Isotipo Rise Up en blanco

Nomina a Responsabile del trattamento

1. Premessa e oggetto

1.1 Il presente documento costituisce la Nomina a Responsabile del trattamento richiamata all’art. 6.3 delle Condizioni Generali di Contratto di Rise Up e ne è parte integrante. È redatto ai sensi dell’art. 28 del Regolamento UE 2016/679 (“GDPR”).

1.2 Il Cliente, in qualità di Titolare del trattamento (“Titolare”), nomina Rise Up di Adrian Martin Rey, Via Roma 40, 25054 (BS), P.IVA 04710690985 (“Responsabile”), Responsabile del trattamento dei dati personali che Rise Up tratta per conto del Cliente nell’erogazione dei Servizi.

1.3 La nomina si perfeziona con l’accettazione delle Condizioni Generali al momento della Domanda di Adesione, senza necessità di ulteriore sottoscrizione.

1.4 Per i dati trattati per finalità proprie (gestione contrattuale, fatturazione, comunicazioni con il Cliente), Rise Up resta Titolare autonomo, come indicato nell’Informativa Privacy pubblicata sul sito.

2. Natura, finalità e durata del trattamento

2.1 Natura e finalità. Il Responsabile tratta i dati esclusivamente per erogare i Servizi previsti nell’Ordine di Fornitura:

  • realizzazione del Sito;
  • hosting, manutenzione, backup e monitoraggio del Sito;
  • verifica SEO periodica;
  • gestione del profilo Google Business, ove incluso nel piano Hiperlocal;
  • gestione tecnica dei moduli di contatto presenti sul Sito.

2.2 Categorie di interessati: visitatori del Sito; persone che compilano i moduli del Sito; clienti e potenziali clienti del Titolare.

2.3 Categorie di dati personali: dati identificativi e di contatto (nome, email, telefono); contenuto dei messaggi inviati tramite i moduli; dati tecnici e di navigazione (indirizzo IP, log del server); recensioni e messaggi ricevuti sul profilo Google Business.

2.4 Il Responsabile non tratta categorie particolari di dati (art. 9 GDPR) né dati relativi a condanne penali (art. 10 GDPR), salvo accordo scritto specifico tra le parti.

2.5 Durata. Il trattamento ha la stessa durata del Contratto e cessa con la sua risoluzione, salvo quanto previsto all’art. 5.

3. Obblighi del Responsabile

Il Responsabile si impegna a:

  1. trattare i dati solo su istruzione documentata del Titolare. Le istruzioni sono costituite dal Contratto e dalle comunicazioni scritte del Titolare. Se un’istruzione appare contraria al GDPR, il Responsabile ne informa subito il Titolare;
  2. garantire che le persone autorizzate al trattamento siano vincolate alla riservatezza;
  3. adottare le misure tecniche e organizzative di sicurezza previste dall’art. 32 GDPR, descritte nell’Allegato B;
  4. assistere il Titolare, nei limiti dei Servizi, nel rispondere alle richieste degli interessati (artt. 15-22 GDPR), inoltrandogli entro 5 giorni lavorativi ogni richiesta ricevuta direttamente;
  5. assistere il Titolare negli adempimenti degli artt. 32-36 GDPR (sicurezza, notifica delle violazioni, valutazione d’impatto, consultazione preventiva);
  6. mettere a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto del presente atto e consentire verifiche, con preavviso scritto di almeno 15 giorni, al massimo una volta all’anno salvo violazione accertata. I costi delle verifiche sono a carico del Titolare.

Il Titolare resta responsabile della liceità del trattamento, inclusi la base giuridica, l’informativa privacy e la gestione del consenso cookie sul proprio Sito.

4. Sub-responsabili, trasferimenti e violazioni

4.1 Sub-responsabili. Il Titolare concede al Responsabile un’autorizzazione generale a ricorrere ai sub-responsabili elencati nell’Allegato A. Il Responsabile impone a ciascun sub-responsabile, per contratto, obblighi di protezione dei dati equivalenti a quelli del presente atto e ne risponde verso il Titolare.

4.2 Il Responsabile comunica per email ogni aggiunta o sostituzione di sub-responsabili con almeno 15 giorni di preavviso. Il Titolare può opporsi per motivi ragionevoli legati alla protezione dei dati. Se le parti non trovano una soluzione, il Titolare può recedere dai Servizi in abbonamento senza penali.

4.3 Trasferimenti extra-UE. I dati sono trattati nello Spazio Economico Europeo. Eventuali trasferimenti verso Paesi terzi avvengono solo con le garanzie degli artt. 44-49 GDPR, come l’EU-US Data Privacy Framework o le Clausole Contrattuali Standard della Commissione europea.

4.4 Violazioni dei dati. Il Responsabile informa il Titolare di ogni violazione dei dati personali senza ingiustificato ritardo e comunque entro 48 ore dalla scoperta. La comunicazione indica, per quanto noto: natura della violazione, categorie e numero approssimativo di interessati e di dati coinvolti, conseguenze probabili e misure adottate. Questo consente al Titolare di rispettare il termine di 72 ore per la notifica al Garante (art. 33 GDPR).

5. Cessazione, responsabilità e disposizioni finali

5.1 Restituzione e cancellazione. Alla cessazione del Contratto, il Responsabile mette a disposizione del Titolare l’esportazione dei contenuti del Sito e dei dati raccolti tramite i moduli, in formato standard, come previsto all’art. 7.3 delle Condizioni Generali. Entro 30 giorni dalla cessazione cancella i dati personali dai propri sistemi. I backup sono sovrascritti entro i successivi 60 giorni. Restano salvi gli obblighi di conservazione imposti dalla legge.

5.2 Responsabilità. Ciascuna parte risponde secondo l’art. 82 GDPR. Nei rapporti tra le parti si applicano i limiti dell’art. 9 delle Condizioni Generali, nella misura consentita dalla legge. Tali limiti non si applicano verso gli interessati né alle sanzioni dell’autorità di controllo.

5.3 Prevalenza. In caso di contrasto tra il presente atto e le Condizioni Generali in materia di protezione dei dati, prevale il presente atto.

5.4 Legge applicabile. Il presente atto è regolato dalla legge italiana. Per le controversie è competente il Foro indicato all’art. 13 delle Condizioni Generali.

Allegato A. Sub-responsabili autorizzati

Elenco aggiornato al giorno indicato in cima al documento. Eventuali modifiche sono comunicate al Cliente come previsto all’art. 4.2.

Fornitore Servizio Sede del trattamento Garanzia per trasferimenti extra-UE
Hostinger Hosting, database e backup del Sito UE Non necessaria
Cloudflare CDN, DNS e protezione del Sito UE / USA EU-US Data Privacy Framework
Google (Google Workspace) Ricezione delle email inviate dai moduli del Sito Irlanda / USA EU-US Data Privacy Framework

Allegato B – Misure tecniche e organizzative

  • Connessioni cifrate HTTPS/TLS su tutti i Siti.
  • Backup automatici con conservazione limitata nel tempo.
  • Aggiornamento regolare di CMS, temi e plugin.
  • Accesso ai pannelli di amministrazione con autenticazione a due fattori.
  • Accessi limitati al personale e ai collaboratori che ne hanno necessità (principio del minimo privilegio).
  • Password robuste e gestite tramite password manager.
  • Monitoraggio della disponibilità e degli accessi anomali.
  • Firewall applicativo e protezione da tentativi di accesso ripetuti.
  • Procedura interna per la gestione delle violazioni dei dati.