GDPR — Data Processing Agreement

1. Definizioni

• "Titolare del Trattamento" o "Cliente": chi utilizza il servizio Dresium sul proprio e-commerce e determina le finalità del trattamento dei dati dei propri clienti finali
• "Responsabile del Trattamento" o "Dresium": SOLIDA Digital Advertising SRL, che tratta i dati personali per conto del Titolare
• "Sub-Responsabile": terza parte incaricata da Dresium per specifiche attività di trattamento
• "Dati Personali": qualsiasi informazione riguardante una persona fisica identificata o identificabile
• "Interessato": la persona fisica i cui dati personali sono oggetto di trattamento
• "Violazione dei Dati" (Data Breach): violazione di sicurezza che comporta distruzione, perdita, modifica, divulgazione non autorizzata o accesso ai dati personali

2. Oggetto e Durata

2.1 Oggetto

Il presente DPA disciplina il trattamento dei dati personali che Dresium effettua in qualità di Responsabile del Trattamento per conto del Cliente, nell'ambito del servizio Virtual Try-On tramite plugin WordPress/WooCommerce ed estensione browser.

2.2 Durata

L'Accordo ha effetto dalla data di attivazione del servizio e rimane in vigore per tutta la durata del rapporto contrattuale. Gli obblighi di riservatezza e protezione dei dati sopravvivono alla cessazione del rapporto.

3. Natura del Trattamento

3.1 Finalità del trattamento

• Erogare il servizio di Virtual Try-On (generazione di immagini AI)
• Gestire autenticazione e sessioni utente
• Conservare le immagini generate nella galleria personale (su richiesta)
• Fornire supporto tecnico e assistenza
• Generare statistiche aggregate anonime

3.2 Tipi di dati personali trattati

3.3 Categorie di interessati

• Clienti finali: utenti che usano il Virtual Try-On sui siti Merchant
• Merchant: titolari di e-commerce che integrano il plugin

4. Obblighi del Responsabile del Trattamento

Dresium, in qualità di Responsabile, si impegna a:

• Trattare i dati solo su istruzione documentata del Titolare
• Garantire la riservatezza delle persone autorizzate
• Adottare le misure di sicurezza dell'art. 32 GDPR
• Rispettare le condizioni per il ricorso a sub-responsabili (art. 28, §§ 2 e 4)
• Assistere il Titolare negli obblighi di sicurezza, notifica violazioni, DPIA e consultazione preventiva
• Cancellare o restituire tutti i dati al termine della prestazione
• Mettere a disposizione tutte le informazioni necessarie a dimostrare il rispetto degli obblighi

5. Sub-Responsabili Autorizzati

Il Titolare autorizza Dresium a ricorrere ai seguenti sub-responsabili:

• Google AI (Gemini) — Google LLC, USA — Generazione immagini AI
• xAI (Grok) — xAI Corp., USA — Generazione immagini/video AI
• Anthropic (Claude) — Anthropic PBC, USA — Agente AI supporto clienti
• Stripe — Stripe Inc., USA — Elaborazione pagamenti (titolare autonomo)

5.1 Modifica dei sub-responsabili

Dresium informerà il Titolare di eventuali modifiche con preavviso di 30 giorni. Il Titolare può opporsi entro 15 giorni con motivazioni ragionevoli e documentate. In assenza di opposizione, il consenso si intende accordato.

6. Trasferimenti Internazionali

I trasferimenti verso paesi terzi avvengono nel rispetto del Capo V del GDPR, attraverso:

• Data Privacy Framework (DPF) UE-USA per i fornitori certificati (Google, Stripe)
• Clausole Contrattuali Standard (SCC) adottate con Decisione UE 2021/914
• Misure supplementari: crittografia end-to-end, pseudonimizzazione, TIA (Transfer Impact Assessment)

7. Misure di Sicurezza Tecniche e Organizzative

7.1 Misure tecniche

• Crittografia in transito: TLS 1.3
• Crittografia a riposo: AES-256
• Autenticazione: OAuth2/OpenID Connect con supporto MFA
• Controllo accessi: RBAC con principio del minimo privilegio
• Logging e monitoraggio: registrazione accessi e operazioni
• Backup: copie giornaliere cifrate
• Isolamento dati: separazione logica per tenant

7.2 Misure organizzative

• Policy interne documentate
• Training periodico del personale su privacy e sicurezza
• NDA con tutti i dipendenti e collaboratori
• Procedure per la rilevazione e gestione delle violazioni
• Piani di continuità operativa e disaster recovery

8. Violazione dei Dati Personali (Data Breach)

8.1 Notifica al Titolare

• Notifica senza ingiustificato ritardo ed entro 48 ore dalla scoperta
• Fornire tutte le informazioni necessarie per la notifica all'Autorità di controllo (art. 33 GDPR)
• Assistere nella comunicazione agli interessati se richiesta (art. 34 GDPR)

8.2 Contenuto della notifica

• Natura della violazione
• Categorie e numero approssimativo di interessati coinvolti
• Categorie e numero approssimativo di registrazioni
• Probabili conseguenze
• Misure adottate o proposte per porre rimedio

9. Assistenza per i Diritti degli Interessati

Dresium assiste il Titolare nelle richieste degli interessati (artt. 15-22 GDPR): accesso, rettifica, cancellazione, limitazione, portabilità, opposizione. Gestione entro 15 giorni lavorativi dalla ricezione.

10. Audit e Verifiche

• Documentazione: report sulle misure di sicurezza su richiesta
• Audit in loco: con preavviso di almeno 30 giorni, a spese del Titolare
• Audit di terze parti: certificazioni o report indipendenti (SOC 2, ISO 27001, ove disponibili)

Gli audit non devono compromettere la sicurezza dei dati di altri clienti. L'auditor deve sottoscrivere accordo di riservatezza.

11. Restituzione e Cancellazione dei Dati

Al termine del rapporto, su scelta del Titolare:

• Restituzione: dati personali in formato strutturato (JSON, CSV)
• Cancellazione: dati personali cancellati definitivamente entro 30 giorni

Fanno eccezione i dati che Dresium è tenuta a conservare per obblighi di legge (es. documentazione fiscale: 10 anni). Su richiesta, certificazione scritta dell'avvenuta cancellazione.

12. Disposizioni Finali

12.1 Legge applicabile e foro competente

Regolato dalla legge italiana. Foro esclusivo di Palermo per qualsiasi controversia.

12.2 Modifiche

Le modifiche saranno comunicate con preavviso di almeno 30 giorni. La prosecuzione dell'utilizzo costituisce accettazione.

12.3 Contatti