Responsabile cancella o restituisce i dati, a scelta del Titolare, e cancella le copie residue salvo che la legge imponga la conservazione.

9. Audit

Il Titolare può fare un audit, anche tramite un revisore incaricato vincolato alla riservatezza, con un preavviso ragionevole, non più di una volta l’anno salvo violazione o richiesta di un’autorità. Il Responsabile può rifiutare un revisore concorrente.

10. Trasferimenti

I trasferimenti fuori da UE/SEE usano un meccanismo del capo V del GDPR. L’allegato 3 ripete ciò che l’editore pubblica. Non aggiunge un meccanismo che la scheda segna come non comunicato.

11. Responsabilità

L’articolo 82 del GDPR si applica verso gli interessati. Il contratto non sposta la sanzione propria di una parte sull’altra. Non si aggiunge un’indennità forfettaria nazionale.

Allegato 1 — Descrizione

• Oggetto: il servizio su https://exemple-saas.example.
• Operazioni: hosting, autenticazione se usata, conservazione, generazione di file, supporto, log.
• Persone: gli utenti del Titolare e il personale del Titolare. Categorie ulteriori non sono comunicate da questo modello.

Allegato 2 — Sicurezza

Il fornitore adotta misure tecniche e organizzative adeguate ai sensi dell’articolo 32 GDPR (controllo degli accessi, HTTPS, minimizzazione, fornitori professionali), senza promettere l’assenza di rischio residuo. ISO 27001 e SOC 2 non sono stati selezionati: nessuna di queste certificazioni è affermata.

Allegato 3 — Sub-responsabili autorizzati

1. Scaleway, S.A.S. (Scaleway) — European Union — Cloud (compute, storage, databases). The DPA covers data uploaded to a service ordered through the account. A more detailed list is not published. The DPA (1 June 2024) says services are located in the European Union by default. Scaleway is not registered under the Data Privacy Framework.

1. Stripe Payments Europe, Limited (Stripe) — Irlanda (gruppo Stripe, Inc., Stati Uniti) — Pagamento e fatturazione. Dati di pagamento, identificativi di transazione, e-mail di fatturazione. L’editore non conserva i numeri di carta completi. Stripe Payments Europe agisce come titolare o responsabile a seconda del flusso; trasferimenti infragruppo coperti da CCT.

1. Resend, Inc. (Resend) — Stati Uniti — Invio di e-mail transazionali. Indirizzi dei destinatari, oggetto e contenuto, log di invio. Trasferimento extra UE coperto da CCT.

1. Plausible Insights OÜ (Plausible) — Estonia — Misurazione d’audience senza cookie. Pagine viste aggregate, paese approssimativo, user-agent, referrer. Nessun cookie pubblicitario. Trattamento nell’UE (Estonia). Verificate l’hosting del vostro account.

Avviso. Questo file è un modello generato da StackLégal con i dati che avete inserito. Non è un parere legale né un’attestazione di conformità. Rileggetelo. Se la posta in gioco è alta (salute, finanza, minori, dati sensibili, clienti enterprise), fatelo leggere da un professionista.

Modello del 6 October 2026. Solo la struttura: regolamento (UE) 2016/679, in particolare gli articoli 12-14, 28, 32 e 82; direttiva 2011/83/UE sul recesso se c’è un consumatore; regolamento (UE) 2022/2065 (DSA) se gli utenti pubblicano contenuti. Nessuna legge nazionale è citata come se valesse ovunque.

Modello compilato per: Atelier Exemple — https://exemple-saas.example