Contratto per il trattamento dei dati per conto del titolare (art. 28 RGPD)

1. Parti e oggetto

1.1 Il titolare del trattamento è l'Utente (di seguito «Committente»), il responsabile del trattamento è iBeekeeper UG (haftungsbeschränkt), Lessingstraße 4, 15345 Altlandsberg, Germania (di seguito «iBeekeeper»).

1.2 iBeekeeper tratta dati personali per conto del Committente, nella misura in cui quest'ultimo li memorizza nel Servizio nell'ambito del contratto di utilizzo (CGC). Durata: durata del contratto di utilizzo più i termini di cui al punto 9.

2. Natura, finalità e portata

3. Istruzioni

iBeekeeper tratta i dati solo su istruzione documentata del Committente. Le istruzioni sono stabilite in modo esaustivo nel contratto di utilizzo e nelle impostazioni e funzioni del Servizio che il Committente utilizza. Ulteriori istruzioni sono impartite dal Committente in forma testuale a service@ibeekeeper.de. Se iBeekeeper ritiene che un'istruzione sia illecita, ne informa senza indugio il Committente (art. 28, par. 3, terzo comma, RGPD).

4. Riservatezza

iBeekeeper impiega solo persone che si sono impegnate alla riservatezza o che sono soggette a un obbligo legale di riservatezza.

5. Misure tecniche e organizzative

iBeekeeper adotta le misure ai sensi dell'art. 32 RGPD descritte nell'allegato 1 e le adegua allo stato dell'arte, senza ridurre il livello di protezione.

6. Sub-responsabili del trattamento

6.1 Il Committente autorizza i sub-responsabili del trattamento indicati nell'allegato 2.

6.2 iBeekeeper informa il Committente in forma testuale, almeno 30 giorni prima, di ogni previsto ricorso a un sub-responsabile o sostituzione dello stesso. Entro tale termine il Committente può opporsi per un motivo rilevante attinente alla protezione dei dati. Se le parti non riescono ad accordarsi, il Committente può disdire il contratto di utilizzo con effetto dalla data della modifica.

6.3 iBeekeeper impone contrattualmente a ciascun sub-responsabile del trattamento i medesimi obblighi in materia di protezione dei dati.

7. Assistenza al Committente

iBeekeeper assiste il Committente con misure adeguate nel dare seguito alle richieste degli interessati (artt. da 12 a 22 RGPD), in particolare mediante le funzioni di esportazione, modifica e cancellazione del Servizio, nonché nell'adempimento degli obblighi di cui agli artt. da 32 a 36 RGPD. Se un interessato si rivolge direttamente a iBeekeeper, iBeekeeper inoltra la richiesta al Committente.

8. Violazioni dei dati personali

iBeekeeper notifica al Committente senza indugio, possibilmente entro 48 ore dal momento in cui ne è venuta a conoscenza, una violazione dei dati trattati per conto del Committente, con le informazioni di cui all'art. 33, par. 3, RGPD, nella misura in cui siano note.

9. Cancellazione e restituzione

Il Committente può esportare e cancellare autonomamente i dati in qualsiasi momento. Al termine del contratto di utilizzo o dopo l'eliminazione dell'account, iBeekeeper cancella i dati trattati per conto del Committente secondo i termini delle CGC (punto 9.7), salvo che sussista un obbligo legale di conservazione. I backup giornalieri vengono cancellati dopo 30 giorni, uno stato per ciascun mese di calendario dopo 12 mesi. I backup sono cifrati e vengono utilizzati solo per il ripristino; dopo un ripristino, i dati cancellati nel frattempo vengono nuovamente cancellati.

10. Prove e controlli

Su richiesta, iBeekeeper mette a disposizione del Committente le informazioni necessarie a dimostrare il rispetto dei presenti obblighi e consente verifiche da parte del Committente o di un revisore da lui incaricato e vincolato alla riservatezza, previo preavviso con un termine adeguato e durante l'orario lavorativo. La prova è fornita in via prioritaria mediante documentazione e informazioni.

11. Responsabilità e disposizioni finali

Per la responsabilità si applica l'art. 82 RGPD; per il resto si applicano le CGC. In caso di contraddizioni, il presente accordo prevale sulle CGC per quanto riguarda la protezione dei dati personali.

Allegato 1: Misure tecniche e organizzative

• Accesso fisico e sicurezza fisica: server esclusivamente in centri di calcolo di OVHcloud, parte contraente OVH GmbH, Colonia; controllo dell'accesso fisico da parte di OVHcloud secondo il relativo accordo sul trattamento dei dati (versione del 17/10/2025).
• Accesso ai sistemi: accesso con password, password memorizzate solo come hash; accesso amministrativo ai server solo tramite chiave SSH.
• Accesso ai dati: diritti nel Servizio per account, condivisioni solo da parte dell'Utente; gli accessi amministrativi vengono registrati (app di amministrazione, registro delle azioni sui clienti).
• Trasmissione: cifratura del trasporto TLS per tutte le connessioni; foto senza metadati.
• Controllo dell'immissione: registro delle modifiche per il libro cassa e le fatture emesse, archiviazione non modificabile con somma di controllo.
• Disponibilità: backup giornaliero del database e dei media su supporti separati (object storage di OVHcloud in Germania); i backup giornalieri vengono cancellati dopo 30 giorni, uno stato per ciascun mese di calendario dopo 12 mesi; i backup sono cifrati e vengono utilizzati solo per il ripristino; il ripristino viene testato almeno una volta all'anno e il risultato viene documentato.
• Separazione: archiviazione dei dati multi-tenant, interrogazioni per account.
• Verifica: aggiornamenti di sicurezza dei server e delle dipendenze, verifica annuale delle misure.

Allegato 2: Sub-responsabili del trattamento

OVH GmbH si avvale a sua volta di società del gruppo OVHcloud, per assistenza e manutenzione anche di OVH Hébergement Inc. (Canada) e di OVH Limited (Regno Unito); l'elenco aggiornato è disponibile all'indirizzo https://contract.eu.ovhapis.com/1.0/pdf/OVH_Sub_processors-de.pdf.

Non sono sub-responsabili del trattamento: Mollie, Apple e Google (pagamento o recapito in un rapporto proprio con l'Utente, nessun dato trattato per conto del Committente).