Accordo sul trattamento dei dati (DPA)

Ai sensi dell'art. 28 del Regolamento (UE) 2016/679 ("GDPR"). Fa parte dei Termini di servizio di TargetPro.

1. Le parti

• Titolare del trattamento: l'utente del Servizio, cioè il professionista o l'azienda che si registra a TargetPro e inserisce nel gestionale i dati dei propri clienti e contatti (il "Cliente").
• Responsabile del trattamento: TargetPro s.r.l.s. ("TargetPro").

2. Oggetto e durata

TargetPro tratta i dati personali che il Cliente inserisce nel Servizio esclusivamente per fornire il Servizio stesso (archiviazione, sincronizzazione tra dispositivi, copie di sicurezza, funzioni dell'app, assistenza). Il trattamento dura quanto il rapporto contrattuale e il successivo periodo di conservazione in sola lettura (90 giorni), dopo il quale i dati vengono eliminati.

3. Natura e finalità del trattamento, dati e interessati

Finalità	gestione dell'attività commerciale del Cliente: anagrafica clienti, attività, agenda, documenti commerciali, reclami
Tipi di dati	dati identificativi e di contatto (nome, ragione sociale, indirizzo, telefono, email, PEC, partita IVA), dati commerciali (attività svolte, ordini, preventivi, reclami, note), eventuali foto e documenti caricati dal Cliente
Interessati	clienti e potenziali clienti del Cliente, loro referenti, contatti delle mandanti, collaboratori del Cliente
Dati particolari	il Servizio non è pensato per dati particolari (art. 9 GDPR); il Cliente si impegna a non inserirli

4. Obblighi di TargetPro

TargetPro:

1. tratta i dati solo su istruzione documentata del Cliente (le istruzioni sono i Termini di servizio e l'uso delle funzioni dell'app) e non per finalità proprie;
2. garantisce che le persone autorizzate al trattamento siano vincolate alla riservatezza;
3. adotta le misure di sicurezza dell'art. 32 GDPR descritte nell'Allegato 1;
4. ricorre ad altri responsabili (sub-responsabili) solo alle condizioni dell'art. 5;
5. assiste il Cliente nel rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, portabilità) tramite le funzioni dell'app e, se necessario, con interventi diretti entro 10 giorni lavorativi;
6. assiste il Cliente negli obblighi di sicurezza, notifica delle violazioni e valutazione d'impatto, in base alle informazioni di cui dispone;
7. al termine del rapporto, elimina i dati o li restituisce (esportazione dall'app) secondo quanto scelto dal Cliente, salvo obblighi di legge;
8. mette a disposizione le informazioni necessarie a dimostrare il rispetto di questo Accordo e consente verifiche, anche tramite ispezioni, con preavviso di 30 giorni, a spese del Cliente e senza interferire con la sicurezza degli altri clienti.

5. Sub-responsabili

Il Cliente autorizza TargetPro a usare i sub-responsabili elencati nell'Allegato 2, tutti vincolati da contratti con obblighi equivalenti a questo Accordo. TargetPro comunica via email, con almeno 30 giorni di anticipo, l'aggiunta o la sostituzione di un sub-responsabile; il Cliente può opporsi per motivi fondati e, in mancanza di soluzione, recedere dal contratto senza penali.

6. Trasferimenti fuori dall'Unione Europea

I dati sono trattati nell'Unione Europea. Gli unici casi di trattamento fuori dall'UE sono verso la Svizzera (Paese riconosciuto adeguato dalla Commissione Europea) e, per la sola distribuzione dell'app e le notifiche, verso Apple e Google con le garanzie dell'art. 46 GDPR.

7. Violazioni dei dati

TargetPro informa il Cliente senza ingiustificato ritardo, e comunque entro 48 ore dal momento in cui viene a conoscenza di una violazione dei dati personali, fornendo le informazioni disponibili (natura, dati e interessati coinvolti, conseguenze probabili, misure adottate) e aggiornandole man mano.

8. Responsabilità

Ciascuna parte risponde dei danni causati dal proprio inadempimento a questo Accordo, nei limiti previsti dai Termini di servizio e dall'art. 82 GDPR.

Allegato 1 — Misure di sicurezza

• cifratura dei dati in transito (TLS 1.2 o superiore) e a riposo sui server; database dell'app cifrato sul dispositivo;
• separazione dei dati per azienda tramite regole di accesso a livello di database (row level security): ogni utente vede solo i dati della propria azienda, secondo il suo ruolo;
• autenticazione con password robuste (minimo 8 caratteri, lettere maiuscole e minuscole, numeri e simboli), eliminazione dell'account dall'app;
• accesso ai sistemi da parte del personale di TargetPro limitato al necessario e protetto da autenticazione a due fattori;
• copie di sicurezza giornaliere con conservazione di 7 giorni e procedure di ripristino provate;
• registri tecnici degli accessi; aggiornamento regolare dei componenti software;
• fornitori certificati ISO 27001 o SOC 2 (Supabase, Google Cloud, Stripe, Infomaniak).

Allegato 2 — Sub-responsabili

Sub-responsabile	Servizio	Luogo
Supabase, Inc.	database, autenticazione, archiviazione file	UE
JourneyApps Ltd (PowerSync)	sincronizzazione dei dati con i dispositivi	UE
Google Cloud EMEA Ltd	assistente AI (Vertex AI, Francoforte), mappe, voce	UE
Infomaniak Network SA	hosting del sito e dell'area cliente	Svizzera
Hostinger International Ltd	email di servizio	UE

Stripe e Fatture in Cloud trattano solo i dati del Cliente stesso (pagamenti e fatture), non quelli dei suoi clienti, e non sono quindi sub-responsabili ai fini di questo Accordo.