Accordo sul trattamento dei dati personali (DPA) — Contify AR

Revisione 1.0 del 20 ottobre 2026. Si applica a tutti i contratti Contify AR in corso o conclusi dalla sua pubblicazione.

Il presente accordo (il «DPA») è concluso tra lo studio professionale che ordina Contify AR (il «Titolare» o lo «Studio»), identificato nell'ordine, e Contify Srl — C.F. e P.IVA 05733260284 — Corso Milano 106, 35139 Padova — info@contify.it — PEC contify@pec.it (il «Responsabile»), ai sensi dell'art. 28 del Regolamento (UE) 2016/679 («GDPR») e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018 («Codice privacy»).

Il DPA è accettato insieme alle Condizioni generali di servizio («CGS») con la conferma scritta dell'ordine e si applica per tutta la durata del contratto e per il successivo periodo di export e cancellazione. In caso di contrasto tra il DPA e le CGS, per quanto riguarda il trattamento dei dati personali prevale il DPA.

Indice

1. Oggetto e definizioni
2. Ruoli delle parti
3. Descrizione del trattamento
4. Istruzioni del Titolare
5. Obblighi del Responsabile
6. Misure di sicurezza
7. Sub-responsabili
8. Trasferimenti verso paesi terzi
9. Assistenza al Titolare e diritti degli interessati
10. Violazioni dei dati personali
11. Informazioni e verifiche
12. Durata, cessazione, restituzione e cancellazione
13. Responsabilità
14. Disposizioni finali

Allegati: 1. Descrizione del trattamento · 2. Misure tecniche e organizzative · 3. Elenco dei sub-responsabili

Art. 1 — Oggetto e definizioni

1. Il DPA disciplina il trattamento dei dati personali che il Responsabile effettua per conto del Titolare nell'erogazione di Contify AR (il «Servizio»), come definito nelle CGS.
2. I termini «dati personali», «trattamento», «titolare», «responsabile», «interessato», «violazione dei dati personali», «categorie particolari di dati» hanno il significato dell'art. 4 GDPR. «Archivio dello Studio», «Utenti», «Professionista titolare» e «Proposta» hanno il significato dell'art. 7 delle CGS. Per «Dati del Titolare» si intendono i dati personali contenuti nell'Archivio dello Studio.

Art. 2 — Ruoli delle parti

1. Rispetto ai Dati del Titolare, lo Studio è titolare del trattamento: determina finalità e mezzi in adempimento degli obblighi del D.Lgs. 231/2007 e delle regole tecniche del proprio organismo di autoregolamentazione. Il Responsabile tratta tali dati esclusivamente per conto del Titolare e secondo le sue istruzioni.
2. Rispetto ai dati necessari a concludere ed eseguire il contratto — denominazione, Partita IVA, dati di fatturazione, indirizzi email e nominativi dei professionisti e degli Utenti, registri tecnici di sicurezza — Contify Srl agisce come titolare autonomo, ai sensi dell'art. 18 delle CGS e dell'informativa pubblicata su www.contify.it/privacy/.
3. Il Titolare garantisce di avere una base giuridica per il trattamento dei Dati del Titolare e per la loro comunicazione al Responsabile, di aver fornito agli interessati le informazioni dovute ai sensi degli artt. 13 e 14 GDPR e di inserire nel Servizio solo dati pertinenti e non eccedenti rispetto agli obblighi antiriciclaggio.

Art. 3 — Descrizione del trattamento

Natura, finalità, durata, categorie di interessati e di dati personali sono descritte nell'Allegato 1. In sintesi: il Responsabile conserva, cifra, rende accessibile agli Utenti, elabora per produrre le Proposte, copia a fini di backup, esporta e cancella i Dati del Titolare, su un'infrastruttura in cloud con archiviazione nell'Unione europea.

Art. 4 — Istruzioni del Titolare

1. Il Responsabile tratta i Dati del Titolare soltanto su istruzione documentata del Titolare, salvo che lo richieda il diritto dell'Unione o italiano; in tal caso informa il Titolare prima del trattamento, a meno che la legge lo vieti per rilevanti motivi di interesse pubblico (art. 28, par. 3, lett. a, GDPR).
2. Costituiscono istruzioni documentate: il presente DPA; le CGS; le configurazioni impostate dagli Utenti del Titolare nel Servizio (creazione di Utenti e ruoli, caricamento di dati e documenti, abilitazione dell'assistente di intelligenza artificiale, richieste di ripristino, eliminazione dell'Archivio, richieste di assistenza); le ulteriori istruzioni scritte inviate a info@contify.it, se compatibili con le funzioni del Servizio.
3. Il Responsabile informa immediatamente il Titolare se, a suo parere, un'istruzione viola il GDPR o altre disposizioni in materia di protezione dei dati, e può sospenderne l'esecuzione fino a chiarimento.
4. Il Responsabile non tratta i Dati del Titolare per finalità proprie, non li vende, non li cede, non li usa per addestrare modelli di intelligenza artificiale e non li combina con dati di altri titolari. Dati di uso tecnico in forma aggregata e anonima possono essere usati per il miglioramento del Servizio.

Art. 5 — Obblighi del Responsabile

Il Responsabile:

1. garantisce che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza, siano istruite sulle presenti disposizioni e accedano ai Dati del Titolare solo quando necessario per l'assistenza richiesta dal Titolare, per la manutenzione, per la sicurezza o per obblighi di legge (artt. 28, par. 3, lett. b, 29 e 32, par. 4, GDPR);
2. adotta e mantiene le misure di sicurezza dell'art. 6 e dell'Allegato 2;
3. rispetta le condizioni dell'art. 7 per il ricorso a sub-responsabili;
4. assiste il Titolare come previsto dagli artt. 9 e 10;
5. alla cessazione, restituisce e cancella i Dati del Titolare come previsto dall'art. 12;
6. mette a disposizione le informazioni necessarie a dimostrare il rispetto degli obblighi dell'art. 28 GDPR e consente le verifiche dell'art. 11;
7. tiene il registro delle categorie di attività di trattamento svolte per conto dei titolari (art. 30, par. 2, GDPR);
8. non è tenuto alla designazione di un responsabile della protezione dei dati ai sensi dell'art. 37 GDPR; il referente per la protezione dei dati è raggiungibile a info@contify.it.

Art. 6 — Misure di sicurezza

1. Tenuto conto dello stato dell'arte, dei costi di attuazione, della natura, dell'oggetto, del contesto e delle finalità del trattamento, nonché del rischio per i diritti e le libertà degli interessati, il Responsabile mette in atto le misure tecniche e organizzative descritte nell'Allegato 2, per garantire un livello di sicurezza adeguato al rischio (art. 32 GDPR).
2. Il Responsabile può aggiornare le misure in base all'evoluzione tecnica, purché il livello di protezione complessivo non diminuisca; la versione aggiornata dell'Allegato 2 è pubblicata su questa pagina.
3. Il Titolare è responsabile delle misure di propria competenza: custodia delle credenziali, assegnazione dei ruoli agli Utenti, disattivazione degli Utenti cessati, sicurezza dei dispositivi e delle reti usati per accedere al Servizio, custodia dell'export dopo la cessazione.

Art. 7 — Sub-responsabili

1. Il Titolare autorizza in via generale il Responsabile a ricorrere ai sub-responsabili elencati nell'Allegato 3 per le attività ivi indicate (art. 28, par. 2, GDPR).
2. Il Responsabile impone a ciascun sub-responsabile, con contratto, obblighi di protezione dei dati sostanzialmente equivalenti a quelli del presente DPA, in particolare per le misure di sicurezza, e resta pienamente responsabile verso il Titolare dell'adempimento degli obblighi del sub-responsabile (art. 28, par. 4, GDPR).
3. Il Responsabile comunica al Titolare, via email all'indirizzo del Professionista titolare, ogni aggiunta o sostituzione di sub-responsabile con un preavviso di almeno trenta (30) giorni. Entro tale termine il Titolare può opporsi per iscritto per motivati fondati relativi alla protezione dei dati. Se le parti non trovano una soluzione, il Titolare può recedere dal contratto con effetto dalla data di efficacia della modifica, con diritto al periodo di export dell'art. 12 e al rimborso del canone per il periodo non goduto; in mancanza di opposizione nel termine, la modifica si intende accettata.

Art. 8 — Trasferimenti verso paesi terzi

1. L'Archivio dello Studio — base dati, documenti e backup — è archiviato in data center situati nell'Unione europea. L'elaborazione delle richieste avviene nel punto della rete del fornitore di infrastruttura più vicino all'Utente che si collega, di norma in Italia o nell'Unione europea.
2. I sub-responsabili con sede o società del gruppo in paesi terzi (Stati Uniti) sono indicati nell'Allegato 3. Gli eventuali trasferimenti — accesso dal paese terzo a fini di supporto o manutenzione, invio delle email di servizio, elaborazione dei contenuti pseudonimizzati dall'assistente di intelligenza artificiale — avvengono sulla base delle clausole contrattuali standard adottate dalla Commissione europea con decisione (UE) 2021/914, integrate dalle misure supplementari indicate nell'Allegato 2 (cifratura, pseudonimizzazione, archiviazione nell'UE) e, ove applicabile, di una decisione di adeguatezza ai sensi dell'art. 45 GDPR.
3. Il Responsabile non trasferisce i Dati del Titolare in paesi terzi al di fuori dei casi del comma 2 senza il consenso scritto del Titolare.

Art. 9 — Assistenza al Titolare e diritti degli interessati

1. Il Servizio consente al Titolare di soddisfare in autonomia le richieste degli interessati: consultazione, rettifica, esportazione e cancellazione dei dati di ciascun cliente, esecutore o titolare effettivo, nei limiti previsti dalla normativa antiriciclaggio (art. 2-undecies, comma 1, lett. d, del Codice privacy; artt. 31 e 39 del D.Lgs. 231/2007).
2. Se un interessato si rivolge direttamente al Responsabile, questi non risponde nel merito e inoltra la richiesta al Titolare entro cinque (5) giorni lavorativi.
3. Il Responsabile assiste il Titolare, con misure tecniche e organizzative adeguate e tenuto conto della natura del trattamento, nel dare seguito alle richieste degli interessati e nell'adempimento degli obblighi degli artt. 32–36 GDPR (sicurezza, notifica e comunicazione delle violazioni, valutazione d'impatto e consultazione preventiva), fornendo le informazioni di cui dispone sul Servizio (art. 28, par. 3, lett. e ed f, GDPR). Il presente DPA e i suoi allegati costituiscono la documentazione di base per la valutazione d'impatto del Titolare.
4. L'assistenza che richiede attività specifiche oltre il normale uso del Servizio — estrazioni particolari, ricerche nei registri, supporto in ispezioni o contenziosi — può essere oggetto di corrispettivo concordato per iscritto.

Art. 10 — Violazioni dei dati personali

1. Il Responsabile notifica al Titolare, all'indirizzo email del Professionista titolare, ogni violazione dei dati personali che riguardi i Dati del Titolare senza ingiustificato ritardo e comunque entro quarantotto (48) ore da quando ne è venuto a conoscenza (art. 33, par. 2, GDPR).
2. La notifica contiene, per quanto noto al momento e con integrazioni successive: natura della violazione, categorie e numero approssimativo di interessati e di registrazioni coinvolte, probabili conseguenze, misure adottate o proposte per porvi rimedio e attenuarne gli effetti, riferimenti per ulteriori informazioni.
3. Il Responsabile collabora con il Titolare nelle indagini e, su richiesta, nella predisposizione della notifica all'Autorità Garante e della comunicazione agli interessati. La notifica all'Autorità e la comunicazione agli interessati restano decisioni e adempimenti del Titolare.
4. Il Responsabile documenta le violazioni, incluse le circostanze, le conseguenze e i provvedimenti adottati.

Art. 11 — Informazioni e verifiche

1. Il Responsabile mette a disposizione del Titolare, su richiesta scritta, le informazioni necessarie a dimostrare il rispetto degli obblighi dell'art. 28 GDPR: il presente DPA e i suoi allegati, la descrizione aggiornata delle misure di sicurezza, le certificazioni e i rapporti di audit resi disponibili dai sub-responsabili per l'infrastruttura, l'elenco delle violazioni notificate al Titolare.
2. Il Titolare può svolgere, una volta per anno contrattuale e con preavviso scritto di almeno trenta (30) giorni, una verifica sul rispetto del DPA, direttamente o tramite un revisore indipendente vincolato alla riservatezza e non concorrente del Responsabile. La verifica si svolge in primo luogo sulla documentazione; un accesso ai locali o ai sistemi del Responsabile è concordato nei tempi e nei modi, durante l'orario lavorativo, senza pregiudizio per la sicurezza e la riservatezza degli altri studi, ed è a carico del Titolare. Per l'infrastruttura dei sub-responsabili valgono le certificazioni e i rapporti di audit da essi resi disponibili.
3. Ulteriori verifiche sono ammesse quando sono richieste da un'autorità di controllo o a seguito di una violazione dei dati personali che riguardi i Dati del Titolare.

Art. 12 — Durata, cessazione, restituzione e cancellazione

1. Il DPA ha la stessa durata del contratto di servizio e resta efficace finché il Responsabile tratta Dati del Titolare.
2. Restituzione. In qualsiasi momento durante il contratto e, dopo la sua cessazione per qualsiasi causa, per il periodo di export di novanta (90) giorni previsto dall'art. 6 delle CGS, il Titolare può esportare in autonomia l'intero Archivio dello Studio in formati strutturati e di uso comune (anagrafiche e fascicoli in formati aperti, documenti nei formati originali, registri e verbali in Word o PDF, registro degli accessi). La restituzione avviene con l'export; il Titolare è l'unico responsabile della custodia dell'export per il periodo residuo dell'obbligo di conservazione decennale (art. 31 D.Lgs. 231/2007).
3. Cancellazione. Entro trenta (30) giorni dalla scadenza del periodo di export il Responsabile cancella l'Archivio dello Studio dai sistemi di produzione, inclusi documenti e snapshot di backup propri dello Studio. Le copie residue contenute nei backup periodici della piattaforma — cifrate, non accessibili nell'uso ordinario e mai usate per ripristinare dati di uno Studio cessato — sono eliminate con la rotazione dei backup, entro i termini indicati nell'Allegato 2. Su richiesta scritta il Responsabile conferma per iscritto l'avvenuta cancellazione.
4. Il registro degli accessi (audit log) relativo allo Studio — identificativi degli Utenti, data e ora, tipo di operazione e riferimenti ai record, senza il contenuto dei fascicoli — è conservato per dodici (12) mesi dalla cessazione per finalità di sicurezza e di difesa dei diritti del Responsabile, poi cancellato.
5. Restano esclusi dalla cancellazione i dati che il diritto dell'Unione o italiano impone al Responsabile di conservare (dati contrattuali e contabili), trattati come titolare autonomo per i termini di legge.
6. Il Titolare può cancellare in autonomia l'intero Archivio dello Studio, in qualsiasi momento, con la funzione dedicata del Servizio; la cancellazione è definitiva e ha gli stessi effetti del comma 3.

Art. 13 — Responsabilità

1. Ciascuna parte risponde dei danni causati dal trattamento in conformità all'art. 82 GDPR. Nei rapporti tra le parti, la responsabilità del Responsabile è limitata ai sensi dell'art. 17 delle CGS, fatte salve le disposizioni inderogabili di legge.
2. Il Responsabile non risponde dei danni derivanti da istruzioni del Titolare, da dati inseriti dal Titolare in violazione del GDPR o del D.Lgs. 231/2007, dalla custodia inadeguata delle credenziali da parte degli Utenti o dal mancato export nel periodo previsto.
3. Le sanzioni amministrative irrogate ai sensi dell'art. 83 GDPR restano a carico della parte cui sono irrogate.

Art. 14 — Disposizioni finali

1. Il Responsabile può aggiornare il DPA per adeguarlo a modifiche normative, a provvedimenti delle autorità o a modifiche del Servizio, con comunicazione al Titolare e preavviso di almeno trenta (30) giorni; le modifiche non riducono il livello di protezione dei Dati del Titolare. Per le modifiche all'elenco dei sub-responsabili si applica l'art. 7.
2. Per quanto non previsto si applicano le CGS. Legge applicabile e foro competente sono quelli dell'art. 19 delle CGS, fermi i diritti degli interessati ai sensi degli artt. 77–79 GDPR.
3. Il DPA è redatto in lingua italiana.

Allegato 1 — Descrizione del trattamento

Allegato 2 — Misure tecniche e organizzative

Allegato 3 — Elenco dei sub-responsabili

Le fonti pubbliche interrogate dai controlli automatici (VIES della Commissione europea, liste sanzioni dell'Unione europea e delle Nazioni Unite, lista OFAC) non sono sub-responsabili: sono consultate come banche dati pubbliche con i soli dati necessari alla ricerca.

Contify Srl — Corso Milano 106, 35139 Padova — C.F. e P.IVA 05733260284 — info@contify.it — PEC contify@pec.it. Per richieste relative al presente DPA scrivere a info@contify.it indicando «Contify AR — DPA».