Accordo sul trattamento dei dati (DPA)

Versione: 1.0 · Data di entrata in vigore: 2026-08-18 · GDPR articolo 28

Tra il Cliente (titolare del trattamento) e TriStiX S.L. (P. IVA ESB26925016), Avenida Maisonnave 41, 3º H, 03003 Alicante/Alacant, Spagna (responsabile del trattamento, che gestisce la piattaforma TraXmark®).

1. Oggetto e durata

Il trattamento è limitato alla fornitura del Servizio TraXmark e dura per tutta la durata dell'abbonamento.

2. Natura e finalità del trattamento

Trattamento dei segnali di engagement (aperture, clic, risposte), dell'analisi dei documenti e dei metadati correlati, al solo fine di gestire il Servizio per il Cliente.

3. Categorie di interessati e di dati personali

Interessati: contatti e utenti del Cliente. Dati personali: identificativi di contatto, telemetria di engagement pseudonimizzata, dati di interazione con i documenti.

4. Obblighi del responsabile del trattamento (art. 28.3)

Il Responsabile:

• tratta i dati personali soltanto su istruzioni documentate del Cliente;
• garantisce la riservatezza delle persone autorizzate al trattamento;
• attua misure di sicurezza tecniche e organizzative adeguate (cfr. Allegato II);
• non ricorre a sub-responsabili senza preavviso e diritto di opposizione del Cliente;
• assiste il Cliente nelle richieste degli interessati (artt. 12–22);
• cancella o restituisce i dati personali dopo la cessazione, secondo la scelta del Cliente;
• mette a disposizione le informazioni necessarie per dimostrare la conformità e consente le verifiche.

5. Misure di sicurezza (sintesi dell'Allegato II)

Crittografia in transito (TLS 1.2+) e a riposo; envelope encryption (AES-256-GCM) per le credenziali; isolamento dei tenant a livello di riga (RLS); log di audit immutabili; MFA per l'accesso amministrativo; pseudonimizzazione di IP/user-agent all'ingestione.

6. Sub-responsabili

L'elenco aggiornato dei sub-responsabili è fornito su richiesta. Il Cliente può opporsi alle modifiche; il trattamento con il sub-responsabile contestato viene allora cessato per quel Cliente.

7. Trasferimenti internazionali

I dati sono ospitati nell'UE. Eventuali trasferimenti al di fuori del SEE si basano su clausole contrattuali tipo (SCC) e misure supplementari.

8. Diritti degli interessati

Il Responsabile informa il Cliente senza ingiustificato ritardo al ricevimento di una richiesta di un interessato e lo assiste nell'evasione.

9. Notifica delle violazioni

Il Responsabile notifica al Cliente senza ingiustificato ritardo (e comunque entro 72 ore) la violazione dei dati personali di cui sia venuto a conoscenza, con i dettagli noti e le misure di rimedio.

10. Responsabilità e verifiche

La responsabilità ai sensi del presente Accordo segue il contratto principale e la legge applicabile. Il Cliente può verificare la conformità tramite la documentazione e, ove strettamente necessario e concordato, mediante verifiche in loco.