Accordo sul Trattamento dei Dati (DPA)

Il presente Accordo è basato sulle Clausole Contrattuali Standard adottate dalla Commissione Europea con Decisione di Esecuzione (UE) 2021/915 del 4 giugno 2021, per i rapporti tra titolare e responsabile ai sensi dell'art. 28, par. 7, del Regolamento (UE) 2016/679 (GDPR), adattate al servizio Markethos. Costituisce parte integrante dei Termini di Servizio di Markethos.

1. Parti e oggetto

1.1. Il presente Accordo disciplina il trattamento di dati personali effettuato da Internet Business Academy srl, con sede in via G. La Farina 15, 50132 Firenze, P.IVA 06792120484 (di seguito il "Responsabile" o "Markethos"), per conto dell'utente del servizio Markethos che ha accettato i Termini di Servizio (di seguito il "Titolare" o "Utente"), ai sensi dell'art. 28 del GDPR.

1.2. L'Accordo si applica ai dati personali dei contatti, lead e utenti finali del Titolare (di seguito i "Dati") trattati tramite la piattaforma Markethos, come descritto nell'Allegato I.

1.3. In caso di contrasto tra il presente Accordo e i Termini di Servizio, prevale il presente Accordo per quanto attiene alla protezione dei dati personali.

2. Durata

2.1. L'Accordo ha efficacia dall'accettazione dei Termini di Servizio e per tutta la durata dell'abbonamento del Titolare, oltre al periodo di 90 giorni successivo alla cessazione previsto dalla clausola 10.

3. Istruzioni del Titolare

3.1. Il Responsabile tratta i Dati esclusivamente per conto del Titolare e in conformità alle sue istruzioni documentate, salvo che il trattamento sia richiesto dal diritto dell'Unione o italiano; in tal caso il Responsabile informa il Titolare prima del trattamento, salvo divieto di legge.

3.2. Le istruzioni del Titolare sono impartite tramite l'utilizzo delle funzionalità della piattaforma (creazione di quiz e funnel, invio di email, gestione dei contatti) e, ove necessario, tramite comunicazioni scritte al Responsabile.

3.3. Il Responsabile informa immediatamente il Titolare qualora ritenga che un'istruzione violi il GDPR o altre disposizioni in materia di protezione dei dati.

4. Finalità e limitazione del trattamento

4.1. Il Responsabile tratta i Dati esclusivamente per le finalità specificate nell'Allegato I (erogazione del servizio Markethos) e non li utilizza per finalità proprie.

5. Riservatezza

5.1. Il Responsabile garantisce che le persone autorizzate al trattamento dei Dati si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza, e trattino i Dati solo nella misura necessaria all'erogazione del servizio.

6. Sicurezza del trattamento

6.1. Il Responsabile adotta le misure tecniche e organizzative specificate nell'Allegato II, tenendo conto dello stato dell'arte, dei costi di attuazione, della natura, dell'oggetto, del contesto e delle finalità del trattamento, nonché dei rischi per i diritti e le libertà delle persone fisiche.

6.2. Il Responsabile assiste il Titolare nel garantire il rispetto degli obblighi di cui agli artt. 32-36 GDPR, tenuto conto della natura del trattamento e delle informazioni a sua disposizione.

7. Sub-responsabili

7.1. Il Titolare conferisce al Responsabile autorizzazione generale all'impiego di sub-responsabili per l'esecuzione di specifiche attività di trattamento, ai sensi dell'art. 28, par. 2, GDPR.

7.2. L'elenco dei sub-responsabili attualmente impiegati è riportato nell'Allegato III ed è mantenuto aggiornato, con indicazione della versione, nei documenti informativi generati dalla piattaforma.

7.3. Il Responsabile informa il Titolare di ogni modifica prevista riguardante l'aggiunta o la sostituzione di sub-responsabili con un preavviso di almeno 15 giorni, tramite comunicazione email o avviso in piattaforma, dando così al Titolare l'opportunità di opporsi. In caso di opposizione motivata, ove non sia possibile una soluzione alternativa, il Titolare può recedere dall'abbonamento prima dell'entrata in vigore della modifica. In casi urgenti — quali la sostituzione di un sub-responsabile resa necessaria da ragioni di sicurezza, da interruzioni del servizio o dalla cessazione del fornitore — il Responsabile può ingaggiare il nuovo sub-responsabile senza il preavviso di cui sopra, dandone comunicazione al Titolare senza ingiustificato ritardo e comunque entro 5 giorni; resta fermo il diritto di opposizione del Titolare con gli effetti previsti dalla presente clausola.

7.4. Il Responsabile impone a ciascun sub-responsabile, mediante contratto, obblighi in materia di protezione dei dati sostanzialmente equivalenti a quelli previsti dal presente Accordo, e resta pienamente responsabile nei confronti del Titolare dell'adempimento degli obblighi dei sub-responsabili.

8. Trasferimenti internazionali

8.1. I Dati sono conservati principalmente nell'Unione Europea (Allegato III). Ove il trattamento da parte di un sub-responsabile comporti un trasferimento verso paesi terzi, tale trasferimento avviene esclusivamente in presenza di una decisione di adeguatezza (incluso l'EU-US Data Privacy Framework per i fornitori statunitensi certificati) o di garanzie adeguate ai sensi del Capo V del GDPR (incluse le Clausole Contrattuali Standard).

9. Assistenza al Titolare

9.1. Il Responsabile, tenuto conto della natura del trattamento, assiste il Titolare con misure tecniche e organizzative adeguate per dare seguito alle richieste di esercizio dei diritti degli interessati (artt. 15-22 GDPR). La piattaforma mette a disposizione funzionalità di accesso, esportazione, rettifica e cancellazione dei Dati; il Responsabile inoltra senza ingiustificato ritardo al Titolare le eventuali richieste ricevute direttamente dagli interessati.

9.2. Violazione dei dati personali: il Responsabile notifica al Titolare, senza ingiustificato ritardo dopo esserne venuto a conoscenza, ogni violazione dei dati personali che riguardi i Dati, fornendo le informazioni necessarie affinché il Titolare possa adempiere agli obblighi di notifica di cui agli artt. 33-34 GDPR.

10. Cancellazione e restituzione dei Dati

10.1. Alla cessazione dell'abbonamento, i Dati sono conservati per 90 giorni, durante i quali il Titolare può esportarli (tramite le funzionalità della piattaforma ove accessibili, o su richiesta scritta al Responsabile) oppure riattivare l'abbonamento ritrovando i Dati intatti. Il Titolare può richiedere in qualsiasi momento la cancellazione anticipata. Decorso il termine di 90 giorni senza riattivazione, il Responsabile cancella i Dati, salvo che il diritto dell'Unione o italiano ne richieda la conservazione.

11. Documentazione e verifiche

11.1. Il Responsabile mette a disposizione del Titolare le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente Accordo e all'art. 28 GDPR, e consente e contribuisce alle attività di revisione, comprese le ispezioni, condotte dal Titolare o da altro soggetto da questi incaricato, con ragionevole preavviso e in modo da non compromettere la sicurezza degli altri utenti della piattaforma. Il Responsabile può soddisfare tali richieste in prima istanza mediante la messa a disposizione di documentazione, certificazioni o relazioni pertinenti.

12. Inosservanza e risoluzione

12.1. Fatte salve le disposizioni del GDPR, in caso di inosservanza degli obblighi del presente Accordo da parte del Responsabile, il Titolare può sospendere il trattamento e, se l'inosservanza è grave e persistente, recedere dal contratto per la parte relativa al trattamento dei dati.

Allegato I — Descrizione del trattamento

Categorie di interessati: contatti, lead e utenti finali del Titolare (persone che interagiscono con i quiz, i funnel, i webinar e le pagine pubbliche del Titolare).

Categorie di dati personali: dati identificativi e di contatto (indirizzo email, nome, ed eventualmente cognome, numero di telefono e indirizzo ove il Titolare attivi i relativi campi); risposte ai quiz e profili assegnati; dati relativi all'interazione con le comunicazioni (aperture, click, disiscrizioni); dati tecnici di navigazione sulle pagine pubbliche del Titolare; registrazioni del consenso.

Categorie particolari di dati: il servizio non è destinato al trattamento di categorie particolari di dati (art. 9 GDPR). Il Titolare si impegna a non raccoglierle tramite la piattaforma.

Natura e finalità del trattamento: raccolta, registrazione, organizzazione, conservazione, consultazione, uso, comunicazione mediante trasmissione e cancellazione dei Dati, al fine di erogare le funzionalità della piattaforma: creazione e pubblicazione di quiz e funnel, assegnazione di profili, invio di comunicazioni email per conto del Titolare, gestione dei contatti, erogazione di webinar, registrazione dei consensi, statistiche di funzionamento.

Durata del trattamento: per la durata dell'abbonamento del Titolare, oltre ai 90 giorni di cui alla clausola 10.

Allegato II — Misure tecniche e organizzative

• Cifratura dei dati in transito (TLS) su tutte le comunicazioni.
• Cifratura dei dati a riposo presso l'infrastruttura di database.
• Cifratura applicativa a riposo delle credenziali di accesso ai servizi collegati dal Titolare (integrazioni CRM, piattaforme social): sono conservate cifrate con chiave gestita separatamente dal database e non sono leggibili da chi acceda alle sole tabelle.
• Isolamento logico dei dati per tenant mediante politiche di sicurezza a livello di riga (Row Level Security) applicate a livello di database.
• Controllo degli accessi basato su autenticazione; accesso ai sistemi di produzione limitato al personale autorizzato.
• Backup periodici e procedure di ripristino.
• Registrazione degli eventi rilevanti (log) per finalità di sicurezza e diagnostica.
• Verifica lato server di tutte le operazioni critiche (principio del doppio controllo client/server).
• Valutazione dei fornitori e vincolo contrattuale dei sub-responsabili a obblighi equivalenti (clausola 7.4).

Allegato III — Sub-responsabili autorizzati

Elenco fornitori — versione 3 (29/07/2026). Fonte unica: la stessa costante letta dalla Privacy Policy dell'applicazione e dai documenti generati dalla piattaforma — qui non è ricopiata.

La v3 (luglio 2026) rimuove Google Ireland: i web font sono serviti dal dominio Markethos e quel trasferimento non avviene più. La v2 aveva allineato l'elenco a fornitori già in uso, senza introdurre trattamenti nuovi.

Internet Business Academy srl — DPA Markethos v1.0 — Luglio 2026

Documento redatto sulla base delle Clausole Contrattuali Standard UE (Decisione 2021/915). Non costituisce consulenza legale.