Accordo sulla protezione dei dati dei tuoi clienti

I tuoi dati restano tuoi. ORILA li custodisce per te e non li usa per nient'altro.

Il presente accordo sulla protezione dei dati dei tuoi clienti (l'«Accordo») integra le condizioni d'uso e le condizioni di vendita di ORILA (insieme, il «Contratto»). Risponde all'articolo 28 del regolamento (UE) 2016/679 del 27 aprile 2016 («GDPR»). Versione 2 del 13 ottobre 2026.

È concluso tra:

• il Cliente: la persona giuridica o la persona fisica che agisce a titolo professionale e ha aperto uno spazio (un'«organizzazione») nel servizio ORILA, in qualità di titolare del trattamento;
• C2SL, società per azioni semplificata con un capitale sociale di 100 €, 6 rue Soutrane, 06560 Valbonne, RCS Grasse 892 281 510, editrice del servizio ORILA, in qualità di responsabile del trattamento.

Il Cliente accetta l'Accordo accettando il Contratto. L'Accordo fa parte del Contratto: in caso di contraddizione in materia di protezione dei dati personali, prevale l'Accordo.

1. Oggetto

L'Accordo stabilisce le condizioni alle quali C2SL tratta, per conto del Cliente e secondo le sue sole istruzioni, i dati personali che il Cliente registra nel servizio ORILA o che il servizio raccoglie per lui (i «Dati»).

Non si applica ai trattamenti di cui C2SL è essa stessa titolare: la gestione dell'account e dell'abbonamento del Cliente, la fatturazione di C2SL, la sicurezza del servizio e la prevenzione degli abusi, la misurazione dell'audience del sito orila.co. Tali trattamenti sono descritti nell'informativa sulla privacy.

2. Descrizione del trattamento

• Oggetto: messa a disposizione di un software di gestione aziendale online (relazione con i clienti, vendite, fatturazione, segreteria, documenti, team).
• Durata: quella del Contratto, prolungata del periodo di restituzione previsto all'articolo 11.
• Natura: hosting, registrazione, organizzazione, consultazione, messa a disposizione, trasmissione su ordine del Cliente, cancellazione.
• Finalità: consentire al Cliente di gestire la propria attività mediante il servizio.
• Tipi di dati e categorie di persone: vedi l'allegato 1, trattamento per trattamento.
• Dati sensibili: il servizio non è concepito per dati relativi alla salute né per altre categorie particolari di dati (articolo 9 del GDPR). Il Cliente si vieta di registrarne.

3. Istruzioni del Cliente

3.1 C2SL tratta i Dati solo su istruzione documentata del Cliente. Costituiscono tali istruzioni: il Contratto, l'Accordo, e le impostazioni e le azioni che il Cliente effettua nel servizio (creare una scheda, inviare un messaggio, condividere un documento, attivare un'opzione, collegare un servizio di terzi, cancellare un dato).

3.2 C2SL non utilizza mai i Dati per conto proprio, non li vende, non li affitta e non li usa per addestrare un modello di intelligenza artificiale.

3.3 Se un'istruzione le sembra contraria al GDPR o a un'altra norma sulla protezione dei dati, C2SL ne informa immediatamente il Cliente.

3.4 Se il diritto dell'Unione o di uno Stato membro impone a C2SL un trattamento non previsto (una richiesta dell'autorità giudiziaria, ad esempio), essa ne informa il Cliente prima di effettuarlo, a meno che tale diritto lo vieti per un rilevante motivo di interesse pubblico.

4. Riservatezza

Le persone di C2SL autorizzate a trattare i Dati sono vincolate alla riservatezza per contratto o per obbligo di legge, e vi accedono solo nella misura necessaria all'esecuzione del Contratto, all'assistenza richiesta dal Cliente o alla sicurezza del servizio.

5. Sicurezza

C2SL adotta le misure tecniche e organizzative descritte nell'allegato 3 per garantire un livello di sicurezza adeguato al rischio (articolo 32 del GDPR). Può farle evolvere, a condizione di non abbassarne mai il livello.

6. I nostri fornitori

6.1 Il Cliente autorizza in via generale C2SL a ricorrere ai fornitori elencati nell'allegato 2 (i «Fornitori», sub-responsabili del trattamento ai sensi dell'articolo 28 del GDPR).

6.2 C2SL informa il Cliente di ogni aggiunta o sostituzione di un Fornitore almeno trenta giorni prima che esso riceva Dati, mediante un messaggio nel servizio e per e-mail all'amministratore dell'organizzazione. Il Cliente può opporvisi durante tale termine, per iscritto e per un motivo legato alla protezione dei dati. In mancanza di accordo nei trenta giorni successivi all'opposizione, il Cliente può risolvere senza spese la parte del Contratto interessata, e C2SL gli rimborsa pro rata la quota di abbonamento pagata in anticipo.

6.3 C2SL impone a ciascun Fornitore, per contratto, obblighi di protezione dei dati almeno equivalenti a quelli dell'Accordo. Resta pienamente responsabile nei confronti del Cliente della loro esecuzione.

6.4 I servizi che il Cliente collega da sé, con le proprie credenziali (la sua banca, la sua piattaforma contabile, la sua messaggistica WhatsApp professionale, il suo server di posta), non sono Fornitori di C2SL: sono scelti dal Cliente e disciplinati dal contratto che egli ha concluso direttamente con essi. C2SL trasmette loro Dati solo su ordine del Cliente, dato mediante tale collegamento.

7. Trasferimenti al di fuori dell'Unione europea

I Dati sono ospitati in Europa. Quando un Fornitore stabilito al di fuori dell'Unione europea può accedervi, il trasferimento è disciplinato da una decisione di adeguatezza (tra cui il quadro per la protezione dei dati UE–USA, per un fornitore certificato) o dalle clausole contrattuali tipo adottate dalla Commissione europea (decisione 2021/914). L'allegato 2 indica, per ciascuno, il luogo e la relativa disciplina.

8. Diritti delle persone

8.1 C2SL assiste il Cliente, con misure tecniche e organizzative adeguate, nel rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione). Il servizio consente al Cliente di consultare, correggere, esportare e cancellare egli stesso i Dati.

8.2 Se una persona si rivolge direttamente a C2SL a proposito di Dati trattati per il Cliente, C2SL non le risponde nel merito: trasmette la richiesta al Cliente entro cinque giorni lavorativi e ne informa la persona.

9. Violazione dei dati

9.1 C2SL notifica al Cliente ogni violazione di dati personali che riguardi i Dati senza ingiustificato ritardo e al più tardi entro quarantotto ore da quando ne è venuta a conoscenza, per e-mail all'amministratore dell'organizzazione.

9.2 La notifica contiene, nella misura in cui sono noti: la natura della violazione, le categorie e il numero approssimativo di persone e di registrazioni interessate, le probabili conseguenze, le misure adottate o proposte, e il contatto presso C2SL. Gli elementi non ancora noti sono trasmessi non appena lo diventano.

9.3 Spetta al Cliente, titolare del trattamento, notificare la violazione all'autorità di controllo e, se del caso, agli interessati (articoli 33 e 34 del GDPR). C2SL lo assiste in tale compito.

10. Assistenza al Cliente

C2SL assiste il Cliente, tenendo conto della natura del trattamento e delle informazioni di cui dispone, nel rispettare i propri obblighi relativi alla sicurezza, alle violazioni di dati, alla valutazione d'impatto e alla consultazione preventiva dell'autorità (articoli da 32 a 36 del GDPR). Tale assistenza è gratuita quando riguarda il servizio stesso; un'assistenza su misura, oltre a questa, può essere oggetto di un preventivo preliminare.

11. Sorte dei Dati alla fine del Contratto

Alla fine del Contratto, e secondo la scelta del Cliente, C2SL gli restituisce i Dati o li cancella, alle condizioni dell'articolo «Dati, reversibilità e backup» delle condizioni di vendita: esportazione in qualsiasi momento e senza spese, periodo di transizione di trenta giorni su richiesta, Dati recuperabili per trenta giorni dopo la fine del servizio, poi cancellazione integrale. Le copie di backup, conservate unicamente per ripristinare il servizio dopo un incidente, sono cancellate al termine del loro ciclo di rotazione. Sono conservati solo i Dati che il diritto dell'Unione o di uno Stato membro impone di conservare, e per la sola durata imposta.

12. Audit e informazioni

12.1 C2SL mette a disposizione del Cliente tutte le informazioni necessarie per dimostrare il rispetto dell'articolo 28 del GDPR, e consente la realizzazione di audit, comprese le ispezioni, da parte del Cliente o di un revisore da lui incaricato.

12.2 Per non compromettere la sicurezza degli altri clienti, un audit è richiesto per iscritto con un preavviso di trenta giorni, riguarda ciò che concerne il Cliente, è condotto da un revisore vincolato al segreto e non concorrente di C2SL, durante l'orario lavorativo. Il Cliente ne sostiene il costo, salvo che l'audit riveli un inadempimento di C2SL all'Accordo. Si risponde dapprima per iscritto e con documenti; un'ispezione in loco ha luogo solo se tali risposte non bastano, o su richiesta di un'autorità di controllo.

13. Registro

C2SL tiene un registro delle categorie di attività di trattamento che effettua per conto dei suoi clienti (articolo 30, paragrafo 2, del GDPR).

14. Obblighi del Cliente

Il Cliente garantisce di disporre di una base giuridica per i trattamenti che affida a C2SL, di aver informato gli interessati alle condizioni degli articoli 13 e 14 del GDPR, in particolare i destinatari dei suoi invii e delle sue condivisioni, e di non dare istruzioni contrarie al GDPR.

15. Responsabilità

Ciascuna parte risponde dei propri inadempimenti alle condizioni dell'articolo 82 del GDPR. La limitazione di responsabilità prevista dalle condizioni di vendita si applica all'Accordo, salvo colpa grave o dolo.

16. Durata e modifica

L'Accordo si applica per tutto il tempo in cui C2SL tratta Dati per il Cliente. C2SL può modificarlo per seguire l'evoluzione del diritto o del servizio; ogni modifica che riduca la protezione dei Dati è notificata con trenta giorni di anticipo, con la stessa facoltà di risoluzione prevista all'articolo 6.2. La versione in vigore è pubblicata in questa pagina.

17. Diritto applicabile

L'Accordo è disciplinato dal diritto francese. Le controversie sono di competenza delle giurisdizioni designate dalle condizioni d'uso.

Allegato 1 — I trattamenti effettuati per il Cliente

• Portafoglio e relazione con i clienti — identità, recapiti professionali, funzione, società, note, scambi, appuntamenti, attività, trattative · clienti, potenziali clienti e contatti del Cliente · fino alla loro cancellazione da parte del Cliente, poi secondo l'articolo 11.
• Vendite e fatturazione — identità e recapiti di fatturazione, numeri di identificazione d'impresa e di IVA, preventivi, fatture, pagamenti; quando un cliente del Cliente accetta o rifiuta un preventivo dal suo link, la prova della sua risposta: data e ora, indirizzo di rete e browser, impronta digitale del preventivo così come era visualizzato, motivo del rifiuto se ne sceglie uno · clienti del Cliente · fino alla loro cancellazione da parte del Cliente; le fatture emesse sono conservate secondo gli obblighi contabili del Cliente, e la prova di una risposta finché il Cliente conserva il preventivo.
• Firma online (preventivo o altro documento) — nome e indirizzo e-mail del firmatario così come li inserisce il Cliente, nome digitato e firma tracciata dal firmatario, data e ora di ogni passaggio (invio del link, prima apertura, invio del codice, firma o rifiuto, con il motivo del rifiuto se ne sceglie uno), indirizzo di rete e browser alla prima apertura, alla richiesta del codice e al momento di firmare o rifiutare, impronta digitale del documento ricalcolata al momento della firma; il codice ricevuto per e-mail è conservato solo sotto forma di impronta, mai in chiaro · firmatari designati dal Cliente · finché il Cliente conserva il fascicolo di prova, poi secondo l'articolo 11.
• Posta (casella collegata, invii, campagne) — indirizzi, nomi, contenuto dei messaggi e allegati, consenso di un contatto a ricevere messaggi · corrispondenti e destinatari del Cliente · fino alla loro cancellazione da parte del Cliente (un messaggio spostato nel cestino viene cancellato dopo 30 giorni).
• Documenti — contenuto dei file caricati dal Cliente · ogni persona citata in tali documenti · fino alla loro cancellazione da parte del Cliente (cestino svuotato dopo sette giorni).
• Contatori di consultazione delle condivisioni — per ogni condivisione: numero e ora delle aperture del link, di ciascun documento o pagina, degli avvii di video e dei download, nel loro ordine; nessun indirizzo di rete, nessun browser, nessun cookie, nessun elemento sulla persona; il tipo di browser viene letto al passaggio per escludere i robot, senza essere conservato · destinatari delle condivisioni e dei link brevi del Cliente · fino all'interruzione della condivisione da parte del Cliente, e al più tardi dodici mesi dopo l'ultima apertura.
• Eventi — identità, recapiti, risposta, presenza, preferenze alimentari se l'invitato le fornisce · invitati del Cliente · fino alla loro cancellazione da parte del Cliente.
• Team — identità, ruolo, accessi, messaggi interni · membri del team del Cliente · fino alla loro cancellazione da parte del Cliente.
• Importazione di un file esistente — contenuto del file caricato; se il Cliente lo chiede, intestazioni di colonna e alcune righe trasmesse a Mistral AI · persone presenti nel file · per il tempo dell'importazione, poi secondo i trattamenti di cui sopra.
• Squadra di agenti (opzione) — estratti della pratica interessata, contenuto delle email ricevute che un agente legge e istruzione del Cliente, trasmessi a Mistral AI · persone presenti in tali pratiche e mittenti di tali email · per il tempo della richiesta, senza servire ad addestrare i modelli del fornitore.

Allegato 2 — I nostri fornitori

• Cloudflare, Inc. — hosting dell'applicazione, archiviazione dei file, instradamento delle pagine · archiviazione in Europa; società stabilita negli Stati Uniti · quadro per la protezione dei dati UE–USA (certificazione attiva rilevata il 14 settembre 2026), clausole contrattuali tipo di riserva.
• Neon, Inc. — database · Europa; società stabilita negli Stati Uniti · clausole contrattuali tipo.
• Amazon Web Services — instradamento delle e-mail · regione di Parigi; società stabilita negli Stati Uniti · clausole contrattuali tipo.
• Brevo — instradamento delle e-mail, come soluzione di riserva · Francia.
• Mistral AI — trattamento delle richieste agli agenti, delle email ricevute che leggono e dell'importazione di file, se il Cliente lo attiva · Europa.

Allegato 3 — Misure di sicurezza

• Comunicazioni cifrate (HTTPS/TLS) tra il browser e il servizio.
• Separazione di ciascuna organizzazione: ogni dato reca l'identificativo della propria organizzazione, e il filtraggio è applicato automaticamente dal server a ogni richiesta.
• Diritti per ruolo e per servizio all'interno di un'organizzazione.
• Registro dei tentativi di abuso, avvisi interni e misure graduali, descritti nelle condizioni d'uso.
• Limitazione dei tentativi di accesso.
• File serviti con protezioni contro la loro esecuzione nel browser; pagine condivise visualizzate su un dominio separato.
• Dimostrazione pubblica in sola lettura, su dati fittizi.
• Backup del database, conservati unicamente per ripristinare il servizio dopo un incidente.

Contatto

Per qualsiasi domanda su questo Accordo: [email protected].