Accordo sul trattamento dei dati

1. Ambito e ruoli

Il presente DPA si applica ai dati personali che trattiamo per tuo conto quando ti forniamo i nostri servizi software, compresi i prodotti Ema: ad esempio i messaggi che i visitatori del tuo sito inviano al tuo assistente, i recapiti che scelgono di lasciarti e gli appuntamenti che prenotano ("Dati personali del Cliente").

Per i Dati personali del Cliente tu sei il titolare del trattamento e noi il responsabile del trattamento. Quando trattiamo dati personali per finalità nostre — i dati del tuo account e di accesso, la fatturazione, la sicurezza e il funzionamento dei servizi — siamo noi il titolare, il presente DPA non si applica e quel trattamento è descritto nella nostra Informativa sulla privacy.

Se accetti i Termini per conto di un'azienda, confermi di avere il potere di vincolarla. Se crei o gestisci un'organizzazione per un'altra azienda — ad esempio come agenzia o rivenditore — confermi di avere l'autorizzazione di quell'azienda a impartire per suo conto le istruzioni previste dal presente DPA.

2. Definizioni

Nel presente DPA:

• "Normativa sulla protezione dei dati" indica lo UK GDPR e il Data Protection Act 2018 e, quando si applicano al trattamento, il Regolamento (UE) 2016/679 (il "GDPR UE") e le norme che lo attuano o integrano.
• "Titolare del trattamento", "responsabile del trattamento", "interessato", "dati personali", "violazione dei dati personali" e "trattamento" hanno il significato attribuito loro dalla Normativa sulla protezione dei dati.
• "Servizi" indica i servizi che ti forniamo in base ai Termini.
• "Sub-responsabile" indica un terzo a cui affidiamo il trattamento di Dati personali del Cliente.
• "Clausole contrattuali tipo" indica le clausole allegate alla Decisione di esecuzione (UE) 2021/914 della Commissione.

3. Le tue istruzioni

Trattiamo i Dati personali del Cliente soltanto su tua istruzione documentata, salvo che la legge a cui siamo soggetti disponga diversamente: in tal caso te lo comunichiamo prima del trattamento, a meno che quella legge lo vieti. Le tue istruzioni sono i Termini, il presente DPA e le scelte che fai quando configuri e usi i Servizi: ad esempio su quale sito risponde il tuo assistente, che cosa può leggere, dove vengono inviate le richieste e se accetta prenotazioni.

Ti informiamo tempestivamente se, a nostro parere, un'istruzione viola la Normativa sulla protezione dei dati.

Sei responsabile della liceità del trattamento che ci chiedi di svolgere: di avere una base giuridica, di informare le persone a cui i dati si riferiscono — l'informativa privacy del tuo sito dovrebbe menzionare l'assistente e che cosa accade a ciò che vi si scrive — e di non configurare i Servizi per chiedere categorie particolari di dati personali o dati di minori.

4. Dettagli del trattamento

Oggetto e durata: la fornitura dei Servizi, per tutto il tempo in cui te li forniamo e fino alla cancellazione o restituzione dei Dati personali del Cliente ai sensi della sezione 12.

Natura e finalità: ricevere, conservare e rispondere ai messaggi; generare risposte con modelli di intelligenza artificiale a partire dai contenuti che approvi; raccogliere le richieste e le prenotazioni delle persone, riassumerle e trasmettertele; proteggere i Servizi dagli abusi — in ogni caso soltanto per fornirti i Servizi. Non usiamo i Dati personali del Cliente per addestrare o perfezionare modelli di intelligenza artificiale e non li vendiamo.

Interessati

• I visitatori del tuo sito che usano il tuo assistente.
• Le persone che contattano la tua azienda tramite un canale che colleghi ai Servizi, come WhatsApp o l'email.
• Le persone che ti lasciano i propri recapiti o prenotano un appuntamento con te.
• Chiunque i cui dati personali compaiano nei contenuti del sito o nei documenti che ci chiedi di leggere.

Categorie di dati personali

• Il contenuto di messaggi e conversazioni, compreso ciò che una persona sceglie di scrivere o inviare, ad esempio un'immagine.
• I recapiti e le risposte che una persona fornisce: ad esempio nome, indirizzo email, numero di telefono, il suo messaggio e le risposte alle domande che hai impostato.
• I dettagli degli appuntamenti: data, ora, servizio prenotato ed eventuali note.
• Dati tecnici usati per fornire e proteggere i Servizi: un identificativo pseudonimo del visitatore, l'indirizzo IP, informazioni su browser e dispositivo e l'indirizzo della pagina da cui è stato inviato un messaggio.
• I dati personali contenuti nei contenuti del sito e nei documenti che ci chiedi di leggere.
• Le informazioni su come è stata gestita una richiesta o una prenotazione, ad esempio quando è arrivata e se ha ricevuto risposta, e il riassunto di una richiesta che un modello di intelligenza artificiale scrive per te.

Categorie particolari di dati personali: non sono richieste e non devi configurare i Servizi per chiederle. Una persona può comunque fornirle spontaneamente in ciò che scrive; le trattiamo soltanto come parte dei messaggi che le contengono.

5. Riservatezza

Chiunque autorizziamo a trattare i Dati personali del Cliente è vincolato a un obbligo di riservatezza. Il nostro personale vi accede soltanto nella misura necessaria a fornire, assistere e proteggere i Servizi, comprese le sessioni di assistenza descritte nella sezione 4 dei Termini.

6. Sicurezza

Adottiamo e manteniamo misure tecniche e organizzative adeguate a proteggere i Dati personali del Cliente, come richiesto dall'articolo 32 dello UK GDPR e del GDPR UE. Le misure in atto — dove sono ospitati i dati, cifratura, conservazione e cancellazione, controllo degli accessi e gestione delle vulnerabilità — sono descritte nella nostra pagina Fiducia e sicurezza, le cui sezioni su questi temi fanno parte del presente DPA: Fiducia e sicurezza.

Possiamo modificare tali misure con l'evolversi della tecnologia e delle minacce, ma senza ridurre il livello complessivo di protezione che offrono ai Dati personali del Cliente.

7. Sub-responsabili

Ci concedi un'autorizzazione generale a ricorrere a Sub-responsabili. L'elenco dei nostri Sub-responsabili attuali, del servizio che ciascuno fornisce e di dove tratta i dati fa parte del presente DPA ed è pubblicato qui: Fiducia e sicurezza.

Diamo un preavviso di almeno 30 giorni prima che un Sub-responsabile nuovo o sostitutivo inizi a trattare Dati personali del Cliente, aggiornando quell'elenco e inviando un'email a chi ha chiesto di esserne informato. Per esserne informato, scrivi a privacy@puglieseweb.com.

Puoi opporti a un nuovo Sub-responsabile per motivi ragionevoli legati alla protezione dei dati entro quel periodo di preavviso, scrivendo allo stesso indirizzo. Valuteremo l'opposizione in buona fede. Se non possiamo ragionevolmente evitare di usare quel Sub-responsabile per te, puoi smettere di usare il Servizio interessato e ti rimborseremo i corrispettivi già pagati per il periodo successivo.

Imponiamo contrattualmente a ciascun Sub-responsabile obblighi di protezione dei dati che garantiscono ai Dati personali del Cliente la stessa tutela del presente DPA, e restiamo responsabili nei tuoi confronti dell'adempimento di tali obblighi da parte di ciascun Sub-responsabile.

8. Trasferimenti internazionali

Ospitiamo i Servizi principalmente nel Regno Unito. Alcuni Sub-responsabili trattano i dati in altri paesi, come indica l'elenco della sezione 7.

Quando i Dati personali del Cliente sono trasferiti fuori dal Regno Unito — o, per i dati soggetti al GDPR UE, fuori dallo Spazio economico europeo — verso un paese non coperto da una decisione di adeguatezza, il trasferimento avviene sulla base di una garanzia riconosciuta dalla Normativa sulla protezione dei dati, come le Clausole contrattuali tipo insieme all'Addendum del Regno Unito sul trasferimento internazionale dei dati.

Se sei stabilito nello Spazio economico europeo, i trasferimenti di Dati personali del Cliente da te a noi nel Regno Unito si basano sulla decisione di adeguatezza della Commissione europea relativa al Regno Unito, finché ne è in vigore una.

Se nessuna decisione di questo tipo è in vigore, le Clausole contrattuali tipo, modulo due (da titolare a responsabile), sono incorporate nel presente DPA per tali trasferimenti, con te come esportatore e noi come importatore dei dati. La clausola 7 non si applica; si applica l'opzione 2 della clausola 9, con il preavviso previsto dalla sezione 7; la formulazione facoltativa della clausola 11 non si applica; l'autorità di controllo competente ai sensi della clausola 13 è quella del tuo stabilimento; le clausole 17 e 18 scelgono la legge e i tribunali dell'Irlanda; gli allegati da I a III sono completati dalle sezioni 1 e 4 del presente DPA, dalle sezioni sulla sicurezza della nostra pagina Fiducia e sicurezza e dall'elenco dei Sub-responsabili. In caso di contrasto con il presente DPA, prevalgono le clausole.

9. Richieste degli interessati

Tenendo conto della natura del trattamento, ti assistiamo con misure tecniche e organizzative adeguate, nella misura del possibile, nel rispondere alle persone che esercitano i propri diritti ai sensi della Normativa sulla protezione dei dati. Se una persona si rivolge direttamente a noi in merito a Dati personali del Cliente, non rispondiamo noi alla richiesta, se non per indicarle di contattare te, e te la trasmettiamo senza ingiustificato ritardo.

10. Violazioni dei dati personali

Ti informiamo senza ingiustificato ritardo, e comunque entro 72 ore, dopo essere venuti a conoscenza di una violazione dei dati personali che riguarda Dati personali del Cliente. Inviamo la notifica al titolare della tua organizzazione. Contiene ciò che sappiamo in quel momento — la natura della violazione, le categorie e il numero approssimativo di persone e di registrazioni coinvolte, le probabili conseguenze e le misure adottate o proposte — e la integriamo con ulteriori informazioni man mano che diventano disponibili.

Adottiamo misure ragionevoli per contenere e indagare la violazione e per attenuarne gli effetti. Notificarti una violazione non costituisce ammissione di colpa o di responsabilità.

11. Assistenza, registri e verifiche

Tenendo conto della natura del trattamento e delle informazioni a nostra disposizione, ti forniamo un'assistenza ragionevole nelle valutazioni d'impatto sulla protezione dei dati e nella consultazione preventiva di un'autorità di controllo relative ai Servizi.

Teniamo un registro dei trattamenti svolti per tuo conto e ti mettiamo a disposizione le informazioni necessarie a dimostrare il rispetto del presente DPA, compresa la nostra pagina Fiducia e sicurezza e le risposte a ragionevoli questionari di sicurezza.

Se tali informazioni non bastano a dimostrarlo, o se un'autorità di controllo lo richiede, tu o un revisore indipendente da te incaricato potete verificare il nostro rispetto del presente DPA: una volta ogni 12 mesi, salvo che si sia verificata una violazione dei dati personali, con un preavviso scritto di almeno 30 giorni, in orario lavorativo, senza interrompere i Servizi, con obbligo di riservatezza e a tue spese. Il revisore non può essere un nostro concorrente.

12. Cancellazione e restituzione

Quando chiudi il tuo account, o smettiamo di fornirti i Servizi, attendiamo 30 giorni prima di cancellare i Dati personali del Cliente, così che una chiusura fatta per errore possa essere annullata, e poi li cancelliamo entro altri 30 giorni, salvo che la legge ci imponga di conservarli. Se lo chiedi, ti confermiamo la cancellazione per iscritto. Finché non sono cancellati, puoi chiederci per iscritto una copia in un formato di uso comune e leggibile da dispositivo automatico.

Mentre usi i Servizi, i Dati personali del Cliente sono conservati e cancellati come descritto nella sezione sulla conservazione della nostra pagina Fiducia e sicurezza. Un dato cancellato può restare nei backup per un massimo di 35 giorni; quelle copie scadono da sole e i Servizi non possono leggerle. La sezione sulla conservazione è qui: Fiducia e sicurezza.

Per chiedere la cancellazione o una copia, scrivi a privacy@puglieseweb.com.

13. Responsabilità e prevalenza

La responsabilità di ciascuna parte derivante dal presente DPA o a esso connessa è soggetta alle limitazioni ed esclusioni di responsabilità previste dai Termini, nella misura consentita dalla Normativa sulla protezione dei dati.

In caso di contrasto tra il presente DPA e il resto dei Termini, per il trattamento dei Dati personali del Cliente prevale il presente DPA.

14. Modifiche e legge applicabile

Possiamo aggiornare il presente DPA come i Termini (sezione 13 dei Termini). Non apporteremo modifiche che riducano la tutela che il presente DPA offre ai Dati personali del Cliente, salvo che lo richieda la Normativa sulla protezione dei dati o un'autorità di controllo. Diamo un preavviso di almeno 30 giorni di ogni modifica sostanziale via email al titolare della tua organizzazione, e ogni versione riporta la propria data in cima a questa pagina. Se continui a usare i Servizi dopo che una modifica è entrata in vigore, la accetti.

Il presente DPA è regolato dalla legge di Inghilterra e Galles, come i Termini, salvo che la Normativa sulla protezione dei dati o le Clausole contrattuali tipo dispongano diversamente.

15. Contatti

Per domande sul presente DPA, per opporti a un Sub-responsabile, per essere informato quando cambia l'elenco dei Sub-responsabili o per chiedere la cancellazione o la restituzione dei Dati personali del Cliente, scrivi a: