1Parti e ruoli
Il presente Accordo di trattamento dei dati ("DPA") è stipulato tra:
- Mostly Tiny Ltd, società registrata in Inghilterra e Galles, gestore del servizio MostlySign, che agisce in qualità di responsabile del trattamento; e
- il cliente, titolare dell'account con piano Business, che agisce in qualità di titolare del trattamento dei dati personali trattati tramite MostlySign.
Il titolare determina le finalità e i mezzi del trattamento dei dati personali contenuti nei documenti che invia per la firma. Mostly Tiny Ltd tratta tali dati solo per conto del titolare, al fine di fornire il servizio MostlySign. Laddove i termini sono definiti nel GDPR del Regno Unito / dell'UE (come "dati personali", "trattamento", "interessato", "sub-responsabile"), hanno qui il medesimo significato.
2Oggetto e durata
L'oggetto del trattamento è la fornitura al titolare del servizio di firma elettronica MostlySign. Il trattamento dura per tutta la durata dell'abbonamento del titolare e per il limitato periodo di conservazione successivo descritto nella sezione 12. Il presente DPA resta in vigore finché Mostly Tiny Ltd tratta dati personali per conto del titolare.
3Natura e finalità del trattamento
La finalità è l'elaborazione di documenti per la firma elettronica: ricevere dal titolare documenti e dati dei destinatari, recapitare le richieste di firma, acquisire la cronologia di audit, applicare il sigillo PAdES della piattaforma e la marca temporale affidabile, e conservare i documenti completati affinché il titolare e i suoi firmatari possano recuperarli. Mostly Tiny Ltd non utilizza i dati personali per alcuna finalità propria, non li vende e non li usa per addestrare modelli di IA.
4Tipi di dati personali e categorie di interessati
Tipi di dati personali
- nomi e indirizzi email di firmatari e destinatari;
- indirizzi IP e timestamp di accesso registrati nella cronologia di audit;
- immagini delle firme (disegnate o digitate) e testo della firma digitata;
- i contenuti dei documenti che il titolare carica per la firma, i quali possono a loro volta contenere dati personali scelti dal titolare;
- dati di contatto e di fatturazione del titolare dell'account per gli utenti del titolare stesso.
Categorie di interessati
- i firmatari e destinatari del titolare (le persone invitate a visualizzare o firmare i documenti);
- gli utenti e amministratori dell'account del titolare;
- qualsiasi persona i cui dati personali il titolare includa nel contenuto di un documento.
5Istruzioni del titolare
Mostly Tiny Ltd tratta i dati personali solo sulla base delle istruzioni documentate del titolare. Le istruzioni del titolare sono fornite tramite la configurazione e l'uso del servizio, tramite il presente DPA e tramite i termini di servizio applicabili. Mostly Tiny Ltd informerà il titolare se, a suo parere, un'istruzione viola il GDPR del Regno Unito / dell'UE o altra normativa sulla protezione dei dati, pur non essendo tenuta a fornire consulenza legale. Se Mostly Tiny Ltd è tenuta per legge a trattare dati personali oltre le istruzioni del titolare, informerà il titolare di tale obbligo giuridico prima del trattamento, a meno che la legge glielo vieti.
6Riservatezza
Mostly Tiny Ltd garantisce che le persone autorizzate al trattamento dei dati personali siano vincolate da un adeguato obbligo di riservatezza, di natura contrattuale o legale. L'accesso ai dati personali del titolare è limitato al personale che ne ha bisogno per gestire, supportare e proteggere il servizio.
7Misure di sicurezza
Mostly Tiny Ltd adotta misure tecniche e organizzative adeguate a proteggere i dati personali da distruzione, perdita, alterazione, divulgazione o accesso non autorizzati, accidentali o illeciti (articolo 32). Tra queste:
- Crittografia in transito: tutte le connessioni al servizio usano TLS.
- Crittografia a riposo: documenti e record del database sono archiviati cifrati a riposo dall'infrastruttura sottostante di Google Cloud / Firebase.
- Controlli di accesso: accesso con privilegio minimo per il personale, accesso autenticato per gli utenti dell'account e limitazione dell'accesso per documento, così i firmatari vedono solo ciò a cui sono invitati.
- Il sigillo PAdES e la cronologia di audit: ogni documento completato è sigillato con una firma digitale PAdES basata su standard e una marca temporale RFC 3161, e riporta una cronologia di audit a prova di manomissione. Qualsiasi modifica successiva ai byte rompe il sigillo, quindi l'integrità è verificabile indipendentemente da Mostly Tiny Ltd.
- Segregazione e hosting regionale: calcolo, database e archiviazione dei documenti girano nella regione Google Cloud europe-west2 (Londra); l'accesso (Firebase Authentication) gira negli Stati Uniti (vedi sezione 9).
8Sub-responsabili
Il titolare autorizza Mostly Tiny Ltd a incaricare i sub-responsabili indicati di seguito per fornire il servizio. Ciascuno è vincolato da condizioni di protezione dei dati non meno tutelanti del presente DPA. Mostly Tiny Ltd resta responsabile nei confronti del titolare per l'operato dei propri sub-responsabili.
| Sub-responsabile | Finalità | Ubicazione |
|---|---|---|
| Google Cloud / Firebase | Hosting dell'applicazione, database, archiviazione dei documenti e accesso | Regno Unito — europe-west2 (Londra); hosting del sito web: rete globale di Google; accesso (Firebase Authentication): USA |
| Stripe | Pagamenti degli abbonamenti e fatturazione (solo dati del titolare dell'account) | UE / USA (SCC) |
| Resend | Invio di email transazionali (inviti alla firma e notifiche) | USA (SCC) |
Mostly Tiny Ltd darà al titolare un ragionevole preavviso di qualsiasi intenzione di aggiungere o sostituire un sub-responsabile, offrendogli la possibilità di opporsi per ragionevoli motivi di protezione dei dati.
9Trasferimenti internazionali
Documenti, cronologie di audit e database di MostlySign sono ospitati per impostazione predefinita nel Regno Unito (Londra, europe-west2). L'accesso utilizza Firebase Authentication, che Google gestisce solo negli Stati Uniti, e l'account Mostly Tiny del titolare dell'account (nome e indirizzo email) è conservato da Mostly Tiny ID, il cui database si trova negli Stati Uniti. I trasferimenti a Google LLC negli Stati Uniti si basano sull'estensione del Regno Unito all'EU-US Data Privacy Framework (e, per i dati soggetti al GDPR dell'UE, sull'EU-US Data Privacy Framework), a entrambi i quali Google LLC è certificata. I dati personali soggetti al GDPR dell'UE raggiungono i nostri server nel Regno Unito in base alla decisione di adeguatezza della Commissione europea per il Regno Unito (decisione di esecuzione (UE) 2021/1772, come modificata dalla decisione di esecuzione (UE) 2025/2574). Quando un altro sub-responsabile tratta dati personali al di fuori del Regno Unito / SEE, ad esempio per email transazionali o pagamenti, tali trasferimenti avvengono con una garanzia adeguata, di norma le clausole contrattuali standard (SCC) della Commissione europea e l'addendum del Regno Unito sul trasferimento internazionale dei dati, insieme alle eventuali misure supplementari richieste. Mostly Tiny Ltd non trasferisce altrimenti i dati personali del titolare al di fuori del Regno Unito / SEE.
10Assistenza per i diritti degli interessati
Tenendo conto della natura del trattamento, Mostly Tiny Ltd assiste il titolare, con misure tecniche e organizzative adeguate e per quanto ragionevolmente possibile, nell'adempimento dell'obbligo di rispondere alle richieste degli interessati che esercitano i loro diritti (accesso, rettifica, cancellazione, limitazione, portabilità e opposizione). Gran parte di ciò il titolare può farlo direttamente dal servizio; per quanto non possa fare, Mostly Tiny Ltd lo aiuterà su richiesta. Se un interessato contatta direttamente Mostly Tiny Ltd riguardo ai dati del titolare, Mostly Tiny Ltd lo indirizzerà al titolare.
11Notifica delle violazioni
Mostly Tiny Ltd notificherà al titolare senza ingiustificato ritardo la violazione dei dati personali di cui venga a conoscenza e che riguardi i dati del titolare, e fornirà le informazioni ragionevolmente disponibili per aiutarlo a rispettare i propri obblighi di notifica verso le autorità di controllo e gli interessati. Mostly Tiny Ltd assiste inoltre il titolare, ove opportuno, nelle valutazioni d'impatto sulla protezione dei dati e nella consultazione preventiva (articoli 35–36).
12Cancellazione o restituzione alla cessazione
Alla cessazione del servizio, e a scelta del titolare, Mostly Tiny Ltd cancellerà o restituirà i dati personali del titolare e cancellerà le copie esistenti, salvo che la conservazione sia richiesta dalla legge. I documenti completati e sigillati restano disponibili per l'esportazione fino al termine del periodo di conservazione; dopodiché vengono cancellati dai sistemi attivi. I backup ordinari vengono eliminati secondo la normale rotazione.
13Diritti di audit
Mostly Tiny Ltd mette a disposizione del titolare le informazioni ragionevolmente necessarie a dimostrare il rispetto dell'articolo 28 e consente e contribuisce alle attività di revisione, comprese le ispezioni, condotte dal titolare o da un revisore da lui incaricato. In prima istanza ciò è soddisfatto dalla documentazione e dalle informazioni che Mostly Tiny Ltd fornisce su richiesta; gli audit in loco, se davvero necessari, sono concordati con ragionevole preavviso, in orario lavorativo e senza indebita interruzione del servizio o di altri clienti.
14Responsabilità
La responsabilità di ciascuna parte derivante dal presente DPA o ad esso connessa è soggetta alle limitazioni ed esclusioni di responsabilità previste nell'accordo tra le parti (i termini di servizio di MostlySign). Nulla nel presente DPA limita la responsabilità di una parte laddove essa non possa essere legalmente limitata, e ciascuna parte resta responsabile dei propri obblighi di conformità ai sensi della normativa applicabile in materia di protezione dei dati.
15Disposizioni generali
In caso di conflitto tra il presente DPA e i termini di servizio di MostlySign in materia di trattamento dei dati personali, prevale il presente DPA. Se una disposizione risulta inapplicabile, le altre restano in vigore. Il presente DPA è regolato dalla legge di Inghilterra e Galles, in coerenza con l'accordo sottostante.