Accordo sul trattamento dei dati

1. Ruoli e ambito

Il presente accordo è parte integrante delle Condizioni di servizio. Il Cliente è il titolare del trattamento e THEFOCUS LTD è il responsabile del trattamento per i dati personali trattati all’interno dello spazio di lavoro del cliente, negli account pubblicitari, nei tag manager e negli strumenti di analisi del Cliente e nelle esportazioni CRM che ci vengono fornite (“Dati personali del Cliente”). L’Allegato 1 descrive il trattamento. Qualora il Cliente sia esso stesso responsabile del trattamento per conto di un altro titolare, agiamo in qualità di suo sub-responsabile alle stesse condizioni.

Il presente accordo è conforme all’articolo 28 del UK GDPR e, ove applicabili, all’articolo 28 del GDPR dell’UE e alle disposizioni sui responsabili del trattamento di altre leggi sulla protezione dei dati nei mercati che serviamo.

2. I nostri obblighi in qualità di responsabile del trattamento

• Trattare i Dati personali del Cliente esclusivamente su istruzioni documentate del Cliente, inclusi il contratto e l’utilizzo dell’applicazione da parte del Cliente, salvo che la legge disponga diversamente. In tal caso informiamo il Cliente prima del trattamento, salvo che la legge lo vieti. Informiamo il Cliente qualora riteniamo che un’istruzione violi la normativa sulla protezione dei dati.
• Garantire che tutte le persone autorizzate a trattarli siano vincolate alla riservatezza.
• Applicare le misure tecniche e organizzative di cui all’Allegato 2.
• Ricorrere a sub-responsabili solo secondo quanto previsto dalla sezione 3.
• Assistere il Cliente, tenendo conto della natura del trattamento, nella gestione delle richieste degli interessati e nell’adempimento dei suoi obblighi in materia di sicurezza, notifica delle violazioni, valutazioni d’impatto e consultazione preventiva delle autorità di controllo.
• Notificare al Cliente senza ingiustificato ritardo, ed entro 48 ore, dopo esserne venuti a conoscenza, qualsiasi violazione dei dati personali che riguardi i Dati personali del Cliente, con le informazioni di cui il Cliente ha bisogno per adempiere ai propri obblighi di segnalazione.
• Al termine dei servizi, cancellare o restituire i Dati personali del Cliente, a scelta del Cliente, entro 30 giorni e cancellare le copie esistenti, salvo che la legge ci imponga di conservarle.
• Mettere a disposizione le informazioni necessarie a dimostrare la conformità e consentire audit da parte del Cliente o di un revisore da esso incaricato, con un preavviso di 30 giorni, nel rispetto della riservatezza e non più di una volta all’anno, salvo che una violazione o un’autorità di controllo lo richieda.

3. Sub-responsabili del trattamento

Il Cliente rilascia un’autorizzazione generale per i sub-responsabili descritti nella nostra pagina Sub-responsabili; l’elenco nominativo aggiornato è disponibile nella dashboard cliente e su richiesta. Comunichiamo l’intenzione di ricorrere a un nuovo sub-responsabile con almeno 30 giorni di preavviso tramite l’applicazione. Il Cliente può opporsi per ragionevoli motivi legati alla protezione dei dati; se non riusciamo a risolvere l’opposizione, il Cliente può recedere dal servizio interessato senza penali. Imponiamo a ciascun sub-responsabile obblighi in materia di protezione dei dati non meno tutelanti di quelli del presente accordo e restiamo responsabili del suo operato.

4. Trasferimenti internazionali

Trasferiamo i Dati personali del Cliente al di fuori del Regno Unito esclusivamente sulla base dei regolamenti di adeguatezza del Regno Unito, della UK Extension to the EU-US Data Privacy Framework, dell’ICO International Data Transfer Agreement o dell’UK Addendum alle Clausole contrattuali tipo dell’UE.

Qualora il Cliente si trovi nel SEE, i trasferimenti verso di noi si basano sulla decisione di adeguatezza della Commissione europea per il Regno Unito; se tale decisione cessa di applicarsi, le Clausole contrattuali tipo dell’UE (modulo due, o modulo tre qualora il Cliente sia un responsabile del trattamento) sono incorporate per riferimento, con la legge irlandese come legge applicabile e l’Irlanda come foro competente esclusivamente per tali clausole. Qualora il Cliente si trovi in Svizzera, si applicano le stesse clausole con gli adeguamenti svizzeri. Per gli altri mercati, su richiesta sottoscriviamo le condizioni di trasferimento richieste dalla legge del Cliente, come i contratti standard previsti dalla KVKK turca o dalla PIPL cinese.

5. Categorie particolari di dati e targeting sensibile

Il Cliente non deve caricare nell’applicazione categorie particolari di dati (ad esempio dati sanitari), dati relativi a reati o dati di minori, né impartire istruzioni di targeting basate su caratteristiche sensibili.

6. Responsabilità e durata

La responsabilità ai sensi del presente accordo è soggetta ai limiti previsti dalle Condizioni di servizio. Il presente accordo resta in vigore per tutto il tempo in cui trattiamo Dati personali del Cliente.

Allegato 1: Descrizione del trattamento

• Oggetto e durata: erogazione dei servizi per la durata del contratto e per il periodo di uscita di 30 giorni.
• Natura e finalità: pianificazione e gestione delle campagne, segnali di ottimizzazione in tempo reale per le campagne del Cliente, configurazione di misurazione e tracciamento, reportistica e assistenza.
• Interessati: gli utenti del personale del Cliente, nonché i suoi potenziali clienti e clienti così come rappresentati nei dati pubblicitari, di analisi e CRM.
• Categorie di dati: nomi e recapiti professionali degli utenti del Cliente; identificativi online, dati di contatto sottoposti a hashing utilizzati per l’abbinamento delle conversioni sulle piattaforme, metriche aggregate delle campagne e fasi dei lead nel CRM.
• Conservazione: secondo quanto previsto dall’Informativa sulla privacy e dalla sezione 2.

Allegato 2: Misure tecniche e organizzative

• Autenticazione a più fattori obbligatoria per tutti gli account, con codici di recupero monouso conservati solo sotto forma di hash.
• Accesso del personale basato sui ruoli e sul principio del privilegio minimo, rivisto quando i ruoli cambiano.
• Isolamento tra gli spazi di lavoro dei clienti applicato nell’applicazione e a livello di database.
• Cifratura in transito con TLS aggiornato e cifratura a riposo per database, file e backup.
• Erogazione dei servizi distribuita e cifrata in oltre 125 Paesi.
• Log di audit di sola aggiunta per le azioni rilevanti ai fini della sicurezza.
• Nessuna conservazione delle password degli account pubblicitari; accesso solo tramite autorizzazioni utente o partner delle piattaforme.
• Webhook e acquisizione dei dati firmati e protetti contro gli attacchi replay.
• Scansione automatica dei segreti e test prima di ogni rilascio.
• Procedura di risposta agli incidenti con escalation definita e notifica al cliente.