In breve. I dati dei clienti che inserisci in Pay-Go sono tuoi: tu sei il titolare, noi li trattiamo solo per farti funzionare la piattaforma, come responsabile del trattamento. Questo accordo fa parte dei termini del servizio e lo accetti insieme a loro.
Accordo ai sensi dell'articolo 28 del Regolamento (UE) 2016/679 («GDPR») fra l'attività abbonata a Pay-Go («Titolare») e 2D Services S.r.l., con sede legale in Via Roberto Lepetit 8, 20045 Lainate (MI), P.IVA 12491530965 («Responsabile»).
1. Oggetto e durata
Il Responsabile tratta per conto del Titolare i dati personali che il Titolare, o chi accede per suo conto, inserisce o fa inserire nella piattaforma Pay-Go, solo per fornire il servizio descritto nei termini. L'accordo dura quanto il contratto di abbonamento, più il tempo necessario a restituire o cancellare i dati (articolo 11).
2. Quali dati e di chi
| Categorie | Dettaglio |
|---|---|
| Interessati | Clienti e potenziali clienti del Titolare; le persone che accedono alla piattaforma per conto del Titolare. |
| Dati | Dati anagrafici e di contatto; dati dei preventivi e degli acquisti; date di apertura dei preventivi; note; foto e immagini caricate; i dati e i documenti del modulo di richiesta di pagamento a rate, per la parte che il Titolare vede e usa per la propria vendita. |
| Operazioni | Raccolta, registrazione, conservazione, consultazione, elaborazione di preventivi e documenti, invio al cliente, copia di sicurezza, cancellazione. |
Per istruire la richiesta di finanziamento del cliente, il Responsabile tratta i dati del modulo anche come titolare autonomo, secondo l'informativa per chi chiede le rate: per quella parte questo accordo non si applica.
3. Istruzioni del Titolare
Il Responsabile tratta i dati solo secondo le istruzioni documentate del Titolare: questo accordo, i termini del servizio e l'uso che il Titolare fa delle funzioni della piattaforma. Se un'istruzione gli sembra contraria alla normativa sulla protezione dei dati, lo segnala subito al Titolare.
4. Obblighi del Titolare
Il Titolare garantisce di avere una base giuridica per i dati che inserisce e di aver dato ai propri clienti le informazioni previste dagli articoli 13 e 14 del GDPR, compreso il fatto che usa una piattaforma gestita da un fornitore esterno.
5. Riservatezza
Accedono ai dati solo le persone autorizzate dal Responsabile, istruite e vincolate alla riservatezza, e solo per quanto serve al loro compito: assistenza, manutenzione e lavorazione delle richieste.
6. Misure di sicurezza
Il Responsabile adotta misure adeguate al rischio (art. 32 GDPR), fra cui:
- server nell'Unione Europea (Amazon Web Services, regione di Milano) e connessioni sempre cifrate (HTTPS);
- dati di ogni attività separati da quelli delle altre direttamente nel database, con regole di isolamento che valgono per ogni lettura;
- password conservate solo in forma cifrata e codice di verifica al telefono per le sezioni più delicate;
- registrazione di ogni apertura dei documenti d'identità dei clienti;
- accesso del personale con credenziali personali, limitato a ciò che serve;
- copie di sicurezza ogni notte, conservate su un server separato.
7. Altri responsabili (sub-responsabili)
Il Titolare autorizza il Responsabile a servirsi di questi sub-responsabili:
- Amazon Web Services EMEA SARL (Lussemburgo): server e copie di sicurezza, nella regione di Milano (Unione Europea).
Il Responsabile impone a ogni sub-responsabile gli stessi obblighi di questo accordo e ne risponde. Prima di aggiungerne o sostituirne uno avvisa il Titolare nella piattaforma con almeno 30 giorni di anticipo: se il Titolare si oppone per motivi legati alla protezione dei dati e non si trova una soluzione, può recedere dal contratto senza penali.
8. Trasferimenti fuori dall'Unione Europea
I dati del Titolare restano nell'Unione Europea. Un trasferimento fuori dall'Unione è possibile solo con le garanzie del capo V del GDPR, e con preavviso al Titolare.
9. Assistenza al Titolare
Il Responsabile aiuta il Titolare, per quanto possibile e tenuto conto delle informazioni di cui dispone, a rispondere alle richieste degli interessati, a garantire la sicurezza, a fare valutazioni d'impatto e a consultare il Garante. Se un interessato si rivolge direttamente al Responsabile, questi lo segnala al Titolare senza rispondere nel merito.
10. Violazioni dei dati
Se scopre una violazione dei dati del Titolare, il Responsabile lo avvisa senza ingiustificato ritardo, e comunque entro 48 ore da quando ne è venuto a conoscenza, con le informazioni disponibili: cosa è successo, quali dati e quante persone riguarda, cosa è stato fatto per rimediare.
11. Fine del trattamento
Alla fine del contratto il Titolare può chiedere, entro 30 giorni, l'esportazione dei propri dati in un formato di uso comune. Trascorso quel termine il Responsabile cancella i dati, salvo quelli che la legge gli impone di conservare; le copie di sicurezza si sovrascrivono da sole entro i 30 giorni successivi.
12. Verifiche
Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto di questo accordo. Il Titolare può chiedere una verifica, a proprie spese, con un preavviso di almeno 30 giorni e non più di una volta all'anno, senza accedere ai dati delle altre attività.
13. Responsabilità
Ciascuna parte risponde dei danni causati dal proprio trattamento secondo l'articolo 82 del GDPR. Per il resto valgono i termini del servizio.