Data Processing Agreement
Il presente Accordo sul Trattamento dei Dati Personali (“DPA”) costituisce parte integrante dell’accordo che disciplina l’utilizzo del servizio Twproject in modalità cloud (“Accordo”) tra:
il Cliente, come identificato nell’ordine, nella registrazione o nell’accordo commerciale applicabile (“Cliente” o “Titolare del trattamento”),
e
Twproject S.r.l., con sede legale in Via Don Giulio Facibeni 8/A, 50141 Firenze (FI), Italia (“Twproject” o “Responsabile del trattamento”).
Il presente DPA disciplina il trattamento dei Dati Personali effettuato da Twproject per conto del Cliente nell’ambito della fornitura del servizio Twproject.
1. Definizioni
Ai fini del presente DPA:
“Normativa Applicabile in materia di Protezione dei Dati” indica il Regolamento (UE) 2016/679 (“GDPR”) e ogni altra normativa applicabile dell’Unione Europea o degli Stati membri in materia di protezione dei dati personali.
I termini “Titolare del trattamento”, “Responsabile del trattamento”, “Interessato”, “Dati Personali”, “Trattamento”, “Violazione dei Dati Personali” e “Autorità di Controllo” hanno il significato attribuito loro dal GDPR.
“Dati del Cliente” indica informazioni, dati, documenti, file e altri contenuti caricati, inseriti, trasmessi o altrimenti trattati attraverso il Servizio dal Cliente, dai suoi Utenti o per loro conto.
“Servizio” indica il servizio Twproject fornito al Cliente ai sensi dell’Accordo.
“Sub-responsabile” indica un soggetto terzo incaricato da Twproject di trattare Dati Personali per conto del Cliente in relazione alla fornitura del Servizio.
“Integrazione di Terze Parti” indica un’integrazione opzionale tra il Servizio e un servizio di terze parti abilitata dal Cliente o dai suoi Utenti.
2. Ruoli e istruzioni
Quando Twproject tratta per conto del Cliente Dati Personali contenuti nei Dati del Cliente, il Cliente agisce in qualità di Titolare del trattamento e Twproject in qualità di Responsabile del trattamento.
Il Cliente determina le finalità e i mezzi del trattamento ed è responsabile di garantire che le proprie attività di trattamento siano conformi alla Normativa Applicabile in materia di Protezione dei Dati.
Twproject tratta i Dati Personali esclusivamente sulla base di istruzioni documentate del Cliente. L’Accordo, il presente DPA nonché l’utilizzo e la configurazione del Servizio da parte del Cliente costituiscono istruzioni documentate ai fini del presente DPA.
Twproject può inoltre trattare Dati Personali quando ciò sia richiesto dal diritto dell’Unione Europea o di uno Stato membro applicabile. In tal caso, Twproject informa il Cliente di tale obbligo giuridico prima del trattamento, salvo che la legge vieti tale comunicazione.
Qualora Twproject ritenga ragionevolmente che un’istruzione violi la Normativa Applicabile in materia di Protezione dei Dati, ne informa il Cliente senza ingiustificato ritardo.
3. Oggetto, natura e finalità del trattamento
Twproject tratta i Dati Personali nella misura necessaria a fornire, gestire, mantenere, proteggere e supportare il Servizio.
Il trattamento può comprendere:
– hosting e conservazione;
– organizzazione e consultazione;
– trasmissione;
– backup e ripristino;
– manutenzione tecnica;
– monitoraggio operativo e di sicurezza;
– diagnosi dei problemi e assistenza tecnica;
– cancellazione e distruzione conformemente all’Accordo e al presente DPA.
Twproject non determina il contenuto sostanziale dei Dati del Cliente e non effettua controlli sistematici sul loro contenuto.
Il personale Twproject può accedere ai Dati del Cliente esclusivamente quando ciò sia ragionevolmente necessario per fornire assistenza richiesta o autorizzata dal Cliente, gestire o proteggere il Servizio, effettuare attività di manutenzione, analizzare problematiche tecniche o di sicurezza oppure adempiere a obblighi di legge o richieste delle autorità competenti.
4. Durata del trattamento
Il trattamento prosegue per la durata dell’Accordo e per l’eventuale periodo ulteriore necessario al completamento delle procedure di cancellazione e conservazione dei backup descritte all’articolo 14.
5. Categorie di Dati Personali
A seconda dell’utilizzo del Servizio da parte del Cliente, i Dati Personali possono comprendere:
– nome e cognome;
– informazioni di contatto professionali, inclusi indirizzi e-mail e numeri di telefono;
– nomi utente e identificativi dell’account;
– informazioni professionali e organizzative;
-informazioni relative a progetti, attività, assegnazioni, calendari e organizzazione del lavoro;
– documenti, comunicazioni e altre informazioni inserite o caricate dal Cliente o dai suoi Utenti;
– informazioni tecniche e di utilizzo associate al funzionamento del Servizio;
– qualsiasi altro Dato Personale che il Cliente o i suoi Utenti decidano di inserire o caricare nel Servizio.
Il Cliente determina quali Dati Personali vengono trattati attraverso il Servizio.
Il Servizio non è specificamente progettato per richiedere il trattamento di categorie particolari di Dati Personali ai sensi dell’articolo 9 GDPR o di Dati Personali relativi a condanne penali e reati ai sensi dell’articolo 10 GDPR.
Qualora il Cliente scelga di trattare tali dati attraverso il Servizio, è responsabilità del Cliente assicurare la liceità del trattamento e l’adozione delle eventuali garanzie aggiuntive richieste dalla Normativa Applicabile.
6. Categorie di Interessati
A seconda dell’utilizzo del Servizio da parte del Cliente, gli Interessati possono comprendere dipendenti, collaboratori, consulenti, appaltatori e Utenti del Cliente; clienti e potenziali clienti; fornitori e partner commerciali; nonché altri soggetti i cui Dati Personali siano inseriti nel Servizio dal Cliente o per suo conto.
7. Riservatezza e personale autorizzato
Twproject garantisce che le persone autorizzate al trattamento dei Dati Personali siano soggette ad adeguati obblighi di riservatezza e ricevano informazioni e istruzioni appropriate in materia di sicurezza delle informazioni e protezione dei dati.
L’accesso ai Dati Personali è limitato in base al ruolo, alle autorizzazioni e alle necessità operative.
8. Sicurezza del trattamento
Twproject adotta e mantiene misure tecniche e organizzative adeguate, volte a garantire un livello di sicurezza appropriato al rischio, tenendo conto dello stato dell’arte, dei costi di attuazione nonché della natura, dell’ambito, del contesto e delle finalità del trattamento.
Tali misure comprendono, ove appropriato:
– separazione logica degli ambienti dei Clienti;
– controllo degli accessi e autenticazione;
– gestione degli accessi privilegiati;
– cifratura dei dati in transito mediante protocolli crittografici appropriati;
– procedure di backup e ripristino;
– logging e monitoraggio della sicurezza;
– gestione delle vulnerabilità e della sicurezza;
– gestione degli incidenti di sicurezza delle informazioni;
– procedure di continuità operativa e ripristino;
– misure organizzative relative alla riservatezza, alle autorizzazioni e alla consapevolezza in materia di sicurezza delle informazioni.
Twproject riesamina e aggiorna le proprie misure tecniche e organizzative secondo necessità, tenendo conto dei rischi individuati, dell’evoluzione tecnologica e delle modifiche al Servizio, a condizione che tali modifiche non riducano sostanzialmente il livello complessivo di protezione garantito ai Dati Personali.
9. Sub-responsabili
Il Cliente concede a Twproject un’autorizzazione generale scritta a ricorrere a Sub-responsabili quando ciò sia ragionevolmente necessario per fornire, gestire, mantenere, proteggere o supportare il Servizio.
Twproject mantiene un elenco aggiornato dei Sub-responsabili utilizzati in relazione al Servizio e rende tali informazioni disponibili al Cliente attraverso un canale informativo appropriato gestito da Twproject o su richiesta.
Twproject informa preventivamente il Cliente delle modifiche rilevanti previste riguardanti l’aggiunta o la sostituzione di Sub-responsabili, concedendo al Cliente una ragionevole possibilità di opporsi per motivi legittimi, documentati e connessi alla protezione dei dati personali.
L’opposizione del Cliente non obbliga Twproject a continuare a utilizzare un Sub-responsabile esistente né a rinunciare a modifiche ragionevolmente necessarie per la fornitura, la sicurezza, la continuità o il funzionamento del Servizio.
Twproject verifica che ciascun Sub-responsabile sia soggetto a obblighi contrattuali in materia di protezione dei dati adeguati al trattamento effettuato e coerenti con gli obblighi applicabili a Twproject ai sensi del presente DPA.
Twproject rimane responsabile del rispetto degli obblighi in materia di protezione dei dati da parte dei propri Sub-responsabili, nei limiti e secondo quanto previsto dalla Normativa Applicabile.
L’elenco aggiornato dei Sub-responsabili è mantenuto separatamente dal presente DPA, in modo da poter essere aggiornato senza necessità di modificare il DPA ed è richiedibile per email scrivendo a support@twproject.com.
10. Integrazioni di Terze Parti
Il Servizio può consentire al Cliente o ai suoi Utenti di abilitare integrazioni con servizi di terze parti, inclusi servizi esterni di identità, autenticazione e calendario.
Quando viene abilitata un’Integrazione di Terze Parti, i Dati del Cliente possono essere trasmessi al relativo servizio di terze parti o ricevuti dallo stesso nella misura necessaria a fornire l’integrazione richiesta.
Il Cliente è responsabile della decisione di abilitare tali integrazioni e di assicurarsi che il loro utilizzo sia appropriato e lecito rispetto alle proprie attività di trattamento.
Un servizio di terze parti scelto e abilitato autonomamente dal Cliente o dai suoi Utenti non sarà considerato un Sub-responsabile nominato da Twproject per il solo fatto di tale integrazione, salvo che Twproject incarichi autonomamente tale fornitore di trattare Dati Personali per proprio conto ai fini della fornitura del Servizio.
11. Localizzazione dei dati e trasferimenti internazionali
I Dati del Cliente sono ospitati nella localizzazione di hosting applicabile all’Account del Cliente, inclusa la regione selezionata o concordata dal Cliente ove tale scelta sia disponibile.
Qualora il trattamento di Dati Personali comporti un trasferimento al di fuori dello Spazio Economico Europeo (“SEE”), Twproject garantisce che tale trasferimento avvenga nel rispetto del Capo V del GDPR.
Ove necessario, sarà utilizzato un adeguato meccanismo di trasferimento, inclusi, a seconda dei casi, una decisione di adeguatezza della Commissione Europea, le Clausole Contrattuali Standard o altra garanzia legittima riconosciuta dalla Normativa Applicabile in materia di Protezione dei Dati.
Qualora un Sub-responsabile tratti Dati Personali al di fuori del SEE, Twproject garantisce che il ricorso a tale Sub-responsabile rispetti i requisiti applicabili ai trasferimenti internazionali.
12. Diritti degli Interessati e assistenza
Tenendo conto della natura del trattamento e per quanto ragionevolmente possibile, Twproject assiste il Cliente mediante misure tecniche e organizzative appropriate nell’adempimento dei propri obblighi relativi alle richieste degli Interessati che esercitano i diritti previsti dalla Normativa Applicabile.
Qualora Twproject riceva direttamente una richiesta da un Interessato relativa a Dati Personali trattati per conto di un Cliente, Twproject, ove sia ragionevolmente possibile identificare il Cliente interessato, indirizza l’Interessato al Cliente o informa il Cliente della richiesta, salvo che Twproject sia legalmente tenuta a rispondere direttamente.
Tenendo conto della natura del trattamento e delle informazioni a disposizione di Twproject, Twproject fornisce inoltre ragionevole assistenza in relazione agli obblighi del Cliente riguardanti la sicurezza del trattamento, le Violazioni dei Dati Personali, le valutazioni d’impatto sulla protezione dei dati e le consultazioni preventive con le Autorità di Controllo.
13. Violazioni dei Dati Personali
Twproject informa il Cliente senza ingiustificato ritardo dopo essere venuta a conoscenza di una Violazione dei Dati Personali che riguardi Dati Personali trattati per conto del Cliente.
Nella misura in cui siano ragionevolmente disponibili, le informazioni fornite comprenderanno quanto necessario ad assistere il Cliente nell’adempimento degli obblighi previsti dalla Normativa Applicabile, inclusi, ove applicabile:
– natura della Violazione dei Dati Personali;
– categorie di Dati Personali e di Interessati coinvolti;
– probabili conseguenze;
– misure adottate o proposte per affrontare e mitigare la violazione.
Qualora tutte le informazioni non siano immediatamente disponibili, Twproject può fornirle progressivamente man mano che diventano disponibili.
Twproject documenta le Violazioni dei Dati Personali conformemente alla Normativa Applicabile e alle proprie procedure interne di gestione degli incidenti.
La comunicazione di una Violazione dei Dati Personali non costituisce riconoscimento di colpa o responsabilità da parte di Twproject.
14. Restituzione, disattivazione e cancellazione dei Dati Personali
Durante la durata del Servizio, il Cliente può utilizzare le funzionalità messe a disposizione da Twproject per esportare o scaricare i Dati del Cliente.
È responsabilità del Cliente esportare i Dati del Cliente che intende conservare prima che intervenga la relativa cancellazione.
Alla scadenza o al mancato rinnovo dell’Account del Cliente:
– la relativa Istanza Twproject viene disattivata dopo 7 giorni;
– trascorsi 15 giorni dalla data di scadenza, il primo giorno lavorativo successivo, l’Istanza e i relativi Dati del Cliente attivi vengono cancellati definitivamente;
– le copie di backup dei Dati del Cliente sono conservate nei sistemi di backup Twproject per 60 giorni successivi alla cancellazione dell’Istanza, trascorsi i quali vengono cancellate definitivamente secondo le procedure di conservazione dei backup di Twproject.
Durante il periodo di conservazione dei backup, le copie rimangono soggette agli obblighi di sicurezza e riservatezza previsti dal presente DPA e non vengono ripristinate o altrimenti trattate salvo quando necessario per il ripristino dei backup, la sicurezza, l’adempimento di obblighi di legge o il legittimo funzionamento tecnico dei sistemi di backup.
Qualora la legge applicabile imponga a Twproject di conservare specifici Dati Personali per un periodo più lungo, tali dati possono essere conservati esclusivamente nella misura e per il periodo richiesti dalla legge.
15. Audit e dimostrazione della conformità
Twproject mette a disposizione del Cliente, nella misura richiesta dalla Normativa Applicabile in materia di Protezione dei Dati, le informazioni ragionevolmente necessarie a dimostrare il rispetto dell’articolo 28 GDPR e del presente DPA.
La conformità può essere inizialmente dimostrata mediante documentazione pertinente, politiche di sicurezza, certificazioni, rapporti di audit o altre informazioni ragionevolmente disponibili a Twproject.
Qualora tali informazioni non siano ragionevolmente sufficienti, il Cliente può richiedere un audit relativo al trattamento dei Dati Personali effettuato da Twproject per suo conto.
L’audit è effettuato con ragionevole preavviso scritto, normalmente durante il normale orario lavorativo, ed è limitato alle informazioni, ai sistemi e alle attività di trattamento pertinenti ai Dati Personali del Cliente.
L’audit non deve interferire irragionevolmente con le attività di Twproject né compromettere la sicurezza, la riservatezza, i Dati Personali o le informazioni commercialmente sensibili di Twproject o di altri clienti.
Il Cliente può effettuare direttamente l’audit oppure nominare un auditor indipendente che non sia concorrente di Twproject e che sia soggetto ad adeguati obblighi di riservatezza.
Nulla nel presente articolo limita i poteri di una competente Autorità di Controllo.
16. Registri e cooperazione
Twproject mantiene i registri delle attività di trattamento nella misura richiesta dalla Normativa Applicabile per i trattamenti effettuati per conto dei Clienti.
Twproject coopera con le Autorità di Controllo competenti quando richiesto dalla Normativa Applicabile.
17. Responsabilità del Cliente
Il Cliente è responsabile di assicurare l’esistenza di un’idonea base giuridica per il trattamento dei Dati Personali attraverso il Servizio e di fornire agli Interessati le informazioni richieste dalla Normativa Applicabile.
Il Cliente è inoltre responsabile di garantire che le proprie istruzioni siano conformi alla Normativa Applicabile, di gestire adeguatamente i propri Utenti, permessi e diritti di accesso e di valutare se il Servizio e le misure tecniche e organizzative messe a disposizione da Twproject siano adeguati rispetto ai trattamenti che intende effettuare.
Twproject non determina quali Dati Personali il Cliente scelga di inserire o caricare nel Servizio.
18. Responsabilità
Ciascuna Parte è responsabile dei propri atti e omissioni conformemente alla Normativa Applicabile in materia di Protezione dei Dati.
Nulla nel presente DPA limita i diritti degli Interessati o i poteri delle Autorità di Controllo previsti dalla Normativa Applicabile.
Nei rapporti tra il Cliente e Twproject, la responsabilità derivante dal presente DPA o ad esso connessa è soggetta alle limitazioni ed esclusioni di responsabilità previste dall’Accordo, nella misura consentita dalla Normativa Applicabile.
19. Prevalenza
Il presente DPA costituisce parte integrante dell’Accordo.
In caso di conflitto tra il presente DPA e l’Accordo relativamente al trattamento di Dati Personali effettuato da Twproject per conto del Cliente, il presente DPA prevale limitatamente a tale conflitto.
Tutte le altre disposizioni dell’Accordo restano invariate.
20. Legge applicabile e foro competente
Il presente DPA è disciplinato dalla legge italiana.
Salvo quanto diversamente previsto da norme imperative applicabili, qualsiasi controversia derivante dal presente DPA o ad esso relativa è sottoposta alla competenza esclusiva del Foro di Firenze.
21. Entrata in vigore e durata
Il presente DPA entra in vigore quando il Cliente conclude l’Accordo o accetta in altro modo il presente DPA.
Rimane in vigore per tutto il periodo durante il quale Twproject tratta Dati Personali per conto del Cliente, incluso l’eventuale periodo di conservazione dei backup successivo alla cessazione o alla scadenza del Servizio.
Ultimo aggiornamento: 04/09/2026