Accordo sul trattamento dei dati personali

Ai sensi dell’art. 28 del Regolamento (UE) 2016/679 (GDPR)
Versione del 14 settembre 2026. Parte integrante dei Termini di servizio di FastGDPR.

Il presente accordo (l’«Accordo») disciplina il trattamento dei dati personali che il cliente carica nel portale FastGDPR ed è concluso tra:

• il soggetto che registra un account su FastGDPR e utilizza il servizio per conto della propria organizzazione (il «Cliente» o il «Titolare»); e
• SmartX S.r.l., con sede in Via XX Settembre 3/15, 16121 Genova, P.IVA 02541420994, REA GE493868, che gestisce il servizio con il marchio FastGDPR («SmartX» o il «Responsabile»).

L’Accordo si intende accettato dal Cliente con la registrazione dell’account, insieme ai Termini di servizio, e resta in vigore per tutta la durata del rapporto.

1. Ruoli e ambito

FastGDPR è uno strumento con cui il Cliente tiene in ordine i propri adempimenti in materia di protezione dei dati: registri delle attività di trattamento, gestione delle violazioni, valutazioni d’impatto, richieste degli interessati, elenco dei fornitori, personale autorizzato e formazione, audit periodici, documenti.

Per i dati personali che il Cliente inserisce nel portale (i «Dati del Cliente») il Cliente è titolare del trattamento e SmartX agisce come responsabile del trattamento per suo conto, secondo le istruzioni contenute in questo Accordo.

Restano esclusi dall’Accordo i dati che riguardano il Cliente stesso come utente del servizio (dati dell’account, fatturazione, comunicazioni di servizio): per questi SmartX è titolare autonomo e vale l’Informativa sulla privacy.

2. Oggetto, durata, natura e finalità del trattamento

I dettagli del trattamento (categorie di dati, di interessati, finalità, durata) sono descritti nell’Allegato A. SmartX tratta i Dati del Cliente esclusivamente per fornire il servizio FastGDPR come descritto nei Termini, per la durata dell’account, e non per finalità proprie.

3. Istruzioni del Titolare

SmartX tratta i Dati del Cliente soltanto su istruzione documentata del Cliente. Le istruzioni iniziali sono questo Accordo, i Termini di servizio e l’uso che il Cliente fa delle funzioni del portale (inserire, modificare, esportare, cancellare). Istruzioni ulteriori vanno comunicate per iscritto a info@fastgdpr.it; se un’istruzione appare in contrasto con il GDPR o con altre norme applicabili, SmartX ne informa il Cliente prima di eseguirla.

SmartX può trattare i Dati del Cliente al di fuori delle istruzioni solo se lo impone il diritto dell’Unione o dello Stato membro cui è soggetta; in tal caso informa il Cliente prima del trattamento, salvo che la legge lo vieti per rilevanti motivi di interesse pubblico.

4. Obblighi del Responsabile

SmartX si impegna a:

1. trattare i Dati del Cliente solo per le finalità dell’Accordo e nei limiti delle istruzioni ricevute;
2. garantire che le persone autorizzate al trattamento siano vincolate alla riservatezza e ricevano istruzioni adeguate (art. 5 di questo Accordo);
3. adottare le misure di sicurezza descritte nell’Allegato B, ai sensi dell’art. 32 GDPR;
4. rispettare le condizioni sul ricorso ad altri responsabili (art. 7 di questo Accordo);
5. assistere il Cliente, con misure tecniche e organizzative adeguate, nel dare seguito alle richieste di esercizio dei diritti degli interessati (art. 9 di questo Accordo);
6. assistere il Cliente nel garantire il rispetto degli obblighi di cui agli artt. 32-36 GDPR (sicurezza, violazioni, valutazione d’impatto, consultazione preventiva), tenuto conto della natura del trattamento e delle informazioni di cui dispone;
7. cancellare o restituire i Dati del Cliente al termine del servizio (art. 12 di questo Accordo);
8. mettere a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto dell’art. 28 GDPR e consentire le verifiche di cui all’art. 11 di questo Accordo.

5. Persone autorizzate e riservatezza

L’accesso ai Dati del Cliente è limitato alle persone di SmartX che ne hanno necessità per gestire e mantenere il servizio, individuate come autorizzate al trattamento, vincolate da un obbligo di riservatezza che sopravvive alla cessazione del rapporto. L’accesso avviene solo per assistenza tecnica, manutenzione, sicurezza o su richiesta del Cliente, e non per consultare i contenuti in modo sistematico.

6. Misure di sicurezza

SmartX adotta le misure tecniche e organizzative dell’Allegato Be le aggiorna nel tempo, senza ridurne il livello complessivo di protezione. Il Cliente resta responsabile della sicurezza delle proprie credenziali, dei dispositivi da cui accede e della scelta di attivare l’autenticazione a due fattori disponibile nel portale.

7. Sub-responsabili

Il Cliente autorizza in via generale SmartX a ricorrere ai fornitori elencati nell’Allegato C (i «Sub-responsabili»), che trattano i Dati del Cliente per conto di SmartX nei limiti indicati. SmartX impone a ciascun Sub-responsabile, per contratto, obblighi di protezione dei dati sostanzialmente equivalenti a quelli di questo Accordo e resta pienamente responsabile verso il Cliente dell’adempimento degli obblighi del Sub-responsabile.

SmartX comunica al Cliente, con almeno 30 giorni di preavviso via email all’indirizzo dell’account, l’intenzione di aggiungere o sostituire un Sub-responsabile. Il Cliente può opporsi per iscritto, con motivi fondati sulla protezione dei dati, entro tale termine; se le parti non trovano una soluzione, il Cliente può recedere dal servizio prima che la modifica diventi efficace, ottenendo la restituzione dei dati ai sensi dell’art. 12.

8. Trasferimenti al di fuori dello Spazio Economico Europeo

I Dati del Cliente sono conservati su server nell’Unione Europea (Allegato C). Alcuni Sub-responsabili appartengono a gruppi con sede negli Stati Uniti o svolgono parte dei trattamenti indicati fuori dallo SEE: in tali casi il trasferimento avviene sulla base di una decisione di adeguatezza della Commissione europea (compreso il Data Privacy Framework UE-USA, per i fornitori certificati) oppure delle Clausole contrattuali standard adottate dalla Commissione, integrate ove necessario da misure supplementari.

9. Assistenza per i diritti degli interessati

Il portale consente al Cliente di consultare, correggere, esportare e cancellare autonomamente i Dati del Cliente, e quindi di rispondere direttamente alle richieste degli interessati. Se SmartX riceve direttamente una richiesta di un interessato relativa ai Dati del Cliente, non vi dà seguito nel merito ma la inoltra al Cliente senza ingiustificato ritardo. Su richiesta scritta, SmartX fornisce al Cliente l’assistenza ragionevolmente necessaria.

10. Violazioni dei dati personali

SmartX informa il Cliente, all’indirizzo email dell’account, senza ingiustificato ritardo e comunque entro 48 ore da quando ne è venuta a conoscenza, di ogni violazione dei dati personali che riguardi i Dati del Cliente, fornendo le informazioni disponibili in quel momento (natura della violazione, categorie e numero approssimativo di interessati e di dati coinvolti, probabili conseguenze, misure adottate o proposte) e integrandole man mano che diventano disponibili. Spetta al Cliente, come titolare, valutare la notifica all’Autorità Garante e la comunicazione agli interessati; SmartX collabora fornendo quanto in suo possesso.

11. Verifiche

SmartX mette a disposizione del Cliente, su richiesta scritta, le informazioni necessarie a dimostrare il rispetto degli obblighi di questo Accordo, comprese le certificazioni e le dichiarazioni di conformità rese dai Sub-responsabili. Il Cliente può inoltre svolgere, o far svolgere da un revisore indipendente vincolato alla riservatezza, una verifica presso SmartX al massimo una volta all’anno, con un preavviso scritto di almeno 30 giorni, in orario lavorativo, senza pregiudizio per la sicurezza degli altri clienti e a proprie spese, salvo che la verifica riveli inadempimenti sostanziali.

12. Cessazione: restituzione e cancellazione

Per tutta la durata dell’account il Cliente può esportare autonomamente i propri documenti dal portale. Alla cessazione del servizio, e in ogni caso su richiesta scritta del Cliente a info@fastgdpr.it, SmartX:

1. mette a disposizione del Cliente, entro 30 giorni, una copia dei Dati del Cliente in un formato elettronico di uso comune, se il Cliente lo chiede;
2. cancella l’account e i Dati del Cliente entro 30 giorni dalla richiesta di cancellazione o, se successiva, dalla consegna della copia; le copie di sicurezza vengono sovrascritte secondo i cicli ordinari dell’infrastruttura, comunque entro i successivi 30 giorni, e nel frattempo non sono utilizzate per nessun altro scopo.

Restano esclusi dalla cancellazione i dati che SmartX deve conservare per obbligo di legge, che continuano a essere protetti secondo questo Accordo e trattati solo per tale finalità.

13. Obblighi del Titolare

Il Cliente garantisce di:

• avere una base giuridica valida per il trattamento dei Dati del Cliente e per affidarli a SmartX;
• aver fornito agli interessati le informazioni dovute, incluso, ove necessario, il ricorso a SmartX come responsabile del trattamento;
• inserire nel portale solo i dati necessari agli adempimenti che il servizio supporta, evitando dati appartenenti a categorie particolari (art. 9 GDPR) o relativi a condanne penali e reati (art. 10 GDPR) quando non strettamente indispensabili, come indicato dagli avvisi presenti nel portale;
• custodire le credenziali di accesso e segnalare tempestivamente a SmartX ogni accesso non autorizzato.

14. Responsabilità

Ciascuna parte risponde dei danni causati dal proprio inadempimento a questo Accordo nei limiti previsti dall’art. 82 GDPR e dai Termini di servizio, incluse le limitazioni di responsabilità ivi previste, nella misura consentita dalla legge.

15. Disposizioni finali

• In caso di contrasto tra questo Accordo e i Termini di servizio, per quanto riguarda il trattamento dei Dati del Cliente prevale questo Accordo.
• SmartX può aggiornare questo Accordo per adeguarlo a modifiche del servizio, dei Sub-responsabili o della normativa; le modifiche sostanziali sono comunicate al Cliente con almeno 30 giorni di preavviso via email. La versione in vigore è sempre pubblicata a questa pagina, con la data in testa.
• L’Accordo è regolato dalla legge italiana. Per le controversie è competente il Foro di Genova, fatte salve le competenze inderogabili previste a tutela dei consumatori.

Allegato A — Dettagli del trattamento

Allegato B — Misure tecniche e organizzative

• Separazione dei dati. Ogni account vede e modifica solo i propri dati: l’isolamento è applicato dal database stesso (politiche di sicurezza a livello di riga), non solo dall’applicazione.
• Autenticazione. Accesso senza password tramite link monouso inviato all’email dell’account; autenticazione a due fattori (TOTP) attivabile dal Cliente; avviso via email a ogni accesso da dispositivo o area geografica nuovi.
• Cifratura. Dati cifrati in transito (TLS) e a riposo presso i fornitori di infrastruttura.
• Localizzazione. Database e applicazione ospitati in centri dati nell’Unione Europea (Allegato C).
• Continuità. Copie di sicurezza periodiche gestite dal fornitore del database; infrastruttura ridondata dei fornitori.
• Accessi amministrativi. Limitati alle persone autorizzate di SmartX, con credenziali personali e autenticazione a più fattori sugli strumenti dei fornitori.
• Minimizzazione. Nessun indirizzo IP completo conservato; per la rilevazione degli accessi anomali si conservano solo un identificativo pseudonimo del dispositivo, il tipo di browser e il paese/regione, per 12 mesi.
• Sviluppo sicuro. Controllo automatico dei segreti nel codice, verifiche statiche di sicurezza prima di ogni pubblicazione, aggiornamento delle dipendenze.
• Fornitori. Scelta di fornitori con certificazioni di sicurezza riconosciute (per esempio SOC 2, ISO 27001) e accordi sul trattamento dei dati in essere.

Allegato C — Sub-responsabili

Stripe (pagamenti) e GetTerms (banner cookie e documenti legali) non trattano Dati del Cliente e non sono Sub-responsabili ai sensi di questo Accordo: trattano solo dati per cui SmartX è titolare, descritti nell’Informativa sulla privacy.