Data Processing Agreement (DPA) — mailronix

Art. 1 — Ruoli e oggetto

1. Il Tenant è titolare dei dati personali dei propri contatti e destinatari caricati o generati in piattaforma; mailronix li tratta come responsabile, per conto e su istruzione del Tenant, al solo fine di erogare il servizio. Il Tenant resta unico titolare dei dati dei propri contatti anche quando li tratta sotto più Brand: il Brand è un'identità di comunicazione, non un distinto titolare. Le richieste degli interessati riguardano il Tenant e i suoi Brand nel loro insieme, e il Tenant vi dà riscontro su tutti i propri Brand, compresi quelli archiviati; il Fornitore lo assiste ai sensi dell'art. 28(3)(e) e gli inoltra le richieste eventualmente ricevute in via diretta.
2. I dati dell'account del Tenant e dei suoi utenti (registrazione, autenticazione, log di piattaforma, abbonamento) restano trattati da mailronix come autonomo titolare, secondo la Privacy Policy: non sono oggetto di questo DPA.
3. Il dettaglio del trattamento (categorie di interessati, dati, durata) è nell'Annex 1; le misure di sicurezza nell'Annex 2; i sub-responsabili autorizzati nell'Annex 3 (registro dedicato).

Art. 2 — Istruzioni del titolare

1. mailronix tratta i dati solo su istruzione documentata del Tenant. L'uso della piattaforma (configurazione di liste, campagne, invii tramite le funzioni del servizio) costituisce l'istruzione documentata; istruzioni ulteriori fuori dalle funzioni del servizio non sono supportate, salvo accordo scritto.
2. Fa eccezione il trattamento richiesto dal diritto UE o nazionale (art. 28(3)(a)): in tal caso mailronix informa il Tenant prima del trattamento, salvo divieto di legge.
3. Istruzione permanente concordata (funzionamento della piattaforma che il Tenant accetta come istruzione):
   • gli indirizzi colpiti da hard bounce o complaint entrano nella suppression list del Tenant e gli invii futuri verso di essi vengono scartati senza notifica al destinatario; l'indirizzo soppresso è conservato anche dopo l'eventuale cancellazione del contatto, al solo fine di garantire il non-invio (misura a tutela del destinatario stesso e della piattaforma);
   • i Contatti diventano destinatari di invii promozionali di un Brand soltanto dopo il relativo double opt-in; la prova della conferma (timestamp, provenienza e Brand) è conservata per conto del Tenant e non è trasferibile a un altro Brand. Restano ammesse le sole comunicazioni strettamente transazionali e le richieste di conferma lecite disciplinate dal §5 dei Termini;
   • gli indirizzi disiscritti sono conservati, con data e Brand, nella misura necessaria a impedire il reimport e il nuovo invio promozionale non richiesto. La revoca relativa a un Brand non autorizza iscrizioni presso altri Brand. Il Tenant deve rispettare anche l'opposizione o la revoca estesa a tutte le sue comunicazioni, senza richiedere reiterazioni per ogni Brand. La reiscrizione presso il Brand abbandonato richiede una nuova richiesta e un nuovo double opt-in. Alla fine del rapporto si applica l'art. 8;
   • gli eventi tecnici di invio e di consenso sono trasmessi agli indirizzi webhook che il Tenant ha configurato; la configurazione di un indirizzo vale come istruzione documentata di trasmettergli quei dati. La destinazione è scelta dal Tenant, che ne verifica la correttezza e ne risponde (art. 2-bis).
4. Se mailronix ritiene che un'istruzione violi il GDPR o altre norme, informa il Tenant (art. 28(3), ultimo periodo).

Art. 2-bis — Destinazioni scelte dal Tenant

1. Il gestore dell'endpoint webhook, se scelto e incaricato direttamente dal Tenant, è un destinatario individuato dal Tenant e non un sub-responsabile incaricato da mailronix. Il ruolo effettivo dipende dal trattamento svolto. Il Tenant verifica il destinatario, la sicurezza del ricevitore e l'eventuale accordo richiesto con il proprio fornitore. Se la destinazione comporta un trasferimento extra-SEE, le parti ne verificano prima dell'attivazione la liceità e lo strumento del Capo V applicabile, incluso il ruolo di mailronix quale eventuale esportatore: la sola configurazione dell'URL non sostituisce tali garanzie.
2. mailronix firma ogni richiesta; spetta al Tenant verificare la firma e rifiutare le richieste non autentiche. Il segreto di firma è mostrato al Tenant una sola volta e può essere ruotato.
3. Una consegna non riuscita è ritentata per circa quattro giorni; se, esauriti i tentativi di una consegna, l'endpoint non ha ricevuto con successo alcun evento nelle ultime 72 ore, è disattivato e il titolare dell'account ne è avvisato. mailronix non garantisce l'ordine né l'unicità di consegna: gli eventi hanno un identificativo stabile che il ricevitore usa per deduplicare.
4. Le aperture non sono rilevate e non esiste alcun evento di apertura. Gli eventi di click (email.clicked) sono trasmessi soltanto se il Tenant ha acceso il tracciamento facoltativo dei click per il Brand e solo per i destinatari con consenso valido (art. 2-ter).

Art. 2-ter — Tracciamento facoltativo dei click

1. 1. Su istruzione documentata del Cliente, Mailronix offre il tracciamento facoltativo dei click nelle campagne per i soli destinatari con consenso valido registrato. Il Cliente è titolare e Mailronix responsabile per questo trattamento. Mailronix non utilizza i dati di tracking per finalità proprie. Le aperture non sono rilevate. Alla revoca cessa la registrazione analitica dei nuovi click anche sui messaggi già inviati; il redirect continua a inoltrare alla destinazione per il periodo previsto. Sono esclusi i link di disiscrizione, preferenze e servizio. Mailronix assiste il Cliente nell'esercizio dei diritti e nella disponibilità delle prove delle scelte.
2. 2. Gli eventi individuali sono conservati per 90 giorni; la prova minima per la durata del trattamento e 24 mesi dalla sua cessazione; le destinazioni per 24 mesi dall'invio della campagna. La cancellazione tecnica avviene entro 48 ore dalla scadenza, senza ulteriore uso dopo la scadenza. Le revoche sono conservate finché necessarie durante il rapporto, con riesame annuale. Alla cessazione si applicano restituzione o cancellazione secondo le istruzioni del Cliente e il DPA, salvo obblighi di legge applicabili. Sono ammesse cancellazioni anticipate nei casi di richiesta accolta dal titolare, trattamento illecito, errore, scadenza della finalità, istruzione valida di cancellazione o restituzione e cessazione del rapporto. Le evidenze minime delle istruzioni degli amministratori eventualmente conservate da Mailronix per propria tutela sono disciplinate separatamente nella sua informativa e non autorizzano la conservazione dei dati dei destinatari.

Art. 3 — Riservatezza

Le persone autorizzate al trattamento sotto l'autorità di mailronix sono vincolate alla riservatezza. Gli accessi amministrativi cross-tenant sono limitati al personale necessario e tracciati. Il log è append-only rispetto al ruolo applicativo, secondo l'Annex 2; non si dichiara un'impossibilità assoluta di modifica da parte di qualsiasi soggetto privilegiato. La registrazione degli accessi amministrativi e delle operazioni di sicurezza avviene secondo l'Annex 2. Per i dati trattati per conto del Titolare restano prevalenti le sue istruzioni lecite e l'art. 8 sulla cessazione; i termini ordinari dell'Annex 2 non autorizzano una conservazione personale ulteriore. I trattamenti distinti svolti da Apdsoftware come titolare sono descritti nella Privacy Policy e non si fondano sul presente incarico.

Art. 4 — Sicurezza

mailronix adotta le misure tecniche e organizzative dell'Annex 2 (art. 32 GDPR), adeguate al rischio del trattamento. L'Annex riflette l'architettura reale della piattaforma e viene aggiornato al suo evolvere, senza riduzione del livello complessivo di protezione.

Art. 5 — Sub-responsabili

1. Il Tenant presta autorizzazione generale all'impiego dei sub-responsabili elencati nell'Annex 3 (registro dei sub-responsabili).
2. Le aggiunte o sostituzioni dei sub-responsabili sono comunicate almeno 30 giorni prima agli amministratori tramite email e avviso in piattaforma, specificando attività, dati e garanzie. Il Tenant può formulare un'obiezione motivata relativa alla protezione dei dati entro il periodo di preavviso. Le parti cercano una soluzione; in assenza di soluzione, mailronix non avvia il trattamento contestato per quel Tenant e il Tenant può recedere dalla parte interessata o dall'intero servizio se non separabile.
3. mailronix impone a ogni sub-responsabile obblighi equivalenti a quelli del presente DPA (art. 28(4)) e resta pienamente responsabile verso il Tenant dell'operato dei sub-responsabili.
4. Nella fase attuale non è attivo alcun prestatore per l'acquisto dei piani a pagamento. L'eventuale futuro prestatore sarà qualificato secondo le attività effettive: il solo trattamento di dati di pagamento non lo rende sub-responsabile dei Contatti. I ruoli e i flussi saranno aggiornati prima dell'attivazione.

Art. 6 — Trasferimenti di dati al di fuori dello Spazio economico europeo (SEE)

Applicazione, database e backup sono localizzati in Germania secondo l'Annex 2. AWS tratta i dati per la consegna nella regione eu-central-1 e conserva dati tecnici e di soppressione; Cloudflare opera su una rete globale. Le garanzie per eventuali trasferimenti extra-SEE, inclusi accessi remoti, sono descritte nel registro con riferimento alle entità e attività effettive. Si utilizza il DPF soltanto per destinatari e trattamenti effettivamente coperti da adesione attiva; negli altri casi si applicano gli strumenti del Capo V pertinenti, incluse SCC validamente concluse, valutazioni e misure supplementari ove necessarie. Il solo richiamo a SCC di fallback non costituisce garanzia già verificata.

Art. 7 — Assistenza al titolare

1. Diritti degli interessati (art. 28(3)(e)): la piattaforma offre in self-service gli strumenti per riscontrare le richieste (consultazione, rettifica, cancellazione contatti, export CSV); per quanto non coperto, mailronix assiste su richiesta a privacy@mailronix.com. Le richieste ricevute direttamente da mailronix vengono inoltrate al Tenant senza riscontro diretto all'interessato, salvo obbligo di legge.
2. mailronix comunica al Tenant le violazioni dei dati personali trattati per suo conto senza ingiustificato ritardo dalla conoscenza, con le informazioni disponibili e successivi aggiornamenti. L'obiettivo organizzativo di prima comunicazione entro 48 ore non costituisce un termine di attesa né sospende l'obbligo di tempestività. La comunicazione è inviata agli amministratori via email, usando un recapito alternativo verificato se l'account è compromesso. Il Tenant valuta autonomamente gli adempimenti verso autorità e interessati secondo gli artt. 33 e 34 GDPR.
3. DPIA: su richiesta, mailronix fornisce le informazioni ragionevolmente necessarie per valutazioni d'impatto del Tenant relative all'uso della piattaforma (art. 28(3)(f)).

Art. 8 — Cancellazione e restituzione (fine del rapporto)

1. Alla cessazione il Tenant sceglie se ottenere la restituzione dei dati trattati per suo conto o la loro cancellazione; può modificare la scelta prima della fine del servizio e chiedere cancellazione anticipata. In assenza di istruzioni diverse, dispone di 30 giorni per l'esportazione; la restituzione comprende i dati personali trattati per suo conto in formato utilizzabile, non soltanto la rubrica, con assistenza per quelli non esportabili in self-service.
2. Al termine mailronix cancella i dati e le copie trattati per conto del Tenant, incluse le liste di disiscrizione e soppressione riferibili al solo incarico cessato, salvo conservazione imposta dal diritto UE o nazionale, da comunicare al Tenant. Su richiesta conferma il completamento della cancellazione. Gli eventuali dati minimi usati per una distinta finalità propria di sicurezza non sono trattenuti in forza di questa eccezione contrattuale: richiedono ruolo, base giuridica, minimizzazione, durata e diritti separatamente documentati nella Privacy Policy.
3. Le copie residue nei backup cifrati sono isolate dall'uso ordinario ed eliminate entro il limite massimo indicato nella sezione "Backup" della Privacy Policy applicabile al rapporto. Tale limite comprende le copie ordinarie, premigrazione e le versioni recuperabili presso lo storage. In caso di ripristino, le cancellazioni sono riapplicate prima di rimettere i dati nell'uso ordinario. Questa disciplina non consente una conservazione ulteriore per finalità proprie né limita le scelte del Titolare ai sensi dell'art. 8.

Art. 9 — Audit

1. mailronix mette a disposizione le informazioni necessarie a dimostrare la conformità agli obblighi dell'art. 28 (art. 28(3)(h)): documentazione delle misure (Annex 2), registro sub-responsabili, esiti sintetici delle verifiche di sicurezza periodiche (incluso, in forma riassuntiva, il penetration test).
2. Le verifiche sono organizzate in modo proporzionato, iniziando di norma dalla documentazione. Il Tenant può effettuare o incaricare audit e ispezioni quando ragionevolmente necessari per verificare gli obblighi dell'art. 28. Per gli audit ordinari si concordano preavviso, orari, riservatezza e costi ragionevoli; frequenza e preavviso non impediscono controlli ulteriori o urgenti in caso di incidenti, fondati sospetti di non conformità o richieste dell'autorità. Si tutelano i dati degli altri Tenant senza svuotare il diritto di verifica.

Art. 10 — Obblighi del Tenant (titolare)

Il Tenant garantisce che:

1. dispone di idonea base giuridica per ogni contatto caricato (il double opt-in di piattaforma è una misura di igiene e prova, non sostituisce la base giuridica della raccolta originaria);
2. non carica né trasmette, anche negli allegati, categorie particolari di dati (art. 9 GDPR), dati relativi a condanne penali e reati (art. 10 GDPR) o dati di minori;
3. fornisce ai propri contatti l'informativa ex artt. 13-14, indicando anche l'uso di mailronix quale responsabile;
4. accetta le misure di piattaforma descritte all'art. 2.3 (double opt-in obbligatorio, suppression) come parte del funzionamento del servizio;
5. utilizza i Brand esclusivamente come proprie identità di comunicazione e non per conto di terzi, e non impiega la molteplicità dei Brand per aggirare una revoca del consenso (Termini di Servizio §5.6);
6. è responsabile del contenuto degli allegati che invia e garantisce che non contengano software dannoso; mailronix non esegue la scansione antivirus degli allegati.

Art. 11 — Durata e prevalenza

Il DPA vale per tutta la durata del servizio ed è efficace finché mailronix tratta dati per conto del Tenant. In caso di conflitto tra DPA e Termini di Servizio, per i trattamenti ex art. 28 prevale il DPA. Legge applicabile e foro: come da Termini di Servizio (legge italiana, foro di Bergamo).

Annex 1 — Dettagli del trattamento

Annex 2 — Misure tecniche e organizzative (art. 32)

Misure effettive dell'architettura:

Le misure elencate sono quelle effettive: non è dichiarata la cifratura a livello di disco del VPS (i backup sono comunque cifrati lato client); se introdotta, l'Annex sarà aggiornato.

Annex 3 — Sub-responsabili autorizzati

Elenco, sedi, garanzie di trasferimento e procedura di modifica: registro dei sub-responsabili, pubblicato su https://mailronix.com/subprocessors e parte integrante del presente DPA. Il registro riporta la data del proprio ultimo aggiornamento; le modifiche seguono la procedura di preavviso e obiezione dell'art. 5.2.