Accordo sul trattamento dei dati

Questo accordo stabilisce come trattiamo i dati personali per le aziende che usano TagOrbit, come richiede l'articolo 28 del GDPR. Si applica automaticamente quando un'azienda crea un account TagOrbit.

1. Parti e ambito di applicazione

Questo accordo sul trattamento dei dati è stipulato tra:

• ΑΦΟΙ ΚΑΛΟΦΟΡΙΔΗ ΟΕ (AFOI KALOFORIDI OE), Chr. Smirnis 67, 151 21 Athens, Greece, iscrizione al registro delle imprese (Γ.Ε.ΜΗ.) 069222103000 («noi», il responsabile del trattamento), e
• l'azienda che usa TagOrbit («tu», «il cliente», il titolare del trattamento).

Fa parte dei nostri termini di servizio. Entra in vigore quando un'azienda crea un account TagOrbit, e dura finché trattiamo dati personali per quell'azienda. Non è necessario firmarlo. Se la tua azienda ha bisogno di una copia firmata, scrivici.

Questo accordo riguarda i dati personali che il cliente e i suoi utenti inseriscono in TagOrbit. Riguarda anche i dati dell'account degli utenti del cliente, nella misura in cui li trattiamo per fornire TagOrbit al cliente. Usiamo i dati dell'account anche per finalità nostre, come far accedere le persone e mantenere TagOrbit sicuro. Quell'uso, e il nostro sito pubblico, sono disciplinati dalla nostra informativa sulla privacy.

In caso di contrasto tra questo accordo e i termini di servizio in materia di dati personali, prevale questo accordo. Le modifiche a questo accordo seguono le regole sulle modifiche previste dai termini di servizio.

2. Ruoli delle parti

Il titolare del trattamento decide perché e come vengono usati i dati personali. Il responsabile del trattamento li usa solo per conto del titolare.

• Il cliente è il titolare del trattamento. Decide cosa registrare in TagOrbit, chi invitare e quale ruolo dare a ogni persona. È responsabile di avere una base giuridica per i dati personali che registra e di informare gli interessati.
• Noi siamo il responsabile del trattamento. Trattiamo i dati solo per fornire TagOrbit al cliente, e solo secondo le sue istruzioni.

Registrazioni sul personale. TagOrbit registra chi ha quale oggetto e chi ha fatto ogni modifica. In alcuni paesi, registrazioni come queste comportano obblighi aggiuntivi per i datori di lavoro, per esempio consultare la rappresentanza aziendale dei lavoratori in Germania. Adempiere a questi obblighi è responsabilità del cliente. Forniamo al cliente le informazioni di cui ha ragionevolmente bisogno a questo scopo, per esempio per una valutazione d'impatto sulla protezione dei dati (una valutazione dei rischi del trattamento).

3. I nostri obblighi

• Istruzioni documentate. Trattiamo i dati personali solo su istruzione documentata del cliente. Questo vale anche per l'invio di dati verso altri paesi. Le istruzioni sono questo accordo, i termini di servizio, e le impostazioni e le azioni che gli utenti del cliente scelgono in TagOrbit. Se il diritto dell'Unione europea o di uno Stato membro ci impone di agire diversamente, informiamo prima il cliente, a meno che quel diritto lo vieti. Se riteniamo che un'istruzione violi la normativa sulla protezione dei dati, informiamo subito il cliente.
• Riservatezza. Tutte le persone che autorizziamo a trattare i dati sono vincolate alla riservatezza.
• Sicurezza. Applichiamo le misure dell'allegato 2, come richiede l'articolo 32 del GDPR.
• Sub-responsabili del trattamento. Ci avvaliamo di sub-responsabili del trattamento solo come descritto nella sezione 4.
• Richieste degli interessati. Aiutiamo il cliente a rispondere alle richieste delle persone di cui registra i dati (articoli da 15 a 22 del GDPR), nella misura consentita dalla natura del trattamento. Il cliente può trovare, correggere ed esportare le schede da solo in TagOrbit. Quando questo non basta, per esempio per cancellare completamente i dati di una persona, il cliente può scriverci e lo aiuteremo.
• Sicurezza, violazioni e valutazioni. Aiutiamo il cliente ad adempiere ai suoi obblighi previsti dagli articoli da 32 a 36 del GDPR, tenendo conto delle informazioni a nostra disposizione. Questi obblighi riguardano la sicurezza, la notifica delle violazioni, le valutazioni d'impatto sulla protezione dei dati e la consultazione preventiva (consultare l'autorità prima di un trattamento ad alto rischio).
• Cancellazione o restituzione. Al termine dell'accordo restituiamo o cancelliamo i dati come descritto nella sezione 6.
• Informazioni e attività di revisione. Forniamo informazioni e consentiamo le attività di revisione come descritto nella sezione 7.

4. Sub-responsabili del trattamento

Un sub-responsabile del trattamento è un'altra azienda che tratta i dati personali del cliente per nostro conto, così che possiamo fornire TagOrbit.

• Il cliente ci dà un'autorizzazione generale a ricorrere ai sub-responsabili del trattamento elencati nell'allegato 3.
• Prima di aggiungere o sostituire un sub-responsabile del trattamento, informiamo via e-mail gli amministratori del cliente, così che il cliente possa opporsi.
• Se il cliente si oppone per motivi ragionevoli legati alla protezione dei dati, cerchiamo insieme una soluzione. Se non c'è, il cliente può porre fine all'accordo.
• Ogni sub-responsabile del trattamento è vincolato per contratto agli stessi obblighi in materia di protezione dei dati previsti da questo accordo. Restiamo pienamente responsabili nei confronti del cliente per l'operato dei nostri sub-responsabili del trattamento.

5. Violazioni dei dati personali

Se una violazione riguarda dati personali che trattiamo per il cliente, informiamo il cliente senza ingiustificato ritardo dopo esserne venuti a conoscenza. Il nostro messaggio descrive:

• cosa è successo;
• i tipi di dati e il numero approssimativo di persone e di registrazioni coinvolte;
• le probabili conseguenze;
• cosa abbiamo fatto o proponiamo di fare al riguardo;
• chi contattare per avere più informazioni.

Se non possiamo fornire subito tutte queste informazioni, le forniamo in fasi successive, senza ulteriore ingiustificato ritardo.

6. Cancellazione e restituzione dei dati

• Il cliente può esportare i suoi dati in qualsiasi momento in file CSV o Excel.
• Quando l'accordo termina, il cliente ha prima la possibilità di esportare i suoi dati. Poi cancelliamo da TagOrbit i dati personali che trattiamo per il cliente, a meno che il diritto dell'Unione europea o di uno Stato membro non ci imponga di conservarli.
• Le copie nei nostri backup giornalieri vengono cancellate dopo 14 giorni, e quelle nei backup settimanali dopo 90 giorni. Conserviamo anche un backup del primo giorno di ogni mese; per questi backup mensili non è ancora stabilita una data di fine.
• Le richieste all'IA e le segnalazioni di errore vengono cancellate al più tardi dopo 30 giorni, e insieme ai dati del cliente quando questi vengono cancellati.
• Il cliente può chiederci per iscritto di cancellare i suoi dati prima, e lo faremo.

7. Informazioni e attività di revisione

• Su richiesta scritta, forniamo al cliente le informazioni di cui ha bisogno per verificare che rispettiamo l'articolo 28 del GDPR. Queste comprendono una descrizione delle nostre misure di sicurezza e l'elenco aggiornato dei sub-responsabili del trattamento.
• Se queste informazioni non bastano, il cliente può sottoporci a un'attività di revisione (audit), direttamente o tramite un revisore indipendente vincolato alla riservatezza e che non sia un nostro concorrente.
• Le attività di revisione devono essere annunciate con un preavviso ragionevole, svolgersi in orario lavorativo e non disturbare il nostro lavoro più del necessario.

8. Trasferimenti internazionali

I dati del cliente sono conservati nell'Unione europea, su server di Hetzner Online GmbH a Norimberga, in Germania. Alcuni sub-responsabili del trattamento dell'allegato 3 hanno sede negli Stati Uniti.

Quando dati personali vengono trasferiti a un fornitore al di fuori dello Spazio economico europeo, il trasferimento avviene sulla base delle clausole contrattuali tipo della Commissione europea (condizioni contrattuali che la Commissione ha approvato a questo scopo) e, se il fornitore è certificato, del quadro UE-USA per la protezione dei dati personali (EU-US Data Privacy Framework).

9. Responsabilità

Nei confronti delle persone i cui dati vengono trattati, ciascuna parte risponde secondo quanto previsto dall'articolo 82 del GDPR. Tra il cliente e noi si applicano i limiti di responsabilità dei termini di servizio, nella misura consentita dalla legge. Restiamo pienamente responsabili nei confronti del cliente per l'operato dei nostri sub-responsabili del trattamento.

10. Legge applicabile e foro competente

Questo accordo è regolato dal diritto greco. Per qualsiasi controversia relativa a questo accordo sono competenti i tribunali di Atene, in Grecia.

Allegato 1: Dettagli del trattamento

Materia disciplinata. La fornitura di TagOrbit al cliente.

Durata. Per tutta la durata dell'accordo, più i periodi di cancellazione indicati nella sezione 6.

Natura e finalità. Conserviamo, organizziamo, mostriamo, cerchiamo, usiamo nei report, esportiamo, salviamo nei backup e cancelliamo i dati che il cliente registra in TagOrbit. Quando un utente chiede aiuto a una funzione di IA, inviamo ad Anthropic ciò che serve alla funzione e mostriamo la risposta all'utente. Inviamo le e-mail dell'account. Conserviamo le richieste all'IA e le segnalazioni di errore per 30 giorni per trovare e risolvere i problemi. La finalità è permettere al cliente di tenere traccia di ciò che possiede, di chi lo ha, di cosa ha bisogno e quando.

Tipi di dati personali. Tutto ciò che il cliente registra, per esempio:

• i nomi, gli indirizzi e-mail e i numeri di telefono del suo personale, dei suoi clienti e dei suoi fornitori;
• lo storico delle assegnazioni: chi ha avuto quale oggetto, e quando;
• note, e i valori di tutti i campi che il cliente aggiunge;
• documenti e foto che carica, come ricevute e fatture;
• lo storico delle modifiche: chi ha fatto ogni modifica, quando, e i valori prima e dopo;
• i dati dell'account degli utenti del cliente: nome, indirizzo e-mail e ruolo;
• richieste all'IA e segnalazioni di errore, collegate all'utente che le ha fatte, per 30 giorni.

Categorie di interessati.

• il personale del cliente;
• i clienti, i fornitori e gli altri contatti del cliente;
• le persone che il cliente invita a usare TagOrbit;
• qualsiasi altra persona che il cliente sceglie di registrare.

Categorie particolari di dati. TagOrbit non è pensato per categorie particolari di dati personali, come i dati relativi alla salute (articolo 9 del GDPR). Il cliente decide cosa registrare. Se registra dati di questo tipo, è responsabile di avere una base giuridica.

Allegato 2: Misure tecniche e organizzative

• Ubicazione. Il database, i file e i backup di TagOrbit si trovano su server di Hetzner Online GmbH a Norimberga, in Germania.
• Cifratura dei dati in transito. Tutte le connessioni usano HTTPS. Il traffico raggiunge i nostri server attraverso un tunnel cifrato.
• Separazione dei clienti. I dati di ogni azienda sono tenuti separati da quelli di tutte le altre da regole all'interno del database stesso (sicurezza a livello di riga), non solo dall'applicazione.
• Ruoli. All'interno di un'azienda, i ruoli Amministratore, Editor e Visualizzatore limitano chi può cambiare cosa.
• Storico. Ogni modifica viene registrata con il suo autore e il momento in cui è stata fatta, e con i valori prima e dopo.
• Backup. Facciamo ogni giorno un backup di tutti i dati. I backup giornalieri sono conservati per 14 giorni, quelli settimanali per 90 giorni. Conserviamo anche un backup del primo giorno di ogni mese; per questi backup mensili non è ancora stabilita una data di fine.
• Funzioni di IA. Inviano solo ciò che serve alla funzione. L'IA non modifica mai i dati da sola: decide sempre un utente. C'è un limite di utilizzo giornaliero per azienda.
• Dati di assistenza. Le richieste all'IA e le segnalazioni di errore vengono conservate per 30 giorni e non sono mostrate nell'applicazione.

Allegato 3: Sub-responsabili del trattamento

Questo elenco è aggiornato alla data indicata in cima a questa pagina.

Domande su questo accordo

Per qualsiasi domanda su questo accordo, per chiedere una copia firmata, per opporti a un sub-responsabile del trattamento o per organizzare un'attività di revisione, scrivici:

• ΑΦΟΙ ΚΑΛΟΦΟΡΙΔΗ ΟΕ (AFOI KALOFORIDI OE)
• Chr. Smirnis 67, 151 21 Athens, Greece
• Iscrizione al registro delle imprese (Γ.Ε.ΜΗ.): 069222103000
• Partita IVA (Α.Φ.Μ.): 999267630
• E-mail: info@tagpulse.ai