Accordo sul trattamento dei dati

Versione 1.6. Ultimo aggiornamento: 24 ottobre 2026. Contatto Contracko: [email protected].

Il presente DPA è redatto in lingua inglese. Qualora Contracko fornisca una traduzione, prevale la versione inglese in caso di conflitto o incoerenza, salvo ove le Clausole contrattuali tipo dispongano diversamente.

1. Parti, ruoli e rapporto con il contratto principale

Il presente Accordo sul trattamento dei dati («DPA») costituisce parte integrante del contratto tra il Cliente («Titolare del trattamento» o «Cliente») e Velocity Ventures B.V., Mauritskade 9, 2514 HD L'Aia, Paesi Bassi (KvK 87321432) («Responsabile del trattamento» o «Contracko»), in forza del quale Contracko fornisce il servizio Contracko («Servizio»), ossia il Common Paper Cloud Service Agreement (Standard Terms v2.1) come accettato dal Cliente o come stabilito in un Frontespizio (Cover Page) firmato (il «Contratto»), ed è in esso incorporato.

Per i dati personali che Contracko tratta per conto del Cliente nel fornire il Servizio, il Cliente è il titolare del trattamento e Contracko è il responsabile del trattamento. Ove Contracko tratti dati per proprie finalità (ad esempio amministrazione degli account, fatturazione e sicurezza), agisce quale titolare autonomo per tale trattamento limitato, disciplinato dall'informativa sulla privacy di Contracko.

In caso di conflitto, l'ordine di prevalenza è: (1) le Clausole contrattuali tipo di cui all'Allegato 3 (nella misura in cui si applichino a un trasferimento soggetto a restrizioni), (2) il presente DPA, (3) il Contratto.

2. Definizioni

I termini «dati personali», «trattamento», «interessato», «titolare del trattamento», «responsabile del trattamento», «sub-responsabile» e «autorità di controllo» hanno il significato loro attribuito nel Regolamento generale sulla protezione dei dati dell'UE (Regolamento (UE) 2016/679, «GDPR»). «Normativa applicabile in materia di protezione dei dati» indica il GDPR unitamente alla legge olandese di attuazione (UAVG) e, ove applicabile, il UK GDPR e la LPD svizzera. «Trasferimento soggetto a restrizioni» indica un trasferimento di dati personali verso un Paese al di fuori del SEE non coperto da una decisione di adeguatezza.

3. Oggetto, durata, natura e finalità (art. 28, par. 3)

• Oggetto: il trattamento dei dati personali contenuti nei contratti, documenti e dati di account che il Cliente invia al Servizio, o a essi relativi.
• Durata: la durata del Contratto, più il periodo di cancellazione/restituzione di cui alla Sezione 11.
• Natura e finalità: archiviazione, organizzazione, parsing, analisi ed estrazione assistite da IA, consultazione, firma elettronica e gestione dei dati contrattuali del Cliente, al solo fine di fornire il Servizio.
• I dettagli completi del trattamento sono riportati nell'Allegato 1.

4. Tipi di dati personali e categorie di interessati

• Tipi (a titolo esemplificativo, determinati dal Cliente): nomi, recapiti, firme, condizioni economiche e commerciali, informazioni relative al rapporto di lavoro e qualsiasi altro dato personale che il Cliente inserisca nei documenti caricati e nei dati di account.
• Categorie di interessati: i dipendenti, clienti, fornitori, controparti del Cliente e altre persone indicate nei documenti del Cliente.

È responsabilità del Cliente assicurarsi di disporre di una base giuridica per i dati personali che invia e per le istruzioni che impartisce. Il Cliente non deve inviare dati appartenenti a categorie particolari, salvo che siano accessori al contenuto contrattuale, ed è responsabile di qualsiasi dato di tale natura che scelga di inviare.

5. Obblighi del responsabile del trattamento (art. 28, par. 3, lett. a-h)

Contracko si obbliga a:

1. trattare i dati personali esclusivamente su istruzione documentata del Cliente (anche per i trasferimenti), istruzioni che comprendono il presente DPA, il Contratto e l'utilizzo del Servizio configurato dal Cliente, salvo che lo imponga la legge, nel qual caso Contracko ne informa preventivamente il Cliente, salvo che la legge lo vieti;
2. garantire che le persone autorizzate a trattare i dati personali siano vincolate alla riservatezza;
3. attuare le misure tecniche e organizzative di cui all'Allegato 2 (MTO) (art. 32);
4. rispettare le condizioni della Sezione 6 per il ricorso a sub-responsabili;
5. assistere il Cliente, mediante misure tecniche e organizzative adeguate e nella misura del possibile, in relazione alle richieste degli interessati (Sezione 7);
6. assistere il Cliente in materia di sicurezza, notifica delle violazioni dei dati personali, valutazioni d'impatto sulla protezione dei dati e consultazione preventiva (Sezioni 8 e 9), tenendo conto della natura del trattamento e delle informazioni a disposizione di Contracko;
7. a scelta del Cliente, cancellare o restituire i dati personali al termine del Servizio (Sezione 11);
8. mettere a disposizione le informazioni necessarie per dimostrare la conformità e consentire le verifiche (Sezione 10); e
9. non utilizzare i dati personali del Cliente per addestrare alcun modello di IA, e ricorrere a sub-responsabili di IA solo a condizioni che escludano l'addestramento sui dati del Cliente e che, ove offerto, prevedano la non conservazione dei dati.

Istruzioni illecite. Contracko informerà il Cliente senza ingiustificato ritardo qualora, a suo avviso, un'istruzione violi la Normativa applicabile in materia di protezione dei dati. Il Cliente disporrà quindi di un termine ragionevole (almeno 30 giorni) per impartire un'istruzione rivista e lecita. In attesa della risoluzione, Contracko può sospendere il trattamento interessato e, se il Cliente non fornisce un'istruzione lecita entro tale termine, Contracko può risolvere la parte interessata del Servizio senza incorrere in responsabilità.

6. Sub-responsabili (art. 28, par. 2 e 4)

Autorizzazione generale. Il Cliente rilascia autorizzazione generale scritta affinché Contracko ricorra a sub-responsabili per trattare dati personali nel fornire il Servizio, in categorie che includono hosting e archiviazione, database, analisi assistita da IA, firma elettronica, invio di e-mail, analitica, pagamenti e operazioni interne e alerting. L'elenco attuale dei sub-responsabili, indicati nominativamente, è riportato nell'Allegato 1.

Comunicazione delle modifiche. Contracko mantiene un elenco aggiornato dei sub-responsabili indicati nominativamente. Con almeno quattordici (14) giorni di anticipo rispetto all'autorizzazione di un nuovo sub-responsabile al trattamento di dati personali, Contracko aggiornerà l'elenco e ne darà comunicazione attiva al Cliente via e-mail.

Opposizione. Il Cliente può opporsi a un nuovo sub-responsabile per motivi ragionevoli connessi alla protezione dei dati, mediante comunicazione scritta entro sette (7) giorni dalla comunicazione. Se il Cliente non si oppone entro tale termine, il sub-responsabile si intende accettato. Il nuovo sub-responsabile non tratterà i dati personali del Cliente prima della scadenza del termine di preavviso di quattordici (14) giorni. Qualora il Cliente si opponga e Contracko non possa rendere disponibile un'alternativa commercialmente ragionevole entro un termine ragionevole, l'unico rimedio del Cliente è risolvere la parte interessata del Servizio con ragionevole preavviso scritto.

Trasposizione degli obblighi e responsabilità. Contracko impone a ciascun sub-responsabile, mediante contratto scritto, obblighi di protezione dei dati non meno tutelanti di quelli del presente DPA (in particolare le misure di cui all'art. 32), e resta pienamente responsabile nei confronti del Cliente dell'adempimento degli obblighi da parte di ciascun sub-responsabile.

7. Diritti degli interessati (art. 28, par. 3, lett. e)

Tenendo conto della natura del trattamento, Contracko assiste il Cliente mediante misure tecniche e organizzative adeguate, nella misura del possibile, nell'adempimento dell'obbligo del Cliente di dare seguito alle richieste di esercizio dei diritti degli interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione), anche tramite le funzioni self-service di esportazione e cancellazione del Servizio. Qualora un interessato contatti direttamente Contracko, Contracko lo indirizzerà al Cliente.

8. Violazione dei dati personali (art. 33)

Contracko notificherà al Cliente senza ingiustificato ritardo dopo essere venuta a conoscenza di una violazione dei dati personali che interessi i dati personali del Cliente, e fornirà le informazioni ragionevolmente disponibili per assistere il Cliente nei propri obblighi di notifica, comprese, ove disponibili, la natura della violazione, le categorie e il numero approssimativo di interessati e di record coinvolti, le probabili conseguenze e le misure adottate o proposte. Qualora le informazioni non possano essere fornite in un'unica soluzione, potranno essere fornite in fasi successive senza ulteriore ingiustificato ritardo. In qualità di responsabile del trattamento, Contracko non effettua notifiche all'autorità di controllo né agli interessati; tale obbligo compete al Cliente in qualità di titolare del trattamento.

9. Sicurezza, DPIA e consultazione preventiva (art. 32, 35 e 36)

Contracko attua e mantiene le misure di cui all'Allegato 2, tenendo conto dello stato dell'arte, dei costi di attuazione e della natura, dell'ambito, del contesto e del rischio del trattamento. Contracko non garantisce che tali misure siano efficaci in ogni circostanza; conformemente all'articolo 82, par. 2, del GDPR, Contracko risponde solo qualora il danno derivi dall'inadempimento da parte di Contracko degli obblighi specificamente rivolti ai responsabili del trattamento dalla Normativa applicabile in materia di protezione dei dati, o delle istruzioni lecite del Cliente. Contracko assiste il Cliente, tenendo conto della natura del trattamento e delle informazioni a sua disposizione, nelle valutazioni d'impatto sulla protezione dei dati e nella consultazione preventiva dell'autorità di controllo ove richiesta. Contracko può addebitare un corrispettivo ragionevole per l'assistenza prevista dalle Sezioni da 7 a 9 che ecceda sostanzialmente la funzionalità ordinaria del Servizio, salvo che tale assistenza sia necessaria a causa di un inadempimento di Contracko al presente DPA.

10. Verifiche (art. 28, par. 3, lett. h)

Contracko metterà a disposizione del Cliente le informazioni necessarie per dimostrare la conformità al presente DPA. Contracko può soddisfare le richieste di verifica fornendo le proprie relazioni di audit di terzi, certificazioni o autovalutazioni disponibili (quali ISO 27001, SOC 2 o CSA STAR, nella misura in cui Contracko ne disponga), nonché le proprie MTO, che il Cliente accetta come adempimento del diritto di verifica ove rispondano ragionevolmente alla richiesta. Ove queste non siano ragionevolmente sufficienti, il Cliente (o un revisore incaricato, vincolato alla riservatezza e non concorrente di Contracko) può svolgere un'ispezione non più di una volta all'anno, con preavviso scritto di almeno 30 giorni, durante l'orario lavorativo, senza irragionevoli interruzioni e a spese del Cliente.

11. Restituzione e cancellazione (art. 28, par. 3, lett. g)

Alla cessazione del Servizio, Contracko provvederà, a scelta del Cliente, a cancellare o restituire tutti i dati personali e a cancellare le copie esistenti, salvo che la conservazione sia richiesta dalla legge. Contracko completa la cancellazione senza ingiustificato ritardo e in ogni caso entro 90 giorni dalla cessazione o da una richiesta di cancellazione verificata; le copie residue nei backup vengono eliminate nel normale ciclo di backup.

12. Trasferimenti internazionali (Capo V del GDPR)

L'hosting e l'archiviazione primaria di Contracko si trovano nell'UE. Il rapporto tra Cliente e Contracko è intra-SEE e non costituisce di per sé un trasferimento soggetto a restrizioni. Ove la fornitura del Servizio comporti un Trasferimento soggetto a restrizioni verso un sub-responsabile situato al di fuori del SEE, tale trasferimento è effettuato in forza di un meccanismo di trasferimento adeguato, applicato nel seguente ordine: (a) una decisione di adeguatezza o, ove il destinatario sia certificato, l'EU-US Data Privacy Framework; in mancanza (b) le Clausole contrattuali tipo dell'UE (decisione di esecuzione (UE) 2021/914 della Commissione), Modulo Tre per i trasferimenti successivi da responsabile a sub-responsabile (e Modulo Due ove il Cliente sia l'esportatore di dati), unitamente all'Addendum del Regno Unito sui trasferimenti internazionali di dati e agli adattamenti svizzeri ove pertinenti, nonché a eventuali misure supplementari richieste a seguito di una valutazione d'impatto del trasferimento. L'ubicazione di ciascun sub-responsabile è indicata nell'elenco dei sub-responsabili (Allegato 1). Le CCT sono incorporate mediante rinvio e, ove applicabili, prevalgono sul presente DPA (l'Allegato 3 riporta i moduli prescelti e le appendici compilate).

13. Responsabilità e legge applicabile

La responsabilità di ciascuna parte ai sensi del presente DPA è soggetta alle limitazioni ed esclusioni di responsabilità previste dal Contratto (Common Paper CSA Standard Terms v2.1), che si applicano al presente DPA. Il Cliente manleverà Contracko da pretese e perdite di terzi nella misura in cui derivino da istruzioni di trattamento illecite del Cliente, da contenuto illecito del Cliente, o dall'inadempimento del Cliente al presente DPA o alla Normativa applicabile in materia di protezione dei dati. Il presente DPA è disciplinato dalla legge dei Paesi Bassi, e i tribunali dell'Aia o di Amsterdam sono competenti, coerentemente con il Contratto, fatte salve le tutele imperative degli interessati e qualsiasi legge applicabile o foro richiesti dalle CCT.

14. Lingua

Il presente DPA è redatto in lingua inglese. Qualora Contracko fornisca una traduzione, prevale la versione inglese in caso di conflitto o incoerenza, salvo ove le Clausole contrattuali tipo dispongano diversamente.

Allegati

• Allegato 1 - Dettagli del trattamento ed elenco dei sub-responsabili: i dettagli del trattamento di cui alle Sezioni 3 e 4, unitamente all'elenco dei sub-responsabili riportato di seguito.
• Allegato 2 - Misure tecniche e organizzative (MTO): le misure di sicurezza tecniche e organizzative attuali di Contracko, messe a disposizione del Cliente su richiesta.
• Allegato 3 - Clausole contrattuali tipo: ove un Trasferimento soggetto a restrizioni si basi sulle CCT, si applicano le Clausole contrattuali tipo dell'UE (decisione di esecuzione (UE) 2021/914 della Commissione), con i Moduli Due e Tre prescelti secondo il caso, essendo l'autorità di controllo competente l'Autoriteit Persoonsgegevens ove Contracko sia l'esportatore di dati (Modulo Tre) e l'autorità di controllo competente del Cliente ove il Cliente sia l'esportatore di dati (Modulo Due), e fungendo le misure dell'Allegato 2 da appendice relativa alle misure tecniche e organizzative.
• Allegato 4 - Informativa su sicurezza e trattamento: una informativa strutturata sullo standard di sicurezza, le certificazioni, i sub-responsabili e le prassi di conservazione e cancellazione di Contracko, messa a disposizione del Cliente su richiesta.

Allegato 1 - Elenco dei sub-responsabili

I sub-responsabili di cui Contracko si avvale per trattare dati personali nel fornire il Servizio. Le modifiche sono comunicate conformemente alla Sezione 6. L'ubicazione della società è il luogo in cui ha sede l'entità con cui Contracko stipula il contratto.

Sub-responsabile	Finalità	Ubicazione della società	Ubicazione dell'hosting
Hetzner	Hosting	Germania (UE)	UE
UpCloud	Hosting	Finlandia (UE)	UE
PlanetScale	Hosting del database	Stati Uniti	UE
Cloudflare	Servizi di archiviazione e di rete	Stati Uniti	UE
Google	Analisi con IA	Irlanda (UE)	Stati Uniti
Mistral AI	Analisi con IA	Francia (UE)	UE
OpenAI	Analisi con IA	Stati Uniti	Stati Uniti
TypeSafe	Analisi con IA	Stati Uniti	Stati Uniti
Inception	Analisi con IA	Stati Uniti	Stati Uniti
LlamaIndex	Elaborazione dei documenti	Stati Uniti	UE
DocuSeal	Firme elettroniche	Stati Uniti	UE
Mailgun (Sinch)	Elaborazione delle e-mail	Stati Uniti	UE
Bento	E-mail e assistenza clienti	Australia	Australia
Stripe	Pagamenti	Irlanda (UE)	UE e Stati Uniti
PostHog	Analitica	Stati Uniti	UE
Slack	Comunicazione interna	Irlanda (UE)	Stati Uniti

Attribuzione

Il presente Accordo sul trattamento dei dati è adattato, con modifiche, da Velocity Ventures B.V. a partire dal Common Paper Data Processing Agreement, © Common Paper, concesso in licenza CC BY 4.0.