Data Processing Agreement (DPA)

Versione 2026-06 · Ai sensi dell'art. 28 GDPR

1. Parti

Il presente Accordo sul Trattamento dei Dati ("DPA") è stipulato tra Emti Srl, P.IVA IT04476980984, titolare del servizio FornitoreInRegola ("Responsabile del Trattamento") e l'organizzazione che utilizza la piattaforma ("Titolare del Trattamento"), identificata tramite account registrato.

2. Definizioni

Ai fini del presente DPA si intende per:

• Titolare del Trattamento — il soggetto (persona fisica o giuridica) che determina finalità e mezzi del trattamento dei dati personali; nell'ambito del presente accordo, l'organizzazione cliente.
• Responsabile del Trattamento — il soggetto che tratta dati personali per conto del Titolare; nell'ambito del presente accordo, Emti Srl.
• Interessato — la persona fisica a cui si riferiscono i dati personali (es. dipendenti o collaboratori dei fornitori del Titolare).
• Dati personali — qualsiasi informazione relativa a una persona fisica identificata o identificabile ai sensi dell'art. 4 n. 1 GDPR.
• Trattamento — qualsiasi operazione compiuta su dati personali (raccolta, registrazione, conservazione, consultazione, comunicazione, cancellazione ecc.) ai sensi dell'art. 4 n. 2 GDPR.

3. Oggetto e finalità

Emti Srl, tramite la piattaforma FornitoreInRegola, tratta dati personali per conto del Titolare al fine di erogare il servizio di gestione documentale fornitori ai sensi del D.Lgs. 81/2008 Art. 26. I dati trattati comprendono: dati anagrafici e fiscali dei fornitori, documenti di conformità (DURC, visure CCIAA, DVR, polizze RC, DUVRI, attestati di formazione), audit trail delle operazioni.

4. Obblighi del Responsabile

• Trattare i dati solo su istruzione documentata del Titolare
• Garantire riservatezza alle persone autorizzate al trattamento
• Adottare misure di sicurezza adeguate ai sensi dell'art. 32 GDPR
• Non ricorrere ad ulteriori responsabili senza autorizzazione previa del Titolare
• Assistere il Titolare nell'esercizio dei diritti degli interessati
• Cancellare o restituire i dati al termine dei servizi
• Mettere a disposizione tutte le informazioni necessarie per dimostrare conformità

5. Misure di sicurezza (art. 32 GDPR)

Emti Srl adotta misure tecniche e organizzative adeguate al rischio del trattamento, tra cui:

• Cifratura dei dati a riposo (AES-256) e in transito (TLS 1.2+)
• Controllo degli accessi basato sul principio del privilegio minimo
• Autenticazione forte (magic link + sessioni JWT con scadenza)
• Separazione logica dei dati tra organizzazioni tramite Row Level Security (RLS)
• Monitoraggio degli errori e degli eventi di sicurezza
• Backup regolari con verifica del ripristino
• Aggiornamenti di sicurezza applicati entro 30 giorni dalla pubblicazione delle patch

6. Sub-responsabili

Il Titolare autorizza il ricorso ai sub-responsabili elencati nella pagina Sub-responsabili. Qualsiasi modifica all'elenco sarà comunicata con preavviso di 30 giorni, consentendo al Titolare di opporsi prima che la modifica diventi operativa.

7. Notifica delle violazioni

In caso di violazione dei dati personali (data breach) ai sensi dell'art. 33 GDPR, Emti Srl notifica il Titolare del Trattamento entro 24 ore dal rilevamento dell'incidente, mediante comunicazione scritta all'indirizzo email associato all'account. La notifica include, nei limiti del possibile: natura della violazione, categorie e numero approssimativo di interessati coinvolti, misure adottate o proposte per rimediare.

8. Trasferimenti internazionali

I trasferimenti verso paesi terzi avvengono tramite Clausole Contrattuali Standard (SCC) adottate dalla Commissione Europea con Decisione 2021/914/UE.

9. Diritto di audit

Il Titolare ha diritto di effettuare, direttamente o tramite un revisore terzo incaricato, un audit all'anno per verificare la conformità al presente DPA e al GDPR. L'audit è condotto previa comunicazione scritta con un preavviso minimo di 30 giorni. I costi dell'audit sono a carico del Titolare. Le parti concordano le modalità di accesso in modo da non interferire con le normali attività operative.

10. Durata

Il presente DPA è valido per tutta la durata del contratto di servizio. Alla cessazione del contratto (per recesso, scadenza o cancellazione dell'account), Emti Srl procede alla cancellazione sicura o alla restituzione di tutti i dati personali entro 30 giorni, salvo obbligo di conservazione previsto dalla legge.

11. Legge applicabile

Il presente accordo è regolato dalla legge italiana e dal Regolamento (UE) 2016/679 (GDPR). Foro competente: la sede legale di Emti Srl.

12. Firma e richiesta copia cartacea

Il Titolare può firmare il DPA elettronicamente tramite il pannello (sezione sottostante). Per richiedere copia firmata digitalmente in formato PDF, scrivere a dpa@fornitoreinregola.it. Il documento verrà inviato entro 2 giorni lavorativi.