Addendum sul trattamento dei dati

1. PARTI E AMBITO DI APPLICAZIONE

Il presente Accordo sul trattamento dei dati personali ("DPA") costituisce parte integrante dell'accordo che disciplina l'utilizzo di Qwotio da parte del Cliente ("Accordo principale").

È stipulato tra:

il Cliente identificato in Qwotio ("Titolare del trattamento");

e

Flowstox Ltd, numero di registrazione 15865029, con sede in 46 Nova Road, Croydon, England, CR0 2TL, United Kingdom ("Responsabile del trattamento").

Il presente DPA si applica quando Flowstox Ltd tratta Dati personali per conto del Titolare del trattamento tramite Qwotio.

In caso di conflitto tra il presente DPA e l'Accordo principale relativo al trattamento dei Dati personali, il presente DPA prevale limitatamente a tale conflitto.

2. RUOLI DELLE PARTI

Il Titolare del trattamento determina le finalità e i mezzi essenziali del trattamento dei Dati personali immessi in Qwotio dal Titolare o per suo conto.

Flowstox Ltd tratta tali Dati personali per conto del Titolare del trattamento al fine di fornire Qwotio.

Nessuna disposizione del presente DPA esonera una delle parti dai propri obblighi previsti dalla normativa applicabile in materia di protezione dei dati.

3. OGGETTO E DURATA

L'oggetto del trattamento è la fornitura, il funzionamento, la manutenzione e l'assistenza di Qwotio e il trattamento necessario per offrire funzionalità di creazione di preventivatori, richieste di preventivo, comunicazioni con i clienti e funzionalità correlate.

Il trattamento prosegue per la durata dell'Accordo principale e per l'eventuale periodo limitato successivo durante il quale i Dati personali sono conservati conformemente alle istruzioni documentate, ai requisiti di conservazione applicabili o agli obblighi di legge.

4. NATURA E FINALITÀ DEL TRATTAMENTO

Il trattamento può comprendere:

- raccolta; - registrazione; - organizzazione; - strutturazione; - conservazione; - estrazione; - consultazione; - calcolo e generazione di preventivi; - trasmissione, ove necessaria per fornire il servizio; - generazione di documenti destinati ai clienti; - modifica su istruzione del Titolare del trattamento; - cancellazione.

La finalità è fornire le funzionalità di Qwotio richieste e configurate dal Titolare del trattamento.

Flowstox Ltd non utilizzerà i Dati personali del Cliente per finalità autonome di pubblicità o marketing.

5. CATEGORIE DI INTERESSATI

Gli Interessati possono comprendere:

- potenziali clienti del Titolare del trattamento; - clienti del Titolare del trattamento; - utenti e rappresentanti autorizzati del Titolare del trattamento; - altre persone fisiche i cui Dati personali comuni siano lecitamente immessi in Qwotio nell'ambito consentito del servizio.

6. CATEGORIE CONSENTITE DI DATI PERSONALI

Qwotio V1 è destinato al trattamento di Dati personali comuni ragionevolmente necessari per i flussi di preventivazione e di richiesta dei clienti.

I dati consentiti possono comprendere:

- nome; - cognome; - indirizzo email; - numero di telefono; - informazioni relative all'evento o alla richiesta di servizio; - data e luogo dell'evento; - risposte per il preventivo; - selezioni di prodotti e servizi; - quantità; - prezzi e totali dei preventivi; - note dei clienti che non contengano informazioni sensibili vietate; - informazioni tecniche necessarie per l'autenticazione, la sicurezza e il funzionamento del servizio.

7. DATI VIETATI

Salvo che Flowstox Ltd acconsenta espressamente per iscritto e fornisca funzionalità specificamente progettate per tale trattamento, il Titolare del trattamento non deve utilizzare Qwotio per raccogliere o trattare intenzionalmente:

- origine razziale o etnica; - opinioni politiche; - convinzioni religiose o filosofiche; - appartenenza sindacale; - dati genetici; - dati biometrici utilizzati per l'identificazione univoca; - informazioni sanitarie o mediche; - allergie o intolleranze alimentari, qualora rivelino informazioni relative alla salute; - informazioni relative alla vita sessuale di una persona; - orientamento sessuale; - condanne penali; - reati; - allegazioni relative a reati; - connesse misure di sicurezza di natura penale;

né altri Dati personali soggetti a tutele giuridiche rafforzate equivalenti.

Il Titolare del trattamento non deve tentare di aggirare le misure tecniche di protezione volte a impedire tale trattamento.

Qualora Flowstox Ltd individui ragionevolmente una configurazione destinata alla raccolta di dati vietati, può impedirne la pubblicazione o l'utilizzo fino alla sua correzione.

8. ISTRUZIONI DEL TITOLARE DEL TRATTAMENTO

Il Titolare del trattamento incarica Flowstox Ltd di trattare i Dati personali esclusivamente nella misura necessaria a:

- fornire Qwotio; - eseguire le funzionalità configurate dal Titolare del trattamento; - mantenere la sicurezza e l'integrità del servizio; - fornire l'assistenza richiesta dal Titolare del trattamento; - rispettare le istruzioni documentate impartite tramite Qwotio o altre comunicazioni registrate.

Flowstox Ltd tratterà i Dati personali esclusivamente sulla base di istruzioni documentate del Titolare del trattamento, salvo che il trattamento sia richiesto dalla legge applicabile.

Ove consentito dalla legge, Flowstox Ltd informerà il Titolare del trattamento prima di eseguire un trattamento imposto dalla legge che esuli dalle istruzioni documentate.

Se Flowstox Ltd ritiene ragionevolmente che un'istruzione violi la normativa applicabile in materia di protezione dei dati, ne informerà il Titolare del trattamento.

9. RESPONSABILITÀ DEL TITOLARE DEL TRATTAMENTO

Il Titolare del trattamento è responsabile di:

- assicurare di disporre di un'idonea base giuridica per il proprio trattamento; - fornire agli Interessati le informazioni richieste in materia di privacy; - configurare Qwotio conformemente alla legge applicabile; - assicurare che i Dati personali immessi in Qwotio siano adeguati, pertinenti e limitati a quanto necessario; - assicurare che gli utenti autorizzati utilizzino Qwotio in modo appropriato; - non raccogliere intenzionalmente i dati vietati descritti nella Sezione 7; - rispondere agli Interessati in qualità di Titolare del trattamento, con l'assistenza di Flowstox Ltd ove richiesta dal presente DPA.

10. RISERVATEZZA

Flowstox Ltd assicurerà che le persone autorizzate al trattamento dei Dati personali del Cliente siano soggette a idonei obblighi di riservatezza.

L'accesso ai Dati personali del Cliente sarà limitato alle persone che ne hanno necessità per legittime finalità operative, di sicurezza o di assistenza.

11. SICUREZZA

Tenendo conto della natura del trattamento, Flowstox Ltd manterrà misure tecniche e organizzative adeguate, volte a proteggere i Dati personali dalla distruzione, perdita, modifica, divulgazione non autorizzata o accesso accidentali o illeciti.

Tali misure comprendono, nella misura applicabile a Qwotio:

- accesso autenticato; - controlli di accesso basati sui ruoli e limitati al tenant; - controlli di accesso a livello di riga nel database; - isolamento logico dei tenant; - trasporto sicuro; - protezione delle credenziali privilegiate; - applicazione lato server dei controlli sulle operazioni privilegiate; - controlli di audit e sicurezza; - pratiche sicure di sviluppo e test; - misure di backup e resilienza fornite dall'infrastruttura sottostante; - meccanismi di revoca degli accessi autorizzati.

Le Misure tecniche e organizzative correnti sono disponibili nell'area Privacy e protezione dei dati di Qwotio.

12. SUB-RESPONSABILI DEL TRATTAMENTO

Il Titolare del trattamento conferisce a Flowstox Ltd un'autorizzazione scritta generale a ricorrere ai Sub-responsabili del trattamento necessari per fornire Qwotio.

Flowstox Ltd:

- manterrà un elenco aggiornato dei Sub-responsabili del trattamento pertinenti; - imporrà ai Sub-responsabili del trattamento obblighi di protezione dei dati equivalenti a quelli dell'articolo 28; - rimarrà responsabile dei propri obblighi ai sensi del presente DPA; - fornirà una comunicazione scritta preventiva delle aggiunte o sostituzioni previste e una ragionevole possibilità di opporsi per legittimi motivi di protezione dei dati; - offrirà al Titolare del trattamento una ragionevole possibilità di sollevare obiezioni legittime in materia di protezione dei dati.

L'elenco corrente dei Sub-responsabili del trattamento fa parte della documentazione sulla privacy disponibile tramite Qwotio.

13. TRASFERIMENTI INTERNAZIONALI DI DATI

Flowstox Ltd assicurerà che i trasferimenti internazionali di Dati personali avvengano utilizzando un meccanismo di trasferimento lecito richiesto dalla normativa applicabile in materia di protezione dei dati.

Qualora una decisione di adeguatezza applicabile consenta il trasferimento, Flowstox Ltd può fare affidamento su tale decisione.

Ove richiesto, Flowstox Ltd o i suoi Sub-responsabili del trattamento pertinenti utilizzeranno garanzie contrattuali adeguate o altre garanzie lecite.

14. DIRITTI DEGLI INTERESSATI

Tenendo conto della natura del trattamento, Flowstox Ltd fornirà ragionevole assistenza al Titolare del trattamento, mediante misure tecniche e organizzative appropriate, per consentirgli di rispondere alle richieste degli Interessati che esercitano i diritti applicabili in materia di protezione dei dati.

Flowstox Ltd non determinerà autonomamente l'esito di una richiesta di un Interessato quando agisce esclusivamente in qualità di Responsabile del trattamento.

15. INCIDENTI DI SICUREZZA

Flowstox Ltd informerà il Titolare del trattamento senza ingiustificato ritardo dopo essere venuta a conoscenza di una Violazione dei dati personali confermata che riguarda Dati personali trattati per conto del Titolare, ove la notifica sia richiesta dalla legge applicabile.

Flowstox Ltd fornirà le informazioni ragionevolmente disponibili necessarie ad assistere il Titolare del trattamento nell'adempimento degli obblighi applicabili di notifica delle violazioni.

16. ASSISTENZA PER LA CONFORMITÀ

Tenendo conto della natura del trattamento e delle informazioni a disposizione di Flowstox Ltd, quest'ultima fornirà ragionevole assistenza al Titolare del trattamento in relazione agli obblighi applicabili riguardanti:

- sicurezza del trattamento; - valutazione e notifica delle Violazioni dei dati personali; - valutazioni d'impatto sulla protezione dei dati; - consultazione preventiva delle autorità di controllo, ove richiesta dalla legge.

17. RESTITUZIONE E CANCELLAZIONE

Dopo la cessazione dell'Accordo principale, fatti salvi i requisiti di legge applicabili e gli accordi documentati sulla conservazione, Flowstox Ltd, a scelta del Titolare del trattamento e nella misura ragionevolmente supportata dal servizio:

- cancellerà i Dati personali trattati per conto del Titolare del trattamento; oppure - renderà i Dati personali disponibili per la restituzione o l'esportazione prima della cancellazione.

Le copie esistenti saranno cancellate conformemente ai processi applicabili di conservazione e al ciclo di vita dei backup, salvo che la legge applicabile imponga di proseguirne la conservazione.

18. AUDIT E INFORMAZIONI

Flowstox Ltd metterà a disposizione le informazioni ragionevolmente necessarie per dimostrare il rispetto dei propri obblighi ai sensi dell'articolo 28 o di requisiti equivalenti applicabili ai Responsabili del trattamento.

Fatte salve idonee garanzie di riservatezza, sicurezza e proporzionalità, Flowstox Ltd consentirà e contribuirà ad audit ragionevoli ove richiesti dalla normativa applicabile in materia di protezione dei dati.

Di norma, le parti dovrebbero cercare di soddisfare i requisiti di audit innanzitutto attraverso la documentazione disponibile, le informazioni sulla sicurezza e risposte scritte, prima di richiedere ispezioni invasive.

19. MODIFICHE DEI SUB-RESPONSABILI DEL TRATTAMENTO

Quando si fa ricorso all'autorizzazione generale, Flowstox Ltd manterrà un meccanismo attraverso il quale il Titolare del trattamento può consultare l'elenco corrente dei Sub-responsabili del trattamento.

Ove previsto dalla legge applicabile, il Titolare del trattamento può sollevare una ragionevole obiezione fondata su legittimi motivi di protezione dei dati.

Le parti collaboreranno in buona fede per affrontare l'obiezione.

20. RESPONSABILITÀ E NORME IMPERATIVE

Nessuna disposizione del presente DPA limita diritti o obblighi che non possono essere lecitamente limitati ai sensi della normativa applicabile in materia di protezione dei dati.

Qualsiasi ripartizione contrattuale della responsabilità prevista dall'Accordo principale si applica nel rispetto delle norme imperative in materia di protezione dei dati.

21. MODIFICHE DEL PRESENTE DPA

Flowstox Ltd può aggiornare il presente DPA quando ragionevolmente necessario per riflettere modifiche della legge, della regolamentazione, di Qwotio o delle sue attività di trattamento.

Le modifiche sostanziali che incidono sui diritti o sugli obblighi delle parti in materia di protezione dei dati possono richiedere l'accettazione di una nuova versione del DPA.

Le modifiche amministrative minori o non sostanziali possono non richiedere una nuova accettazione, ove giuridicamente appropriato.

22. LINGUA

Il presente DPA è disponibile in inglese e in italiano.

Entrambe le versioni intendono descrivere il medesimo accordo.

In caso di incoerenza tra le versioni inglese e italiana, prevale la versione inglese, fatte salve le norme imperative applicabili.

23. ACCETTAZIONE ELETTRONICA

Le parti convengono che il presente DPA può essere stipulato elettronicamente.

La persona che accetta il presente DPA per conto del Titolare del trattamento conferma di essere autorizzata a vincolare il Titolare al presente DPA.

L'accettazione elettronica registrata da Qwotio costituisce l'accettazione del presente DPA da parte del Titolare del trattamento.

Allegato A — Dettagli del trattamento

Oggetto: Fornitura di Qwotio e delle funzionalità di preventivazione e richiesta dei clienti.

Durata: Durata dell'Accordo principale, oltre al ciclo di cancellazione e conservazione applicabile.

Natura: Raccolta, conservazione, organizzazione, estrazione, calcolo, trasmissione, generazione di documenti e cancellazione nella misura necessaria per fornire Qwotio.

Finalità: Fornire il servizio Qwotio configurato dal Titolare del trattamento.

Interessati: Potenziali clienti, clienti, utenti aziendali autorizzati e altre persone fisiche i cui Dati personali comuni consentiti siano immessi in Qwotio.

Dati personali consentiti: Informazioni di contatto, informazioni relative a eventi o richieste di servizio, risposte per il preventivo, selezioni, quantità, prezzi e altri Dati personali comuni necessari per i flussi di preventivazione.

Categorie particolari di Dati personali: NON CONSENTITE in Qwotio V1. Dati relativi a condanne penali e reati: NON CONSENTITI in Qwotio V1.

Allegato B — Misure tecniche e organizzative

L'accesso agli account utilizza Supabase Auth e sessioni Qwotio verificate. Sui dispositivi non attendibili è richiesta la verifica email; un dispositivo attendibile registrato richiede una password valida e un token non scaduto. I token dei dispositivi attendibili sono conservati sotto forma di hash e possono essere revocati.

Le operazioni autenticate applicano controlli aggiornati su ruoli e autorizzazioni del Business, sul server e nelle funzioni del database. Le tabelle applicative utilizzano la sicurezza a livello di riga e privilegi diretti limitati. Relazioni e controlli sui riferimenti vincolati al Business applicano l’isolamento logico dei tenant.

Le credenziali privilegiate sono limitate al codice lato server. I cookie di autenticazione sono HttpOnly, limitati all’host e SameSite=Lax, con Secure abilitato in produzione. La configurazione di autenticazione in produzione richiede origini HTTPS.

Le operazioni di sicurezza e quelle aziendali rilevanti utilizzano la struttura esistente di eventi di audit. L’accesso di assistenza Run As è esplicito, limitato nel tempo e registrato. Gli accessi agli account e i dispositivi attendibili possono essere revocati.

Le revisioni pubblicate dei Quote Builder e gli snapshot commerciali inviati preservano la configurazione utilizzata. I PDF dei preventivi utilizzano un bucket Storage privato, percorsi fissi per Business e preventivo, autorizzazioni aggiornate e hash di integrità; non viene emesso un URL pubblico di download.

Il repository contiene test di regressione mirati per autorizzazioni, isolamento dei tenant, validazione e separazione tra server e client. Queste misure non costituiscono una certificazione né garantiscono la prevenzione di tutte le vulnerabilità.

Allegato C — Sub-responsabili del trattamento

Di seguito sono elencati i fornitori diretti utilizzati per Qwotio. I rispettivi elenchi di sub-responsabili sono collegati separatamente. Il Titolare del trattamento conferisce un’autorizzazione scritta generale per questi fornitori. Flowstox comunicherà preventivamente per iscritto all’email di contatto del Business le aggiunte o sostituzioni previste, offrendo una ragionevole possibilità di opporsi per legittimi motivi di protezione dei dati. Ai sub-responsabili devono applicarsi obblighi equivalenti a quelli dell’articolo 28.

L’utilizzo dei fornitori è verificato dalle integrazioni applicative e dalla documentazione operativa. Le regioni effettive di trattamento e le garanzie sui trasferimenti applicabili agli account Flowstox richiedono una verifica operativa; non si dichiara qui una specifica residenza dei dati, decisione di adeguatezza o garanzia contrattuale per i trasferimenti.

Supabase — Supabase, Inc.

Servizio

Database, autenticazione e storage

Finalità

Conservazione e gestione di informazioni di account, Business, Builder, Request, clienti e documenti privati.

Categorie di dati

Identificativi degli account, dati aziendali, risposte, contatti, preventivi e PDF privati.

Luoghi di trattamento / garanzie sui trasferimenti

Verifica operativa in corso; non viene dichiarato uno specifico luogo o meccanismo di trasferimento.

Stato

In uso

Vercel — Vercel Inc.

Servizio

Hosting applicativo ed esecuzione lato server

Finalità

Distribuzione ed esecuzione dell’applicazione Qwotio.

Categorie di dati

Richieste applicative, contatti e risposte trasmessi tramite operazioni server e metadati tecnici di connessione.

Luoghi di trattamento / garanzie sui trasferimenti

Verifica operativa in corso; non viene dichiarato uno specifico luogo o meccanismo di trasferimento.

Stato

In uso

Resend — Plus Five Five, Inc.

Servizio

Email transazionali

Finalità

Invio di comunicazioni di autenticazione e servizio, notifiche delle Request ed email dei preventivi.

Categorie di dati

Email dei destinatari, nomi ove utilizzati, contenuto dei messaggi, allegati privati dei preventivi e metadati di consegna.

Luoghi di trattamento / garanzie sui trasferimenti

Verifica operativa in corso; non viene dichiarato uno specifico luogo o meccanismo di trasferimento.

Stato

In uso