Data Processing Agreement (DPA) — MARCØ

Document version: 1.0 Effective date: 2026-05-18 Last review: 2026-09-11 Reference: GDPR Art. 28 — Regulation (EU) 2016/679 Applicable also to: UK GDPR (Data Protection Act 2018), Swiss FADP (revFADP) Languages: Italiano (primary) + English (operative summaries per international clients)

⚠️ Legal review status: Production-ready template — final pre-signature review by external counsel scheduled M9 hardening (target 2026-06-15). Until that point, this DPA is binding upon execution between Parties but Parties acknowledge potential clarifying amendments shall be communicated with 30-day notice.

---

TABLE OF CONTENTS

1. Preamble
2. Definitions
3. Subject Matter and Duration
4. Controller Obligations
5. Processor Obligations
6. Sub-processors
7. International Transfers
8. Security Measures
9. Personal Data Breach Notification
10. Data Subject Rights Assistance
11. Audit and Inspection Rights
12. Federated Intelligence Specific Clauses
13. Liability and Indemnification
14. Termination and Data Return/Deletion
15. Governing Law and Jurisdiction
16. Annexes
    • Annex I — Description of Processing
    • Annex II — Technical and Organisational Measures (TOMs)
    • Annex III — Sub-processors List
    • Annex IV — Standard Contractual Clauses (SCCs)

---

1. Preamble

Italiano

Il presente Data Processing Agreement (di seguito "DPA" o "Accordo") è stipulato tra:

Titolare del Trattamento (Data Controller):

• Denominazione: ___________________________ (di seguito "Cliente" o "Titolare")
• Sede legale: ___________________________
• Partita IVA / VAT: ___________________________
• Email contatto privacy: ___________________________
• Rappresentante legale: ___________________________

Responsabile del Trattamento (Data Processor):

• Denominazione: Telos Intelligence LLC, che gestisce la piattaforma MARCØ (di seguito "MARCØ" o "Responsabile")
• Sede legale: Stato del Wyoming, Stati Uniti d'America
• Forma giuridica: Limited Liability Company di diritto del Wyoming (USA), senza partita IVA italiana
• Rappresentante legale: Sokol Petro
• Email contatto privacy: [email protected]
• Data Protection Officer: [email protected]

Il presente DPA è parte integrante del Master Service Agreement (MSA) sottoscritto dalle Parti per la fornitura della piattaforma MARCØ (di seguito "Servizio"), e disciplina il trattamento dei Dati Personali del Titolare da parte del Responsabile in conformità al Regolamento (UE) 2016/679 ("GDPR"), al UK GDPR, allo Swiss revFADP e, ove applicabile, alle clausole standard contrattuali ("SCCs") approvate dalla Decisione di Esecuzione (UE) 2021/914 della Commissione.

Le Parti riconoscono che:

• MARCØ agisce come Responsabile ai sensi dell'Art. 28 GDPR per il trattamento dei Dati Personali del Cliente nell'ambito della fornitura del Servizio;
• Il Cliente è Titolare dei Dati Personali trattati e ne determina finalità e mezzi del trattamento;
• Per il tier White-Label, si applica in aggiunta il DPA-WL (documento DPA-WL.md) con clausola cascade Responsabile-Sub-Responsabile (Art. 28(4) GDPR);
• Il presente DPA prevale su qualsiasi disposizione contraria contenuta nel MSA o in altri accordi tra le Parti per quanto riguarda la protezione dei Dati Personali.

English (operative summary)

This Data Processing Agreement ("DPA") is entered into between the Customer (acting as Controller) and Telos Intelligence LLC, a Wyoming (USA) limited liability company operating the MARCØ platform (acting as Processor), and forms an integral part of the Master Service Agreement (MSA) for the MARCØ platform. It governs Processor's processing of Personal Data on behalf of Controller in compliance with Regulation (EU) 2016/679 (GDPR), UK GDPR, Swiss revFADP, and where applicable the Standard Contractual Clauses approved by Commission Implementing Decision (EU) 2021/914.

For the White-Label tier, the additional DPA-WL.md applies with a cascade Processor-to-Sub-Processor clause pursuant to Art. 28(4) GDPR.

---

2. Definitions / Definizioni

I termini in maiuscolo non definiti nel presente DPA hanno il significato attribuito dal GDPR. In particolare:

---

3. Subject Matter & Duration

3.1 Oggetto

[IT] Il presente DPA disciplina il trattamento dei Dati Personali del Cliente da parte di MARCØ nell'ambito dell'erogazione del Servizio, che include — ma non si limita a — i seguenti scopi:

1. Fornitura della piattaforma SaaS multi-tenant MARCØ (analisi mercato, brand identity, sito web, SEO, contenuti, posting social automatizzato, analytics);
2. Esecuzione delle istruzioni documentate del Cliente in conformità all'Art. 28(3)(a) GDPR;
3. Manutenzione, supporto tecnico, debugging e backup dei Dati;
4. Compliance con obblighi di legge applicabili al Responsabile.

[EN] This DPA governs Processor's processing of Personal Data in the course of providing the MARCØ SaaS platform (market research, brand identity, website, SEO, content, social posting automation, analytics), executing Controller's documented instructions per Art. 28(3)(a) GDPR, maintenance/support/backup, and compliance with applicable laws.

3.2 Natura e Finalità

La natura del trattamento è descritta in dettaglio nell'Annex I — Description of Processing. Le finalità sono limitate a quelle necessarie per l'erogazione del Servizio. MARCØ NON tratterà Dati Personali per finalità ulteriori o incompatibili senza istruzioni esplicite documentate del Cliente.

3.3 Durata

[IT] Il presente DPA produce effetti dalla data di sottoscrizione del MSA e rimane in vigore per l'intera durata del MSA. In caso di cessazione del MSA — per qualsiasi causa — il DPA continuerà ad applicarsi limitatamente alle obbligazioni di restituzione, cancellazione e audit dei Dati come previsto al §14.

[EN] This DPA is effective from MSA signature and remains in force throughout MSA duration. Upon MSA termination, this DPA continues to govern data return, deletion, and audit obligations as per §14.

3.4 Tier-Specific Applicability

---

4. Controller Obligations

4.1 Conformità GDPR

[IT] Il Cliente, in qualità di Titolare:

1. Determina le finalità e i mezzi del trattamento dei Dati Personali in conformità all'Art. 24 GDPR;
2. Garantisce la liceità del trattamento per cui istruisce MARCØ ai sensi dell'Art. 6 GDPR (e Art. 9 per categorie particolari ove applicabile);
3. Raccoglie i consensi necessari dagli Interessati (suoi clienti finali, dipendenti, utenti) per il trattamento svolto tramite il Servizio;
4. Fornisce l'informativa privacy ai propri Interessati ai sensi degli Art. 13-14 GDPR;
5. Risponde direttamente alle richieste degli Interessati (Art. 12-23 GDPR), con il supporto operativo di MARCØ come previsto al §10;
6. Notifica eventuali violazioni dei Dati di propria responsabilità all'autorità competente entro 72 ore (Art. 33 GDPR);
7. Conduce DPIA ove richiesto dall'Art. 35 GDPR, con la collaborazione di MARCØ come previsto al §5.10.

4.2 Istruzioni Documentate

Il Cliente fornisce le proprie istruzioni a MARCØ tramite:

• Configurazione del Servizio (dashboard, settings tenant, API);
• Sottoscrizione del MSA + DPA (istruzioni standard ricomprese);
• Comunicazioni scritte a [email protected] per istruzioni ad-hoc;
• Ticket di supporto documentati nel sistema MARCØ.

MARCØ informerà tempestivamente il Cliente se, a suo parere, un'istruzione viola la normativa applicabile (Art. 28(3) ultimo comma GDPR).

4.3 Responsabilità per Contenuti Pubblicati

[IT] Qualora il Cliente inserisca manualmente Dati Personali di terzi (es. nomi/email di propri clienti) nei contenuti pubblicati tramite MARCØ (post social, copy, asset), la responsabilità del trattamento di tali Dati ricade integralmente sul Cliente come Titolare. MARCØ tratta tali contenuti come dati opachi (opaque payload) ai fini esclusivi della pubblicazione richiesta.

[EN] Where Customer manually inserts third-party Personal Data into content published via MARCØ, responsibility lies with Customer as Controller. MARCØ treats such content as opaque payload solely for the publication purpose.

---

5. Processor Obligations

MARCØ, in qualità di Responsabile, si impegna a:

5.1 Trattamento Conforme alle Istruzioni (Art. 28(3)(a))

[IT] Trattare i Dati Personali esclusivamente:

• Su istruzione documentata del Titolare;
• Per gli scopi specificati nell'Annex I — Description of Processing;
• Conformemente al GDPR e alle altre normative applicabili.

Eventuali trasferimenti extra-UE avvengono solo sulla base degli strumenti previsti al §7 (SCCs / DPF / Adeguatezza).

5.2 Riservatezza del Personale Autorizzato (Art. 28(3)(b))

MARCØ garantisce che il personale autorizzato al trattamento abbia sottoscritto accordi di riservatezza (NDA) o sia vincolato da un adeguato obbligo legale di riservatezza. L'accesso ai Dati Personali è limitato in base al principio del need-to-know e del least-privilege (vedi Annex II §2).

5.3 Misure di Sicurezza (Art. 28(3)(c) → Art. 32)

MARCØ implementa misure tecniche e organizzative adeguate descritte in dettaglio nell'Annex II — TOMs, tenendo conto:

• Stato dell'arte tecnologico;
• Costi di attuazione;
• Natura, ambito, contesto e finalità del trattamento;
• Rischio per i diritti e libertà delle persone fisiche.

Le TOMs sono soggette a revisione periodica (almeno semestrale) e ad aggiornamento in caso di evoluzione della tecnologia o emergenza di nuovi rischi.

5.4 Sub-Responsabili (Art. 28(3)(d) → Art. 28(2)+(4))

MARCØ può ricorrere a Sub-Responsabili (cd. "Sub-Processors") previa autorizzazione generale del Titolare, alle condizioni stabilite al §6 e nell'Annex III. Ogni Sub-Processor:

• È vincolato dagli stessi obblighi del presente DPA (back-to-back), almeno equivalenti;
• È valutato preliminarmente per la solidità GDPR (DPA esistente, certificazioni, sede dati);
• È monitorato continuativamente per breach, change of control, modifiche significative al servizio.

In caso di inadempimento di un Sub-Processor, MARCØ risponde direttamente al Titolare per l'esecuzione degli obblighi DPA (Art. 28(4) ultimo comma GDPR).

5.5 Diritti degli Interessati (Art. 28(3)(e) → Art. 12-23)

MARCØ assiste il Titolare nel rispondere alle richieste degli Interessati relative a:

• Accesso (Art. 15) → endpoint GET /api/v1/me/export + export JSON completo entro 30gg;
• Rettifica (Art. 16) → endpoint POST /api/v1/me/rectify + UI dashboard /settings;
• Cancellazione (Art. 17) → endpoint DELETE /api/v1/me/erase + soft-delete 30gg + hard-delete;
• Limitazione (Art. 18) → flag processing_restricted=true su tenant settings;
• Portabilità (Art. 20) → endpoint GET /api/v1/me/portability + JSON machine-readable;
• Opposizione (Art. 21) → PATCH /api/v1/tenants/me/federated-opt-in {opt_in: false};
• Profilazione automatica (Art. 22) → MARCØ NON applica decisioni esclusivamente automatizzate con effetti significativi sugli Interessati (cfr. §12).

SLA risposta: 30 giorni massimo (target: ≤7gg per export, ≤14gg per erase).

5.6 Assistenza in Adempimenti Art. 32-36 (Art. 28(3)(f))

MARCØ assiste il Titolare nell'adempimento degli obblighi:

• Art. 32 — Sicurezza del trattamento → vedi Annex II;
• Art. 33 — Notifica di violazione all'autorità → vedi §9;
• Art. 34 — Comunicazione di violazione agli Interessati → vedi §9;
• Art. 35 — DPIA → fornitura di tutte le informazioni tecniche/organizzative necessarie;
• Art. 36 — Consultazione preventiva con l'autorità.

5.7 Restituzione / Cancellazione Dati (Art. 28(3)(g))

A scelta del Titolare, al termine del Servizio (vedi §14):

• Restituzione completa dei Dati in formato machine-readable (JSON/CSV) entro 30 giorni;
• Cancellazione certificata entro 30 giorni dalla richiesta o dalla scadenza del MSA;
• Conservazione limitata se richiesta da normativa applicabile (es. 7 anni Stripe billing per obblighi fiscali).

5.8 Audit e Ispezione (Art. 28(3)(h))

MARCØ mette a disposizione del Titolare tutte le informazioni necessarie per dimostrare la conformità agli obblighi DPA e consente audit/ispezioni nei termini di cui al §11.

5.9 DPO Designato (Art. 37)

MARCØ ha designato un Data Protection Officer (DPO) raggiungibile a [email protected]. Soglia di formalizzazione: DPO interno (founder MARCØ) fino al raggiungimento di €1M ARR; DPO esterno certificato oltre tale soglia (target Q3 2026 M9 hardening).

5.10 Cooperazione DPIA

MARCØ supporta il Cliente nella conduzione di DPIA ai sensi dell'Art. 35 GDPR fornendo:

• Documentazione tecnica del Servizio (vedi docs/DPIA.md interno);
• Risk assessment delle 15 categorie di rischio identificate;
• TOMs documentate (Annex II);
• Architettura federated layer (docs/ARCHITECTURE.md §federated);
• Risposta a richieste integrative entro 14 giorni lavorativi.

---

6. Sub-processors

6.1 Autorizzazione Generale

[IT] Il Titolare conferisce a MARCØ autorizzazione generale all'ingaggio di Sub-Responsabili per l'esecuzione di specifiche attività di trattamento nell'ambito del Servizio, alle condizioni stabilite nel presente §6 e nell'Annex III.

L'elenco aggiornato dei Sub-Responsabili è pubblicato in tempo reale alla pagina pubblica https://app-marco.schedy.app/sub-processors ed è disponibile anche come endpoint API GET /api/v1/legal/sub-processors.

6.2 Notifica di Modifiche (30gg Notice Period)

In caso di:

• Aggiunta di un nuovo Sub-Responsabile;
• Sostituzione di un Sub-Responsabile esistente;
• Cambio significativo di scope (es. nuove categorie di Dati trattate da un Sub esistente);

MARCØ notificherà il Titolare via email all'indirizzo contatto privacy + changelog su /sub-processors almeno 30 giorni prima dell'attivazione.

6.3 Diritto di Obiezione

Entro 30 giorni dalla notifica, il Titolare ha diritto di obiettare motivatamente all'aggiunta/sostituzione del Sub-Responsabile per ragioni concrete e documentate inerenti la protezione dei Dati Personali. In tal caso:

• Le Parti dialogano in buona fede per identificare una soluzione alternativa;
• Se non viene raggiunto un accordo entro 45 giorni, il Titolare può risolvere il MSA con preavviso di 30 giorni, senza penali e con diritto al rimborso pro-quota delle fees prepagate;
• I dati saranno restituiti/cancellati come al §14.

6.4 Obblighi Contrattuali Back-to-Back

Ogni Sub-Responsabile è vincolato da contratto scritto (DPA o equivalente) con obblighi almeno equivalenti a quelli del presente DPA, incluse:

• Misure di sicurezza (Art. 32);
• Riservatezza del personale (Art. 28(3)(b));
• Cooperazione audit (Art. 28(3)(h));
• Notifica breach (Art. 33);
• Restituzione/cancellazione dati al termine;
• SCCs ove applicabile (Art. 46(2)(c)+(d)) per trasferimenti extra-UE.

6.5 Cascade White-Label Tier

Per il tier White-Label:

• MARCØ è Sub-Responsabile del WL Admin (Responsabile/Joint Controller dei propri clienti finali);
• Il WL Admin assume la responsabilità di ottenere DPA back-to-back dai propri clienti finali;
• Il WL Admin accetta la lista standard dei Sub-Responsabili MARCØ;
• Vedi DPA-WL.md per la regolazione completa della cascade.

---

7. International Transfers / Trasferimenti Internazionali

7.1 Localizzazione Primaria EU

[IT] MARCØ è gestita da Telos Intelligence LLC, società statunitense (Wyoming). L'infrastruttura di produzione (database, API, servizi interni) è gestita direttamente da Telos su hardware proprio situato in Italia (territorio UE) ed è raggiungibile dall'esterno solo tramite Cloudflare Tunnel. I Dati Personali sono memorizzati primariamente in territorio UE.

[EN] MARCØ is operated by Telos Intelligence LLC, a US (Wyoming) company. Production infrastructure (database, API, internal services) is operated directly by Telos on its own hardware located in Italy (EU territory) and is reachable from outside only through Cloudflare Tunnel. Personal Data is primarily stored within the EU.

7.2 Trasferimenti Extra-UE — Strumenti di Garanzia

Alcuni Sub-Responsabili sono basati al di fuori dello Spazio Economico Europeo (SEE). Per tali trasferimenti, MARCØ si avvale dei seguenti strumenti previsti dal Capo V del GDPR:

7.2.1 Standard Contractual Clauses (SCCs)

MARCØ ha sottoscritto con ciascun Sub-Responsabile extra-UE le SCCs approvate dalla Decisione di Esecuzione (UE) 2021/914 della Commissione del 4 giugno 2021, in particolare:

• Modulo 2 (Controller-to-Processor): tra Cliente (Controller) e MARCØ (Processor) quando MARCØ trasferisce direttamente a destinatari extra-UE;
• Modulo 3 (Processor-to-Sub-Processor): tra MARCØ (Processor) e i Sub-Processors extra-UE;
• Modulo 4 (Processor-to-Controller): ove applicabile per scenari inversi.

I moduli SCCs applicabili sono richiamati nell'Annex IV e sono parte integrante del presente DPA.

7.2.2 EU-US Data Privacy Framework (DPF)

Ove un Sub-Responsabile US sia certificato EU-US DPF (e/o UK Extension / Swiss-US DPF) ai sensi della Decisione di Adeguatezza Commissione UE del 10 luglio 2023, il trasferimento può avvenire sulla base di tale certificazione in via alternativa o complementare alle SCCs.

Lista dei Sub-Responsabili US e relativa copertura DPF/SCC: vedi Annex III.

7.2.3 Decisione di Adeguatezza

Trasferimenti verso Paesi con decisione di adeguatezza della Commissione UE (UK post-Brexit, Svizzera, Canada PIPEDA, Giappone APPI, etc.) avvengono sulla base di tale adeguatezza ai sensi dell'Art. 45 GDPR.

7.3 Schrems II Compliance & Transfer Impact Assessment (TIA)

In ottemperanza alla sentenza CJEU C-311/18 ("Schrems II") del 16 luglio 2020 e alle Raccomandazioni 01/2020 EDPB del 18 giugno 2021, MARCØ ha condotto una Transfer Impact Assessment (TIA) per ciascun trasferimento extra-UE, valutando:

1. Quadro legale del Paese destinatario (US: FISA 702, EO 12333, CLOUD Act);
2. Misure tecniche supplementari (end-to-end encryption, pseudonymization, split keys);
3. Misure contrattuali supplementari (informativa governmental access requests, sub-processor warranties);
4. Misure organizzative supplementari (need-to-know, training).

Risultato TIA per US sub-processors: trasferimento ammissibile con misure supplementari documentate in Annex II. TIA disponibile su richiesta tramite [email protected].

7.4 UK GDPR / Swiss FADP

Per Clienti soggetti a UK GDPR: applicabilità delle SCCs come "UK Addendum to EU SCCs" (ICO IDTA o UK Addendum versione B.1.0 del 21 marzo 2022).

Per Clienti soggetti a Swiss revFADP: applicabilità delle SCCs con adeguamenti previsti dal FDPIC del 27 agosto 2021 (incl. riferimenti a "Switzerland" e "Federal Data Protection and Information Commissioner").

---

8. Security Measures

MARCØ implementa le misure tecniche e organizzative descritte in dettaglio nell'Annex II — TOMs in conformità all'Art. 32 GDPR. Sintesi:

8.1 Encryption

• In transito: TLS 1.2/1.3 end-to-end + HSTS + certificate pinning ove applicabile;
• At rest (asset storage): Cloudflare R2 SSE-S3 (AES-256);
• Federated payloads: AES-256-GCM envelope encryption (cfr. §12.3).

8.2 Access Control

• Row-Level Security (RLS) PostgreSQL su ogni tabella tenant-scoped: isolation tenant_id enforced at DB level;
• JWT bearer auth con expiry 24h + refresh rotation;
• bcrypt password hash (cost factor 12);
• MFA obbligatorio per tier Agency+ (M7);
• RBAC 5-tier (super_admin / wl_admin / agency / member / viewer);
• Audit log session_id + trace_id su ogni request.

8.3 Pseudonymization (Federated Layer)

• HMAC-SHA256 per pseudonimizzazione tenant_id → tenant_id_pseudonym;
• Salt rotation 90 giorni (cron salt_rotation_cron.py);
• k-anonymity k≥5 enforced prima di qualunque aggregazione;
• PII Whitelist 12-field strict (vedi §12.2);
• Vedi docs/ARCHITECTURE.md §federated per dettagli.

8.4 Network Security

• OpenSwarm sidecar: rete Docker solo interna (docker-internal-only), mai esposta pubblicamente;
• Cloudflare WAF + rate limiting (30 req/s/IP nginx);
• License heartbeat 24h disconnect graceful;
• No porte pubbliche non necessarie;
• Egress restriction per LLM provider whitelist.

8.5 Resilience & Backups

• Backup: backup giornaliero del database su Cloudflare R2 (bucket privato, cifratura at rest AES-256), conservazione 30 giorni; ripristino verificato il 2026-09-11;
• Continuità operativa (alta disponibilità, piano di disaster recovery): in revisione dopo il passaggio all'infrastruttura attuale (settembre 2026).

8.6 Organizational

• DPO designato (interno fino €1M ARR, poi esterno);
• Training privacy annuale per personale autorizzato (M9);
• Incident response runbook documentato (cfr. §9);
• Privacy by Design + Default (Art. 25 GDPR);
• Audit log retention 12 mesi.

---

9. Personal Data Breach Notification

9.1 Definizione di Violazione

Ai sensi dell'Art. 4(12) GDPR, una "violazione dei Dati Personali" è una violazione di sicurezza che comporta accidentalmente o illecitamente:

• Distruzione, perdita, modifica dei Dati;
• Divulgazione o accesso non autorizzato.

9.2 Obbligo di Notifica al Titolare (≤72h, Art. 33(2))

[IT] In caso di violazione che coinvolga Dati Personali del Titolare, MARCØ:

1. Notifica al Titolare entro 72 ore dalla conoscenza della violazione (Art. 33(2) GDPR);
2. La notifica è inviata via email all'indirizzo privacy del Titolare + portale di supporto autenticato;
3. Include almeno le seguenti informazioni (Art. 33(3)):
   • Natura della violazione (categorie e numero approssimativo di Interessati / record coinvolti);
   • Categorie di Dati interessate;
   • Conseguenze probabili della violazione;
   • Misure adottate o proposte per affrontarla e mitigarla;
   • Punto di contatto per ulteriori informazioni (DPO MARCØ);
4. Se non è possibile fornire tutte le informazioni contestualmente, MARCØ effettua comunicazioni incrementali senza ulteriore ritardo.

[EN] Upon becoming aware of a breach involving Controller's Personal Data, MARCØ shall notify Controller within 72 hours with all information required by Art. 33(3) GDPR, supporting incremental disclosures where necessary.

9.3 Cooperazione nell'Adempimento Art. 33-34

MARCØ supporta il Titolare nell'adempimento degli obblighi di notifica:

• All'autorità di controllo competente (Garante Privacy IT, ICO UK, FDPIC CH, etc.) entro 72h;
• Agli Interessati se la violazione presenta un rischio elevato per i diritti e libertà (Art. 34 GDPR).

9.4 Registro Violazioni

MARCØ mantiene un registro interno delle violazioni documentando per ciascuna:

• Data di rilevazione, durata, natura;
• Categorie e numero di Interessati coinvolti;
• Misure di contenimento e mitigazione;
• Comunicazioni effettuate;
• Lessons learned.

Il registro è disponibile su richiesta del Titolare (subject to confidentiality of unrelated incidents).

9.5 Runbook Operativo

Procedura operativa: docs/runbooks/breach-response.md (M9 hardening). Step principali:

1. Detection (monitoring SIEM, alert, segnalazione esterna);
2. Triage entro 1h (severity classification, perimeter scope);
3. Contention (isolate affected systems);
4. Investigation (root cause, scope of exposed data);
5. Notification entro 72h al Titolare + autorità ove dovuto;
6. Remediation (patch, hardening);
7. Postmortem entro 14gg post-incident.

---

10. Data Subject Rights Assistance

10.1 Endpoint API Dedicati

MARCØ supporta il Titolare nell'evasione delle richieste degli Interessati tramite endpoint API dedicati (alcuni in roadmap M9):

10.2 Inoltro Richieste

Se MARCØ riceve direttamente una richiesta da un Interessato del Cliente (es. cliente finale del Cliente):

1. MARCØ NON risponde direttamente all'Interessato (salvo conferma di ricezione);
2. MARCØ inoltra la richiesta al Cliente entro 5 giorni lavorativi;
3. MARCØ assiste il Cliente nella risposta come previsto al §5.5.

10.3 SLA Risposta

• Standard: ≤30 giorni (Art. 12(3) GDPR);
• Estensione: +60 giorni per richieste complesse, con comunicazione motivata entro 30gg;
• Target operativo MARCØ: ≤7gg per export, ≤14gg per erase.

10.4 Costo

Il supporto MARCØ alle richieste degli Interessati è gratuito per richieste ordinarie. In caso di richieste manifestamente infondate o eccessive (Art. 12(5) GDPR), MARCØ può addebitare un costo ragionevole o rifiutare; in tal caso ne informerà il Cliente preventivamente.

---

11. Audit and Inspection Rights

11.1 Diritto di Audit (Art. 28(3)(h))

Il Titolare ha diritto di verificare la conformità di MARCØ agli obblighi del presente DPA tramite:

11.1.1 Audit Documentale (standard)

• Frequenza: 1× anno solare;
• Modalità: invio questionario di compliance + review documenti (TOMs, sub-processors, breach register, audit log estratti);
• Tempi risposta MARCØ: ≤30 giorni;
• Costo: gratuito.

11.1.2 Audit On-Site / Terzo Indipendente

• Frequenza: 1× anno solare o breach-triggered (incidenti di severity High/Critical);
• Preavviso: 30 giorni di preavviso scritto, salvo audit breach-triggered (preavviso ridotto a 7gg);
• Modalità: audit on-site presso sede MARCØ o sedi Sub-Processor (con coordinamento), o audit remoto via terzo indipendente certificato (es. revisore ISO 27001);
• Costi:
  • Il Titolare sostiene i costi diretti dell'auditor (compensi, viaggi);
  • MARCØ sostiene i costi del proprio personale interno (tempo di accompagnamento, predisposizione documenti);
• Confidenzialità: tutte le informazioni acquisite durante l'audit sono coperte da NDA strict;
• Limitazioni: l'audit non può compromettere la sicurezza/operatività di altri tenant, le credenziali, i sistemi mission-critical o l'IP di MARCØ (prompt engineering, grafi LangGraph, overlay code).

11.2 Audit di Sub-Processors

Su richiesta motivata, MARCØ:

• Fornisce documentazione disponibile (certificazioni ISO, SOC 2 Type II, DPA Sub-Processors);
• Coordina audit congiunto con Sub-Processor critici (Cloudflare, Stripe, OpenRouter, etc.) best-effort;
• I diritti di audit verso Sub-Processors sono mediati dalla disponibilità contrattuale di MARCØ.

11.3 Audit Output

Al termine dell'audit, le Parti collaborano su:

• Findings documentati;
• Action plan per rimedi (con scadenze ragionevoli, 30-90gg salvo gravità);
• Follow-up verifica chiusura azioni correttive.

---

12. Federated Intelligence Specific Clauses

Questa sezione disciplina specificamente il trattamento federated di MARCØ ai sensi dell'Art. 28+32 GDPR e dell'Art. 4(5) GDPR (pseudonimizzazione).

12.1 Natura del Federated Intelligence Layer

[IT] Il Federated Intelligence Loop di MARCØ è un meccanismo di apprendimento federato che migliora la qualità del Servizio cross-tenant attraverso:

1. Raccolta di metadati strutturali sui prompt LLM utilizzati (agente, versione, esito, costo, durata);
2. Pseudonimizzazione del tenant_id tramite HMAC-SHA256 con salt rotata;
3. Cifratura envelope AES-256-GCM dei payload;
4. Aggregazione con enforcement di k-anonymity k≥5;
5. Backtest statistico + auto-promotion di prompt vincitori (canary 10%→50%→100%).

[EN] The MARCØ Federated Intelligence Loop is a federated learning mechanism that improves cross-tenant service quality through structural metadata collection (no content), pseudonymized via HMAC-SHA256 with rotated salt, AES-256-GCM envelope-encrypted, aggregated with k-anonymity ≥5, statistically backtested, and auto-promoted via canary rollouts.

12.2 PII Whitelist (12 Field Strict)

I soli campi ammessi nel federated layer (whitelist enforced at collector + anonymizer layers):

Campi ESPLICITAMENTE ESCLUSI (mai presenti nel federated layer):

• ❌ email, phone, nomi, indirizzi IP, user-agent, session_id;
• ❌ raw_user_prompt (il prompt input utente);
• ❌ raw_llm_output (l'output LLM generato);
• ❌ tenant_id raw (mai trasmesso in chiaro);
• ❌ asset binari (immagini, video, audio);
• ❌ business identifiers (P.IVA, codice fiscale, etc.).

12.3 Pseudonimizzazione ai sensi Art. 4(5) GDPR

[IT] Il tenant_id è trasformato in tenant_id_pseudonym tramite HMAC-SHA256(tenant_id, salt_v{salt_version}) prima di qualsiasi elaborazione federated.

In conformità all'Art. 4(5) GDPR e ai Considerando 26+28 GDPR:

• I dati pseudonimizzati non possono essere ricondotti a un Interessato specifico senza l'utilizzo di informazioni aggiuntive (il salt);
• Il salt è conservato separatamente in secret manager con accesso restricted (need-to-know);
• Il salt ruota ogni 90 giorni (cron salt_rotation_cron.py), invalidando il link past events e prevenendo correlazioni a lungo termine;
• L'EDPB nelle Linee Guida 01/2020 e 04/2020 conferma che la pseudonimizzazione robusta + misure organizzative riducono significativamente il rischio per gli Interessati;
• Tuttavia, MARCØ continua a trattare i pseudonimi come Dati Personali ai fini cautelativi del GDPR (Considerando 26).

[EN] tenant_id is transformed into tenant_id_pseudonym via HMAC-SHA256 with 90-day rotated salt, in compliance with Art. 4(5) GDPR. Pseudonymized data cannot be attributed to a specific Data Subject without the salt, which is stored separately. MARCØ treats pseudonyms as Personal Data for caution per Recital 26.

12.4 Base Giuridica — Art. 6(1)(f) Legitimate Interest

Il trattamento federated è basato su legittimo interesse di MARCØ (Art. 6(1)(f) GDPR) consistente in:

• Miglioramento continuo della qualità del Servizio (prompt evolution, prevenzione regressioni);
• Benefici diretti per gli Interessati (qualità del Servizio percepita dai Clienti);
• Riduzione costi del Servizio (efficiency LLM calls ⇒ pricing accessibile €29-€299).

Balancing test (Art. 6(1)(f)): ridotto rischio per gli Interessati grazie a:

• Pseudonimizzazione + k-anonymity k≥5;
• AES-256-GCM encryption;
• PII whitelist strict (no contenuti);
• Salt rotation 90gg;
• Opt-out disponibile in qualsiasi momento (vedi §12.6).

Il bilanciamento è documentato nel Legitimate Interest Assessment (LIA) disponibile su richiesta tramite [email protected].

12.5 No Automated Decision-Making (Art. 22)

Il federated layer NON applica decisioni esclusivamente automatizzate con effetti giuridici significativi sugli Interessati ai sensi dell'Art. 22 GDPR:

• L'auto-promotion di prompt vincitori (canary rollout) non è una decisione sull'Interessato, è un'ottimizzazione di qualità del Servizio;
• Le decisioni che impattano il Cliente (es. cancellazione tenant, blocco accesso) richiedono review umana (super_admin);
• Il HITL gate (Human-In-The-Loop) per content approval è disponibile e configurabile per il Cliente.

12.6 Opt-In / Opt-Out

[IT] Il consenso al federated layer è gestito tramite opt-in DEFAULT ON (decisione 008-D #4):

• Su tutti i tier, il federated_opt_in è TRUE per default alla creazione del tenant;
• Il Cliente può opt-out in qualsiasi momento tramite:
  • UI dashboard /settings/privacy (toggle);
  • API: PATCH /api/v1/tenants/me/federated-opt-in {opt_in: false};
• L'opt-out è immediatamente effettivo:
  • Nessun nuovo evento federated raccolto post opt-out;
  • Eventi pseudonimizzati pre-opt-out rimangono nel pool aggregato (non identificabili, k-anon k≥5);
  • Eventuali nuovi aggregati post opt-out escludono il pseudonimo del Cliente.

Razionale opt-in DEFAULT ON: scelta basata su Art. 6(1)(f) legitimate interest documentato in LIA, NON su consenso ex Art. 6(1)(a). La presunzione di opt-in è legittima poiché i Dati federated non sono identificativi post-pseudonimizzazione e il bilanciamento di interessi è favorevole.

12.7 Retention

• federated_events (Kafka payload encrypted): 30 giorni rolling, DELETE auto post processing;
• federated_aggregates (output clustering, no PII): persistente (anonymous statistics);
• salt_versions metadata: persistente per audit (no salt raw, solo version + timestamp).

12.8 Sub-Processors Federated-Specific

Il federated layer NON utilizza Sub-Processors esterni: tutta la pipeline (Kafka → anonymizer → aggregator → versioner) gira su infrastruttura self-hosted gestita da Telos Intelligence LLC in Italia (UE). I provider LLM ricevono solo prompt template (no metadati federated) durante l'invocazione standard.

---

13. Liability and Indemnification

13.1 Limitazione di Responsabilità

[IT] Salvo i casi di dolo o colpa grave, e fatta salva la responsabilità non escludibile per legge:

• La responsabilità complessiva di MARCØ verso il Cliente derivante dal presente DPA, MSA e atti correlati è limitata all'importo delle fees pagate dal Cliente nei 12 mesi precedenti l'evento generatore del danno;
• Sono escluse le responsabilità per danni indiretti, perdita di profitto, perdita di opportunità commerciali, salvo prova contraria;
• La presente limitazione non si applica a:
  • Sanzioni amministrative GDPR sostenute dal Cliente a causa di inadempimento dimostrato di MARCØ (rimborsate pro-quota);
  • Costi diretti di breach notification + remediation;
  • Dolo o colpa grave.

[EN] Subject to mandatory legal limits and gross negligence/willful misconduct: aggregate liability is capped at fees paid in the preceding 12 months. Excludes indirect damages, lost profit, opportunity costs. Does not cap GDPR administrative fines borne by Customer due to demonstrated MARCØ default, nor direct breach notification/remediation costs.

13.2 Indennizzo Reciproco

Le Parti si tengono reciprocamente indenni da pretese di terzi (incluse autorità di controllo, Interessati) derivanti da:

• Da Cliente verso MARCØ: violazioni del Cliente di obblighi di Titolare (es. mancata informativa agli Interessati, mancato consenso ove necessario, istruzioni illecite);
• Da MARCØ verso Cliente: violazioni di MARCØ degli obblighi del presente DPA (es. inadempimento sub-processor non rimediato, breach evitabile).

13.3 Assicurazione

MARCØ mantiene polizza cyber liability con massimale €2M (target M9 hardening, attualmente backlog). Estratto polizza disponibile su richiesta motivata.

13.4 Sanzioni Amministrative GDPR

In caso di sanzione amministrativa imposta dall'autorità di controllo a una delle Parti per violazione del presente DPA, le Parti collaborano in buona fede per:

• Identificare la parte responsabile della violazione;
• Ripartire la sanzione pro-quota in base alla responsabilità accertata.

---

14. Termination and Data Return/Deletion

14.1 Cause di Cessazione

Il presente DPA cessa:

• Automaticamente alla cessazione del MSA per qualsiasi causa;
• Anticipatamente in caso di:
  • Inadempimento grave non rimediato entro 30gg da diffida scritta;
  • Risoluzione consensuale tra le Parti;
  • Procedura concorsuale o insolvenza di una delle Parti;
  • Esercizio del diritto di obiezione su Sub-Processor (§6.3) senza accordo alternativo.

14.2 Restituzione Dati

[IT] Entro 30 giorni dalla data di cessazione, su scelta del Cliente:

Opzione A — Export completo

• MARCØ rende disponibile un export machine-readable (JSON / CSV / ZIP) di tutti i Dati Personali del Cliente;
• Include: account, brand kit, sites, posts, asset library (URL CDN), analytics, audit log;
• Esclude: federated pseudonimi (già anonimizzati), backup MARCØ interni (subject to retention obblighi legali);
• Modalità consegna: download autenticato + signed URL valido 30gg;
• Costo: gratuito per primo export entro 30gg post-termination.

Opzione B — Hand-off a successor controller

• MARCØ collabora con successor processor designato dal Cliente per il trasferimento dati (best-effort);
• Tempi: concordati case-by-case, target ≤45gg;
• Costo: time & materials a tariffe standard, comunicate preventivamente.

14.3 Cancellazione Certificata

Successivamente all'export (o trascorsi 30gg in assenza di richiesta export):

• MARCØ procede alla cancellazione completa dei Dati Personali del Cliente da:
  • PostgreSQL (DELETE + VACUUM FULL on tenant-scoped tables);
  • Cloudflare R2 asset storage (per-tenant prefix DELETE);
  • Cloudflare Pages projects deployati (delete via API);
  • Backup encrypted (rolling 30gg purge automatico);
• Tempi cancellazione: ≤30 giorni dalla cessazione (o post-export se richiesto);
• Conferma cancellazione scritta inviata al Cliente entro 7gg post-completamento.

14.4 Eccezioni Cancellazione

MARCØ può trattenere alcuni Dati oltre il termine se richiesto da:

• Obblighi legali fiscali: Stripe billing records 7 anni (DLgs 127/2015 + DPR 633/72);
• Difesa giudiziale: limitato al perimetro della controversia, fino chiusura definitiva;
• Audit log security: retention 12 mesi per finalità di sicurezza (Art. 6(1)(f));
• Federated aggregates (anonimi, post k-anon ≥5): persistenti, ma non identificabili.

In tali casi, MARCØ documenta motivazione + base giuridica + scadenza in docs/legal/retention-exceptions.md (M9).

14.5 Sopravvivenza Clausole

Le clausole su riservatezza, limitazione di responsabilità, legge applicabile, risoluzione controversie sopravvivono alla cessazione per il periodo di prescrizione applicabile.

---

15. Governing Law and Jurisdiction

15.1 Legge Applicabile

[IT] Il presente DPA è regolato dalla legge italiana, con espresso richiamo al GDPR e alla normativa privacy applicabile (DLgs 196/2003 come modificato dal DLgs 101/2018).

Per Clienti soggetti a UK GDPR: il DPA è regolato dalla legge italiana per le obbligazioni contrattuali, ma le disposizioni sostanziali GDPR sono interpretate alla luce del UK GDPR ove rilevante.

15.2 Foro Competente

Per qualsiasi controversia derivante dal presente DPA, è competente in via esclusiva il Foro di Roma [PLACEHOLDER — confermare Roma o Milano in sede di sottoscrizione MSA].

15.3 ADR — Alternative Dispute Resolution

Prima di adire l'autorità giudiziaria, le Parti si impegnano a tentare una risoluzione amichevole della controversia per un periodo di 60 giorni dalla notifica scritta della controversia, anche tramite:

• Mediazione ex DLgs 28/2010 (presso Organismo di Mediazione accreditato);
• Arbitrato ex art. 806 c.p.c. ove concordato tra le Parti;
• ODR (Online Dispute Resolution) per controversie a basso valore.

15.4 Reclami Autorità di Controllo

Resta impregiudicato il diritto di ciascuna Parte (e degli Interessati) di proporre reclamo all'autorità di controllo competente:

• Italia: Garante per la Protezione dei Dati Personali (https://www.garanteprivacy.it);
• UK: Information Commissioner's Office (https://ico.org.uk);
• CH: Federal Data Protection and Information Commissioner (https://www.edoeb.admin.ch);
• EU member states: autorità di controllo dello Stato membro di residenza dell'Interessato.

---

16. ANNEXES

---

Annex I — Description of Processing

I.1 Categorie di Interessati

I.2 Categorie di Dati Personali

I.3 Categorie Particolari (Art. 9 GDPR)

[IT] MARCØ NON tratta intenzionalmente categorie particolari di Dati Personali (origine razziale/etnica, opinioni politiche, convinzioni religiose, filosofiche, appartenenza sindacale, dati genetici, biometrici, salute, vita sessuale).

Qualora il Cliente inserisca autonomamente tali categorie nei contenuti pubblicati tramite il Servizio (es. post di un'associazione religiosa), la responsabilità ricade sul Cliente come Titolare ai sensi del §4.3.

I.4 Operazioni di Trattamento

I.5 Durata del Trattamento / Retention

---

Annex II — Technical and Organisational Measures (TOMs)

Misure adottate da MARCØ in conformità all'Art. 32 GDPR, tenendo conto dello stato dell'arte, dei costi di attuazione, della natura/ambito/contesto/finalità del trattamento, e del rischio per gli Interessati.

II.1 Confidenzialità

II.1.1 Controllo Accessi Fisici

• Hosting: hardware di produzione gestito direttamente da Telos Intelligence LLC in Italia (UE); misure di sicurezza fisica e cifratura del disco in revisione dopo il passaggio all'infrastruttura attuale (settembre 2026).

II.1.2 Controllo Accessi Logici

• Authentication:
  • Password bcrypt cost 12 + complexity policy (min 12 char, mix);
  • JWT bearer 24h expiry + refresh token rotation;
  • MFA TOTP obbligatorio per super_admin (M7) + Agency+ tier;
  • Magic-link email per approval HITL (single-use, 7gg expiry);
• Authorization:
  • RBAC 5-tier: super_admin / wl_admin / agency / member / viewer;
  • PostgreSQL Row-Level Security (RLS) enforcement on every tenant-scoped table;
  • Tenant isolation via app.tenant_id SET LOCAL + RLS policy;
  • Audit log session_id + trace_id su ogni request authenticated;
• API security:
  • License heartbeat 24h check;
  • Rate limiting nginx 30 req/s/IP + tier-based per-tenant cap;
  • HTTPS-only (HSTS preload).

II.1.3 Crittografia In Transit

• TLS 1.2 minimum (1.3 preferred) end-to-end;
• HSTS (Strict-Transport-Security) + preload list;
• Certificate Authority: Let's Encrypt (auto-renewal cert-manager) + Cloudflare Edge SSL;
• Cipher suites: forward secrecy mandatory (ECDHE), no weak ciphers (RC4, 3DES disabled);
• mTLS: per OpenSwarm sidecar internal (M9 hardening — currently network-internal-only).

II.1.4 Crittografia At Rest

• Cloudflare R2: SSE-S3 server-side encryption (AES-256);
• Federated payloads: AES-256-GCM envelope encryption per evento (nonce + ciphertext + tag);
• Secrets: env var via Docker Compose secrets (M5) → HashiCorp Vault (M9);
• OAuth tokens: Composio-managed encrypted at rest + token rotation policy.

II.1.5 Pseudonymization

• Federated layer: HMAC-SHA256 tenant_id → tenant_id_pseudonym (prefix 16-char);
• Salt rotation: 90 giorni scheduled (cron salt_rotation_cron.py);
• Salt storage: env var separated from data, accessible only by aggregator service;
• k-anonymity: k≥5 enforced before any aggregation publication;
• Differential Privacy (M8 future): Laplace noise on aggregated counters.

II.2 Integrità

• Input validation: Pydantic models su ogni endpoint API;
• Parametrized queries: SQLAlchemy + asyncpg, mai string concatenation SQL;
• Lint enforcement: ruff + mypy strict CI gate;
• Type checks: TypeScript strict mode frontend;
• Checksum: SHA-256 su asset upload (verification integrity);
• Audit log: append-only, immutable, retention 12 mesi.

II.3 Disponibilità

• Backup: backup giornaliero del database su Cloudflare R2 (bucket privato, cifratura at rest AES-256), conservazione 30 giorni; ripristino verificato il 2026-09-11;
• High Availability (M9):
  • PostgreSQL primary + standby (streaming replication);
  • Redis cluster (master-replica);
  • Load balancer nginx (multi-instance API);
• Disaster Recovery:
  • RPO target: 24h;
  • RTO target: 4h;
  • DR plan: docs/runbooks/disaster-recovery.md (M9);
• Monitoring:
  • OpenTelemetry traces;
  • Prometheus metrics + Grafana dashboards;
  • Loki log aggregation;
  • Alertmanager → PagerDuty (M9) / email (M5).

II.4 Resilience

• License heartbeat 24h: graceful disconnect su tenant inattivi;
• Circuit breaker sui LLM provider (LiteLLM fallback chain);
• Retry exponential backoff su API esterne (tenacity);
• Idempotency keys su webhook Stripe + post scheduler;
• Graceful degradation su Sub-Processor down (es. fal.ai down → queue posts).

II.5 Pratiche Organizzative

• Privacy by Design + Default (Art. 25 GDPR):
  • Onboarding flusso minimizza Dati raccolti (PII whitelist);
  • Federated opt-in pseudonimizzato di default (no contenuti);
  • Default settings privacy-friendly (HITL enabled tier Starter/Growth);
• Training:
  • Onboarding training privacy per founder + future hires (M9);
  • Annual refresher (M9);
• NDA personale: vincolo riservatezza per personale + collaboratori (founder + future hires);
• Background check: per personale con accesso super_admin (M9 hire);
• Incident response: runbook documentato + drill semestrale (M9);
• Change management: PR review + CI gate + frozen paths governance;
• Vendor risk management: DPA + security review per ogni nuovo Sub-Processor.

II.6 Risposta a Incidenti

• Detection:
  • SIEM-style monitoring su auth anomalies, error logs;
  • Cloudflare WAF alerting;
  • Sentry exception tracking;
• Triage entro 1h dalla detection;
• Containment: isolation affected systems (IP block, JWT revoke, container restart);
• Notification:
  • Cliente entro 72h (Art. 33);
  • Autorità entro 72h dal Cliente (Art. 33);
  • Interessati ove high risk (Art. 34);
• Remediation + Postmortem entro 14gg.

II.7 Certificazioni & Compliance

• Stripe: PCI-DSS Level 1;
• Cloudflare: ISO/IEC 27001 + SOC 2 Type II + EU DPF;
• MARCØ certifications target M9 hardening:
  • ISO/IEC 27001:2022 (target 2027 post €1M ARR);
  • SOC 2 Type II (target 2027);
  • TISAX (se mercato automotive aperto);
• Privacy seal: Europrivacy / e-Privacy seal (in valutazione M9).

---

Annex III — Sub-processors List

Lista aggiornata al 2026-09-11. Versione live + changelog: https://app-marco.schedy.app/sub-processors. Notifica modifiche: 30gg pre-attivazione via email + portale.

III.1 Sub-processors Infrastruttura & Storage

L'infrastruttura di produzione non è esternalizzata: gira su hardware gestito direttamente da Telos Intelligence LLC in Italia (UE), raggiungibile solo tramite Cloudflare Tunnel (vedi III.7).

III.2 Sub-processors AI/LLM

III.3 Sub-processors Research & Scraping

III.4 Sub-processors Social & OAuth

⚠️ TikTok TIA specifica: dato il contesto geopolitico e l'incertezza regolatoria UE su TikTok (procedimenti EDPB in corso), MARCØ raccomanda al Cliente di valutare attentamente l'opt-in al canale TikTok. MARCØ offre opt-out granulare per canale social via dashboard /integrations.

III.5 Sub-processors Billing & Comms

III.6 Sub-processors Observability (Discrezionali, Cliente Pro+)

I seguenti sono Sub-Processors opzionali attivabili dal Cliente su scelta (BYOK):

III.7 Categoria Internal / Self-Hosted (Non Sub-Processors Esterni)

I seguenti non sono Sub-Processors esterni ma componenti self-hosted su hardware gestito direttamente da Telos Intelligence LLC in Italia (UE):

• Apache Kafka (federated event streaming);
• PostgreSQL (database);
• Redis (cache, queue);
• ChromaDB (vector store);
• OpenSwarm sidecar (network-internal-only).

---

Annex IV — Standard Contractual Clauses (SCCs)

IV.1 Riferimento Normativo

Le Standard Contractual Clauses (SCCs) applicabili sono quelle approvate dalla Decisione di Esecuzione (UE) 2021/914 della Commissione del 4 giugno 2021 relativa alle clausole contrattuali tipo per il trasferimento di Dati Personali verso Paesi terzi a norma del Regolamento (UE) 2016/679.

Testo ufficiale: https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj

IV.2 Moduli SCCs Applicabili

IV.2.1 Modulo 2 — Controller-to-Processor

Applicabile quando: il Cliente (Controller EU) trasferisce direttamente Dati Personali a MARCØ (Processor) ed eventualmente a Sub-Processors extra-UE designati.

Parti:

• Data exporter: Cliente (Controller)
• Data importer: MARCØ (Processor) — solo ove MARCØ stesso operi da entità extra-UE (oggi: entità italiana, MARCØ ⊆ UE)
• Sub-importer: Sub-Processors extra-UE indicati in Annex III

Note: poiché MARCØ è entità italiana (UE), il Modulo 2 si applica primariamente alla cascade verso Sub-Processors extra-UE (vedi Modulo 3).

IV.2.2 Modulo 3 — Processor-to-Sub-Processor (Principale)

Applicabile quando: MARCØ (Processor EU) trasferisce Dati Personali a Sub-Processors extra-UE (OpenRouter, Google US, fal.ai, Suno, Higgsfield, Tavily, Firecrawl, Composio, Meta US, LinkedIn US, TikTok).

Parti:

• Data exporter: MARCØ (Processor)
• Data importer: Ciascuno dei Sub-Processors extra-UE elencati in Annex III

MARCØ ha sottoscritto con ciascun Sub-Processor le SCCs Modulo 3 incorporando i seguenti elementi:

• Annex I.A — Liste delle Parti: identificazione contrattuale Data exporter MARCØ + Data importer Sub-Processor;
• Annex I.B — Descrizione del trasferimento: categorie di Interessati + categorie di Dati + scopi + frequenza + retention (vedi Annex I principale di questo DPA);
• Annex II — TOMs: misure tecniche e organizzative (vedi Annex II principale);
• Annex III — Sub-Processors: lista cascade Sub-Sub-Processors ove applicabile.

IV.2.3 Modulo 4 — Processor-to-Controller (Eventuale)

Applicabile: ove un Sub-Processor inverta il flusso (es. ritorno dati Controller). Scenari limitati (es. analytics dashboard export verso Cliente extra-UE).

IV.3 Docking Clause

Le SCCs prevedono una "docking clause" (Clausola 7) che consente l'adesione di Parti aggiuntive con consenso. MARCØ si avvale della docking clause per gestire on-boarding di nuovi Sub-Processors senza re-signing complessivo.

IV.4 UK Addendum / Swiss Adjustments

IV.4.1 UK Addendum

Per Clienti soggetti a UK GDPR, le SCCs si applicano come modificate dall'International Data Transfer Addendum (IDTA) dell'ICO UK, versione B.1.0 del 21 marzo 2022. Il riferimento è incorporato per riferimento.

IV.4.2 Swiss Adjustments

Per Clienti soggetti a Swiss revFADP, le SCCs si applicano con gli adeguamenti previsti dal FDPIC del 27 agosto 2021:

• Sostituzione riferimenti "EU Member States" con "Switzerland" ove applicabile;
• Autorità di controllo: Federal Data Protection and Information Commissioner;
• Riferimento normativo: Swiss revFADP in luogo di GDPR ove applicabile.

IV.5 Transfer Impact Assessment (TIA)

In conformità con la sentenza CJEU C-311/18 ("Schrems II") e le Raccomandazioni EDPB 01/2020, MARCØ ha effettuato TIA per ciascun trasferimento extra-UE. Documenti TIA disponibili su richiesta a [email protected].

IV.6 Supplementary Measures

Misure supplementari adottate per trasferimenti US (mitigation FISA 702 / EO 12333 / CLOUD Act):

• Technical:
  • End-to-end TLS 1.2+ + HSTS;
  • PII whitelist strict (federated layer);
  • Pseudonimizzazione HMAC-SHA256 + salt rotation 90gg;
  • AES-256-GCM payload encryption (federated);
  • No payload PII identificativi ai Sub-Processors;
• Contractual:
  • SCCs Modulo 3 sottoscritte;
  • DPF certification (ove disponibile, es. Cloudflare);
  • Notification obbligation Sub-Processor su governmental requests;
  • Audit rights su Sub-Processor (best-effort);
• Organizational:
  • Need-to-know per data access;
  • Vendor risk review annuale;
  • Training privacy team su transfer compliance.

---

EXECUTION

Sottoscrizione

Il presente DPA è considerato sottoscritto al verificarsi di uno dei seguenti eventi:

1. Click-through acceptance durante onboarding tenant (registrato in legal_acceptances table con tenant_id + timestamp + ip + version);
2. Sottoscrizione manuale del documento PDF firmato (firma digitale qualificata FEA o firma autografa scansionata);
3. Esecuzione del MSA ove il DPA sia richiamato come Allegato.

Versioning

Modifiche Future

MARCØ si riserva di aggiornare il DPA per:

• Adeguamento normativo (nuovi GDPR guidelines EDPB, sentenze CJEU);
• Aggiunta Sub-Processors (con 30gg notice §6.2);
• Miglioramenti TOMs;
• Errori materiali / chiarimenti.

Le modifiche sostanziali richiedono 30gg notice + opt-in consent del Cliente. Le modifiche non sostanziali (chiarimenti, errori) sono notificate via email + portale.

Firme

Per il Cliente (Titolare)

Per MARCØ (Responsabile)

---

ALLEGATI

• DPA-WL.md — DPA-WL Cascade per tier White-Label
• sub-processors.md — Lista pubblica Sub-Processors aggiornata in tempo reale
• PRIVACY_POLICY.md — Informativa privacy MARCØ
• TERMS_OF_SERVICE.md — Terms of Service MSA
• DPIA.md — Data Protection Impact Assessment MARCØ
• GDPR_COMPLIANCE.md — GDPR compliance overview

---

Documento generato 2026-05-18. Versione 1.0. Production-ready template per esecuzione contrattuale tra Telos Intelligence LLC e Clienti. Final external counsel review scheduled M9 hardening (target 2026-06-15).