Accordo sul trattamento dei dati (DPA B2B)

Ultimo aggiornamento: 25 settembre 2026

Questo Accordo sul trattamento dei dati («DPA») integra i Termini di servizio fra il cliente aziendale che attiva DayInFlow («Cliente») e AMZSTRATEGY LLC, Company ID / Registration Number 2026-002043679, 30 N Gould St, Ste R, Sheridan, WY 82801, USA («DayInFlow»). Si applica ai dati personali che DayInFlow tratta per conto del Cliente attraverso il servizio. Le definizioni di «titolare», «responsabile», «interessato», «violazione dei dati personali» e «trattamento» seguono il GDPR quando applicabile. Se il Cliente opera come responsabile di un terzo, garantisce di poter impartire le istruzioni qui previste e di aver ottenuto le autorizzazioni necessarie.

1. Oggetto, durata e istruzioni

DayInFlow tratta i dati per fornire, proteggere, mantenere e assistere le funzioni acquistate e configurate dal Cliente: organizzazioni, utenti, calendari, disponibilità, eventi, prenotazioni, pagamenti delle call se attivati, notifiche, integrazioni e supporto. Le istruzioni documentate comprendono il contratto, le scelte effettuate nel prodotto e le richieste scritte compatibili con il servizio. Il trattamento dura per la durata del contratto e il successivo periodo necessario a esportazione e cancellazione, salvo obbligo legale contrario. DayInFlow informa il Cliente se ritiene che un'istruzione violi la normativa applicabile, salvo divieto legale.

Il Cliente determina le finalità delle prenotazioni, le domande poste agli invitati, la base giuridica, la liceità delle comunicazioni, i destinatari e le eventuali informative aggiuntive. Non deve inserire dati particolari o altamente sensibili senza aver prima valutato necessità, liceità e idoneità del servizio. DayInFlow non usa i dati degli invitati per una propria vendita di dati o per campagne proprie.

2. Persone autorizzate e riservatezza

DayInFlow limita l'accesso al personale e ai collaboratori che ne hanno necessità per erogazione, assistenza, sicurezza o adempimenti. Li vincola a riservatezza e istruzioni appropriate. Gli accessi amministrativi sono limitati, tracciati e riesaminati secondo il rischio. Il Cliente resta responsabile della configurazione dei propri ruoli, host, gestori di team e destinatari.

3. Misure tecniche e organizzative

DayInFlow adotta misure adeguate al rischio, tra cui separazione dei dati delle organizzazioni, controllo degli accessi, protezione delle credenziali e dei segreti, cifratura dei dati in transito e delle informazioni riservate quando appropriato, backup, logging, monitoraggio, limitazioni contro abuso e verifica periodica. La disponibilità dei sistemi dipende anche da fornitori esterni e dai collegamenti configurati dal Cliente. Le misure possono evolvere purché non si riduca materialmente il livello complessivo di protezione.

Il Cliente deve usare autenticazione forte dove disponibile, aggiornare i ruoli, disconnettere chi non è più autorizzato, controllare i permessi concessi alle integrazioni e proteggere i dispositivi e gli esportati sotto il proprio controllo.

4. Subprocessori

Il Cliente autorizza in via generale il ricorso alle categorie di subprocessori necessarie a hosting, database, autenticazione, invio email e SMS, pagamenti, elaborazione AI, monitoraggio e assistenza, secondo l'elenco aggiornato nella pagina «Subprocessori e trasferimenti». DayInFlow impone ai subprocessori obblighi di protezione sostanzialmente equivalenti a quelli applicabili al trattamento affidato e resta responsabile delle loro prestazioni nei limiti della legge. Informerà il Cliente di aggiunte o sostituzioni rilevanti con un preavviso ragionevole, salvo urgenze di sicurezza. Il Cliente può formulare un'obiezione motivata per ragioni di protezione dati; le parti cercheranno una soluzione praticabile e, se impossibile, valuteranno la cessazione del servizio interessato.

Le integrazioni che il Cliente sceglie di collegare al proprio account possono agire come fornitori indipendenti o subprocessori a seconda del flusso. Il Cliente deve esaminare le condizioni del fornitore prima di autorizzarlo.

5. Assistenza al Cliente

Tenuto conto della natura del trattamento e delle informazioni disponibili, DayInFlow assiste il Cliente nel rispondere alle richieste di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione degli interessati. Se una richiesta arriva direttamente a DayInFlow e riguarda dati trattati per il Cliente, la inoltra o chiede istruzioni, senza rispondere sul merito salvo obbligo di legge. DayInFlow fornisce assistenza ragionevole per valutazioni d'impatto, consultazioni dell'autorità, misure di sicurezza e obblighi di notifica, nei limiti delle informazioni disponibili; eventuali attività straordinarie possono richiedere un accordo sui costi.

6. Violazioni dei dati personali

Quando rileva una violazione dei dati personali trattati per il Cliente, DayInFlow lo informa senza ingiustificato ritardo dopo averne acquisito conoscenza, attraverso il contatto amministrativo o un canale appropriato. La notifica descrive, nella misura conosciuta, natura dell'incidente, categorie di dati e persone interessate, conseguenze probabili, misure adottate o previste e un punto di contatto. Le informazioni possono essere fornite progressivamente. Il Cliente decide e gestisce le notifiche alle autorità e agli interessati quando opera come titolare, con l'assistenza ragionevole di DayInFlow.

7. Trasferimenti internazionali

Se il trattamento comporta un trasferimento soggetto alle norme dello Spazio economico europeo o del Regno Unito verso un paese non adeguato, le parti adottano il meccanismo giuridico applicabile, incluse, quando necessarie, le clausole contrattuali tipo della Commissione europea nel modulo pertinente e le misure supplementari. Il presente DPA non sostituisce automaticamente l'esecuzione o l'incorporazione valida delle clausole contrattuali tipo né le valutazioni di trasferimento richieste. Il Cliente può chiedere a support@dayinflow.com le informazioni disponibili sulle garanzie e sui flussi.

8. Verifiche e dimostrazione

DayInFlow mette a disposizione informazioni ragionevolmente necessarie per dimostrare il rispetto degli obblighi applicabili al responsabile. Il Cliente può chiedere chiarimenti o una verifica proporzionata, con preavviso, orario concordato, riservatezza, tutela degli altri clienti e senza compromettere la sicurezza. Un audit in presenza richiede una motivazione ragionevole quando documenti e controlli remoti non sono sufficienti. Le parti concordano costi e modalità prima di attività straordinarie.

9. Restituzione, cancellazione e prevalenza

Alla fine del servizio il Cliente può esportare i dati durante i periodi di accesso applicabili. DayInFlow cancella o rende non identificabili i dati trattati per conto del Cliente secondo i Termini e l'Informativa sulla privacy, salvo obblighi legali, contestazioni o backup soggetti a rotazione limitata. Le fatture e altre registrazioni che DayInFlow deve mantenere come titolare restano separate. Se questo DPA e i Termini sono incompatibili sul trattamento per conto del Cliente, prevale il DPA; i diritti inderogabili previsti dalla normativa restano fermi.

Allegato A — Descrizione del trattamento

Interessati: membri e collaboratori del Cliente, host, invitati e loro accompagnatori indicati, contatti di assistenza. Categorie di dati: identità e recapiti, ruolo, disponibilità, metadati di calendario, data/ora/fuso e stato dell'appuntamento, risposte alle domande, note dell'evento, comunicazioni, eventuali dati di pagamento della call in forma limitata, log tecnici. Finalità: erogare e gestire le funzioni impostate dal Cliente. Natura: raccolta, registrazione, consultazione, organizzazione, conservazione, trasmissione ai destinatari autorizzati, cancellazione. Durata: contratto più finestre di esportazione, cancellazione e obblighi di legge descritti nei documenti collegati. Categorie di destinatari: persone autorizzate dal Cliente, invitati nei limiti della prenotazione e fornitori necessari.

Allegato B — Misure di sicurezza

Autenticazione e autorizzazione per ruolo; separazione logica dei workspace; verifica degli input e limitazione delle richieste; cifratura del traffico; protezione dei segreti; backup e ripristino; tracciamento delle azioni sensibili; aggiornamenti e gestione delle vulnerabilità; revisione dei permessi; procedure di risposta agli incidenti; protezione dei canali di supporto. La descrizione indica categorie di controlli contrattuali, non certificazioni o risultati di audit indipendenti.