Accordo sul Trattamento dei Dati

Il presente Accordo sul Trattamento dei Dati ("ATD") si applica al trattamento dei dati personali da parte di Adbrains B.V. ("Responsabile del trattamento") per conto del Cliente ("Titolare del trattamento") nell'ambito del contratto di servizio.

Articolo 1, Definizioni

• RGPD: Regolamento (UE) 2016/679 (Regolamento Generale sulla Protezione dei Dati)
• Dati personali: qualsiasi informazione riguardante una persona fisica identificata o identificabile
• Trattamento: qualsiasi operazione effettuata sui dati personali ai sensi del RGPD
• Violazione: una violazione dei dati personali ai sensi dell'art. 4, punto 12, del RGPD

Articolo 2, Finalità e natura del trattamento

Il Responsabile del trattamento tratta i dati personali esclusivamente per le seguenti finalità:

• gestione e ottimizzazione delle campagne Google Ads per conto del Titolare del trattamento
• trasmissione dei dati di conversione a Google Ads e, se applicabile, a Meta
• generazione di report di campagna e analisi tramite IA
• fornitura del portale clienti e della dashboard

Categorie di interessati: visitatori del sito web e clienti del Titolare del trattamento.

Categorie di dati personali: indirizzi IP, identificativi di clic (GCLID, fbclid), indirizzi e-mail, dati di conversione.

Articolo 3, Obblighi del responsabile del trattamento

Il Responsabile del trattamento si impegna a:

• trattare i dati personali esclusivamente in conformità alle istruzioni scritte del Titolare del trattamento
• mantenere la riservatezza dei dati personali nei confronti di terzi
• attuare misure tecniche e organizzative di sicurezza adeguate (art. 32 RGPD)
• non ricorrere a sub-responsabili del trattamento senza il previo consenso del Titolare del trattamento
• collaborare per l'esercizio dei diritti degli interessati

Articolo 4, Sub-responsabili del trattamento

Il Titolare del trattamento autorizza il ricorso ai seguenti sub-responsabili del trattamento:

• Google LLC, API di Google Ads, Google Analytics, Google Cloud
• Anthropic, PBC, API di Claude AI (dati di campagna anonimizzati)
• Fornitori di hosting, infrastruttura server (con sede nell'UE)

Il Responsabile del trattamento informa il Titolare del trattamento di eventuali modifiche ai sub-responsabili del trattamento. Il Titolare del trattamento ha il diritto di opporsi.

Articolo 5, Sicurezza (art. 32 RGPD)

Il Responsabile del trattamento attua e mantiene misure tecniche e organizzative adeguate:

• crittografia dei dati personali a riposo e in transito (AES-256, TLS 1.2+)
• autenticazione a due fattori per l'accesso ai sistemi
• pseudonimizzazione dei dati analitici, laddove possibile
• test di sicurezza periodici e revisioni degli accessi
• procedure di ripristino in caso di incidenti

Articolo 6, Violazioni dei dati e incidenti

In caso di violazione dei dati personali, il Responsabile del trattamento informa il Titolare del trattamento quanto prima possibile ed entro e non oltre 72 ore dalla scoperta. La notifica comprende: la natura della violazione, le categorie e il numero approssimativo di interessati coinvolti, le probabili conseguenze e le misure adottate.

Articolo 7, Trasferimenti fuori dallo SEE

Il Responsabile del trattamento non trasferisce dati personali verso paesi situati fuori dallo Spazio Economico Europeo (SEE), salvo qualora ciò sia necessario (ad es. Google/Anthropic negli Stati Uniti) e conforme all'art. 46 RGPD mediante le Clausole Contrattuali Standard (SCC) della Commissione Europea.

Articolo 8, Diritti degli interessati

Il Responsabile del trattamento assiste il Titolare del trattamento nella gestione delle richieste degli interessati (accesso, rettifica, cancellazione, ecc.) entro un termine che consenta al Titolare del trattamento di rispettare il termine legale di 30 giorni.

Articolo 9, Audit e controllo

Il Responsabile del trattamento consente al Titolare del trattamento di effettuare audit, o di farli effettuare da un terzo indipendente, con un preavviso di almeno 30 giorni e nel rispetto di un obbligo di riservatezza.

Articolo 10, Cancellazione e restituzione

Al termine del contratto, il Responsabile del trattamento cancella tutti i dati personali entro 90 giorni, salvo che sia applicabile un obbligo legale di conservazione. Su richiesta, il Responsabile del trattamento fornisce una conferma scritta della cancellazione.

Articolo 11, Legge applicabile

Il presente Accordo sul Trattamento dei Dati è disciplinato dal diritto olandese. Le controversie sono sottoposte al tribunale competente di Rotterdam.