Accordo sul Trattamento dei Dati (DPA)

Accordo ai sensi dell'art. 28 del Regolamento (UE) 2016/679 (GDPR)
Servizio RavenSign - brand RAVENG
Ultimo aggiornamento: 29/07/2026

Bozza da sottoporre a validazione legale prima della pubblicazione.

Il presente Accordo sul Trattamento dei Dati (Data Processing Agreement, di seguito il "DPA") disciplina il trattamento dei dati personali effettuato da [RAGIONE SOCIALE] (CE4U Srl - brand RAVENG), con sede legale in [SEDE LEGALE], P.IVA/C.F. [P.IVA/C.F.] (di seguito il "Responsabile" o "Fornitore"), per conto del Cliente che utilizza il Servizio "RavenSign" (di seguito il "Titolare" o "Cliente"). Il presente DPA integra e forma parte integrante dei Termini di Servizio.

1. Ruoli delle parti

In relazione ai dati personali contenuti nei documenti caricati dal Cliente e ai dati dei firmatari da quest'ultimo invitati:

• il Cliente (tenant) agisce in qualità di Titolare del trattamento, in quanto determina finalità e mezzi del trattamento;
• il Fornitore (RavenSign / CE4U) agisce in qualità di Responsabile del trattamento, trattando i dati per conto e su istruzione documentata del Titolare.

Resta inteso che per i dati relativi all'account e alla gestione della piattaforma il Fornitore agisce quale autonomo Titolare, come descritto nell'Informativa Privacy.

2. Oggetto, durata, natura e finalità del trattamento

• Oggetto: il trattamento dei dati personali necessario all'erogazione del Servizio di firma elettronica avanzata (raccolta, archiviazione, elaborazione, trasmissione ai firmatari e conservazione dei documenti e delle relative evidenze).
• Durata: il trattamento ha la durata del rapporto contrattuale relativo al Servizio e si protrae fino alla cancellazione o restituzione dei dati secondo l'art. 9 del presente DPA.
• Natura: operazioni di trattamento eseguite mediante strumenti elettronici e automatizzati, quali raccolta, registrazione, organizzazione, conservazione, consultazione, comunicazione, cancellazione.
• Finalità: esclusivamente l'esecuzione del Servizio e degli obblighi contrattuali, secondo le istruzioni del Titolare.

3. Categorie di interessati e di dati

Categorie di interessati:

• utenti e collaboratori del Cliente;
• firmatari dei documenti;
• ulteriori soggetti i cui dati siano eventualmente contenuti nei documenti caricati.

Categorie di dati personali:

• dati anagrafici e di contatto (nome, cognome, email, telefono);
• dati contenuti nei documenti sottoposti a firma;
• dati relativi alla firma e alle evidenze del processo (data e ora, indirizzo IP, esito delle notifiche, dati di identificazione, integrità del documento).

Il Titolare si impegna a non caricare, salvo apposito accordo e adozione delle misure adeguate, categorie particolari di dati ai sensi dell'art. 9 GDPR non necessarie alle finalità del Servizio.

4. Obblighi del Responsabile

Il Responsabile si impegna a:

• trattare i dati personali esclusivamente sulla base di istruzioni documentate del Titolare, anche in caso di trasferimento verso Paesi terzi, salvo obblighi di legge;
• garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza;
• adottare tutte le misure di sicurezza richieste ai sensi dell'art. 32 GDPR (v. art. 5 del presente DPA);
• rispettare le condizioni per il ricorso a sub-responsabili (v. art. 6);
• assistere il Titolare, con misure tecniche e organizzative adeguate, nel dare seguito alle richieste di esercizio dei diritti degli interessati;
• assistere il Titolare nel garantire il rispetto degli obblighi di cui agli artt. da 32 a 36 GDPR (sicurezza, notifica delle violazioni, valutazione d'impatto, consultazione preventiva);
• mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi previsti e consentire le attività di revisione (v. art. 10);
• informare tempestivamente il Titolare qualora, a suo parere, un'istruzione violi il GDPR o altre disposizioni in materia di protezione dei dati.

5. Misure di sicurezza

Il Responsabile adotta misure tecniche e organizzative adeguate a garantire un livello di sicurezza appropriato al rischio, tra cui:

• Cifratura dei dati in transito (TLS/HTTPS) e cifratura dei dati a riposo per i documenti e le informazioni sensibili;
• Controllo degli accessi basato su ruoli e sul principio del privilegio minimo, con autenticazione degli utenti;
• Backup periodici e procedure di ripristino per garantire disponibilità e resilienza dei sistemi;
• Registrazione degli eventi (log) e tracciabilità delle operazioni rilevanti sul processo di firma;
• Segregazione logica dei dati tra i diversi Clienti (tenant);
• procedure di gestione degli incidenti e di notifica delle violazioni dei dati personali;
• aggiornamento e manutenzione dei sistemi, test e monitoraggio della sicurezza.

In caso di violazione dei dati personali (data breach), il Responsabile informa il Titolare senza ingiustificato ritardo dopo esserne venuto a conoscenza, fornendo le informazioni necessarie affinché il Titolare possa adempiere ai propri obblighi di notifica ai sensi degli artt. 33 e 34 GDPR.

6. Sub-responsabili e autorizzazione

Il Titolare autorizza il Responsabile ad avvalersi di sub-responsabili del trattamento per l'erogazione del Servizio. Al momento, i principali sub-responsabili sono:

Sub-responsabile	Attività
Brevo (Sendinblue)	Invio di email transazionali e notifiche di firma
Twilio	Invio di SMS ed eventuale verifica dell'identità tramite OTP
Fornitore di hosting / infrastruttura cloud	Archiviazione ed elaborazione dei dati

Il Responsabile impone ai propri sub-responsabili, mediante contratto, obblighi di protezione dei dati non meno rigorosi di quelli previsti dal presente DPA e resta pienamente responsabile nei confronti del Titolare dell'adempimento degli obblighi da parte dei sub-responsabili. In caso di modifiche relative all'aggiunta o alla sostituzione di sub-responsabili, il Responsabile ne informa il Titolare, che potrà opporsi per motivi legittimi.

7. Assistenza al Titolare

Il Responsabile fornisce al Titolare, tenendo conto della natura del trattamento e delle informazioni a sua disposizione, assistenza ragionevole per:

• dare seguito alle richieste degli interessati che esercitano i diritti previsti dagli artt. da 15 a 22 GDPR;
• garantire la sicurezza del trattamento e gestire eventuali violazioni;
• effettuare, ove necessario, valutazioni d'impatto sulla protezione dei dati (DPIA) ed eventuali consultazioni preventive con l'Autorità di controllo.

8. Trasferimenti extra-UE

Eventuali trasferimenti di dati personali verso Paesi terzi da parte del Responsabile o dei sub-responsabili avvengono esclusivamente in presenza di adeguate garanzie ai sensi degli artt. 44 e seguenti del GDPR (decisione di adeguatezza o Clausole Contrattuali Tipo, con eventuali misure supplementari).

9. Cancellazione o restituzione dei dati

Al termine della prestazione dei servizi relativi al trattamento, il Responsabile, a scelta del Titolare, cancella o restituisce tutti i dati personali trattati per conto del Titolare e cancella le copie esistenti, salvo che il diritto dell'Unione o dello Stato membro preveda la conservazione dei dati. La restituzione può avvenire mediante esportazione dei documenti e delle relative evidenze in un formato di uso comune, secondo le modalità tecniche concordate.

10. Audit e verifiche

Il Responsabile mette a disposizione del Titolare le informazioni necessarie per dimostrare il rispetto degli obblighi previsti dall'art. 28 GDPR e consente e contribuisce alle attività di revisione (audit), comprese le ispezioni, realizzate dal Titolare o da un soggetto terzo da questi incaricato. Le modalità e la frequenza degli audit sono concordate tra le parti in modo da non pregiudicare la sicurezza e la riservatezza dei dati degli altri Clienti; il Responsabile può soddisfare le richieste anche fornendo certificazioni, relazioni o attestazioni pertinenti.

11. Durata e disposizioni finali

Il presente DPA ha efficacia per tutta la durata del trattamento dei dati per conto del Titolare. In caso di conflitto tra il presente DPA e i Termini di Servizio in materia di protezione dei dati personali, prevale il presente DPA. Il presente DPA è regolato dalla legge italiana.

12. Contatti

[RAGIONE SOCIALE]
Email per il trattamento dei dati: [EMAIL CONTATTO PRIVACY]
PEC: [PEC]
Sede legale: [SEDE LEGALE]