Accordo sul trattamento dei dati

Parti e ambito

Il presente Accordo sul trattamento dei dati (DPA) integra i Termini di servizio tra il cliente identificato nei dati dell’account e del contratto e:

Si applica quando ChannelCockpit tratta dati personali per conto del cliente. Il cliente è il titolare del trattamento oppure, se agisce per un proprio cliente, un responsabile debitamente autorizzato. ChannelCockpit agisce di conseguenza come responsabile o sub-responsabile. I ruoli dipendono dal trattamento effettivo, non dal piano o dall’etichetta dell’account.

Questo DPA è parte del contratto e non richiede un piano aziendale. ChannelCockpit può agire come titolare per la propria amministrazione di account e contratti, fatturazione, sicurezza e obblighi legali, come spiegato nell’Informativa sulla privacy. I trattamenti autonomi di piattaforme social o fornitori di pagamenti non diventano trattamenti per conto di ChannelCockpit attraverso questo DPA.

Oggetto, durata e categorie di dati

Oggetto e finalità: fornire le funzioni selezionate di analisi, pubblicazione e interazione per gli account delle piattaforme collegati dal cliente. Le operazioni comprendono recupero, trasmissione, organizzazione, visualizzazione, conservazione temporanea, aggiornamento, esportazione ed eliminazione, con la protezione tecnica e l’assistenza necessarie.

Durata: per il trattamento richiesto e la successiva restituzione o eliminazione concordata. I dati non più necessari non vengono conservati semplicemente fino alla fine del contratto.

Interessati: il cliente e gli utenti autorizzati dell’account, le persone dietro i profili collegati, gli autori di commenti, i partecipanti alle conversazioni e le persone raffigurate o nominate nei contenuti caricati.

Categorie di dati: ID di piattaforme e profili, nomi e immagini di profilo, metadati e metriche di post/video, media e bozze, commenti, risposte e messaggi supportati, marcature temporali, metadati di conversazioni/allegati e relative registrazioni di collegamento e trattamento. L’ambito effettivo dipende da collegamenti, autorizzazioni e funzioni selezionati.

Il servizio non è destinato al trattamento intenzionale di categorie particolari di dati o dati relativi a condanne penali. Se il cliente fornisce tali informazioni nei contenuti, resta responsabile di una base giuridica valida, delle garanzie necessarie e dell’idoneità del servizio; questo DPA non autorizza in generale tali usi.

Istruzioni documentate

ChannelCockpit tratta dati solo su istruzioni documentate del cliente, anche per i trasferimenti internazionali, salvo che il diritto dell’Unione o di uno Stato membro imponga il trattamento. Informiamo il cliente prima di tale trattamento, salvo divieto di legge. Il contratto, questo DPA e le azioni nell’app compiute da un cliente autorizzato costituiscono le istruzioni iniziali. Ulteriori istruzioni possono essere inviate in forma testuale a support@channelcockpit.app.

Informiamo tempestivamente il cliente se riteniamo che un’istruzione violi la normativa sulla protezione dei dati e, se necessario, sospendiamo il trattamento interessato fino a chiarimento. I dati trattati su istruzione del cliente non vengono usati per nostra pubblicità, vendita di dati personali o addestramento di modelli di IA. Il cliente è responsabile della raccolta lecita, delle informative e dei consensi necessari e del proprio potere di impartire istruzioni.

Riservatezza e misure di sicurezza

Assicuriamo che le persone autorizzate ad accedere ai dati siano vincolate alla riservatezza o a un obbligo legale equivalente. L’accesso è limitato a quanto necessario e autorizzato. Il gestore limita l’accesso amministrativo; usare fornitori non sostituisce tale responsabilità.

• Accesso e separazione: autenticazione, autorizzazione legata all’utente e regole di accesso lato server; ambienti separati e account di servizio limitati.
• Trasporto e conservazione: trasporto cifrato, accesso limitato ai media privati, conservazione protetta lato server delle credenziali delle piattaforme e gestione separata dei segreti.
• Integrità del trattamento: validazione degli input, recupero circoscritto, attività ripetibili protette da elaborazioni duplicate e barriere a nuove scritture durante l’eliminazione dell’account.
• Funzionamento: registrazione limitata di errori e sicurezza, aggiornamenti e test controllati, monitoraggio e gestione dei guasti tecnici. I contenuti personali non vengono scritti abitualmente nei registri diagnostici.
• Eliminazione e minimizzazione: limiti di conservazione per ambito, esportazioni di breve durata, cache limitate dei messaggi e processi centrali di eliminazione e scollegamento.

Le misure riflettono natura, ambito, contesto, finalità e rischi del trattamento. Vengono aggiornate senza ridurre sostanzialmente la protezione concordata. Ciò non afferma che ChannelCockpit possieda certificazioni ISO o SOC.

Sub-responsabili

Il cliente autorizza in generale i sub-responsabili sotto indicati nella misura in cui ricevono effettivamente dati trattati su sua istruzione. I fornitori di assistenza ed email sono inclusi solo quando una richiesta pertinente contiene tali dati; la nostra amministrazione contrattuale è distinta.

Informiamo il cliente delle aggiunte o sostituzioni previste con ragionevole anticipo, normalmente almeno 30 giorni prima del nuovo accesso. Il cliente può opporsi per motivi fondati di protezione dei dati. Cerchiamo quindi un’alternativa o un rimedio adeguato. Se non è disponibile, il cliente può terminare il servizio interessato prima del nuovo accesso, senza costi aggiuntivi di cessazione e con un rimborso appropriato degli anticipi inutilizzati. Aggiornare soltanto un elenco poco visibile non sostituisce la comunicazione.

Imponiamo ai sub-responsabili obblighi di protezione dei dati sostanzialmente equivalenti e restiamo responsabili verso il cliente del loro adempimento. Ulteriori sub-responsabili dei fornitori sono indicati negli elenchi collegati. Le piattaforme social scelte dal cliente non sono sub-responsabili di ChannelCockpit per i propri trattamenti di piattaforma.

Trattamento al di fuori del SEE

I fornitori elencati possono trattare dati fuori dal SEE. Garantiamo il rispetto dei requisiti del capo V del GDPR, ad esempio tramite una decisione di adeguatezza applicabile o clausole contrattuali standard appropriate con le necessarie misure supplementari. L’autorizzazione generale di un fornitore non esonera da questi requisiti. Se il cliente agisce come responsabile e necessita di ulteriore autorizzazione, la ottiene dal proprio titolare. Forniamo su richiesta informazioni su destinatari, luoghi e garanzie pertinenti.

Assistenza per diritti e conformità

Tenendo conto della natura del trattamento, assistiamo il cliente con misure tecniche e organizzative appropriate nelle richieste degli interessati. Le richieste relative a dati trattati su istruzione del cliente vengono inoltrate senza ingiustificato ritardo, ove possibile e lecito. Non rispondiamo in contrasto con le istruzioni del cliente, salvo obbligo di legge.

Tenendo conto delle informazioni disponibili, assistiamo negli obblighi di sicurezza, nelle valutazioni d’impatto, nella consultazione preventiva e nelle notifiche richieste. Restano ferme le responsabilità del cliente come titolare. L’assistenza ordinaria prevista da questo DPA non dipende da un piano aggiuntivo. Un impegno eccezionale viene discusso prima; ciò non può impedire l’assistenza obbligatoria o il rispetto dei termini.

Violazioni dei dati personali

Informiamo il cliente senza ingiustificato ritardo dopo essere venuti a conoscenza di una violazione dei dati personali che interessi i dati trattati su sua istruzione. Per quanto disponibile, la notifica descrive incidente, dati e persone coinvolti, probabili conseguenze, azioni adottate o proposte e un contatto. I dettagli mancanti seguono senza ingiustificato ritardo; la prima notifica non viene rinviata alla conclusione dell’indagine. Preserviamo le prove necessarie, conteniamo l’incidente e assistiamo il cliente nei propri obblighi di notifica.

Restituzione ed eliminazione

Al termine del trattamento richiesto, restituiamo o eliminiamo i dati personali a scelta del cliente e cancelliamo le copie esistenti, salvo obbligo di conservazione. L’app offre un’esportazione circoscritta; ulteriori restituzioni necessarie vengono concordate tramite support@channelcockpit.app. L’esportazione del prodotto da sola non limita questo obbligo o i diritti degli interessati.

Durante l’utilizzo il cliente può usare i controlli esistenti di eliminazione e collegamento o impartire ulteriori istruzioni. I backup vengono rimossi secondo il ciclo applicabile, protetti nel frattempo e non usati altrimenti. Le registrazioni autonomamente necessarie di account, pagamenti o obblighi legali per cui ChannelCockpit è titolare seguono l’Informativa sulla privacy. Il contenuto originale conservato da una piattaforma non è un backup controllato da ChannelCockpit.

Altre leggi sulla privacy applicabili

Se il cliente è responsabile dei dati trattati su sua istruzione ai sensi delle leggi sulla privacy statunitensi, canadesi, neozelandesi, di Singapore o di altre leggi applicabili, i nostri obblighi su istruzioni, riservatezza, sicurezza, assistenza, eliminazione e verifiche si applicano anche a tale trattamento nei limiti richiesti dalla legge. Non vendiamo né condividiamo tali dati per pubblicità comportamentale tra contesti diversi, non li usiamo al di fuori del rapporto commerciale concordato e non li combiniamo con dati di altri clienti o di nostra raccolta per finalità proprie. Informiamo il cliente se non possiamo più rispettare gli obblighi richiesti; può interrompere il trattamento interessato e richiedere un rimedio.

Il cliente fornisce le informazioni richieste alle persone di cui ci affida commenti, messaggi o contenuti e documenta ogni eccezione realmente applicabile. Ciò include gli avvisi sulla raccolta indiretta previsti dall’IPP 3A neozelandese, ove applicabili. Assistiamo in questi obblighi e nelle appropriate valutazioni d’impatto e dei trasferimenti. Né l’autorizzazione di una piattaforma né questo DPA sostituiscono la base giuridica o le informative necessarie del cliente. Adempiamo ai nostri obblighi informativi per i trattamenti necessari alle nostre finalità.

Prove, verifiche e disposizioni finali

Forniamo le informazioni necessarie a dimostrare il rispetto dell’articolo 28 del GDPR e consentiamo verifiche pertinenti, incluse ispezioni del cliente o di un revisore da lui incaricato. Un coordinamento proporzionato di ambito, riservatezza, sicurezza e tempi protegge altri clienti e il funzionamento senza limitare i diritti legali di verifica o vigilanza. Rapporti esistenti idonei possono essere utilizzati prima, ma non sostituiscono tutte le dimostrazioni necessarie per il singolo caso.

Il contatto per istruzioni e privacy è support@channelcockpit.app. I recapiti del cliente sono quelli nei dati aggiornati dell’account e del contratto; il cliente mantiene un contatto privacy raggiungibile. Questo DPA prevale sui termini generali per il trattamento per conto del cliente. Le norme inderogabili sulla privacy e le clausole contrattuali standard applicabili prevalgono su entrambi.