Il presente DPA fa parte integrante dei Termini di Servizio di Megorix ed è incorporato per riferimento. Si applica automaticamente all'accettazione dei Termini di Servizio — non è richiesta una firma separata, salvo diversa indicazione in un contratto specifico con il cliente.

1. Parti e Definizioni

«Megorix», «noi»: MegaPC Informática e Software, Lda., NIPC 504125931, con sede a Ourém, Santarém, Portogallo.
«Cliente», «Titolare del trattamento», «tu»: l'organizzazione con un abbonamento Megorix attivo.
«Normativa sulla protezione dei dati»: la Legge federale svizzera sulla protezione dei dati (nLPD) e la relativa ordinanza (OPDa), il Regolamento generale sulla protezione dei dati dell'UE (GDPR), e qualsiasi altra normativa sulla protezione dei dati applicabile al trattamento effettuato dal Cliente.
«Dati personali», «Trattamento», «Interessato», «Responsabile del trattamento», «Sub-responsabile», «Violazione di dati personali»: come definiti dalla nLPD e, ove applicabile, dal GDPR.
«Servizi»: la piattaforma ERP Megorix e i suoi moduli, come descritti nei Termini di Servizio.

2. Oggetto e Durata

Megorix tratta dati personali per conto del Cliente esclusivamente per fornire i Servizi. Il presente DPA ha effetto dal momento in cui il Cliente inizia a utilizzare i Servizi e rimane in vigore finché Megorix tratta dati personali per conto del Cliente, incluso qualsiasi periodo successivo alla cessazione durante il quale Megorix conservi dati ai sensi della Sezione 11.

3. Ruoli delle Parti

Per i dati personali che il Cliente inserisce o genera all'interno dei Servizi (propri clienti, fatture, dipendenti, inventario e registri commerciali simili), il Cliente è il Titolare del trattamento e Megorix è il Responsabile del trattamento. Megorix tratta questi dati solo su istruzione documentata del Cliente — fornita tramite l'uso dei Servizi o per iscritto — salvo quando il diritto svizzero o dell'UE richieda diversamente, nel qual caso Megorix informerà preventivamente il Cliente di tale obbligo di legge, salvo divieto legale di farlo.

Per i dati che Megorix raccoglie per gestire il proprio rapporto commerciale con il Cliente (identità del titolare dell'account, dati di fatturazione, utilizzo dell'abbonamento, comunicazioni di marketing), Megorix agisce come Titolare del trattamento autonomo — vedi l<privacyLink>Informativa sulla Privacy</privacyLink> di Megorix.

4. Categorie di Dati e Interessati

Interessati: i clienti, i fornitori, i dipendenti del Cliente e altre persone i cui dati il Cliente inserisce nei Servizi.
Categorie di dati personali: dati identificativi (nomi, identificativi fiscali/numero IVA), dati di contatto (indirizzi, email, telefoni), dati finanziari/di fatturazione (righe fattura, IBAN, riferimenti di pagamento), dati relativi al rapporto di lavoro (per gli utenti del modulo HR), e qualsiasi altro dato che il Cliente registri in un'entità o campo Megorix. I campi che il Cliente contrassegna come sensibili (ad es. numero AVS/numeri di identificazione nazionale, IBAN) possono essere memorizzati con crittografia AES-256 a livello di campo — vedi Sezione 6.
Categorie particolari di dati personali (art. 5 nLPD): i Servizi non sono progettati per richiederle. Il Cliente è l'unico responsabile di non inserire dati di categorie particolari, salvo aver valutato autonomamente la base giuridica e configurato protezioni adeguate.

5. Sub-responsabili

Il Cliente autorizza Megorix ad avvalersi dei seguenti sub-responsabili:

Hostinger — hosting dell'applicazione e del database — Parigi, Francia (UE).
Stripe — elaborazione dei pagamenti dell'abbonamento — UE/USA, vedi il DPA proprio di Stripe.
Cloudflare — CDN, protezione DDoS, rete edge — rete globale.
Google (Firebase Cloud Messaging) — notifiche push per l'app mobile — UE/USA, vedi il DPA proprio di Google.
Fornitore di email transazionali — invio di email di sistema (fatture, notifiche) — UE.

Megorix darà al Cliente un preavviso di almeno 30 giorni (via email o notifica in-app) prima di aggiungere o sostituire un sub-responsabile con accesso a dati personali, e il Cliente potrà opporsi per motivi ragionevoli di protezione dei dati entro tale termine. Megorix resta responsabile del rispetto, da parte di ciascun sub-responsabile, di obblighi equivalenti a quelli del presente DPA.

6. Misure Tecniche e Organizzative di Sicurezza

Isolamento per tenant garantito a livello di database tramite Row-Level Security di PostgreSQL — le query di un tenant non possono leggere le righe di un altro tenant.
Crittografia a livello di campo (AES-256-GCM) disponibile per i campi sensibili, configurabile campo per campo dal Cliente.
Controlli di immutabilità e integrità per i registri di fatturazione svizzeri: una volta emessa, la fattura è bloccata contro modifiche ed eliminazione, e ogni cambiamento è registrato in un registro di audit conservato per 10 anni, in conformità con l'art. 958f CO e l'OReg (GeBüV).
Crittografia in transito (TLS) per tutte le connessioni ai Servizi.
Registrazione degli accessi e tracciamento di audit per le modifiche ai registri.
Controllo degli accessi basato su ruoli e permessi, configurato dal Cliente.
Backup regolari e procedure di disaster recovery.

Megorix non ridurrà in modo sostanziale il proprio livello complessivo di sicurezza durante la vigenza del presente DPA.

7. Assistenza per le Richieste degli Interessati

Megorix fornirà assistenza ragionevole al Cliente, tramite le funzionalità dei Servizi o su richiesta scritta, per rispondere agli Interessati che esercitano i propri diritti (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione) ai sensi della normativa applicabile sulla protezione dei dati. Megorix può addebitare una tariffa ragionevole per l'assistenza che richieda un lavoro sostanzialmente superiore alle funzionalità già esistenti nei Servizi.

8. Notifica delle Violazioni di Dati Personali

Megorix notificherà al Cliente senza ingiustificato ritardo, e comunque entro 48 ore dalla presa di conoscenza, qualsiasi violazione di dati personali che riguardi i dati del Cliente, includendo (nella misura in cui sia noto): la sua natura, le categorie e il numero approssimativo di interessati e registri interessati, le probabili conseguenze e le misure adottate o proposte.

9. Audit

Su ragionevole richiesta scritta, non più di una volta per anno solare (salvo richiesta di un'autorità di controllo — in Svizzera l'Incaricato federale della protezione dei dati e della trasparenza, IFPDT — o a seguito di una violazione di dati personali), Megorix metterà a disposizione le informazioni ragionevolmente necessarie a dimostrare la conformità al presente DPA, inclusa la documentazione di sicurezza pertinente e, fatta salva la riservatezza, le risposte a un questionario di sicurezza scritto.

10. Trasferimenti Internazionali di Dati

L'infrastruttura principale di Megorix è ospitata all'interno dell'Unione Europea (Parigi, Francia) — un Paese sulla lista di adeguatezza UE/SEE riconosciuta dalla nLPD, senza necessità di clausole contrattuali standard aggiuntive. Qualora un sub-responsabile trasferisca dati personali al di fuori dell'UE/SEE o della Svizzera, si applica il meccanismo di trasferimento proprio di tale sub-responsabile (come le Clausole Contrattuali Tipo dell'UE o una decisione di adeguatezza), come descritto nel DPA proprio di tale sub-responsabile.

11. Durata, Cessazione, Restituzione e Cancellazione dei Dati

Alla cessazione, Megorix, a scelta del Cliente comunicata entro 30 giorni, renderà disponibili i dati personali del Cliente per l'esportazione in un formato strutturato, oppure li cancellerà — salvo nella misura in cui Megorix sia legalmente tenuta (incluse le norme svizzere di conservazione commerciale, come l'art. 958f CO per i registri di fatturazione) a conservarli più a lungo, nel qual caso Megorix isolerà tali dati da qualsiasi ulteriore trattamento.

12. Responsabilità

La responsabilità di ciascuna parte derivante da o relativa al presente DPA è soggetta alle limitazioni di responsabilità previste nei Termini di Servizio di Megorix.

13. Legge Applicabile

Il presente DPA è disciplinato dalla stessa legge applicabile ai Termini di Servizio di Megorix. Nulla nel presente DPA riduce i diritti o gli obblighi di una delle parti ai sensi di disposizioni imperative della normativa sulla protezione dei dati applicabile al trattamento proprio del Cliente, in particolare della nLPD.

Accordo sul Trattamento dei Dati (DPA)