Accordo sul trattamento dei dati

1. Parti e oggetto

Questo accordo fa parte dei Termini di servizio e vale dal momento in cui li accetti. Il cliente (l’organizzazione registrata su DeviL) è titolare dei dati personali che inserisce o genera in DeviL; Luca Porro, ditta individuale, P.IVA 04178450138, è responsabile del trattamento e li tratta solo per conto del cliente.

2. Trattamento

• Natura e finalità: conservare e organizzare aziende e persone, analizzarle, preparare messaggi, inviare le email confermate dal cliente dalla sua casella, leggere le risposte se il cliente collega la casella, registrare contatti, esiti, consensi e opposizioni, pubblicare le pagine dimostrative e contarne le aperture.
• Interessati: referenti di aziende che il cliente contatta o vuole contattare, suoi clienti, membri del suo team.
• Dati: nome, ruolo, recapiti professionali (email, telefono, profilo LinkedIn), note, storico dei contatti, base giuridica, consensi e opposizioni. Non categorie particolari (art. 9) né dati giudiziari: il cliente si impegna a non inserirli.
• Durata: per tutta la durata del servizio, più il periodo di cancellazione indicato al punto 9.

3. Istruzioni

Il responsabile tratta i dati solo secondo le istruzioni documentate del cliente. Sono istruzioni i Termini, questo accordo e le azioni che il cliente compie nel servizio (cercare, salvare, inviare, cancellare). Se un’istruzione sembra violare la legge, il responsabile lo segnala al cliente. Il responsabile non usa i dati del cliente per finalità proprie, non li vende e non li mostra ad altri clienti.

4. Riservatezza

Accede ai dati solo Luca Porro e chi lavora con lui sotto un obbligo di riservatezza, e solo quando serve: assistenza richiesta dal cliente, sicurezza, guasti. Le azioni dell’amministratore sulle organizzazioni restano in un registro.

5. Sicurezza (art. 32)

• server e database in Italia, connessioni solo cifrate (HTTPS);
• separazione dei dati per organizzazione in ogni lettura e scrittura;
• password conservate solo come impronta bcrypt; chiavi di terzi e password della casella cifrate; token API conservati solo come impronta;
• limiti ai tentativi di accesso e alle richieste ripetute;
• controlli che bloccano email e messaggi senza base giuridica e contatti verso chi si è opposto.

I dettagli sono nella pagina Sicurezza. Il responsabile aggiorna le misure al cambiare dei rischi, senza ridurne il livello.

6. Sub-responsabili

Il cliente autorizza in via generale i sub-responsabili qui sotto. Per aggiungerne o sostituirne uno, il responsabile avvisa il cliente almeno 30 giorni prima; il cliente può opporsi per motivi legati alla protezione dei dati e, se non si trova una soluzione, recedere senza costi. Ogni sub-responsabile è vincolato da obblighi equivalenti a questo accordo.

Non sono sub-responsabili di DeviL i servizi che il cliente sceglie e collega con un proprio contratto: la sua chiave Anthropic o Claude Code, la sua casella di posta, GitHub, i webhook verso Zapier, Make o Slack. Stripe tratta solo i dati di pagamento del cliente, non quelli dei suoi contatti.

7. Trasferimenti fuori dall’UE

I dati del cliente restano su server in Italia. Un eventuale trasferimento fuori dallo Spazio economico europeo avviene solo con le garanzie del Capo V GDPR: decisione di adeguatezza o clausole contrattuali standard della Commissione europea.

8. Assistenza al cliente

• Diritti degli interessati: il servizio permette di correggere e cancellare dati e di registrare opposizioni; se una richiesta arriva a DeviL, la giro al cliente senza ritardo e lo aiuto a rispondere.
• Violazioni dei dati: se scopro una violazione che riguarda i dati del cliente, lo avviso senza ingiustificato ritardo e comunque entro 48 ore, con quello che so su natura, dati coinvolti, conseguenze e misure prese, per permettergli di notificarla entro 72 ore (artt. 33-34).
• Valutazioni d’impatto: fornisco le informazioni che servono al cliente per valutazioni d’impatto e consultazioni preventive (artt. 35-36).

9. Fine del servizio

Alla chiusura dell’account il cliente può chiedere una copia dei suoi dati in formato leggibile (CSV o JSON). Entro 90 giorni dalla chiusura i dati personali del cliente vengono cancellati, copie comprese, salvo quelli che la legge impone di conservare; su richiesta confermo per iscritto l’avvenuta cancellazione.

10. Verifiche

Metto a disposizione del cliente le informazioni necessarie a dimostrare il rispetto di questo accordo. Il cliente può chiedere una verifica, anche tramite un revisore vincolato alla riservatezza, con almeno 30 giorni di preavviso, al massimo una volta l’anno salvo violazioni, a proprie spese e senza accesso ai dati di altri clienti.

11. Obblighi del cliente

Il cliente, come titolare, sceglie la base giuridica dei propri trattamenti, informa le persone che contatta (art. 14 GDPR), rispetta le regole sulle comunicazioni commerciali (art. 130 Codice Privacy, Registro delle Opposizioni) e non inserisce dati che non ha il diritto di trattare.

12. Base aziende di DeviL

Per la raccolta delle aziende da fonti pubbliche, prima che il cliente le salvi o le usi, Luca Porro è titolare autonomo, come descritto nell’informativa. Quando il cliente salva un’azienda, la contatta o vi aggiunge persone e note, per quei trattamenti diventa titolare lui e si applica questo accordo.

13. Contatti

Per questo accordo, richieste e segnalazioni: devil@vibecanyon.com.