CHARUN — Accordo sul trattamento dei dati personali (DPA)

ai sensi dell’art. 28 del Regolamento (UE) 2016/679 · Versione 1.1 del 29 ottobre 2026

BOZZA DA COMPLETARE E VERIFICARE PRIMA DELLA SOTTOSCRIZIONE. Il testo contiene dati contrattuali e tecnici ancora da confermare, indicati tra parentesi quadre. In particolare: identità delle parti e dei sub-responsabili, trasferimenti, contatti sicurezza e procedura di cancellazione/ripristino. La presente versione non costituisce attestazione di conformità.

Premesse e parti

Il presente Accordo sul trattamento dei dati personali (“DPA”) è concluso tra:

• [DA COMPLETARE: ragione sociale, sede, P. IVA e legale rappresentante dell’Agenzia] (“Cliente”); e
• TOTAL MARKETING S.R.L.S., con sede legale in Via Simeri Crichi 34, 00133 Roma (RM), Italia, P. IVA 15718101007 (“Fornitore”).

Il Cliente utilizza la piattaforma CHARUN in qualità di titolare del trattamento oppure, quando opera per conto di un’Azienda titolare, in qualità di responsabile autorizzato a ricorrere al Fornitore come sub-responsabile. Il presente DPA integra i Termini e Condizioni di CHARUN e si applica ogni volta che il Fornitore tratta dati personali per conto del Cliente.

1. Oggetto, durata e istruzioni

1.1 Il Fornitore tratta i dati personali per conto del Cliente esclusivamente per ricevere, archiviare, sincronizzare, organizzare e rendere disponibili i lead e le attività connesse al servizio CHARUN, per la durata del rapporto contrattuale e del successivo periodo di restituzione e cancellazione.

1.2 Le istruzioni documentate del Cliente sono costituite dal presente DPA, dai Termini e Condizioni, dalle configurazioni effettuate dal Cliente nella piattaforma e dalle ulteriori istruzioni scritte lecite. Il Fornitore informa immediatamente il Cliente qualora, a suo parere, un’istruzione violi il GDPR o altre disposizioni in materia di protezione dei dati, salvo che la legge lo vieti.

2. Natura e finalità del trattamento

Il trattamento comprende la raccolta tramite le integrazioni attivate dal Cliente, la registrazione, la conservazione, la consultazione da parte degli utenti autorizzati, il rilevamento di possibili duplicati, l’aggiornamento degli stati, le note, i promemoria, le notifiche, l’esportazione, l’assistenza e la cancellazione. Le finalità sono esclusivamente quelle determinate dal Cliente e dai titolari per conto dei quali il Cliente agisce.

3. Categorie di interessati e di dati

3.1 Interessati: potenziali clienti e contatti commerciali che compilano i moduli del Cliente; referenti e utenti delle Aziende; eventuali minori, se i moduli del Cliente ne raccolgono lecitamente dati non esclusi ai sensi dell’articolo 3.3.

3.2 Dati: dati identificativi e di contatto, risposte ai moduli, informazioni sulle richieste, fonti e campagne, note, cronologia, promemoria e appuntamenti, esiti e vendite.

3.3 Sono esclusi dall’oggetto e dalle istruzioni autorizzate del presente DPA i dati appartenenti alle categorie particolari di cui all’articolo 9 GDPR, inclusi i dati relativi alla salute, e i dati relativi a condanne penali e reati ai sensi dell’articolo 10 GDPR. Il Cliente non deve trasmettere tali dati a CHARUN, neppure tramite campi liberi, note o informazioni che, considerate nel contesto, ne rivelino la natura. Il servizio non esegue un filtraggio automatico preventivo. Eventuali dati non consentiti ricevuti sono gestiti secondo la normativa applicabile e le istruzioni lecite pertinenti; tale ricezione non costituisce autorizzazione al loro trattamento ordinario.

4. Obblighi del Cliente

Il Cliente garantisce la liceità dei dati trasmessi e delle istruzioni impartite, l’informativa agli interessati, l’esistenza di un’idonea base giuridica ai sensi dell’art. 6 GDPR, il rispetto delle limitazioni di cui all’articolo 3.3, la corretta individuazione dei ruoli tra Agenzia e Azienda, la gestione delle autorizzazioni dei propri utenti e lo svolgimento della valutazione d’impatto (DPIA), quando richiesta. Il Cliente evita di inserire dati non necessari e collabora con il Fornitore nella gestione delle richieste degli interessati e degli incidenti.

5. Riservatezza e personale autorizzato

Il Fornitore garantisce che le persone autorizzate a trattare i dati per conto del Cliente siano vincolate da obblighi di riservatezza e ricevano istruzioni adeguate. L’accesso del personale del Fornitore ai dati del Cliente è consentito solo per esigenze giustificate di gestione del servizio, assistenza, sicurezza o adempimento di obblighi di legge.

6. Sicurezza del trattamento (art. 32 GDPR)

6.1 Il Fornitore adotta misure tecniche e organizzative adeguate al rischio, descritte nell’Allegato B.

6.2 Il Fornitore può aggiornare le misure di sicurezza a condizione che il livello complessivo di protezione non venga ridotto.

6.3 Le misure tecniche e organizzative descritte nell’Allegato B non costituiscono autorizzazione al trattamento dei dati esclusi ai sensi dell’articolo 3.3. La loro eventuale ricezione non modifica l’ambito del presente DPA, fermo restando il rispetto degli obblighi inderogabili previsti dalla normativa applicabile.

7. Sub-responsabili

7.1 Il Cliente concede un’autorizzazione generale al ricorso ai sub-responsabili elencati nell’Allegato C.

7.2 Il Fornitore impone ai sub-responsabili obblighi in materia di protezione dei dati sostanzialmente equivalenti a quelli del presente DPA e resta responsabile nei confronti del Cliente per l’adempimento dei loro obblighi, ai sensi dell’art. 28, par. 4, GDPR.

7.3 Il Fornitore informa il Cliente con ragionevole anticipo dell’aggiunta o della sostituzione di sub-responsabili, consentendogli di formulare obiezioni motivate prima del loro impiego.

8. Trasferimenti al di fuori dello Spazio economico europeo

I trasferimenti di dati personali al di fuori dello Spazio economico europeo avvengono solo in presenza di uno strumento valido ai sensi del Capo V del GDPR (decisione di adeguatezza, incluso ove applicabile l’EU-U.S. Data Privacy Framework, o clausole contrattuali standard) e delle eventuali misure supplementari necessarie. Le regioni di trattamento, i destinatari e gli strumenti utilizzati sono indicati nell’Allegato C.

9. Assistenza nell’esercizio dei diritti degli interessati

Il Fornitore assiste il Cliente, tenuto conto della natura del trattamento e delle informazioni disponibili, nel dare seguito alle richieste di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità. Se riceve direttamente una richiesta relativa ai dati del Cliente, il Fornitore la inoltra senza ingiustificato ritardo al Cliente e non vi risponde nel merito, salvo istruzioni del Cliente o obblighi di legge.

10. Violazioni dei dati personali

10.1 Il Fornitore informa il Cliente senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione dei dati personali trattati per conto del Cliente.

10.2 La comunicazione contiene le informazioni disponibili ragionevolmente necessarie al Cliente per adempiere gli obblighi degli artt. 33 e 34 GDPR (natura della violazione, categorie e numero approssimativo di interessati e di registrazioni, probabili conseguenze, misure adottate o proposte) ed è integrata man mano che ulteriori informazioni diventano disponibili.

10.3 Il Cliente, quando è titolare, resta responsabile delle notifiche all’autorità di controllo e delle comunicazioni agli interessati, con l’assistenza del Fornitore.

11. Valutazioni d’impatto, consultazioni e verifiche

Il Fornitore mette a disposizione del Cliente, nei limiti ragionevoli, le informazioni necessarie a dimostrare il rispetto dell’art. 28 GDPR e collabora alle valutazioni d’impatto e alle eventuali consultazioni preventive dell’autorità di controllo. Le verifiche, anche documentali, sono concordate con congruo preavviso e si svolgono in modo da tutelare la riservatezza, la sicurezza e i dati degli altri clienti del Fornitore, fermi i diritti inderogabili previsti dalla legge.

12. Restituzione e cancellazione dei dati

12.1 Alla cessazione del rapporto, il Cliente può chiedere entro 30 giorni la restituzione dei dati in un formato di uso comune. Decorso tale termine, o prima su istruzione scritta del Cliente, il Fornitore cancella i dati dal database operativo, salvo obblighi di conservazione previsti dalla legge.

12.2 Le operazioni di esportazione e cancellazione sono eseguite dal Fornitore su istruzione documentata del Cliente, nei limiti delle funzionalità e degli obblighi applicabili. Le copie di sicurezza gestite dal fornitore dell’infrastruttura seguono i relativi cicli tecnici di conservazione e non sono destinate all’uso corrente. In caso di ripristino del database, le cancellazioni automatiche soggette alle regole periodiche di pulizia vengono nuovamente eseguite secondo la programmazione del servizio. Le cancellazioni manuali o effettuate su richiesta NON sono automaticamente ripristinate: il Fornitore deve verificare le richieste di cancellazione precedenti e rieseguirle, ove necessario, prima di rendere nuovamente disponibili i dati interessati. [DA DEFINIRE E ATTUARE PRIMA DELLA FIRMA: registro delle richieste di cancellazione e procedura operativa di verifica dopo ripristino.]

12.3 Su richiesta, il Fornitore conferma per iscritto l’avvenuta cancellazione.

13. Prevalenza e durata

In caso di contrasto tra il presente DPA e i Termini e Condizioni in materia di protezione dei dati trattati per conto del Cliente, prevale il DPA, senza che tale prevalenza possa ampliare le categorie di dati ammesse ai sensi dell’articolo 3.3 e dei Termini e Condizioni. Il DPA resta efficace finché il Fornitore tratta dati personali per conto del Cliente. Le disposizioni inderogabili del GDPR prevalgono su qualsiasi clausola contraria.

14. Legge applicabile e foro competente

Il presente DPA è regolato dalla legge italiana. Per le controversie è competente in via esclusiva il Foro di Roma, salve le competenze inderogabili previste dalla legge.

Allegato A — Descrizione del trattamento

Allegato B — Misure tecniche e organizzative

B.1 Misure in essere

• Connessioni cifrate (HTTPS) per l’accesso al servizio e per le comunicazioni con i servizi integrati.
• Autenticazione individuale degli utenti con account nominativi; requisiti minimi di lunghezza della password.
• Controllo degli accessi in base al ruolo (Super Admin, Agenzia, Azienda) e all’organizzazione di appartenenza, applicato anche a livello di database, con separazione dei dati tra organizzazioni.
• Verifica lato server dell’organizzazione attiva e dei permessi a ogni operazione; le scelte effettuate nel browser non sono considerate attendibili senza verifica.
• Credenziali di accesso alle integrazioni conservate in forma cifrata lato server e mai rese disponibili nel browser; cancellazione delle credenziali allo scollegamento dell’integrazione.
• Inviti monouso e con scadenza; il codice dell’invito non è leggibile dal browser.
• Notifiche push con contenuto generico, privo di dati personali dei lead.
• Database principale ubicato nell’Unione europea (Irlanda).
• Obblighi di riservatezza per il personale autorizzato del Fornitore.

B.2 Limitazioni relative ai dati non ammessi (artt. 3.3 e 6.3)

Il servizio non è destinato al trattamento di categorie particolari di dati personali (art. 9 GDPR) né di dati relativi a condanne penali e reati (art. 10 GDPR). Le misure di cui al presente Allegato non autorizzano l’invio o la gestione di tali dati.

B.3 Informazioni da completare prima della firma

• Secondo la documentazione pubblica di Lovable consultata il 29/10/2026, il database è sottoposto a backup giornalieri, conservati fino a circa 14 giorni; i backup riguardano il database e non i file dell’archivio. Tali valori sono indicazioni documentali del fornitore e non una garanzia contrattuale specifica. [DA CONFERMARE: localizzazione dei backup, tempi contrattuali e modalità effettive di eliminazione.]
• [DA COMPLETARE: referente del Fornitore per la sicurezza e la gestione delle violazioni, con recapito.]

Allegato C — Sub-responsabili autorizzati

[DA COMPLETARE PRIMA DELLA FIRMA] L’elenco distingue i fornitori riscontrati tecnicamente da quelli da confermare; qualificazione contrattuale, ragioni sociali, sedi e garanzie di trasferimento devono essere verificate sui documenti applicabili. Il DPA di Lovable è dichiarato incluso nel piano Business: conservare evidenza del piano attivo e della versione del DPA applicabile.

C.1 — Lovable

• Ragione sociale e sede: [DA CONFERMARE CON LOVABLE: controparte contrattuale effettiva e soggetto del DPA; la documentazione esaminata cita Lovable Labs Incorporated (USA) e Lovable Labs Sweden AB (Svezia) in ruoli differenti.]
• Servizio: piattaforma di sviluppo e pubblicazione dell’applicazione; Lovable Cloud (database, autenticazione, archiviazione file, funzioni server)
• Dati trattati: tutte le categorie indicate all’articolo 3 e i dati degli utenti
• Luogo del trattamento: database principale in AWS eu-west-1, Irlanda (verificato nel rapporto tecnico); esecuzione dell’app su rete Cloudflare globale; backup, log, email e accessi di supporto [DA CONFERMARE].
• Garanzie per trasferimenti extra SEE: [DA COMPLETARE]

C.2 — Fornitori dell’infrastruttura utilizzati da Lovable Cloud

• Fornitori tecnicamente individuati: Supabase, Amazon Web Services e Cloudflare; servizio email Mailgun e/o AWS SES [DA CONFERMARE QUALE]; ulteriori servizi di log e infrastruttura [DA CONFERMARE CON LOVABLE].
• Servizio: infrastruttura cloud ed esecuzione dell’applicazione
• Dati trattati: tutte le categorie
• Luogo del trattamento: database in Irlanda (UE); funzioni server sulla rete Cloudflare globale; localizzazione di backup, log e servizi accessori [DA CONFERMARE].
• Garanzie per trasferimenti extra SEE: [DA COMPLETARE]

C.3 — Servizio di invio email

• Fornitore: servizio email Lovable tramite Mailgun e/o AWS SES [DA CONFERMARE fornitore effettivo, entità giuridica e regione].
• Servizio: email relative all’account e agli inviti
• Dati trattati: nome e indirizzo email degli utenti
• Luogo del trattamento: [DA COMPLETARE]
• Garanzie per trasferimenti extra SEE: [DA COMPLETARE]

C.4 — Servizio di accesso con Google

• Fornitore dell’intermediazione dell’accesso: [DA COMPLETARE]
• Servizio: autenticazione degli utenti che scelgono l’accesso con Google
• Dati trattati: nome e indirizzo email degli utenti
• Luogo del trattamento: [DA COMPLETARE]
• Garanzie per trasferimenti extra SEE: [DA COMPLETARE]

C.5 — Servizi di consegna delle notifiche push dei produttori di browser e sistemi operativi (ad esempio Google, Apple, Mozilla, Microsoft)

• Servizio: recapito delle notifiche push al dispositivo
• Dati trattati: identificativo tecnico del dispositivo; testo generico della notifica, senza dati personali dei lead
• Luogo del trattamento: [DA COMPLETARE]
• Garanzie per trasferimenti extra SEE: [DA COMPLETARE]
• Qualificazione: [DA COMPLETARE: valutare se elencarli come sub-responsabili o come servizi di comunicazione]

I servizi integrati scelti dal Cliente come fonti dei lead (Meta, Google Moduli e Fogli, GoHighLevel, WordPress e sistemi collegati all’endpoint di ricezione) non sono sub-responsabili del Fornitore: operano sulla base dei rapporti diretti tra il Cliente e tali fornitori.

Modalità di comunicazione delle modifiche all’elenco: comunicazione all’indirizzo email del referente del Cliente indicato in sede di firma, con il preavviso previsto all’articolo 7.3.

Sottoscrizione

Riepilogo delle informazioni mancanti (pagina da rimuovere prima della firma)