Ai sensi dell'articolo 28 del Regolamento (UE) 2016/679

Parti

Titolare del trattamento Il Cliente, come indicato nell'account Bisquito e nella fattura

Responsabile del trattamento Lavder Enterprise S.R.L., con sede in Strada Nucului Nr. 6, Sector 3, 031502 București, Romania, partita IVA RO49637252 privacy@lavder.com

di seguito, congiuntamente, «le Parti».

Premesse

Le Parti sono legate dal contratto Termini del servizio Bisquito, cioè le condizioni generali di vendita e i termini d'uso (il «Contratto principale»), in esecuzione del quale il Responsabile tratta dati personali per conto del Titolare.

Il presente accordo disciplina tale trattamento ai sensi dell'articolo 28 del Regolamento e costituisce parte integrante e sostanziale del Contratto principale.

In caso di contrasto tra il presente accordo e il Contratto principale, prevale il presente accordo limitatamente alla disciplina del trattamento dei dati personali.

1. Oggetto del trattamento

1.1 Obblighi e diritti del Titolare

Il Titolare determina finalità e mezzi del trattamento e ne risponde. In particolare il Titolare:

• impartisce al Responsabile istruzioni documentate, lecite e complete;
• garantisce di disporre di una base giuridica idonea per il trattamento e per la comunicazione dei dati al Responsabile;
• rende agli interessati l'informativa dovuta ai sensi degli articoli 13 e 14;
• ha diritto di verificare l'operato del Responsabile secondo l'articolo 9 del presente accordo;
• ha diritto di impartire istruzioni ulteriori in corso di rapporto, in forma scritta.

2. Istruzioni documentate

Il Responsabile tratta i dati personali soltanto su istruzione documentata del Titolare, anche in caso di trasferimento di dati personali verso un paese terzo o un'organizzazione internazionale.

Costituiscono istruzioni documentate: il presente accordo e i suoi allegati, il Contratto principale, e le successive istruzioni impartite dal Titolare in forma scritta tramite il pannello e l'API di Bisquito e, per le istruzioni particolari, una comunicazione scritta all'indirizzo di assistenza.

Il Responsabile non tratta i dati per finalità proprie e non li utilizza per scopi diversi da quelli indicati al punto 1. In particolare, salvo diversa istruzione scritta, non è autorizzato a utilizzare i dati per addestrare sistemi di intelligenza artificiale, per elaborazioni statistiche proprie o per finalità di sviluppo di prodotto.

Qualora il diritto dell'Unione o nazionale cui il Responsabile è soggetto lo obblighi a trattare i dati in modo difforme, il Responsabile informa il Titolare di tale obbligo giuridico prima del trattamento, a meno che il diritto vieti tale informazione per rilevanti motivi di interesse pubblico.

Il Responsabile informa immediatamente il Titolare qualora, a suo parere, un'istruzione violi il Regolamento o altre disposizioni, nazionali o dell'Unione, relative alla protezione dei dati (art. 28, par. 3, ultimo periodo).

3. Riservatezza

Il Responsabile garantisce che le persone autorizzate al trattamento dei dati personali si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza.

Il Responsabile assicura che l'accesso ai dati sia limitato al personale che ne abbia effettiva necessità per l'esecuzione del servizio, secondo il principio del minimo privilegio, e che tale personale abbia ricevuto adeguata formazione in materia di protezione dei dati.

4. Misure di sicurezza

Il Responsabile adotta tutte le misure tecniche e organizzative richieste dall'articolo 32 del Regolamento, descritte analiticamente nell'Allegato B.

Le misure sono adeguate al rischio, tenuto conto dello stato dell'arte, dei costi di attuazione, della natura, dell'oggetto, del contesto e delle finalità del trattamento, nonché del rischio per i diritti e le libertà delle persone fisiche.

Il Responsabile può modificare le misure purché il livello di sicurezza non sia ridotto, e informa il Titolare di ogni modifica sostanziale.

5. Sub-responsabili

Il Titolare rilascia al Responsabile autorizzazione generale scritta a ricorrere ad altri responsabili, alle condizioni che seguono.

Il Responsabile informa il Titolare di ogni modifica riguardante l'aggiunta o la sostituzione di sub-responsabili, con un preavviso di almeno 30 giorni, mediante comunicazione scritta e diretta inviata a ogni titolare di account, all'indirizzo email registrato nel pannello.

La pubblicazione dell'elenco aggiornato su un sito web non costituisce notifica. La comunicazione deve essere individuale e diretta al Titolare.

Il Titolare può opporsi alla modifica entro 15 giorni dalla ricezione della comunicazione, indicando i motivi. In caso di opposizione le Parti si consultano in buona fede; se non si raggiunge un accordo, il Titolare può recedere dal Contratto principale senza penalità limitatamente ai servizi interessati, con effetto dalla data in cui il sub-responsabile inizierebbe a operare.

L'elenco dei sub-responsabili autorizzati alla data di sottoscrizione è riportato nell'Allegato C.

Il Responsabile impone al sub-responsabile, mediante contratto, i medesimi obblighi di protezione dei dati contenuti nel presente accordo, in particolare la garanzia di mettere in atto misure tecniche e organizzative adeguate.

Qualora il sub-responsabile ometta di adempiere ai propri obblighi in materia di protezione dei dati, il Responsabile conserva nei confronti del Titolare l'intera responsabilità dell'adempimento degli obblighi del sub-responsabile (art. 28, par. 4).

Prima di ricorrere a un sub-responsabile il Responsabile ne verifica le garanzie e mette a disposizione del Titolare, su richiesta, l'ubicazione del trattamento, le modalità di esecuzione e la prova delle garanzie adottate.

6. Assistenza per i diritti degli interessati

Tenendo conto della natura del trattamento, il Responsabile assiste il Titolare con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l'obbligo del Titolare di dare seguito alle richieste degli interessati di cui al Capo III del Regolamento (articoli 12-22).

Qualora un interessato si rivolga direttamente al Responsabile, questi non dà seguito autonomamente alla richiesta e la trasmette al Titolare senza ingiustificato ritardo e comunque entro 3 giorni lavorativi, informandone l'interessato.

Il Responsabile mette a disposizione del Titolare le funzionalità necessarie a estrarre, rettificare, cancellare, limitare e rendere portabili i dati.

7. Assistenza per sicurezza, violazioni e valutazioni d'impatto

Il Responsabile assiste il Titolare nel garantire il rispetto degli obblighi di cui agli articoli da 32 a 36 del Regolamento, tenendo conto della natura del trattamento e delle informazioni a sua disposizione.

7.1 Violazioni dei dati personali

Il Responsabile informa il Titolare senza ingiustificato ritardo e comunque entro 48 ore da quando è venuto a conoscenza di una violazione dei dati personali (art. 33, par. 2).

La comunicazione contiene almeno: la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni coinvolte, le probabili conseguenze, le misure adottate o proposte, e un punto di contatto.

Il Responsabile non valuta autonomamente il rischio come condizione per informare il Titolare: la valutazione ai fini degli articoli 33 e 34 spetta al Titolare. Il Responsabile non notifica all'autorità di controllo né comunica agli interessati, salvo mandato scritto separato del Titolare.

Il Responsabile fornisce ogni informazione e collaborazione necessaria affinché il Titolare possa adempiere ai propri obblighi entro il termine di settantadue ore.

7.2 Valutazione d'impatto e consultazione preventiva

Su richiesta, il Responsabile fornisce al Titolare le informazioni necessarie a effettuare la valutazione d'impatto sulla protezione dei dati (art. 35) e l'eventuale consultazione preventiva dell'autorità di controllo (art. 36).

8. Restituzione o cancellazione dei dati

Al termine della prestazione dei servizi relativi al trattamento, il Responsabile, su scelta del Titolare, cancella o gli restituisce tutti i dati personali e cancella le copie esistenti, salvo che il diritto dell'Unione o degli Stati membri preveda la conservazione dei dati.

Il Titolare comunica la propria scelta entro 30 giorni dalla cessazione del rapporto. In mancanza di comunicazione, il Responsabile procede alla cancellazione decorso tale termine.

La restituzione avviene in formato JSON e CSV, con l'esportazione del registro dal pannello.

Il Responsabile attesta per iscritto l'avvenuta cancellazione, indicando le eventuali copie conservate per obbligo di legge, la relativa base normativa e il termine di conservazione.

9. Dimostrazione della conformità e audit

Il Responsabile mette a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui all'articolo 28 e consente e contribuisce alle attività di revisione, comprese le ispezioni, realizzate dal Titolare o da un altro soggetto da questi incaricato.

Modalità:

• il Titolare può richiedere audit con un preavviso di almeno 15 giorni, salvo il caso di violazione dei dati o di richiesta dell'autorità di controllo, in cui il preavviso non è dovuto;
• gli audit si svolgono in orario lavorativo, senza interferire indebitamente con l'attività del Responsabile;
• il Titolare può svolgere fino a 1 audit per anno, fermi restando quelli richiesti dall'autorità;
• il Responsabile può assolvere in tutto o in parte all'obbligo mettendo a disposizione i rapporti di audit di terzi indipendenti o le certificazioni di cui dispone, ferma la facoltà del Titolare di svolgere verifiche dirette qualora tali documenti non siano sufficienti;
• l'incaricato del Titolare non può essere un concorrente del Responsabile ed è tenuto alla riservatezza.

10. Trasferimenti verso paesi terzi

I dati personali sono trattati esclusivamente all'interno dello Spazio economico europeo. Il Responsabile non trasferisce i dati verso paesi terzi od organizzazioni internazionali senza previa istruzione documentata del Titolare e previa adozione di una garanzia idonea ai sensi del Capo V del Regolamento.

11. Durata, responsabilità e disposizioni finali

Durata. Il presente accordo ha efficacia dalla sottoscrizione e per tutta la durata del Contratto principale. Le obbligazioni di riservatezza, restituzione o cancellazione e collaborazione sopravvivono alla cessazione.

Responsabilità. Ciascuna Parte risponde secondo l'articolo 82 del Regolamento. Le limitazioni di responsabilità eventualmente previste dal Contratto principale non si applicano agli obblighi derivanti dal presente accordo né alle sanzioni irrogate dall'autorità di controllo per fatto imputabile a una Parte.

Modifiche. Il presente accordo può essere modificato per iscritto. Le Parti si impegnano a modificarlo qualora ciò sia necessario per adeguarlo a sopravvenute disposizioni normative o a provvedimenti dell'autorità di controllo.

Forma. Il presente accordo è stipulato in forma scritta, anche in formato elettronico, ai sensi dell'articolo 28, paragrafo 9, del Regolamento.

Legge applicabile e foro. Il presente accordo è regolato dalla legge romena. Per ogni controversia è competente il Foro di Bucarest.

Luogo e data: .........................................

Allegato A - Descrizione analitica dei trattamenti

Descrizioni tautologiche del tipo «dati personali ai sensi dell'art. 4(1)» o «trattamento secondo il contratto» non soddisfano il chapeau dell'art. 28(3): gli elementi vanno specificati in concreto.

Allegato B - Misure tecniche e organizzative

• Separazione dei dati fra clienti: ogni organizzazione vede soltanto le proprie righe (politiche di riga della base dati), e il ruolo con cui gira il servizio non ha i poteri di proprietario dello schema.
• Cifratura in transito: tutto il traffico verso api.bisquito.com e app.bisquito.com passa da HTTPS con HSTS.
• Minimizzazione alla fonte: del visitatore il registro dei consensi conserva l'indirizzo IP troncato (ultimo ottetto azzerato per IPv4, ultimi 80 bit per IPv6), la sola famiglia del browser e del sistema, la lingua, la pagina e le scelte; nessun cookie e nessun IP intero.
• Pseudonimizzazione: l'identificativo del visitatore è un codice casuale generato nel suo browser; nelle prove di consenso dei moduli l'identificativo della persona si conserva come impronta HMAC-SHA-256 con un sale per sito.
• Integrità del registro dei consensi: ogni record porta l'impronta del precedente (catena), ogni giornata riceve un sigillo con la radice delle impronte, e il cliente può esportare e riverificare la catena anche fuori dal prodotto.
• Accessi: password conservate solo come impronta scrypt, sessioni di 12 ore, collegamenti di recupero e di invito a tempo e a uso singolo, chiavi API conservate solo come impronta, ruoli (titolare, operatore) con permessi distinti, registro delle operazioni (chi ha fatto cosa e quando).
• Accesso all'infrastruttura: autenticazione a due fattori sugli account di amministrazione di Hostinger e di GitHub; accesso al server per SSH solo con chiave, con la password disattivata.
• Protezione delle chiamate in uscita: i webhook e le scansioni dei siti passano da un controllo che rifiuta indirizzi interni e reindirizzamenti verso la rete interna; limiti di frequenza su accessi, registrazioni, recuperi e raccolta dei consensi.
• Sicurezza dell'applicazione: intestazioni di sicurezza e Content-Security-Policy sul pannello, contenitori eseguiti come utente non privilegiato, senza capability aggiuntive e con no-new-privileges, nessuna porta dei servizi pubblicata direttamente: si entra solo dal proxy.
• Copie di sicurezza: copie giornaliere dell'intera VPS presso il fornitore, fuori dal server (centro dati di Vilnius, in Lituania), conservate per circa due settimane secondo il piano del fornitore; il fornitore non dichiara se siano cifrate a riposo, e noi non lo affermiamo; sul server, la copia della base dati prima di ogni aggiornamento (se ne tengono al massimo 14) e uno strumento di prova di ripristino, che su un database di prova confronta righe, catena dei consensi e sigilli. Le copie della base dati sul server non sono cifrate: le protegge soltanto l'accesso al server (solo con chiave SSH) e i permessi del sistema, che le rendono leggibili al solo utente che le crea. I dati cancellati restano nelle copie fino alla loro scadenza, al più circa due settimane per quelle del fornitore, e poi spariscono.
• Conservazione limitata dove il prodotto lo prevede: registrazioni mai confermate cancellate dopo 7 giorni, richieste degli interessati non verificate archiviate dopo 30 giorni; registro dei consensi di ogni sito conservato cinque anni (il Titolare può scegliere da 2 a 10 anni dalla pagina dei consensi), dopo i quali un lavoro giornaliero toglie i giorni più vecchi e ne tiene soltanto le impronte e i sigilli che servono a verificare il resto della catena.

Allegato C - Sub-responsabili e trasferimenti

Data di riferimento: 20 ottobre 2026 Identificativo revisione: 6635797edaab