Data Processing Agreement (DPA)
Contratto di Nomina a Responsabile del Trattamento ai sensi dell'art. 28 GDPR.
Data Processing Agreement (DPA)
Ultimo aggiornamento: 03/10/2025
Contratto di Nomina a Responsabile del Trattamento ai sensi dell'art. 28 GDPR.
Art. 1 – Parti del Contratto
Il presente DPA è stipulato tra:
Titolare del trattamento:
Lo Studio Legale / Avvocato che utilizza la piattaforma AvvoDesk.
Responsabile del trattamento:
Studio Web Designer di Simone Capuano, titolare della piattaforma AvvoDesk.
Art. 2 – Oggetto e Durata
2.1. Oggetto del Trattamento:
Il Responsabile si impegna a trattare i dati personali solo per le finalità indicate nel contratto principale / nei Termini (gestione pratiche, documenti, scadenze, fatturazione, comunicazioni).
2.2. Durata del DPA:
Il presente DPA ha la stessa durata del rapporto contrattuale tra Titolare e Responsabile. Alla cessazione del servizio, si applica quanto previsto all’Art. 6 (Restituzione e Cancellazione dei dati).
Art. 3 – Sub-responsabili del Trattamento
Il Responsabile si avvale dei seguenti sub-responsabili per l’esecuzione delle proprie attività:
| Nome | Servizio | Sede legale / Garanzie |
|---|---|---|
| Netcup GmbH | Hosting, server e backup | Karlsruhe, Germania (UE) - ISO/IEC 27001 |
| Stripe Payments Europe Ltd | Elaborazione pagamenti | Dublino, Irlanda (UE) / Trasferimenti USA (EU–US Data Privacy Framework + SCC) |
| Aruba S.p.A. | Servizio posta elettronica | Arezzo, Italia (UE) - Conforme normativa UE |
Eventuali nuovi sub-responsabili saranno comunicati all’Utente con preavviso minimo di 15 giorni, salvo urgenze tecniche o di sicurezza.
Art. 4 – Misure Tecniche e Organizzative di Sicurezza
4.1. Il Responsabile applica misure adeguate per garantire la riservatezza, integrità e disponibilità dei dati, compresa la crittografia end-to-end (E2EE).
- I documenti caricati dagli Utenti sono cifrati in modo da rendere impossibile al Responsabile l’accesso in chiaro.
- Si adottano: autenticazione sicura, controllo accessi, log di sistema, segmentazione ambienti, aggiornamenti software.
- Backup mensili con conservazione di 30 giorni; log di accesso conservati 10 giorni.
- In caso di aggiornamenti e manutenzioni essenziali, gli interventi saranno pianificati in orari non critici, con comunicazione preventiva.
Art. 5 – Violazioni dei Dati Personali (Data Breach)
In caso di violazione di dati personali, il Responsabile procederà come segue:
- Identificazione e contenimento della violazione;
- Valutazione dell’impatto sui dati e sugli interessati;
- Notifica al Titolare entro 48 ore dalla scoperta, con dettaglio su natura, categorie interessate, quantità, possibili conseguenze e misure adottate;
- Registrazione dell’evento nel registro interno dei data breach;
- Eventuale comunicazione al Garante, ove obbligatoria ai sensi dell’art. 33 GDPR.
Il Titolare ha diritto a ricevere copia della documentazione e del resoconto dell’accaduto.
Art. 6 – Restituzione e Cancellazione dei Dati
Alla cessazione del rapporto contrattuale:
- I dati saranno cancellati in modo permanente e istantaneo, salvo copie tecniche di backup cifrate conservate per un massimo di 30 giorni.
- Non è possibile per l’Utente richiedere la restituzione di documenti cifrati, poiché il Responsabile non detiene le chiavi di decrittazione (E2EE).
- La restituzione, se prevista, riguarda esclusivamente metadati e dati gestionali.
- Eventuali dati soggetti a obblighi legali (es. fatture) saranno mantenuti solo per il periodo previsto dalla legge vigente.
Art. 7 – Audit e Verifiche del Titolare
Il Titolare ha il diritto di richiedere audit o ispezioni ragionevoli:
- Previa comunicazione scritta di almeno 15 giorni.
- Presso le sedi del Responsabile o tramite verifiche documentali.
- Gli audit non dovranno interferire indebitamente con le operazioni operative.
In caso di non conformità constatata, il Responsabile si impegna a porre rimedio entro un termine congruo, a proprie spese.
Art. 8 – Limitazione di Responsabilità
Il Responsabile non sarà ritenuto responsabile per:
- Dati cifrati che risultino illeggibili o danneggiati per cause non imputabili al Responsabile;
- Perdita di dati causata da errore dell’Utente o gestione impropria delle chiavi di cifratura;
- Eventi di forza maggiore o azioni di terzi.
La responsabilità complessiva del Responsabile non può eccedere l’importo corrisposto dall’Utente nei 12 mesi precedenti l’evento lesivo.
Art. 9 – Trasferimenti verso Paesi Terzi
I dati personali sono ospitati in UE (Netcup GmbH, Germania).
Per l’attività di pagamento, il sub-responsabile Stripe potrebbe trasferire dati negli Stati Uniti secondo il EU–US Data Privacy Framework e le Clausole Contrattuali Standard.
Il Responsabile non risponde per eventuali inadempimenti dei sub-responsabili terzi.
Art. 10 – Comunicazioni con Autorità
Il Responsabile può trasmettere dati alle autorità competenti solo in presenza di ordine legittimo e conforme alla legge vigente.
Art. 11 – Assenza di Obbligo di Risultato
Il Responsabile fornisce il servizio “as is” e non garantisce risultati specifici, né assenza completa di errori o interruzioni, impegnandosi solo a operare con diligenza e professionalità nei limiti contrattuali.
Art. 12 – Clausola Finale
Il presente DPA è parte integrante dei Termini e del contratto tra Utente e AvvoDesk.
In caso di conflitto tra DPA e termini contrattuali generali, prevalgono le disposizioni più restrittive per la protezione dati.