1. Parti

Cliente: l’utente/azienda che sottoscrive o utilizza Adsentry (“Titolare” o “Cliente”).
Fornitore Adsentry: Gentian Hajdaraj, P. IVA 03467570986, con sede in Via Galileo Galilei, 43 25128 Brescia (BS), Italia (“Responsabile”).

Contatti privacy: support@gentian.it — info@gentian.it.

2. Oggetto, durata e rapporto con i Termini

• Oggetto: trattamento dei “Dati Personali del Cliente” necessario per erogare il Servizio (analisi URL/asset, generazione report, condivisione report).
• Durata: per la durata del contratto/abbonamento e per il tempo tecnico necessario a chiusura, export e cancellazione/anonimizzazione secondo Termini e presente DPA.
• Prevalenza: in caso di conflitto tra Termini e DPA, prevale il DPA per le materie di protezione dati.

3. Definizioni

• GDPR: Regolamento (UE) 2016/679.
• Dati Personali del Cliente: dati personali trattati dal Responsabile per conto del Cliente tramite il Servizio, inclusi dati presenti nei contenuti/URL analizzati e nei report generati.
• Istruzioni: indicazioni documentate del Cliente, incluse quelle impartite tramite uso delle funzionalità standard del Servizio (es. “analizza questo URL”).
• Sub-responsabile: fornitore terzo ingaggiato dal Responsabile per trattare Dati Personali del Cliente.

4. Ruoli e dati esclusi dal perimetro “Responsabile”

Il Responsabile tratta i Dati Personali del Cliente per conto del Cliente ai sensi dell’art. 28 GDPR. Restano esclusi dal perimetro del presente DPA i trattamenti in cui il Fornitore opera come Titolare autonomo, ad esempio: (i) dati amministrativi e di fatturazione; (ii) dati di account degli utenti della piattaforma; (iii) log e telemetria strettamente necessari alla sicurezza/anti-abuso della piattaforma. Tali trattamenti sono descritti nella Privacy Policy.

5. Istruzioni del Cliente

• Il Responsabile tratterà i Dati Personali del Cliente solo su istruzioni documentate del Cliente, incluse quelle implicite nell’uso del Servizio.
• Il Cliente garantisce che le istruzioni sono lecite e che dispone di base giuridica per trattare i dati e per incaricare il Responsabile.
• Se il Responsabile ritiene che un’istruzione violi il GDPR o altre norme applicabili, informerà il Cliente e potrà sospendere l’esecuzione dell’istruzione nella misura necessaria.

6. Obblighi del Responsabile

• Vincolare alla riservatezza le persone autorizzate al trattamento.
• Adottare misure tecniche e organizzative adeguate (vedi Allegato B).
• Assistere il Cliente, per quanto ragionevolmente possibile, nel rispondere alle richieste degli interessati e negli adempimenti GDPR.
• Notificare senza ingiustificato ritardo un’eventuale violazione (data breach) secondo la Sezione 10.
• Cancellare o restituire i dati al termine del Servizio secondo la Sezione 12.
• Mettere a disposizione informazioni ragionevoli per dimostrare la conformità e consentire audit ragionevoli (Sezione 11).

7. Dati particolari e minimizzazione

• Il Servizio non è progettato per trattare categorie particolari di dati (art. 9) o dati penali (art. 10). Il Cliente si impegna a non inserirli salvo necessità e base giuridica adeguata.
• Le pagine/URL analizzati possono contenere dati personali pubblicati online (es. contatti in footer). Il Responsabile tratterà tali dati solo nella misura necessaria all’analisi e al report.

8. Sub-responsabili

Il Cliente autorizza in via generale il ricorso a Sub-responsabili elencati nell’Allegato C. Il Responsabile può aggiornare l’elenco (aggiunta/sostituzione) con comunicazione tramite email e/o dashboard. Il Cliente può opporsi entro 14 giorni dalla notifica; le parti coopereranno in buona fede per trovare una soluzione (sostituzione o disdetta per giusta causa del servizio impattato).

9. Trasferimenti extra SEE

Se i Dati Personali del Cliente fossero trasferiti fuori dallo SEE in assenza di decisione di adeguatezza, il Responsabile assicurerà l’adozione di garanzie adeguate (es. SCC) e misure supplementari quando richiesto.

10. Data breach

• Il Responsabile notificherà al Cliente, senza ingiustificato ritardo, una violazione dei Dati Personali del Cliente di cui venga a conoscenza.
• La notifica includerà, per quanto disponibili: natura dell’incidente, categorie e volume approssimativo dei dati e degli interessati, possibili conseguenze, misure adottate o proposte.
• Il Cliente resta responsabile delle eventuali notifiche ad Autorità e/o interessati, salvo diverso obbligo legale.

11. Assistenza e audit

• Diritti interessati: assistenza ragionevole del Responsabile (nei limiti del controllo tecnico) per richieste di accesso/cancellazione/portabilità/limitazione/opposizione.
• Audit: il Cliente può richiedere informazioni ragionevoli (misure, sub-processor, policy). Audit on-site solo se strettamente necessario, con preavviso e modalità concordate per minimizzare impatti e tutelare riservatezza.

12. Restituzione e cancellazione dei dati

• Il Cliente può cancellare report e dati tramite le funzionalità disponibili. Il Responsabile rende la cancellazione effettiva nei sistemi attivi entro tempi tecnici ragionevoli.
• Retention report: attualmente i report possono essere conservati nel DB fino a cancellazione da parte dell’Utente. Per minimizzazione e sostenibilità operativa, il Responsabile può applicare una cancellazione automatica dei report trascorso un periodo definito (impostazione di prodotto), suggerito 180 giorni dalla creazione o dall’ultima attività sul report.
• Persistenza su backup: eventuali copie tecniche possono persistere fino al normale ciclo di rotazione backup, dopo di che verranno sovrascritte/cancellate.
• Resta salva la conservazione necessaria per obblighi di legge o tutela in giudizio.

13. Legge applicabile e foro

Il presente DPA è regolato dalla legge italiana. Foro competente: Brescia, salvo norme inderogabili.

Allegato A — Dettagli del trattamento

Allegato B — Misure tecniche e organizzative (TOMs)

Allegato C — Sub-responsabili