Accordo sul trattamento dei dati

ACCORDO SUL TRATTAMENTO DEI DATI

ai sensi dell'articolo 28 del Regolamento (UE) 2016/679 (GDPR)

JAAN BV – tutti i servizi (web hosting, VPS e server dedicati, Smsbox, 2mail, sviluppo su misura)

Versione: 2.6 – 27 ottobre 2026

Responsabile del trattamento: JAAN BV (Jaan Internet Solutions), sede legale Zelzatestraat 61, 9960 Assenede, Belgio – KBO 0894.248.245 – privacy@jaan.be – 09 328 03 83

Titolare del trattamento: il Cliente, come identificato nel Contratto Principale, nell'ordine o nell'account cliente.

Articolo 1 – Ambito di applicazione e ordine di prevalenza

1.1 Il presente Accordo sul trattamento dei dati costituisce parte integrante di ogni contratto tra JAAN BV e il Cliente per la fornitura di Servizi (il "Contratto Principale"), comprese le condizioni generali, gli ordini e le descrizioni dei servizi di JAAN BV.

1.2 Esso si applica a ogni trattamento di Dati Personali del Cliente effettuato da JAAN BV in qualità di responsabile del trattamento nell'ambito dei Servizi, indipendentemente dal Servizio acquistato dal Cliente. L'Allegato A descrive il trattamento per ciascun Servizio.

1.3 In caso di contrasto tra il presente Accordo sul trattamento dei dati e il Contratto Principale, il presente Accordo sul trattamento dei dati prevale per quanto riguarda il trattamento dei Dati Personali. Qualora le parti abbiano sottoscritto le clausole contrattuali tipo della Decisione di esecuzione (UE) 2021/915, tali clausole prevalgono e gli Allegati del presente documento valgono come compilazione dei relativi Allegati da II a IV.

Articolo 2 – Definizioni

2.1 "Servizi": i servizi che JAAN BV fornisce al Cliente, tra cui web hosting, server virtuali (VPS) e server dedicati, i servizi di messaggistica Smsbox (SMS, WhatsApp Business e messaggi vocali tramite sintesi vocale, text-to-speech), i servizi e-mail 2mail (e-mail marketing e relay SMTP) e lo sviluppo su misura.

2.2 "Dati Personali del Cliente": tutti i dati personali che JAAN BV tratta per conto del Cliente al fine di fornire i Servizi.

2.3 "Subresponsabile del trattamento": ogni terzo di cui JAAN BV si avvale per trattare Dati Personali del Cliente ai fini della fornitura dei Servizi.

2.4 "Servizio di Trasmissione": ogni servizio di un operatore di telecomunicazioni, di un aggregatore SMS, di una piattaforma di messaggistica di terzi o di un server di posta ricevente che serve esclusivamente all'inoltro di messaggi verso o dal destinatario. I fornitori di Servizi di Trasmissione non sono Subresponsabili del trattamento né di JAAN BV né del Cliente (si vedano l'articolo 7.6 e l'Allegato D).

2.5 "Violazione dei Dati": una violazione dei dati personali ai sensi dell'articolo 4, punto 12, del GDPR.

2.6 Termini quali "titolare del trattamento", "responsabile del trattamento", "interessato", "trattamento" e "autorità di controllo" hanno il significato loro attribuito dal GDPR.

Articolo 3 – Ruoli delle parti

3.1 Il Cliente è titolare del trattamento dei Dati Personali del Cliente; JAAN BV è responsabile del trattamento. Se il Cliente agisce a sua volta come responsabile del trattamento per conto di un terzo, JAAN BV è Subresponsabile del trattamento e il Cliente garantisce che il proprio accordo sul trattamento dei dati consente il ricorso a JAAN BV.

3.2 JAAN BV è titolare autonomo del trattamento per i dati che tratta ai fini della gestione del rapporto con il cliente: dati dell'account, persone di contatto, fatturazione, assistenza, sicurezza e prevenzione delle frodi della propria infrastruttura, nonché adempimento degli obblighi di legge. Tale trattamento rientra nell'informativa sulla privacy di JAAN BV.

3.3 Il Cliente garantisce di disporre di una base giuridica per il trattamento, di informare correttamente gli interessati e di non far trattare a JAAN BV dati in violazione della legge, della Fair Use Policy o delle condizioni specifiche di JAAN BV. Per i messaggi commerciali tramite Smsbox o 2mail il Cliente dispone del necessario consenso dei destinatari e, su richiesta di JAAN BV, ne fornisce la prova.

Articolo 4 – Istruzioni

4.1 JAAN BV tratta i Dati Personali del Cliente esclusivamente su istruzione documentata del Cliente e ai fini della fornitura dei Servizi. Valgono come istruzioni il Contratto Principale, il presente Accordo sul trattamento dei dati, la configurazione dei Servizi da parte del Cliente (pannello di controllo, API, impostazioni) e le richieste scritte di assistenza.

4.2 Se JAAN BV ritiene che un'istruzione violi il GDPR o altra normativa applicabile, ne informa immediatamente il Cliente e può sospenderne l'esecuzione fino a quando l'istruzione non sia stata modificata.

4.3 Qualora JAAN BV sia tenuta per legge a un trattamento, informa preventivamente il Cliente di tale obbligo, salvo che la legge lo vieti per rilevanti motivi di interesse pubblico.

Articolo 5 – Riservatezza

5.1 Si applica l'obbligo di riservatezza di cui all'articolo 14 delle condizioni generali di JAAN BV. JAAN BV garantisce che soltanto i collaboratori a ciò autorizzati abbiano accesso ai Dati Personali del Cliente, nella misura necessaria alla fornitura dei Servizi, e che siano vincolati da un obbligo di riservatezza contrattuale o legale.

Articolo 6 – Sicurezza

6.1 JAAN BV adotta misure tecniche e organizzative adeguate ai sensi dell'articolo 32 del GDPR, come descritte nell'Allegato B. JAAN BV può modificare tali misure, a condizione che il livello di sicurezza non diminuisca.

6.2 Il Cliente resta responsabile della sicurezza dal proprio lato: la gestione delle proprie password, chiavi API e utenti, la sicurezza del software e dei dati che colloca su un account di hosting, un VPS o un server dedicato (in caso di gestione managed: le applicazioni e i dati al di sopra del sistema operativo), nonché la scelta di inviare o meno dati sensibili tramite i Servizi.

Articolo 7 – Subresponsabili del trattamento

7.1 Il Cliente concede a JAAN BV un'autorizzazione scritta generale a ricorrere a Subresponsabili del trattamento. I Subresponsabili del trattamento impiegati al momento della conclusione del presente Accordo sul trattamento dei dati sono elencati per Servizio nell'Allegato C.

7.2 JAAN BV informa il Cliente almeno trenta (30) giorni prima, via e-mail all'indirizzo di contatto registrato presso JAAN BV, dell'aggiunta o della sostituzione di un Subresponsabile del trattamento. L'elenco aggiornato figura sempre nell'Allegato C del presente Accordo sul trattamento dei dati.

7.3 Entro dieci (10) giorni lavorativi da tale comunicazione, il Cliente può opporsi per motivi ragionevoli e motivati. Le parti cercano allora in buona fede una soluzione. Se ciò non riesce, il Cliente può recedere dalla parte interessata dei Servizi senza indennità di recesso.

7.4 JAAN BV impone per iscritto a ogni Subresponsabile del trattamento obblighi almeno equivalenti a quelli del presente Accordo sul trattamento dei dati e resta pienamente responsabile nei confronti del Cliente per l'adempimento da parte dei propri Subresponsabili del trattamento.

7.5 I fornitori di software di cui JAAN BV rivende o utilizza licenze (come Microsoft SPLA) non trattano Dati Personali del Cliente e non sono Subresponsabili del trattamento.

7.6 I fornitori di Servizi di Trasmissione non sono Subresponsabili del trattamento. Essi si limitano a inoltrare il contenuto di un messaggio alla rete o alla casella di posta del destinatario, senza trattarne il contenuto, e sono vincolati dal segreto delle telecomunicazioni oppure agiscono come titolari autonomi del trattamento per la propria rete. JAAN BV sceglie e modifica liberamente tali fornitori in funzione della destinazione, della disponibilità e della qualità di recapito; gli instradamenti utilizzati rientrano nei segreti commerciali di JAAN BV e non vengono comunicati. L'Allegato D fornisce ulteriori chiarimenti.

Articolo 8 – Trasferimento al di fuori del SEE

8.1 JAAN BV tratta i Dati Personali del Cliente in Belgio. Non trasferisce Dati Personali del Cliente verso paesi al di fuori dello Spazio economico europeo, salvo ove l'Allegato C lo indichi per un Servizio specifico e con le garanzie adeguate ivi indicate (decisione di adeguatezza, EU-U.S. Data Privacy Framework o clausole contrattuali tipo).

8.2 Il Cliente riconosce che il destinatario di un messaggio può trovarsi al di fuori del SEE e che il recapito di tale messaggio comporta in tal caso un trasferimento per il quale il Cliente, in qualità di titolare del trattamento, determina la base giuridica.

Articolo 9 – Assistenza in relazione ai diritti degli interessati

9.1 Tenendo conto della natura del trattamento, JAAN BV assiste il Cliente nel dare seguito alle richieste degli interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione). Il Cliente può gestire autonomamente la maggior parte delle richieste tramite il pannello di controllo o l'API del Servizio; per il resto JAAN BV presta assistenza entro dieci (10) giorni lavorativi dalla richiesta.

9.2 Se JAAN BV riceve direttamente da un interessato una richiesta relativa a Dati Personali del Cliente, la inoltra al Cliente senza ingiustificato ritardo e non vi risponde direttamente, salvo che il Cliente lo richieda.

Articolo 10 – Violazioni dei Dati

10.1 JAAN BV notifica una Violazione dei Dati che riguardi Dati Personali del Cliente senza ingiustificato ritardo e al più tardi entro ventiquattro (24) ore dal momento in cui ne è venuta a conoscenza, via e-mail all'indirizzo di contatto del Cliente registrato presso JAAN BV.

10.2 La notifica contiene, per quanto noto: la natura della Violazione dei Dati, le categorie e il numero approssimativo di interessati e di dati coinvolti, le probabili conseguenze, le misure adottate o proposte e un punto di contatto. Le informazioni non ancora disponibili vengono fornite successivamente in fasi.

10.3 JAAN BV non notifica essa stessa una Violazione dei Dati all'autorità di controllo o agli interessati per conto del Cliente, salvo che il Cliente lo richieda per iscritto o che la legge vi obblighi JAAN BV.

Articolo 11 – Valutazione d'impatto sulla protezione dei dati

11.1 Su richiesta, JAAN BV presta al Cliente un'assistenza ragionevole per una valutazione d'impatto sulla protezione dei dati (DPIA) e per un'eventuale consultazione preventiva dell'autorità di controllo, nella misura in cui queste riguardino i Servizi e sulla base delle informazioni di cui JAAN BV dispone.

Articolo 12 – Informazioni e audit

12.1 Su richiesta, JAAN BV mette a disposizione del Cliente tutte le informazioni ragionevolmente necessarie per dimostrare il rispetto dell'articolo 28 del GDPR e del presente Accordo sul trattamento dei dati, tra cui la descrizione delle misure di cui all'Allegato B e, se disponibili, certificazioni o rapporti di audit di terzi.

12.2 Se tali informazioni non sono ragionevolmente sufficienti, il Cliente, o un revisore indipendente da esso incaricato e vincolato alla riservatezza, può eseguire un audit al massimo una volta all'anno, con un preavviso scritto di almeno trenta (30) giorni, durante l'orario d'ufficio e senza perturbare l'erogazione dei servizi ad altri clienti né accedere ai loro dati. In caso di sospetta Violazione dei Dati o su ordine dell'autorità di controllo si applica un termine più breve.

12.3 Ciascuna parte sostiene i propri costi. Se l'audit richiede più di una giornata lavorativa di JAAN BV, JAAN BV può addebitare il tempo aggiuntivo alla propria tariffa oraria abituale, salvo che l'audit riveli una violazione da parte di JAAN BV.

Articolo 13 – Restituzione e cancellazione

13.1 Per la durata del contratto il Cliente può sempre esportare autonomamente i propri dati tramite il Servizio (backup, dump di database, esportazioni di liste di contatti e log dei messaggi) oppure richiedere un'esportazione alla tariffa in vigore.

13.2 Al termine del Contratto Principale, o del Servizio interessato, JAAN BV cancella tutti i Dati Personali del Cliente, compresi i backup secondo la loro normale rotazione, entro novanta (90) giorni, salvo che il Cliente ne chieda per iscritto la restituzione prima di tale data o che si applichi un obbligo legale di conservazione. Su richiesta, JAAN BV conferma per iscritto la cancellazione.

Articolo 14 – Responsabilità

14.1 Al presente Accordo sul trattamento dei dati si applica il regime di responsabilità del Contratto Principale, fatti salvi l'articolo 82 del GDPR e le disposizioni imperative del GDPR alle quali non è possibile derogare contrattualmente.

Articolo 15 – Durata

15.1 Il presente Accordo sul trattamento dei dati resta in vigore finché JAAN BV tratta Dati Personali del Cliente e cessa automaticamente dopo la cancellazione o la restituzione di cui all'articolo 13.

Articolo 16 – Legge applicabile e foro competente

16.1 Il presente Accordo sul trattamento dei dati è disciplinato dal diritto belga. Sono competenti in via esclusiva i tribunali del circondario delle Fiandre Orientali, sezione di Gand, fatto salvo il diritto del Cliente e degli interessati di presentare reclamo all'Autorità belga per la protezione dei dati (GBA/APD).

Allegato A – Descrizione del trattamento per Servizio

Comune a tutti i Servizi: la durata del trattamento corrisponde alla durata del Contratto Principale più il termine di cancellazione di cui all'articolo 13; il trattamento comprende archiviazione, trasmissione, backup e gestione tecnica; non sono previste categorie particolari di dati personali, salvo che il Cliente stesso le tratti tramite il Servizio, assumendosene la responsabilità.

Allegato B – Misure tecniche e organizzative

B.1 Generale (tutti i Servizi)

• Sedi: tutti i sistemi si trovano in Belgio, presso LCL Datacenter a Diegem e nel datacenter di JAAN BV a Zelzate. Il datacenter di JAAN BV a Zelzate è protetto da un controllo degli accessi limitato al personale autorizzato, da videosorveglianza e da un sistema di allarme. LCL Datacenter a Diegem è un centro di colocation professionale con sorveglianza 24/7, controllo degli accessi, protezione antincendio e alimentazione e raffreddamento ridondanti.
• Rete: firewall a livello di infrastruttura e di hypervisor; isolamento di rete tra gli ambienti dei clienti (Proxmox VE); traffico di gestione separato dal traffico dei clienti; traffico da e verso i Servizi cifrato con TLS.
• Gestione degli accessi: account personali con privilegi minimi; accesso amministrativo esclusivamente tramite VPN e chiavi SSH; revisione periodica dei diritti di accesso; revoca immediata alla cessazione del rapporto di lavoro; monitoraggio continuo antifrode e antiabuso sul gateway Smsbox con blocco degli accessi sospetti.
• Continuità: database in replica master-master su due sedi; backup giornalieri con un periodo di conservazione di quattordici (14) giorni su un server di backup separato.
• Gestione delle patch: gli aggiornamenti di sicurezza dei sistemi operativi e del software di piattaforma vengono applicati settimanalmente; le vulnerabilità critiche immediatamente dopo la disponibilità di una patch.
• Logging e monitoraggio: i log di sistema, di accesso e applicativi sono limitati, per ciascuna applicazione, a quanto necessario per la sicurezza, la diagnosi degli errori e gli obblighi di legge (si veda l'Allegato E); monitoraggio della disponibilità e dei comportamenti anomali.
• Malware e spam: filtraggio antivirus e antispam sull'infrastruttura di posta; prevenzione automatizzata delle intrusioni con firewall, fail2ban e rilevamento delle frodi; JAAN BV impiega tutti i mezzi ragionevoli per garantire la massima sicurezza della propria infrastruttura e, per motivi di sicurezza, non rende pubblici gli specifici strumenti di rilevamento.
• Personale: obbligo di riservatezza nei contratti di lavoro e di prestazione di servizi; principio need-to-know.
• Gestione degli incidenti: procedura documentata per l'accertamento, il contenimento e la notifica degli incidenti di sicurezza (si veda l'articolo 10); gli incidenti significativi sono notificati al Centre for Cybersecurity Belgium conformemente alla legge NIS2 del 26 aprile 2024; meccanismo di segnalazione dei contenuti illegali conformemente al Digital Services Act.
• Cancellazione: cancellazione sicura dei supporti di dati alla loro dismissione; cancellazione dei dati dei clienti secondo l'articolo 13.

B.2 Web hosting

• Separazione degli account dei clienti a livello di sistema operativo e di server web (account SiteWorx con utente proprio).
• Traffico di posta protetto con TLS, supporto SPF/DKIM/DMARC; rilevamento automatizzato di malware e script dannosi negli account dei clienti, con notifica al Cliente in caso di riscontro.

B.3 VPS e server dedicati

• VPS: isolamento completo delle macchine virtuali sull'hypervisor. Server dedicato: server fisico ad uso esclusivo del Cliente, nel datacenter di JAAN BV.
• Unmanaged: il Cliente gestisce autonomamente il sistema operativo e i dati ed è responsabile della sicurezza all'interno del VPS.
• Managed: JAAN BV gestisce il sistema operativo secondo le misure di cui al punto B.1 (aggiornamenti di sicurezza settimanali, firewall, fail2ban, monitoraggio, accesso amministrativo tramite VPN e chiavi SSH). L'accesso amministrativo è utilizzato solo per manutenzione, sicurezza e assistenza su richiesta del Cliente; il Cliente resta responsabile delle proprie applicazioni e dei propri dati.
• I backup dell'intero server (giornalieri o settimanali, su un server di backup separato) e, per i VPS, gli snapshot del disco (1 o 2 volte al giorno, sull'hypervisor) sono opzioni distinte per i server managed e unmanaged; vengono conservati di volta in volta gli ultimi quattro (4). In assenza di tali opzioni, il Cliente provvede autonomamente ai propri backup.

B.4 Smsbox

• Accesso con account personali; supporto per passkey/WebAuthn; sessioni protette; accesso API con chiavi per account.
• Content Security Policy con nonce; tutte le connessioni tramite HTTPS.
• Messaggi vocali: solo in uscita, generati dal testo al momento dell'invio; non vengono effettuate registrazioni audio del destinatario né conservati file audio; vengono conservati soltanto il testo, il numero e lo stato della chiamata, per lo stesso periodo previsto per gli SMS.
• L'opt-out tramite STOP è possibile soltanto se il Cliente ha attivato la possibilità di risposta; l'invio avviene allora tramite lo shortcode 8676 (Belgio) noleggiato da JAAN BV e le risposte STOP vengono inserite automaticamente in una lista di blocco per account. In tutti gli altri casi le richieste STOP, nella misura in cui l'operatore mobile del destinatario lo supporta, sono trattate e gestite da tale operatore stesso; tali liste non sono accessibili a JAAN BV. Il Cliente prevede inoltre autonomamente una possibilità di disiscrizione nei propri messaggi. Minimizzazione dei dati: vengono conservati soltanto numero, contenuto, stato e orario.
• Il contenuto dei messaggi, i rapporti di consegna e i relativi log sono conservati per tredici (13) mesi e successivamente cancellati o anonimizzati automaticamente (si veda l'Allegato E); la conservazione presso i Servizi di Trasmissione è impostata per il periodo più breve possibile.

B.5 2mail

• Invio tramite l'infrastruttura Postfix propria di JAAN BV con TLS; rate limiting per dominio e warm-up degli IP; SPF, DKIM e DMARC.
• Gestione automatica di bounce e reclami; le disiscrizioni vengono inserite immediatamente in una blocklist sincronizzata con i server di posta.
• I dati di tracciamento (aperture, clic) sono conservati secondo l'Allegato E; le liste di contatti vengono cancellate non appena il Cliente le elimina o secondo l'articolo 13.

Allegato C – Subresponsabili del trattamento

Il presente elenco contiene i Subresponsabili del trattamento ai sensi dell'articolo 2.3. Non vi figurano i fornitori di Servizi di Trasmissione (articoli 2.4 e 7.6) né i licenzianti di software (articolo 7.5). Il presente elenco costituisce un'informazione aziendale riservata e può essere utilizzato soltanto ai fini del rispetto del GDPR da parte del Cliente.

I fornitori di connettività dei datacenter (Destiny, Telenet) forniscono esclusivamente trasporto internet e non sono Subresponsabili del trattamento. Google Analytics è utilizzato soltanto sui siti web pubblici di JAAN BV, per i quali JAAN BV stessa è titolare del trattamento, e non nei portali clienti. Ultimo aggiornamento: 24 ottobre 2026.

Allegato D – Chiarimenti sui Servizi di Trasmissione

Perché gli operatori di telecomunicazioni, gli aggregatori SMS e i server di posta riceventi non figurano nell'elenco dei Subresponsabili del trattamento?

Un messaggio che il Cliente invia tramite Smsbox o 2mail deve essere recapitato fisicamente sulla rete mobile o nella casella di posta del destinatario. A tal fine il messaggio transita su reti di terzi: gli operatori di telecomunicazioni e i loro aggregatori per gli SMS, la piattaforma di Meta per WhatsApp e il server di posta del destinatario (ad esempio Microsoft, Google o il server di posta proprio di un'azienda) per le e-mail.

Questi soggetti non trattano il contenuto del messaggio per conto del Cliente. Si limitano a inoltrarlo, come la posta recapita una lettera. Gli operatori di telecomunicazioni sono inoltre vincolati dal segreto delle telecomunicazioni e non possono prendere visione del contenuto. I server di posta riceventi sono gestiti dal destinatario o dal suo fornitore, al di fuori di qualsiasi istruzione del Cliente o di JAAN BV. Essi agiscono pertanto come mero canale di trasmissione o come titolari autonomi del trattamento per la propria rete, e non come responsabili o subresponsabili del trattamento ai sensi dell'articolo 28 del GDPR. Questo approccio è consueto nel settore dei servizi di comunicazione.

Meta (WhatsApp Business Platform) costituisce un'eccezione: Meta conserva e tratta i messaggi sulla propria piattaforma su incarico dell'utente aziendale ed è pertanto indicata come Subresponsabile del trattamento nell'Allegato C.

La scelta degli instradamenti di trasmissione per destinazione è un segreto commerciale di JAAN BV e non fa parte delle informazioni fornite ai sensi del presente Accordo sul trattamento dei dati. JAAN BV garantisce che ogni fornitore utilizzato è vincolato dal segreto delle telecomunicazioni o da obblighi contrattuali di riservatezza e che i messaggi diretti a destinatari all'interno del SEE sono recapitati tramite fornitori situati nel SEE.

Allegato E – Periodi di conservazione

Questi periodi si applicano ai Dati Personali del Cliente per la durata del contratto. Al termine del Servizio si applica l'articolo 13 (cancellazione entro 90 giorni). Gli stessi periodi sono riportati su jaan.be/data-retentie.