Data Processing Agreement (DPA)

brand0.ai Data Processing Agreement (DPA) Accordo sul Trattamento dei Dati Personali ai sensi dell'art. 28 GDPR Versione 1.0 — Aprile 2026 Litlyx S.r.l. — Titolare del trattamento Premesse Il presente Data Processing Agreement (di seguito "DPA") è stipulato tra Litlyx S.r.l. (di seguito "Responsabile del Trattamento") e il Cliente (di seguito "Titolare del Trattamento") nell'ambito del contratto di utilizzo della piattaforma brand0.ai. Il DPA integra i Termini e Condizioni di brand0.ai e disciplina il trattamento dei dati personali effettuato dal Responsabile per conto del Titolare, ai sensi dell'art. 28 del Regolamento UE 2016/679 (GDPR). 1. Definizioni Si applicano le definizioni del GDPR. In particolare: • "Titolare del Trattamento": il Cliente che determina le finalità e i mezzi del trattamento • "Responsabile del Trattamento": Litlyx S.r.l., che tratta i dati per conto del Titolare • "Dati Personali": qualsiasi informazione riguardante una persona fisica identificata o identificabile • "Violazione dei dati personali": violazione di sicurezza che comporta perdita/divulgazione/accesso non autorizzato 2. Oggetto, Natura e Finalità del Trattamento Il Responsabile tratta i dati personali per conto del Titolare al fine di erogare il Servizio brand0.ai (analisi GEO del dominio ecommerce indicato dal Titolare). Tipologia di dati trattati: • Indirizzo email aziendale e credenziali di accesso degli Utenti autorizzati • Eventuali dati personali presenti nelle comunicazioni tra le parti relative al Servizio Categorie di interessati: referenti aziendali che accedono alla piattaforma. Durata: per tutta la durata del contratto e per 90 giorni successivi, salvo richiesta diversa o obblighi di legge. 3. Obblighi del Responsabile Il Responsabile si impegna a trattare i dati solo su istruzioni del Titolare, adottare misure di sicurezza (art. 32 GDPR), gestire sub-responsabili secondo autorizzazione, assistere il Titolare nei diritti degli interessati, notificare violazioni e cancellare/restituire i dati a fine servizio, consentendo audit. 4. Autorizzazione ai Sub-responsabili Il Titolare autorizza i sub-responsabili per infrastruttura, modelli AI e pagamenti (Supabase, OpenAI, Anthropic, Google, Perplexity, Stripe) con adeguate garanzie (SCC). Il Responsabile fornirà preavviso di 30 giorni per modifiche. 5. Misure di Sicurezza TLS 1.2+, crittografia a riposo, accesso limitato (2FA), backup e disaster recovery, monitoraggio, formazione, incident response. 6. Violazioni dei Dati Personali Notifica al Titolare senza ingiustificato ritardo e, ove possibile, entro 36 ore con dettagli richiesti dal GDPR. 7. Trasferimento di Dati Extra-UE Trasferimenti verso sub-responsabili USA con SCC (Decisione (UE) 2021/914) o altre garanzie adeguate. 8. Audit e Ispezioni Il Titolare può effettuare audit con preavviso di 30 giorni durante orario lavorativo; costi a carico del Titolare. 9. Legge Applicabile Legge italiana e GDPR. Foro competente: Tribunale del luogo della sede legale di Litlyx S.r.l. 10. Allegato A — Registro delle Attività di Trattamento Registro (art. 30, par. 2 GDPR) disponibile su richiesta. Ultimo aggiornamento: Aprile 2026