Accordo sul trattamento dei dati

1. Parti e ambito

Il presente Accordo sul trattamento dei dati (il "DPA") è stipulato tra PeakCore LLC, società a responsabilità limitata del Wyoming che gestisce AIGROW ("noi"), e l’azienda che accetta i nostri Termini di servizio ("tu"). Fa parte del contratto costituito dai Termini e dai documenti da essi richiamati (il "Contratto").

Si applica ogni volta che trattiamo Dati personali del cliente nell’erogazione dei Servizi in tuo favore. Si applica automaticamente, senza firma, dal momento in cui ci affidi per la prima volta tali dati. Casi tipici sono:

• le informazioni sulla tua attività, i concorrenti e i totali del traffico di Google Analytics che salvi in un monitor;
• i dati dei clienti di un’agenzia, il branding e i report white-label;
• i lead raccolti dal checker incorporato di un’agenzia tra i visitatori del sito dell’agenzia;
• i dati di Search Console e la chiave che colleghi al motore del blog;
• i messaggi, i ricordi e i documenti che fornisci all’assistente, e i contenuti del motore del blog;
• i prompt e le risposte che transitano attraverso la nostra API;
• i materiali che ci invii per i lavori chiavi in mano e i comunicati stampa, come recensioni dei clienti, citazioni e nomi del tuo personale.

Il presente DPA si applica solo ai clienti business. Non si applica ai dati personali che trattiamo in qualità di titolare del trattamento, come i dati del tuo account, di fatturazione e di contatto, che sono disciplinati dall’Informativa sulla privacy.

2. Definizioni

I termini definiti nei Termini hanno lo stesso significato anche qui. "Titolare del trattamento", "responsabile del trattamento", "interessato", "dati personali", "trattamento" e "autorità di controllo" hanno il significato previsto dal GDPR. Inoltre:

• Dati personali del cliente indica i dati personali che trattiamo per tuo conto nell’erogazione dei Servizi.
• Normativa sulla protezione dei dati indica le leggi applicabili a tale trattamento, tra cui possono rientrare il Regolamento generale sulla protezione dei dati dell’UE 2016/679 (il "GDPR"), il GDPR come parte del diritto del Regno Unito (il "UK GDPR"), il Data Protection Act 2018 del Regno Unito, la legge federale svizzera sulla protezione dei dati (la "LPD"), il California Consumer Privacy Act e le analoghe leggi dei singoli Stati USA.
• Sub-responsabile indica un terzo che incarichiamo di trattare i Dati personali del cliente.
• Violazione dei dati personali indica una violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai Dati personali del cliente presenti su sistemi controllati da noi o dai nostri Sub-responsabili.
• SCC indica le Clausole contrattuali tipo approvate con la Decisione di esecuzione (UE) 2021/914 della Commissione europea.
• Addendum UK indica l’International Data Transfer Addendum alle SCC emesso dall’Information Commissioner del Regno Unito.

3. Ruoli

Tu sei il titolare del trattamento dei Dati personali del cliente e noi siamo il tuo responsabile del trattamento. Quando agisci per un tuo cliente, come fa un’agenzia, tu sei responsabile del trattamento, il tuo cliente è il titolare e noi siamo il tuo sub-responsabile. Confermi che il tuo cliente ti ha autorizzato a darci queste istruzioni, compresa la nomina dei nostri Sub-responsabili, e resti il nostro unico punto di contatto.

Siamo titolari del trattamento, e non responsabili, per i dati che ci servono a gestire la nostra attività: dati dell’account e di fatturazione, registri di utilizzo e costi, log di sicurezza e di abuso, e statistiche che non identificano nessuno. Possiamo usare i registri di utilizzo e tali statistiche per gestire, proteggere, fatturare e migliorare i Servizi, e mai per identificare i tuoi interessati.

Stati Uniti. Dove si applicano le leggi statali USA sulla privacy, agiamo come tuo fornitore di servizi (service provider) o appaltatore (contractor). Non vendiamo né condividiamo i Dati personali del cliente. Non li conserviamo, usiamo o divulghiamo per finalità diverse dall’erogazione dei Servizi ai sensi del Contratto, né al di fuori del nostro rapporto commerciale diretto con te, e non li combiniamo con dati personali provenienti da altre fonti, salvo quanto consentito da tali leggi. Rispettiamo gli obblighi che tali leggi ci impongono e ti avviseremo se non saremo più in grado di rispettarli. Potrai allora adottare misure ragionevoli e adeguate per interrompere e porre rimedio a un uso non autorizzato.

4. Trattamento secondo le tue istruzioni

Trattiamo i Dati personali del cliente solo su tue istruzioni documentate, anche per quanto riguarda i trasferimenti internazionali, salvo che la legge richieda diversamente. In tal caso ti informiamo di tale obbligo di legge prima del trattamento, a meno che la legge lo vieti.

Le tue istruzioni sono il presente DPA, il Contratto, le impostazioni che scegli e il modo in cui usi i Servizi, oltre a eventuali ulteriori istruzioni scritte che accettiamo. Scegliere una funzionalità, un modello o un indirizzo di consegna è un’istruzione. Ad esempio, quando scegli un modello nell’assistente o nell’API, l’invio dei tuoi contenuti al fornitore di quel modello fa parte delle tue istruzioni.

Ti avviseremo se, a nostro avviso, un’istruzione viola la Normativa sulla protezione dei dati. Non siamo tenuti a verificare la conformità legale delle tue istruzioni e possiamo sospendere il trattamento interessato finché non confermi o modifichi l’istruzione.

Sei responsabile della liceità del trattamento che ci istruisci a eseguire: disporre di una base giuridica, fornire le informative e ottenere i consensi richiesti dalla legge, e garantire l’esattezza dei dati che fornisci. I Servizi non sono progettati per categorie particolari di dati personali, dati relativi a condanne penali o dati di minori. Non fornirci tali dati, a meno che siano necessari per il Servizio e leciti.

5. Riservatezza

Consentiamo l’accesso ai Dati personali del cliente solo alle persone che ne hanno bisogno per erogare, assistere o proteggere i Servizi e che sono vincolate da obblighi di riservatezza o da un obbligo legale di riservatezza.

Se un tribunale, un’autorità o un altro terzo ci richiede Dati personali del cliente, lo rimandiamo a te, ove possibile. Ti informiamo della richiesta, a meno che la legge lo vieti, e comunichiamo solo ciò che siamo legalmente tenuti a comunicare.

6. Sicurezza

Adottiamo misure tecniche e organizzative che garantiscono un livello di sicurezza adeguato al rischio, come richiede l’articolo 32 del GDPR, tenendo conto dello stato dell’arte, dei costi di attuazione, nonché della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento. Le misure attualmente in vigore sono indicate di seguito e costituiscono l’Allegato II ai fini delle SCC.

Possiamo modificare queste misure con l’evoluzione della tecnologia e dei rischi, purché la modifica non riduca in modo sostanziale il livello complessivo di sicurezza. Sei responsabile della sicurezza del tuo account, dei tuoi dispositivi, delle chiavi API e dei link dei report, nonché dei dati che scegli di caricare. La nostra pagina sulla sicurezza descrive come funziona AIGROW.

7. Sub-responsabili

Ci conferisci un’autorizzazione generale a incaricare Sub-responsabili. Le categorie che utilizziamo, con le relative sedi, sono indicate nell’allegato qui sotto. L’elenco aggiornato dei Sub-responsabili è disponibile su richiesta scrivendo a privacy@aigrow.gg.

Ti avviseremo via email, all’indirizzo del tuo account, almeno 14 giorni prima che un nuovo Sub-responsabile inizi a trattare Dati personali del cliente. Entro tale termine puoi opporti per motivi ragionevoli legati alla protezione dei dati, scrivendo a privacy@aigrow.gg. Discuteremo in buona fede le tue preoccupazioni. Se non riusciamo a risolverle, puoi terminare il Servizio interessato con comunicazione scritta e alle somme pagate si applica la Politica di rimborso. Questo è il tuo unico rimedio in caso di opposizione.

Se dobbiamo sostituire con urgenza un Sub-responsabile, per ragioni di sicurezza o per mantenere in funzione i Servizi, possiamo farlo subito e ti avviseremo il prima possibile dopo, con lo stesso diritto di opposizione.

A ciascun Sub-responsabile imponiamo, tramite contratto scritto, obblighi di protezione dei dati che offrono in sostanza la stessa protezione del presente DPA, come richiede l’articolo 28, paragrafo 4, del GDPR. Restiamo responsabili nei tuoi confronti per l’adempimento degli obblighi dei nostri Sub-responsabili.

8. Assistenza

Tenendo conto della natura del trattamento e delle informazioni a nostra disposizione, ti assistiamo nelle seguenti attività:

• rispondere alle richieste degli interessati che esercitano i propri diritti, tramite le funzionalità dei Servizi e, se non bastano, su richiesta scrivendo a privacy@aigrow.gg;
• i tuoi obblighi di sicurezza, le valutazioni d’impatto sulla protezione dei dati e le consultazioni preventive con le autorità di controllo, fornendo informazioni sui Servizi.

Se un interessato ci contatta direttamente in merito a Dati personali del cliente, lo rimandiamo a te e non rispondiamo noi, se non per confermare di aver inoltrato la richiesta.

Se l’assistenza va oltre le funzionalità e le informazioni che i Servizi già offrono, possiamo addebitare costi ragionevoli, che ti comunicheremo in anticipo, a meno che l’assistenza sia necessaria perché abbiamo violato il presente DPA.

9. Violazioni dei dati personali

Ti informiamo senza ingiustificato ritardo dopo essere venuti a conoscenza di una Violazione dei dati personali, via email all’indirizzo del tuo account. Man mano che diventano disponibili, ti forniamo le informazioni elencate nell’articolo 33, paragrafo 3, del GDPR:

• la natura della violazione, compresi, ove possibile, le categorie e il numero approssimativo di interessati e di registrazioni in questione;
• un punto di contatto per ulteriori informazioni;
• le probabili conseguenze della violazione;
• le misure adottate o proposte per porvi rimedio e per attenuarne i possibili effetti negativi.

Adottiamo misure ragionevoli per contenere la violazione e porvi rimedio. Sei responsabile di ogni notifica alle autorità di controllo e agli interessati, e ti presteremo assistenza come descritto nella sezione sull’assistenza.

I tentativi falliti o le attività che non compromettono la sicurezza dei Dati personali del cliente, come i tentativi di accesso non riusciti, i ping, le scansioni delle porte o gli attacchi bloccati, non costituiscono Violazioni dei dati personali. La nostra notifica di una violazione non costituisce un’ammissione di colpa o di responsabilità.

10. Restituzione e cancellazione

Mentre utilizzi i Servizi, puoi cancellare autonomamente buona parte dei tuoi dati, come un monitor, un sito blog collegato, un documento o un ricordo dell’assistente, e puoi chiedere a privacy@aigrow.gg una copia dei restanti.

Quando i Servizi terminano, o in qualsiasi momento su tua richiesta scritta a privacy@aigrow.gg, restituiamo o cancelliamo i Dati personali del cliente entro un termine ragionevole, a tua scelta, salvo che la legge ci imponga di conservarli. Se lo chiedi, confermiamo la cancellazione per iscritto. Se non fai alcuna richiesta, cancelliamo i Dati personali del cliente quando non ci servono più per fornire i Servizi, come descritto nell’Informativa sulla privacy.

I dati che dobbiamo conservare per legge restano tutelati dal presente DPA e sono trattati solo per la finalità che ne richiede la conservazione.

11. Informazioni e audit

Mettiamo a tua disposizione le informazioni necessarie per dimostrare il rispetto dell’articolo 28 del GDPR. Lo facciamo innanzitutto per iscritto: attraverso il presente DPA, la nostra pagina sulla sicurezza e risposte scritte alle tue domande ragionevoli sul nostro trattamento. Non possediamo certificazioni di terze parti come SOC 2 o ISO 27001.

Un’ispezione ha luogo solo quando la Normativa sulla protezione dei dati o un’autorità di controllo la richiede e le informazioni scritte non soddisfano tale requisito. In tal caso:

• ci dai un ragionevole preavviso scritto e concordi con noi ambito, tempistiche e durata;
• è svolta da te o da un revisore indipendente vincolato alla riservatezza che non sia un nostro concorrente;
• si svolge durante l’orario di lavoro, evita di interferire con i Servizi e non dà accesso ai dati di altri clienti né alle nostre informazioni riservate oltre quanto necessario per l’ispezione;
• ne sostieni i costi, compresi i nostri;
• avviene al massimo una volta l’anno, salvo che un’autorità di controllo ne richieda di più.

Gli audit previsti dalle SCC si svolgono allo stesso modo, nei limiti consentiti dalle SCC.

12. Trasferimenti internazionali

Trattiamo i Dati personali del cliente negli Stati Uniti e in Germania, e autorizzi i trasferimenti verso tali paesi e verso le sedi dei nostri Sub-responsabili.

Trasferimenti soggetti al GDPR

Quando i Dati personali del cliente soggetti al GDPR sono trasferiti a noi, o da noi a un Sub-responsabile, in un paese privo di decisione di adeguatezza, le SCC sono incorporate nel presente DPA per rinvio: il Modulo 2 se sei un titolare del trattamento e il Modulo 3 se sei un responsabile del trattamento. Tu sei l’esportatore dei dati e noi siamo l’importatore dei dati. Per le SCC:

• si applica la clausola di adesione di cui alla Clausola 7;
• nella Clausola 9 si applica l’opzione 2, con il periodo di preavviso indicato nella sezione sui Sub-responsabili;
• la formulazione facoltativa della Clausola 11 non si applica;
• nella Clausola 13, l’autorità di controllo competente è determinata secondo quanto previsto dalla Clausola 13(a);
• nelle Clausole 17 e 18 si applicano la legge e i tribunali dell’Irlanda;
• l’Allegato I è compilato con le parti indicate nel presente DPA e nell’allegato sui dettagli del trattamento, l’Allegato II con le misure di sicurezza del presente DPA e l’Allegato III con l’elenco dei Sub-responsabili disponibile su richiesta.

Se sei un’agenzia che agisce per conto dei tuoi clienti, un cliente che è titolare del trattamento può aderire alle SCC ai sensi della Clausola 7 mediante comunicazione scritta a privacy@aigrow.gg, con il tuo consenso.

Regno Unito. Per i trasferimenti soggetti al GDPR del Regno Unito, l’Addendum del Regno Unito è incorporato per rinvio. La Tabella 1 è compilata con i dati delle parti indicati nel presente DPA, la Tabella 2 con le SCC come sopra indicato e la Tabella 3 con gli allegati del presente DPA. Nella Tabella 4, l’importatore può risolvere l’Addendum del Regno Unito nei casi previsti dalla sua Sezione 19.

Svizzera. Per i trasferimenti soggetti alla LPD svizzera (FADP), le SCC si applicano con le seguenti modifiche: l’Incaricato federale della protezione dei dati e della trasparenza è l’autorità di controllo competente, i riferimenti al GDPR si intendono come riferimenti alla FADP e gli interessati in Svizzera possono agire in giudizio nel luogo in cui risiedono abitualmente.

Quando un destinatario è certificato nell’ambito dell’EU-US Data Privacy Framework, o della sua estensione per il Regno Unito o la Svizzera, possiamo fare affidamento su tale certificazione. Se un meccanismo di trasferimento viene sostituito o cessa di essere valido, possiamo adottare un altro meccanismo lecito e te lo comunicheremo.

Se le SCC o l’Addendum del Regno Unito sono in conflitto con il presente DPA, prevalgono per i trasferimenti che disciplinano.

13. Responsabilità

Nei limiti consentiti dalla legge, la responsabilità di ciascuna parte derivante dal presente DPA, comprese le SCC, o ad esso connessa è soggetta alle limitazioni ed esclusioni di responsabilità previste nei Termini di servizio. Tali limiti si applicano al Contratto e al presente DPA nel loro insieme, non separatamente.

Nessuna disposizione del presente DPA limita la responsabilità nei confronti degli interessati ai sensi delle SCC, né alcuna responsabilità che non possa essere limitata ai sensi della legge applicabile.

Nei limiti consentiti dalla legge, ci terrai indenni da pretese di terzi, sanzioni e costi derivanti dal trattamento eseguito secondo le tue istruzioni quando tali istruzioni, o i dati da te forniti, violavano la Normativa sulla protezione dei dati.

14. Durata, prevalenza e modifiche

Il presente DPA dura finché trattiamo Dati personali del cliente. Sopravvive alla cessazione del Contratto fino alla restituzione o alla cancellazione di tali dati.

In caso di conflitto tra i documenti, si applica il seguente ordine: un ordine o un accordo scritto firmato da entrambe le parti, poi le Condizioni dei servizi del prodotto interessato, poi il presente DPA in materia di protezione dei dati, poi i Termini, poi le nostre altre politiche. Le SCC e l’Addendum del Regno Unito prevalgono come indicato nella sezione sui trasferimenti internazionali. La normativa imperativa prevale su tutti i documenti.

Possiamo aggiornare il presente DPA, ad esempio per riflettere modifiche della legge o dei nostri Sub-responsabili. Ti daremo un preavviso di almeno 30 giorni via email di qualsiasi modifica che riduca in modo sostanziale la protezione dei Dati personali del cliente. Nessuna modifica riduce la protezione richiesta dalla Normativa sulla protezione dei dati.

Il presente DPA è regolato dalla legge che regola i Termini, salvo che le SCC sono regolate dalla legge indicata nelle loro clausole. Se hai bisogno di una copia controfirmata per i tuoi archivi, scrivi a legal@aigrow.gg.

15. Allegato: dettagli del trattamento

Il presente allegato descrive il trattamento ai fini dell’articolo 28(3) del GDPR e dell’Allegato I delle SCC.

16. Allegato: categorie di Sub-responsabili

Queste sono le categorie di Sub-responsabili che possono trattare Dati personali del cliente, con le relative sedi. L’elenco aggiornato dei Sub-responsabili indicati per nome è disponibile su richiesta a privacy@aigrow.gg.