Accordo sul trattamento dei dati

1. Parti e finalità

Il presente accordo sul trattamento dei dati (in olandese: verwerkersovereenkomst) è stipulato tra il cliente che usa Mentiofy (il titolare del trattamento, "tu") e Trueqrcode, che opera con il nome commerciale Mentiofy, KvK 71264558, Nieuwe Gracht 3, 2011 NB Haarlem, Paesi Bassi (il responsabile del trattamento, "noi").

Si applica ogni volta che trattiamo dati personali per tuo conto nel fornire il servizio ai sensi dei nostri Termini di servizio, e fa parte di tali termini. Soddisfa i requisiti dell'articolo 28 del Regolamento generale sulla protezione dei dati (GDPR). Lo accetti accettando i Termini di servizio. Se hai bisogno di una copia firmata, scrivi a info@mentiofy.com.

2. Definizioni

Termini come dati personali, trattamento, titolare del trattamento, responsabile del trattamento, interessato, violazione dei dati personali e autorità di controllo hanno il significato loro attribuito dal GDPR. Per dati personali del cliente si intendono i dati personali che tu o i tuoi clienti inserite nel servizio, o che trattiamo per tuo conto nel fornirlo. Per sub-responsabile del trattamento si intende un terzo di cui ci avvaliamo per trattare i dati personali del cliente.

3. Cosa trattiamo e perché

Trattiamo i dati personali del cliente solo per fornire il servizio: misurazione dei prompt sui motori di IA, analisi delle risposte, reportistica, assistenza e comunicazioni relative alla fatturazione del tuo account. L'allegato 1 descrive il trattamento in modo più dettagliato.

Trattiamo i dati personali del cliente per tutta la durata dell'accordo e, successivamente, solo nella misura necessaria per restituirli o cancellarli, vedi la sezione 11.

4. Le tue istruzioni

Trattiamo i dati personali del cliente solo sulla base delle tue istruzioni documentate. I Termini di servizio, il presente accordo e il modo in cui configuri e usi il servizio costituiscono le tue istruzioni. Se riteniamo che un'istruzione violi il GDPR o altre norme sulla protezione dei dati, te lo comunichiamo immediatamente. Se la legge ci impone di trattare i dati in un altro modo, te lo comunichiamo prima, a meno che la legge non lo vieti.

Sei responsabile di disporre di una base giuridica valida per il trattamento, di informare gli interessati e dei dati che tu o i tuoi clienti inserite nel servizio. Ti chiediamo di non inserire nel servizio categorie particolari di dati personali.

5. Riservatezza

Chiunque in Mentiofy, e ogni sub-responsabile del trattamento, abbia accesso ai dati personali del cliente è vincolato alla riservatezza, per contratto o per legge, e vi ha accesso solo nella misura necessaria per il proprio lavoro.

6. Sicurezza

Adottiamo misure tecniche e organizzative adeguate per proteggere i dati personali del cliente dalla perdita e dal trattamento illecito, tenendo conto dello stato dell'arte, dei costi e dei rischi. L'allegato 2 elenca queste misure. Possiamo aggiornarle, purché il livello complessivo di protezione non diminuisca.

7. Sub-responsabili del trattamento

Ci concedi un'autorizzazione generale ad avvalerci di sub-responsabili del trattamento. L'allegato 3 elenca quelli attuali. Imponiamo loro gli stessi obblighi in materia di protezione dei dati che il presente accordo impone a noi, e restiamo responsabili nei tuoi confronti del loro operato.

Ti informiamo almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile del trattamento, via email o nell'app. Entro tale periodo puoi opporti per motivi ragionevoli. Se non riusciamo a risolvere l'opposizione, puoi risolvere l'accordo per la parte del servizio interessata, senza pagare per il periodo residuo.

8. Trasferimenti al di fuori del SEE

Quando i dati personali del cliente vengono trasferiti al di fuori dello Spazio economico europeo, ci assicuriamo che il trasferimento sia conforme al GDPR, ad esempio perché il destinatario è certificato nell'ambito dell'EU-US Data Privacy Framework, perché per il paese esiste una decisione di adeguatezza, oppure tramite le clausole contrattuali tipo della Commissione europea, con misure supplementari ove necessario.

9. Assistenza nei tuoi confronti

Tenendo conto della natura del trattamento, ti assistiamo nel:

• rispondere alle richieste degli interessati che esercitano i propri diritti, come accesso, rettifica o cancellazione. Se un interessato ci contatta direttamente, ti inoltriamo la richiesta e non rispondiamo noi stessi, a meno che tu non ce lo chieda;
• adempiere ai tuoi obblighi in materia di sicurezza, valutazioni d'impatto sulla protezione dei dati e consultazione preventiva dell'autorità di controllo;
• dimostrare che rispetti il GDPR.

Possiamo addebitare costi ragionevoli per l'assistenza che va oltre quanto il servizio offre normalmente. Te lo comunichiamo in anticipo.

10. Violazioni dei dati personali

Se veniamo a conoscenza di una violazione dei dati personali che riguarda i dati personali del cliente, te lo comunichiamo senza ingiustificato ritardo e in ogni caso entro 48 ore. Ti forniamo le informazioni necessarie per valutare la violazione e, ove richiesto, per notificarla all'autorità di controllo e comunicarla agli interessati entro il termine di legge. Ciò comprende, per quanto noto: cosa è successo, quali dati e quanti interessati sono coinvolti, le probabili conseguenze e le misure che abbiamo adottato o proponiamo. Adottiamo misure per limitarne le conseguenze e per evitare che si ripeta.

La notifica di una violazione all'autorità di controllo o la comunicazione agli interessati è di tua responsabilità in quanto titolare del trattamento, salvo diverso accordo.

11. Alla cessazione dell'accordo

Alla cessazione dell'accordo, puoi esportare i tuoi dati per 30 giorni. Successivamente cancelliamo i dati personali del cliente, comprese le copie, entro 90 giorni, a meno che la legge non ci imponga di conservarli. I backup vengono sovrascritti nel normale ciclo di backup. Su richiesta, confermiamo per iscritto che i dati sono stati cancellati.

12. Audit

Ti forniamo le informazioni necessarie per dimostrare che rispettiamo il presente accordo. Puoi far svolgere un audit, al massimo una volta all'anno, da un revisore indipendente vincolato alla riservatezza, con un preavviso di almeno 30 giorni e durante il normale orario di lavoro. I costi dell'audit sono a tuo carico, a meno che non risulti che abbiamo violato gravemente il presente accordo. Se disponiamo di una relazione o certificazione indipendente recente che risponde alle domande, possiamo fornirti quella in sostituzione.

13. Responsabilità

I limiti di responsabilità previsti dai Termini di servizio si applicano anche al presente accordo. Ciascuna parte resta responsabile delle sanzioni che un'autorità di controllo le infligge, nella misura prevista dal GDPR.

14. Durata e modifiche

Il presente accordo resta in vigore finché trattiamo dati personali del cliente per tuo conto. Gli obblighi che per loro natura proseguono, come la riservatezza e la cancellazione, continuano ad applicarsi dopo la sua cessazione. Possiamo modificare il presente accordo quando cambiano la legge o il nostro servizio, con le stesse modalità descritte per i Termini di servizio. In caso di contrasto tra il presente accordo e i Termini di servizio in materia di protezione dei dati, prevale il presente accordo.

15. Legge applicabile e controversie

Si applica la legge olandese. Le controversie sono devolute al tribunale competente del distretto di Noord-Holland, sede di Haarlem. Il presente accordo è redatto in inglese e la versione inglese prevale sempre su qualsiasi traduzione.

16. Allegato 1: Descrizione del trattamento

17. Allegato 2: Misure di sicurezza

• Tutte le connessioni sono cifrate con TLS.
• I dati sono conservati presso un fornitore di hosting che rispetta standard di sicurezza riconosciuti, protetti dagli attacchi da Cloudflare.
• L'accesso ai dati personali del cliente è limitato alle persone che ne hanno bisogno, con autenticazione a due fattori per l'accesso amministrativo.
• Le password sono conservate come hash con salt, mai in chiaro.
• Backup regolari, con una procedura di ripristino testata.
• Registrazione degli accessi ai dati sensibili e monitoraggio delle attività insolite.
• Inviamo ai fornitori di IA solo i dati necessari per ciascuna attività, a condizioni commerciali che li escludono dall'addestramento dei modelli, ove il fornitore lo preveda.
• Una procedura per la gestione e la notifica delle violazioni dei dati personali.
• Revisione periodica di queste misure.

18. Allegato 3: Sub-responsabili del trattamento