Accordo sul trattamento dei dati

Questa pagina descrive il nostro accordo standard sul trattamento dei dati affinché possa esaminarlo prima di richiederlo. Non costituisce di per sé un accordo e non crea obblighi. Prevale il DPA sottoscritto, con i relativi allegati, e laddove questa pagina se ne discosti, prevale il DPA sottoscritto.

Ogni volta che sviluppiamo, ospitiamo, manteniamo o supportiamo un sistema contenente dati personali appartenenti a Lei o ai suoi utenti. Lei è il titolare del trattamento (o business); DCI Brands LLC è il responsabile del trattamento (o service provider). Il DPA costituisce parte integrante del contratto d'incarico. Laddove siano coinvolte informazioni sanitarie protette, viene sottoscritto anche un Business Associate Agreement e, per tali dati, prevalgono le sue condizioni.

Tutto ciò che è richiesto dall'articolo 28, paragrafo 3, del GDPR e gli equivalenti ai sensi del GDPR del Regno Unito e della legge federale svizzera sulla protezione dei dati (LPD):

1. La descrizione del trattamento: materia disciplinata, durata, natura e finalità, tipi di dati personali e categorie di interessati, in un allegato specifico per il suo incarico.
2. Trattamento esclusivamente sulla base delle sue istruzioni documentate, anche in caso di trasferimenti, e il nostro impegno a informarla qualora ritenessimo che un'istruzione violi la normativa in materia di protezione dei dati.
3. Riservatezza: chiunque autorizziamo a trattare i suoi dati è vincolato da un obbligo scritto di riservatezza.
4. Sicurezza: le misure tecniche e organizzative di cui all'allegato, conformi all'articolo 32. Possiamo aggiornarle a condizione che la protezione non sia ridotta in modo sostanziale.
5. Sub-responsabili del trattamento: la sua autorizzazione scritta generale, il nostro trasferimento per iscritto di obblighi equivalenti e la nostra responsabilità per il loro operato.
6. Assistenza in relazione ai diritti degli interessati: accesso, rettifica, cancellazione, portabilità, limitazione e opposizione, tenendo conto della natura del trattamento.
7. Assistenza in relazione agli articoli da 32 a 36: sicurezza, notifica delle violazioni, valutazioni d'impatto sulla protezione dei dati e consultazione preventiva, tenendo conto delle informazioni a nostra disposizione.
8. Cancellazione o restituzione al termine dell'incarico, a sua scelta.
9. Informazioni e audit, come descritto nella sezione 8.
10. Condizioni di trasferimento: le clausole contrattuali tipo, l'Addendum del Regno Unito e le modifiche per la Svizzera, con gli allegati compilati.
11. Condizioni previste dalle leggi degli Stati degli Stati Uniti: agiamo in qualità di service provider o processor, non vendiamo né condividiamo i suoi dati, non li conserviamo, utilizziamo o comunichiamo al di fuori del rapporto commerciale diretto o per finalità diverse dall'esecuzione dell'incarico e non li combiniamo con dati provenienti da altre fonti.
12. Le sue garanzie: di disporre di una base giuridica, di aver fornito le informative e ottenuto i consensi dovuti ai suoi utenti e che le sue istruzioni sono lecite.

Li trattiamo esclusivamente sulla base delle sue istruzioni documentate e soltanto per eseguire l'incarico: sviluppo, test, implementazione, hosting, monitoraggio, backup e supporto del sistema. Non li utilizziamo per finalità proprie e non li vendiamo.

Non utilizziamo i suoi dati personali per addestrare, perfezionare (fine-tuning) o migliorare alcun modello, e i nostri sub-responsabili del trattamento sono contrattualmente configurati per non farlo a loro volta. Possiamo generare statistiche aggregate sul funzionamento del sistema solo laddove non possano essere ricondotte a Lei, ai suoi utenti o ad alcuna persona fisica.

Ci avvaliamo di sub-responsabili del trattamento solo laddove l'incarico lo richieda, in base a condizioni scritte che offrono una protezione almeno equivalente a quella del DPA, e restiamo responsabili del loro operato. Categorie: infrastruttura cloud nella regione indicata nel suo preventivo, invio di e-mail transazionali e fornitori di servizi vocali, linguistici e di modelli laddove una funzionalità lo richieda e il preventivo lo indichi. Il DPA sottoscritto elenca i fornitori specifici per il suo incarico.

Diamo un preavviso di 30 giorni prima di aggiungerne uno. Può opporsi entro tale periodo per ragionevoli motivi attinenti alla protezione dei dati; collaboreremo con Lei in buona fede e, se non riusciamo a risolvere la questione, ciascuna parte può risolvere il servizio interessato con il rimborso pro rata dei corrispettivi prepagati non utilizzati. Questo è l'unico rimedio. Le consegne on-premises e in ambienti isolati (air-gapped) eliminano completamente il sub-responsabile del trattamento per l'infrastruttura.

I sistemi consegnati sono dotati delle misure indicate nell'allegato sulla sicurezza: come minimo, crittografia in transito e a riposo, controllo degli accessi basato sui ruoli, registrazione strutturata a fini di audit e cancellazione sicura dei file temporanei. L'accesso del personale è limitato a persone nominativamente individuate che ne hanno bisogno ed è registrato. Gli incarichi nei settori regolamentati aggiungono i controlli indicati nel suo allegato.

La informiamo senza ingiustificato ritardo dopo essere venuti a conoscenza di una violazione dei dati personali che riguarda i suoi dati e, in ogni caso, entro 72 ore dal momento in cui ne siamo venuti a conoscenza. La notifica riporta ciò che sappiamo, ciò che abbiamo fatto e ciò che raccomandiamo; una prima notifica può essere preliminare e la integriamo man mano che acquisiamo ulteriori informazioni. Non segnaliamo tentativi di accesso non riusciti, scansioni o ping, e una notifica non costituisce ammissione di colpa o di responsabilità.

La aiutiamo a rispondere alle richieste di accesso, rettifica, cancellazione e portabilità entro il termine che la legge le concede.

Gli audit iniziano dai documenti. Su richiesta, una volta ogni 12 mesi, forniamo la nostra documentazione sulla sicurezza, l'allegato sulle misure e un questionario di sicurezza compilato. Laddove ciò sia effettivamente insufficiente, oppure dopo una violazione accertata che riguarda i suoi dati, oppure laddove un'autorità di controllo lo richieda, può sottoporci ad audit con un preavviso scritto di 30 giorni, una volta ogni 12 mesi, durante l'orario lavorativo, a sue spese, con vincolo di riservatezza, senza interferire con le nostre attività o con i dati di altri clienti e avvalendosi di un revisore che non sia un nostro concorrente.

I dati di produzione a riposo restano nella regione indicata nel suo preventivo. L'accesso amministrativo da altri luoghi e qualsiasi trasferimento inevitabile al di fuori del SEE, del Regno Unito o della Svizzera sono coperti dalle clausole contrattuali tipo e dagli addendum applicabili.

Restituiamo o cancelliamo i suoi dati personali, a sua scelta, e certifichiamo la cancellazione. Le copie contenute nei backup cifrati vengono cancellate secondo il ciclo ordinario dei backup e restano protette fino ad allora. Conserviamo soltanto ciò che la legge ci impone di conservare.

Scriva a constantine@vavusai.com indicando il riferimento del suo preventivo. Lo inviamo per la sottoscrizione insieme al contratto d'incarico. Esamineremo il suo DPA e lo sottoscriveremo laddove le sue condizioni siano sostanzialmente coerenti con le nostre; in caso contrario prevale il nostro.