Data Processing Agreement
Version v1.3 — effective 16 luglio 2026
Doc E Sign — Accordo sul Trattamento dei Dati
Data di entrata in vigore: 16 luglio 2026 Versione: v1.3 URL: doc-e-sign.com/dpa
Avviso sulla traduzione: La presente traduzione è fornita per comodità. In caso di discrepanza tra questa versione e la versione in lingua inglese, prevarrà la versione in lingua inglese.
Il presente Accordo sul Trattamento dei Dati ("DPA") è stipulato tra Doc E Sign ("Responsabile del trattamento") e il mittente che accetta i Termini di Servizio di Doc E Sign ("Titolare del trattamento"). La presente DPA forma parte integrante dei Termini di Servizio di Doc E Sign ed è incorporata per riferimento.
La presente DPA disciplina il trattamento dei dati personali svolto da Doc E Sign per conto del Titolare del trattamento ai sensi dell'articolo 28 del Regolamento generale sulla protezione dei dati del Regno Unito (UK GDPR) e dell'articolo 28 del Regolamento generale sulla protezione dei dati dell'Unione Europea (GDPR), a seconda dei casi.
1. Definizioni
"Titolare del trattamento" indica il mittente — il titolare dell'account Doc E Sign che carica i documenti e incarica Doc E Sign di avviare le cerimonie di firma.
"Responsabile del trattamento" indica Doc E Sign.
"Dati Personali" ha il significato attribuito dalla normativa applicabile in materia di protezione dei dati.
"Trattamento" ha il significato attribuito dalla normativa applicabile in materia di protezione dei dati.
"Interessato" indica la persona fisica i cui dati personali sono trattati — in questo contesto, principalmente il firmatario.
"Sub-responsabile del trattamento" indica qualsiasi terzo incaricato da Doc E Sign di trattare Dati Personali ai sensi della presente DPA.
"Legge Applicabile" indica l'UK GDPR, il GDPR e qualsiasi altra normativa in materia di protezione dei dati applicabile al trattamento descritto nella presente DPA.
"Servizi" indica il servizio di firma di documenti Doc E Sign, come descritto nei Termini di Servizio e nella documentazione disponibile su docs.doc-e-sign.com.
2. Ambito e natura del trattamento
2.1 Oggetto
Doc E Sign tratta dati personali per conto del Titolare del trattamento al fine di fornire i Servizi: avviare le cerimonie di firma, recapitare i documenti ai firmatari, acquisire le firme e i valori dei campi, e restituire i PDF firmati completati.
2.2 Dati personali trattati ai sensi della presente DPA
La presente DPA disciplina le seguenti categorie di dati personali per le quali il Titolare del trattamento riveste il ruolo di titolare del trattamento:
| Categoria | Dettaglio |
|---|---|
| Indirizzi e-mail dei firmatari | Forniti dal Titolare del trattamento al momento della creazione di una busta; utilizzati per recapitare l'invito alla firma |
| Nomi dei firmatari | Forniti dal Titolare del trattamento o inseriti dal firmatario durante la cerimonia; incorporati nel PDF firmato |
| Contenuto del documento | Il PDF caricato dal Titolare del trattamento; può contenere dati personali dei firmatari o di terzi |
| Firme e valori dei campi | Acquisiti dai firmatari durante la cerimonia; incorporati nel PDF completato |
| PDF firmati completati | Conservati nello spazio di archiviazione sicuro di Doc E Sign per la durata dell'abbonamento attivo del Titolare del trattamento |
Nota sui dati soggetti a contitolarità: Doc E Sign determina in modo indipendente le finalità e i mezzi del trattamento di alcuni dati del firmatario (indirizzo IP, user agent, marche temporali degli eventi e il registro di conferma). Per tali dati, Doc E Sign è titolare del trattamento, non responsabile del trattamento che agisce su istruzione del Titolare del trattamento. Tali dati sono disciplinati dall'Accordo di Contitolarità del Trattamento e dall'Informativa sulla Privacy, non dalla presente DPA.
2.3 Categorie di interessati
Firmatari — persone fisiche che ricevono un invito alla firma dal Titolare del trattamento e sono invitate a firmare un documento tramite la piattaforma Doc E Sign. Il Titolare del trattamento è responsabile di determinare l'identità dei firmatari e di disporre di una base giuridica per condividerne i dati di contatto con Doc E Sign.
2.4 Finalità del trattamento
Eseguire la cerimonia di firma su istruzione del Titolare del trattamento: recapitare il documento ai firmatari, acquisire le firme e gli altri valori dei campi, sigillare il PDF completato e archiviarlo nell'account del Titolare del trattamento.
2.5 Durata del trattamento
Doc E Sign tratterà i Dati Personali ai sensi della presente DPA per la durata dell'abbonamento attivo del Titolare del trattamento e per un periodo massimo di 30 giorni successivi alla cessazione dell'account (la finestra di download successiva alla cessazione), trascorso il quale i PDF firmati archiviati vengono eliminati in modo permanente.
3. Istruzioni del Titolare del trattamento
3.1 Trattamento su istruzione
Doc E Sign tratterà i Dati Personali esclusivamente sulla base delle istruzioni documentate del Titolare del trattamento. Le istruzioni del Titolare del trattamento sono definite nella presente DPA e sono impartite tramite la dashboard e l'API di Doc E Sign (ove disponibile). La creazione di una busta, l'indicazione dei firmatari e l'avvio della cerimonia di firma costituiscono l'istruzione del Titolare del trattamento a procedere con il trattamento.
3.2 Conformità normativa
Doc E Sign informerà tempestivamente il Titolare del trattamento qualora, a giudizio di Doc E Sign, un'istruzione violi la Legge Applicabile. Doc E Sign non è tenuta a seguire un'istruzione che la obbligherebbe a violare la Legge Applicabile.
3.3 Riservatezza
Doc E Sign garantirà che tutto il personale autorizzato a trattare Dati Personali ai sensi della presente DPA sia soggetto ad appropriati obblighi di riservatezza.
4. Sicurezza
Doc E Sign attuerà e manterrà misure tecniche e organizzative adeguate a proteggere i Dati Personali da trattamenti non autorizzati o illeciti, perdita accidentale, distruzione o danneggiamento. Tali misure comprendono:
| Misura | Implementazione |
|---|---|
| Cifratura dei dati a riposo | Tutti i documenti archiviati e i dati personali dei firmatari sono cifrati a riposo; i campi di dati personali dei firmatari utilizzano chiavi di cifratura dei dati (DEK) individuali per firmatario, gestite da Supabase Vault |
| Cifratura dei dati in transito | TLS 1.2 o superiore applicato su tutte le connessioni |
| Controlli di accesso | Accesso basato sui ruoli; politiche di sicurezza a livello di riga del database; controlli di sola inserzione sui registri di audit |
| Gestione delle chiavi | DEK gestite da Supabase Vault; le chiavi vengono distrutte in caso di richieste di cancellazione valide |
| Scansione delle dipendenze | GitHub Dependabot e npm audit nella pipeline di CI |
| Gestione delle vulnerabilità | Aggiornamenti regolari delle dipendenze; controlli di sicurezza del codice (linting) in CI |
| Risposta agli incidenti | Processo documentato di risposta agli incidenti; notifica delle violazioni di dati ai sensi della clausola 7 |
Doc E Sign riesaminerà regolarmente tali misure per garantire che restino adeguate al rischio.
5. Sub-responsabili del trattamento
5.1 Autorizzazione
Il Titolare del trattamento autorizza Doc E Sign ad avvalersi dei seguenti sub-responsabili del trattamento ai fini della fornitura dei Servizi:
| Sub-responsabile del trattamento | Finalità | Ubicazione | DPA in essere |
|---|---|---|---|
| Supabase | Base dati, autenticazione, archiviazione dei file, gestione delle chiavi di cifratura | UE (Francoforte, Germania) | Sì |
| Lettermint | Recapito delle e-mail di invito alla firma e delle e-mail con il documento completato ai firmatari | UE (Paesi Bassi) | Sì — firmato il 28 giugno 2026, copia firmata depositata |
| Nuntly | Recapito delle e-mail di invito alla firma e delle e-mail con il documento completato ai firmatari | UE (Irlanda) | Sì — firmato il 14 luglio 2026, copia firmata depositata |
Doc E Sign non si avvarrà di ulteriori sub-responsabili del trattamento senza fornire preventiva comunicazione al Titolare del trattamento. La comunicazione di nuovi sub-responsabili del trattamento avverrà mediante aggiornamento della presente DPA (con un preavviso di 30 giorni per le aggiunte sostanziali) e mediante notifica via e-mail all'indirizzo registrato del Titolare del trattamento.
5.2 Obblighi dei sub-responsabili del trattamento
Doc E Sign imporrà a ciascun sub-responsabile del trattamento obblighi di protezione dei dati equivalenti a quelli previsti dalla presente DPA, in particolare in materia di riservatezza, sicurezza e diritti degli interessati. Doc E Sign rimane responsabile nei confronti del Titolare del trattamento per gli atti e le omissioni dei propri sub-responsabili del trattamento nella stessa misura in cui sarebbe responsabile qualora svolgesse direttamente il trattamento.
6. Diritti degli interessati
Doc E Sign assisterà il Titolare del trattamento nell'adempimento dei propri obblighi di risposta alle richieste relative ai diritti degli interessati riguardanti i Dati Personali trattati ai sensi della presente DPA. In particolare:
- Qualora un firmatario contatti Doc E Sign con una richiesta di Accesso (art. 15), Cancellazione (art. 17), Rettifica (art. 16), Limitazione (art. 18) o Portabilità (art. 20) relativa a dati controllati dal Titolare del trattamento (contenuto del documento, dati identificativi del firmatario forniti dal Titolare del trattamento), Doc E Sign notificherà il Titolare del trattamento entro 5 giorni lavorativi e fornirà l'assistenza ragionevolmente richiesta dal Titolare del trattamento.
- Doc E Sign mantiene un meccanismo di ricerca degli indirizzi e-mail che consente l'identificazione dei record dei firmatari senza necessità di decifrare l'intera tabella, permettendo una risposta efficiente alle richieste di cancellazione e di accesso.
- Per le richieste di cancellazione relative a dati di cui Doc E Sign è titolare in proprio (indirizzo IP, user agent, struttura del registro di audit), Doc E Sign risponderà direttamente all'interessato. Si veda l'Accordo di Contitolarità del Trattamento per la ripartizione delle responsabilità nella gestione dei diritti.
7. Notifica di violazione dei dati personali
Doc E Sign notificherà al Titolare del trattamento, senza ingiustificato ritardo — e in ogni caso entro 72 ore dal momento in cui ne viene a conoscenza — qualsiasi violazione dei dati personali che riguardi i Dati Personali trattati ai sensi della presente DPA. La notifica includerà, nella misura in cui sia allora nota:
- La natura della violazione, incluse le categorie e il numero approssimativo di interessati e di record coinvolti
- Le probabili conseguenze della violazione
- Le misure adottate o proposte per affrontare la violazione
Doc E Sign collaborerà con il Titolare del trattamento nell'indagine sulla violazione e nell'adempimento dei propri obblighi di notifica alle autorità di controllo e agli interessati.
8. Valutazioni d'impatto sulla protezione dei dati
Doc E Sign fornirà al Titolare del trattamento un'assistenza ragionevole nello svolgimento di qualsiasi valutazione d'impatto sulla protezione dei dati (DPIA) richiesta dalla Legge Applicabile in relazione al trattamento previsto dalla presente DPA.
9. Cancellazione e restituzione dei Dati Personali
9.1 Alla cessazione
Alla cessazione dell'account Doc E Sign del Titolare del trattamento, o su richiesta scritta del Titolare del trattamento:
- I PDF firmati completati conservati nello spazio di archiviazione sicuro di Doc E Sign resteranno disponibili per il download per 30 giorni dalla chiusura dell'account e saranno successivamente eliminati in modo permanente
- Qualsiasi dato personale detenuto da Doc E Sign esclusivamente in qualità di responsabile del trattamento sarà eliminato o reso anonimo entro 30 giorni dalla fine della finestra di download di 30 giorni
9.2 Deroga in materia di conservazione
Fermo restando quanto previsto dalla clausola 9.1, Doc E Sign può conservare i dati personali per il periodo e nella misura richiesti dalla Legge Applicabile. In particolare:
- La catena di audit crittografica (che non contiene dati personali leggibili — i campi di dati personali dei firmatari sono cifrati e le DEK vengono distrutte in caso di cancellazione) viene conservata per 7 anni dalla data della firma, in conformità agli obblighi di Doc E Sign in qualità di titolare del trattamento e alla base del legittimo interesse
- I dati di fatturazione e contabili sono conservati per 7 anni dalla data della relativa transazione, in conformità alla normativa fiscale del Regno Unito
Doc E Sign confermerà per iscritto, su richiesta, che l'eliminazione è stata completata.
10. Audit e ispezioni
Il Titolare del trattamento può sottoporre ad audit la conformità di Doc E Sign alla presente DPA, alle seguenti condizioni:
- Il Titolare del trattamento fornisce un preavviso scritto di almeno 30 giorni
- Gli audit sono condotti durante il normale orario lavorativo e non più di una volta per anno solare, salvo qualora richiesto da un'autorità di controllo
- Il Titolare del trattamento sostiene tutti i costi di un eventuale audit, salvo qualora l'audit riveli una violazione sostanziale da parte di Doc E Sign
- L'audit non richiede a Doc E Sign di divulgare informazioni riservate relative ad altri clienti o a terzi
In alternativa a un audit diretto, il Titolare del trattamento può richiedere la documentazione di sicurezza più recente di Doc E Sign, i risultati dei penetration test (ove disponibili), o le certificazioni di terze parti (ove ottenute).
11. Trasferimenti internazionali di dati
11.1 Dati dell'UE
I dati personali originati da interessati dell'UE sono archiviati da Supabase su infrastruttura situata nell'UE (Francoforte, Germania). Qualora sia richiesto un trasferimento internazionale di dati personali originati nell'UE, esso sarà disciplinato dalle clausole contrattuali tipo dell'UE (Decisione della Commissione 2021/914) o da una decisione di adeguatezza applicabile.
11.2 Dati del Regno Unito
I dati personali originati da interessati del Regno Unito sono archiviati sulla medesima infrastruttura UE. L'UE ha rinnovato la propria decisione di adeguatezza per il Regno Unito il 19 dicembre 2025 (che copre sia il GDPR sia la Direttiva sulle attività di contrasto) — non è richiesto alcun meccanismo di trasferimento per i dati originati nel Regno Unito e diretti verso Paesi UE/SEE. Qualora i dati personali originati nel Regno Unito siano trasferiti verso un Paese al di fuori del Regno Unito e del SEE privo di una decisione di adeguatezza del Regno Unito, Doc E Sign utilizzerà un International Data Transfer Agreement (IDTA) o un UK Addendum alle clausole contrattuali tipo dell'UE, a seconda dei casi. Nota di verifica: le decisioni di adeguatezza possono essere modificate o revocate; tale stato dovrebbe essere riverificato annualmente o ogniqualvolta venga segnalato un cambiamento sostanziale nei rapporti tra Regno Unito e UE in materia di dati.
11.3 Trasferimenti dei sub-responsabili del trattamento
Ciascun trasferimento effettuato da un sub-responsabile del trattamento è disciplinato dal DPA proprio del sub-responsabile e dai meccanismi di trasferimento applicabili. Il registro dei sub-responsabili del trattamento di Doc E Sign (mantenuto internamente) documenta il meccanismo di trasferimento applicabile a ciascun flusso di dati.
12. Responsabilità del Titolare del trattamento
Il Titolare del trattamento è responsabile di:
- Disporre di una base giuridica ai sensi della Legge Applicabile per la condivisione dei dati personali dei firmatari con Doc E Sign e per l'istruzione a Doc E Sign di trattarli
- Garantire che i firmatari siano stati informati del fatto che i loro dati saranno trattati da Doc E Sign in conformità all'Informativa sulla Privacy di Doc E Sign
- Garantire che i documenti inviati per la firma non contengano dati personali di terzi che il Titolare del trattamento non sia autorizzato a condividere
- Rispettare tutti gli obblighi imposti ai titolari del trattamento dalla Legge Applicabile in relazione al trattamento descritto nella presente DPA
13. Legge applicabile
La presente DPA è disciplinata dalla legge d'Inghilterra e Galles. Le parti si sottopongono alla giurisdizione esclusiva dei tribunali d'Inghilterra e Galles per qualsiasi controversia derivante dalla presente DPA, fatta salva la giurisdizione di qualsiasi autorità di controllo.
14. Ordine di prevalenza
In caso di conflitto tra la presente DPA e i Termini di Servizio, la presente DPA prevale in relazione all'oggetto del trattamento dei dati. In caso di conflitto tra la presente DPA e le clausole contrattuali tipo (ove applicabili), prevarranno le clausole contrattuali tipo.