Accordo sul trattamento dei dati (DPA) (Modello)

Ultimo aggiornamento: 27 ottobre 2026

Modello. Questo è il Data Processing Addendum standard di Monarchy per i clienti business. Diventa vincolante solo quando è completato e firmato da entrambe le parti nell'ambito di un contratto di servizi. I campi tra [parentesi quadre] si completano per ciascun cliente. Per richiederne una copia da firmare, scrivi a legal@monarchy.io. In caso di differenze, prevale la versione inglese.

Il presente Accordo sul trattamento dei dati ("DPA") fa parte del contratto di servizi (il "Contratto") tra [RAGIONE SOCIALE DEL CLIENTE], [INDIRIZZO DEL CLIENTE] ("Cliente"), e Monarchy Media LLC, 650 Cleveland Street #2291, Clearwater, Florida, Stati Uniti ("Monarchy"). Si applica quando Monarchy tratta Dati personali per conto del Cliente nella prestazione dei servizi.

1. Definizioni

"Normativa sulla protezione dei dati" indica tutte le leggi applicabili al trattamento dei Dati personali ai sensi del Contratto, compresi, ove applicabili, il Regolamento generale sulla protezione dei dati (UE) 2016/679 ("GDPR"), il GDPR del Regno Unito e il Data Protection Act 2018, la Legge federale svizzera sulla protezione dei dati, il California Consumer Privacy Act come modificato ("CCPA") e altre leggi statali USA sulla privacy. "Dati personali", "Titolare", "Responsabile", "Interessato", "Violazione dei dati personali" e "trattamento" hanno il significato previsto dal GDPR (o i termini equivalenti di altre normative, come "business", "service provider" e "personal information" nel CCPA). "Sub-responsabile" indica un terzo incaricato da Monarchy di trattare Dati personali del Cliente. "Dati personali del Cliente" indica i Dati personali trattati da Monarchy per conto del Cliente ai sensi del Contratto.

2. Ruoli e ambito

2.1 Il Cliente è Titolare (o Responsabile che agisce per un proprio Titolare) e Monarchy è Responsabile del trattamento (e "service provider" ai sensi del CCPA) dei Dati personali del Cliente.
2.2 Oggetto, durata, natura e finalità del trattamento, tipi di Dati personali e categorie di Interessati sono descritti nell'Allegato I.
2.3 Ciascuna parte rispetta la Normativa sulla protezione dei dati a essa applicabile. Il Cliente è responsabile della liceità dei Dati personali che fornisce e delle proprie istruzioni, compresa una valida base giuridica, le informative e gli eventuali consensi necessari (ad esempio per chiamate, SMS o email di marketing effettuati per suo conto).

3. Istruzioni del Cliente

3.1 Monarchy tratta i Dati personali del Cliente solo su istruzioni documentate del Cliente, comprese quelle del Contratto, del presente DPA e dell'uso dei servizi da parte del Cliente, salvo diverso obbligo di legge (nel qual caso Monarchy informa il Cliente prima del trattamento, se la legge non lo vieta).
3.2 Monarchy informa tempestivamente il Cliente se ritiene che un'istruzione violi la Normativa sulla protezione dei dati.
3.3 CCPA. Monarchy non: vende né condivide i Dati personali del Cliente; li conserva, usa o comunica per finalità diverse da quelle aziendali specificate nel Contratto; li conserva, usa o comunica al di fuori del rapporto diretto con il Cliente; li combina con dati personali ricevuti da altre fonti, salvo quanto consentito dal CCPA. Monarchy informa il Cliente se non è più in grado di rispettare i propri obblighi CCPA e certifica di comprendere e rispettare queste restrizioni.

4. Riservatezza

Monarchy garantisce che le persone autorizzate a trattare i Dati personali del Cliente siano vincolate alla riservatezza e ricevano una formazione adeguata.

5. Sicurezza

Monarchy adotta misure tecniche e organizzative adeguate a proteggere i Dati personali del Cliente, descritte nell'Allegato II, tenendo conto dello stato dell'arte, dei costi, della natura, dell'ambito, del contesto e delle finalità del trattamento e dei rischi per gli Interessati.

6. Intelligenza artificiale

6.1 Monarchy può usare sistemi di IA (compresi assistenti IA e fornitori di modelli di IA indicati nell'Allegato III) per prestare i servizi e ne risponde come per qualsiasi Sub-responsabile.
6.2 Ove controllabile per contratto o tramite impostazioni del servizio, Monarchy non consente ai fornitori di modelli di IA di usare i Dati personali del Cliente per addestrare o migliorare i propri modelli generali, salvo accordo scritto del Cliente.
6.3 Se i servizi prevedono comunicazioni automatiche o generate con l'IA verso gli Interessati per conto del Cliente, le parti concordano nel Contratto o in un ordine di lavoro come tali comunicazioni vengono dichiarate e come i destinatari possono raggiungere una persona e disiscriversi.

7. Sub-responsabili

7.1 Il Cliente concede a Monarchy un'autorizzazione generale a ricorrere a Sub-responsabili. Quelli in uso alla firma sono elencati nell'Allegato III.
7.2 Monarchy comunica al Cliente ogni aggiunta o sostituzione prevista di Sub-responsabili con almeno [PERIODO DI PREAVVISO] giorni di anticipo. Il Cliente può opporsi per ragionevoli motivi di protezione dei dati entro tale periodo; le parti ne discutono in buona fede e, in mancanza di soluzione, il Cliente può recedere dai servizi interessati.
7.3 Monarchy impone a ciascun Sub-responsabile obblighi di protezione dei dati non meno tutelanti del presente DPA e resta responsabile del loro adempimento.

8. Richieste degli Interessati

Tenuto conto della natura del trattamento, Monarchy assiste il Cliente con misure adeguate nel rispondere alle richieste di esercizio dei diritti degli Interessati. Se Monarchy riceve direttamente una richiesta, la inoltra al Cliente senza ingiustificato ritardo e non risponde se non su istruzione del Cliente o per confermare l'inoltro.

9. Violazioni dei dati personali

Monarchy informa il Cliente senza ingiustificato ritardo, e comunque entro [ORE PER LA NOTIFICA] ore da quando ne viene a conoscenza, di qualsiasi Violazione dei dati personali che riguardi i Dati personali del Cliente, fornendo le informazioni ragionevolmente disponibili per aiutare il Cliente ad adempiere ai propri obblighi di notifica, e adotta misure ragionevoli per contenerla e porvi rimedio.

10. Assistenza

Monarchy fornisce al Cliente ragionevole assistenza per valutazioni d'impatto sulla protezione dei dati e consultazioni preventive con le autorità di controllo, nella misura richiesta dalla Normativa e relativa al trattamento svolto da Monarchy.

11. Restituzione e cancellazione

Al termine dei servizi, o su richiesta scritta del Cliente, Monarchy, a scelta del Cliente, restituisce o cancella i Dati personali del Cliente entro [PERIODO DI CANCELLAZIONE] giorni e ne cancella le copie esistenti, salvo obbligo di conservazione per legge (nel qual caso restano protetti dal presente DPA).

12. Verifiche

Monarchy mette a disposizione del Cliente le informazioni ragionevolmente necessarie a dimostrare il rispetto del presente DPA. Il Cliente può, a proprie spese e non più di una volta ogni 12 mesi (salvo richiesta di un'autorità di controllo o dopo una Violazione dei dati personali), verificare il rispetto da parte di Monarchy con almeno [PREAVVISO PER L'AUDIT] giorni di preavviso scritto, in orario lavorativo, con vincolo di riservatezza e senza accesso ai dati di altri clienti. Monarchy può soddisfare le richieste di audit innanzitutto fornendo documentazione pertinente e certificazioni o report di terzi, ove disponibili.

13. Trasferimenti internazionali

13.1 Il Cliente prende atto che Monarchy ha sede negli Stati Uniti e che i Dati personali del Cliente possono essere trattati negli Stati Uniti e in altri Paesi in cui operano i Sub-responsabili.
13.2 Se Dati personali del Cliente soggetti al GDPR, al GDPR del Regno Unito o alla legge svizzera sono trasferiti verso un Paese privo di decisione di adeguatezza, si applicano le Clausole contrattuali standard approvate con Decisione di esecuzione (UE) 2021/914, Modulo Due (da titolare a responsabile) o Modulo Tre (da responsabile a responsabile) a seconda dei casi, incorporate per riferimento, con: Clausola 7 (adesione) inclusa; Clausola 9 opzione 2 (autorizzazione generale) con il preavviso di cui alla sezione 7.2; testo facoltativo della Clausola 11 escluso; Clausole 17 e 18 disciplinate dalla legge e dai tribunali di [STATO MEMBRO UE]; allegati completati con gli Allegati I-III del presente DPA. Per i trasferimenti dal Regno Unito si applica l'UK International Data Transfer Addendum; per quelli dalla Svizzera, gli adattamenti necessari (IFPDT come autorità competente, riferimenti alla legge svizzera). Se il destinatario è certificato ai sensi dell'EU-U.S. Data Privacy Framework (o delle sue estensioni per Regno Unito e Svizzera), si può fare affidamento su tale quadro.

14. Dati sanitari

Il presente DPA non autorizza di per sé Monarchy a ricevere informazioni sanitarie protette ai sensi dell'HIPAA. Se i servizi riguardano tali informazioni, le parti firmano un Business Associate Agreement separato, che prevale per tali informazioni.

15. Responsabilità, durata e prevalenza

15.1 La responsabilità di ciascuna parte ai sensi del presente DPA è soggetta ai limiti ed esclusioni previsti dal Contratto, nella misura consentita dalla Normativa.
15.2 Il presente DPA resta in vigore finché Monarchy tratta Dati personali del Cliente.
15.3 In caso di conflitto prevalgono, nell'ordine: le Clausole contrattuali standard (ove applicabili), il presente DPA, il Contratto.
15.4 Salvo diversa previsione della Normativa o delle Clausole contrattuali standard, il presente DPA è regolato dalle leggi dello Stato della Florida e sono competenti i tribunali situati nello Stato della Florida.

Allegato I: Descrizione del trattamento

Titolare / esportatore: [RAGIONE SOCIALE DEL CLIENTE], contatto [CONTATTO PRIVACY DEL CLIENTE].
Responsabile / importatore: Monarchy Media LLC, 650 Cleveland Street #2291, Clearwater, Florida, Stati Uniti; contatto legal@monarchy.io.
Servizi: [DESCRIZIONE DEI SERVIZI, es. call center / fissazione appuntamenti, advertising e lead generation, tecnologia e configurazione di desk IA, produzione creativa, eventi].
Categorie di Interessati: [es. clienti e potenziali clienti del Cliente, lead, partecipanti a eventi, personale del Cliente].
Categorie di Dati personali: [es. nome, email, telefono, dettagli degli appuntamenti, contenuto e registrazioni delle comunicazioni, dati di campagna e tracciamento].
Dati sensibili: [Nessuno / descrizione e garanzie aggiuntive].
Natura e finalità del trattamento: prestazione dei servizi previsti dal Contratto, compresi raccolta, conservazione, organizzazione, comunicazioni con gli Interessati per conto del Cliente (che possono essere automatiche o assistite dall'IA), analisi e reportistica.
Frequenza: continuativa per la durata dei servizi.
Durata e conservazione: durata del Contratto più il periodo di restituzione/cancellazione di cui alla sezione 11.

Allegato II: Misure tecniche e organizzative

Cifratura in transito (TLS) per i dati scambiati con i sistemi Monarchy; cifratura a riposo come fornita dai nostri provider di hosting e SaaS.
Accessi basati sui ruoli e sul privilegio minimo; account individuali; autenticazione a più fattori ove supportata; revoca tempestiva degli accessi non più necessari.
Chiavi API con ambito limitato e segreti custoditi in archivi gestiti, mai nel codice; rotazione delle chiavi in caso di sospetta esposizione.
Fornitori affidabili con certificazioni di sicurezza riconosciute, selezionati e valutati sotto il profilo della protezione dei dati.
Registrazione degli accessi amministrativi ove supportata; monitoraggio di abusi e anomalie.
Minimizzazione: solo i Dati personali necessari ai servizi; dati di test invece di dati reali ove possibile.
Impegni di riservatezza e formazione sulla protezione dei dati per personale e collaboratori.
Procedura di gestione degli incidenti con notifica al Cliente come da sezione 9.
Backup e ripristino come forniti dai nostri provider.
Controlli sull'uso dell'IA: nessun addestramento di modelli generali sui Dati personali del Cliente ove controllabile; supervisione umana dei sistemi di IA; dichiarazione dell'uso dell'IA nelle comunicazioni come concordato.

Allegato III: Sub-responsabili (alla firma)

Sub-responsabile	Finalità	Luogo
HighLevel, Inc. (LeadConnector)	Piattaforma CRM, email, telefonia e messaggistica	Stati Uniti
Cloudflare, Inc.	Hosting, distribuzione dei contenuti, sicurezza, funzioni serverless e archiviazione	Rete globale; Stati Uniti
Google LLC (Google Workspace)	Email, documenti e collaborazione	Stati Uniti e globale
[FORNITORE/I DI MODELLI DI IA]	Redazione assistita dall'IA, assistenti IA	[LUOGO]
[ALTRI SUB-RESPONSABILI PER I SERVIZI SPECIFICI]	[FINALITÀ]	[LUOGO]

Firme
Cliente: [NOME, RUOLO, DATA]
Monarchy Media LLC: [NOME, RUOLO, DATA]