Accordo sul trattamento dei dati

1. Applicazione del presente accordo

Il presente Accordo sul trattamento dei dati (di seguito “l’Accordo”) fa parte dei Termini di servizio conclusi tra ALK Innovations e il Cliente. Si applica ai dati personali che ALK Innovations tratta per conto del Cliente quando gli fornisce il Servizio Trupeo, come descritti nell’allegato II. Le parole Cliente e Servizio hanno il significato che danno loro i Termini di servizio.

Le parti

Il Cliente è il titolare del trattamento e ALK Innovations è il suo responsabile del trattamento. Nelle clausole che seguono, “il titolare del trattamento” indica il Cliente e “il responsabile del trattamento” indica ALK Innovations.

Le clausole contrattuali tipo

Le parti da 2 a 4 riproducono, senza modificarle, le clausole contrattuali tipo tra titolari e responsabili del trattamento adottate dalla Commissione europea con la decisione di esecuzione (UE) 2021/915 del 4 giugno 2021 (di seguito “le Clausole”). Le parti da 5 a 8 ne sono gli allegati da I a IV. Dove le Clausole lasciano una scelta, le parti hanno scelto il regolamento (UE) 2016/679 (il GDPR) anziché il regolamento (UE) 2018/1725, che si applica solo alle istituzioni e agli organi dell’Unione europea, e, nella clausola 7.7, l’autorizzazione scritta generale, con un preavviso di 30 giorni. La clausola 5, facoltativa, non è utilizzata.

Accettazione

Il Cliente accetta il presente Accordo accettando i Termini di servizio, senza doverlo firmare. Per un Cliente che ha accettato i Termini di servizio prima del 24 ottobre 2026, il presente Accordo si applica da tale data. Crea obblighi solo a carico di ALK Innovations e ha quindi effetto dalla sua pubblicazione, senza il preavviso dell’articolo 21 dei Termini di servizio. ALK Innovations fornisce una copia firmata a suo nome a ogni Cliente che la richieda tramite il modulo di contatto.

Le istruzioni documentate del Cliente

Le istruzioni del Cliente, ai sensi della clausola 7.1, sono il presente Accordo, i Termini di servizio e ciò che gli utenti del Cliente fanno nel Servizio e nelle sue impostazioni: collegare una casella, invitare o rimuovere un membro, scrivere, assegnare, inserire in un ambito o spostare nel cestino una conversazione, esportare dati, collegare un assistente, e così via.

Collegare un assistente come Claude o ChatGPT a un account Trupeo è un’istruzione a mettere dati a disposizione di quell’assistente, nei limiti dei diritti dell’utente che lo ha collegato. L’assistente agisce allora sotto la responsabilità della società che lo gestisce, secondo le condizioni di quest’ultima: non è un sub-responsabile del trattamento di ALK Innovations.

Ciò che il presente Accordo non copre

ALK Innovations non è il responsabile del trattamento del Cliente, ma titolare del trattamento a pieno titolo, per i trattamenti che svolge per finalità proprie: gestione degli account utente, fatturazione, sicurezza del Servizio, gestione delle richieste che gli utenti inviano al team di Trupeo, misurazione del pubblico e dell’uso del prodotto, e gestione dei rapporti con i clienti. Tali trattamenti sono descritti nell’Informativa sulla privacy, che li disciplina.

Modifiche e altre disposizioni

ALK Innovations mantiene aggiornati gli allegati man mano che il Servizio evolve, come consente la clausola 2. Una modifica dell’elenco dei sub-responsabili del trattamento segue la clausola 7.7: il proprietario di ogni casella ne è informato via email con almeno 30 giorni di anticipo. Ogni altra modifica segue l’articolo 21 dei Termini di servizio. Tutto ciò che il presente Accordo non disciplina, compresi la legge applicabile e il foro competente, è disciplinato dai Termini di servizio; in caso di contrasto, la clausola 4 fa prevalere le Clausole.

2. Sezione I: disposizioni generali

Clausola 1: Scopo e ambito di applicazione

a) Scopo delle presenti clausole contrattuali tipo (di seguito «clausole») è garantire il rispetto dell’articolo 28, paragrafi 3 e 4, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati).

b) I titolari del trattamento e i responsabili del trattamento di cui all’allegato I hanno accettato le presenti clausole al fine di garantire il rispetto dell’articolo 28, paragrafi 3 e 4, del regolamento (UE) 2016/679 e/o dell’articolo 29, paragrafi 3 e 4, del regolamento (UE) 2018/1725.

c) Le presenti clausole si applicano al trattamento dei dati personali specificato all’allegato II.

d) Gli allegati da I a IV costituiscono parte integrante delle clausole.

e) Le presenti clausole lasciano impregiudicati gli obblighi cui è soggetto il titolare del trattamento a norma del regolamento (UE) 2016/679 e/o del regolamento (UE) 2018/1725.

f) Le presenti clausole non garantiscono, di per sé, il rispetto degli obblighi connessi ai trasferimenti internazionali conformemente al capo V del regolamento (UE) 2016/679 o del regolamento (UE) 2018/1725.

Clausola 2: Invariabilità delle clausole

a) Le parti si impegnano a non modificare le clausole se non per aggiungere o aggiornare informazioni negli allegati.

b) Ciò non impedisce alle parti di includere le clausole contrattuali tipo stabilite nelle presenti clausole in un contratto più ampio o di aggiungere altre clausole o garanzie supplementari, purché queste non contraddicano, direttamente o indirettamente, le presenti clausole o ledano i diritti o le libertà fondamentali degli interessati.

Clausola 3: Interpretazione

a) Quando le presenti clausole utilizzano i termini definiti, rispettivamente, nel regolamento (UE) 2016/679 o nel regolamento (UE) 2018/1725, tali termini hanno lo stesso significato di cui al regolamento interessato.

b) Le presenti clausole vanno lette e interpretate alla luce delle disposizioni del regolamento (UE) 2016/679 o del regolamento (UE) 2018/1725, rispettivamente.

c) Le presenti clausole non devono essere interpretate in un senso che non sia conforme ai diritti e agli obblighi previsti dal regolamento (UE) 2016/679 / dal regolamento (UE) 2018/1725, o che pregiudichi i diritti o le libertà fondamentali degli interessati.

Clausola 4: Gerarchia

In caso di contraddizione tra le presenti clausole e le disposizioni di accordi correlati, vigenti tra le parti al momento dell’accettazione delle presenti clausole, o conclusi successivamente, prevalgono le presenti clausole.

Clausola 5: Clausola di adesione successiva (facoltativa)

Questa clausola facoltativa non è utilizzata nel presente accordo.

3. Sezione II: obblighi delle parti

Clausola 6: Descrizione del trattamento

I dettagli dei trattamenti, in particolare le categorie di dati personali e le finalità del trattamento per le quali i dati personali sono trattati per conto del titolare del trattamento, sono specificati nell’allegato II.

Clausola 7: Obblighi delle parti

7.1. Istruzioni

a) Il responsabile del trattamento tratta i dati personali soltanto su istruzione documentata del titolare del trattamento, salvo che lo richieda il diritto dell’Unione o nazionale cui è soggetto il responsabile del trattamento. In tal caso, il responsabile del trattamento informa il titolare del trattamento circa tale obbligo giuridico prima del trattamento, a meno che il diritto lo vieti per rilevanti motivi di interesse pubblico. Il titolare del trattamento può anche impartire istruzioni successive per tutta la durata del trattamento dei dati personali. Tali istruzioni sono sempre documentate.

b) Il responsabile del trattamento informa immediatamente il titolare del trattamento qualora, a suo parere, le istruzioni del titolare del trattamento violino il regolamento (UE) 2016/679/ il regolamento (UE) 2018/1725 o le disposizioni applicabili, nazionali o dell’Unione, relative alla protezione dei dati.

7.2. Limitazione delle finalità

Il responsabile del trattamento tratta i dati personali soltanto per le finalità specifiche del trattamento di cui all’allegato II, salvo ulteriori istruzioni del titolare del trattamento.

7.3. Durata del trattamento dei dati personali

Il responsabile del trattamento tratta i dati personali soltanto per la durata specificata nell’allegato II.

7.4. Sicurezza del trattamento

a) Il responsabile del trattamento mette in atto almeno le misure tecniche e organizzative specificate nell’allegato III per garantire la sicurezza dei dati personali. Ciò include la protezione da ogni violazione di sicurezza che comporti accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati (violazione dei dati personali). Nel valutare l’adeguato livello di sicurezza, le parti tengono debitamente conto dello stato dell’arte, dei costi di attuazione, nonché della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi per gli interessati.

b) Il responsabile del trattamento concede l’accesso ai dati personali oggetto di trattamento ai membri del suo personale soltanto nella misura strettamente necessaria per l’attuazione, la gestione e il controllo del contratto. Il responsabile del trattamento garantisce che le persone autorizzate al trattamento dei dati personali ricevuti si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza.

7.5. Dati sensibili

Se il trattamento riguarda dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche o l’appartenenza sindacale, dati genetici o dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona, o dati relativi a condanne penali e a reati («dati sensibili»), il responsabile del trattamento applica limitazioni specifiche e/o garanzie supplementari.

7.6. Documentazione e rispetto

a) Le parti devono essere in grado di dimostrare il rispetto delle presenti clausole.

b) Il responsabile del trattamento risponde prontamente e adeguatamente alle richieste di informazioni del titolare del trattamento relative al trattamento dei dati conformemente alle presenti clausole.

c) Il responsabile del trattamento mette a disposizione del titolare del trattamento tutte le informazioni necessarie a dimostrare il rispetto degli obblighi stabiliti nelle presenti clausole e che derivano direttamente dal regolamento (UE) 2016/679 e/o dal regolamento (UE) 2018/1725. Su richiesta del titolare del trattamento, il responsabile del trattamento consente e contribuisce alle attività di revisione delle attività di trattamento di cui alle presenti clausole, a intervalli ragionevoli o se vi sono indicazioni di inosservanza. Nel decidere in merito a un riesame o a un’attività di revisione, il titolare del trattamento può tenere conto delle pertinenti certificazioni in possesso del responsabile del trattamento.

d) Il titolare del trattamento può scegliere di condurre l’attività di revisione autonomamente o incaricare un revisore indipendente. Le attività di revisione possono comprendere anche ispezioni nei locali o nelle strutture fisiche del responsabile del trattamento e, se del caso, sono effettuate con un preavviso ragionevole.

e) Su richiesta, le parti mettono a disposizione della o delle autorità di controllo competenti le informazioni di cui alla presente clausola, compresi i risultati di eventuali attività di revisione.

7.7. Ricorso a sub-responsabili del trattamento

a) Il responsabile del trattamento ha l’autorizzazione generale del titolare del trattamento per ricorrere a sub-responsabili del trattamento sulla base di un elenco concordato. Il responsabile del trattamento informa specificamente per iscritto il titolare del trattamento di eventuali modifiche previste di tale elenco riguardanti l’aggiunta o la sostituzione di sub-responsabili del trattamento con un anticipo di almeno 30 giorni, dando così al titolare del trattamento tempo sufficiente per poter opporsi a tali modifiche prima del ricorso al o ai sub-responsabili del trattamento in questione. Il responsabile del trattamento fornisce al titolare del trattamento le informazioni necessarie per consentirgli di esercitare il diritto di opposizione.

b) Qualora il responsabile del trattamento ricorra a un sub-responsabile del trattamento per l’esecuzione di specifiche attività di trattamento (per conto del responsabile del trattamento), stipula un contratto che impone al sub-responsabile del trattamento, nella sostanza, gli stessi obblighi in materia di protezione dei dati imposti al responsabile del trattamento conformemente alle presenti clausole. Il responsabile del trattamento si assicura che il sub-responsabile del trattamento rispetti gli obblighi cui il responsabile del trattamento è soggetto a norma delle presenti clausole e del regolamento (UE) 2016/679 e/o del regolamento (UE) 2018/1725.

c) Su richiesta del titolare del trattamento, il responsabile del trattamento gli fornisce copia del contratto stipulato con il sub-responsabile del trattamento e di ogni successiva modifica. Nella misura necessaria a proteggere segreti aziendali o altre informazioni riservate, compresi i dati personali, il responsabile del trattamento può espungere informazioni dal contratto prima di trasmetterne una copia.

d) Il responsabile del trattamento rimane pienamente responsabile nei confronti del titolare del trattamento dell’adempimento degli obblighi del sub-responsabile del trattamento derivanti dal contratto che questi ha stipulato con il responsabile del trattamento. Il responsabile del trattamento notifica al titolare del trattamento qualunque inadempimento, da parte del sub-responsabile del trattamento, degli obblighi contrattuali.

e) Il responsabile del trattamento concorda con il sub-responsabile del trattamento una clausola del terzo beneficiario secondo la quale, qualora il responsabile del trattamento sia scomparso di fatto, abbia giuridicamente cessato di esistere o sia divenuto insolvente, il titolare del trattamento ha diritto di risolvere il contratto con il sub-responsabile del trattamento e di imporre a quest’ultimo di cancellare o restituire i dati personali.

7.8. Trasferimenti internazionali

a) Qualunque trasferimento di dati verso un paese terzo o un’organizzazione internazionale da parte del responsabile del trattamento è effettuato soltanto su istruzione documentata del titolare del trattamento o per adempiere a un requisito specifico a norma del diritto dell’Unione o degli Stati membri cui è soggetto il responsabile del trattamento, e nel rispetto del capo V del regolamento (UE) 2016/679 o del regolamento (UE) 2018/1725.

b) Il titolare del trattamento conviene che, qualora il responsabile del trattamento ricorra a un sub-responsabile del trattamento conformemente alla clausola 7.7 per l’esecuzione di specifiche attività di trattamento (per conto del titolare del trattamento) e tali attività di trattamento comportino il trasferimento di dati personali ai sensi del capo V del regolamento (UE) 2016/679, il responsabile del trattamento e il sub-responsabile del trattamento possono garantire il rispetto del capo V del regolamento (UE) 2016/679 utilizzando le clausole contrattuali tipo adottate dalla Commissione conformemente all’articolo 46, paragrafo 2, del regolamento (UE) 2016/679, purché le condizioni per l’uso di tali clausole contrattuali tipo siano soddisfatte.

Clausola 8: Assistenza al titolare del trattamento

a) Il responsabile del trattamento notifica prontamente al titolare del trattamento qualunque richiesta ricevuta dall’interessato. Non risponde egli stesso alla richiesta, a meno che sia stato autorizzato in tal senso dal titolare del trattamento.

b) Il responsabile del trattamento assiste il titolare del trattamento nell’adempimento degli obblighi di rispondere alle richieste degli interessati per l’esercizio dei loro diritti, tenuto conto della natura del trattamento. Nell’adempiere agli obblighi di cui alle lettere a) e b), il responsabile del trattamento si attiene alle istruzioni del titolare del trattamento.

c) Oltre all’obbligo di assistere il titolare del trattamento in conformità della clausola 8, lettera b), il responsabile del trattamento assiste il titolare del trattamento anche nel garantire il rispetto dei seguenti obblighi, tenuto conto della natura del trattamento dei dati e delle informazioni a disposizione del responsabile del trattamento:

1. l’obbligo di effettuare una valutazione dell’impatto dei trattamenti previsti sulla protezione dei dati personali («valutazione d’impatto sulla protezione dei dati») qualora un tipo di trattamento possa presentare un rischio elevato per i diritti e le libertà delle persone fisiche;

2. l’obbligo, prima di procedere al trattamento, di consultare la o le autorità di controllo competenti qualora la valutazione d’impatto sulla protezione dei dati indichi che il trattamento presenterebbe un rischio elevato in assenza di misure adottate dal titolare del trattamento per attenuare il rischio;

3. l’obbligo di garantire che i dati personali siano esatti e aggiornati, informando senza indugio il titolare del trattamento qualora il responsabile del trattamento venga a conoscenza del fatto che i dati personali che sta trattando sono inesatti o obsoleti;

4. gli obblighi di cui all’articolo 32 regolamento (UE) 2016/679.

d) Le parti stabiliscono nell’allegato III le misure tecniche e organizzative adeguate con cui il responsabile del trattamento è tenuto ad assistere il titolare del trattamento nell’applicazione della presente clausola, nonché l’ambito di applicazione e la portata dell’assistenza richiesta.

Clausola 9: Notifica di una violazione dei dati personali

In caso di violazione dei dati personali, il responsabile del trattamento coopera con il titolare del trattamento e lo assiste nell’adempimento degli obblighi che incombono a quest’ultimo a norma degli articoli 33 e 34 del regolamento (UE) 2016/679 o degli articoli 34 e 35 del regolamento (UE) 2018/1725, ove applicabile, tenuto conto della natura del trattamento e delle informazioni a disposizione del responsabile del trattamento.

9.1. Violazione riguardante dati trattati dal titolare del trattamento

In caso di una violazione dei dati personali trattati dal titolare del trattamento, il responsabile del trattamento assiste il titolare del trattamento:

a) nel notificare la violazione dei dati personali alla o alle autorità di controllo competenti, senza ingiustificato ritardo dopo che il titolare del trattamento ne è venuto a conoscenza, se del caso/(a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche);

b) nell’ottenere le seguenti informazioni che, in conformità dell’articolo 33, paragrafo 3, del regolamento (UE) 2016/679, devono essere indicate nella notifica del titolare del trattamento e includere almeno:

1. la natura dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati in questione nonché le categorie e il numero approssimativo di registrazioni dei dati personali in questione;

2. le probabili conseguenze della violazione dei dati personali;

3. le misure adottate o di cui si propone l’adozione da parte del titolare del trattamento per porre rimedio alla violazione dei dati personali, se del caso anche per attenuarne i possibili effetti negativi.

Qualora, e nella misura in cui, non sia possibile fornire tutte le informazioni contemporaneamente, la notifica iniziale contiene le informazioni disponibili in quel momento, e le altre informazioni sono fornite successivamente, non appena disponibili, senza ingiustificato ritardo.

c) nell’adempiere, in conformità dell’articolo 34 del regolamento (UE) 2016/679, all’obbligo di comunicare senza ingiustificato ritardo la violazione dei dati personali all’interessato, qualora la violazione dei dati personali sia suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche.

9.2. Violazione riguardante dati trattati dal responsabile del trattamento

In caso di una violazione dei dati personali trattati dal responsabile del trattamento, quest’ultimo ne dà notifica al titolare del trattamento senza ingiustificato ritardo dopo esserne venuto a conoscenza. La notifica contiene almeno:

a) una descrizione della natura della violazione (compresi, ove possibile, le categorie e il numero approssimativo di interessati e di registrazioni dei dati in questione);

b) i recapiti di un punto di contatto presso il quale possono essere ottenute maggiori informazioni sulla violazione dei dati personali;

c) le probabili conseguenze della violazione dei dati personali e le misure adottate o di cui si propone l’adozione per porre rimedio alla violazione, anche per attenuarne i possibili effetti negativi.

Qualora, e nella misura in cui, non sia possibile fornire tutte le informazioni contemporaneamente, la notifica iniziale contiene le informazioni disponibili in quel momento, e le altre informazioni sono fornite successivamente, non appena disponibili, senza ingiustificato ritardo.

Le parti stabiliscono nell’allegato III tutti gli altri elementi che il responsabile del trattamento è tenuto a fornire quando assiste il titolare del trattamento nell’adempimento degli obblighi che incombono al titolare del trattamento a norma degli articoli 33 e 34 del regolamento (UE) 2016/679.

4. Sezione III: disposizioni finali

Clausola 10: Inosservanza delle clausole e risoluzione

a) Fatte salve le disposizioni del regolamento (UE) 2016/679 e/o del regolamento (UE) 2018/1725, qualora il responsabile del trattamento violi gli obblighi che gli incombono a norma delle presenti clausole, il titolare del trattamento può dare istruzione al responsabile del trattamento di sospendere il trattamento dei dati personali fino a quando quest’ultimo non rispetti le presenti clausole o non sia risolto il contratto. Il responsabile del trattamento informa prontamente il titolare del trattamento qualora, per qualunque motivo, non sia in grado di rispettare le presenti clausole.

b) Il titolare del trattamento ha diritto di risolvere il contratto per quanto riguarda il trattamento dei dati personali conformemente alle presenti clausole qualora:

1. il trattamento dei dati personali da parte del responsabile del trattamento sia stato sospeso dal titolare del trattamento in conformità della lettera a) e il rispetto delle presenti clausole non sia ripristinato entro un termine ragionevole e in ogni caso entro un mese dalla sospensione;

2. il responsabile del trattamento violi in modo sostanziale o persistente le presenti clausole o gli obblighi che gli incombono a norma del regolamento (UE) 2016/679 e/o del regolamento (UE) 2018/1725;

3. il responsabile del trattamento non rispetti una decisione vincolante di un organo giurisdizionale competente o della o delle autorità di controllo competenti per quanto riguarda i suoi obblighi in conformità delle presenti clausole o del regolamento (UE) 2016/679 e/o del regolamento (UE) 2018/1725.

c) Il responsabile del trattamento ha diritto di risolvere il contratto per quanto riguarda il trattamento dei dati personali a norma delle presenti clausole qualora, dopo aver informato il titolare del trattamento che le sue istruzioni violano i requisiti giuridici applicabili in conformità della clausola 7.1, lettera b), il titolare del trattamento insista sul rispetto delle istruzioni.

d) Dopo la risoluzione del contratto il responsabile del trattamento, a scelta del titolare del trattamento, cancella tutti i dati personali trattati per conto del titolare del trattamento e certifica a quest’ultimo di averlo fatto, oppure restituisce al titolare del trattamento tutti i dati personali e cancella le copie esistenti, a meno che il diritto dell’Unione o dello Stato membro non richieda la conservazione dei dati personali. Finché i dati non sono cancellati o restituiti, il responsabile del trattamento continua ad assicurare il rispetto delle presenti clausole.

5. Allegato I: elenco delle parti

Titolare del trattamento

Nome: il Cliente, ossia l’organizzazione che ha sottoscritto il Servizio, come identificata nel suo account Trupeo e nei suoi dati di fatturazione.

Indirizzo: l’indirizzo indicato nei dati di fatturazione del Cliente.

Nome, qualifica e dati di contatto del referente: il proprietario di ogni casella che il Cliente ha collegato, all’indirizzo email del suo account Trupeo. Un Cliente che ha designato un responsabile della protezione dei dati può comunicarne i dati tramite il modulo di contatto.

Firma e data di adesione: la data in cui il Cliente ha accettato i Termini di servizio o, per un Cliente che li aveva già accettati, il 24 ottobre 2026.

Responsabile del trattamento

Nome: ALK Innovations, SASU con capitale di 1.000 €, iscritta al RCS di Nantes con il numero 983 856 642.

Indirizzo: 31 avenue des Korrigans, 44300 Nantes, Francia.

Nome, qualifica e dati di contatto del referente: Quentin Georget, presidente di ALK Innovations e suo referente per la protezione dei dati personali, tramite il modulo di contatto (selezionando “Richiesta GDPR”) o per posta all’indirizzo sopra indicato. ALK Innovations non ha designato un responsabile della protezione dei dati.

Firma e data di adesione: la pubblicazione del presente Accordo, il 24 ottobre 2026.

6. Allegato II: descrizione del trattamento

Categorie di interessati i cui dati personali sono trattati

• Gli utenti del Cliente: i membri di ciascuna delle sue caselle condivise e le persone invitate a unirsi a una di esse.
• I corrispondenti del Cliente: i mittenti e i destinatari delle email delle sue caselle collegate, e chiunque tali email o i loro allegati nominino.
• Le persone presenti nella rubrica di ciascuna casella, compresi i contatti mantenuti uguali a Google Contacts o a Outlook.

A seconda dell’attività del Cliente, tra queste persone possono esserci minori, in particolare per un istituto scolastico.

Categorie di dati personali trattati

• Le email: i messaggi di ciascuna casella collegata (oggetto, corpo, mittenti, destinatari, date, allegati, etichette e cartelle), e le email che gli utenti del Cliente scrivono e inviano dal Servizio.
• La connessione a ciascuna casella: il suo indirizzo, e ciò con cui Trupeo vi si collega (l’accesso concesso da Google o Microsoft, o le credenziali IMAP e SMTP).
• Ciò che il team scrive e fa in Trupeo: note per il team, assegnazioni, stati, etichette, ambiti, firme, e la cronologia di tali azioni con il membro che ha compiuto ciascuna di esse.
• La rubrica: gli indirizzi letti nelle email con il nome che ciascun messaggio dà loro, il numero e le date degli scambi, ciò che il team aggiunge (nome, azienda, ruolo, numeri di telefono, nota), i gruppi di contatti e, quando è attivato, i contatti scambiati con Google Contacts o Outlook.
• I membri come li vedono i loro colleghi di team: nome, indirizzo email e foto del profilo.

Dati sensibili trattati (se del caso) e limitazioni o garanzie applicate

ALK Innovations non chiede dati sensibili né li cerca, ma le email possono contenerne, come tutto ciò che un corrispondente scrive. Sono protetti come tutte le email, con queste limitazioni:

• una rigorosa limitazione delle finalità: le email sono trattate solo per fornire il Servizio, mai a fini pubblicitari e mai per addestrare modelli di intelligenza artificiale;
• il testo dei messaggi e gli allegati sono cifrati con una chiave propria di ciascuna casella (allegato III);
• solo i membri a cui il Cliente dà accesso a una casella la vedono, entro gli ambiti che il Cliente stabilisce;
• nessuno in ALK Innovations legge le email, salvo su richiesta esplicita del Cliente per gestire una richiesta di assistenza, quando la sicurezza lo richiede, ad esempio per indagare su un abuso, o per adempiere a un obbligo di legge, e ogni volta che il team di Trupeo apre un account, ciò viene registrato (allegato III).

Natura del trattamento

Raccolta delle email presso il servizio di posta del Cliente (tramite l’API di Gmail, Microsoft Graph, o IMAP e SMTP), conservazione, organizzazione e visualizzazione ai membri, ricerca, invio di email per conto del Cliente, applicazione presso il servizio di posta delle azioni che i membri compiono in Trupeo (letto, archiviato, cestino, spam), mantenimento della rubrica uguale a Google Contacts o a Outlook quando è attivato, notifica ai membri (nell’applicazione, via email e sui loro dispositivi), esportazione dei dati su richiesta del Cliente, e cancellazione.

Finalità per le quali i dati personali sono trattati per conto del titolare del trattamento

Fornire al Cliente il Servizio descritto nei Termini di servizio: una casella condivisa in cui il team del Cliente legge, distribuisce, segue e risponde alle email delle sue caselle collegate. E, solo per tale Servizio: consultare le caselle del Cliente quando questi lo chiede per rispondere a una sua richiesta di assistenza, e garantire la sicurezza del Servizio.

Durata del trattamento

Per la durata del contratto. Quando un abbonamento termina, la casella interessata e i suoi dati vengono eliminati alla fine del periodo pagato, o 14 giorni dopo il recesso se tale data è successiva, salvo che il Cliente riattivi l’abbonamento prima di allora (articolo 6 dei Termini di servizio). Scollegare una casella elimina i messaggi e gli allegati conservati per essa. Una volta eliminati, i dati escono dai backup del database entro 35 giorni al massimo, e dalle copie precedenti conservate nello storage a oggetti al più tardi 60 giorni dopo la loro scrittura. Alla fine del contratto nulla viene eliminato presso il servizio di posta del Cliente: le email e i contatti vi restano.

Per il trattamento da parte di (sub-)responsabili del trattamento, specificare anche la materia disciplinata, la natura e la durata del trattamento

Si veda l’allegato IV. Ciascun sub-responsabile del trattamento tratta i dati per tutto il tempo in cui il responsabile del trattamento gli affida tale trattamento, salvo ciò che l’allegato IV indica che conserva più a lungo.

7. Allegato III: misure tecniche e organizzative

Queste sono le misure in vigore al 24 ottobre 2026. La pagina sulla sicurezza le descrive nel dettaglio, con i loro limiti e le loro date.

Cifratura dei dati personali

• Microsoft Azure cifra il database e lo storage dei file.
• Trupeo cifra inoltre direttamente alcuni dati (AES-256-GCM): dal 10 luglio 2026, il testo dei messaggi e gli allegati, con una chiave per ciascuna casella, e le credenziali di accesso alle caselle, con una chiave del servizio. I segreti da cui derivano queste chiavi sono conservati in Azure Key Vault, separati dallo storage: copiare un file fuori dallo storage non basta per leggerlo.
• L’oggetto di un messaggio, i suoi indirizzi, la sua anteprima e ciò che il team scrive in Trupeo sono cifrati solo da Azure.

Protezione dei dati durante la trasmissione

• Il sito e l’applicazione sono serviti solo in HTTPS. Le connessioni di Trupeo a Google e Microsoft sono cifrate.
• Le sue connessioni a un server IMAP o SMTP sono cifrate quando tale server lo offre. Trupeo non rifiuta un server che non lo offre: il Cliente sceglie il proprio server.

Identificazione e autorizzazione degli utenti

• Ogni membro accede con il proprio account, con una password o con il proprio account Google o Microsoft. Un account con password può attivare la verifica in due passaggi: un codice da un’app di autenticazione, con dieci codici di riserva.
• Una casella è condivisa solo con le persone che il suo proprietario invita. Il proprietario può limitare un membro alle conversazioni inserite in alcuni ambiti. Un membro rimosso da una casella ne perde subito l’accesso.
• Ogni account elenca le sue sessioni aperte, affinché il suo utente riconosca i propri dispositivi.

Accesso del personale di ALK Innovations

• Nessuno in ALK Innovations legge le email, al di fuori dei casi previsti nell’allegato II.
• Ogni volta che un membro del team di Trupeo apre un account, ciò viene registrato, con la data, e mostrato all’utente di quell’account nelle sue impostazioni. Se tale registrazione non può essere scritta, l’apertura viene comunque annotata nei log del servizio.
• Per Gmail, Trupeo non ha mai ottenuto il permesso di eliminare definitivamente un’email.

Sicurezza fisica dei luoghi in cui i dati sono trattati

• Trupeo funziona su Microsoft Azure: il database, i server dell’applicazione e i corpi dei messaggi e gli allegati conservati si trovano in Francia (regione Azure France Central). La sicurezza fisica dei data center spetta a Microsoft.

Disponibilità e ripristino

• Il database viene salvato ogni giorno e i backup sono conservati fino a 35 giorni.
• Il ripristino è stato provato: il 3 settembre 2026 un database ripristinato è stato riletto e decifrato con la chiave reale.

Test e valutazioni periodici

• Un laboratorio indipendente, TAC Security, autorizzato dalla App Defense Alliance, ha valutato Trupeo nell’ambito del programma CASA di Google: conforme al livello AL1 dall’11 settembre 2026, su 20 gruppi di controlli. La valutazione è ripetuta ogni anno.
• Chiunque può segnalare una falla di sicurezza tramite la pagina di segnalazione, secondo una politica pubblicata.

Registrazione degli eventi

• Ogni conversazione conserva la cronologia di ciò che vi è stato fatto, da chi e quando.
• Sono registrate ogni apertura di un account da parte del team di Trupeo e ogni richiesta di esportazione dei dati, con la sua data e l’indirizzo IP da cui proviene.
• Sono conservati log tecnici per la sicurezza e per rilevare gli incidenti.

Minimizzazione e conservazione limitata

• Trupeo conserva il contenuto di un messaggio ricevuto solo dal momento in cui qualcuno lo apre; il servizio di posta conserva l’originale. Ciò che il team scrive in Trupeo, bozze ed email inviate comprese, è conservato non appena viene scritto.
• I periodi di conservazione sono quelli dell’allegato II. Eliminare una casella elimina anche i file conservati per essa, e un file di esportazione viene eliminato sette giorni dopo essere stato pronto.

Portabilità e cancellazione dei dati

• Il proprietario di una casella può esportarne i dati dalle sue impostazioni, come dati strutturati e leggibili da dispositivo automatico: la casella e le sue impostazioni, i suoi membri, ogni conversazione e ogni messaggio con mittenti, destinatari, oggetto e date, le note per il team, la rubrica, la cronologia delle attività e l’elenco degli allegati. Selezionare «Includi il contenuto delle email e gli allegati che Trupeo conserva» aggiunge i corpi dei messaggi che Trupeo conserva, decifrati, le bozze e i file allegati archiviati; il corpo di un messaggio che nessuno ha aperto in Trupeo non è incluso, e il servizio di posta conserva l’originale.
• Il proprietario di una casella può eliminarla dalle sue impostazioni, il che cancella tutto ciò che è conservato per essa, e ogni utente può eliminare il proprio account dalle proprie.
• Una volta eliminati i file archiviati di una casella eliminata, ciascuno dei suoi proprietari riceve un’email che attesta la cancellazione, con la sua data e quella entro cui i backup del database e le versioni precedenti dell’archivio di file che ne contengono ancora una parte saranno scomparsi. L’indirizzo e la lingua a cui viene inviata sono conservati solo fino al suo invio.

Assistenza al titolare del trattamento (clausole 8 e 9)

• Richieste degli interessati: il Cliente può rispondere da sé alla maggior parte di esse con gli strumenti di esportazione e cancellazione sopra indicati. Per ciò che essi non coprono, il Cliente può chiedere l’assistenza di ALK Innovations tramite il modulo di contatto (selezionando “Richiesta GDPR”), e ALK Innovations risponde entro 30 giorni al massimo.
• Violazione dei dati personali: ALK Innovations la notifica via email al proprietario di ciascuna casella interessata, con gli elementi della clausola 9.2. Il punto di contatto per maggiori informazioni è quello dell’allegato I.
• Valutazioni d’impatto e consultazioni preventive: su richiesta, ALK Innovations fornisce le informazioni di cui dispone sul trattamento, in particolare il presente Accordo, la pagina sulla sicurezza e il risultato della sua valutazione CASA.

8. Allegato IV: elenco dei sub-responsabili del trattamento

Il Cliente autorizza i sub-responsabili del trattamento indicati di seguito, che costituiscono l’elenco concordato della clausola 7.7, lettera a). ALK Innovations informa via email il proprietario di ciascuna casella almeno 30 giorni prima di aggiungerne uno all’elenco o di sostituirne uno.

Microsoft France SAS e Amazon Web Services EMEA SARL trattano i dati nell’Unione europea. Amazon SES conserva in un elenco di soppressione gli indirizzi la cui email è stata respinta definitivamente o che hanno segnalato un’email come spam, per non scrivere loro di nuovo, e tale elenco sopravvive al contratto. Il trasferimento a Google LLC si basa sulle garanzie descritte nell’Informativa sulla privacy, come prevede la clausola 7.8.

Chi non è un sub-responsabile del trattamento

• Google, Microsoft e gli altri servizi di posta del Cliente detengono già la casella del Cliente, in base al contratto proprio del Cliente con loro: Trupeo vi si collega secondo le istruzioni del Cliente.
• I servizi che recapitano le notifiche sul dispositivo di un membro sono quelli del browser che usa (Google, Mozilla, Apple o Microsoft): li sceglie il browser, non ALK Innovations. Ricevono l’indirizzo dell’iscrizione di quel dispositivo e un contenuto cifrato end-to-end, che non possono leggere.
• Un assistente che un utente collega al proprio account agisce sotto la responsabilità della società che lo gestisce, come illustra la parte 1.