Informazioni legali

Contratto di nomina del responsabile del trattamento

Questa è una bozza che un avvocato non ha ancora riletto

Questo testo descrive il più fedelmente possibile quello che Nermio fa davvero con i dati, perché un avvocato abbia qualcosa su cui lavorare. Non ha valore giuridico e non è pensato per essere invocato. Dove c’è una decisione da prendere trova un riquadro con la domanda, al posto di una clausola inventata.

Bozza del 4 novembre 2026. Finché vale questo stato, la pagina compare nel piè di pagina ma non nella mappa del sito, e chiede ai motori di ricerca di ignorarla. Se ha bisogno già ora di un contratto di nomina del responsabile del trattamento, ci scriva a info@nermio.com.

Fa fede il testo olandese

Questa è una traduzione. In caso di differenze fa fede il testo olandese, che trova

qui

Se inserisce in Nermio i dati dei Suoi contatti, trattiamo dati personali per conto Suo. Qui sotto sta quello che facciamo e quello che non facciamo con quei dati, come sono separati e che cosa resta da concordare.

Le parti e la situazione

Questo contratto accompagna le condizioni generali. È Lei che decide quali dati registra sui Suoi contatti e per quali finalità; è dunque il titolare del trattamento. Nermio tratta quei dati soltanto per far funzionare il software ed è per questo il responsabile del trattamento.

Con i dati del Suo account la divisione è un’altra: lì è Nermio a decidere che cosa ne viene fatto. Quella parte sta nell’informativa privacy, non qui.

Da definire da un avvocato

Quale persona giuridica è il responsabile del trattamento (denominazione, forma giuridica, numero nel registro delle imprese olandese, sede), e come riceve e accetta un cliente questo contratto?

Due vuoti che vanno insieme. La persona giuridica non è fissata in nessun posto — lo stesso vuoto dell’informativa privacy e dell’articolo 1 delle condizioni generali. E non c’è un processo: la pagina iniziale dice che con l’account arriva un contratto con il responsabile del trattamento, ma nessuno lo riceve, nessuno lo accetta al momento della registrazione e nessuno lo firma. Finché resta così, quella promessa non è mantenuta — e l’esistenza di questa pagina non la mantiene.

Da definire da un avvocato

FUORI DAL DIRITTO OLANDESE — articoli 1341, comma 2, e 1342 del Codice Civile: le clausole che limitano la nostra responsabilità hanno effetto verso un cliente italiano senza un’approvazione specifica per iscritto?

Il secondo comma dell’articolo 1341 del Codice Civile dice che le condizioni che stabiliscono, a favore di chi le ha predisposte, limitazioni di responsabilità, facoltà di recedere dal contratto o di sospenderne l’esecuzione non hanno effetto in ogni caso se non sono specificamente approvate per iscritto, e l’articolo 1342 estende la stessa regola ai contratti conclusi mediante moduli o formulari. Non è una norma di tutela del consumatore: sta nella disciplina generale del contratto e riguarda quindi anche un cliente impresa, al contrario della legge spagnola, che riserva il controllo sulle clausole abusive ai contratti con un consumatore. Da decidere: se una casella al momento della registrazione vale come approvazione specifica per iscritto, se serve una doppia sottoscrizione delle clausole indicate, quali clausole di questo contratto e delle condizioni generali ricadono in quell’elenco, e se la scelta del diritto olandese cambia qualcosa. Finché non è deciso, questa pagina non finge che l’accettazione sia a posto.

Articolo 1. Oggetto e istruzioni

Nermio tratta dati personali esclusivamente per conto del cliente e per le finalità dell’allegato 1. Il trattamento avviene secondo le istruzioni del cliente; l’uso del servizio, le impostazioni che il cliente sceglie e questo contratto valgono insieme come quelle istruzioni. Nermio non tratta i dati del cliente per finalità proprie.

In concreto vuol dire che non li vendiamo, non li cediamo a terzi per finalità pubblicitarie e non li usiamo per addestrare modelli. Se Nermio ritiene che un’istruzione sembri contraria alla legge, lo comunica al cliente prima di eseguirla.

Quella promessa non è soltanto commerciale. L’articolo 28, paragrafo 10, del GDPR dispone che un responsabile del trattamento che, violando il regolamento, determina le finalità e i mezzi del trattamento è considerato titolare del trattamento. Se Nermio usasse i Suoi dati per scopi propri, non starebbe venendo meno a una promessa: avrebbe cambiato ruolo, con tutto quello che ne segue.

Articolo 2. Riservatezza

Chiunque possa accedere ai dati dei clienti a nome di Nermio è vincolato alla riservatezza, e l’accesso resta limitato a quello che il lavoro richiede. Oggi Nermio è piccolo: in pratica si tratta della persona che costruisce il prodotto. È più onesto di una formula generica su un «personale autorizzato».

Per un lettore italiano c’è una differenza che vale la pena nominare. Il Codice Privacy non contiene un obbligo di riservatezza autonomo come quello che la legge spagnola impone a titolare e responsabile; contiene l’articolo 2-quaterdecies, per cui il titolare o il responsabile possono prevedere, sotto la propria responsabilità e nel proprio assetto organizzativo, che compiti e funzioni connessi al trattamento siano attribuiti a persone fisiche espressamente designate che operano sotto la loro autorità, e individuano le modalità più opportune per autorizzarle. L’obbligo di riservatezza vero e proprio viene quindi dagli articoli 28 e 29 del GDPR e, dove c’è un segreto professionale, dalle norme dell’articolo 13 di questo contratto.

Da definire da un avvocato

Come formalizziamo la riservatezza per i futuri dipendenti e per l’aiuto esterno che ingaggiamo?

Articolo 3. Sicurezza

Nermio adotta misure tecniche e organizzative adeguate, descritte nell’allegato 2. Quelle misure possono essere adattate purché il livello di protezione non si abbassi.

Da definire da un avvocato

I dati sono cifrati anche quando sono a riposo, e a quale livello?

Il traffico su una connessione cifrata lo possiamo confermare, e le chiavi di IA le cifriamo noi stessi (AES-GCM, con un segreto fuori dalla banca dati). La cifratura dell’archiviazione della banca dati è cosa del fornitore della banca dati; va verificata con lui prima di figurare nell’allegato 2 come un impegno.

Da definire da un avvocato

Chi può entrare nell’ambiente di produzione del fornitore della banca dati e del fornitore di hosting, e con quale sicurezza?

Dentro il software il secondo fattore è obbligatorio e questo si può verificare. Chi può entrare nel pannello di Supabase o di Vercel non sta in questo codice — è un’impostazione in casa di quei fornitori e qui deve risultare come un fatto, non come un’ipotesi.

Articolo 4. Sub-responsabili

Il cliente autorizza i sub-responsabili dell’allegato 3. Se Nermio vuole aggiungerne o sostituirne uno, lo comunica con almeno trenta giorni di preavviso. Il cliente può opporsi; se le parti non trovano un accordo, il cliente può recedere dall’abbonamento con effetto dalla data in cui il cambiamento entra in vigore. Nermio impone a un sub-responsabile gli stessi obblighi che figurano in questo contratto.

Articolo 5. Trasferimenti fuori dallo Spazio economico europeo

Un trasferimento verso un paese fuori dallo Spazio economico europeo avviene solo con un fondamento valido: una decisione di adeguatezza oppure clausole contrattuali tipo con le misure supplementari necessarie.

Da definire da un avvocato

Quale meccanismo di trasferimento si applica a ciascun sub-responsabile dell’allegato 3, e in qualcuno di essi i dati dei clienti escono dallo Spazio economico europeo?

Tre dei quattro fornitori sono società statunitensi con regioni europee. Per ognuno va stabilito dove stanno i dati, se la loro assistenza può accedervi e su quale fondamento. Senza questa risposta il contratto non si può offrire; la stessa domanda sta nell’informativa privacy.

Articolo 6. I fornitori di IA del cliente

Se il cliente collega la propria chiave API di un fornitore di IA, quel fornitore non è un sub-responsabile di Nermio. Il cliente ha un contratto proprio con lui e gli paga direttamente l’uso. Nermio invia dati a quel fornitore solo quando un utente lo chiede nel software, invia allora una selezione fissa di campi della scheda, e non conserva la risposta.

Articolo 7. Assistenza con le richieste degli interessati

Se uno dei Suoi contatti chiede l’accesso, la rettifica o la cancellazione, lo risolve Lei: sono i Suoi dati nel Suo ambiente, e lì può consultarli, modificarli, esportarli e cancellarli da sé. Se con le schermate esistenti non ci riesce, Nermio La aiuta. Se una richiesta arriva a noi per errore, Le viene inoltrata e non rispondiamo noi al Suo posto.

Articolo 8. Violazioni dei dati personali

Se Nermio rileva che dati del Suo ambiente sono stati consultati o sono usciti, Le viene comunicato senza ingiustificato ritardo, con quello che si sa in quel momento: che cosa è successo, quali categorie di dati sono coinvolte e circa quanti interessati, le probabili conseguenze e le misure adottate.

Notificare all’autorità di controllo o comunicare agli interessati è una Sua decisione, perché il titolare del trattamento è Lei; noi forniamo le informazioni che Le servono per farlo. Se è stabilito in Italia, quell’autorità è il Garante per la protezione dei dati personali — è la Sua, non la nostra, ed è per questo che la decisione è Sua. Il Codice Privacy lo dice anche in termini di poteri: il Garante è l’organo competente ad adottare i provvedimenti correttivi dell’articolo 58, paragrafo 2, del GDPR e a irrogarne le sanzioni.

Due cose in più, perché il quadro sia completo. L’autorità capofila di Nermio come impresa resta quella olandese (Autoriteit Persoonsgegevens) ai sensi dell’articolo 56 del GDPR, il che non toglie niente a quanto sopra: riguarda i nostri trattamenti e non i Suoi. E un interessato può proporre reclamo all’autorità di controllo del proprio Stato membro quando vuole, ai sensi dell’articolo 77 del GDPR, senza chiedere il permesso a nessuno dei due.

In Italia non è regolato solo il termine, anche la strada. Dal 1° luglio 2021 la notifica di una violazione di dati personali deve essere inviata al Garante attraverso un’apposita procedura telematica, resa disponibile nel portale dei servizi online dell’Autorità. Sulla stessa pagina il Garante mette a disposizione un modello facsimile e avverte che quel modello non va usato per la notifica: serve a vedere in anticipo quali contenuti andranno comunicati. Si procuri l’accesso prima di averne bisogno, non il giorno in cui l’orologio delle settantadue ore è già partito; una notifica oltre quel termine va accompagnata dai motivi del ritardo.

Due cose che il Garante dice e che riguardano direttamente questo contratto. La prima: il responsabile del trattamento che viene a conoscenza di una violazione è tenuto a informare tempestivamente il titolare, in modo che possa attivarsi — nessun numero di ore, a differenza dell’autorità spagnola, che si aspetta un termine scritto nel contratto. La seconda riguarda le imprese piccole come la nostra e, spesso, come la Sua: l’articolo 2-quaterdecies.1 del Codice Privacy prevede che le imprese con meno di cinque dipendenti si avvalgano di una specifica procedura di notifica, che il Garante disciplina con proprio provvedimento, prevedendo strumenti di autovalutazione guidata e un canale di assistenza semplificata. Se quel provvedimento esista già non siamo riusciti a stabilirlo, e sta tra le domande qui sotto.

Da definire da un avvocato

Entro quale termine comunichiamo noi una violazione dei dati personali, e che cosa deve contenere al minimo quella comunicazione?

La bozza di partenza propone quarantotto ore dalla scoperta. È l’uso corrente, ed è il cliente a essere soggetto alle settantadue ore dell’articolo 33 del GDPR, quindi gli deve restare margine. Per l’Italia c’è una differenza rispetto alla Spagna, e non è a nostro favore: l’autorità spagnola scrive nella sua guida che il termine del responsabile va fissato nelle procedure e perfino nel contratto e non deve superare le settantadue ore, mentre il Garante dice soltanto «tempestivamente». Dove non c’è un numero da copiare, il numero lo dobbiamo scegliere noi e poi rispettarlo. Che riusciamo a tenere quarantotto ore con una squadra di una persona è una valutazione realistica e non una formalità — e un termine che non si rispetta è peggio di uno più ampio che si rispetta.

Da definire da un avvocato

FUORI DAL DIRITTO OLANDESE — consegniamo i fatti di una violazione in italiano e in una forma con cui il cliente possa compilare la procedura telematica del Garante, accettiamo che ci deleghi la notifica, e quale procedura vale per un’impresa con meno di cinque dipendenti?

Tre impegni distinti e nessuno deciso, e su tutti e tre la fonte italiana dice meno di quella spagnola. Primo: siccome la notifica passa obbligatoriamente per la procedura telematica, «fornire informazioni» qui è qualcosa di più concreto che nei Paesi Bassi, e va detto entro quando e in quale lingua. Che la lingua debba essere l’italiano è probabile ma non lo abbiamo trovato scritto da nessuna parte sulle fonti che ci siamo dati, e una consegna in inglese che il cliente non può incollare nel modulo non è assistenza. Secondo: non siamo riusciti a stabilire chi possa compilare quella procedura né con quali credenziali — il provvedimento del Garante la descrive come lo strumento con cui i titolari del trattamento forniscono le informazioni, e del portale stesso non abbiamo letto i requisiti di accesso, perché sta su un’altra fonte. Se un responsabile possa notificare per conto del titolare resta quindi aperto. Terzo: l’articolo 2-quaterdecies.1 del Codice Privacy prevede per le imprese con meno di cinque dipendenti una procedura di notifica specifica, da disciplinare con provvedimento del Garante; sulla sua pagina dedicata alle violazioni il Garante nomina uno strumento di autovalutazione, ma che sia quella procedura non è leggibile. Va verificato prima del giorno in cui serve.

Articolo 9. Assistenza con gli altri obblighi

Nermio assiste il cliente, nella misura in cui è ragionevole e necessario, con una valutazione d’impatto sulla protezione dei dati e con un’eventuale consultazione preventiva dell’autorità di controllo, fornendo informazioni sul trattamento e sulle misure.

Articolo 10. Controllo

Nermio fornisce al cliente, su sua richiesta, le informazioni necessarie per valutare se questo contratto è rispettato. Se il cliente vuole di più, può incaricare di un audit un esperto indipendente vincolato al segreto, con quattro settimane di preavviso, al massimo una volta all’anno — salvo che ci sia un motivo concreto — e a proprie spese.

Non c’è una certificazione ISO 27001 né SOC 2 e non c’è il rapporto di un test di intrusione esterno; quello che c’è sta nella pagina sulla sicurezza e nell’allegato 2.

Articolo 11. Durata e fine

Questo contratto dura finché Nermio tratta dati personali per conto Suo. Se l’abbonamento finisce, ci deve essere un momento chiaro in cui i Suoi dati vengono cancellati, e prima di quel momento la possibilità di ottenerne una copia. I dati che Nermio deve conservare per legge — fatture e pagamenti — restano, al di fuori di questo contratto.

Come funziona oggi: la pulizia automatica non tocca i dati dei clienti, quindi dopo la fine non sparisce niente da sé. Da noi la cancellazione è un atto con motivazione obbligatoria, che può eseguire soltanto un superamministratore e che lascia una riga nel registro di sicurezza. L’esportazione, invece, continua a funzionare per trenta giorni dopo che l’organizzazione si ferma, e questo è imposto nella banca dati e non nella schermata; un’organizzazione bloccata non ha quella finestra e riceve una copia su richiesta.

Da definire da un avvocato

Per quanto tempo restano i dati dopo che la finestra di raccolta di trenta giorni è passata, in quale forma viene consegnata una copia, e quando sono spariti anche dalle copie di sicurezza?

La finestra di trenta giorni è costruita e imposta nella banca dati (migrazioni 0034 e 0053), quindi quella metà della domanda ha una risposta. Il resto è un vuoto vero e non una formulazione: non c’è un termine di conservazione dopo quella finestra, perché la pulizia automatica non tocca i dati dei clienti, che restano quindi finché qualcuno non li cancella a mano. A questo si aggiunge la domanda sulle copie di sicurezza: quel ritmo è del fornitore della banca dati e determina quando qualcosa è sparito per davvero. Qui l’accordo e la tecnica vanno fatti insieme; la stessa domanda sta nell’informativa privacy e nell’articolo 8 delle condizioni generali.

Da definire da un avvocato

FUORI DAL DIRITTO OLANDESE — in Italia non esiste più un blocco dei dati come quello spagnolo: chi decide allora tra cancellare, restituire e consegnare a un nuovo responsabile, e quando?

Vale la pena dire che cosa NON c’è. Il diritto spagnolo conosce il blocco: il titolare che rettifica o cancella dei dati deve identificarli e riservarli con misure che impediscano ogni trattamento, compresa la visualizzazione, per la durata della prescrizione, e il responsabile può conservarli «debidamente bloqueados» finché possono derivarne responsabilità. L’Italia andava nella stessa direzione prima del GDPR — il vecchio articolo 7 del Codice Privacy dava all’interessato il diritto al blocco dei dati — ma quell’articolo è stato abrogato dal decreto legislativo 10 agosto 2018, n. 101, e nel Codice vigente la parola non compare più in questo senso. Non esiste quindi uno stato intermedio a cui appoggiarsi: resta l’articolo 28, paragrafo 3, lettera g), del GDPR, che mette la scelta tra cancellazione e restituzione in mano al titolare, cioè a Lei. Da decidere: dove si registra quella scelta, quanto tempo Nermio conserva i dati finché non la riceve, e che cosa succede se non arriva nessuna istruzione. Una cosa va tenuta distinta: se è stabilito in Italia, l’articolo 2220 del Codice Civile Le impone di conservare le scritture per dieci anni dalla data dell’ultima registrazione e, per lo stesso periodo, le fatture ricevute e le copie di quelle spedite — ma quello riguarda la Sua contabilità e non il Suo CRM, e non è un termine di conservazione per i dati dei contatti.

Articolo 12. Responsabilità

Per la responsabilità derivante da questo contratto vale quello che dice l’articolo 11 delle condizioni generali. Lì quell’articolo è ancora una proposta con una domanda aperta; finché resta così, quella incertezza vale anche qui.

Da definire da un avvocato

FUORI DAL DIRITTO OLANDESE — articoli 1229 e 1341, comma 2, del Codice Civile: la limitazione di responsabilità dell’articolo 11 delle condizioni generali regge davanti a un cliente impresa italiano?

Il controllo italiano non somiglia a quello spagnolo, e non per prudenza nostra. In Spagna, tra imprese, non c’è una lista di clausole abusive: l’articolo 8.2 della legge 7/1998 riserva quella nullità ai contratti con un consumatore. In Italia le due norme che contano stanno nel Codice Civile e non guardano se l’altra parte è un consumatore. L’articolo 1229 dichiara nullo qualsiasi patto che esclude o limita preventivamente la responsabilità del debitore per dolo o per colpa grave, e nullo anche quello che la limita quando il fatto del debitore o dei suoi ausiliari viola obblighi derivanti da norme di ordine pubblico: un tetto ha quindi un fondo che non si può abbassare. L’articolo 1341, comma 2, aggiunge che le condizioni che limitano la responsabilità di chi le ha predisposte non hanno effetto se non sono specificamente approvate per iscritto, e l’articolo 1342 lo estende ai contratti conclusi con moduli o formulari. Quello che non si può determinare qui è come giochino insieme con la scelta del diritto olandese, e se un tetto come quello proposto resti in piedi. La domanda resta intera comunque, perché l’articolo 11 delle condizioni generali è lì ancora una proposta: è la stessa domanda che sta in quella pagina, e ha una sola risposta per entrambe.

Articolo 13. Segreto professionale

Questo articolo esiste perché Nermio si rivolge anche a studi commercialisti e a studi legali, e perché uno studio ha un obbligo che il GDPR non sostituisce. L’articolo 622 del Codice Penale punisce chi, avendo notizia per ragione del proprio stato o ufficio, o della propria professione o arte, di un segreto, lo rivela senza giusta causa o lo impiega a proprio o altrui profitto, se dal fatto può derivare nocumento; il delitto è punibile a querela della persona offesa.

A differenza della Germania, dove il § 203 del codice penale nomina il prestatore informatico e lo rende punibile lui stesso, il testo italiano non nomina nessuno in particolare: parla di chi conosce il segreto per ragione del proprio stato o ufficio, o della propria professione o arte. Non è un’esenzione e non è una condanna; è una formulazione generale la cui applicazione a un responsabile del trattamento la decide la giurisprudenza, non questa pagina.

Su chi debba trasferire l’obbligo, invece, c’è una norma esplicita — e distingue tra due professioni che questa pagina serve entrambe. Per l’avvocato, l’articolo 6 della legge 31 dicembre 2012, n. 247 estende l’obbligo di segretezza e riserbo anche ai dipendenti e ai collaboratori anche occasionali e aggiunge che l’avvocato è tenuto ad adoperarsi affinché quei soggetti lo osservino, mentre una violazione da parte loro è giusta causa per lo scioglimento immediato del rapporto. Per il dottore commercialista, l’articolo 5 del decreto legislativo 28 giugno 2005, n. 139 stabilisce l’obbligo del segreto professionale per gli iscritti all’Albo e richiama gli articoli 199 e 200 del codice di procedura penale e l’articolo 249 del codice di procedura civile, ma non contiene l’estensione ai collaboratori che la legge forense contiene. Due professioni, due costruzioni, e il contratto di cui ha bisogno lo studio non è necessariamente lo stesso.

E una cosa è fuori discussione: un contratto ai sensi dell’articolo 28 del GDPR non libera il cliente dal suo segreto professionale. Il GDPR è diritto amministrativo, il segreto professionale è diritto penale e deontologico, e non si sostituiscono. Il Codice Privacy lo conferma dal lato opposto: le regole deontologiche per i trattamenti svolti per far valere o difendere un diritto in sede giudiziaria, allegate al Codice, valgono anche per il professionista che si avvale di collaboratori, dipendenti o ausiliari e chiedono istruzioni scritte distinte per ruolo, anche per l’ausiliario che non sia titolare autonomo del trattamento; e il loro rispetto è «condizione essenziale per la liceità e la correttezza del trattamento». Che la perdita di riservatezza di dati coperti dal segreto professionale sia un danno rilevante lo dice il Garante stesso, elencandola tra gli effetti avversi significativi che rendono notificabile una violazione.

Da definire da un avvocato

FUORI DAL DIRITTO OLANDESE — un responsabile del trattamento che lavora per un avvocato, un medico o un commercialista è coperto dal segreto professionale italiano, e che forma deve avere allora il nostro impegno di riservatezza?

L’articolo 622 del Codice Penale è scritto in generale e colpisce chi conosce il segreto per ragione del proprio stato o ufficio o della propria professione o arte: non nomina il prestatore informatico come fa il § 203 tedesco, ma non lo esclude, e se vi rientri è una questione di interpretazione che risolve un giurista. Non abbiamo stabilito, e quindi non affermiamo, che esista una norma italiana che obblighi il fornitore informatico per sé — come invece accade in Germania. Resta una seconda domanda della stessa famiglia: se un CRM esterno sia un «collaboratore anche occasionale» o un «ausiliario» ai sensi dell’articolo 6, comma 2, della legge forense e delle regole deontologiche allegate al Codice Privacy. Da lì nascono le scelte da fare: se basta un allegato a questo contratto o serve un documento proprio; se quel documento deve essere diverso per un avvocato e per un commercialista, dato che la legge forense estende l’obbligo ai collaboratori e quella dei commercialisti no; quale contenuto chiede l’ordine professionale di riferimento, le cui norme deontologiche non stanno nelle fonti che abbiamo letto; se l’impegno deve raggiungere anche i sub-responsabili dell’allegato 3 e come si ottiene da Supabase e da Vercel; e se vale una casella alla registrazione o serve una firma, che è anche la domanda dell’articolo 1341 del Codice Civile in cima a questa pagina. Finché non è risolto, la cosa onesta è dire al lettore che cosa deve CHIEDERE al suo fornitore, e non che cosa Nermio promette.

Allegato 1. Il trattamento

Voce	Quello che è stato concordato
Finalità	La fornitura di un CRM: gestione dei contatti, una pipeline di vendita, attività e follow-up, e l’assistenza al cliente in tutto questo.
Natura del trattamento	Conservare, ordinare, mostrare, modificare, esportare e cancellare. Su richiesta di un utente: invio di una selezione di campi al fornitore di IA del cliente (articolo 6), e ricezione di un’email che l’utente stesso ha inviato all’indirizzo in copia nascosta della sua organizzazione.
Interessati	Le persone di contatto presso i contatti del cliente, e gli utenti che il cliente stesso invita.
Dati sui contatti	Nome dell’azienda, località, paese, settore, dimensione, sito web, partita IVA o codice fiscale, numero cliente e termine di pagamento; per persona di contatto il nome, la posizione, l’indirizzo email e il telefono; opportunità con un titolo, un importo e una fase; attività con una data; le attività registrate come una chiamata o un’email; note libere; e — se il cliente usa l’indirizzo in copia nascosta della sua organizzazione — di un messaggio così l’oggetto, le prime due frasi, gli indirizzi coinvolti e l’ora.
Dati sugli utenti	Nome, indirizzo email, ruolo e stato, più la registrazione delle loro azioni nel registro di audit, con indirizzo IP e informazioni sul browser. Se qualcuno scrive all’indirizzo in copia nascosta del cliente da un indirizzo che non gli appartiene, viene conservato solo quell’indirizzo con un’ora (90 giorni), così il cliente può vedere perché il messaggio non è arrivato.
Categorie particolari di dati	Non c’è nessun campo per categorie particolari di dati né per dati giudiziari, e il servizio non è pensato per questo. I campi delle note sono testo libero, quindi tecnicamente il cliente può scriverci qualsiasi cosa; non deve farlo, e la cosa ricade sulla sua responsabilità dell’articolo 8 delle condizioni generali. In Italia la posta è più alta che altrove: l’articolo 2-septies del Codice Privacy ammette il trattamento di dati genetici, biometrici e relativi alla salute solo in conformità alle misure di garanzia disposte dal Garante e, al comma 8, vieta che quei dati siano diffusi, mentre l’articolo 2-octies consente il trattamento di dati relativi a condanne penali e reati fuori dal controllo dell’autorità pubblica solo se autorizzato da una norma di legge o di regolamento.
Durata	Per la durata dell’abbonamento. Quello che vale dopo è la domanda aperta dell’articolo 11.

Allegato 2. Misure di sicurezza

Questa è la parte che è costruita oggi e che può verificare. La descrizione estesa sta nella pagina sulla sicurezza.

Separazione per organizzazione nella banca dati stessa. Non nelle schermate, ma in Postgres con la sicurezza a livello di riga su ogni tabella: a ogni interrogazione è la banca dati a decidere quali righe può vedere un account collegato. Un errore nell’applicazione non può quindi consegnare dati di un’altra organizzazione, e c’è una batteria di test che dimostra quell’isolamento.
Ruoli e permessi per utente, dall’accesso completo alla sola lettura, imposti anche nella banca dati.
Un registro di audit che solo cresce. Modificare o cancellare una riga è stato reso impossibile, anche per il nostro ruolo di amministrazione più alto, con esattamente un’eccezione nominata per la pulizia automatica.
Accesso dell’assistenza con motivazione e limite di tempo. Quindici, trenta o sessanta minuti e non più, sempre con un motivo indicato, in sola lettura per impostazione predefinita, mai con la possibilità di cancellare, e consultabile dal proprietario dell’organizzazione.
Verifica in due passaggi per tutti. Non solo per il nostro portale di amministrazione, ma per ogni utente del CRM, senza eccezioni. Inoltre il software chiude la sessione dopo otto ore senza attività.
Connessioni cifrate con HSTS, e una politica di sicurezza dei contenuti con un nonce per richiesta.
Password che non possiamo leggere — stanno sotto hash nel servizio di autenticazione — con una politica di dodici caratteri minimi e un controllo contro le password note per essere state divulgate. Le chiavi API dei fornitori di IA sono cifrate (AES-GCM), con il segreto fuori dalla banca dati.
Un freno ai tentativi di accesso che si chiude se è lui a guastarsi, un registro di sicurezza con un avviso in caso di tentativi falliti ripetuti, e la possibilità di bloccare un indirizzo IP.

Da definire da un avvocato

Con quale frequenza fa copie di sicurezza il fornitore della banca dati, per quanto tempo si conservano, e il cliente può richiamarle?

Senza quel dato l’allegato 2 è incompleto e all’articolo 11 non si può rispondere. Il ritmo è del fornitore della banca dati; non lo impostiamo noi.

Da definire da un avvocato

Teniamo aggiornato questo allegato appena cambia la tecnica, e come evitiamo che invecchi?

Un allegato di misure è contrattualmente vincolante. Se cambia qualcosa nel software, questo elenco deve seguirlo — altrimenti prometteremo presto qualcosa che non funziona più così, o terremo per noi qualcosa che è migliorato.

Allegato 3. Sub-responsabili

Nermio non gira su server propri. Questi fornitori trattano dati dei clienti perché senza di loro il servizio non funziona.

Fornitore	Servizio	Che cosa succede ai dati dei clienti
Supabase	Banca dati e autenticazione	La banca dati Postgres in cui stanno tutti i dati dei clienti, e l’accesso degli utenti.
Vercel	Hosting	L’esecuzione dell’applicazione; i dati dei clienti ci passano a ogni richiesta e non vengono conservati lì separatamente.
Resend	Email transazionali	Inviti e reimpostazione della password: l’indirizzo email e il nome di un utente. Nessun dato dei contatti del cliente.
Cloudflare	Controllo degli abusi nei moduli	L’indirizzo IP e le caratteristiche del browser di chi invia un modulo. Nessun contenuto del CRM.

Da definire da un avvocato

Per ogni fornitore: qual è la persona giuridica, il paese di stabilimento, la regione in cui stanno i dati e il meccanismo di trasferimento?

La regione della banca dati è nota: Supabase sta in eu-central-1 (Francoforte), confermato dal proprietario che ha creato lì il progetto. Restano aperti la persona giuridica di ciascun fornitore, dove gira l’ambiente di Vercel e quale meccanismo di trasferimento si applica. Questo è l’allegato che un cliente impresa guarda per primo, quindi qui non devono comparire ipotesi. Se si aggiunge un fornitore di pagamenti, deve entrare anche lui.

Rapporto con le condizioni generali

Se questo contratto e le condizioni generali si contraddicono su un punto che riguarda dati personali, prevale questo contratto. Come viene raccolta l’accettazione è la domanda aperta all’inizio di questa pagina.