Accordo sul trattamento dei dati (DPA)

1. Definizioni

I termini come “dati personali”, “trattamento”, “titolare”, “responsabile”, “interessato” e “violazione dei dati personali” hanno il significato previsto dal Regolamento (UE) 2016/679 (“GDPR”). Per “Dati del Cliente” si intendono i dati personali che Mailstream tratta a partire dagli account collegati dagli utenti del Cliente.

2. Oggetto, natura e finalità

Trattiamo i Dati del Cliente solo per fornire Mailstream agli utenti del Cliente: copiare posta, calendari e contatti dagli account collegati, mostrarli e permettere di cercarli, eseguire le azioni degli utenti e inviare notifiche. L’Allegato 1 descrive il trattamento.

3. Istruzioni

Trattiamo i Dati del Cliente solo su istruzione documentata del Cliente: il presente DPA, i Termini di servizio e l’uso delle funzioni di Mailstream da parte dei suoi utenti. Se la legge ci impone un trattamento diverso, ne informiamo prima il Cliente, salvo che la legge lo vieti. Informiamo il Cliente se riteniamo che un’istruzione violi la normativa sulla protezione dei dati.

4. Riservatezza

Hanno accesso ai Dati del Cliente solo le persone che ne hanno bisogno per gestire Mailstream, vincolate alla riservatezza.

5. Sicurezza

Adottiamo le misure tecniche e organizzative dell’Allegato 2 e le manteniamo adeguate al rischio (articolo 32 GDPR).

6. Sub-responsabili

Il Cliente autorizza in via generale i sub-responsabili indicati nell’elenco dei sub-responsabili. Annunciamo un nuovo sub-responsabile, o la sostituzione di uno esistente, in quella pagina e via email al Cliente almeno 30 giorni prima che inizi; entro quel termine il Cliente può opporsi per motivi ragionevoli legati alla protezione dei dati e, se non possiamo accogliere l’obiezione, cessare l’uso di Mailstream. Imponiamo a ciascun sub-responsabile obblighi di protezione dei dati equivalenti a quelli del presente DPA e ne rispondiamo.

I provider che gli utenti del Cliente collegano (Google, Microsoft, Apple, server IMAP) non sono sub-responsabili: li sceglie il Cliente e conservano i dati in modo autonomo.

7. Trasferimenti internazionali

I Dati del Cliente sono conservati nell’Unione europea (Irlanda). Quando un sub-responsabile li tratta al di fuori dello Spazio Economico Europeo, il trasferimento si basa su una decisione di adeguatezza (come l’EU-U.S. Data Privacy Framework) o sulle Clausole Contrattuali Standard della Commissione europea.

8. Diritti degli interessati

Tenendo conto della natura del trattamento, assistiamo il Cliente nel rispondere alle richieste degli interessati. Gli utenti possono rimuovere da soli i propri account e consultare il registro delle attività; inoltriamo al Cliente ogni richiesta che riceviamo sui Dati del Cliente e non vi rispondiamo direttamente senza sue istruzioni.

9. Assistenza

Assistiamo il Cliente, nei limiti delle informazioni a nostra disposizione, negli obblighi di sicurezza, di notifica delle violazioni, di valutazione d’impatto e di consultazione preventiva (articoli da 32 a 36 GDPR).

10. Violazioni dei dati personali

Informiamo il Cliente senza ingiustificato ritardo, e ove possibile entro 48 ore, dopo essere venuti a conoscenza di una violazione dei dati personali che riguarda i Dati del Cliente, con le informazioni disponibili: natura della violazione, categorie e numero approssimativo di interessati e di registrazioni coinvolti, probabili conseguenze e misure adottate o proposte.

11. Cancellazione al termine

I Dati del Cliente provengono dai provider di posta e calendario del Cliente e vi restano: non c’è nulla da restituire. Quando un utente rimuove un account, o il Cliente cessa di usare Mailstream, cancelliamo subito i Dati del Cliente dai sistemi in uso e dai backup entro 4 giorni, salvo obbligo di legge di conservarli.

12. Verifiche

Mettiamo a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto dell’articolo 28 GDPR: il presente DPA, l’Allegato 2, l’elenco dei sub-responsabili e, su richiesta, altra documentazione. Il Cliente, o un revisore da lui incaricato e vincolato alla riservatezza, può verificare il rispetto dei nostri obblighi una volta l’anno con 30 giorni di preavviso, a proprie spese e senza compromettere i dati di altri clienti o la sicurezza del servizio; per le strutture dei sub-responsabili valgono le loro certificazioni e i loro rapporti.

13. Responsabilità, durata e legge applicabile

La responsabilità ai sensi del presente DPA è regolata dai Termini di servizio, fermo restando l’articolo 82 GDPR. Il DPA resta in vigore finché trattiamo Dati del Cliente. È regolato dalla legge italiana; è competente il foro di Bologna. In caso di contrasto con i Termini, per il trattamento dei Dati del Cliente prevale il DPA.

Allegato 1 — Descrizione del trattamento

Interessati: gli utenti del Cliente e le persone i cui dati compaiono nella loro posta, nei calendari e nei contatti (corrispondenti, invitati, contatti, colleghi).

Categorie di dati: identità dell’account (nome, indirizzo email); credenziali degli account collegati (token OAuth o password specifiche per app); messaggi (mittente, destinatari, oggetto, data, cartelle, etichette, stato, testo, bozze, messaggi programmati); eventi di calendario e intervalli occupato/libero dei colleghi; nomi e indirizzi email dei contatti; impostazioni; sessioni e registro delle attività (browser, indirizzo IP).

Categorie particolari di dati: Mailstream non le ricerca, ma i messaggi possono contenerne; sono protette come ogni altro contenuto.

Frequenza e durata: continua, finché gli account restano collegati; conservazione come alla sezione 11 dell’Informativa sulla privacy.

Allegato 2 — Misure tecniche e organizzative

Cifratura: TLS per tutte le connessioni; token di accesso, password, testo e anteprime dei messaggi cifrati a riposo con AES-256-GCM, con una chiave per account protetta da una chiave principale custodita fuori dal database; backup cifrati con age verso chiavi conservate fuori dal server.

Accessi: i server di produzione accettano connessioni web solo da Cloudflare; il database usa ruoli con privilegi minimi (l’applicazione non può modificare lo schema); l’accesso è riservato al Responsabile.

Applicazione: ogni richiesta è limitata ai dati dell’utente che ha effettuato l’accesso; sessioni lato server, revocabili e conservate come impronte; le richieste che modificano dati verificano la propria origine; l’HTML dei messaggi è ripulito e mostrato in un riquadro isolato senza script; immagini remote bloccate per impostazione predefinita; limiti alla frequenza delle richieste.

Registri: un registro delle attività di sicurezza per utente, conservato 12 mesi e senza contenuti dei messaggi; i log dell’applicazione non contengono mai token, password o contenuti dei messaggi.

Continuità: backup notturni cifrati conservati 4 giorni, con prova di ripristino ogni 3 mesi.

Minimizzazione: per impostazione predefinita si copiano solo gli ultimi 30 giorni di posta; gli allegati non vengono conservati; autorizzazioni minime (nessuna eliminazione definitiva su Gmail).