Accordo sul trattamento dei dati

Il presente accordo sul trattamento dei dati (l'"Accordo") costituisce parte integrante dei Termini e condizioni tra Lei, gestore di siti creati con Lepka (il titolare del trattamento), e MDMA RACINGTEAM OU, Harju maakond, Tallinn, Kesklinna linnaosa, Narva mnt 7-634, 10117, Estonia (il responsabile del trattamento, "noi"). Si applica ogni volta che trattiamo dati personali per Suo conto in relazione ai Suoi siti e soddisfa i requisiti dell'articolo 28 del GDPR. Lei lo accetta accettando i Termini e condizioni. In caso di contrasto tra il presente Accordo e i Termini e condizioni in materia di protezione dei dati, prevale il presente Accordo.

1. Oggetto e durata

1. Trattiamo dati personali per Suo conto al fine di fornire il Servizio: ospitare i Suoi siti e le Sue app, conservare e mostrarLe i dati raccolti dai Suoi siti, inviare e-mail e notifiche, far funzionare l'assistente IA dei Suoi siti, contare le visite e trasmettere dati ai servizi di terzi che Lei collega. I dettagli sono nell'allegato 1.
2. Il presente Accordo si applica finché trattiamo dati personali per Suo conto, anche dopo la cessazione del contratto fino alla cancellazione dei dati (sezione 9).

2. Le Sue istruzioni

1. Trattiamo i dati personali soltanto su Sua istruzione documentata, anche per quanto riguarda il trasferimento verso Paesi terzi, salvo che lo richieda il diritto dell'Unione o di uno Stato membro; in tal caso La informiamo di tale obbligo giuridico prima del trattamento, a meno che la legge lo vieti.
2. Le Sue istruzioni sono costituite dai Termini e condizioni e dal presente Accordo, dalle impostazioni dei Suoi siti e progetti e dalle azioni che Lei compie nel Servizio (ad esempio collegare un servizio, esportare o eliminare dati). Ulteriori istruzioni possono essere impartite per iscritto (è sufficiente un'e-mail).
3. Se riteniamo che un'istruzione violi la normativa sulla protezione dei dati, La informiamo immediatamente.
4. Non utilizziamo i dati personali per finalità proprie. Possiamo elaborare statistiche anonime e aggregate sull'utilizzo del Servizio (ad esempio quante conversazioni gestiscono gli assistenti IA), che non contengono dati personali.

3. Riservatezza

Garantiamo che le persone autorizzate al trattamento dei dati personali si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza. Il nostro team accede ai contenuti dei Suoi progetti solo per assisterLa su Sua richiesta, analizzare errori e far rispettare i Termini e condizioni; gli accessi tramite i nostri strumenti di amministrazione sono registrati.

4. Sicurezza

Adottiamo le misure tecniche e organizzative descritte nell'allegato 2 per garantire un livello di sicurezza adeguato al rischio (articolo 32 del GDPR). Possiamo aggiornare tali misure in base al progresso tecnico, purché il livello di protezione non si riduca.

5. Sub-responsabili

1. Lei ci concede un'autorizzazione generale a ricorrere ai sub-responsabili elencati nella pagina Sub-responsabili.
2. La informiamo via e-mail almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile. Entro tale termine può opporsi per motivi ragionevoli legati alla protezione dei dati. Se non riusciamo a risolvere la Sua obiezione, può cessare gratuitamente il servizio interessato prima che la modifica abbia effetto, e Le rimborsiamo gli importi pagati in anticipo per il periodo successivo.
3. Imponiamo per contratto a ciascun sub-responsabile gli stessi obblighi in materia di protezione dei dati previsti dal presente Accordo, in particolare garanzie sufficienti di misure tecniche e organizzative adeguate. Rispondiamo nei Suoi confronti dell'adempimento degli obblighi dei nostri sub-responsabili.

6. Trasferimenti internazionali

I nostri server si trovano nell'UE. Alcuni sub-responsabili trattano dati personali al di fuori dell'UE/SEE, in particolare negli Stati Uniti (si veda la pagina Sub-responsabili). Trasferiamo loro dati personali solo sulla base di una decisione di adeguatezza della Commissione europea o delle clausole contrattuali tipo della Commissione europea (articolo 46, paragrafo 2, lettera c), del GDPR). Lei ci incarica di effettuare tali trasferimenti nella misura in cui sono necessari per le funzionalità che utilizza.

7. Assistenza

1. Richieste degli interessati. Tenendo conto della natura del trattamento, La assistiamo nel dare seguito alle richieste di esercizio dei diritti (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione). Il Servizio Le consente di consultare, esportare ed eliminare autonomamente i dati dei Suoi siti. Se un interessato si rivolge direttamente a noi, Le inoltriamo la richiesta senza indebito ritardo e non vi rispondiamo direttamente, salvo Sua istruzione.
2. Altri obblighi. Tenendo conto della natura del trattamento e delle informazioni a nostra disposizione, La assistiamo nel rispetto degli obblighi di cui agli articoli da 32 a 36 del GDPR (sicurezza, notifica delle violazioni, valutazione d'impatto, consultazione preventiva).

8. Violazioni dei dati personali

Le notifichiamo senza indebito ritardo, e comunque entro 48 ore dal momento in cui ne veniamo a conoscenza, ogni violazione dei dati personali che riguardi i dati trattati per Suo conto. La notifica è inviata all'indirizzo e-mail del Suo account e contiene, per quanto disponibili, le informazioni necessarie per la Sua notifica ai sensi dell'articolo 33, paragrafo 3, del GDPR: la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni coinvolti, le probabili conseguenze, le misure adottate o proposte e un punto di contatto. Documentiamo ogni violazione e adottiamo le misure necessarie per contenerla e attenuarne le conseguenze.

9. Cancellazione e restituzione dei dati

1. Durante l'utilizzo del Servizio può esportare ed eliminare in qualsiasi momento i dati dei Suoi siti.
2. Dopo la cessazione del contratto conserviamo i dati per 30 giorni affinché possa esportarli (articolo 16 dei Termini e condizioni) e poi li cancelliamo, salvo obbligo di conservazione previsto dal diritto dell'Unione o di uno Stato membro. Le copie di backup sono sovrascritte entro 14 giorni secondo il loro calendario ordinario.

10. Informazioni e verifiche

Mettiamo a Sua disposizione tutte le informazioni necessarie a dimostrare il rispetto dell'articolo 28 del GDPR e consentiamo e contribuiamo alle attività di revisione, comprese le ispezioni, svolte da Lei o da un revisore da Lei incaricato. Le verifiche devono essere annunciate con almeno 30 giorni di preavviso, svolgersi durante il normale orario lavorativo, non ostacolare la nostra attività né mettere a rischio i dati di altri clienti e sono a Suo carico; prima, cercheremo di rispondere per iscritto alle Sue domande.

11. Responsabilità

Al presente Accordo si applicano le disposizioni sulla responsabilità dei Termini e condizioni, fermo restando l'articolo 82 del GDPR.

Allegato 1 — Descrizione del trattamento

Categorie di interessati: visitatori dei Suoi siti; persone che inviano moduli, effettuano ordini o prenotano appuntamenti sui Suoi siti; utenti che accedono alle app create con Lepka; persone che dialogano con l'assistente IA dei Suoi siti; destinatari delle e-mail inviate dai Suoi siti; altre persone i cui dati Lei inserisce nei Suoi progetti.

Categorie di dati personali: dati di contatto (ad esempio nome, indirizzo e-mail, numero di telefono), contenuto di moduli, ordini, prenotazioni e messaggi, conversazioni con l'assistente IA, account utente delle Sue app (indirizzo e-mail, nome, ruolo), file caricati dai visitatori e qualsiasi altro dato che i Suoi siti sono configurati per raccogliere. I dati tecnici (indirizzo IP, informazioni sul browser) sono utilizzati solo per la sicurezza e per produrre statistiche di visita anonime; non vengono conservati.

Categorie particolari di dati: il Servizio non è concepito per il trattamento di categorie particolari di dati personali (articolo 9 del GDPR) o di dati relativi a condanne penali. Se il Suo sito raccoglie tali dati, Lei è responsabile della liceità del trattamento e delle garanzie necessarie.

Natura e finalità del trattamento: conservazione e hosting; visualizzazione dei dati a Suo favore; invio di e-mail e notifiche a Suo nome; generazione delle risposte dell'assistente IA (tramite il nostro sub-responsabile per l'IA); trasmissione ai servizi di terzi che Lei collega; conteggio anonimo delle visite; backup; cancellazione.

Conservazione: secondo le Sue scelte, finché non elimina i dati o il progetto. Le conversazioni con l'assistente IA sono cancellate al più tardi un anno dopo l'ultimo messaggio; le statistiche di visita anonime sono conservate per 13 mesi.

Allegato 2 — Misure tecniche e organizzative

• Cifratura: tutte le connessioni sono cifrate con TLS (HTTPS); le chiavi di accesso ai servizi di terzi sono conservate in forma cifrata.
• Ubicazione: server di produzione in un data center in Germania (UE).
• Controllo degli accessi: accesso ai sistemi di produzione solo per i membri autorizzati del team; autenticazione a due fattori per gli accessi amministrativi; registrazione degli accessi ai contenuti dei progetti dei clienti tramite gli strumenti di amministrazione; principio del privilegio minimo.
• Separazione: il codice dei clienti è costruito ed eseguito in ambienti isolati; i dati di ciascun sito sono tenuti separati.
• Disponibilità e backup: backup orario del database (conservato 2 giorni) e backup completo notturno (conservato 14 giorni); monitoraggio del servizio.
• Minimizzazione dei dati: statistiche di visita senza cookie e senza conservazione degli indirizzi IP; nessun dato personale nelle analisi di utilizzo.
• Sviluppo sicuro: aggiornamenti di sicurezza regolari, verifica delle dipendenze, protezione dagli abusi (limitazione delle richieste, controllo dei siti pubblicati contro il phishing).
• Gestione degli incidenti: una procedura documentata per la gestione e la notifica delle violazioni dei dati.

Allegato 3 — Sub-responsabili

L'elenco aggiornato dei sub-responsabili è disponibile nella pagina Sub-responsabili.