Oggetto e ruoli
Il cliente agisce come titolare del trattamento e Unitizy sh.p.k. agisce come responsabile per i dati personali caricati, generati o gestiti nell'area aziendale del cliente su SimplyCompliance. Oggetto e durata coincidono con il contratto di servizio e con le attività necessarie a erogare, proteggere e assistere il servizio.
Art. 28, par. 3, lett. a) – Istruzioni documentate
Il fornitore tratta i dati personali soltanto su istruzioni documentate del cliente, incluse le impostazioni dell'area aziendale e le richieste di esportazione, cancellazione e assistenza. Se ritiene un'istruzione illecita, informa il cliente prima di eseguirla, salvo divieto di legge.
Art. 28, par. 3, lett. b) – Riservatezza
Le persone autorizzate al trattamento sono impegnate alla riservatezza o soggette a un idoneo obbligo legale di riservatezza. Gli accessi amministrativi sono limitati, tracciati e assegnati in base al ruolo.
Art. 28, par. 3, lett. c) – Sicurezza del trattamento
Il fornitore applica misure tecniche e organizzative adeguate, tra cui la separazione dei dati di ogni cliente, il controllo degli accessi, l'autenticazione a due fattori per gli amministratori, la registrazione degli eventi, le copie di sicurezza, la custodia protetta di chiavi e credenziali, la cifratura dei dati in transito, il rafforzamento della configurazione dei servizi e le procedure di gestione degli incidenti.
Art. 28, par. 3, lett. d) – Sub-responsabili
I sub-responsabili sono autorizzati secondo il contratto e un elenco aggiornato. I server che ospitano il servizio si trovano in Italia, sull'infrastruttura gestita direttamente da Unitizy sh.p.k.: per l'hosting non sono coinvolti sub-responsabili. L'elenco dei sub-responsabili comprende Aruba S.p.A., che fornisce il recapito della posta elettronica di servizio in Italia. Le modifiche sono comunicate con mezzi idonei e il cliente può opporsi quando il contratto lo prevede. I sub-responsabili ricevono obblighi sostanzialmente equivalenti a questo accordo.
Art. 28, par. 3, lett. e) – Diritti degli interessati
Il fornitore assiste il cliente, con misure tecniche e organizzative appropriate, nel rispondere alle richieste degli interessati relative ai dati presenti nella sua area aziendale.
Art. 28, par. 3, lett. f) – Assistenza al titolare
Il fornitore assiste il cliente per la sicurezza, le violazioni dei dati personali, la valutazione d'impatto (DPIA) e la consultazione preventiva quando le informazioni sono nella disponibilità del responsabile. Le violazioni note sono comunicate senza ingiustificato ritardo tramite i canali contrattuali.
Art. 28, par. 3, lett. g) – Fine del servizio
Al termine del servizio il fornitore cancella o restituisce i dati personali del cliente secondo la scelta del cliente, il contratto e la legge applicabile, salvo obblighi di conservazione o blocchi imposti dalla legge.
Art. 28, par. 3, lett. h) – Informazioni e verifiche
Il fornitore mette a disposizione le informazioni necessarie a dimostrare il rispetto degli obblighi del responsabile e consente verifiche ragionevoli secondo modalità concordate, evitando rischi per la sicurezza, i segreti commerciali e i dati di altri clienti.
Trasferimenti fuori dallo Spazio economico europeo
Per i dati del cliente trattati dal responsabile stabilito in Albania, quando il trasferimento dallo Spazio economico europeo richiede le garanzie del Capo V GDPR, si applicano le clausole contrattuali standard della decisione (UE) 2021/914, Modulo 2, insieme alla valutazione d'impatto sul trasferimento (TIA) e alle misure supplementari documentate. La valutazione e le misure supplementari sono conservate nel TIA e richiamate da questo accordo.
Allegato – Misure tecniche e organizzative
Il fornitore applica le seguenti misure tecniche e organizzative: accessi assegnati per ruolo, autenticazione forte per gli amministratori, registrazione degli eventi, copie di sicurezza verificate, separazione degli ambienti, gestione delle vulnerabilità, accessi ridotti al minimo necessario, procedure di ripristino e controllo dei fornitori.
Aggiornato al 5 agosto 2026.