Data Processing Agreement (DPA)

Accordo sul trattamento dei dati personali ai sensi dell'art. 28 del Regolamento (UE) 2016/679 (GDPR) e dell'UK GDPR. In vigore dal 1 novembre 2026.

Il presente accordo ("DPA") è parte integrante dei Termini e condizioni di servizio di Pipelean ("Termini"). È concluso tra il Cliente, in qualità di titolare del trattamento ("Titolare"), e Skyground Media Ltd, società registrata in Inghilterra e Galles al n. 13147628, con sede in 167-169 Great Portland Street, 5th Floor, Londra W1W 5PF, Regno Unito, in qualità di responsabile del trattamento ("Responsabile"). I termini con iniziale maiuscola non definiti hanno il significato indicato nei Termini o nel GDPR.

1. Oggetto e durata

1.1 Il Responsabile tratta i dati personali per conto del Titolare al solo fine di fornire il Servizio, come descritto nell'Allegato 1.

1.2 Il DPA ha la stessa durata dei Termini e resta efficace finché il Responsabile tratta dati personali per conto del Titolare.

2. Ruoli delle parti

2.1 Per i dati personali dei Contatti e degli altri interessati contenuti nei Dati del Cliente, il Cliente è Titolare e Skyground è Responsabile.

2.2 Se il Cliente agisce a sua volta come responsabile per conto di un terzo (ad esempio un'Agenzia o un cliente finale), Skyground opera come sub-responsabile. Il Cliente garantisce che le istruzioni impartite sono autorizzate dal titolare finale.

2.3 Per il trattamento descritto all'Art. 11.5 dei Termini (miglioramento di Piper e del Servizio), Skyground tratta i dati in base all'autorizzazione del Titolare contenuta nei Termini. Applica pseudonimizzazione e minimizzazione e non usa i dati per finalità diverse dal miglioramento del Servizio. Se un'autorità o la legge qualifica tale trattamento come effettuato da Skyground in qualità di titolare autonomo, Skyground ne assume i relativi obblighi.

3. Istruzioni del Titolare

3.1 Il Responsabile tratta i dati solo su istruzione documentata del Titolare. Costituiscono istruzioni: i Termini, il presente DPA, la configurazione del Servizio fatta dal Cliente e le richieste scritte di supporto.

3.2 Il Responsabile informa senza ritardo il Titolare se ritiene che un'istruzione violi il GDPR o altra normativa applicabile, e può sospenderne l'esecuzione.

3.3 Il Titolare è responsabile della liceità del trattamento, della base giuridica per ogni Contatto e dell'informativa agli interessati.

4. Riservatezza

Il Responsabile garantisce che le persone autorizzate a trattare i dati siano vincolate da obblighi di riservatezza, contrattuali o di legge, e accedano ai dati solo nella misura necessaria.

5. Sicurezza

5.1 Il Responsabile adotta le misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR, descritte nell'Allegato 2.

5.2 Il Responsabile può aggiornare tali misure, a condizione che il livello complessivo di sicurezza non diminuisca.

5.3 Il Titolare è responsabile della sicurezza delle proprie credenziali, dei dispositivi e degli accessi concessi ai propri utenti e alle Agenzie.

6. Sub-responsabili

6.1 Il Titolare concede al Responsabile un'autorizzazione generale a ricorrere ai sub-responsabili elencati nell'Allegato 3 e ad altri sub-responsabili, nel rispetto di questo articolo.

6.2 Il Responsabile sceglie sub-responsabili che offrono garanzie sufficienti. Impone a ciascuno, per contratto, obblighi di protezione dei dati e misure di sicurezza almeno equivalenti a quelli del presente DPA e alle misure dell'Allegato 2. Il Responsabile verifica tali garanzie prima dell'affidamento e periodicamente.

6.3 Il Responsabile rimane pienamente responsabile verso il Titolare dell'adempimento degli obblighi dei propri sub-responsabili.

6.4 Il Responsabile può aggiungere o sostituire sub-responsabili, inclusi i fornitori di modelli AI, aggiornando l'elenco e informando il Titolare con almeno 15 giorni di preavviso via email o nel Servizio. Il Titolare può opporsi per motivi ragionevoli legati alla protezione dei dati entro tale termine. Se le parti non trovano una soluzione, il Titolare può recedere dai Termini con effetto immediato.

7. Trasferimenti di dati

7.1 I Dati del Cliente sono ospitati su infrastruttura situata a Francoforte, in Germania.

7.2 Il Responsabile ha sede nel Regno Unito, che beneficia di una decisione di adeguatezza della Commissione europea.

7.3 Eventuali trasferimenti verso paesi fuori dallo Spazio Economico Europeo e dal Regno Unito, anche da parte di sub-responsabili, avvengono solo con le garanzie del Capo V GDPR: una decisione di adeguatezza (incluso l'EU-US Data Privacy Framework per i fornitori certificati) o le clausole contrattuali standard, con le relative misure supplementari ove necessarie.

8. Assistenza al Titolare

8.1 Tenuto conto della natura del trattamento, il Responsabile assiste il Titolare con misure tecniche e organizzative adeguate per rispondere alle richieste di esercizio dei diritti degli interessati (artt. 15-22 GDPR). Se riceve una richiesta direttamente da un interessato, la inoltra al Titolare senza rispondere nel merito, salvo istruzione.

8.2 Il Responsabile assiste il Titolare, nei limiti delle informazioni disponibili, negli obblighi degli artt. 32-36 GDPR, incluse eventuali valutazioni d'impatto e consultazioni preventive.

9. Violazioni dei dati personali

9.1 Il Responsabile informa il Titolare senza ingiustificato ritardo, e comunque entro 48 ore da quando ne viene a conoscenza, di qualsiasi violazione dei dati personali che riguardi i Dati del Cliente.

9.2 La comunicazione include, nella misura disponibile: natura della violazione, categorie e numero approssimativo di interessati e registrazioni, probabili conseguenze, misure adottate o proposte, punto di contatto. Le informazioni non disponibili subito sono fornite in fasi successive.

9.3 Il Responsabile adotta senza ritardo misure per contenere la violazione e attenuarne gli effetti.

10. Verifiche

10.1 Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto del presente DPA, anche tramite questionari di sicurezza, documentazione e certificazioni dei sub-responsabili.

10.2 Se tali informazioni non sono sufficienti, o se lo richiede un'autorità di controllo, il Titolare può svolgere un audit, direttamente o tramite un revisore vincolato alla riservatezza, con preavviso di almeno 30 giorni, non più di una volta l'anno, in orario lavorativo e senza compromettere la sicurezza degli altri clienti. I costi sono a carico del Titolare.

11. Cessazione

11.1 Alla cessazione dei Termini, il Titolare può esportare i propri dati entro 30 giorni. Decorso tale termine, il Responsabile cancella i dati personali del Titolare, comprese le copie, entro i successivi 30 giorni. I backup sono sovrascritti secondo il ciclo ordinario, entro 90 giorni.

11.2 Restano esclusi i dati che il Responsabile deve conservare per legge e i dati resi anonimi. I dati pseudonimizzati usati ai sensi dell'art. 2.3 restano protetti dal presente DPA finché sono conservati.

12. Disposizioni finali

In caso di conflitto tra il DPA e i Termini in materia di protezione dei dati prevale il DPA. Per tutto il resto, incluse limitazioni di responsabilità, legge applicabile e foro competente, si applicano i Termini.

Allegato 1 — Descrizione del trattamento

Allegato 2 — Misure tecniche e organizzative

• Cifratura: dati cifrati in transito (TLS 1.2 o superiore) e a riposo (AES-256 o equivalente).
• Controllo degli accessi: accessi del personale limitati al necessario, su base di ruolo, con autenticazione a più fattori sui sistemi di produzione; revoca immediata alla cessazione del rapporto.
• Separazione: dati di ciascun Cliente separati logicamente a livello di account.
• Registrazione e monitoraggio: log degli accessi e degli eventi rilevanti, monitoraggio di anomalie.
• Continuità: backup periodici cifrati, conservati in UE, e procedure di ripristino testate.
• Sviluppo sicuro: revisione del codice, gestione delle dipendenze e correzione tempestiva delle vulnerabilità.
• Gestione degli incidenti: procedura documentata di risposta e notifica (art. 9).
• Personale: obblighi di riservatezza e formazione sulla protezione dei dati.
• Miglioramento di Piper: pseudonimizzazione e minimizzazione dei dati usati per valutare e migliorare il Servizio; accesso ristretto al personale autorizzato.
• Sub-responsabili: selezione e verifica secondo l'art. 6.2, con garanzie di sicurezza almeno equivalenti a quelle del presente allegato.

Allegato 3 — Sub-responsabili autorizzati

L'elenco è aggiornato secondo l'art. 6.4. I Servizi di Terzi che il Cliente collega di sua iniziativa (ad esempio Autoscout24, Zapier, webhook, CRM esterni) non sono sub-responsabili di Skyground: il Cliente li sceglie e ne regola il rapporto direttamente.