Questo Accordo sul Trattamento dei Dati (“DPA”) si applica quando tu (il “Cliente”) utilizzi Skedeon per trattare dati personali di altre persone. Fa parte dei Termini di Servizio tra il Cliente e Vertex Digital L.L.C-FZ, una società a responsabilità limitata registrata nella Meydan Free Zone, Dubai, Emirati Arabi Uniti, Licenza n. 2648533.01, sede legale registrata a Meydan Grandstand, 6th floor, Meydan Road, Nad Al Sheba, Dubai, United Arab Emirates (“Vertex Digital”). È concepito per soddisfare l’articolo 28 del Regolamento generale sulla protezione dei dati (GDPR) dell’UE e del Regno Unito e di leggi analoghe. Non è necessaria alcuna firma; se la tua organizzazione ha bisogno di una copia firmata, scrivi a privacy@skedeon.com.
1. Ruoli
- Cliente = titolare del trattamento per i “Dati Personali del Cliente”: i dati personali del pubblico e dei contatti del Cliente che il Servizio tratta su istruzione del Cliente.
- Vertex Digital = responsabile del trattamento dei Dati Personali del Cliente.
- Vertex Digital è titolare autonomo del trattamento per i dati relativi ai titolari degli account (accesso, rapporto di fatturazione, supporto, sicurezza), come descritto nell’Informativa sulla Privacy. Paddle è titolare autonomo del trattamento per i dati di pagamento. Meta, Google, TikTok e le altre piattaforme su cui il Cliente pubblica sono titolari autonomi del trattamento, non nostri sub-responsabili.
2. Oggetto e dettagli del trattamento
- Finalità e natura: fornire il Servizio, ossia conservare, organizzare, visualizzare, analizzare e trasmettere dati per programmare e pubblicare contenuti, gestire commenti e messaggi, eseguire automazioni (Autoreply, Flows), SmartLinks e statistiche.
- Interessati: le persone che interagiscono con gli account collegati del Cliente (chi commenta, chi invia messaggi, i follower conteggiati nelle statistiche, chi fa clic sugli SmartLinks), i contatti nei Flows, le persone che compaiono nei contenuti del Cliente e i membri del team del Cliente.
- Categorie di dati: nomi utente e ID sulle piattaforme, nomi e immagini del profilo, contenuto di messaggi e commenti, cronologia delle interazioni, tag e campi impostati dal Cliente, statistiche aggregate e contenuti caricati dal Cliente. Il Servizio non è progettato per categorie particolari di dati, e il Cliente non dovrebbe utilizzarlo per raccoglierle.
- Durata: per tutto il tempo in cui il Cliente utilizza il Servizio, seguita dalla cancellazione come descritto nella sezione 9.
3. Istruzioni
Vertex Digital tratta i Dati Personali del Cliente solo sulla base delle istruzioni documentate del Cliente, che sono i Termini, il presente DPA e l’uso e la configurazione del Servizio da parte del Cliente, salvo che la legge disponga diversamente (nel qual caso informiamo prima il Cliente, a meno che la legge non lo vieti). Informiamo il Cliente se riteniamo che un’istruzione violi la normativa sulla protezione dei dati.
4. Riservatezza
Chiunque in Vertex Digital sia autorizzato a trattare i Dati Personali del Cliente è vincolato alla riservatezza e vi accede solo nella misura necessaria per fornire, supportare o proteggere il Servizio.
5. Sicurezza
Applichiamo misure tecniche e organizzative adeguate, tra cui: crittografia in transito (TLS) e dei token di accesso alle piattaforme a riposo; accesso limitato al personale autorizzato con autenticazione forte; separazione dei dati di ciascuno spazio di lavoro; registrazione degli accessi amministrativi e delle azioni compiute tramite l’API e il connettore IA; periodi di cancellazione automatica (per esempio i dati dell’inbox più vecchi di 90 giorni e i contenuti multimediali dopo la pubblicazione); backup e procedure di ripristino; e revisione periodica di queste misure.
6. Sub-responsabili del trattamento
Il Cliente concede un’autorizzazione generale per i sub-responsabili elencati di seguito. Imponiamo a ciascuno di essi obblighi di protezione dei dati equivalenti a quelli del presente DPA e restiamo responsabili del loro operato. Annunciamo i nuovi sub-responsabili su questa pagina e via e-mail ai titolari degli account con almeno 15 giorni di anticipo; il Cliente può opporsi per ragionevoli motivi legati alla protezione dei dati e, se non possiamo dare seguito all’opposizione, il Cliente può annullare e ricevere il rimborso del periodo prepagato non utilizzato.
- Cloudflare, Inc.: hosting dell’applicazione, distribuzione dei contenuti, sicurezza, archiviazione dei contenuti multimediali (rete globale).
- Supabase, Inc.: hosting del database (Unione Europea).
- Sendinblue SAS (Brevo): e-mail transazionali ai titolari degli account (Unione Europea).
7. Trasferimenti internazionali
Vertex Digital ha sede negli Emirati Arabi Uniti. Ove i Dati Personali del Cliente soggetti al GDPR siano trasferiti verso un Paese privo di una decisione di adeguatezza, le parti accettano le Clausole Contrattuali Standard dell’UE (Decisione della Commissione 2021/914), Modulo 2 (da titolare a responsabile) e, ove pertinente, Modulo 3 (da responsabile a responsabile), con l’Addendum del Regno Unito per i dati del Regno Unito. Tali clausole sono incorporate per riferimento, con la scelta della legge di Dubai ove le clausole lo consentano e, in caso contrario, della legge e dei tribunali dell’Irlanda; il presente DPA fornisce le informazioni per i relativi allegati. Ci avvaliamo inoltre dei meccanismi di trasferimento dei nostri sub-responsabili.
8. Assistenza, violazioni e audit
- Richieste degli interessati: il Servizio consente al Cliente di trovare, esportare ed eliminare i dati; assistiamo il Cliente nelle richieste che non può gestire da solo e inoltriamo al Cliente le richieste che riceviamo direttamente.
- Violazioni dei dati personali: informiamo il Cliente senza ingiustificato ritardo, e in ogni caso entro 48 ore dal momento in cui veniamo a conoscenza di una violazione che riguarda i Dati Personali del Cliente, con le informazioni disponibili e con aggiornamenti man mano che ne apprendiamo di nuove.
- Altra assistenza: forniamo le informazioni ragionevoli di cui il Cliente ha bisogno per le valutazioni d’impatto sulla protezione dei dati e per le consultazioni con le autorità.
- Audit: mettiamo a disposizione le informazioni necessarie a dimostrare il rispetto del presente DPA. Ove ciò non sia sufficiente, il Cliente può effettuare un audit una volta all’anno, con un preavviso di 30 giorni, durante l’orario lavorativo, a proprie spese e in regime di riservatezza, oppure incaricare un revisore indipendente di farlo.
9. Cancellazione al termine
Quando il Cliente elimina il proprio account (Settings → Delete account, ossia Impostazioni → Elimina account), i Dati Personali del Cliente vengono eliminati immediatamente dai sistemi in produzione ed entro 30 giorni dai backup, salvo che la legge ci imponga di conservarli. Prima della cancellazione, il Cliente può esportare i propri dati dall’app.
10. Disposizioni generali
Il presente DPA resta in vigore finché trattiamo Dati Personali del Cliente. In caso di conflitto con i Termini, il presente DPA prevale per le questioni relative alla protezione dei dati; le Clausole Contrattuali Standard prevalgono su entrambi. La responsabilità ai sensi del presente DPA è soggetta ai limiti previsti dai Termini, salvo ove la legge non lo consenta. Il presente DPA è redatto in inglese; le traduzioni sono fornite per comodità e, in caso di conflitto, prevale la versione inglese. Contatto: privacy@skedeon.com.