Data Processing Agreement (DPA)
Ultimo aggiornamento: agosto 2026
Il presente DPA integra i Termini di Servizio e disciplina, ai sensi dell'art. 28 GDPR, il trattamento dei dati personali che Hermes Marketing S.r.l. ("Responsabile del trattamento") effettua per conto del cliente titolare del sito configurato su SEOHermes ("Titolare del trattamento") nell'erogazione del servizio. Utilizzando SEOHermes per trattare dati personali di terzi (es. tramite Google Search Console o i contenuti pubblicati sul sito) il cliente accetta i termini di questo documento, che ha valore di accordo ai sensi dell'art. 28.3 GDPR. Per una versione firmata separatamente, scrivi a info@hermesmarketing.it.
1. Oggetto e durata
Il Responsabile tratta dati personali per conto del Titolare esclusivamente per erogare il servizio SEOHermes (generazione e pubblicazione di contenuti, analisi SEO/GEO, integrazione con WordPress e Google Search Console). La durata coincide con quella dell'abbonamento attivo, più il periodo di conservazione post-cancellazione indicato nella Privacy Policy §6.
2. Natura e finalità del trattamento
Trattamento tramite sistemi informatici (database, AI generativa, hosting) per conto del Titolare, con la finalità di generare, ottimizzare e pubblicare contenuti sul sito web del Titolare e fornire analytics SEO/GEO correlate.
3. Categorie di interessati e di dati
Interessati: utenti finali del sito del Titolare i cui dati compaiono in query/URL di Google Search Console (se collegata), e persone fisiche eventualmente nominate nei contenuti generati su istruzione del Titolare. Categorie di dati: dati di navigazione aggregati da Search Console (query, click, impression, posizione — nessun dato identificativo diretto), nessuna categoria particolare di dati (art. 9 GDPR) trattata per finalità del servizio.
4. Istruzioni del Titolare
Il Responsabile tratta i dati solo su istruzione documentata del Titolare (configurazione del prodotto, contenuti richiesti) e non li utilizza per finalità proprie diverse dall'erogazione ed evoluzione del servizio, né li vende o cede a terzi per finalità di marketing.
5. Sub-responsabili autorizzati
Supabase (database e autenticazione, UE), Stripe (pagamenti, USA — PCI DSS), Anthropic (generazione testi AI, USA), Replicate (generazione immagini AI, USA), Vercel (hosting, USA), Resend (email transazionali), DataForSEO (dati keyword), Sentry (monitoraggio errori, USA), Google LLC (OAuth Search Console, se attivato, USA). Il Titolare autorizza in generale il ricorso a questi sub-responsabili; eventuali sostituzioni vengono comunicate con ragionevole preavviso via email o changelog del prodotto. Tutti i trasferimenti extra-UE sono coperti da Standard Contractual Clauses.
6. Misure di sicurezza
Cifratura delle credenziali sensibili (password WordPress, chiavi API) at-rest con AES-256-GCM; isolamento dei dati multi-tenant tramite Row Level Security a livello di database (ogni cliente accede solo ai propri dati); connessioni TLS in transito; accesso amministrativo limitato e autenticato; header di sicurezza HTTP standard (HSTS, CSP, X-Frame-Options).
7. Assistenza al Titolare
Il Responsabile assiste il Titolare, nei limiti di quanto ragionevolmente possibile con la natura del servizio, nel rispondere a richieste di esercizio dei diritti degli interessati e negli adempimenti di cui agli artt. 32-36 GDPR (sicurezza, notifica di violazioni, valutazioni d'impatto).
8. Data breach
In caso di violazione dei dati personali che coinvolga dati trattati per conto del Titolare, il Responsabile lo notifica senza ingiustificato ritardo e comunque entro 72 ore dalla scoperta, con le informazioni disponibili sulla natura della violazione e le misure adottate.
9. Cancellazione o restituzione dei dati
Alla cessazione del rapporto, su richiesta del Titolare (info@hermesmarketing.it) i dati vengono cancellati definitivamente entro 30 giorni, salvo obblighi di legge che ne impongano la conservazione (es. dati fiscali). Vedi Privacy Policy §6-7 per i dettagli operativi.
10. Audit
Il Titolare può richiedere, con ragionevole preavviso e senza oneri sproporzionati per il Responsabile, informazioni ed evidenze documentali a supporto della conformità del trattamento a quanto qui descritto.