1. Parti, applicazione e definizioni
Questo accordo è concluso tra ONMAKE S.r.l., con i dati identificativi del documento 01 ("Responsabile"), e il cliente identificato nell'ordine o nel modulo di adesione ("Cliente"), per i trattamenti di dati personali svolti da ONMAKE per conto del Cliente attraverso Editor Ultra. Il Cliente è titolare oppure responsabile autorizzato a nominare ONMAKE quale sub-responsabile. In quest'ultimo caso le istruzioni rispettano quelle del titolare originario e il Cliente assicura la necessaria autorizzazione. I termini del GDPR hanno il significato del Regolamento (UE) 2016/679.
L'accordo e gli allegati A-D sono vincolanti con l'accettazione elettronica o la sottoscrizione, associate all'identità delle parti e alla versione. L'abilitazione a trattare contenuti personali presuppone la disponibilità al Cliente dell'elenco completo dei sub-responsabili e delle misure applicabili: il semplice nome di un marchio non sostituisce l'identità del soggetto incaricato. Il DPA prevale sulle condizioni generali per la protezione dei dati; non è una clausola contrattuale standard di trasferimento internazionale.
Restano fuori dal DPA i trattamenti per cui ONMAKE determina legittimamente finalità proprie, quali dati del proprio rapporto commerciale, obblighi fiscali e difesa, descritti nell'informativa 03. Tale distinzione non autorizza ONMAKE a riqualificare liberamente i documenti del cliente come dati propri.
2. Istruzioni e finalitÃ
ONMAKE tratta i dati soltanto secondo istruzioni documentate del Cliente, comprese quelle risultanti dalle funzioni del servizio, dal presente accordo e dalle richieste provenienti da utenti autorizzati. Sono istruzioni ordinarie l'importazione, elaborazione, salvataggio, verifica, esportazione e cancellazione richieste. Una destinazione esterna scelta dall'utente deve essere lecita e compatibile con il capo V GDPR; un comando non sana un trasferimento illecito.
ONMAKE non usa i contenuti per pubblicità , commercializzazione di dati, addestramento o miglioramento di modelli AI, profilazione autonoma o sviluppo mediante dati reali non autorizzati. Non fornisce modelli AI propri e non invia i contenuti a fornitori AI: le trasmissioni verso un fornitore AI scelto dal Cliente o dai suoi utenti (assistente nel browser, MCP, API REST) avvengono per decisione del Cliente e non sono trattamenti svolti da ONMAKE per suo conto. Se una norma impone un trattamento ulteriore, informa il Cliente prima di eseguirlo salvo divieto legale. Se un'istruzione viola il diritto applicabile, informa senza ritardo il Cliente e sospende la sola operazione interessata finché non venga chiarita o corretta, salvo obblighi prevalenti.
3. Obblighi del Cliente
Il Cliente determina finalità , categorie di dati e interessati e assicura base giuridica, informative, legittimazione degli utenti e liceità dei documenti, incluse condizioni degli articoli 9 e 10 quando pertinenti. Valuta l'idoneità del servizio all'uso professionale e non carica dati soggetti a requisiti non soddisfatti dalle misure concordate. La responsabilità del Cliente non elimina gli obblighi propri del Responsabile.
Il Cliente fornisce istruzioni coerenti, aggiorna le autorizzazioni, protegge le proprie credenziali e collabora per rispondere a incidenti e diritti. Esigenze aggiuntive, come vincoli di residenza, riservatezza rafforzata o regole di settore, devono essere concordate prima del trattamento: non sono presunte dal solo abbonamento.
4. Riservatezza e persone autorizzate
ONMAKE limita l'accesso alle persone che ne hanno necessità per svolgere compiti assegnati, le vincola a riservatezza o verifica l'obbligo legale equivalente, impartisce istruzioni e formazione adeguata e revoca tempestivamente gli accessi non più necessari. Gli accessi privilegiati devono essere identificabili e tracciabili. Il personale non copia documenti in ambienti personali, repository di sviluppo o strumenti AI non autorizzati. La riservatezza sopravvive alla cessazione.
5. Sicurezza
ONMAKE attua misure tecniche e organizzative adeguate al rischio ai sensi dell'articolo 32 e almeno gli impegni dell'allegato B. Tiene conto di categorie di dati, stato dell'arte, costi, natura, finalità e rischi per le persone. Valuta periodicamente efficacia, disponibilità , integrità , riservatezza e ripristinabilità . Non riduce materialmente le misure durante il rapporto; cambi equivalenti o migliorativi sono documentati.
Una misura indicata come obbligo contrattuale deve essere implementata prima di trattare i dati cui si applica. L'adozione del DPA non è attestazione di collaudo e non rende accettabile una vulnerabilità nota non mitigata. In presenza di un difetto critico ONMAKE blocca la funzione interessata o adotta misure equivalenti provate, informando il Cliente quando necessario.
6. Sub-responsabili
Il Cliente autorizza in via generale soltanto le categorie e i soggetti identificati nell'elenco nominativo convalidato dell'allegato C, consegnato con il DPA. Prima di aggiunte o sostituzioni ONMAKE informa su identità , compiti, luogo e garanzie con almeno trenta giorni di preavviso, consentendo un'opposizione motivata per ragioni di protezione dei dati. ONMAKE cerca un'alternativa ragionevole; se non è possibile, il Cliente può cessare la sola prestazione interessata senza penale, ottenendo la restituzione della quota non fruita.
Se una sostituzione urgente è necessaria per prevenire un rischio grave o adempiere un obbligo, ONMAKE informa appena possibile, documenta l'urgenza e non priva il Cliente del diritto di opposizione e cessazione. Impone al sub-responsabile obblighi sostanzialmente equivalenti a quelli qui previsti e resta responsabile del loro adempimento nei confronti del Cliente secondo l'articolo 28, paragrafo 4. L'autorizzazione non copre fornitori di AI, destinatari non identificati o trasferimenti non conformi.
7. Diritti e assistenza
Tenuto conto della natura del trattamento, ONMAKE assiste il Cliente con misure tecniche e organizzative adeguate per accesso, rettifica, cancellazione, limitazione, opposizione e portabilità . Se riceve una richiesta relativa a documenti del Cliente, la inoltra senza indebito ritardo, di regola entro tre giorni lavorativi, e non risponde nel merito senza istruzioni salvo obbligo di legge. Non deve raccogliere dati ulteriori sproporzionati per identificare il richiedente.
ONMAKE fornisce informazioni e assistenza per valutazioni d'impatto, consultazione preventiva, sicurezza e verifiche dell'autorità , tenuto conto delle informazioni di cui dispone. L'assistenza ordinaria e quella necessaria a rimediare a un proprio inadempimento non è assoggettata a costi aggiuntivi. Per attività straordinarie estranee all'ordinario servizio può concordare prima costi ragionevoli, senza ritardare gli obblighi inderogabili.
8. Violazioni dei dati personali
ONMAKE comunica al Cliente una violazione dei dati personali senza ingiustificato ritardo dopo esserne venuta a conoscenza e si impegna a una prima comunicazione entro ventiquattro ore. Non attende l'indagine definitiva. La comunicazione, anche per fasi, indica natura, categorie e quantità indicative di interessati e registrazioni coinvolte, conseguenze probabili, misure adottate o proposte e contatto operativo, nei limiti delle informazioni disponibili.
ONMAKE preserva le evidenze, contiene il rischio, documenta l'incidente e collabora per notifiche e comunicazioni. Il Cliente decide e adempie alle notifiche di propria competenza, compreso il termine GDPR di settantadue ore ove applicabile; il termine contrattuale di ONMAKE non lo sostituisce. Nessuna parte comunica in nome dell'altra senza autorizzazione salvo obbligo di legge. Una segnalazione non equivale automaticamente ad ammissione di responsabilità .
9. Trasferimenti e richieste delle autoritÃ
I luoghi ordinari dichiarati sono quelli dell'allegato C. ONMAKE non trasferisce dati o consente accessi extra-SEE senza istruzioni documentate e un meccanismo valido del capo V, comprensivo delle valutazioni e misure supplementari necessarie. Quando si impiegano clausole standard, si individua il modulo effettivamente pertinente al rapporto; questo DPA non sostituisce le clausole di cui alla decisione (UE) 2021/914.
ONMAKE informa il Cliente delle richieste vincolanti di autorità relative ai suoi dati salvo divieto, verifica la legittimità della richiesta, limita la comunicazione al necessario e utilizza i rimedi ragionevolmente disponibili contro richieste sproporzionate o illegittime. Non riconosce automaticamente effetti a provvedimenti extra-UE in contrasto con il diritto applicabile, incluso l'articolo 48 GDPR.
10. Durata, restituzione e cancellazione
Il trattamento dura quanto necessario a fornire il servizio e a completare restituzione e cancellazione secondo l'allegato D. Alla cessazione il Cliente sceglie restituzione o cancellazione, salva conservazione obbligatoria. La restituzione avviene in formati comuni e leggibili automaticamente, gratuitamente per le operazioni ordinarie; ONMAKE non vincola il recupero al rinnovo di un piano.
Dopo la finestra di recupero, o prima su istruzione, i dati sono cancellati dai sistemi attivi e successivamente dalle copie di sicurezza secondo i termini definiti. Dati soggetti a obbligo legale sono isolati, usati soltanto per quell'obbligo e cancellati alla sua cessazione. ONMAKE conferma l'esecuzione su richiesta, indicando eventuali copie residue e la data massima di eliminazione. Copie locali sotto il controllo del Cliente e copie presso destinatari scelti da questo non sono falsamente dichiarate cancellate da ONMAKE.
11. Informazioni, audit e cooperazione
ONMAKE mette a disposizione le informazioni necessarie a dimostrare gli obblighi dell'articolo 28, inclusi elenco dei sub-responsabili, registri pertinenti, sintesi delle misure e risultati dei controlli. Il Cliente può svolgere o incaricare un revisore indipendente di verifiche, normalmente con dieci giorni lavorativi di preavviso e una volta l'anno. Tali limiti non operano per incidenti, sospetti fondati di inadempimento o richieste dell'autorità .
Le modalità tutelano sicurezza, dati di altri clienti e segreti pertinenti, ma non rendono ineffettivo il diritto di audit. Report indipendenti possono semplificare, non eliminare, verifiche ulteriori necessarie. I costi propri sono normalmente sostenuti da ciascuna parte; ONMAKE sostiene la correzione dei propri inadempimenti. L'accesso dell'autorità non è subordinato ad accordi commerciali o preavvisi convenzionali.
12. Responsabilità , cessazione e adesione
Responsabilità verso gli interessati e riparto tra le parti seguono il GDPR e la legge. I massimali commerciali non limitano i diritti dell'articolo 82 né gli obblighi inderogabili. Non è promessa un'automatica trasferibilità di sanzioni amministrative. In caso di grave violazione non sanata o istruzioni illecite persistenti, la parte non inadempiente può risolvere la prestazione interessata con motivazione, preservando restituzione e diritti.
Identità e recapito del Cliente sono quelli dell'ordine; il referente privacy può essere aggiornato senza modificare la titolarità . Per adesione fuori checkout: ragione sociale/nome Cliente ____________________; identificativo e sede ____________________; rappresentante e poteri ____________________; referente privacy/email ____________________; riferimento ordine ____________________; data e firma ____________________. ONMAKE: rappresentante autorizzato ____________________; data e firma ____________________. Nell'adesione elettronica tali campi sono sostituiti dai dati verificati e dall'evidenza di accettazione conservata.
Allegato A. Descrizione del trattamento
Oggetto: servizio web Editor Ultra e trattamento dei contenuti che il Cliente salva sui server ONMAKE o invia al server per elaborazioni. Natura: ricezione, organizzazione, elaborazione, conversione, verifica tecnica, memorizzazione richiesta, consultazione autorizzata, restituzione e cancellazione; trasmissione a destinazioni espressamente istruite (server FTP/FTPS/SFTP indicati dal Cliente). Finalità : eseguire tali operazioni e le misure strettamente necessarie di sicurezza e assistenza, non finalità autonome di analisi dei contenuti.
Interessati: utenti e collaboratori del Cliente, clienti e assistiti, controparti, dipendenti, fornitori e persone citate nei documenti. Dati: identificativi, contatti, informazioni professionali, economiche e contrattuali, contenuti documentali, metadati, immagini e firme. Categorie particolari e dati giudiziari soltanto nei limiti delle istruzioni lecite e delle misure adeguate.
Frequenza: secondo l'utilizzo. Durata: rapporto più restituzione e cancellazione. Fonti: Cliente e utenti autorizzati. I dati che restano soltanto sul dispositivo non sono acquisiti da ONMAKE finché un'operazione non li trasferisce al server. Le trasmissioni verso fornitori AI scelti dal Cliente o dai suoi utenti non sono trattamenti di ONMAKE per conto del Cliente.
Allegato B. Misure applicate
Identità e segregazione. Autenticazione con account ONMAKE; verifica dell'utente sul server a ogni richiesta; cartella di documenti separata per utente; archivio delle connessioni FTP separato per utente con permessi riservati al servizio; controllo dell'abbonamento, del blocco e della sospensione all'accesso e ogni due minuti durante l'uso. Per gli agenti esterni: chiavi personali o autorizzazione OAuth revocabili, limite di venti tentativi non validi ogni dieci minuti per indirizzo, registro delle chiamate senza contenuto.
Ciclo dei dati. Anteprime PDF sul server in memoria con scadenza di trenta minuti; cancellazione di documenti disponibile anche dopo la cessazione; le password delle connessioni FTP non sono salvate sul server. Non è rappresentata una cifratura end-to-end.
Gestione tecnica. Aggiornamento dei componenti, verifica degli input e dei percorsi dei file, conversioni eseguite dal motore installato sulla stessa macchina del servizio, gestione degli incidenti secondo il documento 10. Altre misure o livelli di servizio (per esempio cifratura a riposo, tempi di ripristino) valgono solo se concordati nell'ordine.
Allegato C. Catena dei fornitori
Infrastruttura applicativa: Microsoft Azure, regione dichiarata Italy North, per esecuzione, archivi e copie pertinenti. Account e autorizzazioni: Supabase, regione UE di Francoforte, per identità , permessi, abbonamenti e registro degli agenti. Posta e sito: Aruba, in Italia, per le email di accesso e l'hosting di www.onmake.it. L'inclusione nel DPA dipende dalle operazioni effettive sui contenuti: una parte della gestione account resta nel ruolo autonomo di ONMAKE.
Il motore di conversione ExactDOC è installato sulla stessa macchina del servizio. Stripe e Openapi, per pagamenti e fatture del rapporto proprio di ONMAKE, non sono sub-responsabili dei documenti del Cliente. Nessun fornitore di modelli AI è incaricato da ONMAKE: i fornitori AI scelti dal Cliente o dai suoi utenti non sono sub-responsabili di ONMAKE.
Allegato D. Conservazione e cancellazione
Documenti attivi: fino a cancellazione o cessazione; dopo la cessazione, lettura, esportazione ed eliminazione secondo il documento 12. Anteprime PDF: massimo trenta minuti dalla creazione. Le copie di sicurezza e i log seguono i tempi comunicati da ONMAKE al Cliente; le conservazioni di fatture e prove contrattuali di ONMAKE quale titolare sono disciplinate separatamente e non autorizzano conservazione generalizzata dei documenti del Cliente. Un impedimento legale alla cancellazione è comunicato e circoscritto.