La versione tedesca è legalmente vincolante.

Accordo sul trattamento dei dati per conto del titolare (art. 28 GDPR)

Versione 2026-10, aggiornata al 13 ottobre 2026.

Il presente accordo (di seguito «ADV», Auftragsverarbeitungsvertrag) si applica tra il Cliente e il fornitore di todo.monster indicato nelle note legali (Impressum). Il Cliente è il titolare del trattamento (art. 4, n. 7, GDPR): decide quali dati finiscono in todo.monster e per quale scopo. Il Fornitore è il responsabile del trattamento (art. 4, n. 8, GDPR): memorizza e tratta tali dati esclusivamente per conto del Cliente. Chi siano le parti e chi le rappresenti risulta dal contratto di utilizzo di todo.monster (di seguito «Contratto principale»: le Condizioni generali di contratto con il piano sottoscritto oppure un accordo pilota).

Ambito di applicazione e ordine di prevalenza

(1) todo.monster è destinato esclusivamente a imprenditori (§ 14 BGB, codice civile tedesco). Il presente ADV viene concluso al momento della registrazione insieme alle Condizioni generali di contratto. Si applica non appena nei progetti, nelle aree aziendali, nelle caselle di posta o nei calendari del Cliente sono presenti dati di altre persone, ad esempio il nome di un potenziale cliente in un'attività, una fornitrice come mittente di un'e-mail o i partecipanti a un appuntamento. Se il Cliente vi tratta soltanto dati propri, il presente ADV non fa sorgere alcun obbligo.

(2) Per alcuni aspetti il Fornitore è esso stesso titolare del trattamento e non responsabile: per l'account utente di ogni singola persona, l'accesso, la fatturazione, i registri dei consensi, la sicurezza e la prevenzione degli abusi del Servizio, il programma pilota e di onboarding e le e-mail di sistema ai titolari degli account. Tali trattamenti non rientrano nell'incarico; sono descritti nell'informativa sulla privacy.

(3) In caso di contrasto tra il presente ADV e il Contratto principale, nelle questioni di protezione dei dati prevale il presente ADV. Un accordo pilota può integrare il presente ADV, ma non attenuare alcun obbligo da esso derivante.

(4) Fa fede esclusivamente la versione tedesca. Le traduzioni servono alla comprensione; in caso di divergenze prevale il testo tedesco.

(5) Il Cliente conclude il presente ADV in forma elettronica (art. 28, par. 9, GDPR) confermandolo al momento della registrazione. Se in seguito sottoscrive un piano aziendale o un accordo pilota, conferma nuovamente la versione allora in vigore. Per ogni conferma il Fornitore memorizza la versione, la data e l'ora e un checksum del testo confermato.

§ 1 Oggetto e durata

(1) Il Fornitore mette a disposizione del Cliente todo.monster come software tramite Internet. Ne fanno parte: attività e progetti, registrazione dei tempi, commenti e allegati, caselle di posta aziendali nonché caselle di posta e calendari collegati dal Cliente o dai suoi utenti, notifiche, la conversione IA di un'e-mail in un'attività (solo se avviata da un utente) e le segnalazioni di errore con schermata. Trattare significa in questo contesto: memorizzare, visualizzare, trasmettere alle controparti scelte dal Cliente (ad esempio inviare una risposta tramite la casella di posta collegata), eseguire il backup, spostare nel cestino e fornire assistenza nel supporto. Che cosa accade esattamente con quali dati è indicato nell'Allegato A.

(2) Il presente ADV ha la stessa durata del Contratto principale. Termina solo quando i dati sono stati restituiti o eliminati ai sensi del § 11.

§ 2 Natura e finalità del trattamento, tipi di dati, interessati

Che cosa il Fornitore faccia con quali dati, per quale finalità, di quali tipi di dati si tratti e quali persone siano interessate è indicato nell'Allegato A, ordinato secondo le funzioni del Servizio.

§ 3 Istruzioni

(1) Il Fornitore tratta i dati del Cliente esclusivamente per erogare il Servizio conformemente al contratto e solo nel modo in cui il Cliente lo dispone tramite il presente accordo, le AGB e l'utilizzo del Servizio. Ogni inserimento, impostazione e attivazione di funzione nel Servizio vale come istruzione. Solo se una legge dell'UE o della Germania obbliga il Fornitore a un trattamento diverso, ad esempio alla consegna a un'autorità o alla conservazione dei dati di fatturazione, egli può discostarsene. In tal caso ne informa preventivamente il Cliente, salvo che la legge lo vieti.

(2) Sono istruzioni, ad esempio: creare, modificare o eliminare un'attività; invitare un membro o un ospite; collegare una casella di posta o un calendario di un fornitore terzo; avviare la funzione IA per una singola e-mail; inviare una segnalazione di errore con schermata; avviare un'esportazione dei dati. Il Fornitore esegue allora esattamente ciò che la funzione promette, e nulla di più.

(3) Se il Cliente desidera qualcosa che nessuna funzione del Servizio copre, ad esempio il ripristino di un progetto che non trova più nel cestino, invia l'istruzione in forma testuale a support@todo.monster. Le istruzioni sono impartite dal Cliente stesso; per un'azienda in todo.monster dal suo titolare e dagli amministratori designati nella gestione aziendale. Il Fornitore conferma la ricezione e registra che cosa ha eseguito e quando.

(4) Ripristino: i progetti, i moduli, le attività, le caselle di posta e i calendari eliminati restano nel cestino per il termine indicato nell'Allegato B, punto 3. Lì il Cliente e i suoi utenti autorizzati li recuperano autonomamente. Se il Cliente chiede al Fornitore un ripristino, si tratta di un'istruzione ai sensi del comma 3. Il Fornitore la esegue se i dati sono tecnicamente ancora disponibili; non può promettere un termine o un esito. Quali dati il Fornitore veda in tale occasione è indicato nell'Allegato B, punto 5.

(5) Se il Fornitore ritiene che un'istruzione violi il GDPR o un'altra legge sulla protezione dei dati, lo comunica immediatamente al Cliente. Finché il Cliente non conferma o modifica l'istruzione, il Fornitore può lasciarla ineseguita.

§ 4 Obblighi del Cliente

(1) Il Cliente è responsabile del fatto di poter trattare i dati in generale: gli occorre una base giuridica, informa gli interessati e risponde alle loro richieste. Esempio: se un dipendente del Cliente crea un'attività con il nome e il numero di telefono di un potenziale cliente, è il Cliente a dover giustificare ciò nei confronti del potenziale cliente, non il Fornitore.

(2) Se il Cliente gestisce un'azienda in todo.monster, assegna autonomamente i ruoli (titolare, amministratore, membro, ospite) e li revoca quando qualcuno esce. Comunica ai propri utenti che i loro contenuti nelle aree aziendali appartengono all'azienda.

(3) Se il Cliente o uno dei suoi utenti collega una casella di posta o un calendario di un fornitore terzo, ad esempio un account Microsoft, il Cliente ha scelto tale destinatario. Egli è responsabile del fatto che i dati possano esservi trasmessi, anche se il fornitore terzo li tratta al di fuori dello Spazio economico europeo (§ 13, comma 3).

(4) La funzione IA converte un'e-mail in un'attività solo se un utente lo avvia per esattamente quell'e-mail; ogni utente può disattivare la funzione per sé. Il Cliente decide se i propri utenti possono utilizzarla e risponde della base giuridica nei confronti dei propri utenti e dei mittenti delle e-mail. Il Fornitore descrive il proprio ruolo in merito nell'informativa sulla privacy.

(5) Non sono destinati a todo.monster le categorie particolari di dati (art. 9 GDPR, ad esempio dati sanitari), i dati relativi a reati (art. 10 GDPR) e i dati coperti da segreto professionale (§ 203 StGB, codice penale tedesco, ad esempio i fascicoli dei clienti di uno studio legale). Se il Cliente intende comunque far trattare tali dati, lo concorda preventivamente con il Fornitore in forma testuale.

(6) Il Cliente mantiene aggiornato l'indirizzo e-mail del proprio account, nel caso di un'azienda quello del titolare dell'azienda. A tale indirizzo vengono inviate le comunicazioni di cui ai §§ 7 e 10.

§ 5 Riservatezza

Tutte le persone che presso il Fornitore possono avere a che fare con i dati del Cliente sono vincolate per iscritto alla riservatezza o soggette a un obbligo legale di segretezza (art. 28, par. 3, lett. b), GDPR). L'obbligo permane anche dopo la cessazione della loro attività. Esse accedono comunque ai contenuti del Cliente solo nei casi indicati tassativamente nell'Allegato B, punto 5.

§ 6 Misure tecniche e organizzative

(1) Il Fornitore protegge i dati con le misure di cui all'Allegato B (art. 32 GDPR), ad esempio mediante la memorizzazione cifrata dei testi delle attività e mediante un modello di ruoli che verifica ogni richiesta lato server. Tali misure costituiscono lo standard minimo su cui le parti si accordano al momento della conclusione del contratto.

(2) Il Fornitore può sviluppare ulteriormente le misure, purché la protezione non ne risulti peggiorata. Le modifiche sostanziali vengono registrate; la versione di volta in volta aggiornata dell'Allegato B è pubblicata su questa pagina.

§ 7 Sub-responsabili del trattamento

(1) Il Fornitore può avvalersi delle imprese indicate nell'Allegato C, sezione 1, ad esempio l'hoster presso cui è in esecuzione la banca dati. Con la registrazione il Cliente approva tale elenco (autorizzazione generale, art. 28, par. 2, GDPR).

(2) Se il Fornitore intende aggiungere un'ulteriore impresa o sostituirne una, ne dà preventiva comunicazione al Cliente tramite e-mail di sistema all'indirizzo di cui al § 4, comma 6, e aggiorna l'Allegato C. Il Cliente ha 30 giorni dalla ricezione per opporsi in forma testuale per motivi di protezione dei dati. Prima di allora il cambiamento non ha effetto nei suoi confronti.

(3) Se il Cliente si oppone, può recedere dal Contratto principale con effetto alla data in cui il cambiamento diventa efficace. La restituzione e l'eliminazione sono disciplinate dal § 11.

(4) Anche il cambio del servizio che fornisce il modello linguistico per la funzione IA costituisce un cambiamento ai sensi del comma 2, anche se a tal fine il Fornitore modifica soltanto un'impostazione.

(5) Il Fornitore impone per contratto a ciascun sub-responsabile gli stessi obblighi in materia di protezione dei dati che egli stesso ha in base al presente ADV, in particolare misure di protezione sufficienti (art. 28, par. 4, GDPR). Se un sub-responsabile omette qualcosa, il Fornitore ne risponde nei confronti del Cliente come per un'omissione propria.

(6) Non sono sub-responsabili i destinatari di cui all'Allegato C, sezione 2, che non ricevono dati dall'incarico, e i servizi di cui all'Allegato C, sezione 3, che il Cliente o i suoi utenti collegano autonomamente.

§ 8 Assistenza per i diritti degli interessati

(1) Se una persona chiede al Cliente l'accesso, la rettifica, la cancellazione, la limitazione o la portabilità dei propri dati o si oppone al trattamento (Capo III GDPR), il Fornitore assiste il Cliente nel rispondere alla richiesta (art. 28, par. 3, lett. e), GDPR). Il primo strumento sono le funzioni del Servizio: ricerca e visualizzazione, modifica ed eliminazione di contenuti, rimozione di membri e ospiti e l'esportazione dei dati (§ 11, comma 3). Esempio: se un ex partner commerciale chiede l'accesso, il Cliente cerca autonomamente il suo nome nei propri progetti e caselle di posta. Se ciò non basta, il Fornitore assiste su richiesta in forma testuale; per questo può richiedere un compenso adeguato in base al tempo impiegato, salvo che la richiesta sia dovuta a un errore del Fornitore.

(2) Se una persona si rivolge direttamente al Fornitore e si tratta di dati che il Fornitore tratta per conto del Cliente, il Fornitore inoltra immediatamente la richiesta al Cliente e non vi risponde autonomamente. Comunica alla persona di aver inoltrato la richiesta.

§ 9 Assistenza per gli obblighi di cui agli artt. da 32 a 36 GDPR

Il Fornitore assiste il Cliente nell'adempimento dei suoi obblighi di cui agli artt. da 32 a 36 GDPR (art. 28, par. 3, lett. f), GDPR): per la sicurezza del trattamento mediante le misure di cui all'Allegato B, in caso di violazioni dei dati mediante la notifica di cui al § 10 e con informazioni sul trattamento, se il Cliente effettua una valutazione d'impatto sulla protezione dei dati o deve consultare preventivamente la propria autorità di controllo. In tale ambito tiene conto di ciò che sa del trattamento e di come esso si svolge. Le richieste vanno inviate in forma testuale a support@todo.monster.

§ 10 Notifica delle violazioni dei dati personali

(1) Se il Fornitore viene a conoscenza di una violazione dei dati personali che riguarda dati del Cliente, ad esempio un accesso non autorizzato alla banca dati o una fuga di dati da un backup, la notifica senza indugio al Cliente all'indirizzo di cui al § 4, comma 6 (art. 33, par. 2, GDPR). La notifica avviene con tempestività tale da consentire al Cliente di rispettare il proprio termine di 72 ore nei confronti dell'autorità di controllo (art. 33, par. 1, GDPR).

(2) La notifica contiene, per quanto già noto al Fornitore: che cosa è accaduto, quali tipi di dati e approssimativamente quante persone e quanti record sono interessati, quali conseguenze sono probabili, che cosa il Fornitore ha fatto e propone, e chi è la persona di contatto presso il Fornitore (art. 33, par. 3, GDPR). Ciò che ancora non sa lo integra non appena ne viene a conoscenza.

(3) Il Fornitore mette immediatamente in sicurezza i dati, limita il danno e concorda i passi successivi con il Cliente.

§ 11 Fine dell'incarico, restituzione ed eliminazione

(1) Per un'azienda l'incarico termina quando il piano aziendale o l'accordo pilota viene disdetto o cessa in altro modo senza che segua direttamente un altro piano aziendale, oppure quando l'azienda viene sciolta (di seguito «cessazione del contratto»). Un passaggio tra piani aziendali o dall'accordo pilota a un piano aziendale non pone fine all'incarico. Per un Cliente senza azienda l'incarico termina quando elimina il proprio account; la procedura è descritta nell'informativa sulla privacy.

(2) Dopo la cessazione del contratto il titolare dell'azienda può ancora leggere ed esportare i dati dell'azienda per 30 giorni. In questo periodo recupera autonomamente i dati tramite l'esportazione aziendale. Se il Cliente preferisce che i dati vengano eliminati immediatamente, lo comunica al Fornitore in forma testuale; il Fornitore elimina allora senza indugio. Il Cliente ha così la scelta tra restituzione ed eliminazione (art. 28, par. 3, lett. g), GDPR).

(3) L'esportazione aziendale è la via della restituzione: il titolare dell'azienda scarica un archivio in formati comuni e leggibili da macchina (JSON, CSV) con progetti, moduli, attività, commenti, registrazioni dei tempi, assegnazioni, tag, regole di ricorrenza, cronologia delle modifiche e allegati. Non sono inclusi i contenuti delle caselle di posta aziendali e delle caselle di posta collegate, calendari e appuntamenti, fatture e ricevute nonché profili di altre persone. Se il Cliente necessita di contenuti di caselle di posta o calendari, li richiede in forma testuale entro i 30 giorni di cui al comma 2; il Fornitore li mette a disposizione entro 30 giorni dalla ricezione, nella misura in cui sono ancora disponibili. I clienti senza azienda utilizzano l'esportazione personale dei dati, con la stessa portata, per i propri progetti.

(4) Le fatture e le ricevute che il Fornitore ha emesso al Cliente in qualità di titolare del trattamento restano consultabili in qualsiasi momento nell'account; non rientrano nell'incarico.

(5) 60 giorni dopo la cessazione del contratto una procedura automatica di pulizia elimina i dati dell'azienda, cestino incluso, salvo che una legge richieda una conservazione più lunga. Nei backup dell'hoster i dati vengono sovrascritti entro ulteriori 30 giorni. Un backup contenente dati eliminati viene ripristinato solo dopo un guasto; in seguito il Fornitore esegue nuovamente le eliminazioni già effettuate.

(6) Gli account personali dei membri e degli ospiti restano impregiudicati dalla cessazione del contratto; i loro dati personali al di fuori dell'azienda restano nei loro account. Non vengono eliminati i dati che il Fornitore deve conservare in qualità di titolare del trattamento: fatture e ricevute (§ 147 AO, codice tributario tedesco; § 257 HGB, codice commerciale tedesco), registri dei consensi e registri di audit privi di dati di contenuto. A tali dati, dopo la cessazione del contratto, non si applica più il presente ADV bensì l'informativa sulla privacy.

(7) Su richiesta il Fornitore conferma l'eliminazione in forma testuale. Fino al completamento della restituzione e dell'eliminazione il presente ADV continua ad applicarsi.

§ 12 Prove e contributi alle verifiche

(1) Il Cliente può verificare se il Fornitore rispetta il presente ADV (art. 28, par. 3, lett. h), GDPR). A tal fine il Fornitore gli mette a disposizione tutte le informazioni necessarie e contribuisce alle verifiche svolte dal Cliente stesso o da un revisore da lui incaricato e vincolato alla riservatezza.

(2) La verifica avviene su base documentale: su richiesta il Fornitore mette a disposizione la versione aggiornata degli Allegati B e C, un'autodichiarazione sulle misure di cui all'Allegato B, le attestazioni, i rapporti e le certificazioni del proprio hoster e degli altri sub-responsabili nonché risposte in forma testuale alle domande del Cliente. Non è prevista una verifica in loco presso il Fornitore o presso i suoi sub-responsabili. Alle verifiche di un'autorità di controllo il Fornitore collabora in ogni caso.

(3) Il Fornitore può tutelare i segreti commerciali e i dati di altri clienti e limitare le informazioni ai sistemi e ai documenti che riguardano il Cliente.

§ 13 Luogo del trattamento e paesi terzi

(1) Il Fornitore e i suoi sub-responsabili di cui all'Allegato C, sezione 1, trattano i dati del Cliente esclusivamente in Germania.

(2) Il Fornitore non trasferisce nulla di propria iniziativa verso un paese al di fuori dell'UE e dello Spazio economico europeo. Se mai intendesse farlo, si tratterebbe di un cambiamento ai sensi del § 7, comma 2, e dovrebbero essere soddisfatte le condizioni di cui agli artt. 44 e seguenti GDPR.

(3) Diverso è il caso dei servizi che il Cliente o i suoi utenti collegano autonomamente a todo.monster (Allegato C, sezione 3): caselle di posta tramite IMAP e SMTP, calendari tramite CalDAV nonché calendari Google e Microsoft. Verso di essi il Fornitore trasmette solo ciò che la funzione richiede, ad esempio un appuntamento creato nel Servizio al calendario collegato. Se un tale servizio tratti dati al di fuori dello Spazio economico europeo dipende dal servizio scelto; per Google e Microsoft è da prevedersi un trattamento negli USA. Il Cliente risponde della liceità di tale trasferimento e dell'esistenza delle garanzie necessarie (§ 4, comma 3).

§ 14 Responsabilità e disposizioni finali

(1) Per la responsabilità delle parti si applica la clausola di responsabilità delle Condizioni generali di contratto. Resta impregiudicata la responsabilità legale nei confronti degli interessati ai sensi dell'art. 82 GDPR.

(2) Le modifiche del presente ADV richiedono la forma testuale. Il Fornitore può modificarlo se cambiano il trattamento, i sub-responsabili o la situazione giuridica; ne informa il Cliente tramite e-mail di sistema con almeno 30 giorni di anticipo. Per l'Allegato C si applica il § 7, comma 2.

(3) Si applica il diritto tedesco. Il foro competente è Berlino se il Cliente è commerciante (Kaufmann), persona giuridica di diritto pubblico o patrimonio separato di diritto pubblico.

(4) Se una disposizione del presente ADV è inefficace, le restanti rimangono efficaci; al suo posto subentra la disciplina di legge.

Allegato A: Oggetto del trattamento

1. Funzioni e finalità

Il Fornitore tratta i dati del Cliente per mettere a disposizione del Cliente e della sua azienda le seguenti funzioni. Una funzione tratta dati solo se il Cliente o i suoi utenti la utilizzano.

2. Categorie di interessati

• Il Cliente stesso nonché il titolare, gli amministratori e i membri della sua azienda (dipendenti, appaltatori, incaricati).
• Ospiti di progetto ed esterni invitati: persone senza un proprio posto nell'azienda che il Cliente o i suoi utenti invitano in progetti, comprese quelle il cui invito è ancora in sospeso. I loro contenuti nei progetti del Cliente sono dati del Cliente. Per il loro account utente presso todo.monster sono utenti del Fornitore; a tal fine si applica l'informativa sulla privacy.
• Mittenti e destinatari di e-mail nelle caselle di posta aziendali e nelle caselle di posta collegate nonché persone menzionate nei messaggi.
• Partecipanti ad appuntamenti di calendario.
• Clienti, partner commerciali, fornitori e altri terzi i cui dati vengono registrati dagli utenti del Cliente in attività, commenti, allegati, registrazioni dei tempi, note sulle applicazioni o schermate.

3. Durata

Il trattamento dura quanto il Contratto principale, fino alla restituzione o all'eliminazione ai sensi del § 11. Durante la vigenza si applicano i termini di cui all'Allegato B, punto 3, per il cestino e per i registri.

Allegato B: Misure tecniche e organizzative (art. 32 GDPR)

Le misure sono descritte in base al loro luogo: nel Servizio (sviluppato e gestito dal Fornitore), presso l'hoster (tramite il sub-responsabile di cui all'Allegato C, sezione 1) oppure a livello organizzativo presso il Fornitore. Il Fornitore si impegna solo per misure che sono effettivamente in atto.

1. Riservatezza

• Accesso fisico e accesso ai sistemi presso l'hoster: I server si trovano in centri dati dell'hoster in Germania con protezione dell'accesso fisico e controllo degli accessi secondo il suo piano di sicurezza; il Fornitore lo mette a disposizione su richiesta come prova (§ 12). Il Fornitore stesso non ha alcun accesso fisico.
• Accesso al Servizio: Accesso con indirizzo e-mail e password oppure tramite link di accesso inviato all'indirizzo e-mail registrato. Le password vengono memorizzate solo come hash; le nuove password devono soddisfare requisiti minimi e vengono verificate rispetto a fughe di dati note, senza che la password lasci il Servizio. I tentativi di accesso sono limitati per indirizzo di origine e per account. Le sessioni scadono dopo due ore di inattività; i cookie di sessione valgono solo tramite HTTPS e sono inaccessibili agli script. I token di accesso dell'app mobile e dell'interfaccia di programmazione scadono dopo 30 giorni e possono essere revocati in qualsiasi momento.
• Accesso all'interno del Servizio: Modello di ruoli per azienda (titolare, amministratore, membro, ospite) e per progetto; il server verifica ogni accesso in lettura e scrittura ad attività, progetti e aziende rispetto a regole di autorizzazione centrali. Un account amministrativo del Fornitore non può leggere descrizioni, commenti, allegati, contenuti di caselle di posta e calendari; ciò che vede è indicato tassativamente al punto 5.
• Separazione: I dati di tutti i clienti si trovano in una banca dati comune e sono separati logicamente tramite l'attribuzione ad azienda e progetto; tale attribuzione viene impostata dal server e mai ricavata da una richiesta. Sviluppo, test e produzione sono sistemi separati; l'ambiente di sviluppo è inoltre protetto da un blocco di accesso e non contiene dati di produzione.
• Cifratura dei dati memorizzati: Titoli e descrizioni di progetti e attività, commenti, oggetto e testo delle e-mail, contenuti degli appuntamenti nonché credenziali di accesso delle caselle di posta e dei calendari collegati sono memorizzati cifrati lato server (AES-256); le password vengono memorizzate solo come hash Argon2id. Si tratta di una cifratura lato server, non di una cifratura end-to-end: il Fornitore può tecnicamente accedere ai dati; quando lo fa è indicato al punto 5.
• Cifratura della trasmissione: Il Servizio è raggiungibile solo tramite HTTPS (reindirizzamento e HSTS); le connessioni verso caselle di posta, calendari, il modello linguistico, il server di segnalazione e il servizio di pagamento sono cifrate a livello di trasporto.
• Riservatezza delle persone: Tutte le persone che presso il Fornitore hanno accesso ai sistemi di produzione sono vincolate per iscritto alla riservatezza.

2. Integrità

• Controllo degli inserimenti: Le modifiche alle attività vengono registrate in una cronologia con autore, data e ora, valore precedente e nuovo. Le azioni amministrative nell'azienda (ruoli, inviti, caselle di posta, scioglimento) sono riportate nel registro di audit dell'azienda. Gli accessi vengono registrati con data e ora, indirizzo di origine e client. Gli accessi del Fornitore ai sensi del punto 5 vengono registrati.
• Protezione dell'applicazione: Protezione contro richieste contraffatte (CSRF) mediante token di sessione; pulizia lato server degli inserimenti formattati; mascheramento sistematico degli output; intestazioni di sicurezza contro l'incorporamento in pagine esterne e contro l'indovinamento del tipo nonché per il controllo del referrer. Gli allegati vengono accettati solo se l'estensione del file e il tipo di contenuto rilevato coincidono; sono memorizzati con nomi casuali al di fuori della webroot e vengono consegnati con una politica di sicurezza isolante. Le foto del profilo vengono ricodificate senza metadati.
• Controllo della trasmissione: I dati lasciano il Servizio solo verso i soggetti indicati nell'Allegato C e solo nella misura ivi descritta; al modello linguistico non vengono inviati allegati, al servizio di pagamento nessun dato di contenuto; i dati contabili e bancari del Fornitore non lasciano il sistema. Gli accessi amministrativi e alla banca dati del Fornitore avvengono tramite l'interfaccia di gestione dell'hoster e connessioni cifrate.
• Processo di sviluppo: Ogni modifica al Servizio è sottoposta, prima del rilascio, a test automatizzati, tra cui test di contratto per le regole di autorizzazione, la cifratura e i confini tra moduli, e viene integrata in modo tracciabile. Il rilascio avviene in modo riproducibile come immagine container; in produzione i messaggi di errore non vengono mai visualizzati nel browser.

3. Disponibilità, resilienza ed eliminazione

• Backup: L'hoster esegue il backup della banca dati e dell'archivio file; i backup vengono conservati fino a 30 giorni e poi sovrascritti.
• Ripristino: L'applicazione è eseguita come stack di container con processi separati per web, pianificazione temporale e lavori in background; una modalità di manutenzione arresta il Servizio in modo controllato durante un ripristino. Un endpoint di stato consente il monitoraggio.
• Resilienza: Limitazione delle richieste per indirizzo di origine e account per accesso, registrazione, inviti, accessi in scrittura tramite l'interfaccia di programmazione e funzioni amministrative; limiti di dimensione, numero e spazio per gli allegati; contingenti mensili per la funzione IA.
• Cestino: I progetti, i moduli, le attività, le caselle di posta e i calendari eliminati vengono dapprima soltanto contrassegnati come eliminati e rimossi definitivamente solo dopo un termine configurato (valore predefinito 30 giorni, limite minimo un giorno); le e-mail eliminate restano 45 giorni nel cestino della casella di posta. Fino ad allora gli utenti autorizzati li recuperano autonomamente. I file allegati orfani vengono rimossi quotidianamente.
• Termini di conservazione dei registri e di eliminazione: Notifiche 30 giorni; registri della sincronizzazione di caselle di posta e calendari tre giorni, in caso di errori sette giorni; archivi di esportazione 24 ore; registri degli accessi 90 giorni; registro di utilizzo della funzione IA 90 giorni; registri di audit dell'azienda e del ripristino tre anni, registro di audit della fatturazione dieci anni (conservazione fiscale); indirizzo IP dei consensi fino alla cessazione del contratto più tre anni; schermate delle segnalazioni di errore 90 giorni; registri dell'applicazione 30 giorni.
• Impegno di disponibilità: La disponibilità del Servizio è disciplinata dalle Condizioni generali di contratto, non dal presente ADV.

4. Procedure di verifica periodica

• Verifica automatica periodica che i dati da memorizzare in forma cifrata siano effettivamente memorizzati cifrati, e riconciliazione periodica dell'archivio allegati con la banca dati.
• Test automatizzati a ogni modifica; istruzioni documentate per rilascio, rotazione delle chiavi, modalità di manutenzione e guasti.
• Le modifiche alle misure del presente allegato vengono documentate (§ 6, comma 2).
• Protezione dei dati per impostazione predefinita: la funzione IA viene eseguita solo se un utente la avvia per un'e-mail e può essere disattivata per ciascun utente; le segnalazioni di errore con schermata vengono inviate solo su avvio dell'utente; le caselle di posta e i calendari sono collegati solo se un utente li collega; le foto del profilo sono visibili solo a persone con un progetto o un'azienda in comune.

5. Accesso del Fornitore ai dati del Cliente (regola di accesso)

I collaboratori del Fornitore non consultano i contenuti del Cliente in modo routinario. Una persona accede solo in presenza di un motivo (un'istruzione del Cliente oppure un incidente di sicurezza o operativo), solo nella misura necessaria, e ogni accesso viene registrato. Il trattamento automatico da parte del Servizio ai sensi dell'Allegato A resta impregiudicato. Non esistono accessi ulteriori rispetto ai seguenti:

• Ripristino (§ 3, comma 4): Su richiesta del Cliente, un account amministrativo del Fornitore con il diritto di ripristino vede nome utente, indirizzo e-mail, stato e data e ora di eliminazione dell'utente interessato nonché i nomi dei suoi progetti e moduli, i titoli delle sue attività e le date e gli orari di eliminazione dei record eliminati. Non sono visibili descrizioni, commenti, allegati, registrazioni dei tempi nonché contenuti di caselle di posta e calendari. Ogni ripristino viene registrato con la persona che lo esegue e la data e l'ora.
• Diagnosi di supporto: Su richiesta del Cliente, un account amministrativo del Fornitore vede le appartenenze, gli inviti e i collegamenti delle caselle di posta dell'azienda (nomi host, stato, data e ora dell'ultimo recupero), non i contenuti dei messaggi. Ogni diagnosi viene registrata nel registro di audit dell'azienda prima della visualizzazione.
• Segnalazioni di errore: Le schermate e le descrizioni che un utente invia tramite la funzione di segnalazione errori vengono visualizzate dal Fornitore per correggere l'errore segnalato; vengono eliminate dopo il termine di cui al punto 3.
• Esercizio e sicurezza: Accesso a banca dati, archivio file e registri per risolvere un guasto, indagare un incidente di sicurezza o eseguire un'istruzione. Il motivo viene documentato; in tale occasione il Fornitore vede i contenuti del Cliente solo nella misura richiesta dal motivo.

Allegato C: Sub-responsabili del trattamento e altri destinatari

1. Sub-responsabili del trattamento (§ 7, comma 1)

2. Destinatari al di fuori dell'incarico

I seguenti soggetti non ricevono alcun dato dall'incarico del Cliente. Il Fornitore se ne avvale in qualità di titolare del trattamento per finalità proprie; sono riportati qui solo a scopo di delimitazione, i dettagli sono indicati nell'informativa sulla privacy. I dati contabili e bancari del Fornitore vengono trattati all'interno del Servizio e non vengono trasmessi ad alcun ulteriore destinatario.

• Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Paesi Bassi: elaborazione dei pagamenti dei piani a pagamento. Mollie riceve nome e indirizzo e-mail dell'account di fatturazione e i dati di pagamento, nessun dato di contenuto; nell'elaborazione dei pagamenti Mollie agisce in qualità di titolare autonomo del trattamento.
• EU-Captcha (Myra Security GmbH, Monaco di Baviera): protezione anti-bot in fase di registrazione e nel modulo di contatto; vengono trasmessi l'indirizzo IP, l'identificativo del browser e il token captcha della persona che si registra o che scrive. La verifica è un trattamento del Fornitore in qualità di titolare.
• Have I Been Pwned (api.pwnedpasswords.com, gestore Troy Hunt, Australia): al momento dell'impostazione di una password viene trasmesso un breve frammento di un valore hash, mai la password e nessun identificativo della persona; non è possibile alcuna attribuzione a una persona.

3. Servizi terzi incaricati dal Cliente

Se il Cliente o un utente del Cliente collega a todo.monster uno dei seguenti servizi, il Cliente ha scelto autonomamente tale servizio ed è legato a esso da un proprio rapporto contrattuale. Il servizio non è un sub-responsabile del Fornitore; il Fornitore vi trasmette solo ciò che la funzione richiede e ne recupera ciò che l'utente ha autorizzato (§ 13, comma 3).

• Caselle di posta tramite IMAP e SMTP presso il fornitore di posta elettronica del Cliente o dell'utente: recupero e invio di messaggi con le credenziali di accesso registrate dall'utente.
• Calendari tramite CalDAV (ad esempio Nextcloud o Fastmail): sincronizzazione degli appuntamenti con le credenziali di accesso registrate dall'utente.
• Google Calendar (Google LLC o Google Ireland Limited): l'utente accede direttamente presso Google e lì concede l'autorizzazione; il Fornitore legge gli appuntamenti dai calendari selezionati e trasmette a Google gli appuntamenti creati o modificati nel Servizio. Trattamento di norma anche negli USA. Disponibile solo nella misura in cui il Fornitore ha abilitato la funzione.
• Calendario Microsoft (Microsoft Corporation o Microsoft Ireland Operations Limited) per account Microsoft privati: l'utente accede direttamente presso Microsoft e lì concede l'autorizzazione; il Fornitore legge gli appuntamenti dai calendari selezionati e trasmette a Microsoft gli appuntamenti creati o modificati nel Servizio con i relativi partecipanti; Microsoft può inviare inviti. Trattamento di norma anche negli USA.

Per Google e Microsoft vale quanto segue: quali garanzie assicurino il trasferimento negli USA dipende dal rapporto contrattuale che il Cliente o il suo utente ha direttamente con il rispettivo servizio (§ 4, comma 3).

Se l'utente scollega la connessione, il Fornitore elimina le credenziali di accesso e i token di accesso; i messaggi e gli appuntamenti già recuperati restano nel Servizio finché l'utente non li elimina oppure finché l'account o l'azienda non viene rimosso.