Accordo sul trattamento dei dati

Versione: 12 ottobre 2026

tra

il cliente indicato nel Contratto principale, quale titolare del trattamento

e

Essential Code GmbH, Glücksallee 8/Top 1, 3012 Wolfsgraben, Austria, numero FN 605928x, iscritta presso il tribunale regionale di St. Pölten, quale responsabile del trattamento

1. Rapporto con il Contratto principale

1.1 Il presente Accordo disciplina il trattamento di dati personali svolto dal responsabile per conto del titolare in relazione a Glasswise. Integra il contratto per l’uso di Glasswise e i termini applicabili, congiuntamente il «Contratto principale».

1.2 Specifica gli obblighi dell’articolo 28 del regolamento (UE) 2016/679, «GDPR», e della legge austriaca sulla protezione dei dati, «DSG». In caso di contrasto sul trattamento dei dati personali prevale il presente Accordo.

1.3 Quando una parte tratta dati per finalità proprie, per tale trattamento agisce nel proprio ruolo ai sensi della normativa sulla protezione dei dati.

2. Oggetto e durata

2.1 L’oggetto è la fornitura di software per etichette digitali del vino, codici QR e GS1 Digital Links, con le relative funzioni di hosting, gestione degli account, assistenza, messaggi operativi, generazione di documenti, reindirizzamento e analisi dell’utilizzo.

2.2 Il trattamento inizia con l’attivazione del servizio e continua fino alla cessazione del Contratto principale. Gli obblighi che per loro natura devono sopravvivere, inclusi riservatezza, restituzione, cancellazione, prova e responsabilità, restano efficaci.

3. Natura e finalità del trattamento

3.1 I dati sono trattati solo nella misura necessaria a fornire, proteggere, mantenere e supportare Glasswise. Le operazioni includono raccolta, registrazione, organizzazione, conservazione, consultazione, uso, trasmissione, messa a disposizione, raffronto, limitazione e cancellazione.

3.2 Le finalità comprendono in particolare:

• gestione di account, organizzazioni, ruoli e autorizzazioni
• creazione e distribuzione di etichette digitali, destinazioni QR, GS1 Digital Links e schede tecniche
• reindirizzamenti e registrazione degli accessi tecnicamente necessaria
• invio di messaggi transazionali e di servizio
• analisi degli errori, sicurezza, prevenzione degli abusi e assistenza
• condivisione dei dati pubblicati delle etichette elettroniche con E-Label Atlas, la banca dati condivisa di etichette elettroniche gestita da Essential Code, come parte del servizio quando attivata dal titolare

3.3 Il trattamento per finalità proprie del responsabile non rientra nel presente Accordo e richiede una base giuridica distinta e informazioni trasparenti.

4. Interessati e categorie di dati

4.1 Gli interessati possono includere personale, organi, incaricati e altri utenti del titolare; partner commerciali, imbottigliatori, produttori, importatori, distributori e loro contatti; persone che accedono alle etichette o ai link; persone che chiedono assistenza o sono citate nei contenuti forniti.

4.2 I dati possono comprendere:

• dati identificativi e di contatto quali nome, indirizzo email aziendale, numero di telefono, impresa e funzione
• dati di account, organizzazione cliente, ruolo e autorizzazione
• dati relativi a prodotto, vino, annata, ingredienti, valori nutrizionali, origine, operatore ed etichettatura, ove personali
• dati di link, codici QR, accesso e utilizzo quali ora, destinazione, referrer, paese, tipo di dispositivo e metadati del browser e della rete
• dati relativi a messaggi, assistenza, errori e log
• identificativi tecnici, identificativi di servizi esterni e dati di abbonamento e stato
• file, immagini e contenuti per schede tecniche caricati dal titolare

4.3 Non sono previste categorie particolari ai sensi dell’articolo 9 GDPR né dati ai sensi dell’articolo 10 GDPR. Tali dati non devono essere trasmessi senza previo accordo scritto.

5. Istruzioni e obblighi del titolare

5.1 Il responsabile tratta i dati solo su istruzioni documentate, salvo diverso obbligo del diritto dell’Unione o austriaco. Se consentito, informa il titolare prima di tale trattamento.

5.2 Il Contratto principale, l’uso delle funzioni previste, le richieste di assistenza e le indicazioni scritte costituiscono istruzioni documentate. Un ampliamento sostanziale di servizio, impegno o rischio può richiedere un accordo separato.

5.3 Se ritiene illecita un’istruzione, il responsabile informa prontamente il titolare e può sospenderla fino al chiarimento.

5.4 Il titolare risponde di liceità, trasparenza, minimizzazione, esattezza, basi giuridiche, consensi e risposte agli interessati. Concede accesso solo a persone autorizzate e non trasmette i dati esclusi dalla clausola 4.3.

6. Obblighi del responsabile e riservatezza

6.1 Le persone autorizzate sono vincolate alla riservatezza o a un adeguato obbligo legale. L’obbligo continua dopo la fine del loro incarico.

6.2 Il responsabile attua e mantiene tutte le misure tecniche e organizzative richieste dall’articolo 32 GDPR. L’Allegato 2 descrive l’attuazione attualmente verificata nella configurazione o nel codice e non limita tale obbligo basato sul rischio. L’accesso è limitato a quanto necessario per operazioni, sicurezza e assistenza.

6.3 Considerata la natura del trattamento e le informazioni disponibili, il responsabile presta assistenza per gli articoli da 32 a 36 GDPR e gli obblighi DSG applicabili.

6.4 Ove lecito, le richieste delle autorità relative ai dati del titolare sono rinviate al titolare. Il titolare è informato prima di una divulgazione obbligatoria se la legge lo permette.

7. Diritti degli interessati e valutazione d’impatto

7.1 Con misure adeguate, il responsabile assiste nelle richieste di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione.

7.2 Una richiesta ricevuta direttamente e relativa ai dati del titolare è inoltrata senza ingiustificato ritardo. Il responsabile non risponde per conto del titolare senza istruzioni documentate.

7.3 Su richiesta ragionevole, fornisce le informazioni disponibili per valutazioni d’impatto e consultazioni preventive. Il lavoro aggiuntivo eccezionale può essere addebitato previo accordo, salvo che derivi da una violazione del responsabile.

8. Violazioni dei dati personali

8.1 Una violazione che incide sui dati del titolare è notificata senza ingiustificato ritardo e non oltre 48 ore da quando il responsabile ne è venuto a conoscenza. Un’indagine non completata non rinvia la notifica iniziale.

8.2 Per quanto disponibile, la notifica descrive incidente, dati e persone coinvolte, probabili conseguenze, misure adottate o proposte e un contatto. Le informazioni mancanti seguono senza ingiustificato ritardo.

8.3 Sono adottate misure ragionevoli di contenimento, rimedio e indagine e l’incidente è documentato. La notifica non costituisce ammissione di violazione o responsabilità.

9. Sub-responsabili

9.1 Il titolare concede l’autorizzazione generale ai sub-responsabili dell’Allegato 1.

9.2 Il responsabile comunica aggiunte o sostituzioni con almeno 30 giorni di anticipo. Il titolare può opporsi per ragionevoli motivi di protezione dei dati entro 14 giorni dal ricevimento.

9.3 Le parti cercano una soluzione ragionevole. Se non è possibile, il responsabile può non fornire la funzione interessata o il titolare può risolvere per giusta causa la componente interessata. Gli altri diritti restano invariati.

9.4 Il responsabile vincola ogni sub-responsabile, mediante contratto o altro atto giuridico consentito dal diritto dell’Unione o di uno Stato membro, agli stessi obblighi applicabili di protezione dei dati, comprese le misure tecniche e organizzative adeguate ai sensi dell’articolo 32 GDPR. Il responsabile rimane pienamente responsabile verso il titolare ai sensi dell’articolo 28, paragrafo 4, GDPR.

10. Trattamento fuori dal SEE

10.1 Un trasferimento verso un paese terzo o un’organizzazione internazionale richiede istruzioni documentate e il rispetto del capo V GDPR. Quando il diritto dell’Unione o austriaco impone il trattamento, si applica la clausola 5.1 e i requisiti di trasferimento applicabili restano impregiudicati.

10.2 In assenza di decisione di adeguatezza si usa uno strumento consentito, in particolare le clausole contrattuali standard della Commissione europea, con misure supplementari adeguate se necessarie.

10.3 Prima del trasferimento, le parti determinano in base ai ruoli effettivi il modulo corretto delle clausole contrattuali standard e le parti contraenti. Il responsabile conclude direttamente le clausole come esportatore dei dati quando sono richieste per un trasferimento tra responsabili. Agisce in nome del titolare solo quando il modulo corretto lo richiede e il titolare ha documentato separatamente la propria autorizzazione. Le informazioni sullo strumento sono fornite su richiesta, nel rispetto di riservatezza e sicurezza.

11. Restituzione e cancellazione

11.1 Al termine dei servizi, il responsabile restituisce i dati in un formato comune disponibile o li cancella, a scelta del titolare. Dopo la restituzione cancella tutte le copie rimanenti, comprese quelle detenute dai sub-responsabili, salvo obbligo di conservazione del diritto dell’Unione o austriaco.

11.2 La restituzione o l’esportazione resta disponibile durante il periodo di transizione e per l’intero periodo di recupero applicabile. La cancellazione avviene solo dopo che sono state soddisfatte le garanzie applicabili al recupero, fatti salvi gli obblighi legali di conservazione e le istruzioni lecite e documentate del titolare.

11.3 I dati conservati per legge e le copie di backup che rimangono temporaneamente fino alla fine del loro ciclo confermato sono limitati, protetti dal riutilizzo e trattati solo per la finalità di conservazione o ripristino applicabile.

12. Prove e audit

12.1 Il responsabile mette a disposizione le informazioni ragionevolmente necessarie a dimostrare il rispetto dell’articolo 28 GDPR.

12.2 Il responsabile consente e contribuisce agli audit e alle ispezioni necessari svolti dal titolare o da un revisore indipendente vincolato alla riservatezza. Nel normale svolgimento dell’attività è previsto un audit per anno; sono consentiti audit aggiuntivi in caso di sospetto ragionevole, incidente rilevante, richiesta dell’autorità o altra necessità di dimostrare la conformità. La verifica documentale e le relazioni disponibili sono utilizzate per prime ove possibile.

12.3 L’audit è normalmente comunicato due settimane prima, svolto in orario di lavoro e non deve compromettere irragionevolmente operazioni, sicurezza, altri clienti o informazioni riservate. I costi sono del titolare salvo accertamento di una violazione sostanziale del responsabile. Tali modalità non devono impedire né ritardare irragionevolmente diritti legali di audit effettivi o ispezioni urgenti dell’autorità.

12.4 Il responsabile informa il titolare se ritiene che un audit o un’istruzione violi la normativa sulla protezione dei dati.

13. Responsabilità e ordine di prevalenza

13.1 La responsabilità è disciplinata dall’articolo 82 GDPR e, ove lecito, dalle disposizioni del Contratto principale. I diritti inderogabili degli interessati e i poteri delle autorità restano invariati.

13.2 Nessuna disposizione limita una responsabilità che la legge applicabile non consente di limitare.

14. Legge, foro e disposizioni finali

14.1 Si applica il diritto austriaco, escluse le norme di conflitto e la Convenzione ONU sulla vendita internazionale di beni.

14.2 Nella misura consentita, ha competenza esclusiva il tribunale competente per materia di St. Pölten, Austria.

14.3 Le modifiche richiedono forma testuale. L’invalidità di una disposizione non pregiudica le altre. Le parti la sostituiscono con una disposizione valida che ne realizzi il più possibile la finalità commerciale e di protezione dei dati.

Allegato 1: Sub-responsabili approvati

Fornitore	Finalità	Dati	Luogo o regione e base del trasferimento
Nhost AB, Tallåsstigen 4, 141 71 Segeltorp, Svezia	Autenticazione, database, archiviazione oggetti, backend e funzioni	Account, organizzazioni, ruoli, prodotti, contenuti, file e log	Endpoint di produzione eu-central-1, Francoforte; i trasferimenti fuori dal SEE richiedono il previo consenso scritto e si basano sulle clausole contrattuali standard dell’UE, salvo diverso accordo
Vercel, Inc.	Hosting dell’amministrazione e distribuzione delle etichette	Richieste, log, identificativi tecnici e contenuto distribuito	Regione fra1, Francoforte; possibile elaborazione globale per assistenza e sicurezza con garanzie adeguate, in particolare clausole standard
Dub Technologies, Inc., 2261 Market Street STE 5906, San Francisco, CA 94114, Stati Uniti	Link brevi, reindirizzamenti, regole geografiche e statistiche	URL, identificativi del link e tenant, paese, dispositivo e metadati della richiesta	Stati Uniti e altri paesi in cui operano Dub o i suoi sub-responsabili; ai trasferimenti verso paesi privi di decisione di adeguatezza si applicano le clausole contrattuali standard dell’UE
AC PM LLC, 1 North Dearborn Street, 5th floor, Chicago, IL 60602, Stati Uniti, Postmark	Email transazionali e di servizio	Indirizzo, nome, contenuto, dati del modello ed eventuali allegati	Dati e server principali nel data center Deft nei pressi di Chicago e presso Amazon Web Services; quadro UE-USA per la protezione dei dati, integrato ove necessario dalle clausole contrattuali standard dell’UE per i trasferimenti regolamentati
PostHog Inc., 2261 Market St., #4008, San Francisco, CA 94114, Stati Uniti	Analisi del prodotto e diagnosi degli errori su istruzioni del titolare; il trattamento per finalità proprie del responsabile non è coperto da questa autorizzazione	Identificativi utente e tenant, email, nome, eventi di pagina e uso, contesto dell’errore	Endpoint UE eu.i.posthog.com; i dati con hosting nell’UE sono archiviati e trattati in Germania; quadro UE-USA per la protezione dei dati e clausole contrattuali standard dell’UE
Gleap GmbH, Am Dorfplatz 3, 6858 Schwarzach, Austria	Assistenza, feedback e diagnosi su istruzioni del titolare; il trattamento per finalità proprie del responsabile non è coperto da questa autorizzazione	Identificativo, nome, email, contenuto di assistenza, abbonamento e stato	Hosting dei contenuti dei clienti a Francoforte, Germania, o NYC3, New York, Stati Uniti, secondo la regione scelta; altri trattamenti possono avvenire fuori dalla regione scelta
Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, Stati Uniti	Turnstile contro bot e abusi	IP, browser, dispositivo, richiesta e dati challenge	Le informazioni sono archiviate principalmente negli Stati Uniti e nel SEE e possono essere consultate a livello globale; quadro UE-USA per la protezione dei dati, sostituito dalle clausole contrattuali standard con misure supplementari se la certificazione perde validità
PDFMonkey, 49 rue de Ponthieu, Lot 41, 75008 Paris, Francia	Generazione di schede PDF	Prodotto, vino, operatore, immagini e documenti, ove personali	Server applicativi, archiviazione dei file e generazione dei documenti a Parigi, Francia; database a Francoforte, Germania

Allegato 2: Misure tecniche e organizzative

Sono elencate solo misure verificabili nella configurazione o nel codice attuali. Non si dichiara alcuna certificazione.

1. Cifratura in transito: gli endpoint pubblici di applicazione, API, archiviazione e webhook usano HTTPS.
2. Autenticazione: per gli account con email e password, Nhost è configurato per richiedere la verifica email e una password di almeno nove caratteri. Sono configurati token di accesso brevi e token di aggiornamento separati.
3. Autorizzazione e separazione dei tenant: i permessi considerano ruoli, appartenenza agli account e tenant. Le azioni privilegiate usano permessi lato server.
4. Protezione della produzione: la modalità sviluppo di Hasura è disattivata e l’origine CORS configurata per Hasura è l’applicazione di amministrazione.
5. Prevenzione degli abusi: Turnstile e limiti delle richieste sono configurati per i flussi di autenticazione.
6. Integrità delle chiamate esterne: gli eventi in ingresso usano firme o segreti condivisi quando previsti. Gli input sono verificati rispetto a schemi definiti.
7. Configurazione regionale: il backend di produzione è in eu-central-1; amministrazione e applicazione etichette usano fra1.
8. Riservatezza e accesso minimo: la clausola 6 impone riservatezza e necessità alle persone con accesso amministrativo.

Le misure non elencate qui sono disciplinate dall’obbligo basato sul rischio di cui alla clausola 6.2 e non sono presentate come caratteristiche contrattuali verificate separatamente.