Accordo sul trattamento dei dati

1. Ambito e ruoli

Il presente Accordo sul trattamento dei dati ("DPA") fa parte dei Termini di servizio tra Rediacc OÜ ("Rediacc", il "Responsabile del trattamento") e il Cliente, quando il Cliente utilizza i Servizi come impresa e Rediacc tratta Dati Personali del Cliente per conto del Cliente. I termini definiti nei Termini di servizio hanno qui lo stesso significato. Il presente DPA è redatto in inglese; le traduzioni sono fornite solo per comodità e, in caso di difformità, prevale la versione inglese.

Per i Dati Personali del Cliente, il Cliente è il titolare del trattamento (o un responsabile che agisce per il proprio titolare) e Rediacc è il responsabile del trattamento (o sub-responsabile). Per le registrazioni di Account, di fatturazione e di accettazione e per i Dati di Telemetria, Rediacc è titolare del trattamento autonomo, come descritto nell'Informativa sulla privacy, e il presente DPA non si applica a tale trattamento.

I Dati del Cliente presenti sui Dispositivi del Cliente non sono trattati da Rediacc. L'archiviazione cifrata delle configurazioni e i backup ospitati sono cifrati con chiavi che Rediacc non detiene; Rediacc conserva quindi tali blocchi di dati ma non può leggerne il contenuto.

2. Definizioni

• "Leggi sulla Protezione dei Dati" indica il Regolamento generale sulla protezione dei dati dell'UE (Regolamento (UE) 2016/679, "GDPR"), il GDPR del Regno Unito (UK GDPR) e qualsiasi altra legge sulla protezione dei dati applicabile al trattamento oggetto del presente DPA.
• "Dati Personali del Cliente" indica i dati personali che Rediacc tratta per conto del Cliente nella fornitura della Piattaforma, come i nomi e gli indirizzi email degli Utenti Autorizzati e dei membri del team invitati dal Cliente, e i dati cifrati che il Cliente archivia sulla Piattaforma.
• "Violazione dei Dati Personali", "trattamento", "titolare del trattamento", "responsabile del trattamento" e "interessato" hanno il significato attribuito loro dal GDPR.
• "SCC" indica le clausole contrattuali tipo approvate con la decisione di esecuzione (UE) 2021/914 della Commissione europea.
• "Sub-responsabile" indica un terzo incaricato da Rediacc di trattare Dati Personali del Cliente.

3. Trattamento su istruzioni

Rediacc tratta i Dati Personali del Cliente solo su istruzioni documentate del Cliente, che sono i Termini di servizio, il presente DPA e l'uso e la configurazione dei Servizi da parte del Cliente, salvo che la legge richieda diversamente, nel qual caso Rediacc ne informa il Cliente prima del trattamento, a meno che la legge lo vieti. Rediacc informa il Cliente se ritiene che un'istruzione violi le Leggi sulla Protezione dei Dati.

4. Dettagli del trattamento

• Oggetto e finalità: fornitura della Piattaforma, compresi la gestione di Account e team, il rilascio delle licenze, l'archiviazione cifrata delle configurazioni, lo storage di backup ospitato e il supporto
• Durata: la durata dei Termini di servizio, più il periodo di cancellazione di cui alla Sezione 11
• Natura del trattamento: raccolta, archiviazione, trasmissione, consultazione e cancellazione
• Categorie di interessati: gli Utenti Autorizzati del Cliente, i membri del team invitati e i referenti dei partner
• Categorie di dati personali: nomi, indirizzi email, organizzazione e ruolo, dati di autenticazione (hash delle password, chiavi pubbliche delle passkey), indirizzi di rete e user agent delle sessioni, e qualsiasi dato personale contenuto nei dati cifrati che il Cliente archivia sulla Piattaforma
• Categorie particolari: nessuna prevista; il Cliente non deve archiviare sulla Piattaforma categorie particolari di dati non cifrati

5. Riservatezza

Rediacc garantisce che ogni persona autorizzata a trattare Dati Personali del Cliente sia vincolata da un obbligo di riservatezza.

6. Sicurezza

Rediacc adotta misure tecniche e organizzative adeguate ai sensi dell'articolo 32 del GDPR, tra cui:

• cifratura in transito (TLS 1.2 o successivo) e a riposo, e cifratura lato client dell'archiviazione delle configurazioni e dei backup ospitati con chiavi che Rediacc non detiene
• accesso ai sistemi di produzione limitato al personale autorizzato, con autenticazione a più fattori
• separazione logica dei dati dei clienti e archiviazione regionale dei dati
• registrazione e monitoraggio dei sistemi di produzione, e verifica periodica delle misure di sicurezza

7. Sub-responsabili

Il Cliente autorizza Rediacc a incaricare Sub-responsabili. Rediacc impone a ciascun Sub-responsabile obblighi di protezione dei dati non meno protettivi di quelli del presente DPA e resta responsabile dell'operato dei propri Sub-responsabili. I Sub-responsabili attuali sono:

• Cloudflare, Inc. (Stati Uniti; rete globale): hosting del portale account e dell'API (Workers), del database degli account (D1), dello storage di backup ospitato e di oggetti (R2), distribuzione dei contenuti e DNS, e protezione dai bot sui moduli (Turnstile)
• Amazon Web Services, Inc. (Amazon Simple Email Service, nella regione AWS che serve la regione dell'account del Cliente): recapito di email transazionali come link di accesso, avvisi e fatture
• Stripe, Inc. e le sue affiliate (Stati Uniti e Irlanda): elaborazione dei pagamenti, fatturazione degli abbonamenti, emissione delle fatture e calcolo delle imposte per gli Abbonamenti a pagamento
• Hostinger (server virtuali nell'Unione europea): hosting dell'endpoint di telemetria e osservabilità (otlp.rediacc.io) che riceve i Dati di Telemetria e i log di servizio

Rediacc dà un preavviso di almeno trenta (30) giorni prima di aggiungere o sostituire un Sub-responsabile, aggiornando questa pagina e avvisando l'email dell'Account. Il Cliente può opporsi entro tale termine per ragionevoli motivi di protezione dei dati. Se le parti non riescono a risolvere l'opposizione, il Cliente può risolvere i Servizi interessati e ottenere il rimborso dei corrispettivi prepagati per il periodo successivo alla risoluzione.

L'analisi statistica del sito web (Plausible) non tratta Dati Personali del Cliente ed è disciplinata dall'Informativa sulla privacy.

8. Trasferimenti internazionali

Quando i Dati Personali del Cliente sono trasferiti verso un paese al di fuori dello Spazio economico europeo che non beneficia di una decisione di adeguatezza, le SCC sono incorporate nel presente DPA per rinvio: il Modulo Due (da titolare a responsabile) quando il Cliente è titolare, e il Modulo Tre (da responsabile a responsabile) quando il Cliente è responsabile. Per le SCC: si applica la clausola di adesione facoltativa (clausola 7); si applica la clausola 9, lettera a), opzione 2 (autorizzazione generale) con il termine di preavviso della Sezione 7; la formulazione facoltativa della clausola 11 non si applica; le clausole 17 e 18 designano la legge e i giudici di Estonia; e gli Allegati I e II sono completati dalle Sezioni 1, 4 e 6 e l'Allegato III dalla Sezione 7 del presente DPA.

Per i trasferimenti soggetti al GDPR del Regno Unito (UK GDPR), si applica, insieme alle SCC, l'International Data Transfer Addendum emesso dall'Information Commissioner del Regno Unito. Rediacc si affida al quadro UE-USA per la protezione dei dati (EU-US Data Privacy Framework) per i Sub-responsabili certificati in base ad esso.

9. Richieste degli interessati e assistenza

Rediacc inoltra tempestivamente al Cliente qualsiasi richiesta di un interessato relativa ai Dati Personali del Cliente e non risponde direttamente, salvo su istruzione del Cliente. Tenuto conto della natura del trattamento, Rediacc assiste il Cliente nel rispondere a tali richieste e nell'adempiere ai propri obblighi ai sensi degli articoli da 32 a 36 del GDPR, comprese le valutazioni d'impatto sulla protezione dei dati e le consultazioni preventive.

10. Violazione dei dati personali

Rediacc notifica al Cliente senza ingiustificato ritardo, e in ogni caso entro settantadue (72) ore, dopo essere venuta a conoscenza di una Violazione dei Dati Personali che riguardi Dati Personali del Cliente. La notifica descrive, per quanto noto, la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni coinvolti, le probabili conseguenze e le misure adottate o proposte. Rediacc adotta misure ragionevoli per contenere e porre rimedio alla violazione.

11. Cancellazione o restituzione

Al termine dei Servizi, il Cliente può esportare i Dati Personali del Cliente entro trenta (30) giorni. Rediacc cancella poi i Dati Personali del Cliente dai sistemi attivi, e dai backup entro novanta (90) giorni, salvo che la legge imponga a Rediacc di conservarli.

12. Audit

Rediacc mette a disposizione del Cliente le informazioni necessarie per dimostrare il rispetto dell'articolo 28 del GDPR, principalmente tramite risposte scritte a questionari di sicurezza ragionevoli e tramite i rapporti di audit e le certificazioni disponibili di Rediacc e dei suoi Sub-responsabili. Quando tali informazioni sono insufficienti o lo richiede un'autorità di controllo, il Cliente può condurre un audit, a proprie spese, con un preavviso di trenta (30) giorni, durante l'orario di lavoro, non più di una volta l'anno, con obblighi di riservatezza e senza interrompere i Servizi o altri clienti.

13. Responsabilità e prevalenza

La responsabilità di ciascuna parte ai sensi del presente DPA è soggetta alle limitazioni dei Termini di servizio, salvo che le Leggi sulla Protezione dei Dati non lo consentano. In caso di conflitto tra il presente DPA e i Termini di servizio, prevale il presente DPA per il trattamento dei Dati Personali del Cliente; in caso di conflitto tra le SCC e il presente DPA, prevalgono le SCC.

14. Fonte del presente DPA

Parti del presente DPA sono adattate dai Common Paper Data Processing Agreement Standard Terms Version 1.1 (commonpaper.com/standards/data-processing-agreement/1.1), pubblicati da Common Paper, Inc. con licenza Creative Commons Attribution 4.0 International (CC BY 4.0). Il testo è stato modificato: è stato ristrutturato, abbreviato e adattato ai Servizi. Common Paper, Inc. non approva il presente DPA.