DPA, retention, consenso: una checklist per il procurement per agenzie

Tipicamente: un accordo di trattamento dati (DPA), dove sono ospitati i dati (UE, senza trasferimento verso paesi terzi?), i termini di retention e chi controlla la cancellazione, come viene raccolto il consenso degli ospiti, la capacità di cancellazione e — per acquirenti più grandi — controlli di accesso come SSO. Avere ciascun punto chiarito in anticipo accelera la trattativa. Gathmo lo copre con una piattaforma ospitata in UE (Frankfurt), un DPA GDPR Art. 28 su richiesta, retention definita, strumenti di consenso e cancellazione, e SSO sul piano Enterprise.

È il contratto che, secondo il GDPR, deve esserci per formalizzare il rapporto tra titolare e responsabile del trattamento, e i clienti corporate o del pubblico non firmano senza di esso. Di norma il cliente è il titolare; tu e la piattaforma siete nella catena di trattamento. Gathmo fornisce il DPA su richiesta, così come agenzia puoi consegnarlo subito senza dover tornare dal fornitore — ed è spesso proprio questo che blocca la chiusura dell’accordo.

Gathmo ospita i media degli ospiti nell\u2019UE (Francoforte) senza trasferimenti verso paesi terzi. Per gli acquisti questo significa rispondere con chiarezza alla domanda sulla localizzazione dei dati senza ricorrere a clausole contrattuali standard o valutazioni del rischio di trasferimento. L\u2019hosting UE senza trasferimento verso paesi terzi è la risposta più semplice per un buyer aziendale europeo ed è sempre più spesso un requisito stringente nei bandi.

I contenuti degli ospiti vengono conservati per un periodo definito, coerente con l’evento, e poi rimossi; la cancellazione può essere gestita dall’host, con strumenti di cancellazione per rispettare richieste specifiche. Il GDPR richiede che i dati non vengano mantenuti oltre il necessario, quindi una finestra di conservazione chiara e applicata in modo coerente è ciò che chi decide gli acquisti vuole sentire. Documenta la finestra usata così potrai spiegarla su richiesta.

Al momento del upload gli ospiti vengono informati su cosa viene raccolto e perché, e il consenso viene registrato nel flusso. Come agenzia dovreste assicurarvi che la segnaletica e l’avviso di upload rendano chiaro lo scopo. La piattaforma acquisisce il consenso e fornisce strumenti di cancellazione; la valutazione lato responsabile (base giuridica, formulazione dell’informativa) resta a voi o al vostro cliente. Spiegarlo chiaramente rassicura gli uffici acquisti che il consenso è gestito in modo consapevole, non per caso.

Le organizzazioni più grandi richiedono spesso SSO per il controllo accessi e a volte SMS brandizzati per la comunicazione agli ospiti. Il piano Enterprise di Gathmo (699 €/mese equivalente, 6.990 €/anno) aggiunge SSO e SMS con marchio oltre all’hosting UE e all’intero set di funzionalità. Per la maggior parte degli incarichi da agenzia, Agency (199 €/mese equivalente) è sufficiente, ma quando una gara specifica SSO o requisiti di identità enterprise, Enterprise è il tier adatto.

Tieni pronta la DPA da condividere, conosci la risposta sulla localizzazione dei dati (hostato nell’UE, senza trasferimenti verso paesi terzi), sii in grado di indicare il periodo di conservazione e il processo di cancellazione e comprendi il flusso di consenso. Se il cliente è grande, verifica se è necessario l’SSO per poter eventualmente quotare Enterprise. Presentarsi alla conversazione con questi punti già chiari — invece di dire “lo verifichiamo” — è ciò che trasmette affidabilità e preparazione come agenzia.