Termini di servizio

Premessa

Il presente accordo regola il trattamento dei dati personali che Carne Genuina SRL (il «Fornitore», responsabile del trattamento) svolge per conto del cliente del servizio Orfeo (il «Cliente», titolare del trattamento), ai sensi dell'articolo 28 del Regolamento (UE) 2016/679 (di seguito «GDPR»).

L'accordo adotta le clausole contrattuali tipo tra titolari del trattamento e responsabili del trattamento di cui alla Decisione di esecuzione (UE) 2021/915 della Commissione, del 4 giugno 2021, riportate nelle Sezioni I, II e III nel testo pubblicato nella Gazzetta ufficiale dell'Unione europea L 199 del 7 giugno 2021, con la sola scelta delle opzioni relative al GDPR (i riferimenti al regolamento (UE) 2018/1725, applicabile alle sole istituzioni dell'Unione, sono omessi) e la correzione di un refuso nella clausola 8, lettera c), punto 4. Le informazioni sono negli Allegati da I a IV. Le disposizioni integrative della Sezione IV non contraddicono le clausole tipo: in caso di contrasto prevalgono queste ultime (clausola 4).

L'accordo è parte dei Termini di servizio di Orfeo. Il presente testo costituisce proposta contrattuale del Fornitore; l'accordo si conclude nel momento in cui il Cliente lo sottoscrive con firma elettronica dalla propria area riservata, secondo la procedura descritta nel registro della firma. Il documento informatico che riporta il testo, i dati delle parti, la firma elettronica del Cliente e la sottoscrizione del Fornitore è inviato a ciascuna parte in formato PDF.

SEZIONE I

Clausola 1 — Scopo e ambito di applicazione

a) Scopo delle presenti clausole contrattuali tipo (di seguito «clausole») è garantire il rispetto dell'articolo 28, paragrafi 3 e 4, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati).

b) I titolari del trattamento e i responsabili del trattamento di cui all'allegato I hanno accettato le presenti clausole al fine di garantire il rispetto dell'articolo 28, paragrafi 3 e 4, del regolamento (UE) 2016/679.

c) Le presenti clausole si applicano al trattamento dei dati personali specificato all'allegato II.

d) Gli allegati da I a IV costituiscono parte integrante delle clausole.

e) Le presenti clausole lasciano impregiudicati gli obblighi cui è soggetto il titolare del trattamento a norma del regolamento (UE) 2016/679.

f) Le presenti clausole non garantiscono, di per sé, il rispetto degli obblighi connessi ai trasferimenti internazionali conformemente al capo V del regolamento (UE) 2016/679.

Clausola 2 — Invariabilità delle clausole

a) Le parti si impegnano a non modificare le clausole se non per aggiungere o aggiornare informazioni negli allegati.

b) Ciò non impedisce alle parti di includere le clausole contrattuali tipo stabilite nelle presenti clausole in un contratto più ampio o di aggiungere altre clausole o garanzie supplementari, purché queste non contraddicano, direttamente o indirettamente, le presenti clausole o ledano i diritti o le libertà fondamentali degli interessati.

Clausola 3 — Interpretazione

a) Quando le presenti clausole utilizzano i termini definiti nel regolamento (UE) 2016/679, tali termini hanno lo stesso significato di cui al regolamento interessato.

b) Le presenti clausole vanno lette e interpretate alla luce delle disposizioni del regolamento (UE) 2016/679.

c) Le presenti clausole non devono essere interpretate in un senso che non sia conforme ai diritti e agli obblighi previsti dal regolamento (UE) 2016/679 o che pregiudichi i diritti o le libertà fondamentali degli interessati.

Clausola 4 — Gerarchia

In caso di contraddizione tra le presenti clausole e le disposizioni di accordi correlati, vigenti tra le parti al momento dell'accettazione delle presenti clausole, o conclusi successivamente, prevalgono le presenti clausole.

Clausola 5 — Clausola di adesione successiva

Clausola facoltativa: non adottata.

SEZIONE II — OBBLIGHI DELLE PARTI

Clausola 6 — Descrizione del trattamento

I dettagli dei trattamenti, in particolare le categorie di dati personali e le finalità del trattamento per le quali i dati personali sono trattati per conto del titolare del trattamento, sono specificati nell'allegato II.

Clausola 7 — Obblighi delle parti

7.1. Istruzioni

a) Il responsabile del trattamento tratta i dati personali soltanto su istruzione documentata del titolare del trattamento, salvo che lo richieda il diritto dell'Unione o nazionale cui è soggetto il responsabile del trattamento. In tal caso, il responsabile del trattamento informa il titolare del trattamento circa tale obbligo giuridico prima del trattamento, a meno che il diritto lo vieti per rilevanti motivi di interesse pubblico. Il titolare del trattamento può anche impartire istruzioni successive per tutta la durata del trattamento dei dati personali. Tali istruzioni sono sempre documentate.

b) Il responsabile del trattamento informa immediatamente il titolare del trattamento qualora, a suo parere, le istruzioni del titolare del trattamento violino il regolamento (UE) 2016/679 o le disposizioni applicabili, nazionali o dell'Unione, relative alla protezione dei dati.

7.2. Limitazione delle finalità

Il responsabile del trattamento tratta i dati personali soltanto per le finalità specifiche del trattamento di cui all'allegato II, salvo ulteriori istruzioni del titolare del trattamento.

7.3. Durata del trattamento dei dati personali

Il responsabile del trattamento tratta i dati personali soltanto per la durata specificata nell'allegato II.

7.4. Sicurezza del trattamento

a) Il responsabile del trattamento mette in atto almeno le misure tecniche e organizzative specificate nell'allegato III per garantire la sicurezza dei dati personali. Ciò include la protezione da ogni violazione di sicurezza che comporti accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati (violazione dei dati personali). Nel valutare l'adeguato livello di sicurezza, le parti tengono debitamente conto dello stato dell'arte, dei costi di attuazione, nonché della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi per gli interessati.

b) Il responsabile del trattamento concede l'accesso ai dati personali oggetto di trattamento ai membri del suo personale soltanto nella misura strettamente necessaria per l'attuazione, la gestione e il controllo del contratto. Il responsabile del trattamento garantisce che le persone autorizzate al trattamento dei dati personali ricevuti si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza.

7.5. Dati sensibili

Se il trattamento riguarda dati personali che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche o l'appartenenza sindacale, dati genetici o dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all'orientamento sessuale della persona, o dati relativi a condanne penali e a reati («dati sensibili»), il responsabile del trattamento applica limitazioni specifiche e/o garanzie supplementari.

7.6. Documentazione e rispetto

a) Le parti devono essere in grado di dimostrare il rispetto delle presenti clausole.

b) Il responsabile del trattamento risponde prontamente e adeguatamente alle richieste di informazioni del titolare del trattamento relative al trattamento dei dati conformemente alle presenti clausole.

c) Il responsabile del trattamento mette a disposizione del titolare del trattamento tutte le informazioni necessarie a dimostrare il rispetto degli obblighi stabiliti nelle presenti clausole e che derivano direttamente dal regolamento (UE) 2016/679. Su richiesta del titolare del trattamento, il responsabile del trattamento consente e contribuisce alle attività di revisione delle attività di trattamento di cui alle presenti clausole, a intervalli ragionevoli o se vi sono indicazioni di inosservanza. Nel decidere in merito a un riesame o a un'attività di revisione, il titolare del trattamento può tenere conto delle pertinenti certificazioni in possesso del responsabile del trattamento.

d) Il titolare del trattamento può scegliere di condurre l'attività di revisione autonomamente o incaricare un revisore indipendente. Le attività di revisione possono comprendere anche ispezioni nei locali o nelle strutture fisiche del responsabile del trattamento e, se del caso, sono effettuate con un preavviso ragionevole.

e) Su richiesta, le parti mettono a disposizione della o delle autorità di controllo competenti le informazioni di cui alla presente clausola, compresi i risultati di eventuali attività di revisione.

7.7. Ricorso a sub-responsabili del trattamento

a) AUTORIZZAZIONE SCRITTA GENERALE: Il responsabile del trattamento ha l'autorizzazione generale del titolare del trattamento per ricorrere a sub-responsabili del trattamento sulla base di un elenco concordato. Il responsabile del trattamento informa specificamente per iscritto il titolare del trattamento di eventuali modifiche previste di tale elenco riguardanti l'aggiunta o la sostituzione di sub-responsabili del trattamento con un anticipo di almeno quindici (15) giorni, dando così al titolare del trattamento tempo sufficiente per poter opporsi a tali modifiche prima del ricorso al o ai sub-responsabili del trattamento in questione. Il responsabile del trattamento fornisce al titolare del trattamento le informazioni necessarie per consentirgli di esercitare il diritto di opposizione.

b) Qualora il responsabile del trattamento ricorra a un sub-responsabile del trattamento per l'esecuzione di specifiche attività di trattamento (per conto del responsabile del trattamento), stipula un contratto che impone al sub-responsabile del trattamento, nella sostanza, gli stessi obblighi in materia di protezione dei dati imposti al responsabile del trattamento conformemente alle presenti clausole. Il responsabile del trattamento si assicura che il sub-responsabile del trattamento rispetti gli obblighi cui il responsabile del trattamento è soggetto a norma delle presenti clausole e del regolamento (UE) 2016/679.

c) Su richiesta del titolare del trattamento, il responsabile del trattamento gli fornisce copia del contratto stipulato con il sub-responsabile del trattamento e di ogni successiva modifica. Nella misura necessaria a proteggere segreti aziendali o altre informazioni riservate, compresi i dati personali, il responsabile del trattamento può espungere informazioni dal contratto prima di trasmetterne una copia.

d) Il responsabile del trattamento rimane pienamente responsabile nei confronti del titolare del trattamento dell'adempimento degli obblighi del sub-responsabile del trattamento derivanti dal contratto che questi ha stipulato con il responsabile del trattamento. Il responsabile del trattamento notifica al titolare del trattamento qualunque inadempimento, da parte del sub-responsabile del trattamento, degli obblighi contrattuali.

e) Il responsabile del trattamento concorda con il sub-responsabile del trattamento una clausola del terzo beneficiario secondo la quale, qualora il responsabile del trattamento sia scomparso di fatto, abbia giuridicamente cessato di esistere o sia divenuto insolvente, il titolare del trattamento ha diritto di risolvere il contratto con il sub-responsabile del trattamento e di imporre a quest'ultimo di cancellare o restituire i dati personali.

7.8. Trasferimenti internazionali

a) Qualunque trasferimento di dati verso un paese terzo o un'organizzazione internazionale da parte del responsabile del trattamento è effettuato soltanto su istruzione documentata del titolare del trattamento o per adempiere a un requisito specifico a norma del diritto dell'Unione o degli Stati membri cui è soggetto il responsabile del trattamento, e nel rispetto del capo V del regolamento (UE) 2016/679.

b) Il titolare del trattamento conviene che, qualora il responsabile del trattamento ricorra a un sub-responsabile del trattamento conformemente alla clausola 7.7 per l'esecuzione di specifiche attività di trattamento (per conto del titolare del trattamento) e tali attività di trattamento comportino il trasferimento di dati personali ai sensi del capo V del regolamento (UE) 2016/679, il responsabile del trattamento e il sub-responsabile del trattamento possono garantire il rispetto del capo V del regolamento (UE) 2016/679 utilizzando le clausole contrattuali tipo adottate dalla Commissione conformemente all'articolo 46, paragrafo 2, del regolamento (UE) 2016/679, purché le condizioni per l'uso di tali clausole contrattuali tipo siano soddisfatte.

Clausola 8 — Assistenza al titolare del trattamento

a) Il responsabile del trattamento notifica prontamente al titolare del trattamento qualunque richiesta ricevuta dall'interessato. Non risponde egli stesso alla richiesta, a meno che sia stato autorizzato in tal senso dal titolare del trattamento.

b) Il responsabile del trattamento assiste il titolare del trattamento nell'adempimento degli obblighi di rispondere alle richieste degli interessati per l'esercizio dei loro diritti, tenuto conto della natura del trattamento. Nell'adempiere agli obblighi di cui alle lettere a) e b), il responsabile del trattamento si attiene alle istruzioni del titolare del trattamento.

c) Oltre all'obbligo di assistere il titolare del trattamento in conformità della clausola 8, lettera b), il responsabile del trattamento assiste il titolare del trattamento anche nel garantire il rispetto dei seguenti obblighi, tenuto conto della natura del trattamento dei dati e delle informazioni a disposizione del responsabile del trattamento:

• l'obbligo di effettuare una valutazione dell'impatto dei trattamenti previsti sulla protezione dei dati personali («valutazione d'impatto sulla protezione dei dati») qualora un tipo di trattamento possa presentare un rischio elevato per i diritti e le libertà delle persone fisiche;

• l'obbligo, prima di procedere al trattamento, di consultare la o le autorità di controllo competenti qualora la valutazione d'impatto sulla protezione dei dati indichi che il trattamento presenterebbe un rischio elevato in assenza di misure adottate dal titolare del trattamento per attenuare il rischio;

• l'obbligo di garantire che i dati personali siano esatti e aggiornati, informando senza indugio il titolare del trattamento qualora il responsabile del trattamento venga a conoscenza del fatto che i dati personali che sta trattando sono inesatti o obsoleti;

• gli obblighi di cui all'articolo 32 del regolamento (UE) 2016/679.

d) Le parti stabiliscono nell'allegato III le misure tecniche e organizzative adeguate con cui il responsabile del trattamento è tenuto ad assistere il titolare del trattamento nell'applicazione della presente clausola, nonché l'ambito di applicazione e la portata dell'assistenza richiesta.

Clausola 9 — Notifica di una violazione dei dati personali

In caso di violazione dei dati personali, il responsabile del trattamento coopera con il titolare del trattamento e lo assiste nell'adempimento degli obblighi che incombono a quest'ultimo a norma degli articoli 33 e 34 del regolamento (UE) 2016/679, ove applicabile, tenuto conto della natura del trattamento e delle informazioni a disposizione del responsabile del trattamento.

9.1. Violazione riguardante dati trattati dal titolare del trattamento

In caso di una violazione dei dati personali trattati dal titolare del trattamento, il responsabile del trattamento assiste il titolare del trattamento:

a) nel notificare la violazione dei dati personali alla o alle autorità di controllo competenti, senza ingiustificato ritardo dopo che il titolare del trattamento ne è venuto a conoscenza, se del caso (a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche);

b) nell'ottenere le seguenti informazioni che, in conformità dell'articolo 33, paragrafo 3, del regolamento (UE) 2016/679, devono essere indicate nella notifica del titolare del trattamento e includere almeno:

• la natura dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati in questione nonché le categorie e il numero approssimativo di registrazioni dei dati personali in questione;

• le probabili conseguenze della violazione dei dati personali;

• le misure adottate o di cui si propone l'adozione da parte del titolare del trattamento per porre rimedio alla violazione dei dati personali, se del caso anche per attenuarne i possibili effetti negativi.

Qualora, e nella misura in cui, non sia possibile fornire tutte le informazioni contemporaneamente, la notifica iniziale contiene le informazioni disponibili in quel momento, e le altre informazioni sono fornite successivamente, non appena disponibili, senza ingiustificato ritardo.

c) nell'adempiere, in conformità dell'articolo 34 del regolamento (UE) 2016/679, all'obbligo di comunicare senza ingiustificato ritardo la violazione dei dati personali all'interessato, qualora la violazione dei dati personali sia suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche.

9.2. Violazione riguardante dati trattati dal responsabile del trattamento

In caso di una violazione dei dati personali trattati dal responsabile del trattamento, quest'ultimo ne dà notifica al titolare del trattamento senza ingiustificato ritardo dopo esserne venuto a conoscenza. La notifica contiene almeno:

a) una descrizione della natura della violazione (compresi, ove possibile, le categorie e il numero approssimativo di interessati e di registrazioni dei dati in questione);

b) i recapiti di un punto di contatto presso il quale possono essere ottenute maggiori informazioni sulla violazione dei dati personali;

c) le probabili conseguenze della violazione dei dati personali e le misure adottate o di cui si propone l'adozione per porre rimedio alla violazione, anche per attenuarne i possibili effetti negativi.

Qualora, e nella misura in cui, non sia possibile fornire tutte le informazioni contemporaneamente, la notifica iniziale contiene le informazioni disponibili in quel momento, e le altre informazioni sono fornite successivamente, non appena disponibili, senza ingiustificato ritardo.

Le parti stabiliscono nell'allegato III tutti gli altri elementi che il responsabile del trattamento è tenuto a fornire quando assiste il titolare del trattamento nell'adempimento degli obblighi che incombono al titolare del trattamento a norma degli articoli 33 e 34 del regolamento (UE) 2016/679.

SEZIONE III — DISPOSIZIONI FINALI

Clausola 10 — Inosservanza delle clausole e risoluzione

a) Fatte salve le disposizioni del regolamento (UE) 2016/679, qualora il responsabile del trattamento violi gli obblighi che gli incombono a norma delle presenti clausole, il titolare del trattamento può dare istruzione al responsabile del trattamento di sospendere il trattamento dei dati personali fino a quando quest'ultimo non rispetti le presenti clausole o non sia risolto il contratto. Il responsabile del trattamento informa prontamente il titolare del trattamento qualora, per qualunque motivo, non sia in grado di rispettare le presenti clausole.

b) Il titolare del trattamento ha diritto di risolvere il contratto per quanto riguarda il trattamento dei dati personali conformemente alle presenti clausole qualora:

• il trattamento dei dati personali da parte del responsabile del trattamento sia stato sospeso dal titolare del trattamento in conformità della lettera a) e il rispetto delle presenti clausole non sia ripristinato entro un termine ragionevole e in ogni caso entro un mese dalla sospensione;

• il responsabile del trattamento violi in modo sostanziale o persistente le presenti clausole o gli obblighi che gli incombono a norma del regolamento (UE) 2016/679;

• il responsabile del trattamento non rispetti una decisione vincolante di un organo giurisdizionale competente o della o delle autorità di controllo competenti per quanto riguarda i suoi obblighi in conformità delle presenti clausole o del regolamento (UE) 2016/679.

c) Il responsabile del trattamento ha diritto di risolvere il contratto per quanto riguarda il trattamento dei dati personali a norma delle presenti clausole qualora, dopo aver informato il titolare del trattamento che le sue istruzioni violano i requisiti giuridici applicabili in conformità della clausola 7.1, lettera b), il titolare del trattamento insista sul rispetto delle istruzioni.

d) Dopo la risoluzione del contratto il responsabile del trattamento, a scelta del titolare del trattamento, cancella tutti i dati personali trattati per conto del titolare del trattamento e certifica a quest'ultimo di averlo fatto, oppure restituisce al titolare del trattamento tutti i dati personali e cancella le copie esistenti, a meno che il diritto dell'Unione o dello Stato membro non richieda la conservazione dei dati personali. Finché i dati non sono cancellati o restituiti, il responsabile del trattamento continua ad assicurare il rispetto delle presenti clausole.

SEZIONE IV — DISPOSIZIONI INTEGRATIVE

Le disposizioni che seguono sono aggiunte ai sensi della clausola 2, lettera b), e non limitano le clausole che precedono.

A. Istruzioni documentate. a) Costituiscono istruzioni documentate del Cliente ai sensi della clausola 7.1: il presente accordo e i Termini di servizio; la configurazione delle campagne nell'area riservata (obiettivo, destinatari, fonti e liste fornite, limiti di invio); il manuale operativo della campagna; le indicazioni che il Cliente o le persone da lui abilitate («manovratori») inviano per email alla casella dedicata da un indirizzo registrato nel servizio. Il Fornitore conserva le istruzioni ricevute per la durata del trattamento. b) Il manuale operativo può essere aggiornato dall'agente per applicare quanto appreso nel corso della campagna, sempre entro l'obiettivo, i destinatari e i limiti fissati dal Cliente; il Cliente lo consulta nell'area riservata e può correggerlo in ogni momento scrivendo a Orfeo da un indirizzo registrato nel servizio, e le sue correzioni prevalgono. c) Entro tale ambito, la scelta delle singole organizzazioni e persone da contattare, dei tempi e dei testi è eseguita dall'agente in attuazione delle istruzioni del Cliente. d) Le indicazioni provenienti da indirizzi non registrati, o che non superano i controlli di autenticazione del mittente, non sono eseguite.

B. Durata. L'accordo si applica dalla firma, compreso l'eventuale periodo di prova, per tutta la durata dell'abbonamento, e continua ad applicarsi dopo la cessazione finché il Fornitore tratta dati personali per conto del Cliente ai sensi della lettera C. I dati trattati dal Fornitore prima della firma per presentare il servizio (ad esempio le aziende proposte nella prova gratuita sul sito) sono trattati dal Fornitore in qualità di titolare; se il Cliente li usa nelle proprie campagne, da quel momento sono trattati per suo conto ai sensi del presente accordo.

C. Restituzione e cancellazione alla cessazione.

• Per «cessazione» si intende la fine dell'abbonamento per qualunque causa, compresi la disdetta, il mancato rinnovo, la risoluzione ai sensi della clausola 10 e la cessazione del servizio da parte del Fornitore. Dalla cessazione il Fornitore non svolge nuove attività di ricerca né invia nuovi messaggi di primo contatto o di seguito per il Cliente. Ai messaggi ricevuti dopo la cessazione il Fornitore risponde soltanto per eseguire le richieste di opposizione, per inoltrare al Cliente le altre richieste degli interessati e per la restituzione dei dati al Cliente.

• Restituzione. Per i trenta (30) giorni successivi alla cessazione il Cliente mantiene l'accesso all'area riservata e può scaricare, o chiedere per email a Orfeo, l'esportazione in formato CSV di contatti e organizzazioni, conversazioni, note e cronologia dei contatti. Su richiesta scritta presentata nello stesso termine, il Fornitore consegna entro dieci (10) giorni lavorativi anche i file caricati dal Cliente, gli allegati ricevuti e i manuali operativi, nel formato in cui sono conservati.

• Cancellazione. Il Fornitore avvisa il Cliente per email almeno sette (7) giorni prima della cancellazione. Decorsi trenta (30) giorni dalla cessazione, non prima di sette (7) giorni dall'avviso e comunque entro quarantacinque (45) giorni dalla cessazione, il Fornitore cancella dai propri sistemi i dati personali trattati per conto del Cliente — contatti, organizzazioni, conversazioni, note, eventi, file, manuali, memoria operativa, registri e trascrizioni delle sessioni dell'agente, indirizzi esclusi per mancato recapito —, elimina la casella di posta dedicata con il suo contenuto, e ne dà certificazione scritta al Cliente per email indicandone la data. Se il Cliente non chiede la restituzione, si procede alla sola cancellazione.

• Copie residue. Le copie presenti nei sistemi dei sub-responsabili (copie di sicurezza, registri tecnici, account eliminati ancora recuperabili per un periodo limitato) non sono usate per alcun trattamento e sono eliminate secondo i termini dei rispettivi accordi; fino ad allora le presenti clausole continuano ad applicarsi.

• Elenco delle opposizioni. Su istruzione del Cliente, data con la sottoscrizione del presente accordo, dopo la cessazione il Fornitore conserva l'elenco degli indirizzi e dei domini che hanno chiesto di non essere più contattati per conto del Cliente, al solo fine di impedire nuovi contatti se il Cliente riattiva il servizio. Le presenti clausole continuano ad applicarsi a tale trattamento, e il Cliente può chiederne in ogni momento la consegna e la cancellazione per email.

• Restano al di fuori del presente accordo, trattati dal Fornitore in qualità di titolare per obblighi di legge e per la gestione del contratto, i dati di fatturazione, i dati dell'account del Cliente e delle persone da lui abilitate, il presente accordo e il registro della firma.

D. Richieste degli interessati. a) Il Cliente autorizza il Fornitore, ai sensi della clausola 8, lettera a), a: (i) eseguire immediatamente le richieste di non essere più contattati ricevute in risposta ai messaggi di Orfeo, su qualunque canale, e darne conferma all'interessato; (ii) rispondere alle domande sull'identità del titolare, sulla fonte dei dati e sulle modalità di esercizio dei diritti, comunicando quanto registrato nel servizio e, se il Cliente lo ha fornito, il collegamento alla sua informativa. b) Ogni altra richiesta di esercizio dei diritti di cui agli articoli da 15 a 22 GDPR è inoltrata al Cliente senza ritardo, e comunque entro due (2) giorni lavorativi dal ricevimento, senza risposta nel merito all'interessato, ed è eseguita secondo le istruzioni del Cliente. c) Le richieste e il loro esito sono riportati nel report.

D-bis. Informativa. Il Cliente resta responsabile dell'informativa agli interessati ai sensi dell'articolo 14 GDPR. I messaggi di Orfeo indicano l'identità del Cliente, per conto del quale scrivono, e come non ricevere altro; se il Cliente fornisce il collegamento alla propria informativa, Orfeo lo inserisce nel primo messaggio a ciascun interessato.

E. Violazioni. La notifica di cui alla clausola 9.2 è inviata senza ingiustificato ritardo, e comunque entro quarantotto (48) ore dal momento in cui il Fornitore ne è venuto a conoscenza, anche quando la violazione riguarda un sub-responsabile, agli indirizzi email del Cliente registrati nel servizio. Il termine decorre anche nei giorni non lavorativi; le informazioni non ancora disponibili sono fornite successivamente ai sensi della clausola 9.2.

F. Comunicazioni e modifiche. a) Le comunicazioni previste dall'accordo, compreso l'avviso di modifica dell'elenco dei sub-responsabili ai sensi della clausola 7.7, sono inviate per email agli indirizzi del Cliente registrati nel servizio. b) Il Cliente può opporsi per email, per motivi attinenti alla protezione dei dati, entro il termine di cui alla clausola 7.7, lettera a). In caso di opposizione il Fornitore non affida i dati del Cliente al nuovo sub-responsabile; se ciò non è possibile, il Fornitore sospende le attività del servizio che lo richiedono e il Cliente può recedere con effetto immediato, senza penali, con rimborso della parte del corrispettivo già pagata relativa al periodo non goduto. c) Una nuova versione dell'accordo è comunicata al Cliente e sottoposta alla sua firma; fino alla firma resta in vigore, e continua a regolare il servizio, la versione già sottoscritta.

G. Legge applicabile. L'accordo è regolato dalla legge italiana e dal GDPR.

H. Dati aggregati. Il Cliente autorizza il Fornitore a ricavare dai dati trattati per suo conto statistiche aggregate e anonime, che non consentono di identificare gli interessati né il Cliente, e a usarle per migliorare il servizio e descriverne i risultati. Ogni altro uso, compresa la pubblicazione di casi riconducibili al Cliente, richiede il consenso scritto del Cliente.

I. Continuità. Se il Fornitore cessa l'attività, è posto in liquidazione o è assoggettato a una procedura concorsuale, esso o chi lo rappresenta consegna senza ritardo al Cliente l'esportazione di cui alla lettera C, punto 2, e procede alla cancellazione di cui alla lettera C, punto 3, dandone certificazione.

L. Interpretazione e revisioni. a) Ai sensi della clausola 3, l'inciso «(per conto del responsabile del trattamento)» della clausola 7.7, lettera b), si intende conforme alle altre versioni linguistiche della Decisione (UE) 2021/915 («per conto del titolare del trattamento»). b) Il preavviso ragionevole di cui alla clausola 7.6, lettera d), è di almeno quindici (15) giorni lavorativi, salvo che vi siano indicazioni di inosservanza; il revisore è vincolato alla riservatezza; il Fornitore può mettere a disposizione la propria documentazione e le certificazioni dei sub-responsabili, fermo il diritto del Cliente di procedere a ispezione.

ALLEGATO I — Elenco delle parti

Titolare del trattamento (il Cliente): l'azienda indicata nel modulo di firma, con ragione sociale, partita IVA e sede, in persona del firmatario e nel ruolo che dichiara. Contatto: gli indirizzi email dell'account e dei manovratori registrati nel servizio. Attività: prospezione commerciale B2B e gestione delle relative conversazioni tramite il servizio Orfeo. Firma e data: quelle della firma elettronica registrata in calce al documento.

Responsabile del trattamento (il Fornitore): Carne Genuina SRL, che opera con il marchio La Genuina Agency e fornisce il servizio Orfeo; Via San Michele 24, 24047 Treviglio (BG); P.IVA e C.F. 04448120164. Referente: Mattia Assanelli, legale rappresentante; contatto per la protezione dei dati: amministrazione@carnegenuina.it, PEC carnegenuina@lamiapec.it. Attività: fornitura del servizio Orfeo, un assistente commerciale basato su intelligenza artificiale. Firma e data: in calce al documento.

ALLEGATO II — Descrizione del trattamento

Categorie di interessati. Titolari, amministratori, dipendenti e collaboratori di imprese, enti e professionisti individuati come potenziali clienti, fornitori o partner del Cliente; persone che rispondono alle comunicazioni o che il Cliente indica; i manovratori, limitatamente alle istruzioni e alle comunicazioni scambiate con Orfeo.

Categorie di dati personali. Nome e cognome; ruolo e organizzazione; indirizzo email e telefono professionali; indirizzi di pagine pubbliche che li riguardano (ad esempio il sito aziendale); fatti pubblici usati come motivo del contatto; contenuto delle email e dei messaggi scambiati e loro metadati (date, mittenti, destinatari, esito di consegna); note, stato e cronologia del contatto; dati contenuti nelle liste e nei file forniti dal Cliente o tratti, su sua istruzione, da elenchi e database di terzi. Dei manovratori: le istruzioni inviate e le comunicazioni scambiate con Orfeo; i loro dati di account sono trattati dal Fornitore in qualità di titolare ai sensi della Sezione IV, lettera C, punto 6).

Dati sensibili. Il servizio non ricerca né richiede dati delle categorie particolari (articoli 9 e 10 GDPR). Se un interessato li comunica spontaneamente in una risposta, restano soltanto nella conversazione, non sono usati per selezionare o profilare e seguono la sua cancellazione.

Natura del trattamento. Ricerca su fonti pubbliche (siti web, registri pubblici) e acquisizione dei dati contenuti negli elenchi e nei database di terzi indicati dal Cliente; raccolta, registrazione, organizzazione e conservazione in un CRM; consultazione; ricavo di indirizzi email professionali; redazione e invio di email di primo contatto e di seguito dalla casella dedicata al Cliente; lettura e risposta alle email ricevute; gestione, dalla casella dedicata, degli appuntamenti con gli interessati e lettura della sola disponibilità (libero/occupato) del calendario dei manovratori che la condividono; report e passaggi al Cliente; esportazione; cancellazione. Le operazioni sono svolte da un agente di intelligenza artificiale (modelli Anthropic) secondo le istruzioni del Cliente, con limiti di invio giornalieri, opposizione eseguita in automatico e identità del mittente dichiarata in ogni messaggio.

Finalità. Svolgere per conto del Cliente le campagne di contatto commerciale B2B da lui configurate e gestirne le conversazioni fino al passaggio al Cliente. Spetta al Cliente, quale titolare, individuare la base giuridica del trattamento e verificare la liceità delle comunicazioni, anche alla luce dell'articolo 130 del decreto legislativo 30 giugno 2003, n. 196, e dei provvedimenti del Garante per la protezione dei dati personali. Il Fornitore non usa questi dati per finalità proprie, né per addestrare modelli di intelligenza artificiale, salvo quanto previsto dalla Sezione IV, lettera H.

Durata. Dalla firma per tutta la durata dell'abbonamento, compreso il periodo di prova; dopo la cessazione, per il tempo necessario alla restituzione e alla cancellazione secondo la Sezione IV, lettera C, e, per il solo elenco delle opposizioni, fino alla richiesta di cancellazione del Cliente.

Sub-responsabili. Materia, natura e durata dei trattamenti affidati ai sub-responsabili sono indicate nell'Allegato IV; la durata coincide con quella del presente accordo.

ALLEGATO III — Misure tecniche e organizzative

Separazione fra clienti. I dati di ogni Cliente sono separati nel database con politiche di sicurezza a livello di riga (row level security di PostgreSQL) che limitano ogni lettura e scrittura al solo Cliente; l'applicazione si collega con un ruolo privo di privilegi amministrativi, e le operazioni fra più clienti sono riservate a percorsi di sistema espliciti.

Accesso del Cliente. Il Cliente accede all'area riservata con un codice monouso inviato alla sua email; le sessioni sono in cookie protetti (httpOnly, secure). Il browser non comunica mai direttamente con l'interfaccia applicativa: le richieste passano dal server del sito con un token di servizio.

Accesso del personale del Fornitore. Accede ai dati del Cliente soltanto Mattia Assanelli, legale rappresentante del Fornitore, per assistenza, manutenzione, sicurezza e verifica della qualità del servizio, tramite il pannello di amministrazione e gli strumenti di gestione dei sistemi di produzione, con credenziali personali. Nessun altro collaboratore del Fornitore ha accesso ai dati dei clienti; un'eventuale nuova persona autorizzata è vincolata per iscritto alla riservatezza ed è comunicata al Cliente.

Cifratura e segreti. Tutte le comunicazioni avvengono su connessioni cifrate (HTTPS/TLS). Le credenziali dei servizi sono conservate solo in variabili d'ambiente del fornitore di hosting, mai nel codice; ogni servizio esterno ha chiavi dedicate a questo progetto e, dove possibile, limitate alla sola funzione necessaria.

Posta elettronica. Ogni Cliente ha una casella dedicata, orfeo@nome-cliente.postaaziende.it, su un account Google Workspace gestito dal Fornitore; il nome visualizzato è «Orfeo per» seguito dal nome del Cliente. Le email sono firmate con la chiave DKIM del dominio postaaziende.it e superano i controlli SPF e DMARC. Il dominio del Cliente non viene mai usato, così la reputazione della sua posta aziendale resta separata. Gli invii hanno un tetto giornaliero per casella e una partenza graduale.

Minimizzazione e qualità. Si raccolgono solo dati professionali utili al contatto, con la fonte registrata; ogni email dichiara chi scrive e per conto di chi, e come non ricevere altro.

Opposizione. Chi risponde chiedendo di non essere più contattato è escluso subito e per ogni campagna futura del Cliente; l'esclusione è controllata prima di ogni invio.

Controllo umano e arresto. Il Cliente riceve un report quotidiano delle attività e può fermare la campagna in ogni momento, anche scrivendo a Orfeo; le azioni dell'agente (ricerche, email, modifiche ai contatti) sono registrate.

Sviluppo e verifica. Il codice è versionato; ogni modifica passa da test automatici, compresi quelli sull'isolamento fra clienti, prima della pubblicazione; gli ambienti di test usano database separati da quello di produzione.

Assistenza al titolare (clausola 8). Il Fornitore mette a disposizione: l'esportazione dei dati descritta nella Sezione IV, lettera C, punto 2), disponibile anche durante il rapporto; la ricerca e la cancellazione dei dati di un singolo interessato su richiesta del Cliente; le informazioni sul trattamento utili alla valutazione d'impatto del Cliente, compreso il presente accordo; il nominativo di riferimento indicato nell'Allegato I.

Violazioni (clausola 9). Oltre a quanto previsto dalla clausola 9.2, il Fornitore comunica le misure tecniche coinvolte, i fornitori interessati e l'orario della scoperta, e tiene un registro delle violazioni.

ALLEGATO IV — Elenco dei sub-responsabili del trattamento

Il Cliente autorizza il ricorso ai seguenti sub-responsabili (clausola 7.7) e, con la sottoscrizione, dà istruzione documentata ai sensi della clausola 7.8, lettera a), per i trasferimenti verso paesi terzi di seguito indicati. Il Cliente prende atto che il database e i file del servizio sono ospitati negli Stati Uniti e che pertanto tutti i dati personali trattati per suo conto sono oggetto di trasferimento. Ciascun trasferimento si fonda sulla decisione di adeguatezza UE-USA (Data Privacy Framework), per i destinatari certificati e finché è in vigore, oppure sulle clausole contrattuali tipo della Decisione (UE) 2021/914 incluse nell'accordo sul trattamento del sub-responsabile, con le misure supplementari ivi previste. Se la decisione di adeguatezza perde efficacia, i trasferimenti proseguono sulla base delle clausole contrattuali tipo e il Fornitore ne informa il Cliente. I sub-responsabili applicano i propri accordi sul trattamento standard, che il Fornitore mette a disposizione del Cliente su richiesta.

• Anthropic Ireland, Limited (Dublino, Irlanda) e, quale suo sub-responsabile, Anthropic, PBC (San Francisco, Stati Uniti). Modelli di intelligenza artificiale che svolgono il lavoro di Orfeo: leggono i dati dei contatti e delle conversazioni, cercano sul web, scrivono i messaggi. I dati sono elaborati negli Stati Uniti; Anthropic, PBC non è certificata nel Data Privacy Framework. Trasferimento: clausole contrattuali tipo 2021/914 dell'accordo sul trattamento di Anthropic. Anthropic non usa per l'addestramento i dati ricevuti tramite le API commerciali.
• Google Cloud Italy S.r.l. (Via Federico Confalonieri 4, Milano), con Google LLC (Stati Uniti). Google Workspace: la casella dedicata al Cliente, cioè le email inviate e ricevute. I dati possono essere trattati nei paesi in cui Google e i suoi sub-responsabili hanno strutture. Trasferimento: Data Privacy Framework (Google LLC è certificata) e clausole contrattuali tipo 2021/914.
• Railway Corporation (Stati Uniti), con il servizio di archiviazione dei file che usa (Tigris Data, Inc., Stati Uniti). Hosting dell'applicazione, del database e dei file (documenti caricati, allegati, trascrizioni delle sessioni dell'agente), nella regione US East (Virginia). Trasferimento: Data Privacy Framework (Railway è certificata) e clausole contrattuali tipo 2021/914.
• Resend (Plus Five Five, Inc., Stati Uniti). Invio delle email di servizio al Cliente (report, schede dei contatti, avvisi), che possono contenere dati dei contatti. Trasferimento: Data Privacy Framework e clausole contrattuali tipo 2021/914.