Accordo sul trattamento dei dati (DPA)

Articolo 1 · Definizioni

Ai fini del presente DPA:

• «Cliente» indica la persona giuridica o fisica che sottoscrive Ooklo o utilizza il Marketplace.
• «Ooklo» indica VICMEDIA LTD, 126 Aldersgate Street, Londra EC1A 4JQ, Regno Unito, che opera con il marchio «Ooklo».
• «Dati del Cliente» indica i Dati personali caricati, importati o sincronizzati dal Cliente nella piattaforma (clienti, prospect, dipendenti e simili).
• «Dati del Marketplace» indica i contatti B2B o B2C messi a disposizione del Cliente tramite il Marketplace di Ooklo, provenienti da banche dati prodotte da più editori qualificati e indipendenti.
• «Sub-responsabile» indica qualsiasi terzo di cui Ooklo si avvale per trattare dati per conto del Cliente.
• «Interessati» indica le persone fisiche i cui Dati personali sono trattati nell'ambito del presente DPA.

I termini «Titolare del trattamento», «Responsabile del trattamento», «Dati personali», «Trattamento», «Violazione dei dati personali», «Destinatario» e «Interessato» hanno il significato previsto dall'articolo 4 del GDPR.

Articolo 2 · Oggetto e durata

Il presente DPA stabilisce le condizioni alle quali Ooklo tratta i Dati del Cliente per conto del Cliente e le condizioni alle quali Ooklo mette a disposizione i Dati del Marketplace.

Il DPA entra in vigore alla prima delle seguenti date: (i) accettazione delle Condizioni d'uso di Ooklo, (ii) primo caricamento di un elenco di contatti nella piattaforma, (iii) primo ordine sul Marketplace. Si applica per tutta la durata del rapporto contrattuale, maggiorata dei periodi di conservazione previsti dalla legge indicati all'articolo 9.

Articolo 3 · Parte A: Ooklo come responsabile del trattamento del Cliente

Per i Dati del Cliente, il Cliente è l'unico Titolare del trattamento. Ooklo agisce come Responsabile del trattamento ai sensi dell'articolo 28 del GDPR e tratta i Dati personali soltanto su istruzione documentata del Cliente. Le istruzioni del Cliente risultano (a) dalla configurazione del suo account Ooklo, (b) dall'utilizzo delle funzionalità della piattaforma e (c) ove applicabile, da istruzioni scritte specifiche inviate a dpo@ooklo.com.

3.1 Natura e finalità del Trattamento

Ooklo tratta i Dati del Cliente per le seguenti finalità:

• Hosting e conservazione sicuri degli elenchi di contatti del Cliente.
• Invio delle campagne di marketing create dal Cliente: email, SMS, post sui social network, Profilo dell'attività su Google, WhatsApp, moduli dell'Hub.
• Misurazione della deliverability, report sulle prestazioni e analisi nel pannello di controllo.
• Gestione automatica delle disiscrizioni e dei reclami (lista di soppressione condivisa a livello dell'account del Cliente).
• Assistenza tecnica su richiesta del Cliente, con registrazione a fini di audit.

3.2 Categorie di Interessati

• Clienti e prospect del Cliente.
• Membri, abbonati e partecipanti ai programmi del Cliente.
• Dipendenti del Cliente (solo se caricati dal Cliente).
• Autori di recensioni e contatti in entrata tramite i canali collegati.

3.3 Categorie di Dati personali

• Dati identificativi: cognome, nome, appellativo, identificativo interno.
• Dati di contatto: email, telefono fisso e cellulare, indirizzo postale.
• Dati transazionali: storico degli acquisti, scontrino medio, frequenza delle visite (se forniti dal Cliente).
• Dati comportamentali: aperture, clic, conversioni legati alle campagne Ooklo.
• Dati sul consenso: stato di opt-in / opt-out, data e fonte del consenso.
• Dati tecnici legati agli invii: indirizzo IP, user agent, stato di consegna.

Salvo istruzione scritta ed esplicita del Cliente, Ooklo non tratta categorie particolari di dati ai sensi degli articoli 9 e 10 del GDPR.

3.4 Durata del Trattamento

Il Trattamento dura per tutto il periodo dell'abbonamento del Cliente, maggiorato di un periodo di tolleranza di 30 giorni dopo la chiusura dell'account, durante il quale il Cliente può riattivare l'account o esportare i propri Dati. Trascorso tale periodo, i Dati del Cliente vengono cancellati conformemente all'articolo 9.

Articolo 4 · Obblighi di Ooklo come Responsabile del trattamento

Ooklo si impegna, ai sensi dell'articolo 28, paragrafo 3, del GDPR, a:

• Trattare i Dati del Cliente soltanto su istruzione documentata del Cliente, anche in caso di trasferimento al di fuori dell'UE. Alla data del presente DPA non avviene alcun trasferimento al di fuori dell'UE/SEE.
• Garantire che le persone autorizzate al trattamento dei Dati del Cliente siano soggette a un adeguato obbligo di riservatezza, contrattuale o legale.
• Attuare le misure tecniche e organizzative descritte nell'Allegato 2.
• Rispettare le condizioni per il ricorso a Sub-responsabili previste dall'articolo 5 e dall'Allegato 1.
• Assistere il Cliente, con misure tecniche e organizzative adeguate, nel dare seguito alle richieste degli Interessati (accesso, rettifica, cancellazione, opposizione, limitazione, portabilità, revoca del consenso).
• Assistere il Cliente nel rispetto degli obblighi di cui agli articoli da 32 a 36 del GDPR (sicurezza, notifica delle violazioni, valutazioni d'impatto, consultazione preventiva).
• Al termine del servizio, cancellare o restituire tutti i Dati del Cliente, a scelta del Cliente, fatti salvi gli obblighi di conservazione previsti dalla legge.
• Mettere a disposizione del Cliente tutte le informazioni necessarie a dimostrare il rispetto del presente DPA e consentire gli audit secondo quanto previsto dall'articolo 10.
• Informare immediatamente il Cliente qualora, a suo parere, un'istruzione violi il GDPR o qualsiasi altra norma applicabile.

Articolo 5 · Sub-responsabili

Il Cliente concede a Ooklo un'autorizzazione generale a ricorrere ai Sub-responsabili elencati nell'Allegato 1 per la fornitura del servizio. Tutti gli attuali Sub-responsabili hanno sede nell'Unione europea o nel SEE.

Ooklo stipula con ciascun Sub-responsabile un contratto scritto che impone obblighi di protezione dei dati equivalenti a quelli del presente DPA, in particolare i requisiti di sicurezza dell'articolo 32 del GDPR.

In caso di modifica dei Sub-responsabili (aggiunta o sostituzione), Ooklo ne informa il Cliente con almeno trenta (30) giorni di anticipo, tramite email all'indirizzo di contatto dell'account o mediante pubblicazione sulla pagina /dpa. Il Cliente può opporsi per motivi ragionevoli entro tale termine. Se l'opposizione è legittima, le Parti cercheranno in buona fede una soluzione alternativa; in mancanza, il Cliente potrà recedere dal servizio interessato senza penali.

Articolo 6 · Sicurezza

Ooklo attua le misure tecniche e organizzative descritte nell'Allegato 2 per garantire un livello di sicurezza adeguato al rischio, in particolare:

• Cifratura dei Dati personali a riposo (AES-256) e in transito (TLS 1.2+).
• Autenticazione a più fattori per tutti gli account amministrativi.
• Controlli di accesso basati sui ruoli e principio del privilegio minimo.
• Registrazione e monitoraggio degli accessi sensibili.
• Backup cifrati, ripristinati e testati regolarmente.
• Test di penetrazione e analisi delle vulnerabilità annuali.

Articolo 7 · Violazione dei dati personali

Se una Violazione dei dati personali riguarda i Dati del Cliente, Ooklo la notifica al Cliente senza ingiustificato ritardo e comunque entro settantadue (72) ore dal momento in cui ne è venuta a conoscenza. La notifica descriverà:

• La natura della Violazione, le categorie e il numero approssimativo di Interessati e di registrazioni di Dati coinvolti.
• Le probabili conseguenze.
• Le misure adottate o proposte per porre rimedio alla Violazione e attenuarne gli effetti.
• Il punto di contatto presso Ooklo.

Ooklo assiste il Cliente nella notifica all'autorità di controllo competente e, ove necessario, nella comunicazione agli Interessati.

Articolo 8 · Diritti degli Interessati

Quando un Interessato invia a Ooklo una richiesta di esercizio dei propri diritti (accesso, rettifica, cancellazione, opposizione, limitazione, portabilità), Ooklo inoltra la richiesta al Cliente entro cinque (5) giorni lavorativi e, salvo diversa istruzione del Cliente, non risponde direttamente.

Ooklo mette a disposizione del Cliente, nella piattaforma, funzionalità di esportazione e cancellazione, affinché il Cliente possa rispondere agli Interessati entro il termine di un mese previsto dal GDPR.

Articolo 9 · Conservazione, restituzione e cancellazione

I periodi di conservazione sono i seguenti:

• Account attivo: per tutta la durata dell'abbonamento.
• Periodo di tolleranza dopo la chiusura: 30 giorni, durante i quali il Cliente può riattivare l'account o esportare i propri Dati.
• Dati del Cliente dopo il periodo di tolleranza: cancellati dai sistemi attivi; i backup cifrati vengono eliminati entro un massimo di 60 giorni.
• Dati soggetti a conservazione per legge (fatturazione, contabilità, antifrode): archiviati per il periodo richiesto dalla legge applicabile, poi cancellati.
• Dati del Marketplace utilizzati dal Cliente: vedi articolo 12.

Articolo 10 · Audit

Il Cliente può, a proprie spese, verificare il rispetto del presente DPA da parte di Ooklo, al massimo una volta ogni dodici (12) mesi e con un preavviso ragionevole di almeno trenta (30) giorni. L'audit è svolto dal Cliente o da un revisore terzo indipendente vincolato da un impegno di riservatezza. L'audit non può riguardare dati o sistemi di altri clienti di Ooklo.

Ooklo può adempiere a tale obbligo fornendo recenti rapporti di audit (SOC 2, ISO 27001 o equivalenti), se disponibili.

Articolo 11 · Parte B: Marketplace dei dati di prospect

11.1 Origine dei Dati

I Dati del Marketplace sono aggregati da più fonti qualificate, per un volume indicativo di circa 3 milioni di contatti B2B e 8 milioni di contatti B2C, situati in Francia.

11.2 Base giuridica

• Contatti B2B: legittimo interesse del mittente (articolo 6, paragrafo 1, lettera f), del GDPR e considerando 47), unito a un diritto di opposizione semplice e gratuito per gli Interessati. Le sollecitazioni sono strettamente professionali e riguardano la funzione del destinatario.
• Contatti B2C: consenso libero, specifico, informato e inequivocabile (articolo 6, paragrafo 1, lettera a), e articolo 7 del GDPR), raccolto dai produttori delle banche dati al momento della raccolta, con data, ora e fonte documentate. Gli opt-in per il marketing e per gli SMS sono distinti.

11.3 Aggiornamento e qualità dei dati

• Aggiornamento mensile completo delle banche dati da parte dei produttori (modalità «annulla e sostituisci» tra il 1° e il 10 di ogni mese).
• Aggiornamento settimanale di disiscrizioni, reclami, indirizzi postali non validi (NPAI), spamtrap e hardbounce. Questi segnali vengono aggiunti immediatamente alla lista di soppressione del Marketplace.
• Gli indirizzi email B2B e i numeri di cellulare B2B sono messi a disposizione in forma di hash SHA-256 per l'instradamento; i Dati B2C sono forniti in chiaro per consentire l'instradamento da parte di Ooklo o di fornitori di instradamento accreditati.

11.4 Contratto di licenza

Ooklo detiene licenze di commercializzazione con i produttori delle banche dati qualificate elencate al §11.1. Tali licenze disciplinano: i diritti di proprietà intellettuale dei produttori sulle banche dati (articolo L341-1 del Codice della proprietà intellettuale francese), gli obblighi di sicurezza, la rendicontazione mensile dei volumi, la gestione delle richieste degli Interessati, la distruzione dei Dati alla cessazione del contratto e gli obblighi del capo III del GDPR.

Articolo 12 · Obblighi del Cliente nell'utilizzo del Marketplace

Quando effettua un ordine sul Marketplace, il Cliente si impegna a:

• Contattare i contatti noleggiati esclusivamente nel settore di attività e nell'area geografica dichiarati a Ooklo al momento dell'ordine.
• Per il noleggio di email e SMS B2B/B2C: non estrarre gli indirizzi email o i numeri di cellulare e non condividerli con terzi. L'instradamento è effettuato esclusivamente da Ooklo o da un fornitore di instradamento accreditato ai sensi della licenza applicabile.
• Per i servizi di vendita o arricchimento di dati: rispettare i periodi di conservazione indicati nel modulo d'ordine, non rivendere mai i Dati e restituire o distruggere tutti i Dati del Marketplace al termine del servizio, conformemente all'articolo 9.
• Dare immediatamente seguito a qualsiasi opposizione, richiesta di rettifica o di cancellazione ricevuta da un Interessato e inoltrarla a Ooklo entro cinque (5) giorni lavorativi all'indirizzo dpo@ooklo.com, affinché Ooklo e i produttori delle banche dati possano sopprimere il contatto alla fonte.
• Includere in ogni comunicazione un link di disiscrizione funzionante, insieme a un'indicazione chiara del titolare del trattamento (il Cliente) e della fonte dei Dati («Fonte: Ooklo Marketplace»).
• Rispettare le fasce orarie e le regole di invio previste dalla legge (in Francia: decreto n. 2023-1085 sulla prospezione telefonica, lista di opposizione Bloctel per i contatti telefonici B2C) e la lista di esclusione comunicata dai produttori delle banche dati.

In caso di violazione, Ooklo può sospendere l'accesso del Cliente al Marketplace e avvalersi di qualsiasi altro rimedio previsto dalla legge.

Articolo 13 · Trasferimenti internazionali

Alla data del presente DPA, tutte le operazioni di Trattamento delle Parti A e B sono ospitate ed eseguite nell'Unione europea o nello Spazio economico europeo. Non avviene alcun trasferimento al di fuori dell'UE/SEE.

Qualora in futuro un Sub-responsabile debba trattare Dati da un paese terzo, Ooklo adotterà le garanzie adeguate richieste dal capo V del GDPR (clausole contrattuali tipo della Commissione europea, decisione di adeguatezza o qualsiasi altro meccanismo riconosciuto) e ne informerà preventivamente il Cliente.

Articolo 14 · Responsabilità

La responsabilità di ciascuna Parte ai sensi del presente DPA è disciplinata dalle clausole di limitazione ed esclusione previste dalle Condizioni d'uso di Ooklo, fatte salve le norme imperative e in particolare l'articolo 82 del GDPR.

La limitazione di responsabilità non si applica in caso di colpa grave, dolo o violazione degli obblighi in materia di protezione dei Dati personali e di sicurezza delle informazioni.

Articolo 15 · Legge applicabile e foro competente

Il presente DPA è regolato dalla legge inglese ed è sottoposto alla giurisdizione dei tribunali di Londra, fatte salve le norme imperative e la competenza delle autorità di controllo e dei tribunali degli Stati membri dell'Unione europea in materia di protezione dei Dati personali.

Articolo 16 · Aggiornamenti del DPA

Ooklo può aggiornare il presente DPA per tenere conto di modifiche della normativa, dei propri Sub-responsabili o dei prodotti Ooklo. Ogni aggiornamento sostanziale è comunicato al Cliente almeno trenta (30) giorni prima della sua entrata in vigore, tramite email o mediante pubblicazione sulla pagina /dpa. L'uso continuato del servizio costituisce accettazione della versione aggiornata.

Per qualsiasi domanda relativa al presente DPA, scrivere a dpo@ooklo.com.

Allegato 1 · Elenco dei Sub-responsabili

Tutti i Sub-responsabili hanno sede nell'Unione europea o nello Spazio economico europeo. Non avviene alcun trasferimento al di fuori dell'UE/SEE.

L'elenco aggiornato è pubblicato su questa pagina. I Clienti che desiderano ricevere notifiche attive delle modifiche possono richiederle all'indirizzo dpo@ooklo.com.

Allegato 2 · Misure tecniche e organizzative (MTO)

Riservatezza

• Cifratura dei Dati personali a riposo (AES-256) e in transito (TLS 1.2+).
• Autenticazione a più fattori obbligatoria su tutti gli account amministrativi e tecnici.
• Controlli di accesso basati sui ruoli, principio del privilegio minimo, revisione trimestrale degli accessi.
• Pseudonimizzazione degli identificativi diretti negli ambienti di assistenza e di debug.

Integrità

• Registrazione immutabile delle operazioni sensibili, conservazione di 12 mesi.
• Controlli di integrità a livello applicativo sulle importazioni ed esportazioni degli elenchi di contatti.
• Revisione del codice obbligatoria e test automatizzati a ogni rilascio.

Disponibilità

• Backup giornalieri cifrati, conservazione di 30 giorni, testati mensilmente.
• Replica su più zone sull'infrastruttura di hosting principale.
• Piano di continuità operativa documentato, RPO 24 h, RTO 8 h.

Governance e organizzazione

• Responsabile della protezione dei dati (DPO) interno, raggiungibile all'indirizzo dpo@ooklo.com.
• Registro delle attività di trattamento tenuto ai sensi dell'articolo 30 del GDPR.
• Valutazioni d'impatto sulla protezione dei dati (DPIA) per i trattamenti ad alto rischio.
• Programma annuale di sensibilizzazione e formazione del personale su protezione dei Dati e sicurezza delle informazioni.
• Procedura documentata di gestione delle violazioni, con esercitazioni annuali.

Sicurezza dei Sub-responsabili

• Valutazione della conformità al GDPR di ciascun Sub-responsabile prima del suo coinvolgimento.
• Clausole contrattuali che impongono obblighi equivalenti a quelli del presente DPA.
• Revisione annuale della catena di sub-trattamento.

Allegato 3 · Marketplace: trasparenza sulle fonti

Produttori delle banche dati

Il Marketplace si basa su banche dati prodotte da più editori qualificati e indipendenti, ciascuno dei quali agisce come produttore ai sensi dell'articolo L341-1 del Codice della proprietà intellettuale francese e come Titolare originario della rispettiva fonte. La composizione indicativa è riportata al §11.1.

Licenziatario e gestore del Marketplace

Ooklo detiene licenze di commercializzazione con i produttori delle banche dati qualificate elencate al §11.1. Tali licenze riguardano i diritti di proprietà intellettuale dei produttori, gli obblighi di sicurezza, la rendicontazione mensile dei volumi, la gestione delle richieste degli Interessati, la distruzione dei Dati alla cessazione del contratto e tutti gli obblighi del capo III del GDPR.

Società che gestisce il servizio

Il servizio Ooklo è gestito da Vicmedia Ltd, società costituita in Inghilterra e Galles, con sede legale in 126 Aldersgate Street, Londra, Inghilterra, EC1A 4JQ. Tutte le comunicazioni con i Clienti, la fatturazione e l'assistenza avvengono con il marchio Ooklo.

Volumi indicativi

• Circa 3 milioni di contatti B2B (Francia).
• Circa 8 milioni di contatti B2C (Francia).

Campi disponibili

B2B: email, appellativo, cognome, nome, telefono fisso e cellulare, opt-in per marketing e SMS con data di raccolta, ragione sociale, marchio, SIREN/SIRET, codice e descrizione della funzione, tipo di indirizzo email (nominativo o generico), indirizzo postale completo con geocodifica, URL del sito web, ultima azione osservata e relativa data.

B2C: email, appellativo, cognome, nome, data e anno di nascita, telefono fisso e cellulare, opt-in per marketing e SMS con data di raccolta, indirizzo postale completo con geocodifica, ultima azione osservata e relativa data.

Formato tecnico di consegna

• B2B: email, telefono fisso e cellulare forniti in forma di hash SHA-256; gli altri campi in chiaro.
• B2C: tutti i campi forniti in chiaro.
• Aggiornamento mensile in modalità «annulla e sostituisci» tra il 1° e il 10 di ogni mese. Aggiornamento settimanale di disiscrizioni e reclami.

Soppressione e gestione dei reclami

Ogni opposizione o reclamo ricevuto da Ooklo o dai produttori delle banche dati viene trasmesso alla fonte entro un massimo di sette (7) giorni e impedisce qualsiasi ulteriore utilizzo del contatto interessato lungo l'intera catena. Gli hardbounce, gli spamtrap e gli indirizzi postali non validi (NPAI) rilevati da Ooklo vengono comunicati ai produttori delle banche dati entro lo stesso termine.