Accordo sul trattamento dei dati

1. Ambito di applicazione e parti

Il presente Accordo sul trattamento dei dati (il «DPA») costituisce parte integrante dei Termini di servizio tra Pitempo e il Cliente e si applica a tutti i dati personali che Pitempo tratta per conto del Cliente nella fornitura del Servizio (i «Dati personali del Cliente»). Il Cliente è il titolare del trattamento (o, quando agisce per conto di un altro titolare, un responsabile del trattamento) e Pitempo è il responsabile del trattamento (o sub-responsabile). In caso di contrasto, il presente DPA prevale sui Termini per quanto riguarda i Dati personali del Cliente.

2. Definizioni

Per «Normativa sulla protezione dei dati» si intendono tutte le leggi sulla protezione dei dati personali applicabili al trattamento, compresi, ove applicabili, il regolamento (UE) 2016/679 (GDPR), il GDPR del Regno Unito e il Data Protection Act 2018 del Regno Unito, la legge federale svizzera sulla protezione dei dati (LPD), la legge turca n. 6698 sulla protezione dei dati personali (KVKK), la legge generale brasiliana sulla protezione dei dati (LGPD) e le leggi degli Stati USA in materia di privacy, come il California Consumer Privacy Act (CCPA). I termini «titolare del trattamento», «responsabile del trattamento», «dati personali», «trattamento», «interessato» e «violazione dei dati personali» hanno il significato loro attribuito dalla Normativa sulla protezione dei dati applicabile; ai sensi della KVKK, il titolare del trattamento è il «veri sorumlusu» e il responsabile del trattamento è il «veri işleyen». Gli altri termini con iniziale maiuscola hanno il significato loro attribuito nei Termini.

3. Dettagli del trattamento

L’oggetto, la durata, la natura e la finalità del trattamento, i tipi di dati personali e le categorie di interessati sono indicati nell’allegato 1.

4. Istruzioni

Pitempo tratta i Dati personali del Cliente soltanto su istruzione documentata del Cliente, anche in caso di trasferimento verso paesi terzi, salvo che lo richieda la legge; in tal caso Pitempo informa il Cliente di tale obbligo giuridico prima del trattamento, a meno che la legge lo vieti. I Termini, il presente DPA e l’utilizzo e la configurazione del Servizio da parte del Cliente costituiscono le istruzioni documentate del Cliente. Pitempo informa immediatamente il Cliente qualora, a suo parere, un’istruzione violi la Normativa sulla protezione dei dati.

5. Riservatezza

Pitempo garantisce che le persone autorizzate al trattamento dei Dati personali del Cliente si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza, e che l’accesso sia limitato a quanto necessario.

6. Sicurezza

Pitempo adotta le misure tecniche e organizzative descritte nell’allegato 2 per garantire un livello di sicurezza adeguato al rischio. Pitempo può aggiornare tali misure, purché il livello complessivo di sicurezza non venga ridotto.

7. Sub-responsabili del trattamento

Il Cliente concede a Pitempo un’autorizzazione generale a ricorrere a sub-responsabili del trattamento. Pitempo mette a disposizione del Cliente, su richiesta all’indirizzo privacy@pitempo.com, l’elenco aggiornato dei sub-responsabili, con la loro funzione e il luogo del trattamento. Pitempo informa il Cliente di qualsiasi aggiunta o sostituzione prevista di un sub-responsabile con almeno 30 giorni di anticipo, via e-mail o nel Servizio. Entro tale termine il Cliente può opporsi per ragionevoli motivi attinenti alla protezione dei dati; se le parti non riescono a risolvere l’opposizione, il Cliente può recedere dal Servizio interessato prima che la modifica abbia effetto. Pitempo impone contrattualmente a ciascun sub-responsabile obblighi in materia di protezione dei dati che garantiscano almeno lo stesso livello di protezione del presente DPA e rimane responsabile nei confronti del Cliente dell’adempimento degli obblighi dei propri sub-responsabili.

I servizi che il Cliente acquista direttamente e collega al Servizio, ad esempio il proprio account presso un fornitore di SMS, non sono sub-responsabili di Pitempo; il Cliente incarica Pitempo di trasmettere loro i dati necessari per il rispettivo servizio.

8. Trasferimenti internazionali

Pitempo trasferisce i Dati personali del Cliente verso un paese terzo solo nel rispetto della Normativa sulla protezione dei dati.

Nella misura in cui il trattamento comporti un trasferimento soggetto al capo V del GDPR, si applicano le clausole contrattuali tipo adottate con la decisione di esecuzione (UE) 2021/914 della Commissione (le «CCT»), che sono incorporate per riferimento nel presente DPA come segue: si applica il modulo due quando il Cliente è titolare del trattamento e il modulo tre quando è responsabile del trattamento; si applica la clausola 7 (clausola di adesione successiva); alla clausola 9, lettera a), si applica l’opzione 2 (autorizzazione scritta generale, con un preavviso di 30 giorni); non si applica la formulazione facoltativa della clausola 11; ai sensi della clausola 17, le CCT sono disciplinate dal diritto irlandese e, ai sensi della clausola 18, le controversie sono risolte dagli organi giurisdizionali irlandesi; l’autorità di controllo competente è determinata conformemente alla clausola 13; gli allegati I e II delle CCT sono completati con le informazioni degli allegati 1 e 2 del presente DPA, essendo il Cliente l’esportatore dei dati e Pitempo l’importatore dei dati.

Per i trasferimenti soggetti al GDPR del Regno Unito si applica inoltre l’International Data Transfer Addendum alle clausole contrattuali tipo della Commissione europea emesso dall’Information Commissioner del Regno Unito. Per i trasferimenti soggetti alla LPD, le CCT si applicano con gli adattamenti richiesti dal diritto svizzero e l’Incaricato federale della protezione dei dati e della trasparenza è l’autorità di controllo competente. Quando un’altra Normativa sulla protezione dei dati, ad esempio la KVKK o la LGPD, richiede uno specifico strumento di trasferimento, le parti lo adottano prima che il trasferimento abbia luogo.

9. Assistenza

Tenendo conto della natura del trattamento e delle informazioni a sua disposizione, Pitempo assiste il Cliente con misure tecniche e organizzative adeguate nel dare seguito alle richieste degli interessati e nell’adempiere agli obblighi del Cliente in materia di sicurezza, violazioni dei dati personali, valutazioni d’impatto sulla protezione dei dati e consultazione preventiva delle autorità di controllo. Se un interessato si rivolge direttamente a Pitempo con una richiesta relativa ai Dati personali del Cliente, Pitempo la inoltra al Cliente senza ingiustificato ritardo e non vi risponde direttamente, salvo istruzione del Cliente.

10. Violazioni dei dati personali

Pitempo informa il Cliente senza ingiustificato ritardo e, ove possibile, entro 48 ore dal momento in cui è venuto a conoscenza di una violazione dei dati personali che riguarda i Dati personali del Cliente. Nella misura in cui le informazioni sono disponibili, la notifica descrive la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni coinvolti, le probabili conseguenze e le misure adottate o proposte. Pitempo adotta misure ragionevoli per contenere la violazione e attenuarne gli effetti. Spetta al Cliente notificare la violazione alle autorità di controllo e agli interessati quando richiesto, ad esempio entro 72 ore ai sensi del GDPR e delle decisioni del Consiglio turco per la protezione dei dati personali.

11. Restituzione e cancellazione

Al termine della fornitura del Servizio, Pitempo consente al Cliente di esportare i Dati personali del Cliente come descritto all’articolo 14 dei Termini e successivamente li cancella entro 30 giorni dalla fine del periodo di recupero, salvo che la legge ne richieda la conservazione. Le copie contenute nei backup vengono sovrascritte nel normale ciclo di backup e non vengono ripristinate, se non per il ripristino in caso di disastro. Su richiesta, Pitempo conferma l’avvenuta cancellazione.

12. Informazioni e audit

Pitempo mette a disposizione del Cliente tutte le informazioni necessarie per dimostrare il rispetto del presente DPA e dell’articolo 28 del GDPR e consente e contribuisce alle attività di revisione, comprese le ispezioni, realizzate dal Cliente o da un revisore indipendente da esso incaricato. Gli audit devono essere annunciati con almeno 30 giorni di anticipo, svolgersi durante il normale orario lavorativo senza disturbare l’operatività, essere soggetti a riservatezza e avere luogo non più di una volta all’anno, salvo che una violazione dei dati personali o una richiesta di un’autorità di controllo giustifichi un audit aggiuntivo. Pitempo può rispondere in primo luogo a una richiesta di audit con informazioni e documentazione scritte. Ciascuna parte sostiene i propri costi.

13. Leggi degli Stati USA sulla privacy

Nella misura in cui si applicano le leggi degli Stati USA in materia di privacy, Pitempo agisce in qualità di «service provider» o «processor». Pitempo non vende né condivide i Dati personali del Cliente; non li conserva, utilizza o divulga per finalità diverse dalla fornitura del Servizio al Cliente, comprese finalità commerciali diverse dalla fornitura del Servizio, né al di fuori del rapporto commerciale diretto con il Cliente; e non li combina con dati personali ricevuti da altre fonti, salvo nella misura consentita dalla legge. Pitempo adempie agli obblighi a suo carico ai sensi di tali leggi, garantisce il livello di tutela della privacy da esse richiesto e informa il Cliente se ritiene di non essere più in grado di adempiere ai propri obblighi. Il Cliente può adottare misure ragionevoli e appropriate per far cessare e porre rimedio all’uso non autorizzato dei Dati personali del Cliente. Pitempo certifica di comprendere tali limitazioni e di rispettarle.

14. Obblighi del Cliente

Il Cliente è responsabile della liceità del trattamento, il che comprende disporre di una base giuridica, informare gli interessati (ad esempio i clienti di cui assiste i veicoli) e ottenere gli eventuali consensi necessari. Il Cliente non deve memorizzare nel Servizio categorie particolari di dati personali né dati relativi a condanne penali.

15. Responsabilità e durata

La responsabilità di ciascuna parte ai sensi del presente DPA è soggetta alle limitazioni previste dai Termini, salvo nella misura in cui la Normativa sulla protezione dei dati o le CCT non consentano tale limitazione. Il presente DPA resta in vigore finché Pitempo tratta Dati personali del Cliente.

Allegato 1: Dettagli del trattamento

Allegato 2: Misure tecniche e organizzative

• Cifratura in transito: tutte le connessioni al Servizio utilizzano HTTPS/TLS; le e-mail vengono inviate al nostro fornitore di posta tramite una connessione cifrata (STARTTLS).
• Controllo degli accessi: accesso con password e, facoltativamente, con passkey; le password sono conservate solo come hash con salt; i codici di verifica monouso scadono dopo 5 minuti; limiti di frequenza proteggono dai tentativi di forza bruta; le sessioni scadono.
• Separazione dei Clienti: i dati di ciascun Cliente sono isolati a livello di database mediante policy di sicurezza a livello di riga, in modo che un Cliente non possa accedere ai dati di un altro.
• Autorizzazioni: permessi basati sui ruoli all’interno di ciascun Account; prezzi, costi e utili sono visibili solo ai ruoli autorizzati, e i campi che un ruolo non può vedere non vengono nemmeno inviati al suo browser.
• Tracciabilità: registri di audit delle modifiche (chi, cosa, quando) e cronologia degli accessi con indirizzi IP mascherati.
• Accesso amministrativo: accesso ai server solo con chiavi SSH, con accesso tramite password e accesso come root disattivati; strumenti di amministrazione protetti da un ulteriore controllo degli accessi; principio del privilegio minimo.
• Credenziali dei servizi collegati: le credenziali che il Cliente inserisce per i servizi collegati, ad esempio gli account dei fornitori di SMS, sono conservate in forma cifrata.
• Disponibilità: backup giornalieri del database conservati per 7 giorni e una procedura di ripristino documentata.
• Minimizzazione e conservazione dei dati: anonimizzazione automatica dei log dei messaggi dopo 12 mesi; cancellazione automatica delle notifiche obsolete, della cronologia degli accessi dopo 180 giorni e dei dati di importazione temporanei dopo 30 giorni.
• Sviluppo sicuro: test automatizzati, compresi test sull’isolamento tra Clienti e sui diritti di accesso, e verifiche delle vulnerabilità delle dipendenze prima di ogni rilascio; aggiornamenti di sicurezza tempestivi.
• Gestione degli incidenti: una procedura per rilevare, valutare, contenere e notificare le violazioni dei dati personali.