Accordo sul trattamento dei dati (DPA)

1.1 L’Utente è Titolare del trattamento e Lofrand & Co S.r.l.s. è Responsabile del trattamento. Con l’accettazione del presente DPA il Titolare nomina il Responsabile per il trattamento dei dati personali svolto nell’esecuzione del Servizio.

1.2 Oggetto, natura e finalità del trattamento, tipi di dati personali, categorie di interessati e durata sono descritti nell’Appendice A.

1.3 I termini «trattamento», «dato personale», «Titolare», «Responsabile», «interessato», «violazione dei dati personali» e «sub-responsabile» hanno il significato di cui all’art. 4 GDPR; gli altri termini conservano il significato loro attribuito dai Termini.

2.1 Il Responsabile tratta i dati personali soltanto su istruzione documentata del Titolare. I Termini, il presente DPA e le sue Appendici, unitamente alle configurazioni impostate dal Titolare nella piattaforma (criteri di targeting, sequenze, automazioni, impostazioni degli account collegati), costituiscono le istruzioni iniziali; ulteriori istruzioni sono impartite per iscritto. Il Responsabile informa il Titolare qualora un’istruzione violi, a suo giudizio, la normativa applicabile e può sospenderne l’esecuzione.

2.2 Il Titolare garantisce la liceità delle finalità e dei criteri di targeting da esso definiti, l’esistenza e la documentazione di una valida base giuridica per il contatto degli interessati, il rispetto della disciplina sulle comunicazioni commerciali non sollecitate (ivi incluso l’art. 130 del D.lgs 196/2003), il rilascio dell’informativa ex art. 14 GDPR e la gestione dei diritti degli interessati, secondo quanto previsto dall’art. 10 dei Termini.

2.3 Il Servizio non è destinato né configurato a raccogliere categorie particolari di dati personali (art. 9 GDPR), dati relativi a condanne penali e reati (art. 10 GDPR) o dati di persone minori di età. Il Titolare si obbliga a non istruire il Servizio a richiederli e a non includerli nei criteri di targeting, nei contatti importati né nella knowledge base.

2.4 Le Parti riconoscono che, per la natura conversazionale del Servizio, il contatto può trasmettere spontaneamente informazioni di tale natura nel corso di uno scambio di messaggi, e che tali informazioni sono conservate insieme alla conversazione. Il relativo trattamento avviene sotto la titolarità e la responsabilità del Titolare, cui compete individuarne la base giuridica.

2.5 Il Titolare istruisce sin d’ora il Responsabile a: (a) non impiegare tali informazioni per la qualificazione, la classificazione o la profilazione del contatto; (b) segnalarne al Titolare l’emersione non occasionale non appena ne abbia contezza; (c) sospendere la conversazione, oscurare o cancellare il contenuto su richiesta del Titolare. In difetto di istruzioni del Titolare entro 15 (quindici) giorni dalla segnalazione, il Responsabile procede alla cancellazione del contenuto segnalato.

2.6 Qualora il Servizio debba essere impiegato in un contesto nel quale il trattamento di dati di cui all’art. 9 GDPR è connaturato all’attività del Titolare, le Parti sottoscrivono un accordo scritto separato, con l’indicazione delle misure aggiuntive adottate e delle istruzioni specifiche.

3.1 Il Responsabile si obbliga a:

• a) trattare i dati personali solo su istruzione documentata del Titolare, anche in caso di trasferimento verso Paesi terzi, salvo obblighi di legge, dei quali informa preventivamente il Titolare;
• b) garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza;
• c) adottare misure tecniche e organizzative adeguate alla sicurezza del trattamento (art. 32 GDPR), descritte nell’Appendice C;
• d) rispettare le condizioni per il ricorso a sub-responsabili di cui all’art. 5;
• e) assistere il Titolare, con misure adeguate, nel dare seguito alle richieste degli interessati (artt. 12-23 GDPR), anche mettendo a disposizione le funzioni di ricerca, esportazione, blacklist e cancellazione presenti nella piattaforma;
• f) assistere il Titolare nel rispetto degli obblighi di sicurezza, notifica delle violazioni, valutazione d’impatto e consultazione preventiva (artt. 32-36 GDPR), tenuto conto della natura del trattamento e delle informazioni disponibili;
• g) alla cessazione del Servizio, cancellare o restituire i dati personali secondo l’art. 6;
• h) mettere a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto dell’art. 28 GDPR e contribuire alle attività di revisione. Le verifiche sono condotte in via prioritaria mediante questionario scritto ed esame documentale, non più di una volta per anno contrattuale, con preavviso scritto di almeno 30 giorni, in orario lavorativo e con costi a carico del Titolare, senza pregiudizio per la riservatezza di terzi e per i segreti tecnici e commerciali del Responsabile; un’ispezione in loco o da remoto è ammessa solo se l’esito del questionario risulti oggettivamente insufficiente ovvero a seguito di una violazione dei dati personali che abbia interessato i dati del Titolare. Il soggetto eventualmente incaricato dal Titolare di svolgere la verifica non deve essere un concorrente del Responsabile e sottoscrive un impegno di riservatezza di contenuto non inferiore a quello dell’art. 17 dei Termini.

3.2 Il Responsabile tiene il registro delle categorie di attività di trattamento svolte per conto del Titolare (art. 30, par. 2, GDPR).

3.3 Addestramento dei modelli. Il Responsabile, per proprio conto, non utilizza i dati personali trattati per conto del Titolare per addestrare, mettere a punto o valutare modelli di intelligenza artificiale, propri o di terzi.

3.4 I fornitori di modelli indicati nell’Appendice B sono impiegati esclusivamente tramite interfacce di programmazione (API) e non attraverso le interfacce destinate agli utenti finali. Il trattamento dei dati così trasmessi, ivi compreso il loro eventuale utilizzo per l’addestramento dei modelli, è disciplinato dalle condizioni di servizio e dall’accordo sul trattamento dei dati di ciascun fornitore, ai quali il Responsabile aderisce secondo il punto 5.1. Il Responsabile attiva le impostazioni che escludono l’utilizzo dei dati per l’addestramento, ove il fornitore le renda disponibili, ma non è in grado di modificare né di garantire le condizioni praticate dal fornitore, la cui osservanza resta soggetta ai rimedi previsti dall’accordo con quest’ultimo. Il Titolare ne prende atto.

3.5 A ciascun modello sono trasmessi i soli dati necessari a generare la risposta o la classificazione, ossia la parte pertinente della conversazione, i dati identificativi e professionali del contatto, i contenuti pertinenti della knowledge base e le istruzioni di configurazione.

4.1 Il Responsabile informa il Titolare senza ingiustificato ritardo e, di norma, entro 72 ore dal momento in cui è venuto a conoscenza di una violazione dei dati personali, fornendo le informazioni ragionevolmente disponibili utili al Titolare per adempiere agli obblighi di cui agli artt. 33-34 GDPR. La notifica non costituisce di per sé ammissione di responsabilità.

4.2 Punti di contatto: per il Responsabile, lofrandsrls@gmail.com; per il Titolare, l’indirizzo e-mail associato all’Account, salvo diversa indicazione scritta.

5.1 Il Titolare autorizza il Responsabile a ricorrere ai sub-responsabili elencati nell’Appendice B, necessari all’erogazione del Servizio. Il ricorso avviene sulla base dei rispettivi accordi sul trattamento dei dati, che prevedono obblighi conformi all’art. 28 GDPR; resta ferma la responsabilità del Responsabile per l’operato dei sub-responsabili (art. 28, par. 4, GDPR).

5.2 Il Responsabile comunica al Titolare, con almeno 30 (trenta) giorni di preavviso, l’intenzione di aggiungere o di sostituire un sub-responsabile. Il Titolare può opporsi entro 15 (quindici) giorni dal ricevimento della comunicazione, con atto scritto e motivato da ragioni oggettive attinenti alla protezione dei dati personali. In difetto di opposizione nel termine la modifica si intende accettata.

5.3 In caso di opposizione le Parti ricercano in buona fede una soluzione alternativa. Qualora l’opposizione impedisca o renda eccessivamente onerosa l’erogazione del Servizio o di una sua parte, il Responsabile può cessare la funzionalità interessata o recedere dal rapporto, in tutto ovvero limitatamente alle prestazioni interessate, con preavviso di 30 (trenta) giorni e senza responsabilità né indennizzo, fermi restando i corrispettivi maturati e il rimborso pro rata temporis di quelli pagati e non goduti.

5.4 Per ragioni di urgenza connesse alla continuità o alla sicurezza del Servizio il Responsabile può sostituire un sub-responsabile con effetto immediato, dandone comunicazione al Titolare senza ritardo; in tal caso il termine di opposizione di cui al punto 5.2 decorre dalla comunicazione.

5.5 I trasferimenti verso Paesi terzi avvengono solo in presenza di adeguate garanzie ai sensi del Capo V GDPR (decisione di adeguatezza o clausole contrattuali tipo), come indicato in Appendice B.

5.6 Su richiesta scritta del Titolare il Responsabile rende disponibile copia delle clausole o degli accordi sul trattamento dei dati sottoscritti con i sub-responsabili, con facoltà di oscurare le condizioni economiche e le informazioni riservate.

6.0 Durante il rapporto il Responsabile conserva i dati per i periodi indicati nell’Appendice D, che costituiscono l’istruzione documentata del Titolare in materia di conservazione ai sensi dell’art. 28, par. 3, GDPR. Il Titolare può in ogni momento indicare per iscritto periodi diversi. Il Responsabile provvede alla cancellazione dei dati che eccedono tali periodi con cadenza almeno semestrale e comunque entro 30 giorni dalla richiesta scritta del Titolare.

6.1 Alla cessazione del Servizio il Titolare può esportare i dati tramite le funzioni della piattaforma o richiederne copia entro 30 giorni. Decorso tale termine senza istruzioni scritte, il silenzio del Titolare vale quale istruzione di cancellazione ai sensi dell’art. 28, par. 3, lett. g), GDPR e il Responsabile procede alla cancellazione dei dati e delle copie esistenti entro 90 (novanta) giorni dalla cessazione, rilasciandone attestazione scritta su richiesta.

6.2 Restano esclusi dalla cancellazione: i dati che il Responsabile deve conservare per obblighi di legge o per la difesa in giudizio; i dati aggregati e anonimi; l’elenco di soppressione di cui all’art. 10 dei Termini, conservato in forma minimizzata e trattato dal Responsabile quale titolare autonomo al solo fine di non ricontattare chi si è opposto.

7.1 La responsabilità di ciascuna Parte è regolata dall’art. 82 GDPR. Nei rapporti interni si applicano le previsioni su limitazione di responsabilità e manleva contenute negli artt. 14 e 15 dei Termini.

7.2 Il presente DPA ha efficacia per tutta la durata del rapporto contrattuale; alla cessazione si applica l’art. 6. Legge applicabile e foro competente sono quelli indicati all’art. 19 dei Termini.

Oggetto. Erogazione della piattaforma GeniusLinkedin: ricerca ed estrazione di contatti secondo i criteri impostati dal Titolare (ricerche LinkedIn, URL di profilo, import di elenchi aziende), qualificazione automatica dei contatti, attività di engagement sui profili (visite, reazioni, commenti generati dall’IA, richieste di connessione), invio e gestione di messaggi e sequenze di follow-up, gestione delle conversazioni in ingresso e delle risposte, ricerca e arricchimento informativo sui contatti e sulle relative aziende, produzione di report e messa a disposizione dei dati nella dashboard e nel portale cliente.

Natura. Raccolta, registrazione, organizzazione, consultazione, uso, comunicazione mediante trasmissione, conservazione e cancellazione, con strumenti prevalentemente automatizzati, ivi inclusi sistemi di intelligenza artificiale utilizzati per classificare i contatti e generare testi.

Finalità. Contatto e sviluppo commerciale (marketing diretto B2B) per conto e nell’interesse del Titolare.

Tipi di dati personali. Dati identificativi e di contatto di carattere professionale (nome, cognome, ruolo, azienda, URL del profilo LinkedIn, settore, sede, eventuali recapiti resi disponibili), contenuti pubblici pubblicati dagli interessati sulla piattaforma professionale, informazioni raccolte da fonti pubbliche e dai siti aziendali a fini di qualificazione, contenuto delle conversazioni intercorse con il Titolare. Non sono previste categorie particolari di dati (art. 9 GDPR), dati giudiziari (art. 10 GDPR) né dati di minori.

Categorie di interessati. Potenziali clienti, contatti professionali e decision maker del mercato target individuato dal Titolare; contatti già in relazione con il Titolare, ove importati; intestatari degli account collegati.

Durata. Per la durata del rapporto contrattuale; alla cessazione si applica l’art. 6.

Destinatari che non sono sub-responsabili. LinkedIn Ireland Unlimited Company riceve i dati attraverso l’Account Collegato di titolarità dell’Utente, ai termini d’uso da questi accettati direttamente con la piattaforma, e li tratta per le proprie finalità in qualità di titolare autonomo: il transito dei dati su LinkedIn è connaturato al Servizio e non è eliminabile. Rispetto a tale trattamento il Responsabile non ha alcun potere di istruzione. Su istruzione del Titolare i dati sono inoltre trasmessi ai sistemi da lui indicati e da lui direttamente contrattualizzati (a titolo di esempio il CRM collegato): rispetto a questi il Responsabile opera come tramite tecnico e il rapporto con il relativo fornitore è regolato direttamente dal Titolare.

Elenco aggiornato al 10 settembre 2026. Le variazioni sono comunicate secondo l’art. 5.2.

• accesso ai sistemi tramite account nominativi protetti da autenticazione a due fattori;
• credenziali, chiavi e token API custoditi in un gestore di password dedicato, mai condivisi in chiaro né versionati nel codice;
• le credenziali di accesso alle piattaforme terze non transitano né sono conservate dalla piattaforma: l’autenticazione avviene presso Unipile SAS;
• separazione dei dati fra clienti applicata a livello di database tramite row level security, con accesso privilegiato limitato ai processi di sistema;
• cifratura dei dati in transito (TLS) e a riposo presso i fornitori cloud;
• accesso ai dati limitato al personale necessario (principio del minimo privilegio);
• accesso al portale cliente tramite collegamento non indicizzato e, ove attivata, password dedicata con sessione a scadenza;
• registrazione degli accessi e delle operazioni rilevanti, con conservazione dei log tecnici per 120 giorni;
• backup e continuità operativa gestiti dai fornitori cloud utilizzati;
• vincolo di riservatezza per collaboratori e terzi che accedano ai dati;
• gestione degli incidenti: valutazione e comunicazione al Titolare secondo l’art. 4.

I periodi indicati costituiscono l’istruzione documentata del Titolare ai sensi dell’art. 6.0 e decorrono dall’evento indicato in tabella. Si applicano salvo diversa istruzione scritta del Titolare comunicata ai recapiti dell’art. 4.2.