DPA – boks

ACCORDO SUL TRATTAMENTO DEI DATI PERSONALI BOKS

Aggiornamento: 08 Luglio 2026

- SEZIONE I -

Clausola 1 — Oggetto e ambito di applicazione

a) Le presenti clausole contrattuali tipo (di seguito le «clausole») mirano a garantire il rispetto dell'articolo 28, paragrafi 3 e 4, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati).

b) I titolari del trattamento e i responsabili del trattamento elencati nell'allegato I hanno accettato le presenti clausole al fine di garantire il rispetto dell'articolo 28, paragrafi 3 e 4, del regolamento (UE) 2016/679.

c) Le presenti clausole si applicano al trattamento dei dati personali come specificato nell'allegato II.

d) Gli allegati da I a IV costituiscono parte integrante delle clausole.

e) Le presenti clausole non pregiudicano gli obblighi cui il titolare del trattamento è soggetto ai sensi del regolamento (UE) 2016/679.

f) Le presenti clausole non garantiscono di per sé il rispetto degli obblighi relativi ai trasferimenti internazionali conformemente al capo V del regolamento (UE) 2016/679.

Clausola 2 — Invariabilità delle clausole

a) Le parti si impegnano a non modificare le clausole, salvo per aggiungere le informazioni agli allegati o aggiornare le informazioni in essi contenute.

b) Ciò non impedisce alle parti di includere le clausole contrattuali tipo stabilite nelle presenti clausole in un contratto più ampio o di aggiungere altre clausole o garanzie supplementari, purché queste non contraddicano, direttamente o indirettamente, le presenti clausole o ledano i diritti o le libertà fondamentali degli interessati.

Clausola 3 — Interpretazione

a) Laddove le presenti clausole utilizzino termini definiti rispettivamente nel regolamento (UE) 2016/679, tali termini hanno lo stesso significato attribuito loro nel regolamento in questione.

b) Le presenti clausole vanno lette e interpretate alla luce delle disposizioni del regolamento (UE) 2016/679.

c) Le presenti clausole non vanno interpretate in un senso contrario ai diritti e agli obblighi previsti nel regolamento (UE) 2016/679 o in modo tale da ledere i diritti o le libertà fondamentali degli interessati.

Clausola 4 — Gerarchia

In caso di contraddizione tra le presenti clausole e le disposizioni di accordi correlati tra le parti in vigore al momento dell'accettazione delle presenti clausole o conclusi successivamente, prevalgono le presenti clausole.

- SEZIONE II - OBBLIGHI DELLE PARTI

Clausola 6 — Descrizione del trattamento o dei trattamenti

I dettagli delle operazioni di trattamento, in particolare le categorie di dati personali e le finalità del trattamento per cui i dati personali sono trattati per conto del titolare del trattamento, sono specificati nell'allegato II.

Clausola 7 — Obblighi delle parti

7.1. Istruzioni

a) Il responsabile del trattamento tratta i dati personali soltanto su istruzione documentata del titolare del trattamento, salvo che lo richieda il diritto dell'Unione o dello Stato membro cui è soggetto il responsabile del trattamento. In tal caso, il responsabile del trattamento informa il titolare del trattamento circa tale obbligo giuridico prima del trattamento, a meno che il diritto in questione lo vieti per rilevanti motivi di interesse pubblico. Il titolare del trattamento può altresì impartire ulteriori istruzioni durante tutto il trattamento dei dati personali. Tali istruzioni sono sempre documentate.

b) Il responsabile del trattamento informa immediatamente il titolare del trattamento qualora ritenga che le istruzioni impartite dal titolare del trattamento violino il regolamento (UE) 2016/679 o altre disposizioni dell'Unione o degli Stati membri relative alla protezione dei dati.

7.2. Limitazione della finalità

Il responsabile del trattamento tratta i dati personali soltanto per la finalità o le finalità specifiche del trattamento indicate nell'allegato II, salvo che riceva ulteriori istruzioni dal titolare del trattamento.

7.3. Durata del trattamento dei dati personali

Il trattamento da parte del responsabile del trattamento avviene soltanto per la durata indicata nell'allegato II.

7.4. Sicurezza del trattamento

a) Il responsabile del trattamento attua almeno le misure tecniche e organizzative specificate nell'allegato III per garantire la sicurezza dei dati personali. Ciò comprende la protezione dei dati da una violazione della sicurezza che comporti accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati (violazione dei dati personali). Nel valutare l'adeguato livello di sicurezza, le parti tengono debitamente conto dello stato dell'arte, dei costi di attuazione, nonché della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento e dei rischi per gli interessati.

b) Il responsabile del trattamento concede al suo personale l'accesso ai dati personali oggetto del trattamento soltanto nella misura strettamente necessaria all'esecuzione, alla gestione e al controllo del contratto. Il responsabile del trattamento garantisce che le persone autorizzate al trattamento dei dati personali ricevuti si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza.

7.5. Dati sensibili

Se il trattamento riguarda dati personali che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche o l'appartenenza sindacale, dati genetici o dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all'orientamento sessuale della persona, o dati relativi a condanne penali e reati («dati sensibili»), il responsabile del trattamento applica limitazioni specifiche e/o garanzie supplementari.

7.6. Documentazione e conformità

a) Le parti devono essere in grado di dimostrare la conformità alle presenti clausole.

b) Il responsabile del trattamento dà seguito prontamente e adeguatamente alle richieste del titolare del trattamento relative al trattamento dei dati a norma delle presenti clausole.

c) Il responsabile del trattamento mette a disposizione del titolare del trattamento tutte le informazioni necessarie per dimostrare il rispetto degli obblighi stabiliti nelle presenti clausole e derivanti direttamente dal regolamento (UE) 2016/679. Su richiesta del titolare del trattamento, il responsabile del trattamento consente e contribuisce inoltre alle attività di revisione delle attività di trattamento contemplate dalle presenti clausole, a intervalli ragionevoli o in presenza di indizi di non conformità. Nel decidere in merito a un riesame o a un'attività di revisione, il titolare del trattamento può tenere conto delle pertinenti certificazioni in possesso del responsabile del trattamento.

d) Il titolare del trattamento può scegliere di condurre l'attività di revisione autonomamente o incaricare un revisore indipendente. Le attività di revisione possono comprendere ispezioni presso i locali o le strutture fisiche del responsabile del trattamento e, se del caso, sono effettuate con ragionevole preavviso.

e) Le parti mettono a disposizione dell'autorità di controllo competente, o delle autorità di controllo competenti, su richiesta, le informazioni di cui alla presente clausola, compresi i risultati di eventuali attività di revisione.

7.7. Ricorso a sub-responsabili del trattamento

Il responsabile del trattamento è titolare dell'autorizzazione generale del titolare del trattamento per il ricorso a sub-responsabili del trattamento figuranti in un elenco concordato. Il responsabile del trattamento informa specificamente per iscritto il titolare del trattamento di qualsiasi intenzione di modificare tale elenco mediante l'aggiunta o la sostituzione di sub-responsabili del trattamento con almeno tre (3) mesi di anticipo, dando in tal modo al titolare del trattamento tempo sufficiente per poter opporsi a tali modifiche prima del ricorso al sub-responsabile o ai sub-responsabili del trattamento in questione. Il responsabile del trattamento fornisce al titolare del trattamento le informazioni necessarie per consentirgli di esercitare il proprio diritto di opporsi.

b) Quando ricorre a un sub-responsabile del trattamento affinché esegua attività di trattamento specifiche (per conto del titolare del trattamento), il responsabile del trattamento procede mediante un contratto che impone al sub-responsabile del trattamento, in sostanza, gli stessi obblighi in materia di protezione dei dati cui è soggetto il responsabile del trattamento a norma delle presenti clausole. Il responsabile del trattamento garantisce che il sub-responsabile del trattamento rispetti gli obblighi cui è soggetto il responsabile del trattamento a norma delle presenti clausole e del regolamento (UE) 2016/679.

c) Su richiesta del titolare del trattamento, il responsabile del trattamento gli fornisce copia di tale contratto con il sub-responsabile del trattamento e di eventuali successive modifiche. Nella misura necessaria per proteggere segreti aziendali o altre informazioni riservate, comprese i dati personali, il responsabile del trattamento può espungere il testo del contratto prima di condividerne copia.

d) Il responsabile del trattamento resta pienamente responsabile, nei confronti del titolare del trattamento, dell'adempimento degli obblighi del sub-responsabile del trattamento a norma del contratto con quest'ultimo. Il responsabile del trattamento comunica al titolare del trattamento qualsiasi inadempimento del sub-responsabile del trattamento rispetto agli obblighi contrattuali.

e) Il responsabile del trattamento concorda una clausola a beneficio di terzi con il sub-responsabile del trattamento in base alla quale, nel caso in cui il responsabile del trattamento cessi di esistere di fatto o giuridicamente o sia divenuto insolvente, il titolare del trattamento abbia il diritto di risolvere il contratto con il sub-responsabile del trattamento e di dare istruzione al sub-responsabile del trattamento di cancellare o restituire i dati personali.

7.8. Trasferimenti internazionali

a) Il trasferimento di dati verso un paese terzo o un'organizzazione internazionale da parte del responsabile del trattamento avviene soltanto sulla base di istruzioni documentate del titolare del trattamento o al fine di adempiere a una specifica disposizione del diritto dell'Unione o dello Stato membro cui è soggetto il responsabile del trattamento ed è effettuato conformemente al capo V del regolamento (UE) 2016/679.

b) Il titolare del trattamento conviene che, quando il responsabile del trattamento ricorre a un sub-responsabile del trattamento conformemente alla clausola 7.7 per l'esecuzione di attività di trattamento specifiche (per conto del titolare del trattamento) e tali attività di trattamento comportano un trasferimento di dati personali ai sensi del capo V del regolamento (UE) 2016/679, il responsabile del trattamento e il sub-responsabile del trattamento possono garantire il rispetto del capo V del regolamento (UE) 2016/679 mediante il ricorso alle clausole contrattuali tipo adottate dalla Commissione conformemente all'articolo 46, paragrafo 2, del regolamento (UE) 2016/679, purché siano soddisfatte le condizioni per il ricorso a tali clausole contrattuali tipo.

Clausola 8 — Assistenza al titolare del trattamento

a) Il responsabile del trattamento informa prontamente il titolare del trattamento di qualsiasi richiesta ricevuta dall'interessato. Non dà seguito autonomamente alla richiesta, a meno che non sia stato autorizzato in tal senso dal titolare del trattamento.

b) Tenuto conto della natura del trattamento, il responsabile del trattamento assiste il titolare del trattamento nell'adempiere all'obbligo di dare seguito alle richieste degli interessati che esercitano i propri diritti. Nell'adempiere ai propri obblighi conformemente alle lettere a) e b), il responsabile del trattamento si attiene alle istruzioni del titolare del trattamento.

c) Oltre all'obbligo del responsabile del trattamento di assistere il titolare del trattamento conformemente alla clausola 8, lettera b), il responsabile del trattamento assiste inoltre il titolare del trattamento nel garantire il rispetto dei seguenti obblighi, tenuto conto della natura del trattamento e delle informazioni a disposizione del responsabile del trattamento:

1) l'obbligo di effettuare una valutazione dell'impatto dei trattamenti previsti sulla protezione dei dati personali («valutazione d'impatto sulla protezione dei dati») quando un tipo di trattamento può presentare un rischio elevato per i diritti e le libertà delle persone fisiche;

2) l'obbligo di consultare l'autorità di controllo competente, o le autorità di controllo competenti, prima di procedere al trattamento, qualora la valutazione d'impatto sulla protezione dei dati indichi che il trattamento presenterebbe un rischio elevato in assenza di misure adottate dal titolare del trattamento per attenuare tale rischio;

3) l'obbligo di garantire che i dati personali siano esatti e aggiornati, informando senza indugio il titolare del trattamento qualora il responsabile del trattamento venga a conoscenza del fatto che i dati personali che tratta sono inesatti o obsoleti;

4) gli obblighi di cui all'articolo 32 del regolamento (UE) 2016/679.

d) Le parti stabiliscono nell'allegato III le adeguate misure tecniche e organizzative con cui il responsabile del trattamento è tenuto ad assistere il titolare del trattamento nell'applicazione della presente clausola, nonché l'ambito di applicazione e la portata dell'assistenza richiesta.

Clausola 9 — Notifica di una violazione dei dati personali

In caso di violazione dei dati personali, il responsabile del trattamento coopera con il titolare del trattamento e lo assiste affinché quest'ultimo possa adempiere ai propri obblighi a norma degli articoli 33 e 34 del regolamento (UE) 2016/679, ove applicabile, tenuto conto della natura del trattamento e delle informazioni a disposizione del responsabile del trattamento.

9.1. Violazione dei dati riguardante i dati trattati dal titolare del trattamento

In caso di violazione dei dati personali riguardante dati trattati dal titolare del trattamento, il responsabile del trattamento assiste il titolare del trattamento:

a) nel notificare la violazione dei dati personali all'autorità di controllo competente, o alle autorità di controllo competenti, senza ingiustificato ritardo dopo che il titolare del trattamento ne è venuto a conoscenza, ove pertinente (a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche);

b) nell'ottenere le seguenti informazioni che, conformemente all'[OPZIONE 1] articolo 33, paragrafo 3, del regolamento (UE) 2016/679, devono essere indicate nella notifica del titolare del trattamento e comprendono almeno:

1) la natura dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati in questione nonché le categorie e il numero approssimativo di registrazioni dei dati personali in questione;

2) le probabili conseguenze della violazione dei dati personali;

3) le misure adottate o di cui si propone l'adozione da parte del titolare del trattamento per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi.

Qualora, e nella misura in cui, non sia possibile fornire tutte le informazioni contemporaneamente, la notifica iniziale contiene le informazioni disponibili in quel momento e le ulteriori informazioni sono fornite successivamente, non appena disponibili, senza ingiustificato ritardo;

c) nell'adempiere, conformemente all'articolo 34 del regolamento (UE) 2016/679, all'obbligo di comunicare senza ingiustificato ritardo la violazione dei dati personali all'interessato, quando la violazione dei dati personali è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche.

9.2. Violazione dei dati riguardante i dati trattati dal responsabile del trattamento

In caso di violazione dei dati personali riguardante dati trattati dal responsabile del trattamento, quest'ultimo la notifica al titolare del trattamento senza ingiustificato ritardo dopo esserne venuto a conoscenza. Tale notifica contiene almeno:

a) una descrizione della natura della violazione (compresi, ove possibile, le categorie e il numero approssimativo di interessati e di registrazioni dei dati personali in questione);

b) i dati di contatto di un punto di contatto presso cui possono essere ottenute maggiori informazioni sulla violazione dei dati personali;

c) le probabili conseguenze e le misure adottate o di cui si propone l'adozione per porre rimedio alla violazione, compreso, se del caso, per attenuarne i possibili effetti negativi.

Le parti stabiliscono nell'allegato III tutti gli altri elementi che il responsabile del trattamento deve fornire nell'assistere il titolare del trattamento affinché quest'ultimo possa adempiere ai propri obblighi a norma degli articoli 33 e 34 del regolamento (UE) 2016/679.

- SEZIONE III - DISPOSIZIONI FINALI

Clausola 10 — Inosservanza delle clausole e risoluzione

a) Fatte salve le disposizioni del regolamento (UE) 2016/679, in caso di inadempimento da parte del responsabile del trattamento degli obblighi che gli incombono a norma delle presenti clausole, il titolare del trattamento può dare istruzione al responsabile del trattamento di sospendere il trattamento dei dati personali fino a quando quest'ultimo non rispetti le presenti clausole o il contratto non sia risolto. Il responsabile del trattamento informa prontamente il titolare del trattamento qualora non sia in grado, per qualsiasi motivo, di rispettare le presenti clausole.

b) Il titolare del trattamento ha il diritto di risolvere il contratto nella misura in cui riguarda il trattamento dei dati personali conformemente alle presenti clausole se:

1) il titolare del trattamento ha sospeso il trattamento dei dati personali da parte del responsabile del trattamento a norma della lettera a) e se il rispetto delle presenti clausole non è ripristinato entro un lasso di tempo ragionevole e comunque entro un mese dalla sospensione;

2) il responsabile del trattamento è in violazione grave o persistente delle presenti clausole o degli obblighi che gli incombono a norma del regolamento (UE) 2016/679;

3) il responsabile del trattamento non rispetta una decisione vincolante di un organo giurisdizionale competente o dell'autorità di controllo competente, o delle autorità di controllo competenti, per quanto riguarda gli obblighi che gli incombono a norma delle presenti clausole o del regolamento (UE) 2016/679.

c) Il responsabile del trattamento ha il diritto di risolvere il contratto nella misura in cui riguarda il trattamento dei dati personali a norma delle presenti clausole quando, dopo aver informato il titolare del trattamento che le sue istruzioni violano i requisiti giuridici applicabili conformemente alla clausola 7.1, lettera b), il titolare del trattamento insiste sul rispetto delle istruzioni.

d) A seguito della risoluzione del contratto, il responsabile del trattamento, a scelta del titolare del trattamento, cancella tutti i dati personali trattati per conto del titolare del trattamento e certifica al titolare del trattamento di averlo fatto, oppure restituisce al titolare del trattamento tutti i dati personali e cancella le copie esistenti a meno che il diritto dell'Unione o dello Stato membro non richieda la conservazione dei dati personali. Fino alla cancellazione o alla restituzione dei dati, il responsabile del trattamento continua a garantire il rispetto delle presenti clausole.

- ALLEGATO 1 -

Elenco delle parti

Titolare del trattamento: Adrien Oksman

Il Cliente di BOKS ai sensi delle CGV (accessibili dal seguente link: https://www.boks.app/pages/conditions-generales-de-vente) e delle CGU (accessibili dal seguente link: https://www.boks.app/pages/conditions-generales-dutilisation).

Responsabile del trattamento: BOKS, société par actions simplifiée con capitale sociale di 10 €, con sede legale in 8 RUE REAUMUR 75003 PARIS, iscritta al Registro del Commercio e delle Società di Parigi con il numero 991 499 971, rappresentata da Pinsk che agisce e dispone dei poteri necessari in qualità di presidente - Contatto: +33 1 87 65 05 87 (costo di una chiamata locale - disponibile dalle 09:00 alle 12:00 e dalle 14:00 alle 18:00, esclusi i fine settimana e i giorni festivi) - info@boks.app

- ALLEGATO II -

Descrizione del trattamento

Categorie di interessati i cui dati personali sono trattati

Utenti delle box per i pacchi

Categorie di dati personali trattati

Cognome
Nome
Indirizzo email
Indirizzo fisico
Numero di telefono

Dati sensibili trattati (se del caso) e limitazioni o garanzie applicate che tengono pienamente conto della natura dei dati e dei rischi connessi, quali, ad esempio, la limitazione rigorosa della finalità, le restrizioni di accesso (compreso l'accesso riservato unicamente al personale che ha seguito una formazione specializzata), la tenuta di un registro degli accessi ai dati, le restrizioni applicabili ai trasferimenti ulteriori o misure di sicurezza supplementari.

Nessuno

Natura del trattamento

Hosting e gestione

Finalità per cui i dati personali sono trattati per conto del titolare del trattamento

Consentire di fornire i Servizi e di far funzionare le box per i pacchi secondo i servizi e gli abbonamenti sottoscritti

Durata del trattamento

Tutta la durata di utilizzo dei servizi + cinque anni.

- ALLEGATO III -

Misure tecniche e organizzative, comprese misure tecniche e organizzative intese a garantire la sicurezza dei dati

Pseudonimizzazione e cifratura dei dati personali;
Sottoscrizione di contratti di accesso ai servizi di hosting con elevato livello di SLA e bassa percentuale di tempo di indisponibilità;
Revisione e test regolari dell'intero codice sorgente degli strumenti utilizzati da Boks;
Utilizzo di identificativi personali per tutti gli strumenti che ospitano dati personali;
Cifratura dei dati trasmessi OTA;
Sottoscrizione di contratti di hosting con ridondanze di archiviazione;
Uffici centrali sicuri e sorvegliati 24 ore su 24 e 7 giorni su 7
Minimizzazione della quantità di dati utilizzati a fini di sicurezza e costi sinergici

- ALLEGATO IV -

Elenco dei sub-responsabili del trattamento

Il titolare del trattamento ha autorizzato il ricorso ai seguenti sub-responsabili del trattamento:

1. Salesforce

Indirizzo: Salesforce.com France SAS, 3 Avenue Octave Gréard, 75007 Paris, France
Contatto: Service du Délégué à la Protection des Données / Office of the Global Privacy Counsel - dpo@salesforce.com
Descrizione del trattamento: hosting del backoffice tecnologico delle attività della società, archiviazione e aggiornamento dei recapiti fisici, telefonici e digitali

2. Amazon Web Services

Indirizzo: AWS EMEA SARL (Succursale Française), Tour Carpe Diem, 31 Place des Corolles, 92400 Courbevoie
Contatto: Amazon GDPR Data Protection Officer (DPO) - aws-eu-privacy@amazon.com
Descrizione del trattamento: hosting del backoffice amministrativo delle attività della società, archiviazione e aggiornamento dei recapiti fisici, telefonici e digitali

3. Odoo

Indirizzo: Odoo S.A., Chaussée de Namur 40, 1367 Grand-Rosière, Belgique.
Contatto: Responsable RGPD / Data Protection Officer - privacy@odoo.com
Descrizione del trattamento: ERP generale della società

4. Shopify

Indirizzo: Shopify International Limited, c/o Intertrust Ireland, 2nd Floor, 1-2 Victoria Buildings, Haddington Road, Dublin 4, D04 XN32, Irlande
Contatto: Data Protection Officer (DPO) / Service Protection des Données - privacy@shopify.com
Descrizione del trattamento: Hosting del sito web della società e gestione dei pagamenti online

5. Brevo

Indirizzo: Brevo SAS (anciennement Sendinblue), 106 Boulevard Voltaire, 75011 Paris, France
Contatto: Délégué à la Protection des Données (DPO) - dpo@brevo.com
Descrizione del trattamento: motore di invio delle email automatiche ai clienti della società

Il tuo carrello è vuoto