Il presente accordo sul trattamento dei dati (l'"Accordo") è stipulato tra il Cliente (titolare del trattamento — nome e numero di registro imprese dell'azienda vengono inseriti in fase di registrazione) e WEAKESTLINK ApS (CVR 46614011), che gestisce weakestlink (il "Fornitore", responsabile del trattamento). L'Accordo viene accettato elettronicamente al momento della creazione dell'account e disciplina il trattamento dei dati personali da parte del Fornitore per conto del Cliente in relazione alla formazione sulla sicurezza e alle simulazioni di phishing. Per le questioni relative al trattamento dei dati, il presente Accordo prevale sulle condizioni commerciali; per tutte le altre questioni si applicano le condizioni commerciali.

1. Oggetto e istruzioni

Il Fornitore tratta i dati personali esclusivamente in base a istruzioni documentate del Cliente — il presente Accordo con i relativi allegati e l'uso continuativo del servizio (Allegato A) — a meno che il diritto dell'UE o il diritto danese non richiedano diversamente; in tal caso il Fornitore informa il Cliente di tale obbligo prima del trattamento, salvo che la legge lo vieti. Le istruzioni comprendono anche l'autorizzazione a elaborare statistiche in forma anonimizzata e aggregata come descritto nelle condizioni commerciali; dopo l'anonimizzazione, i dati non sono più considerati dati personali. Il Fornitore informa il Cliente qualora ritenga che un'istruzione violi la normativa sulla protezione dei dati, e non trasferisce dati verso paesi terzi al di fuori di quanto previsto nell'Allegato B senza un valido meccanismo di trasferimento.

2. Riservatezza

Il Fornitore garantisce che le persone autorizzate a trattare i dati si siano impegnate alla riservatezza o siano soggette a un adeguato obbligo di segretezza previsto dalla legge.

3. Sicurezza (art. 32)

Il Fornitore attua misure tecniche e organizzative adeguate (Allegato C). Un principio fondamentale è la minimizzazione dei dati: nelle simulazioni di phishing viene registrato solo il fatto che un evento si sia verificato (aperto/cliccato/inserito) e i nomi dei campi — mai i valori digitati da un dipendente.

4. Sub-responsabili del trattamento

Il Cliente concede un'autorizzazione generale preventiva ai sub-responsabili del trattamento elencati nell'Allegato B. Il Fornitore impone a ciascun sub-responsabile gli stessi obblighi di protezione dei dati previsti dal presente Accordo e comunica via e-mail le modifiche pianificate con almeno 30 giorni di preavviso, in modo che il Cliente possa opporsi. Se non è possibile trovare una soluzione ragionevole a un'obiezione, il Cliente può recedere dal rapporto con effetto dalla data di entrata in vigore della modifica. Il Fornitore rimane pienamente responsabile del rispetto degli obblighi da parte dei sub-responsabili.

5. Assistenza al Cliente

Tenendo conto della natura del trattamento e mediante misure tecniche e organizzative adeguate, il Fornitore assiste il Cliente nel rispondere alle richieste relative ai diritti degli interessati (art. 12–23) e nell'adempimento degli obblighi del Cliente ai sensi degli art. 32–36 (sicurezza, notifica delle violazioni, valutazione d'impatto e consultazione preventiva). Il servizio include un bilanciamento degli interessi già predisposto e un testo di trasparenza destinato ai dipendenti, che il Cliente può utilizzare direttamente. L'assistenza che va significativamente oltre quanto normalmente incluso nel servizio può essere fatturata in base al tempo impiegato, a una tariffa ragionevole.

6. Violazione dei dati personali

Il Fornitore informa il Cliente senza ritardo ingiustificato e comunque entro 48 ore dal momento in cui viene a conoscenza di una violazione riguardante i dati del Cliente — indicando la natura della violazione, le categorie interessate e il numero approssimativo di interessati coinvolti, le probabili conseguenze e le misure adottate o proposte. La valutazione circa la necessità di notificare la violazione al Datatilsynet (termine di 72 ore) spetta al Cliente in qualità di titolare del trattamento.

7. Cancellazione e restituzione

Alla cessazione dell'Accordo, il Fornitore elimina o restituisce, a scelta del Cliente, tutti i dati personali. La restituzione avviene tramite un'esportazione strutturata, di uso comune e leggibile da dispositivo automatico (ad es. CSV). Se il Cliente non comunica la propria scelta entro la data di cessazione, i dati vengono eliminati. In caso di recesso del Cliente, i dati personali vengono eliminati 30 giorni dopo il recesso, oppure immediatamente su richiesta del Cliente; fino ad allora il Cliente può revocare il recesso e scaricare l'esportazione. La cancellazione avviene in ogni caso entro 90 giorni dalla cessazione ed è definitiva; se il rapporto contrattuale cessa perché l'account è rimasto in modalità limitata (vedi la sezione 4 delle condizioni commerciali), la cancellazione viene preannunciata via e-mail con almeno 30 giorni di anticipo e, fino alla cancellazione, il Cliente può optare per la restituzione. I dati personali presenti nei backup vengono eliminati nel corso della normale rotazione degli stessi, entro 90 giorni dalla cancellazione nell'ambiente di produzione. I dati che la legge impone di conservare (ad es. la documentazione contabile) vengono conservati solo finché sussiste tale obbligo.

8. Audit e controllo

Il Fornitore mette a disposizione del Cliente tutte le informazioni necessarie a dimostrare il rispetto dell'art. 28 e consente e contribuisce agli audit, comprese le ispezioni, condotti dal Cliente o da un revisore da questo incaricato. Descrizioni e rapporti di sicurezza aggiornati possono sostituire l'ispezione fisica, ove ragionevole. L'audit fisico viene effettuato con ragionevole preavviso, al massimo una volta l'anno — salvo che una violazione o una richiesta delle autorità ne giustifichi la necessità concreta — e a spese del Cliente.

9. Durata e cessazione

L'Accordo rimane in vigore finché il Fornitore tratta dati personali per conto del Cliente e cessa automaticamente al termine del rapporto con il cliente — anche quando tale rapporto è considerato cessato dopo un lungo periodo in stato limitato, ai sensi delle condizioni commerciali — dopo di che si applica la sezione 7.

10. Responsabilità e legge applicabile

Nei confronti degli interessati, la responsabilità delle parti è disciplinata dall'art. 82 del regolamento generale sulla protezione dei dati. Nei rapporti reciproci tra le parti si applica la disciplina sulla responsabilità prevista dalle condizioni commerciali, nella misura consentita dalla legge applicabile. Il presente Accordo è disciplinato dal diritto danese, con foro competente come indicato nelle condizioni commerciali.

Allegato A — Natura del trattamento

Allegato B — Sub-responsabili del trattamento

L'hosting avviene sull'infrastruttura propria del Fornitore in Danimarca. Le email di simulazione vengono inviate dai sistemi propri del Fornitore, senza ulteriori sub-responsabili del trattamento.

Per chiarezza: i contenuti formativi e di simulazione generati con l'IA sono redatti senza l'uso di dati personali — il fornitore di IA non è quindi un sub-responsabile del trattamento. L'elaborazione dei pagamenti è gestita da QuickPay e Clearhaus in qualità di titolari del trattamento autonomi (gateway di pagamento e acquirer) ed è descritta nella informativa sulla privacy.

Allegato C — Misure tecniche e organizzative di sicurezza (art. 32)

• Separazione per cliente (multi-tenancy): rigoroso isolamento dei tenant a livello applicativo; i dati di un cliente non sono accessibili ad altri clienti.
• Controllo degli accessi: accesso basato sui ruoli (RBAC) secondo il principio del privilegio minimo; account individuali; nessun login condiviso.
• Crittografia: TLS in transito; crittografia dei backup.
• Minimizzazione dei dati: le simulazioni registrano solo l'evento e i nomi dei campi, mai i valori inseriti; i report sono aggregati (dimensione minima del gruppo, k ≥ 5) e i risultati individuali sono limitati per ruolo (solo l'amministratore; i responsabili solo su scelta del Cliente).
• Registrazione e audit: log degli eventi per le azioni rilevanti ai fini della sicurezza; traccia di audit append-only.
• Header di sicurezza/CSP: Content-Security-Policy rigorosa e altri header di sicurezza su tutte le pagine.
• Gestione degli incidenti: procedura per le violazioni con notifica al Cliente entro 48 ore (sezione 6).
• Cancellazione: processo automatizzato alla cessazione: in caso di recesso del Cliente, cancellazione 30 giorni dopo il recesso (o immediatamente su richiesta); dopo la modalità limitata, preavviso dopo 60 giorni e cancellazione dopo 90 giorni, mai senza un preavviso di almeno 30 giorni; negli altri casi, cancellazione/restituzione entro 90 giorni dalla cessazione (sezione 7).

Se avete bisogno di una versione firmata per il vostro archivio, scrivete a info@weakestlink.io.