Accordo sul trattamento dei dati (DPA)

Ultimo aggiornamento: 11 novembre 2026 · Prima pubblicazione: 30 luglio 2026

Questa versione è una traduzione a titolo informativo. Fa fede solo la versione francese.

Il presente accordo (di seguito «DPA») è concluso ai sensi dell'articolo 28 del Regolamento (UE) 2016/679 («GDPR») tra il Cliente, che agisce in qualità di titolare del trattamento, e Siggmund, che agisce in qualità di responsabile del trattamento (di seguito «Siggmund»). Costituisce parte integrante delle condizioni generali di vendita ed è accettato dal Cliente al momento della sottoscrizione. In caso di contraddizione, il presente DPA prevale sugli altri documenti contrattuali per quanto riguarda il trattamento dei dati personali.

1. Oggetto e ruoli

Siggmund tratta dati personali per conto del Cliente al solo fine di eseguire il servizio descritto nelle condizioni generali: misurazione della raccomandabilità del marchio del Cliente, produzione di un punteggio e di raccomandazioni. Il Cliente determina le finalità e i mezzi di tale trattamento; Siggmund agisce soltanto su sua istruzione documentata, costituita dalle condizioni generali, dal presente DPA e dalle impostazioni effettuate dal Cliente nel proprio spazio.

Siggmund resta titolare del trattamento per le proprie esigenze (gestione degli account, fatturazione, sicurezza), disciplinate dall'informativa sulla privacy.

2. Descrizione del trattamento

Natura e finalità: raccolta, conservazione, analisi automatizzata e restituzione di dati relativi alla presenza online del Cliente.
Categorie di interessati: utenti designati dal Cliente; se del caso, persone fisiche identificabili citate nei contenuti pubblici analizzati o nelle risposte dei modelli linguistici.
Categorie di dati: identificativi e indirizzi e-mail degli utenti; contenuti pubblici del sito del Cliente; metriche di Search Console e Analytics 4 (impressioni, clic, posizioni, sessioni, fonti di traffico); identificativi tecnici delle proprietà Google collegate.
Categorie particolari di dati: nessuna. Il servizio non è concepito per trattare i dati di cui all'articolo 9 del GDPR e il Cliente si impegna a non sottoporne.
Durata: la durata dell'abbonamento, aumentata delle durate di conservazione indicate all'articolo 8.

3. Obblighi di Siggmund

Siggmund si impegna a:

trattare i dati solo su istruzione documentata del Cliente e informarlo senza ritardo se un'istruzione le appare costituire una violazione del GDPR;
non utilizzare i dati del Cliente per altri fini, in particolare né a fini pubblicitari né per addestrare modelli di intelligenza artificiale generalisti;
garantire la riservatezza dei dati e vincolare a un obbligo di riservatezza ogni persona autorizzata ad accedervi;
attuare le misure tecniche e organizzative descritte all'articolo 5;
assistere il Cliente, per quanto ragionevole, nella realizzazione delle valutazioni d'impatto, nella risposta alle richieste degli interessati e nei rapporti con un'autorità di controllo;
mettere a disposizione le informazioni necessarie per dimostrare il rispetto del presente DPA.

4. Obblighi del Cliente

Il Cliente garantisce di disporre di una base giuridica per i trattamenti affidati, di aver informato gli interessati e di detenere i diritti necessari sui siti e sugli account Google che collega. Spetta al Cliente trasmettere solo i dati necessari al servizio.

5. Sicurezza

Siggmund attua, ai sensi dell'articolo 32 del GDPR: cifratura delle comunicazioni (TLS) e dei dati a riposo; cifratura dedicata dei token di accesso a Google; controllo degli accessi basato sui ruoli, verificato lato server a ogni richiesta; separazione dei dati tra clienti; registrazione degli accessi degli amministratori; backup; limitazione degli accessi di produzione alle persone che ne hanno bisogno; revisione delle dipendenze e dei segreti.

6. Sub-responsabili del trattamento

Il Cliente autorizza Siggmund a ricorrere ai sub-responsabili elencati di seguito. Siggmund impone loro per contratto obblighi di protezione equivalenti a quelli del presente DPA e resta responsabile della loro esecuzione.

Google Ireland Limited (Firebase, Cloud Run, Firestore, Cloud SQL) — hosting, database ed esecuzione dell'applicazione. Ubicazione: Unione europea (europe-west1)
Google Ireland Limited (Google Analytics 4) — misurazione del pubblico del sito pubblico, previo vostro consenso. Ubicazione: Irlanda (Unione europea), con trasferimenti verso gli Stati Uniti Garanzie per il trasferimento: decisione di adeguatezza UE–USA (Data Privacy Framework), cui Google LLC ha aderito; in mancanza, clausole contrattuali standard
Stripe Payments Europe, Ltd. — incasso dei pagamenti degli abbonamenti. Ubicazione: Irlanda
Google (API Gemini) — analisi tramite un modello linguistico e risposte basate sulla ricerca Google (indirizzo del sito, attività ed estratto della home page). Ubicazione: qualsiasi paese in cui Google dispone di strutture, compresi gli Stati Uniti (nessuna regione di trattamento garantita)

Siggmund informa il Cliente di ogni aggiunta o sostituzione di un sub-responsabile almeno 30 giorni prima della sua attuazione, per e-mail all'indirizzo di contatto dell'account. Il Cliente può opporsi per un motivo legittimo e ragionevole entro tale termine; in mancanza di accordo, può recedere dal proprio abbonamento senza penali, con restituzione della quota di abbonamento non consumata.

7. Trasferimenti al di fuori dell'Unione europea

I dati sono ospitati nell'Unione europea, in europe-west1 (Belgio). Siggmund non trasferisce alcun dato personale del Cliente a un fornitore di trattamento di contenuti: i modelli linguistici e i servizi di misurazione ricevono domande di misurazione, indirizzi di siti pubblici e contenuti pubblici, non dati personali. Copia delle garanzie applicabili a un fornitore stabilito al di fuori dell'Unione europea è comunicata su richiesta.

I dati Search Console e Analytics 4 del Cliente possono essere trasmessi a tali fornitori di modelli linguistici quando servono a produrre le analisi e le raccomandazioni del servizio (ad esempio per interpretare le query meglio posizionate o le fonti di traffico). Sono trasmessi a questo solo scopo, esclusivamente a fini di inferenza: non servono mai ad addestrare o a perfezionare un modello e Siggmund non attiva alcuna opzione di conservazione o di condivisione dei contenuti offerta da un fornitore.

8. Conservazione, restituzione ed eliminazione

Le durate di conservazione applicabili sono le seguenti:

Account e indirizzo e-mail: durata dell'abbonamento, poi 3 anni dall'ultimo contatto.
Numero di telefono (se indicato): durata dell'abbonamento, poi 3 anni dall'ultimo contatto.
Analisi, punteggi e raccomandazioni prodotti: durata dell'abbonamento, poi 12 mesi.
Dati Search Console e Analytics importati (snapshot): 13 mesi mobili, ed eliminazione entro 30 giorni dalla revoca dell'accesso a Google o dalla disdetta.
Misurazioni dell'effetto delle azioni: per tutta la durata dell'abbonamento, eliminate entro 30 giorni dalla disdetta o dalla revoca dell'accesso a Google.
Token di accesso a Google (cifrati): fino alla vostra revoca, o 30 giorni dopo la disdetta.
Chiave API ChatGPT Ads (cifrata): fino alla disconnessione, o 30 giorni dopo la disdetta.
Immagini degli annunci ChatGPT Ads caricate dall'utente (ospitate affinché OpenAI possa recuperarle): al massimo 91 giorni, o fino all'eliminazione del cliente.
Logo dell'agenzia (report in white label): fino alla sua sostituzione o alla rimozione del marchio, oppure fino all'eliminazione dell'organizzazione.
Campagne ChatGPT Ads create dall'applicazione e indirizzo e-mail del loro autore: durata dell'abbonamento, poi 12 mesi.
Lead anonimo non rivendicato (prima dell'iscrizione): 7 giorni dall'invio, eliminazione automatica quotidiana (SIG-88) — un lead rivendicato (trasformato in cliente) non è mai soggetto a questo termine.
Richieste dalla home page (indirizzo e-mail, telefono): 3 anni dall'ultima modifica della richiesta, eliminazione automatica quotidiana.
Messaggi inviati tramite il modulo di contatto: 3 anni dall'ultimo scambio.
Dati di utilizzo del sito e dell'applicazione (PostHog): 1 anno, poi eliminazione automatica da parte di PostHog.
Log tecnici e di sicurezza: 12 mesi.
Log di accesso degli amministratori (tracciabilità ai sensi del GDPR): 3 anni.
Fatture e documenti contabili: 10 anni (obbligo di legge, art. L123-22 del Code de commerce francese).

Al termine della prestazione, Siggmund elimina i dati trattati per conto del Cliente secondo tali durate, salvo obbligo legale di conservazione. Il Cliente può chiedere, prima della disdetta, la restituzione dei propri dati in un formato strutturato e di uso comune.

9. Violazione dei dati

Siggmund notifica al Cliente, senza ingiustificato ritardo e al più tardi entro 48 ore dal momento in cui ne è venuta a conoscenza, ogni violazione di dati personali che riguardi i suoi dati, comunicandogli gli elementi necessari alla sua eventuale notifica ai sensi degli articoli 33 e 34 del GDPR, nonché le misure adottate per porvi rimedio.

10. Audit

Siggmund risponde ai questionari di sicurezza del Cliente e gli fornisce la documentazione pertinente. Il Cliente può, al massimo una volta all'anno e previo preavviso di 30 giorni, far svolgere un audit proporzionato, a proprie spese, in condizioni che preservino la riservatezza degli altri clienti e la sicurezza del servizio.

11. Contatti

Ogni richiesta relativa al presente accordo: privacy@siggmund.com.